Oregon · OCDPAWordPress-hosting met OCDPA-plugin ingebouwd in het platform.
Oregon is de enige Amerikaanse privacywet op staatsniveau die non-profits op dezelfde manier behandelt als commerciele bedrijven. De compliance-MU-plugin van Yovale maakt geen onderscheid — opt-out-signalen voor verkoop, gerichte reclame en profiling, opt-in voor gevoelige data, Universal Opt-Out Mechanism gehonoreerd sinds 1 januari 2026, een workflow met 45 dagen responstijd en een beroepskanaal. Je installeert hem niet. Je update hem niet. Je betaalt er niet voor. Zo wordt elke Yovale-site uitgerold, op elk plan. Hetzelfde platform regelt ook CCPA, VCDPA, CPA, CTDPA, TDPSA en MCDPA — een stack, elke Amerikaanse privacywet op staatsniveau.
Onder de OCDPA kun je bezwaar maken tegen de verkoop van persoonsgegevens, gerichte reclame en profiling. Je kunt de data die we van je hebben ook inzien, corrigeren, verwijderen of exporteren — inclusief de namen van de specifieke derden waaraan we ze hebben doorgegeven.
Zes verplichtingen die je moet vervullen.
De Oregon Consumer Data Privacy Act is op 1 juli 2024 in werking getreden voor commerciele controllers en op 1 juli 2025 voor non-profits — daarmee is Oregon de eerste Amerikaanse staat die een algemeen consumentenprivacyregime ook naar non-profitorganisaties uitbreidt. Hij geldt voor controllers die persoonsgegevens verwerken van 100.000 of meer inwoners van Oregon, of vanaf 25.000 wanneer 25% of meer van de omzet uit de verkoop van persoonsgegevens komt. Handhaving ligt bij de Oregon Attorney General, met civielrechtelijke boetes tot $7,500 per overtreding. De 30-dagen herstelperiode is op 1 januari 2026 vervallen.
- 01
Opt-out voor verkoop, gerichte reclame, profiling
Inwoners van Oregon kunnen bezwaar maken tegen de verkoop van persoonsgegevens, gerichte reclame en profiling dat juridische of vergelijkbaar ingrijpende gevolgen heeft. Het mechanisme moet duidelijk, opvallend en vrij van dark patterns zijn.
- 02
Universal Opt-Out Mechanism (UOOM/GPC)
Sinds 1 januari 2026 moeten controllers browsersignalen zoals Global Privacy Control honoreren als geldige opt-out tegen verkoop en gerichte reclame. Oregon was de laatste staatswet die UOOM verplicht maakte en sloot daarmee een golf af die met Californie begon.
- 03
OPT-IN voor gevoelige data
Je mag gevoelige data niet verwerken zonder uitdrukkelijke toestemming. Gevoelige data omvatten ras of etnische afkomst, nationale afkomst, religie, mentale of fysieke gezondheidsstatus, seksleven, seksuele geaardheid, transgender- of non-binaire status, nationaliteit en immigratiestatus, status als slachtoffer van een misdrijf, genetische en biometrische data, precieze geolocatie en gegevens van een bekend kind.
- 04
Toepasselijkheid op non-profits
Anders dan elke andere Amerikaanse privacywet op staatsniveau geldt de OCDPA voor non-profits onder dezelfde voorwaarden als voor commerciele bedrijven, met drempelcontrole vanaf 1 juli 2025. Als je stichting, museum, belangenorganisatie of vereniging meer dan 100.000 inwoners van Oregon raakt, val je onder de wet.
- 05
Consumentenrechten: inzage, correctie, verwijdering, portabiliteit, ontvangerslijst
Inwoners van Oregon kunnen inzage vragen in de data die je bewaart, de namen opvragen van de specifieke derden waaraan je ze hebt verstrekt, onjuistheden corrigeren, ze laten verwijderen en een portable kopie ontvangen. Je reageert binnen 45 dagen, eenmaal te verlengen met 45 dagen. Het recht op de lijst met specifieke ontvangers is uniek voor Oregon.
- 06
Beroepsprocedure
Wanneer je een consumentenverzoek afwijst, moet je de consument een duidelijke manier geven om in beroep te gaan en binnen 45 dagen op het beroep reageren. Als het beroep wordt afgewezen, geef je een schriftelijke toelichting en een link om een klacht in te dienen bij de Oregon Attorney General.
Ingebouwd in het platform. Geen plugin die je installeert.
Yovale levert OCDPA-compliance als gesigneerde must-use-plugin — onderdeel van de hosting zelf, niet iets dat je uit de WordPress-repository installeert. Hij is versie-gepind, wordt opgehaald uit R2 met SHA-256-verificatie en bij provisioning in een per site bind-gemounte mu-plugins-map geplaatst. Updates komen via hetzelfde kanaal als je hostingupdates. Non-profits en commerciele bedrijven krijgen dezelfde configuratie — geen apart tarief, geen uitzonderingen, geen checkbox om te onthouden.
Oregon-bewust consent en UOOM
Bezoekers uit Oregon zien OCDPA-opt-out-besturing voor verkoop, gerichte reclame en profiling, plus opt-in-prompts voordat een gevoelige datacategorie wordt verwerkt. Browser-GPC-signalen worden automatisch aan de edge gehonoreerd — geen bannerklik nodig om de status in te stellen. EU-bezoekers zien nog steeds GDPR-opt-in, Californie nog steeds CCPA. Eén platform, elke regelgeving.
Privacyportaal met ontvangerslijst
/.well-known/privacy op elke Yovale-site. Inwoners van Oregon kunnen verzoeken om inzage, correctie, verwijdering en portabiliteit indienen en de lijst opvragen van specifieke derden waaraan hun data is verstrekt. Elk verzoek verschijnt in het Compliance-tabblad van je dashboard met een 45-dagen SLA-timer.
Audit log van elk signaal
Elke opt-out — bannerklik, UOOM/GPC-header, portaalindiening — wordt vastgelegd in een aparte auditdatabase met tijdstempel, uit de IP afgeleide regio en oorspronkelijk signaal. Exporteerbaar als JSON of CSV vanuit het dashboard. Overleeft plugin-updates, themawisselingen en hostingmigratie.
Ondertekende DPA — non-profit en commercieel gelijk
Vooraf ondertekend controller-processor-contract conform OCDPA. Lijst van elke subverwerker (Cloudflare, Anexia, R2), doelbinding, vertrouwelijkheid, verwijdering aan einde van dienst en assistentie bij consumentenverzoeken. Hetzelfde document voor een 501(c)(3) in Portland en een e-commerce in Bend — Yovale behandelt de categorieen niet anders.
Waarom infrastructuur een plugin verslaat.
Typische WordPress-OCDPA-plugin
- Voegt 200-500ms toe aan elke paginalaad (banner-JS, geo-lookup, GPC-parsing, DB-schrijfacties)
- Bewaart opt-out-signalen in wp_options — traag, ongetypeerd, breekt met object caching
- Update via wp-admin — jij onderhoudt het, jij breekt het, jij debugt de conflicten
- Kost $49-149/jaar per site en regelt zelden non-profitconfiguratie
- Breekt als je van host wisselt; opt-out-historie, UOOM-logs en beroepsdossiers verloren
De ingebouwde aanpak van Yovale
- 0ms latency — opt-out-status en GPC-header berekend aan de edge worker, gecachet in het CDN
- Audit log in een eigen database, opvraagbaar, blokkeert nooit het renderen
- Updates komen via het platform — je ziet ze niet, je breekt ze niet
- Inbegrepen in elk plan ($149 / $249 / $499 per jaar), zelfde setup voor non-profits en commerciele bedrijven
- Gaat voor altijd mee met je site — opt-out-, UOOM- en beroepshistorie blijft van jou en is exporteerbaar
14 regelgevingen. één toggle per stuk. allemaal automatisch.
- Opt-out voor verkoop, gerichte reclame, profiling
- UOOM/GPC gehonoreerd sinds 1 januari 2026
- Opt-in voor gevoelige data
- Reactie binnen 45 dagen, beroep binnen 45 dagen
- Geldt voor non-profits sinds 1 juli 2025
OCDPA + Yovale, beantwoord.
Geldt de OCDPA voor mijn non-profit?
Ja, als je in een kalenderjaar persoonsgegevens verwerkt van 100.000 of meer inwoners van Oregon, of vanaf 25.000 wanneer 25% of meer van je bruto-omzet uit de verkoop van persoonsgegevens komt. Oregon is de eerste Amerikaanse staat waar algemene consumentenprivacyverplichtingen uitdrukkelijk ook gelden voor 501(c)-organisaties op dezelfde voorwaarden als voor commerciele bedrijven — dat deel is op 1 juli 2025 in werking getreden. Yovale behandelt beide categorieen identiek: dezelfde MU-plugin, dashboard, DPA en audit log.
Wat is het Universal Opt-Out Mechanism en sinds wanneer is het verplicht?
Sinds 1 januari 2026 moeten controllers in Oregon opt-out-signalen op browserniveau honoreren — in de praktijk de Global Privacy Control-header (GPC) — als geldige opt-out tegen de verkoop van persoonsgegevens en tegen gerichte reclame. Oregon was de laatste staatswet die UOOM verplicht maakte en sloot daarmee een golf af die met de CPRA in Californie begon. Yovale leest de GPC-header bij de Cloudflare edge worker en past de opt-out toe voordat analytics, ad-pixels of third-party-tags afgaan — geen bannerklik nodig.
Hoe verhoudt de OCDPA zich tot VCDPA, CPA, CTDPA en CCPA?
Allemaal geven ze de consument opt-out voor verkoop en gerichte reclame en het recht op inzage, correctie, verwijdering en portabiliteit. De OCDPA is uniek op drie punten: hij dekt non-profits uitdrukkelijk, hij laat de consument de lijst opvragen van specifieke derden waaraan zijn data zijn verstrekt (niet alleen de categorieen), en hij gebruikt de lagere 25%-omzetdrempel die overeenkomt met Colorado en Connecticut, niet met de 50% van Virginia. Net als in Colorado en Connecticut is opt-in voor gevoelige data verplicht en UOOM ook. Yovale regelt ze allemaal vanuit één platform.
Is er nog een herstelperiode?
Nee. De 30-dagen herstelperiode is op 1 januari 2026 vervallen. Voor die datum moest de Oregon Attorney General een controller waarschuwen en 30 dagen geven om een overtreding te corrigeren voordat een handhavingstraject startte. Sinds 1 januari 2026 kan de AG direct handhaven, met civielrechtelijke boetes tot $7,500 per overtreding. Dat is een van de redenen waarom de compliance van Yovale standaard aan staat en niet opt-in is — er is geen genadeperiode meer om het later toe te voegen.
Wat geldt volgens Oregon als gevoelige data?
Gevoelige data onder de OCDPA omvatten ras of etnische afkomst, nationale afkomst, religie, mentale of fysieke gezondheidsstatus of -diagnose, seksleven, seksuele geaardheid, transgender- of non-binaire status, nationaliteit of immigratiestatus, status als slachtoffer van een misdrijf, genetische en biometrische data verwerkt om iemand uniek te identificeren, precieze geolocatie en persoonsgegevens van een bekend kind. Oregons lijst is breder dan die van de meeste staten — transgender- of non-binaire status en slachtofferstatus worden expliciet genoemd. De MU-plugin van Yovale blokkeert elke plugin of script die een gevoelige categorie raakt totdat de consument actief opt-in heeft gegeven.
Wat gebeurt er als ik een consumentenverzoek afwijs?
Het platform stuurt de consument een afwijzing met een een-klik-beroepslink. Het beroep opent een aparte zaak van 45 dagen in je Compliance-dashboard met het oorspronkelijke besluit bijgevoegd. Wijs je het beroep ook af, dan voegt Yovale automatisch een link toe waarmee de consument een klacht kan indienen bij de Oregon Attorney General, zoals de OCDPA vereist.
Zet binnen 60 seconden een OCDPA-conforme WordPress-site live.
Elke Yovale-site is OCDPA-klaar vanaf het moment dat je deployt — non-profit of commercieel, de configuratie is identiek. Geen plugin installeren. Geen processor-contract achterna jagen. Geen UOOM-parser bouwen. Start de Growth-proef en bekijk je eerste compliance-dashboard.