Вграждане на Crisp Chat съобразно GDPR

Crisp (crisp.chat, Crisp IM SARL, Франция) е разпространен уиджет за лайв чат и хелпдеск. Доставчикът е със седалище в ЕС и предлага хостинг на данни в ЕС — въпреки това чат уиджетът зарежда скрипт при отваряне на страницата и създава записи в хранилището.

Уиджетите за лайв чат са граничен случай от гледна точка на защитата на данните: докато никой не използва чата, зареденият на заден план скрипт не изпълнява желана от посетителя цел — той само подготвя възможното по-късно използване. Именно това предварително зареждане е проблемът. Crisp поставя при отваряне на страницата сесиен идентификатор в Local Storage и изгражда връзка към сървърите на Crisp, още преди посетителят да кликне нещо.

Crisp има предимство пред много американски конкуренти: компанията е със седалище във Франция и предлага в зависимост от тарифата хостинг на чат данните в ЕС. Това смекчава въпроса за трети държави. Но не замества съгласието за достъп до крайното устройство — записите в Local Storage и дозареждането на скрипта изискват съгласие независимо от местоположението на сървъра, ако не са технически необходими.

Чистото решение е зареждане „при поискване“: вместо да вгражда директно снипета на Crisp, страницата първо показва само собствен бутон. Едва при кликване скриптът на Crisp се вмъква чрез JavaScript и чатът се отваря. Така достъпът до крайното устройство се извършва едва когато посетителят активно поиска услугата — тогава важи § 25, ал. 2 TDDDG (безусловно необходимо за желаната услуга).

Това риск ли е?

Уиджетът на Crisp зарежда при отваряне на страницата JavaScript от client.crisp.chat и поставя в браузъра идентификатор, за да свърже хронологиите на чата с конкретен посетител. Този достъп до крайното устройство не е „безусловно необходим“, докато посетителят не използва активно чата — съгласно § 25, ал. 1 TDDDG той изисква съгласие, ако уиджетът се зарежда още преди първото кликване.

Какво можете да направите

• Скриптът на Crisp да се зарежда едва след активно взаимодействие — напр. собствен бутон „Отвори чата“, който дозарежда уиджета чрез JavaScript.
• Регионът за данни в ЕС да се активира в таблото на Crisp, ако е наличен, и да се сключи ДВОД с Crisp IM SARL.
• Ако уиджетът се зарежда глобално: да се включи в consent слоя и да се блокира до получаване на съгласие.
• Crisp да се посочи в декларацията за поверителност — доставчик, цел (комуникация с клиенти), съхранявани данни (хронология на чата, IP, при необходимост имейл), срок на съхранение.

Често задавани въпроси

Нуждае ли се Crisp от банер за съгласие?

Ако уиджетът се зарежда при отваряне на страницата: да. Той поставя записи в Local Storage и зарежда скриптове, преди посетителят да използва чата. Ако уиджетът се зарежда едва след активно кликване, използването може да се основе на § 25, ал. 2 TDDDG.

Къде се съхраняват данните от чата?

Crisp IM SARL е със седалище във Франция. В зависимост от тарифата може да се избере хостинг на данни в ЕС. Точното място на съхранение трябва да се провери в таблото и да се посочи в декларацията за поверителност.

Как да заредя Crisp едва след кликване?

Стандартният снипет да не се вгражда директно, а да се покаже собствен бутон. При кликване чрез JavaScript да се вмъкне скриптът на Crisp (client.crisp.chat) в DOM и да се извика $crisp.push(['do', 'chat:open']).

Достатъчен ли е ДВОД с Crisp?

ДВОД е задължителен, но сам по себе си не е достатъчен. Той урежда обработката по възлагане; въпросът за съгласието за достъп до крайното устройство по TDDDG е независим от това.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.