Вграждане на Tawk.to съобразно GDPR

Tawk.to (tawk.to, tawk.to inc., САЩ) е един от най-използваните безплатни лайв чатове. Уиджетът зарежда при отваряне на страницата скриптове от *.tawk.to, поставя бисквитки и предава IP адреса към американски сървъри.

Tawk.to е популярен, защото е безплатен за постоянно — услугата се финансира чрез платени допълнителни услуги и опционално премахваемо брандиране. За GDPR тази комбинация е неблагоприятна: доставчикът е със седалище в САЩ, уиджетът се зарежда при отваряне на страницата, поставя няколко бисквитки и предава данни за посетители (IP, посетени страници, време на престой) към американски сървъри. Тази предварителна обработка се извършва, преди посетителят изобщо да кликне върху чата.

Правно са засегнати две нива: § 25, ал. 1 TDDDG за достъпа до крайното устройство (бисквитки, скриптове) и чл. 44 и сл. GDPR за трансфера към САЩ. Трансферът може да е покрит от рамката EU-US Data Privacy Framework, ако tawk.to е сертифициран — но това не променя факта, че достъпът до крайното устройство преди използване се нуждае от съгласие.

Най-лесно е уиджетът да се зарежда само при кликване: страницата показва собствен бутон; едва при кликване се вмъква скриптът за вграждане на Tawk.to. Който иска да запази чата, но да го показва глобално, трябва да го включи в consent инструмента и да го инициализира едва след съгласие. За много малки сайтове най-пестеливото към данните решение е така или иначе да се предложи прост формуляр за контакт вместо лайв чат.

Това риск ли е?

Tawk.to зарежда при отваряне на страницата няколко скрипта и ресурса, поставя бисквитки (наред с другото за разпознаване на посетители) и предава данни към сървъри в САЩ. Без съгласие стандартното вграждане нарушава § 25, ал. 1 TDDDG; към това се добавя трансферът към трета държава, който се нуждае от собствено основание.

Какво можете да направите

• Уиджетът на Tawk.to да не се вгражда глобално, а да се дозарежда чрез JavaScript едва след активно кликване на собствен бутон „Стартирай чата“.
• Ако уиджетът се зарежда глобално: да се включи изцяло в consent слоя и да се блокира до получаване на съгласие.
• Да се провери дали изобщо е нужен чат — формуляр за контакт или имейл адрес е по-пестелив към данните.
• Tawk.to да се посочи в декларацията за поверителност с доставчик, трансфер към САЩ, поставяни бисквитки и цел; да се сключи ДВОД.

Често задавани въпроси

Съобразена ли е безплатната версия на Tawk.to с GDPR?

Въпросът за цената е независим от защитата на данните. Решаваща е интеграцията: ако уиджетът се зарежда глобално при отваряне на страницата, е нужно съгласие. Ако се зарежда едва след кликване, използването може да се основе на § 25, ал. 2 TDDDG.

Какви бисквитки поставя Tawk.to?

Обикновено няколко бисквитки за разпознаване на посетители и управление на сесии (напр. TawkConnectionTime, ss, __tawkuuid). Точният списък трябва да се провери в раздела „Мрежа“ и да се документира в декларацията за бисквитки.

Предават ли се данни към САЩ?

Да. tawk.to inc. е със седалище в САЩ и поддържа там сървъри. Трансферът се нуждае от основание (по правило EU-US Data Privacy Framework) и трябва да е посочен в декларацията за поверителност.

Има ли по-пестелива към данните алтернатива?

Доставчик с хостинг в ЕС (напр. Crisp с регион в ЕС) намалява въпроса за трета държава. Изцяло без достъп до крайното устройство минава само сървърно рендиран формуляр за контакт.

Как помага consentglass

Безплатната проверка анализира предоставения HTML и показва кои услуги са вградени, разпозната ли е лентата за бисквитки и налични ли са връзките към поверителност и данни за контакт — с класификация към всяка констатация. Не замества правна консултация.