Integrer Crisp Chat GDPR-korrekt

Crisp (crisp.chat, Crisp IM SARL, Frankrig) er et udbredt livechat- og helpdeskwidget. Udbyderen er etableret i EU og tilbyder EU-datahosting — chatwidgetten indlæser alligevel et script ved sidevisningen og sætter lagerposter.

Livechatwidgets er et grænsetilfælde i databeskyttelsesretten: så længe ingen bruger chatten, opfylder det script, der indlæses i baggrunden, ikke noget formål, som den besøgende ønsker — det forbereder blot en mulig senere brug. Det er netop denne forudgående indlæsning, der er problemet. Crisp placerer en sessionsidentifikator i local storage ved sidevisningen og opretter en forbindelse til Crisp-serverne, før den besøgende klikker på noget.

Crisp har en fordel i forhold til mange amerikanske konkurrenter: virksomheden er etableret i Frankrig og tilbyder, afhængigt af abonnementet, hosting af chatdata i EU. Det mindsker tredjelandsspørgsmålet. Men det erstatter ikke samtykket til adgangen til enheden — local storage-poster og scriptindlæsning kræver samtykke uanset serverens placering, hvis de ikke er teknisk nødvendige.

Den rene løsning er «on-demand»-indlæsning: i stedet for at indlejre Crisp-snippet'et direkte viser siden først kun en egen knap. Først ved klikket indsættes Crisp-scriptet via JavaScript, og chatten åbnes. På den måde sker adgangen til enheden kun, når den besøgende aktivt anmoder om tjenesten — så gælder § 25, stk. 2 TDDDG (strengt nødvendig for den ønskede tjeneste).

Er dette en risiko?

Crisp-widgetten indlæser JavaScript fra client.crisp.chat ved sidevisningen og placerer en identifikator i browseren for at knytte chatforløb til en besøgende. Denne adgang til enheden er ikke «strengt nødvendig», så længe den besøgende ikke aktivt bruger chatten — efter § 25, stk. 1 TDDDG kræver den derfor samtykke, hvis widgetten allerede indlæses før det første klik.

Hvad du kan gøre

• Indlæs kun Crisp-scriptet efter aktiv interaktion — f.eks. en egen «Åbn chat»-knap, der indlæser widgetten via JavaScript.
• Aktivér EU-dataregionen i Crisp-dashboardet, hvor det er muligt, og indgå en databehandleraftale med Crisp IM SARL.
• Hvis widgetten indlæses globalt: medtag den i samtykkelaget, og bloker den indtil samtykke.
• Nævn Crisp i privatlivspolitikken — udbyder, formål (kundekommunikation), lagrede data (chatforløb, IP, evt. e-mail), opbevaringsperiode.

Ofte stillede spørgsmål

Har Crisp brug for et samtykkebanner?

Hvis widgetten indlæses ved sidevisningen: ja. Den sætter local storage-poster og indlæser scripts, før den besøgende bruger chatten. Hvis widgetten først indlæses efter et aktivt klik, kan brugen støttes på § 25, stk. 2 TDDDG.

Hvor lagres chatdataene?

Crisp IM SARL er etableret i Frankrig. Afhængigt af abonnementet kan EU-datahosting vælges. Den nøjagtige lagringsplacering bør tjekkes i dashboardet og nævnes i privatlivspolitikken.

Hvordan indlæser jeg kun Crisp efter et klik?

Indlejr ikke standard-snippet'et direkte, men vis en egen knap. Ved klikket indsættes Crisp-scriptet (client.crisp.chat) i DOM'en via JavaScript, og $crisp.push(['do', 'chat:open']) kaldes.

Er en databehandleraftale med Crisp nok?

Databehandleraftalen er obligatorisk, men ikke tilstrækkelig i sig selv. Den regulerer behandlingen på vegne af; spørgsmålet om samtykke til enhedsadgangen efter TDDDG er uafhængigt heraf.

Sådan hjælper consentglass

Den gratis scanning tjekker den leverede HTML og viser, hvilke tjenester der er indlejret, om der registreres et cookiebanner, og om links til privatliv og kolofon findes — med kontekst for hvert fund. Den erstatter ikke juridisk rådgivning.