Integrar Crisp Chat de forma conforme al RGPD

Crisp (crisp.chat, Crisp IM SARL, Francia) es un widget de chat en directo y de soporte muy extendido. El proveedor está establecido en la UE y ofrece alojamiento de datos en la UE — el widget de chat aun así carga un script al cargar la página y fija entradas de almacenamiento.

Los widgets de chat en directo son un caso límite en el derecho de protección de datos: mientras nadie usa el chat, el script cargado en segundo plano no cumple ninguna finalidad deseada por el visitante — solo prepara un posible uso posterior. Es precisamente esa carga previa lo que resulta problemático. Crisp deposita un identificador de sesión en el almacenamiento local al cargar la página y establece una conexión con los servidores de Crisp antes de que el visitante haga clic en nada.

Crisp tiene una ventaja frente a muchos competidores estadounidenses: la empresa está establecida en Francia y ofrece, según el plan, un alojamiento de los datos de chat en la UE. Eso alivia la cuestión del tercer país. Pero no sustituye al consentimiento para el acceso al dispositivo — las entradas de almacenamiento local y la carga de scripts están sujetas a consentimiento con independencia de la ubicación del servidor si no son técnicamente necesarias.

La solución limpia es una carga «bajo demanda»: en lugar de integrar el snippet de Crisp directamente, la página muestra al principio solo un botón propio. Solo al hacer clic se inserta el script de Crisp mediante JavaScript y se abre el chat. Así, el acceso al dispositivo solo se produce cuando el visitante solicita activamente el servicio — entonces se aplica el art. 25.2 TDDDG (estrictamente necesario para el servicio solicitado).

¿Es un riesgo?

El widget de Crisp carga JavaScript desde client.crisp.chat al cargar la página y deposita un identificador en el navegador para asociar los historiales de chat a un visitante. Ese acceso al dispositivo no es «estrictamente necesario» mientras el visitante no use activamente el chat — según el art. 25.1 TDDDG está por tanto sujeto a consentimiento si el widget ya se carga antes del primer clic.

Qué puedes hacer

• Cargar el script de Crisp solo tras una interacción activa — p. ej. un botón propio «Abrir chat» que cargue el widget mediante JavaScript.
• Activar la región de datos de la UE en el panel de Crisp si está disponible, y firmar un contrato de encargo de tratamiento con Crisp IM SARL.
• Si el widget se carga de forma global: incluirlo en la capa de consentimiento y bloquearlo hasta la aceptación.
• Nombrar Crisp en la política de privacidad — proveedor, finalidad (comunicación con clientes), datos almacenados (historial de chat, IP, en su caso correo electrónico), plazo de conservación.

Preguntas frecuentes

¿Crisp necesita un banner de consentimiento?

Si el widget se carga al cargar la página: sí. Fija entradas de almacenamiento local y carga scripts antes de que el visitante use el chat. Si el widget solo se carga tras un clic activo, el uso puede basarse en el art. 25.2 TDDDG.

¿Dónde se almacenan los datos del chat?

Crisp IM SARL está establecida en Francia. Según el plan, puede elegirse alojamiento de datos en la UE. La ubicación de almacenamiento exacta debería comprobarse en el panel y nombrarse en la política de privacidad.

¿Cómo cargo Crisp solo tras un clic?

No integrar el snippet estándar directamente, sino mostrar un botón propio. Al hacer clic, insertar el script de Crisp (client.crisp.chat) en el DOM mediante JavaScript y llamar a $crisp.push(['do', 'chat:open']).

¿Basta con un contrato de encargo de tratamiento con Crisp?

El contrato de encargo es obligatorio, pero no suficiente por sí solo. Regula el tratamiento por encargo; la cuestión del consentimiento para el acceso al dispositivo según el TDDDG es independiente.

Cómo ayuda consentglass

El análisis gratuito comprueba el HTML entregado y muestra qué servicios están integrados, si se detecta un banner de cookies y si hay enlaces a la privacidad y al aviso legal — con contexto para cada hallazgo. No sustituye el asesoramiento jurídico.