Crisp Chatin lisääminen GDPR:n mukaisesti

Crisp (crisp.chat, Crisp IM SARL, Ranska) on yleinen live-chat- ja helpdesk-widget. Palveluntarjoaja sijaitsee EU:ssa ja tarjoaa EU-tietojen isännöintiä — chat-widget lataa silti sivua avattaessa skriptin ja luo tallennusmerkintöjä.

Live-chat-widgetit ovat tietosuojaoikeudellisesti rajatapaus: niin kauan kuin kukaan ei käytä chattia, taustalla ladattu skripti ei täytä mitään kävijän toivomaa tarkoitusta — se vain valmistelee mahdollista myöhempää käyttöä. Juuri tämä ennakkolataus on ongelma. Crisp tallentaa sivua avattaessa istuntotunnisteen Local Storageen ja muodostaa yhteyden Crispin palvelimiin jo ennen kuin kävijä klikkaa mitään.

Crispillä on etu moniin yhdysvaltalaisiin kilpailijoihin nähden: yritys sijaitsee Ranskassa ja tarjoaa tariffista riippuen chat-tietojen isännöintiä EU:ssa. Se lieventää kolmannen maan kysymystä. Se ei kuitenkaan korvaa suostumusta päätelaitteeseen pääsyyn — Local Storage -merkinnät ja skriptin jälkilataus edellyttävät suostumusta palvelimen sijainnista riippumatta, jos ne eivät ole teknisesti välttämättömiä.

Siisti ratkaisu on „on-demand“-lataus: sen sijaan että Crisp-snippet upotettaisiin suoraan, sivu näyttää aluksi vain oman painikkeen. Vasta klikattaessa Crisp-skripti lisätään JavaScriptillä ja chat avataan. Näin pääsy päätelaitteeseen tapahtuu vasta, kun kävijä pyytää palvelua aktiivisesti — silloin sovelletaan TDDDG:n 25 §:n 2 momenttia (ehdottoman välttämätön toivotulle palvelulle).

Onko tämä riski?

Crisp-widget lataa sivua avattaessa JavaScriptiä osoitteesta client.crisp.chat ja tallentaa selaimeen tunnisteen liittääkseen chat-historiat tiettyyn kävijään. Tämä pääsy päätelaitteeseen ei ole „ehdottoman välttämätön“ niin kauan kuin kävijä ei käytä chattia aktiivisesti — TDDDG:n 25 §:n 1 momentin mukaan se on siis suostumuksenvarainen, jos widget latautuu jo ennen ensimmäistä klikkausta.

Mitä voit tehdä

• Lataa Crisp-skripti vasta aktiivisen vuorovaikutuksen jälkeen — esim. oma „Avaa chat“ -painike, joka lataa widgetin JavaScriptillä.
• Aktivoi EU-tietoalue Crispin hallintapaneelissa, jos saatavilla, ja tee Crisp IM SARL:n kanssa henkilötietojen käsittelysopimus.
• Jos widget latautuu globaalisti: sisällytä se suostumuskerrokseen ja estä se suostumukseen asti.
• Mainitse Crisp tietosuojaselosteessa — palveluntarjoaja, tarkoitus (asiakasviestintä), tallennetut tiedot (chat-historia, IP, tarvittaessa sähköposti), säilytysaika.

Usein kysytyt kysymykset

Tarvitseeko Crisp suostumusbannerin?

Jos widget latautuu sivua avattaessa: kyllä. Se tallentaa Local Storage -merkintöjä ja lataa skriptejä ennen kuin kävijä käyttää chattia. Jos widget latautuu vasta aktiivisen klikkauksen jälkeen, käyttö voidaan perustaa TDDDG:n 25 §:n 2 momenttiin.

Missä chat-tiedot tallennetaan?

Crisp IM SARL sijaitsee Ranskassa. Tariffista riippuen voidaan valita tietojen isännöinti EU:ssa. Tarkka tallennuspaikka tulisi tarkistaa hallintapaneelista ja mainita tietosuojaselosteessa.

Miten lataan Crispin vasta klikkauksen jälkeen?

Vakiosnippetiä ei upoteta suoraan, vaan näytetään oma painike. Klikattaessa lisätään JavaScriptillä Crisp-skripti (client.crisp.chat) DOM:iin ja kutsutaan $crisp.push(['do', 'chat:open']).

Riittääkö käsittelysopimus Crispin kanssa?

Käsittelysopimus on pakollinen, mutta ei yksin riitä. Se sääntelee toimeksiannosta tapahtuvaa käsittelyä; kysymys suostumuksesta päätelaitteeseen pääsyyn TDDDG:n mukaan on siitä riippumaton.

Näin consentglass auttaa

Ilmainen skannaus tarkistaa toimitetun HTML:n ja näyttää, mitä palveluita on upotettu, tunnistetaanko evästebanneri ja ovatko linkit tietosuojaan ja vastuuvapauslausekkeeseen olemassa — taustatietojen kanssa jokaisesta havainnosta. Se ei korvaa oikeudellista neuvontaa.