Integrare Tawk.to in conformità al GDPR

Tawk.to (tawk.to, tawk.to inc., USA) è una delle live chat gratuite più utilizzate. Il widget carica script da *.tawk.to al caricamento della pagina, imposta cookie e trasmette l'indirizzo IP a server statunitensi.

Tawk.to è popolare perché è gratuito in modo permanente — il servizio si finanzia tramite servizi aggiuntivi a pagamento e branding rimovibile a scelta. Per il GDPR la costellazione è sfavorevole: il fornitore ha sede negli USA, il widget si carica al caricamento della pagina, imposta diversi cookie e trasmette dati dei visitatori (IP, pagine visitate, tempo di permanenza) a server statunitensi. Questo trattamento anticipato avviene prima ancora che il visitatore clicchi sulla chat.

Giuridicamente sono interessati due livelli: l'art. 25, comma 1 TDDDG per l'accesso al dispositivo (cookie, script) e gli artt. 44 e ss. GDPR per il trasferimento negli USA. Il trasferimento può essere coperto dall'EU-US Data Privacy Framework se tawk.to è certificata — ma ciò non cambia il fatto che l'accesso al dispositivo necessiti di un consenso prima dell'uso.

Il modo più semplice è caricare il widget solo al clic: la pagina mostra un pulsante personalizzato; lo script di embed di Tawk.to viene inserito solo al clic. Chi vuole mantenere la chat ma mostrarla globalmente deve includerla nello strumento di consenso e può inizializzarla solo dopo il consenso. Per molti siti web piccoli, la soluzione più parsimoniosa nei dati è comunque offrire un semplice modulo di contatto invece di una live chat.

È un rischio?

Tawk.to carica al caricamento della pagina diversi script e risorse, imposta cookie (tra l'altro per riconoscere i visitatori) e trasmette dati a server negli USA. Senza consenso, l'integrazione standard viola l'art. 25, comma 1 TDDDG; a ciò si aggiunge il trasferimento in un paese terzo, che necessita di una propria base.

Cosa puoi fare

• Non integrare il widget Tawk.to globalmente, ma caricarlo tramite JavaScript solo dopo un clic attivo su un pulsante «Avvia chat» personalizzato.
• Se il widget si carica globalmente: includerlo completamente nel consent layer e bloccarlo fino al consenso.
• Verificare se una chat sia davvero necessaria — un modulo di contatto o un indirizzo e-mail è più parsimonioso nei dati.
• Nominare Tawk.to nell'informativa con fornitore, trasferimento negli USA, cookie impostati e finalità; stipulare un accordo sul trattamento dei dati.

Domande frequenti

La versione gratuita di Tawk.to è conforme al GDPR?

La questione del costo è indipendente dalla protezione dei dati. L'integrazione è decisiva: se il widget si carica globalmente al caricamento della pagina, necessita di un consenso. Se si carica solo dopo un clic, l'uso può basarsi sull'art. 25, comma 2 TDDDG.

Quali cookie imposta Tawk.to?

Tipicamente diversi cookie per il riconoscimento dei visitatori e la gestione della sessione (ad es. TawkConnectionTime, ss, __tawkuuid). L'elenco esatto andrebbe verificato nella scheda di rete e documentato nell'informativa sui cookie.

I dati vengono trasferiti negli USA?

Sì. tawk.to inc. ha sede negli USA e vi gestisce server. Il trasferimento necessita di una base (di norma l'EU-US Data Privacy Framework) e deve essere indicato nell'informativa.

Esiste un'alternativa più parsimoniosa nei dati?

Un fornitore con hosting nell'UE (ad es. Crisp con regione UE) riduce la questione del paese terzo. Solo un modulo di contatto reso lato server fa completamente a meno dell'accesso al dispositivo.

Come aiuta consentglass

La scansione gratuita verifica l'HTML fornito e mostra quali servizi sono integrati, se viene rilevato un banner cookie e se i link a privacy e note legali sono presenti — con inquadramento per ogni riscontro. Non sostituisce una consulenza legale.