Tawk.to を GDPR に準拠して組み込む

Tawk.to（tawk.to、tawk.to inc.、米国）は最も広く使われている無料のライブチャットの一つです。ウィジェットはページ読み込み時に *.tawk.to からスクリプトを読み込み、Cookie を設定し、IP アドレスを米国のサーバーに送信します。

Tawk.to は恒久的に無料であるため人気です。サービスは有料の追加機能と、任意で削除できるブランディングで資金を得ています。GDPR にとってこの構図は不利です。提供者は米国に所在し、ウィジェットはページ読み込み時に読み込まれ、複数の Cookie を設定し、訪問者のデータ（IP、閲覧ページ、滞在時間）を米国のサーバーに送信します。この事前の処理は、訪問者がチャットをクリックする前に行われます。

法的には 2 つのレベルが関係します。デバイスへのアクセス（Cookie、スクリプト）については TDDDG 第25条1項、米国への移転については GDPR 第44条以下です。tawk.to が認証されていれば移転は EU-US Data Privacy Framework でカバーされ得ますが、それでもデバイスへのアクセスが利用前に同意を必要とするという事実は変わりません。

最も簡単なのは、ウィジェットをクリック時にのみ読み込むことです。ページは独自のボタンを表示し、Tawk.to の埋め込みスクリプトはクリック時にのみ挿入されます。チャットを残しつつグローバルに表示したい場合は、同意ツールに含め、同意の後にのみ初期化できます。多くの小規模なウェブサイトにとって、最もデータ節約的な解決策は、いずれにせよライブチャットの代わりにシンプルな問い合わせフォームを提供することです。

これはリスクですか？

Tawk.to はページ読み込み時に複数のスクリプトとリソースを読み込み、Cookie（訪問者の識別などのため）を設定し、データを米国のサーバーに送信します。同意がなければ、標準的な組み込みは TDDDG 第25条1項に違反します。さらに、独自の根拠を必要とする第三国移転が加わります。

対応方法

• Tawk.to のウィジェットをグローバルに埋め込まず、独自の「チャットを開始」ボタンの能動的なクリックの後にのみ JavaScript で読み込みます。
• ウィジェットがグローバルに読み込まれる場合：完全に同意レイヤーに含め、同意まではブロックします。
• そもそもチャットが必要か確認します — 問い合わせフォームやメールアドレスのほうがデータ節約的です。
• Tawk.to をプライバシーポリシーに、提供者、米国移転、設定される Cookie、目的とともに記載し、委託処理契約を締結します。

よくある質問

Tawk.to の無料版は GDPR に準拠していますか？

費用の問題はデータ保護とは無関係です。決め手は組み込み方法です。ウィジェットがページ読み込み時にグローバルに読み込まれる場合、同意が必要です。クリック後にのみ読み込まれる場合、利用は TDDDG 第25条2項に基づけます。

Tawk.to はどの Cookie を設定しますか？

通常、訪問者の識別とセッション管理のための複数の Cookie（例：TawkConnectionTime、ss、__tawkuuid）です。正確な一覧はネットワークタブで確認し、Cookie に関する説明に文書化すべきです。

データは米国に送信されますか？

はい。tawk.to inc. は米国に所在し、そこでサーバーを運用しています。移転には根拠（通常は EU-US Data Privacy Framework）が必要で、プライバシーポリシーに記載する必要があります。

よりデータ節約的な代替手段はありますか？

EU ホスティングの提供者（例：EU リージョンの Crisp）は第三国の問題を軽減します。デバイスへのアクセスを完全になくせるのは、サーバー側でレンダリングされる問い合わせフォームだけです。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。