Crisp Chat įterpimas laikantis BDAR

Crisp (crisp.chat, „Crisp IM SARL“, Prancūzija) yra paplitęs tiesioginio pokalbio ir pagalbos tarnybos valdiklis. Teikėjas įsikūręs ES ir siūlo duomenų prieglobą ES — vis dėlto pokalbių valdiklis, atveriant puslapį, įkelia skriptą ir sukuria saugyklos įrašus.

Tiesioginio pokalbio valdikliai duomenų apsaugos požiūriu yra ribinis atvejis: kol niekas nesinaudoja pokalbiu, fone įkeltas skriptas neatlieka jokio lankytojo pageidaujamo tikslo — jis tik parengia galimą vėlesnį naudojimą. Kaip tik šis išankstinis įkėlimas ir yra problema. Crisp, atveriant puslapį, seanso identifikatorių išsaugo Local Storage ir užmezga ryšį su Crisp serveriais dar prieš lankytojui ką nors spustelint.

Crisp turi pranašumą prieš daugelį JAV konkurentų: įmonė įsikūrusi Prancūzijoje ir, priklausomai nuo tarifo, siūlo pokalbių duomenų prieglobą ES. Tai sušvelnina trečiųjų šalių klausimą. Bet tai nepakeičia sutikimo dėl prieigos prie galinio įrenginio — Local Storage įrašai ir skripto įkėlimas reikalauja sutikimo nepriklausomai nuo serverio vietos, jei jie nėra techniškai būtini.

Švarus sprendimas yra įkėlimas „pagal poreikį“: užuot tiesiogiai įterpus Crisp kodo fragmentą, puslapis iš pradžių rodo tik nuosavą mygtuką. Tik spustelėjus Crisp skriptas įterpiamas per JavaScript ir pokalbis atveriamas. Taip prieiga prie galinio įrenginio įvyksta tik tada, kai lankytojas aktyviai užsako paslaugą — tada taikoma TDDDG 25 straipsnio 2 dalis (būtinai reikalinga pageidaujamai paslaugai).

Ar tai rizika?

Crisp valdiklis, atveriant puslapį, įkelia JavaScript iš client.crisp.chat ir naršyklėje išsaugo identifikatorių, kad susietų pokalbių istoriją su konkrečiu lankytoju. Ši prieiga prie galinio įrenginio nėra „būtinai reikalinga“, kol lankytojas aktyviai nesinaudoja pokalbiu — pagal TDDDG 25 straipsnio 1 dalį ji reikalauja sutikimo, jei valdiklis įkeliamas dar prieš pirmą spustelėjimą.

Ką galite padaryti

• Crisp skriptą įkelti tik po aktyvios sąveikos — pvz., nuosavas mygtukas „Atverti pokalbį“, kuris valdiklį įkelia per JavaScript.
• Crisp valdymo skydelyje aktyvuoti ES duomenų regioną, jei prieinama, ir su „Crisp IM SARL“ sudaryti duomenų tvarkymo sutartį.
• Jei valdiklis įkeliamas visuotinai: įtraukti jį į sutikimo sluoksnį ir blokuoti iki sutikimo.
• Crisp nurodyti privatumo politikoje — teikėjas, tikslas (bendravimas su klientais), saugomi duomenys (pokalbių istorija, IP, prireikus el. paštas), saugojimo terminas.

Dažni klausimai

Ar Crisp reikia sutikimo juostos?

Jei valdiklis įkeliamas atveriant puslapį: taip. Jis sukuria Local Storage įrašus ir įkelia skriptus dar prieš lankytojui pasinaudojant pokalbiu. Jei valdiklis įkeliamas tik po aktyvaus spustelėjimo, naudojimą galima grįsti TDDDG 25 straipsnio 2 dalimi.

Kur saugomi pokalbių duomenys?

„Crisp IM SARL“ įsikūrusi Prancūzijoje. Priklausomai nuo tarifo galima pasirinkti duomenų prieglobą ES. Tikslią saugojimo vietą reikėtų patikrinti valdymo skydelyje ir nurodyti privatumo politikoje.

Kaip įkelti Crisp tik po spustelėjimo?

Standartinio kodo fragmento neįterpti tiesiogiai, o rodyti nuosavą mygtuką. Spustelėjus per JavaScript įterpti Crisp skriptą (client.crisp.chat) į DOM ir iškviesti $crisp.push(['do', 'chat:open']).

Ar pakanka duomenų tvarkymo sutarties su Crisp?

Duomenų tvarkymo sutartis yra privaloma, bet vien jos nepakanka. Ji reglamentuoja tvarkymą pagal pavedimą; sutikimo dėl prieigos prie galinio įrenginio klausimas pagal TDDDG nuo jos nepriklauso.

Kaip padeda consentglass

Nemokama patikra analizuoja pateiktą HTML ir parodo, kokios paslaugos įterptos, ar aptikta slapukų juosta ir ar yra nuorodos į privatumą bei kontaktinius duomenis — su klasifikacija prie kiekvieno radinio. Nepakeičia teisinės konsultacijos.