Integracja Tawk.to zgodnie z RODO

Tawk.to (tawk.to, tawk.to inc., USA) to jeden z najczęściej używanych darmowych czatów na żywo. Widżet ładuje przy wczytywaniu strony skrypty z *.tawk.to, ustawia pliki cookie i przekazuje adres IP do serwerów w USA.

Tawk.to jest popularny, ponieważ jest stale darmowy — usługa finansowana jest z płatnych dodatków i opcjonalnie usuwalnego brandingu. Dla RODO układ jest niekorzystny: dostawca ma siedzibę w USA, widżet ładuje się przy wczytywaniu strony, ustawia kilka plików cookie i przekazuje dane odwiedzających (IP, odwiedzone strony, czas przebywania) do serwerów w USA. To wcześniejsze przetwarzanie następuje, zanim odwiedzający w ogóle kliknie czat.

Prawnie dotyczy to dwóch poziomów: § 25 ust. 1 TDDDG dla dostępu do urządzenia (pliki cookie, skrypty) oraz art. 44 i nast. RODO dla przekazania do USA. Przekazanie może być objęte EU-US Data Privacy Framework, jeśli tawk.to jest certyfikowany — nie zmienia to jednak faktu, że dostęp do urządzenia wymaga zgody przed użyciem.

Najprościej jest ładować widżet dopiero po kliknięciu: strona pokazuje własny przycisk; skrypt osadzenia Tawk.to jest wstawiany dopiero po kliknięciu. Kto chce zachować czat, ale wyświetlać go globalnie, musi włączyć go do narzędzia zgody i może go zainicjować dopiero po zgodzie. Dla wielu małych witryn najbardziej oszczędnym w danych rozwiązaniem jest i tak oferowanie prostego formularza kontaktowego zamiast czatu na żywo.

Czy to ryzyko?

Tawk.to ładuje przy wczytywaniu strony kilka skryptów i zasobów, ustawia pliki cookie (m.in. do rozpoznawania odwiedzających) i przekazuje dane do serwerów w USA. Bez zgody standardowa integracja narusza § 25 ust. 1 TDDDG; dochodzi do tego przekazanie do państwa trzeciego, które wymaga własnej podstawy.

Co możesz zrobić

• Nie osadzać widżetu Tawk.to globalnie, lecz ładować go przez JavaScript dopiero po aktywnym kliknięciu własnego przycisku „Rozpocznij czat”.
• Jeśli widżet ładuje się globalnie: włączyć go w całości do warstwy zgody i zablokować do momentu wyrażenia zgody.
• Sprawdzić, czy czat w ogóle jest potrzebny — formularz kontaktowy lub adres e-mail jest oszczędniejszy w danych.
• Wymienić Tawk.to w polityce prywatności z dostawcą, przekazaniem do USA, ustawianymi plikami cookie i celem; zawrzeć umowę powierzenia przetwarzania.

Częste pytania

Czy darmowa wersja Tawk.to jest zgodna z RODO?

Kwestia kosztu jest niezależna od ochrony danych. Decydująca jest integracja: jeśli widżet ładuje się globalnie przy wczytywaniu strony, potrzebna jest zgoda. Jeśli ładuje się dopiero po kliknięciu, użycie można oprzeć na § 25 ust. 2 TDDDG.

Jakie pliki cookie ustawia Tawk.to?

Zazwyczaj kilka plików cookie do rozpoznawania odwiedzających i zarządzania sesją (np. TawkConnectionTime, ss, __tawkuuid). Dokładną listę należy sprawdzić w karcie sieci i udokumentować w informacji o plikach cookie.

Czy dane są przekazywane do USA?

Tak. tawk.to inc. ma siedzibę w USA i prowadzi tam serwery. Przekazanie wymaga podstawy (z reguły EU-US Data Privacy Framework) i musi być zawarte w polityce prywatności.

Czy istnieje oszczędniejsza w danych alternatywa?

Dostawca z hostingiem w UE (np. Crisp z regionem UE) zmniejsza kwestię państwa trzeciego. Całkowicie bez dostępu do urządzenia obywa się tylko formularz kontaktowy renderowany po stronie serwera.

Jak pomaga consentglass

Bezpłatny skan sprawdza dostarczony HTML i pokazuje, jakie usługi są osadzone, czy wykryto baner cookie oraz czy są linki do prywatności i noty prawnej — z omówieniem dla każdego ustalenia. Nie zastępuje porady prawnej.