Встраивание Crisp Chat в соответствии с GDPR

Crisp (crisp.chat, Crisp IM SARL, Франция) — распространённый виджет живого чата и службы поддержки. Поставщик находится в ЕС и предлагает хостинг данных в ЕС — тем не менее чат-виджет при открытии страницы загружает скрипт и создаёт записи в хранилище.

Виджеты живого чата с точки зрения права о защите данных — пограничный случай: пока никто не использует чат, загруженный в фоне скрипт не выполняет никакой желаемой посетителем цели — он лишь подготавливает возможное более позднее использование. Именно эта предварительная загрузка и есть проблема. Crisp при открытии страницы сохраняет идентификатор сессии в Local Storage и устанавливает соединение с серверами Crisp ещё до того, как посетитель что-либо кликнет.

У Crisp есть преимущество перед многими американскими конкурентами: компания находится во Франции и в зависимости от тарифа предлагает хостинг данных чата в ЕС. Это смягчает вопрос третьих стран. Но это не заменяет согласия на доступ к конечному устройству — записи в Local Storage и догрузка скрипта требуют согласия независимо от местоположения сервера, если они не являются технически необходимыми.

Чистое решение — загрузка «по требованию»: вместо того чтобы встраивать сниппет Crisp напрямую, страница сначала показывает только собственную кнопку. Лишь при клике скрипт Crisp вставляется через JavaScript и чат открывается. Так доступ к конечному устройству происходит лишь тогда, когда посетитель активно запрашивает услугу — тогда применяется § 25 абз. 2 TDDDG (безусловно необходимо для желаемой услуги).

Это риск?

Виджет Crisp при открытии страницы загружает JavaScript с client.crisp.chat и сохраняет в браузере идентификатор, чтобы связать историю чата с конкретным посетителем. Этот доступ к конечному устройству не является «безусловно необходимым», пока посетитель не использует чат активно — согласно § 25 абз. 1 TDDDG он поэтому требует согласия, если виджет загружается уже до первого клика.

Что вы можете сделать

• Скрипт Crisp загружать только после активного взаимодействия — например, собственная кнопка «Открыть чат», которая догружает виджет через JavaScript.
• Активировать регион данных ЕС в панели Crisp, если доступно, и заключить договор об обработке по поручению с Crisp IM SARL.
• Если виджет загружается глобально: включить его в consent-слой и блокировать до согласия.
• Указать Crisp в политике конфиденциальности — поставщик, цель (коммуникация с клиентами), сохраняемые данные (история чата, IP, при необходимости e-mail), срок хранения.

Частые вопросы

Нужен ли Crisp баннер согласия?

Если виджет загружается при открытии страницы: да. Он создаёт записи в Local Storage и загружает скрипты до того, как посетитель воспользуется чатом. Если виджет загружается только после активного клика, использование можно основывать на § 25 абз. 2 TDDDG.

Где хранятся данные чата?

Crisp IM SARL находится во Франции. В зависимости от тарифа можно выбрать хостинг данных в ЕС. Точное место хранения следует проверить в панели и указать в политике конфиденциальности.

Как загрузить Crisp только после клика?

Стандартный сниппет не встраивать напрямую, а показать собственную кнопку. При клике через JavaScript вставить скрипт Crisp (client.crisp.chat) в DOM и вызвать $crisp.push(['do', 'chat:open']).

Достаточно ли договора об обработке по поручению с Crisp?

Договор об обработке по поручению обязателен, но сам по себе недостаточен. Он регулирует обработку по поручению; вопрос согласия на доступ к конечному устройству по TDDDG от него не зависит.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.