Встраивание Tawk.to в соответствии с GDPR

Tawk.to (tawk.to, tawk.to inc., США) — один из самых используемых бесплатных живых чатов. Виджет при открытии страницы загружает скрипты с *.tawk.to, устанавливает файлы cookie и передаёт IP-адрес на американские серверы.

Tawk.to популярен, потому что бесплатен на постоянной основе — сервис финансируется за счёт платных дополнительных услуг и опционально удаляемого брендинга. Для GDPR эта конфигурация неблагоприятна: поставщик находится в США, виджет загружается при открытии страницы, устанавливает несколько файлов cookie и передаёт данные посетителей (IP, посещённые страницы, время пребывания) на американские серверы. Эта предварительная обработка происходит до того, как посетитель вообще кликнет по чату.

Юридически затронуты два уровня: § 25 абз. 1 TDDDG для доступа к конечному устройству (файлы cookie, скрипты) и ст. 44 и след. GDPR для передачи в США. Передача может быть покрыта рамочным соглашением EU-US Data Privacy Framework, если tawk.to сертифицирован — но это не меняет того, что доступ к конечному устройству до использования требует согласия.

Проще всего загружать виджет только по клику: страница показывает собственную кнопку; лишь при клике вставляется скрипт встраивания Tawk.to. Кто хочет сохранить чат, но показывать его глобально, должен включить его в consent-инструмент и может инициализировать только после согласия. Для многих малых сайтов самое экономное к данным решение — всё равно предложить простую контактную форму вместо живого чата.

Это риск?

Tawk.to при открытии страницы загружает несколько скриптов и ресурсов, устанавливает файлы cookie (в том числе для распознавания посетителей) и передаёт данные на серверы в США. Без согласия стандартное встраивание нарушает § 25 абз. 1 TDDDG; к этому добавляется передача в третью страну, которая требует собственного основания.

Что вы можете сделать

• Виджет Tawk.to не встраивать глобально, а загружать его через JavaScript только после активного клика по собственной кнопке «Начать чат».
• Если виджет загружается глобально: полностью включить его в consent-слой и блокировать до согласия.
• Проверить, нужен ли чат вообще — контактная форма или адрес электронной почты экономнее к данным.
• Указать Tawk.to в политике конфиденциальности с поставщиком, передачей в США, устанавливаемыми файлами cookie и целью; заключить договор об обработке по поручению.

Частые вопросы

Соответствует ли бесплатная версия Tawk.to GDPR?

Вопрос стоимости не зависит от защиты данных. Решающим является встраивание: если виджет загружается глобально при открытии страницы, ему нужно согласие. Если он загружается только после клика, использование можно основывать на § 25 абз. 2 TDDDG.

Какие файлы cookie устанавливает Tawk.to?

Обычно несколько файлов cookie для распознавания посетителей и управления сессиями (напр. TawkConnectionTime, ss, __tawkuuid). Точный список следует проверить во вкладке «Сеть» и задокументировать в заявлении о файлах cookie.

Передаются ли данные в США?

Да. tawk.to inc. находится в США и эксплуатирует там серверы. Передача требует основания (как правило, EU-US Data Privacy Framework) и должна быть указана в политике конфиденциальности.

Есть ли более экономная к данным альтернатива?

Поставщик с хостингом в ЕС (напр. Crisp с регионом ЕС) уменьшает вопрос третьей страны. Полностью без доступа к конечному устройству обходится только контактная форма, отрендеренная на стороне сервера.

Как помогает consentglass

Бесплатная проверка анализирует предоставленный HTML и показывает, какие сервисы встроены, обнаружен ли баннер cookie и есть ли ссылки на конфиденциальность и контактные данные — с классификацией для каждого вывода. Не заменяет юридическую консультацию.