Bädda in Crisp Chat i enlighet med GDPR

Crisp (crisp.chat, Crisp IM SARL, Frankrike) är en utbredd livechatt- och helpdesk-widget. Leverantören sitter i EU och erbjuder EU-datahosting — chattwidgeten laddar ändå ett skript vid sidöppning och sätter lagringsposter.

Livechatt-widgetar är dataskyddsrättsligt ett gränsfall: så länge ingen använder chatten uppfyller skriptet som laddas i bakgrunden inget ändamål som besökaren önskar — det förbereder bara möjlig senare användning. Just denna förhandsladdning är problemet. Crisp lagrar vid sidöppning en sessionsidentifierare i Local Storage och upprättar en förbindelse till Crisp-servrarna redan innan besökaren klickar på något.

Crisp har en fördel jämfört med många amerikanska konkurrenter: företaget sitter i Frankrike och erbjuder beroende på abonnemang hosting av chattdata i EU. Det dämpar tredjelandsfrågan. Men det ersätter inte samtycket för åtkomsten till terminalutrustningen — Local Storage-poster och skriptladdning kräver samtycke oberoende av serverplats om de inte är tekniskt nödvändiga.

Den rena lösningen är „on-demand“-laddning: i stället för att bädda in Crisp-snippeten direkt visar sidan först bara en egen knapp. Först vid klick sätts Crisp-skriptet in via JavaScript och chatten öppnas. Så sker åtkomsten till terminalutrustningen först när besökaren aktivt begär tjänsten — då gäller § 25.2 TDDDG (absolut nödvändig för den önskade tjänsten).

Är detta en risk?

Crisp-widgeten laddar vid sidöppning JavaScript från client.crisp.chat och lagrar i webbläsaren en identifierare för att koppla chattloggar till en besökare. Denna åtkomst till terminalutrustningen är inte „absolut nödvändig“ så länge besökaren inte använder chatten aktivt — enligt § 25.1 TDDDG kräver den därmed samtycke om widgeten laddar redan före första klicket.

Vad du kan göra

• Ladda Crisp-skriptet först efter aktiv interaktion — t.ex. en egen „Öppna chatt“-knapp som laddar widgeten via JavaScript.
• Aktivera EU-dataregion i Crisp-instrumentpanelen, om tillgänglig, och ingå ett personuppgiftsbiträdesavtal med Crisp IM SARL.
• Om widgeten laddar globalt: ta med den i samtyckeslagret och blockera den tills samtycke ges.
• Nämn Crisp i integritetspolicyn — leverantör, ändamål (kundkommunikation), lagrade uppgifter (chattlogg, IP, ev. e-post), lagringstid.

Vanliga frågor

Behöver Crisp en samtyckesbanner?

Om widgeten laddar vid sidöppning: ja. Den sätter Local Storage-poster och laddar skript innan besökaren använder chatten. Om widgeten laddar först efter ett aktivt klick kan användningen bygga på § 25.2 TDDDG.

Var lagras chattdata?

Crisp IM SARL sitter i Frankrike. Beroende på abonnemang kan datahosting i EU väljas. Den exakta lagringsplatsen bör kontrolleras i instrumentpanelen och nämnas i integritetspolicyn.

Hur laddar jag Crisp först efter klick?

Bädda inte in standardsnippeten direkt, utan visa en egen knapp. Vid klick sätts Crisp-skriptet (client.crisp.chat) in i DOM via JavaScript och $crisp.push(['do', 'chat:open']) anropas.

Räcker ett personuppgiftsbiträdesavtal med Crisp?

Personuppgiftsbiträdesavtalet är obligatoriskt men räcker inte ensamt. Det reglerar behandlingen på uppdrag; frågan om samtycke för åtkomsten till terminalutrustningen enligt TDDDG är oberoende av det.

Så hjälper consentglass

Den gratis skanningen kontrollerar den levererade HTML-koden och visar vilka tjänster som är inbäddade, om en cookiebanner upptäcks och om länkar till integritet och ansvarig utgivare finns — med sammanhang för varje fynd. Den ersätter inte juridisk rådgivning.