Вбудовування Crisp Chat відповідно до GDPR

Crisp (crisp.chat, Crisp IM SARL, Франція) — поширений віджет живого чату та служби підтримки. Постачальник розташований у ЄС і пропонує хостинг даних у ЄС — попри це чат-віджет під час відкриття сторінки завантажує скрипт і створює записи в сховищі.

Віджети живого чату з погляду права про захист даних — межовий випадок: доки ніхто не використовує чат, завантажений у фоні скрипт не виконує жодної бажаної відвідувачем мети — він лише готує можливе пізніше використання. Саме це попереднє завантаження і є проблемою. Crisp під час відкриття сторінки зберігає ідентифікатор сеансу в Local Storage і встановлює з'єднання із серверами Crisp ще до того, як відвідувач щось клікне.

Crisp має перевагу перед багатьма американськими конкурентами: компанія розташована у Франції і залежно від тарифу пропонує хостинг даних чату в ЄС. Це пом'якшує питання третіх країн. Але це не замінює згоди на доступ до кінцевого пристрою — записи в Local Storage і довантаження скрипта вимагають згоди незалежно від розташування сервера, якщо вони не є технічно необхідними.

Чисте рішення — завантаження «на вимогу»: замість того щоб вбудовувати фрагмент Crisp безпосередньо, сторінка спершу показує лише власну кнопку. Лише при кліку скрипт Crisp вставляється через JavaScript і чат відкривається. Так доступ до кінцевого пристрою відбувається лише тоді, коли відвідувач активно запитує послугу — тоді застосовується § 25 абз. 2 TDDDG (безумовно необхідно для бажаної послуги).

Це ризик?

Віджет Crisp під час відкриття сторінки завантажує JavaScript із client.crisp.chat і зберігає в браузері ідентифікатор, щоб пов'язати історію чату з конкретним відвідувачем. Цей доступ до кінцевого пристрою не є «безумовно необхідним», доки відвідувач не використовує чат активно — згідно з § 25 абз. 1 TDDDG він тому вимагає згоди, якщо віджет завантажується вже до першого кліку.

Що ви можете зробити

• Скрипт Crisp завантажувати лише після активної взаємодії — напр., власна кнопка «Відкрити чат», яка довантажує віджет через JavaScript.
• У панелі Crisp активувати регіон даних ЄС, якщо доступний, і з Crisp IM SARL укласти договір про оброблення даних.
• Якщо віджет завантажується глобально: включити його в consent-шар і блокувати до згоди.
• Crisp зазначити в політиці конфіденційності — постачальник, мета (комунікація з клієнтами), збережені дані (історія чату, IP, за потреби e-mail), строк зберігання.

Поширені запитання

Чи потрібен Crisp банер згоди?

Якщо віджет завантажується під час відкриття сторінки: так. Він створює записи в Local Storage і завантажує скрипти до того, як відвідувач скористається чатом. Якщо віджет завантажується лише після активного кліку, використання можна обґрунтувати § 25 абз. 2 TDDDG.

Де зберігаються дані чату?

Crisp IM SARL розташована у Франції. Залежно від тарифу можна вибрати хостинг даних у ЄС. Точне місце зберігання слід перевірити в панелі та зазначити в політиці конфіденційності.

Як завантажити Crisp лише після кліку?

Стандартний фрагмент не вбудовувати безпосередньо, а показати власну кнопку. При кліку через JavaScript вставити скрипт Crisp (client.crisp.chat) у DOM і викликати $crisp.push(['do', 'chat:open']).

Чи достатньо договору про оброблення даних із Crisp?

Договір про оброблення даних обов'язковий, але сам по собі недостатній. Він регулює оброблення за дорученням; питання згоди на доступ до кінцевого пристрою за TDDDG від нього не залежить.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.