Вбудовування Tawk.to відповідно до GDPR

Tawk.to (tawk.to, tawk.to inc., США) — один із найбільш використовуваних безкоштовних живих чатів. Віджет під час відкриття сторінки завантажує скрипти з *.tawk.to, встановлює файли cookie і передає IP-адресу на американські сервери.

Tawk.to популярний, бо безкоштовний на постійній основі — сервіс фінансується за рахунок платних додаткових послуг і брендування, яке за бажанням можна прибрати. Для GDPR ця конфігурація несприятлива: постачальник розташований у США, віджет завантажується під час відкриття сторінки, встановлює кілька файлів cookie і передає дані відвідувачів (IP, відвідані сторінки, час перебування) на американські сервери. Це попереднє оброблення відбувається до того, як відвідувач узагалі клікне по чату.

Юридично зачеплені два рівні: § 25 абз. 1 TDDDG щодо доступу до кінцевого пристрою (файли cookie, скрипти) і ст. 44 і наст. GDPR щодо передавання до США. Передавання може бути покрите рамкою EU-US Data Privacy Framework, якщо tawk.to сертифікований — але це не змінює того, що доступ до кінцевого пристрою до використання потребує згоди.

Найпростіше — завантажувати віджет лише при кліку: сторінка показує власну кнопку; лише при кліку вставляється скрипт вбудовування Tawk.to. Хто хоче зберегти чат, але показувати його глобально, мусить включити його в consent-інструмент і може ініціалізувати лише після згоди. Для багатьох невеликих сайтів найекономніше до даних рішення — усе одно запропонувати просту контактну форму замість живого чату.

Це ризик?

Tawk.to під час відкриття сторінки завантажує кілька скриптів і ресурсів, встановлює файли cookie (зокрема для розпізнавання відвідувачів) і передає дані на сервери у США. Без згоди стандартне вбудовування порушує § 25 абз. 1 TDDDG; до цього додається передавання до третьої країни, яке потребує власної підстави.

Що ви можете зробити

• Віджет Tawk.to не вбудовувати глобально, а завантажувати його через JavaScript лише після активного кліку по власній кнопці «Почати чат».
• Якщо віджет завантажується глобально: повністю включити його в consent-шар і блокувати до згоди.
• Перевірити, чи потрібен чат узагалі — контактна форма або адреса електронної пошти економніша до даних.
• Зазначити Tawk.to в політиці конфіденційності з постачальником, передаванням до США, встановлюваними файлами cookie та метою; укласти договір про оброблення даних.

Поширені запитання

Чи відповідає безкоштовна версія Tawk.to GDPR?

Питання вартості не залежить від захисту даних. Вирішальним є вбудовування: якщо віджет завантажується глобально під час відкриття сторінки, йому потрібна згода. Якщо він завантажується лише після кліку, використання можна обґрунтувати § 25 абз. 2 TDDDG.

Які файли cookie встановлює Tawk.to?

Зазвичай кілька файлів cookie для розпізнавання відвідувачів і керування сеансами (напр. TawkConnectionTime, ss, __tawkuuid). Точний список слід перевірити у вкладці «Мережа» і задокументувати в заяві про файли cookie.

Чи передаються дані до США?

Так. tawk.to inc. розташована у США і експлуатує там сервери. Передавання потребує підстави (як правило, EU-US Data Privacy Framework) і має бути зазначене в політиці конфіденційності.

Чи є економніша до даних альтернатива?

Постачальник із хостингом у ЄС (напр. Crisp з регіоном ЄС) зменшує питання третьої країни. Повністю без доступу до кінцевого пристрою обходиться лише контактна форма, відрендерена на стороні сервера.

Як допомагає consentglass

Безкоштовна перевірка аналізує наданий HTML і показує, які сервіси вбудовано, чи виявлено банер cookie і чи є посилання на конфіденційність і контактні дані — з класифікацією для кожного висновку. Не замінює юридичну консультацію.