符合 GDPR 地嵌入 Crisp Chat

Crisp（crisp.chat，Crisp IM SARL，法国）是一款广泛使用的在线客服聊天和帮助台小组件。提供商位于欧盟并提供欧盟数据托管——尽管如此，聊天小组件在页面打开时仍会加载脚本并写入存储项。

在线客服聊天小组件在数据保护法上属于边界情形：只要没有人使用聊天，在后台加载的脚本就没有实现访客所希望的任何目的——它只是为可能的日后使用做准备。恰恰是这种预先加载才是问题。Crisp 在页面打开时会把一个会话标识符写入 Local Storage，并在访客点击任何内容之前就与 Crisp 服务器建立连接。

与许多美国竞争对手相比，Crisp 有一个优势：公司位于法国，并根据套餐提供聊天数据在欧盟的托管。这缓和了第三国问题。但它并不能取代对终端设备访问的同意——只要不是技术上必要的，Local Storage 写入和脚本加载就需要同意，与服务器所在地无关。

干净的解决方案是“按需”加载：页面不直接嵌入 Crisp 代码片段，而是先只显示一个自定义按钮。只有在点击时，才通过 JavaScript 插入 Crisp 脚本并打开聊天。这样一来，对终端设备的访问只在访客主动请求该服务时才发生——此时适用 TDDDG 第 25 条第 2 款（对所需服务绝对必要）。

这是风险吗？

Crisp 小组件在页面打开时从 client.crisp.chat 加载 JavaScript，并在浏览器中存放一个标识符，以便将聊天记录归属到某位访客。只要访客没有主动使用聊天，这种对终端设备的访问就不属于“绝对必要”——根据 TDDDG 第 25 条第 1 款，如果小组件在首次点击之前就加载，则需要同意。

您可以怎么做

• Crisp 脚本仅在主动交互后加载——例如自定义的“打开聊天”按钮，通过 JavaScript 延迟加载小组件。
• 在 Crisp 控制台中启用欧盟数据区域（如可用），并与 Crisp IM SARL 签订数据处理协议。
• 如果小组件全局加载：将其纳入同意层，并在获得同意前予以拦截。
• 在隐私声明中说明 Crisp——提供商、目的（客户沟通）、存储的数据（聊天记录、IP，必要时电子邮箱）、存储期限。

常见问题

Crisp 需要同意横幅吗？

如果小组件在页面打开时加载：需要。它在访客使用聊天之前就写入 Local Storage 项并加载脚本。如果小组件仅在主动点击之后才加载，其使用可依据 TDDDG 第 25 条第 2 款。

聊天数据存储在哪里？

Crisp IM SARL 位于法国。根据套餐可以选择在欧盟托管数据。确切的存储位置应在控制台中核实，并在隐私声明中说明。

如何让 Crisp 仅在点击后加载？

不要直接嵌入标准代码片段，而是显示一个自定义按钮。点击时通过 JavaScript 将 Crisp 脚本（client.crisp.chat）插入 DOM，并调用 $crisp.push(['do', 'chat:open'])。

与 Crisp 签订数据处理协议就够了吗？

数据处理协议是强制性的，但仅凭它并不够。它规范的是受托处理；根据 TDDDG 对终端设备访问的同意问题与之无关。

consentglass 如何提供帮助

免费检测会分析提供的 HTML，并显示哪些服务被嵌入、是否检测到 Cookie 横幅，以及是否存在隐私政策和运营者信息链接——每项发现均附有分类。不能替代法律咨询。