符合 GDPR 地嵌入 Tawk.to

Tawk.to（tawk.to，tawk.to inc.，美國）是使用最廣泛的免費線上客服聊天之一。小工具在頁面開啟時從 *.tawk.to 載入指令碼，設定 Cookie，並把 IP 位址傳輸到美國伺服器。

Tawk.to 之所以流行，是因為它永久免費——服務透過付費附加功能和可選擇移除的品牌標識來取得資金。對 GDPR 而言，這種配置並不有利：供應商位於美國，小工具在頁面開啟時載入，設定多個 Cookie，並把訪客資料（IP、造訪過的頁面、停留時間）傳輸到美國伺服器。這種預先處理在訪客點擊聊天之前就已發生。

在法律上涉及兩個層面：對終端裝置存取（Cookie、指令碼）適用 TDDDG 第 25 條第 1 項，對向美國的傳輸適用 GDPR 第 44 條及以下。若 tawk.to 已認證，傳輸可由歐盟-美國資料隱私框架涵蓋——但這並不改變一點：在使用之前，對終端裝置的存取需要同意。

最簡單的是僅在點擊時載入小工具：頁面顯示一個自訂按鈕；只有在點擊時才插入 Tawk.to 嵌入指令碼。想保留聊天但全域顯示的人，必須將其納入同意工具，並且只能在同意後才初始化。對許多小型網站來說，最節省資料的解決方案無論如何是提供一個簡單的聯絡表單，而不是線上客服聊天。

這是風險嗎？

Tawk.to 在頁面開啟時載入多個指令碼和資源，設定 Cookie（其中包括用於識別訪客），並把資料傳輸到美國的伺服器。沒有同意時，標準嵌入違反 TDDDG 第 25 條第 1 項；此外還有向第三國的傳輸，需要有其自身的依據。

您可以怎麼做

• 不要全域嵌入 Tawk.to 小工具，而是在對自訂的「開始聊天」按鈕進行主動點擊後才透過 JavaScript 載入。
• 如果小工具全域載入：將其完整納入同意層，並在取得同意前予以攔截。
• 檢查是否真的需要聊天——聯絡表單或電子郵件更節省資料。
• 在隱私聲明中說明 Tawk.to，連同供應商、向美國的傳輸、所設定的 Cookie 和目的；簽訂資料處理協議。

常見問題

Tawk.to 的免費版符合 GDPR 嗎？

費用問題與資料保護無關。關鍵在於嵌入方式：如果小工具在頁面開啟時全域載入，則需要同意。如果它僅在點擊後載入，其使用可依據 TDDDG 第 25 條第 2 項。

Tawk.to 會設定哪些 Cookie？

通常是用於識別訪客和工作階段管理的多個 Cookie（例如 TawkConnectionTime、ss、__tawkuuid）。確切清單應在「網路」標籤頁中核實，並在 Cookie 說明中記錄。

資料會傳輸到美國嗎？

會。tawk.to inc. 位於美國並在那裡營運伺服器。該傳輸需要依據（通常為歐盟-美國資料隱私框架），並且必須寫入隱私聲明。

是否有更節省資料的替代方案？

在歐盟託管的供應商（例如帶歐盟區域的 Crisp）可減少第三國問題。完全不存取終端裝置的只有在伺服器端算繪的聯絡表單。

consentglass 如何提供協助

免費檢測會分析所提供的 HTML，並顯示哪些服務被內嵌、是否偵測到 Cookie 橫幅，以及是否有隱私權政策與營運者資訊連結——每一項發現皆附有分類。不能取代法律諮詢。