Binden Sie MEMOIO auf Ihrer Website ein, etwa über das Support-Widget, so müssen Sie Ihre Besucher in der Regel darüber informieren, welche Daten dabei im Browser gespeichert werden. Dieser Artikel beschreibt, was MEMOIO technisch tut.
Was im Browser gespeichert wird, hängt davon ab, wie weit ein Besucher das Widget nutzt:
- Der Besucher sieht nur die Schaltfläche: MEMOIO setzt keine Cookies. Der Browser des Besuchers lädt jedoch das Skript web.js und die Gestaltung web.css von MEMOIO; dabei erhält MEMOIO wie bei jedem Abruf die IP-Adresse des Besuchers. Im Browser wird nichts gespeichert, es sei denn, Ihre Website ruft memoio.hide(), memoio.removeBadge() oder memoio.reset() auf: Dann legt das Widget bereits den Eintrag memoio-support im lokalen Speicher an (siehe unten).
- Der Besucher öffnet das Widget: MEMOIO setzt das Sitzungs-Cookie MEMOIO_SESSION_PARTITIONED (siehe unten). Auf Ihrer Website merkt sich das Widget im lokalen Speicher, ob es geöffnet ist. Verwehrt der Browser dem eingebetteten MEMOIO den Zugriff auf seine Cookies, zeigt das Widget zunächst einen Hinweis mit der Schaltfläche „Weiter zum Chat“. Klickt der Besucher darauf, fragt MEMOIO beim Browser den Zugriff an (Storage Access API); der Browser kann dazu eine eigene Rückfrage an den Besucher stellen. Erteilt er die Freigabe, kann MEMOIO im Widget die Cookies verwenden, die es auch beim direkten Aufruf von MEMOIO verwendet.
- Der Besucher beginnt eine Unterhaltung: Dafür meldet er sich mit E-Mail-Adresse und Namen an. Erst dann speichert MEMOIO das Login-Token, damit er angemeldet bleibt.
Auf Mobilgeräten öffnet das Widget MEMOIO in einem neuen Tab. Dort gilt dasselbe wie beim direkten Aufruf von MEMOIO.
MEMOIO setzt ausschließlich die folgenden zwei Cookies. Beide sind für die Funktion technisch notwendig und dienen nicht dem Tracking.
| MEMOIO_SESSION_PARTITIONED | Sitzungs-Cookie. Enthält einen Schutz gegen gefälschte Anfragen (CSRF-Token). Es wird nicht beim Schließen des Browsers gelöscht, sondern läuft 90 Tage nach seiner letzten Aktualisierung ab. Im Widget ist es als partitioniertes Cookie an Ihre Website gebunden, kann also nicht seitenübergreifend ausgewertet werden. |
| token | Login-Token für angemeldete Nutzer. Das Cookie wird bei der Anmeldung gesetzt und bei jedem Öffnen von MEMOIO oder des Widgets erneuert. Es läuft 30 Tage nach dem letzten Öffnen ab. Es ist ein zufällig erzeugter Wert, aus dem sich weder Name noch E-Mail-Adresse ableiten lassen. Anders als das Sitzungs-Cookie ist es nicht partitioniert (SameSite=None, ohne Partitioned). Lässt der Browser Cookies in eingebetteten Seiten zu, steht es MEMOIO daher auf allen Websites zur Verfügung, die das Widget einbinden. Zusätzlich legt MEMOIO es im lokalen Speicher ab, unter anderem weil Browser Cookies in eingebetteten Seiten oft blockieren. |
Beide Cookies sind für JavaScript nicht lesbar (HttpOnly) und werden nur über verschlüsselte Verbindungen übertragen (Secure). Die Kopie des Login-Tokens im lokalen Speicher ist dagegen für Skripte von MEMOIO lesbar.
Neben Cookies nutzt MEMOIO den lokalen Speicher des Browsers (localStorage):
- Auf Ihrer Website legt das Widget den Eintrag memoio-support an. Er enthält, ob das Widget geöffnet ist, sowie nach Beginn einer Unterhaltung deren ID und die des Kontos, damit der Besucher beim nächsten Seitenaufruf dort weitermachen kann.
- Bei MEMOIO selbst liegen das Login-Token sowie Einstellungen der Oberfläche, etwa geöffnete Ordner und zuletzt verwendete Suchen. Beim Abmelden löscht MEMOIO diese Einträge.
Die Web-Oberfläche und das Support-Widget binden keine Analyse- oder Tracking-Dienste, keine externen Schriftarten und keine Skripte aus fremden Quellen ein. Die Anwendung selbst wird vollständig von MEMOIO geladen.
Inhalte, die Gesprächspartner in Nachrichten teilen, lädt der Browser dagegen direkt von ihrer Quelle:
- Vorschaubilder zu geteilten Links und verlinkte Bilder,
- GIFs, die über die Giphy-Suche verschickt wurden,
- Profilbilder aus einem angebundenen Adressbuch.
Dabei erhält der jeweilige Anbieter, wie bei jedem Abruf im Internet, die IP-Adresse des Besuchers. Öffnet jemand die Giphy-Suche, so fragt der Browser außerdem Giphy direkt an.