隐私政策、服务条款,和一份数据处理协议

截至2026年8月19日,stats4u.net的法律文件从原本的一份变成了三份:一份重新撰写的隐私政策、一份服务条款,以及——新增的——一份依据GDPR第28条订立的数据处理协议(DPA)。

为什么需要单独的DPA

如果你在一个自身也会收集个人数据的网站上使用计数器,并且你的访客位于欧盟,那么你就是数据控制者,Stats4U则是按照你的指示行事的数据处理者——这层关系需要一份书面合同,而不是隐私政策里的一段文字。GDPR第28条第9款要求这份合同采用书面形式,电子形式也算在内,这也是为什么页面本身会要求你保存一份副本:一份DPA如果会发生变化,而你却没有留存自己当初同意的是哪个版本的记录,那就比根本没有这份协议还要糟糕。

这些页面实际承诺了什么

隐私页面上的事实表,是根据夜间清理任务所读取的同一份配置生成的,而不是另外单独写出来的:每日哈希值在2天后删除,页面与来源的汇总数据在400天后删除,而原始服务器访问日志——这是唯一会完整记录IP地址的地方,因为这套系统自己的数据库从不存储完整IP地址——则在14天后轮换清理。如果这些数字发生变化,页面内容也会随之改变;不存在另一份容易被遗忘更新的"真相副本"。

三种语言,不是十一种

界面本身支持十一种语言。而这三份文件只有三种语言版本:德语、英语和波兰语。另外八种语言会回退到英语版本,文本上方会有提示说明这一点——对于这些读者,英语版本同样被指定为具有法律效力的版本。一条谁都没有真正核对过、翻译成当地语言的责任条款,并不比一份大家都被告知应当参照的通用版本更安全。

条款没有试图做到的事

它们并不宣称完全排除责任。根据波兰民法典,免除故意不当行为责任的条款直接无效(Art. 473 §2 k.c.),而GDPR第82条也不允许任何合同以签约的方式剥夺数据主体针对数据控制者所享有的权利。一条超出法律允许范围的条款,并不会带来更强的保护——它只会变得无法执行,还会连带让文件的其余部分也承担风险。因此这里的每一条责任条款都刻意留了这个例外,真正的保护落在别处:落在谁是数据控制者、谁是数据处理者上,也落在两份文件都明确写出的赔偿条款上。

这些都不是把新增义务包装成公告。这原本就是这个网站早该具备的文件工作,如今被写下来、标注了日期,并存放在夜间任务可以据以核对执行情况的地方。