Stats4U - 免费计数器

本协议的用途

当您把计数器放到自己的网站上时，那里会收集您访客的个人数据。决定该处理之目的与方式的是您，因此您是 GDPR 第 4 条第 7 项所指的控制者。提供者仅按您的指示处理这些数据，属于 GDPR 第 4 条第 8 项所指的处理者。

对于这种关系，GDPR 第 28 条第 3 款要求订立合同。本协议即是。您需要它用于自身的合规记录——特别是处理活动记录，以及面对监管机构时。

请保存或打印本页。它带有版本号和日期，因此就是适用于您使用期间的版本。

1. 当事人与订立

1.1 处理者（下称「处理者」）：

LW IT Solutions Company Lukas Wójcik，al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Poland，NIP: PL7252266190，REGON: 369859995，电子邮件：stats4u@lukaswojcik.com。

1.2 控制者（下称「控制者」）是指把 Stats4U 提供的计数器代码放到自己运营或负责的网站上的自然人或法人。

1.3 本协议自控制者放置计数器代码之时订立，并自该时起适用。本协议以电子形式订立；由此满足 GDPR 第 28 条第 9 款所要求的书面形式。

1.4 以 www.stats4u.net/dpa 上公布的版本为准。该版本带有版本号和日期。控制者宜保存适用于其使用期间的版本。

1.5 在一切受托处理事项上，本协议优先于使用条款。

2. 处理的标的、性质与目的

2.1 标的： 为控制者的网站收集、分析并提供访问数据（访客计数器与统计）。

2.2 处理的性质： 收集、记录、组织、存储、调整、查阅、使用、汇总、删除。

2.3 目的： 衡量控制者网站的触达情况，并在相应的统计页面上展示结果。

2.4 期限： 不定期，只要计数器代码仍被放置即持续。各项保存期限见第 11 条。

2.5 处理地点： 处理者位于波兰罗兹（Łódź）的服务器。仅在第 12 条所述情形下才会发生欧盟境外的处理。

3. 数据类型与数据主体类别

3.1 数据主体类别： 控制者网站的访客，以及在其提供了电子邮件地址时的控制者本人。

3.2 个人数据的类型：

• IP 地址——用于确定国家和城市，并作为每日哈希的输入；不保存在统计中，但在网页服务器访问日志中保存 14 天，
• 每日哈希（加盐，16 字节）——用于在同一天内识别同一访客，也用于使已达成的目标按每位访客每天只计一次；保存 2 天，
• 浏览器标识——浏览器、操作系统、自动请求的识别；仅保存评估结果，
• 被打开的控制者页面的地址——保存 400 天，
• 来源页——仅域名，保存 400 天，
• 浏览器的语言设置——仅保存评估结果，保存 400 天，
• 控制者排除的 IP 地址和地址段——以明文保存，直至控制者撤回，
• 控制者自行定义的事件名称及每日计数——保存 400 天，
• 控制者自行设定的目标，以及达成目标的访客的每日数量，按国家、设备、浏览器、操作系统、语言、来源域名和进入页面划分——保存 400 天，
• 控制者创建的投票：按每个答案、每天、每个国家和设备类型统计的票数；投票者不含答案的每日哈希——保存 2 天，票数保存至投票被删除，
• 计数器持有者的电子邮件地址（如已提供）——仅用于发送管理链接。

3.3 计数器不设置任何 Cookie，默认也不从访客设备读取任何内容。只有在控制者开启时（嵌入代码中的 data-screen="1"），它的脚本才会从设备读取三个数值：屏幕分辨率、浏览器窗口宽度和像素比。这属于对终端设备的访问（德国 TDDDG 第 25 条、《电子隐私指令》第 5 条第 3 款）；这一访问在控制者的网站上是否需要同意，由控制者判断，并由控制者在需要时取得同意。仅保存每天的次数，保存 400 天；窗口宽度只记为七个区间之一。

3.4 GDPR 第 9 条所指的特殊类别数据不属于本协议的标的。控制者通过其页面地址、事件名称和目标的设计，确保不传输此类数据。

3.5 由系统配置生成的最新一览见隐私政策。凡与 3.2 有出入之处，以该一览为更准确的表述。

4. 控制者的指示权

4.1 除非欧盟或成员国法律另有规定，处理者仅按控制者记录在案的指示处理个人数据。在此情形下，处理者应在处理前将该法律要求告知控制者，但法律基于重大公共利益理由禁止告知的除外。

4.2 本协议、使用条款以及控制者为其计数器选择的设置构成记录在案的指示——特别是统计的可见性、被排除的地址、事件、目标以及所提供的电子邮件地址。

4.3 其他指示由控制者以文本形式发送至 stats4u@lukaswojcik.com，并注明其计数器编号。处理者确认收悉。

4.4 处理者若认为某项指示违法，应不迟延地告知控制者。在该指示获得确认或修改之前，处理者可暂停执行。

4.5 对于在技术上或经济上无法实施、或不能合理期待其实施的指示，处理者无须执行。本服务免费提供；处理者不负有作出个别技术改造的义务。此种情形下，控制者可依第 15 条终止。

5. 处理者的义务

5.1 处理者仅为第 2 条所述目的处理数据，不将其用于自身目的、广告或构建用户画像。

5.2 处理者不出售数据，除本协议规定或法律要求外，不向第三方提供原始数据。

5.3 处理者实施 GDPR 第 32 条所要求的技术与组织措施；具体见附件 1。

5.4 处理者使一切在其指示下接触数据的人员承担保密义务，但其已负法定保密义务者除外（第 6 条）。

5.5 处理者依第 8 条和第 9 条协助控制者。

5.6 处理者依控制者的指示更正、删除数据或限制其处理。

5.7 处理者未指定数据保护官；依 GDPR 第 37 条亦无此义务。本协议所有事项的联系点为 1.1 所列地址。

5.8 处理者未设立于第三国；无须依 GDPR 第 27 条指定代表。

6. 保密

6.1 处理者对受托处理的数据予以保密，本协议终止后亦然。

6.2 只有为履行委托所必需的人员才能接触数据。截至「版本」项下所载日期，该人员仅为处理者的经营者本人。

6.3 其他人员在开始工作之前须承担保密义务，并获知适用的规则。

7. 次级处理者

7.1 控制者在此依 GDPR 第 28 条第 2 款第二句给予一般性授权，允许委托其他处理者。

7.2 截至本协议之日所委托的次级处理者列于附件 2。

7.3 处理者拟委托新的次级处理者或更换现有次级处理者的，应至少提前 30 天在本页面及博客上公告。控制者可在该期限内以文本形式提出异议。

7.4 控制者提出异议的，处理者可放弃变更，或依第 15 条终止本协议。控制者无权要求在不使用被异议的次级处理者的情况下继续提供服务。

7.5 处理者应使每一次级处理者承担与本协议同等的数据保护义务，并就其行为继续对控制者负责。

7.6 处理者自第三方获得的、且第三方不会接触受托处理数据的辅助服务——例如电力、网络接入或域名管理——不构成本条意义上的次级处理。

8. 就数据主体权利提供协助

8.1 处理者以适当的技术与组织措施，协助控制者答复 GDPR 第三章项下数据主体的请求。

8.2 数据主体直接联系处理者的，处理者在能够从请求中辨明控制者的范围内将其指引至控制者，并不自行答复该请求。

8.3 保障数据主体权利属于控制者的职责。处理者仅依指示提供信息。

8.4 协助的空间受数据性质的限制：统计中不含 IP 地址，每日哈希已加盐，且盐在 2 天后删除。此后任何记录都无法再归属到某一数据主体。依 GDPR 第 11 条第 2 款，处理者没有义务仅为答复请求而收集额外数据。

9. 就安全、通知与影响评估提供协助

9.1 在控制者本身不掌握必要信息的范围内，处理者协助控制者遵守 GDPR 第 32 条至第 36 条。

9.2 处理者获悉个人数据泄露的，应不迟延地、且最迟在获悉后 48 小时内通知控制者。通知在已知范围内载明泄露的性质、所涉记录的类别与大致数量、可能的后果以及已采取的措施。

9.3 通知发送至控制者提供的电子邮件地址。控制者未提供地址的，处理者在 www.stats4u.net 上公告该泄露。希望直接获得通知的控制者，应确保留有可联系的地址。

9.4 依 GDPR 第 33 条向监管机构的通知，以及依第 34 条向数据主体的告知，属控制者的职责。

9.5 依 GDPR 第 35 条进行的数据保护影响评估由控制者实施。处理者为此提供本协议、附件 1 以及隐私政策中的信息。

10. 证明与审计

10.1 处理者向控制者提供证明遵守 GDPR 第 28 条所需的一切信息。

10.2 证明首先通过本协议、附件 1 以及隐私政策中由系统配置生成的一览提供。处理者应请求以文本形式提供补充信息。

10.3 现场审计须事先约定，至少提前四周作出合理通知，在通常工作时间进行，且每年最多一次。处理者可对与其存在竞争关系的审计人提出异议。

10.4 本服务免费提供。超出 10.2 范围的审计费用由控制者承担。审计系因可归责于处理者的违约而引起的除外。

10.5 监管机构的职权不受影响。

11. 删除、保存与返还

11.1 本协议终止后，处理者删除受托处理的数据。依控制者的指示，处理者改为返还数据；控制者以通用的机器可读格式取得。

11.2 与此无关，删除持续进行：每日哈希在 2 天后删除，汇总分析在 400 天后删除，网页服务器访问日志的条目在 14 天后删除。

11.3 11.1 所述指示应在终止后 30 天内作出。逾期后，处理者可径行删除，无须再行催告控制者。

11.4 在欧盟或成员国法律要求的范围内，处理者可保存数据，并就此告知控制者。

11.5 不含任何个人关联的汇总数字——特别是计数器总读数——不属于删除义务的范围。

12. 向第三国的传输

12.1 处理在波兰进行，因而位于欧盟境内。

12.2 仅在附件 2载明的范围内，且仅依 GDPR 第五章的依据——欧盟委员会的充分性决定或标准合同条款——才发生向第三国的传输。

12.3 处理者在开始任何新的向第三国传输之前告知控制者；第 7.3 条相应适用。

13. 控制者的义务

13.1 控制者独自对处理的合法性负责，特别是对 GDPR 第 6 条项下法律依据的存在负责，并在需要时负责取得同意。

13.2 控制者依 GDPR 第 13 条告知数据主体。处理者在供您网站使用的隐私文字中提供现成文本。

13.3 在其负有义务的范围内，控制者依 GDPR 第 30 条第 1 款保存处理活动记录。

13.4 控制者确保不通过页面地址、事件名称、目标或其他字段传输个人数据及特殊类别数据。

13.5 控制者自行判断其为统计页面所选择的可见性是否与其义务相容。

13.6 控制者将对处理有重要影响的变更告知处理者。

14. 责任与赔偿

14.1 数据主体因处理而遭受的损害适用 GDPR 第 82 条。处理者对数据主体的责任不因本协议而被排除。

14.2 在双方之间，控制者就处理的合法性、法律依据、对数据主体的告知以及其指示的内容承担责任。

14.3 因缺乏法律依据、未依 GDPR 第 13 条告知或告知不充分、缺少必要的同意、控制者违反第 13 条，或控制者的指示违法，致数据主体、监管机构或其他第三方向处理者提出请求的，控制者应使处理者免受损害。赔偿范围包括损害赔偿金、行政罚款、诉讼费用及合理的法律抗辩费用。

14.4 处理者依 GDPR 第 82 条第 4 款就全部损害承担了责任的，可在控制者应负责任的范围内依 GDPR 第 82 条第 5 款向控制者追偿。

14.5 其余适用使用条款第 7 条。控制者基于本协议对处理者的请求，在法律允许限制的范围内依该条予以限制；对故意的责任以及依 GDPR 第 82 条对数据主体的责任不受影响。

14.6 控制者为消费者的，14.3 的赔偿仅在其对作为基础的义务违反负有责任的范围内适用。

15. 期限与终止

15.1 本协议在计数器代码被放置期间持续有效，并与使用条款项下的使用关系一并终止。

15.2 控制者通过从其页面上删除代码来终止本协议。

15.3 处理者可随时不经预告终止本协议；第 6 条和第 11 条的义务继续适用。

15.4 处理者不执行某项指示（第 4.5 条），或控制者已对新的次级处理者提出异议（第 7.4 条）的，控制者亦可终止。

16. 最终条款

16.1 本协议的修改在本页面以新的版本号公布，并在博客上公告。不同意某项修改者，依第 15.2 条终止本协议。

16.2 某一条款无效的，其余条款的效力不受影响；无效条款由法律规定取而代之。

16.3 适用波兰共和国法律。控制者为商事主体的，管辖地为罗兹（Łódź）。

16.4 本协议以多种语言发布。仅英文版具有拘束力；其他语言版本均为译本。如有任何不一致，以英文版为准。

附件 1 — 技术与组织措施（GDPR 第 32 条）

此处所述为现有的措施，而非理想中的措施。本服务运行在处理者场所内的一台机器上；措施与此相称。

保密性

• 物理访问：服务器位于处理者的场所内，该场所不对公众开放。
• 系统访问：命令行登录仅通过 SSH 并使用密钥对；数据库不接受来自该机器之外的连接。
• 数据访问：只有处理者的经营者本人可以访问数据（第 6.2 条）。管理区域以 bcrypt 哈希形式存储的密码加以保护。
• 凭据与密钥保存在网络可达目录之外，无法通过 HTTP 获取。
• 分离：各计数器的数据以其编号相互分离。每日哈希包含计数器编号——同一访客在两个不同网站上无法被识别为同一个人。
• 假名化：IP 地址不保存在统计中，而是进入加盐的每日哈希。盐每日更换，并在 2 天后删除；此后哈希无法再与某个 IP 地址关联。

完整性

• 传输：所有页面与计数器请求均只通过带有效证书的 HTTPS 进行。
• 输入通过预处理语句传入数据库；输出经过转义。
• 咨询表单受到防自动提交的保护。
• 程序代码的变更在版本控制下留有记录。

可用性与韧性

• 数据有备份；备份保存在网络可达目录之外。
• 没有可用性保证，也没有恢复请求权（使用条款第 3.2 条、第 7.5 条）。控制者应自行备份其所依赖的数据。
• 夜间任务按第 11.2 条的期限删除到期数据。

审查与评估

• 隐私政策中关于处理的表述由系统配置生成，因此在技术改变时不会与实际脱节。
• 委托控制：次级处理者仅依第 7 条并仅按附件 2 确定。
• 各项措施保持更新；以本附件已公布的版本为准。

附件 2 — 次级处理者

截至 2026年9月27日 的情况。凡可能接触委托数据的次级处理者，均列于此。

关于控制者网站上的计数器

• 无。 受托收集的计数器数据不会离开处理者位于罗兹（Łódź）的服务器。它们不向第三方传输，不存放在任何他人的云端，也不向第三国传输。

仅涉及面向控制者本人的辅助服务——不涉及其访客的数据：

• Namecheap, Inc. / PrivateEmail（美国）——向控制者提供的电子邮件地址发送管理链接。仅涉及该地址。传输依据：标准合同条款。未提供地址者不受影响。
• Telegram FZ-LLC（阿拉伯联合酋长国）——将咨询表单的提交内容转发给处理者。仅涉及发送者写入表单的内容。依据：GDPR 第 49 条第 1 款 (b) 项。不使用该表单者不受影响。

在 www.stats4u.net 自身的页面上——涉及这些页面的访客，而非控制者的访客：

• Google Ireland Limited——统计页面上的广告、同意管理，以及咨询表单的防自动提交保护。详见隐私政策。
• MousePlayer——www.stats4u.net 上的会话录制，仅在取得同意的情况下进行。该录制在控制者的页面上不会运行。

本清单保持更新。变更依第 7.3 条提前 30 天公告。

版本

版本 1.19，日期 2026年9月27日。以往版本不作存档；如需留存某一版本，请保存或打印本页。