Statable est un service de mesure d'audience sans cookies exploité par Key Arg B.V., société néerlandaise autofinancée (KvK 89388496, Herckenrathstraat 1, Monster, Hollande-Méridionale) dont les dépôts au registre remontent à 2023. Le script de suivi pèse environ 2 Ko, ne dépose aucun cookie et n'écrit rien sur l'appareil du visiteur. Les visiteurs uniques sont comptés au moyen d'un SipHash à clé calculé sur l'identifiant du site, l'adresse IP, l'agent utilisateur et la date du jour : l'IP et l'agent utilisateur sont supprimés une fois le hachage calculé, l'identifiant change chaque jour et reste propre à un seul site, si bien que rien ne relie un visiteur d'un jour à l'autre ni d'un client à l'autre. La localisation à l'échelle de la ville provient d'une base GeoIP locale, sans appel externe. Le script vérifie Do Not Track et Global Privacy Control avant tout envoi et, si l'un des deux est actif, n'envoie rien. Le DPA qualifie honnêtement le résultat de données personnelles pseudonymisées, et non anonymes. Au-delà des pages vues, le produit couvre objectifs, événements personnalisés, entonnoirs, filtres et segments enregistrés, temps d'engagement et profondeur de défilement, suivi des erreurs, tableaux de bord publics partageables, widgets de carte et de compteur à intégrer, une API de statistiques, un outil en ligne de commande et un serveur MCP pour les assistants IA. L'historique GA4 est importé sous forme de rapports journaliers agrégés via l'API Analytics Data de Google en lecture seule, et la Search Console se connecte de la même façon.
C'est l'infrastructure qui retient l'attention. Statable possède ses serveurs et les héberge en colocation chez NorthC ; NorthC fournit le bâtiment, l'électricité et la sécurité physique, sans accès aux machines. Les textes juridiques indiquent Oude Meer, tandis que le geofeed RIPE publié par Key Arg pour son propre bloc d'adresses désigne NorthC Amsterdam 1, sur le Kabelweg : les serveurs se trouvent donc dans tous les cas dans l'agglomération d'Amsterdam (pays d'hébergement : Pays-Bas). Key Arg dispose de son propre système autonome (AS219411) et d'un bloc d'adresses /24 annoncé à l'AMS-IX, ce qui correspond à un exploitant de matériel en propre et non à un locataire de serveurs cloud. Le CDN slovène bunny.net est placé devant le site, le script de suivi servi depuis statable.com/js/ et le point de collecte statable.com/api/event : la requête d'un visiteur n'atteint qu'un nœud slovène puis les serveurs de Key Arg (exposition au CLOUD Act : Aucune). Les services américains se situent côté compte : Stripe pour les paiements et la connexion facultative via Google ou GitHub, décrits dans le DPA, ainsi que Resend pour les e-mails transactionnels, codes de connexion compris, et Google Workspace pour la messagerie de l'entreprise, qu'aucun document de Statable ne mentionne. Le site charge en outre un pixel publicitaire d'OpenAI sur ses pages, sur le formulaire d'inscription et sur les tableaux de bord partagés publiquement, qui dépose un cookie sans demande de consentement, alors que la politique de confidentialité affirme que le site ne dépose aucun cookie de suivi et n'utilise aucune donnée à des fins publicitaires. Aucun de ces services ne touche les données d'audience, mais ils expliquent la note de 4 plutôt que 5.
Les tarifs sont en USD hors TVA et dépendent des pages vues et événements personnalisés de tous les sites du compte : à partir de 9 $ par mois pour 10 000, jusqu'à 169 USD pour 10 millions, la facturation annuelle étant environ 20 % moins chère (7 USD par mois sur le plus petit palier). Tous les paliers payants offrent les mêmes fonctions, un nombre illimité de sites et une conservation illimitée des données ; seule exception, les places de membres d'un site, qui selon la documentation augmentent avec l'offre sans que leur nombre par palier soit publié. L'essai de 30 jours se fait sans carte, et les sites en .edu, .github.io et .gitlab.io bénéficient d'un usage gratuit permanent au moyen d'un widget public portant la mention "Powered by Statable". Il n'existe pas de version auto-hébergée et l'interface n'est disponible qu'en anglais. Convient surtout aux sites petits et moyens qui remplacent Google Analytics, veulent conserver leur historique GA4 et une chaîne de traitement qu'un délégué à la protection des données comprend en deux phrases.