Confidentialité — ce que nous faisons de vos fichiers

Où vos fichiers sont traités

PDFactory tourne sur un serveur loué chez Hostinger, dans son centre de données de Francfort, en Allemagne. Le dépôt, la conversion, l'analyse et l'export ont lieu sur cette machine. Aucune copie n'est envoyée ailleurs.

L'Allemagne applique le RGPD et le complète par sa propre loi fédérale, le BDSG (Bundesdatenschutzgesetz), sur les points que le règlement européen laisse aux États membres. Le pays a par ailleurs une tradition juridique et culturelle particulièrement attentive à la vie privée, et des autorités de contrôle — les Datenschutzbehörden, une par Land, plus l'autorité fédérale — réputées parmi les plus actives d'Europe dans l'application du texte, y compris envers les employeurs et les hébergeurs. C'est délibérément que le service est hébergé là.

Ce que nous recevons

Uniquement ce que vous déposez et ce que vous saisissez :

le fichier que vous téléversez — PDF, PNG, JPEG ou TIFF, 50 Mo au plus ;
la page et la résolution que vous choisissez pour la conversion ;
pour le module géomatique, les points d'appui que vous placez, les réglages de détection et les corrections que vous apportez aux objets ;
pour le module juridique, les mots que vous cherchez dans un dossier et les zones que vous cochez pour le masquage. Ni les uns ni les autres ne sont conservés : ils vivent le temps de la requête.

Aucun compte n'est créé. Nous ne demandons ni nom, ni adresse électronique, ni mot de passe. Un dossier de travail est identifié par un numéro tiré au hasard, et rien dans nos bases ne rattache ce numéro à une personne.

Combien de temps nous le gardons

2 heures après votre dernière action, et non après le dépôt. Chaque geste sur un dossier — poser un point d'appui, lancer une détection, télécharger un export — repousse sa péremption d'autant. Une séance de travail n'est donc jamais interrompue, si longue soit-elle ; mais un onglet fermé par accident cesse d'exister deux heures plus tard, sans que vous ayez à y penser.

Passé ce délai, le dossier est immédiatement introuvable : le serveur répond comme s'il n'avait jamais existé, sans attendre quoi que ce soit. Un balayage passe ensuite au plus tard un quart d'heure après pour reprendre la place sur le disque — fichier d'origine, image convertie, exports générés — et effacer la ligne correspondante en base. Il n'y a pas d'archivage et pas de sauvegarde de ces dossiers : une fois passés, ils ne sont récupérables nulle part.

Vous n'avez pas à attendre l'échéance : l'atelier porte un bouton « Supprimer ce dossier maintenant » qui déclenche la même suppression immédiatement.

Le relais téléphone — le code que vous affichez sur votre ordinateur pour photographier un document avec votre téléphone — suit sa propre horloge, plus courte : dix minutes, sans prolongation possible, pour qu'un écran photographié ou projeté ne reste pas utilisable après coup. Ce code ne transporte aucune image : votre téléphone dépose le document par le chemin ordinaire, et le code ne sert qu'à dire à la page ouverte devant vous lequel vient d'arriver. Le document, lui, est un dossier comme un autre et suit la règle des deux heures ci-dessus.

Un dossier juridique suit la même règle des deux heures. Ses pages ne sont jamais gardées en images : elles sont dessinées à la demande depuis votre PDF, le temps de les afficher, et la reconnaissance de caractères travaille sur une image qui n'existe qu'en mémoire. Ce qui reste sur le disque, c'est votre fichier, le texte qui en a été lu, et ce que vous avez demandé d'en produire — jusqu'à l'échéance.

Ce que nous en faisons — et ce que nous n'en faisons pas

Le traitement est entièrement local à notre serveur. La conversion utilise PyMuPDF, la détection OpenCV, la reconnaissance de caractères Tesseract — épaulé par PaddleOCR sur les pages où il déclare lui-même avoir mal lu —, le géo-référencement et les exports GDAL. Ces bibliothèques s'exécutent chez nous, à partir de modèles téléchargés une fois pour toutes au moment de la construction du serveur : rien ne sort pendant que vous travaillez.

Le masquage du module juridique retire ce que vous cochez, il ne le recouvre pas : le texte est supprimé du contenu du fichier et les pixels correspondants du scan sont réécrits. Un rectangle noir posé par-dessus laisserait le nom lisible d'un copier-coller ; ce n'est pas ce que nous produisons.

Aucun service d'intelligence artificielle tiers n'est appelé. Vos documents ne sont pas envoyés à une interface de programmation externe, n'entraînent aucun modèle, ne sont ni revendus, ni partagés, ni consultés à d'autres fins que l'exécution du traitement que vous avez lancé.

Journaux techniques

Le journal de l'application enregistre des événements de traitement — par exemple « 4 points d'appui, méthode TPS, RMSE 2,4 m ». Il ne contient ni adresse IP, ni nom de fichier, ni contenu de document. Le journal d'accès du serveur mandataire (Traefik) n'est pas activé : les requêtes HTTP ne sont pas consignées.

La publicité, et là où il n'y en a pas

Ce site porte de la publicité, celle de Google AdSense, sur trois sortes de pages : l'accueil, les guides, et celle-ci. C'est la liste entière, et c'est la liste qu'un test de notre code source fait respecter.

Tant qu'un atelier est ouvert, rien de ce que vous y avez chargé ne sort de ce serveur. La page qui porte votre carte, votre dossier ou votre liasse de reçus ne charge aucun script publicitaire, ne contacte aucune régie, ne dépose aucun témoin publicitaire. Google n'apprend jamais que votre dossier existe, ne reçoit jamais son adresse, et ne voit jamais une ligne de ce qu'il contient. Votre document arrive à Francfort, il est traité sur notre machine, et il en revient — et rien de lui ne voyage ailleurs, à aucun moment.

Les trois pages de module — géomatique, juridique, comptabilité — n'en portent pas non plus, et pour la même raison : c'est là qu'on confie un fichier.

Le raisonnement est court. Une page d'atelier est ouverte sur un document que vous avez justement pris soin de n'envoyer nulle part, et son adresse porte l'identifiant de ce dossier. Un script publicitaire posé sur cette page recevrait cette adresse, et une annonce s'afficherait à côté de l'acte d'un client ou d'un relevé bancaire. Ni l'un ni l'autre n'est acceptable, et aucun revenu ne le rend acceptable.

Ce que Google reçoit sur les trois pages qui en portent

Ce que transporte n'importe quelle requête web : votre adresse IP, votre navigateur et votre système, l'adresse de la page que vous lisez, et celle d'où vous venez. Sur ces pages, Google lit et écrit aussi des témoins. Il ne reçoit rien d'autre de notre part — aucun compte, puisqu'il n'en existe pas, et absolument aucune information sur des fichiers, des dossiers ou des traitements.

La balise ne s'arrête pas à une seule adresse. Mesuré depuis l'Amérique du Nord sur les pages publiées, le chargement de l'une des trois contacte pagead2.googlesyndication.com, googleads.g.doubleclick.net, ep1.adtrafficquality.google, ep2.adtrafficquality.google et www.google.com — cinq hôtes, tous chez Google.

Là où un message de consentement s'applique — l'Espace économique européen, le Royaume-Uni, la Suisse et plusieurs États américains —, le bandeau lui-même arrive d'un sixième, fundingchoicesmessages.google.com. Lesquels des six vous voyez dépend donc de l'endroit d'où vous lisez ; ce qui ne dépend de rien, c'est qu'ils s'arrêtent tous à ces trois pages, et qu'aucun n'est jamais chargé par une page qui porte votre document.

Le bandeau

Qui dit publicité dit témoins : il y a donc désormais quelque chose à accepter, et cela n'apparaît que sur les pages qui portent de la publicité. Refuser est un vrai choix, pas une formalité : la publicité s'affiche alors sans personnalisation, et rien du service ne change. Vos fichiers n'ont jamais fait partie de la question.

Le vérifier plutôt que nous croire

Ouvrez les outils de développement de votre navigateur, allez à l'onglet réseau, et chargez un atelier. Filtrez sur google. Vous ne trouverez rien. Faites de même sur cette page-ci et vous trouverez le script publicitaire. Cette différence est toute la règle — et dans notre code source, une balise publicitaire qui apparaîtrait sur une page de module ou dans un atelier fait échouer la suite de tests : elle ne peut pas y arriver par accident.

Ressources chargées par votre navigateur

Aucune bibliothèque, police ou icône ne vient d'un réseau de diffusion tiers, nulle part sur ce site. Pas de Google Fonts, pas de CDN, pas de balise de mesure d'audience : tout est servi depuis pdfactory.org. Cela n'a pas changé, et cela vaut sur toutes les pages, y compris les trois ci-dessus.

Sur toutes les pages sauf ces trois-là, votre navigateur ne contacte aucun autre domaine que celui-ci, y compris pour le fond de carte de l'étape 1.

Ce fond est un fichier vectoriel unique (données OpenStreetMap, format Protomaps) hébergé sur un stockage Cloudflare R2, parce qu'il est bien trop volumineux pour le disque de ce serveur. Mais vous ne vous y adressez pas : notre serveur y découpe lui-même chaque tuile et vous la sert. Cloudflare voit donc notre machine, jamais votre adresse IP ni la zone que vous consultez. Les polices de caractères du fond de carte, elles, sont servies directement d'ici.

Nous n'employons pas non plus les serveurs de tuiles de la Fondation OpenStreetMap : financés par des dons pour la communauté, leur politique d'usage exclut le trafic commercial.

Cookies

L'application elle-même n'en dépose aucun et n'écrit rien dans le stockage local de votre navigateur : ni session, ni préférence, pas même la langue dans laquelle vous lisez — celle-là voyage dans l'adresse.

La publicité de l'accueil, des guides et de cette page en dépose, elle, et c'est à cela que sert le bandeau. L'atelier n'en dépose ni d'une sorte ni de l'autre. Les pages où vivent réellement vos documents ne portent aucun témoin, et il n'y a rien à y accepter.

Vos droits

Le RGPD vous ouvre des droits d'accès, de rectification, d'effacement, de limitation et d'opposition. En pratique, comme nous ne détenons aucune donnée d'identification et qu'aucun compte n'existe, le droit qui a une portée concrète ici est celui de l'effacement — et il s'exerce sans nous écrire, depuis l'atelier, en un clic. Tant que vous détenez le lien de votre dossier, vous en avez le contrôle ; personne d'autre ne peut le retrouver.

Vous conservez le droit d'introduire une réclamation auprès d'une autorité de contrôle, en Allemagne comme dans votre pays de résidence.

Sécurité

Le site n'est joignable qu'en HTTPS, avec un certificat renouvelé automatiquement. Les services internes — base de données, file d'attente, tâches de fond — ne publient aucun port sur l'Internet : ils ne se parlent qu'entre eux, sur un réseau privé. L'accès d'administration au serveur est restreint par filtrage d'adresses.

Contact

Pour toute question ou demande relative à vos données : contact@pdfactory.org. En pratique, l'effacement n'a pas besoin de passer par nous : le bouton de l'atelier le fait immédiatement, et sans lui tout disparaît de toute façon deux heures après votre dernière action.

Modifications

Cette page est datée. Toute évolution du service qui la rendrait inexacte — une sauvegarde ajoutée, une durée de conservation changée, un service tiers introduit — sera reportée ici en même temps que le changement, pas après.

Ce que nous recevons, ce que nous en faisons, quand nous l'effaçons.