Déclaration de protection des données

État au 10 août 2026 · s'applique à pdftoolkit.ch et à l'application web associée

1 · Personne responsable

La personne mentionnée ci-dessus est responsable du traitement des données personnelles sur pdftoolkit.ch. La loi suisse sur la protection des données (LPD) s'applique.

2 · Quelles données sont traitées

Compte

Lors de l'inscription sont collectés :

• Adresse e-mail — sert de nom d'utilisateur pour la connexion.
• Nom affiché — facultatif, uniquement pour vous saluer dans l'interface.
• Mot de passe — jamais stocké en clair, uniquement sous forme de hachage bcrypt (facteur de coût 12).
• Date de création du compte et quota de stockage attribué.
• Langue de l'interface — afin que les e-mails arrivent dans la même langue.
• Si l'adresse e-mail a été confirmée — uniquement sous forme de oui/non ; la confirmation est facultative et rien n'est bloqué sans elle (section 8).

Authentification à deux facteurs (facultative)

Si vous activez l'authentification à deux facteurs, deux éléments supplémentaires s'ajoutent :

• Une clé TOTP, à partir de laquelle votre application d'authentification calcule les codes à six chiffres. Elle est stockée chiffrée (Fernet, clé dérivée du secret du serveur) — pas en clair.
• Dix codes de récupération, stockés sous forme de hachages. Ils ne peuvent pas être reconstitués depuis la base de données ; ils s'affichent exactement une fois lors de la configuration.

Le seul but est de sécuriser votre connexion. Lorsque vous désactivez la fonction, la clé et les codes sont immédiatement supprimés, de même que lors de la suppression du compte. Si vous perdez votre second appareil ainsi que les codes, l'exploitant peut réinitialiser la fonction pour votre compte — le mot de passe suffit alors à nouveau.

Pour se prémunir contre les tentatives de deviner les mots de passe, les échecs de connexion sont comptés temporairement en mémoire vive (adresse e-mail et adresse IP, 15 minutes). Ces compteurs n'atteignent jamais la base de données et disparaissent à chaque redémarrage.

Connexion (session)

Après la connexion, un cookie nommé pdftk_session est déposé. Il est httpOnly (illisible pour JavaScript), Secure (HTTPS uniquement) et SameSite=Lax. Sa durée de validité est de 30 jours. La base de données ne stocke pas le jeton lui-même, mais uniquement son hachage.

Ce cookie est techniquement nécessaire au maintien de la connexion. Aucun autre cookie n'est déposé — en particulier aucun à des fins de statistique, de reconnaissance ou de publicité. C'est aussi pourquoi il n'y a pas de bandeau cookies.

Documents et fichiers

• Les fichiers PDF que vous téléversez, ainsi que les fichiers résultants créés à partir d'eux (fusionnés, divisés, compressés, traités par OCR, signés).
• Leurs métadonnées : nom de fichier, taille, nombre de pages, origine du fichier et date de création.

Les fichiers se trouvent dans un espace attribué à votre compte et ne sont traités que pour l'opération que vous déclenchez vous-même. Aucune analyse du contenu n'a lieu. Une exception au sens technique est la fonction renommage intelligent : elle lit le texte de la première page afin de former des propositions de noms. Cela se produit sur le même serveur, le résultat n'est pas conservé et ne quitte pas l'application.

Certificats de signature

Pour la signature numérique, vous pouvez créer votre propre certificat. La clé privée est déposée dans votre espace et peut être protégée par un mot de passe de votre choix. Ce mot de passe de certificat n'est stocké nulle part — si vous le perdez, le certificat devient inutilisable.

Données de journalisation

Le serveur web placé en amont (Caddy) est configuré sans journalisation des accès. L'application ne journalise les requêtes qu'avec l'adresse interne du proxy inverse, et non avec l'adresse IP des visiteurs. En cas de dérangement technique, des messages d'erreur peuvent apparaître dans le journal du serveur ; ils servent exclusivement au dépannage.

3 · Finalité et base juridique

Les données sont traitées pour fournir le service : tenir le compte, permettre la connexion, stocker les fichiers et exécuter les traitements PDF que vous choisissez. La base est l'exécution de cette relation d'utilisation, que vous nouez en vous inscrivant. Aucun traitement à des fins publicitaires, de profilage ou de vente n'a lieu.

4 · Où les données sont stockées

Le service fonctionne sur un serveur loué auprès de Hetzner Online GmbH, Industriestrasse 25, 91710 Gunzenhausen, Allemagne. Le centre de données utilisé se trouve à Nuremberg, Allemagne. Hetzner met l'infrastructure à disposition et agit comme sous-traitant ; en exploitation normale, aucun accès au contenu n'a lieu.

Vos données sont donc stockées en Allemagne et non en Suisse. L'Allemagne figure sur la liste des États du Conseil fédéral offrant un niveau de protection adéquat (annexe 1 de l'ordonnance sur la protection des données).

Pour l'envoi des e-mails de confirmation et de mot de passe, le serveur de messagerie d'united-domains AG en Allemagne est en outre utilisé (détails à la section 8).

Au-delà de l'exploitation, aucune donnée n'est transmise à d'autres tiers. Aucun service externe n'est intégré — ni polices, ni scripts, ni cartes, ni vidéos provenant de serveurs étrangers. À l'ouverture de ce site, seules des ressources de pdftoolkit.ch sont chargées.

5 · Sécurité

• La transmission est exclusivement chiffrée via HTTPS (TLS), avec redirection automatique des appels non chiffrés et HSTS activé.
• Les mots de passe sont stockés sous forme de hachage bcrypt et ne sont pas réversibles.
• L'accès aux fichiers est lié au compte concerné.

Personne ne peut garantir une sécurité absolue lors d'une transmission sur Internet. Pour les documents particulièrement sensibles : jugez vous-même si un dépôt dans un service en ligne est approprié.

6 · Conservation et suppression

• Vous pouvez supprimer vos fichiers vous-même à tout moment dans l'application. Ils sont alors retirés de votre espace.
• Les sessions expirent après 30 jours ; la déconnexion invalide la session immédiatement.
• Vous pouvez supprimer votre compte définitivement dans l'application, sous Compte → Supprimer le compte. Cela efface le compte, tous les fichiers, les certificats de signature, les tâches en cours et toutes les sessions — dans la base de données comme sur le disque. L'opération exige votre mot de passe et la saisie de votre adresse e-mail en confirmation, et elle est irréversible.
• Si vous rencontrez une difficulté, un message à thomas@conduxa.ch suffit.

Comptes inactifs

Tant qu'un compte est utilisé, les données correspondantes restent enregistrées. Si un compte n'est plus utilisé pendant douze mois (aucune connexion), il est supprimé après deux avertissements :

• Après 12 mois sans connexion : premier avertissement par e-mail, indiquant que le compte sera supprimé dans 44 jours.
• 30 jours plus tard : deuxième et dernier avertissement.
• 14 jours plus tard : suppression du compte avec tous les fichiers, certificats et partages.

Une seule connexion suffit à conserver le compte — le délai repart alors de zéro et un avertissement déjà donné devient caduc. Les comptes jamais confirmés et sans fichiers sont supprimés discrètement après 90 jours sans connexion ; un avertissement envoyé à une adresse jamais confirmée n'aurait aucun sens.

L'objectif est la minimisation des données : ce dont plus personne n'a besoin ne doit pas être conservé indéfiniment. Pour cette règle, seuls la date de la dernière connexion et le niveau d'avertissement atteint sont enregistrés.

Copies de sauvegarde

En cas de défaillance du serveur ou d'un disque, une sauvegarde quotidienne chiffrée sur une Storage Box Hetzner en Allemagne est prévue. Le sous-traitant serait Hetzner Online GmbH ; la sauvegarde est chiffrée avant le transfert, Hetzner ne peut donc pas en lire le contenu. 7 états quotidiens et 4 états hebdomadaires seraient conservés.

Cela signifie : les fichiers et comptes supprimés peuvent subsister dans les sauvegardes jusqu'à 35 jours et ne disparaissent définitivement qu'ensuite. Ils sont retirés de l'exploitation courante immédiatement.

À ce jour, cette sauvegarde n'est pas encore active. Dès qu'elle fonctionnera, ce paragraphe sera adapté en conséquence. Indépendamment de cela, conservez vos propres copies de vos fichiers — l'espace de fichiers est un plan de travail, pas une archive.

7 · Vos droits

En vertu du droit suisse de la protection des données, vous avez notamment le droit

• de demander quelles données vous concernant sont traitées,
• de faire rectifier des données inexactes,
• de demander la suppression de vos données,
• d'obtenir vos données dans un format courant,
• de vous opposer au traitement.

Adressez-vous pour cela à thomas@conduxa.ch. Afin qu'aucune donnée ne parvienne à des personnes non autorisées, une preuve d'identité peut être nécessaire en cas de doute.

Vous avez en outre le droit de déposer une réclamation auprès du Préposé fédéral à la protection des données et à la transparence (PFPDT).

8 · Envoi d'e-mails

Le service n'envoie des e-mails qu'à deux fins :

• Confirmation de l'adresse e-mail après l'inscription. Le lien est valable 48 heures. La confirmation est facultative — sans elle, le service reste pleinement utilisable.
• Réinitialisation du mot de passe, lorsque vous la demandez vous-même. Le lien est valable 60 minutes et utilisable une seule fois ; ensuite, tous les appareils connectés sont déconnectés.

Il n'y a ni lettre d'information, ni publicité, ni annonces de produits — aucun message n'est envoyé sans que vous l'ayez déclenché par une action de votre part. Une désinscription n'est donc pas nécessaire ; l'adresse e-mail sert par ailleurs de nom de connexion.

L'envoi passe par le serveur de messagerie d'united-domains AG (Gautinger Strasse 10, 82319 Starnberg, Allemagne). Elle agit comme sous-traitante ; sont transmis votre adresse e-mail, votre nom affiché et le contenu du message concerné. Aucune autre donnée n'est communiquée pour l'envoi — en particulier aucun document.

Des liens, seule une valeur de hachage est conservée, et non le lien lui-même. Aucun lien valide ne peut donc être reconstitué depuis la base de données. Les entrées expirées et utilisées sont invalidées.

Au-delà, un contact n'a lieu que si vous écrivez vous-même.

9 · Liens de partage

Vous pouvez créer un lien de partage vers un fichier. Toute personne connaissant ce lien peut télécharger le fichier sans compte — c'est le but de la fonction, mais cela signifie aussi que le lien est le secret. Ne le transmettez qu'à des personnes à qui vous confieriez le fichier.

• Vous déterminez la durée de validité (1, 7 ou 30 jours) ; ensuite, le lien expire automatiquement.
• Vous pouvez éventuellement définir un mot de passe et limiter le nombre de téléchargements.
• Les liens sont révocables à tout moment, avec effet immédiat. Si le fichier passe à la corbeille, tous les liens associés deviennent aussitôt invalides.
• Seule une valeur de hachage du lien est conservée, et non le lien lui-même.
• Les pages de partage portent noindex et ne sont pas indexées par les moteurs de recherche.
• Si un lien est expiré, révoqué ou n'a jamais existé, la même page neutre apparaît toujours — on ne peut pas en déduire si un fichier existe.

La consultation d'une page de partage ne crée aucun profil de visiteur ; seul le nombre de téléchargements par lien est compté, afin qu'une limite définie puisse s'appliquer.

10 · Corbeille

Les fichiers supprimés passent d'abord dans une corbeille et y sont définitivement supprimés automatiquement après 30 jours. Jusque-là, ils peuvent être restaurés — et ils comptent toujours dans votre quota de stockage, car ils se trouvent réellement encore sur le serveur. Vous pouvez les supprimer définitivement à la main à tout moment. Si vous supprimez votre compte, la corbeille est également effacée sans laisser de trace.

11 · Modifications

Cette déclaration est adaptée lorsque le service évolue. Fait foi la version publiée ici, portant la date indiquée ci-dessus.