Confidentialité

Zéro conservation

Votre document et son résultat ne sont jamais écrits sur disque ni dans une base de données. Ils n'existent que le temps de la requête qui les convertit et disparaissent quand elle répond — il n'y a rien à supprimer ensuite, et rien à transmettre.

C'est une propriété de la façon dont le service est construit, pas une règle que quelqu'un applique : il n'existe nulle part de colonne capable de contenir un document, et la suite de tests refuse qu'on en ajoute une.

Un seul cookie, et seulement si vous payez

Ce site dépose exactement un cookie, nommé dds_unlock. Il n'apparaît qu'après un paiement réussi, et il contient une valeur aléatoire qui n'identifie personne — c'est un reçu que votre navigateur présente pour débloquer la conversion que vous avez achetée.

Il est first-party, HttpOnly (aucun script ne peut le lire), Secure (il ne circule jamais en clair), SameSite=Lax, et il expire au bout de 7 jours, en même temps que le déblocage qu'il représente.

Il n'y a pas de bandeau cookies parce qu'il n'y a rien à accepter. Un cookie strictement nécessaire en est dispensé, et ce site n'en dépose aucun autre : pas de cookie de mesure d'audience, pas de cookie publicitaire, pas de cookie de préférence, pas même un pour retenir votre langue — la langue est dans l'adresse, ce qui est précisément ce qui vous permet de partager le lien.

Ce que contient la base de données

Une base, quatre petites tables, et aucun document n'est jamais entré dans l'une d'elles :

• Une empreinte à clé de votre adresse IP et le nombre de conversions gratuites qu'elle a effectuées aujourd'hui. Conservée 48 heures au maximum.
• Si vous avez payé : une empreinte à clé de votre jeton de déblocage, le nombre de pages qu'il lui reste et sa date d'expiration. Conservée 7 jours.
• Si vous avez acheté un gros travail traité en arrière-plan : une empreinte de son lien de récupération, une empreinte du déblocage qui l'a payé, la référence du travail chez le prestataire et un nombre de pages. Conservées 24 heures.
• Des compteurs qui servent à vérifier que le service coûte moins qu'il ne rapporte — un nom, une date et un nombre. Cette table ne comporte aucune colonne d'identifiant, d'aucune sorte. Conservés environ 13 mois.

Aucune adresse e-mail, aucun nom, aucun compte, aucun mot de passe, aucune carte bancaire, aucun document et aucun texte extrait d'un document.

Votre adresse IP

Votre adresse IP n'est jamais stockée telle quelle. Le compteur de l'offre gratuite utilise une empreinte à clé, qu'on ne peut pas retransformer en adresse, et cette empreinte disparaît avec le compteur.

Le limiteur de débit qui protège le service contre les abus automatisés garde bien des adresses en mémoire, quelques secondes à la fois. Rien n'en est écrit sur disque, et tout est oublié au redémarrage du processus. Les journaux techniques standard tenus par le serveur web ne contiennent aucun contenu de document et ne servent à établir le profil de personne.

Qui d'autre voit votre document

Convertir un document, c'est l'envoyer à un service capable de le lire. C'est le produit, et cela ne peut pas se faire autrement : un PDF nativement numérique part vers une API de lecture de documents, un scan ou une image part vers un prestataire d'OCR. Les deux reçoivent le fichier, les deux renvoient du texte, et ni l'un ni l'autre n'apprend quoi que ce soit sur vous — aucun nom, aucune adresse, aucun identifiant.

Un cas fonctionne différemment, et c'est celui qu'il faut connaître. Un gros travail scanné que vous avez payé est traité en arrière-plan : votre document est téléversé dans l'espace de fichiers du prestataire d'OCR, et le résultat y est écrit aussi. Nous n'en supprimons aucun des deux. Ils y restent sous les conditions de conservation de ce prestataire et non sous les nôtres — c'est le seul cas où une copie de votre document existe en dehors de la requête qui l'a créée, et c'est le prix du traitement d'un travail trop gros pour être gardé ouvert.

Supprimer le résultat vous desservirait plutôt que l'inverse : une livraison perdue en route vous coûterait alors tout ce que vous avez payé, donc le travail reste récupérable jusqu'à l'expiration de son lien.

Tous les autres tiers

Nommés en entier, avec le moment où chacun est contacté :

• Le prestataire d'OCR — uniquement quand un scan ou une image est converti. Reçoit le document ; n'apprend rien sur vous.
• L'API de lecture de documents — uniquement quand un PDF nativement numérique ou un lien vers un PDF est converti. Mêmes conditions.
• Le prestataire de paiement — uniquement si vous choisissez de payer, sur sa propre page. C'est lui qui traite la carte ; ce service ne voit ni ne conserve aucune donnée de paiement, et n'enregistre que le fait qu'un paiement a eu lieu et son montant.
• La plateforme de dons — uniquement si vous cliquez sur le lien de soutien. Aucun de leurs scripts ne tourne sur ces pages : c'est un simple lien, et tant que vous ne le suivez pas ils ne savent rien. Une fois que vous le suivez, vous êtes sur leur site, sous leur politique, qui est en dehors de celle-ci.
• Une régie publicitaire — uniquement sur un déploiement configuré avec un compte éditeur, ce qui n'est pas le cas ici : aucun code publicitaire n'est chargé, il n'y a donc actuellement rien à décrire. Là où elle est activée, il s'agit d'une régie sans cookie, et cela est vérifié avant activation.

Rien d'autre. Les polices de caractères sont servies depuis le serveur de ce site et non depuis un CDN de polices, si bien que charger une page ne révèle votre adresse à personne d'autre que nous.

Si vous m'écrivez

La page d'offre propose une adresse e-mail plutôt qu'un formulaire, et c'est autant une décision de confidentialité qu'une décision pratique : un formulaire devrait envoyer votre message quelque part, et ce service n'a aucune infrastructure de messagerie et ne garde de trace de personne. Cliquer sur le lien ouvre votre propre logiciel de messagerie — rien n'est soumis ici, et ce site n'apprend absolument rien tant que vous n'avez pas envoyé de message.

Un message que vous envoyez arrive dans une boîte aux lettres ordinaire, hébergée par un fournisseur ordinaire, et il est lu par une seule personne. Il n'entre jamais dans la base décrite ci-dessus, et c'est pourquoi la liste de ce qu'elle contient dit « aucune adresse e-mail, aucun nom » et le dit sans mentir. Demandez-moi de supprimer un échange et je le supprime.

Vos droits

Rien ici ne vous identifie, ce qui veut dire qu'il n'y a rien à retrouver, à corriger ou à supprimer sur demande — non pas comme un refus, mais comme la description de ce qui a été construit. Une empreinte à clé d'une adresse, un jeton opaque que vous détenez et dont vous vous débarrassez en effaçant un cookie, et des compteurs sans aucun identifiant : rien de tout cela ne peut être rattaché à une personne, ni par nous ni par quiconque détiendrait une copie de la base.

Si vous voulez faire disparaître le cookie de déblocage avant son expiration, supprimez-le dans votre navigateur et il ne reste plus rien de vous nulle part.