Ce qui quitte votre appareil

Outil par outil

• Modifier du texte, ajouter du texte, rechercher et remplacer, signer, remplir des formulaires, surligner, tamponner, ajouter un filigrane ou des numéros de page, caviarder, aplatir

  Envoyé à notre serveur

  Rien.

  Ce qu’il en advient

  Le moteur PDF (PDFium, compilé en WebAssembly) s’exécute dans votre navigateur et travaille sur le fichier à cet endroit.

• Fusionner, diviser, compresser, organiser, pivoter ou rogner des pages ; PDF vers Word ; PDF vers images ; images vers PDF

  Envoyé à notre serveur

  Rien.

  Ce qu’il en advient

  Fait dans votre navigateur, sur votre appareil.

• Enregistrer une copie à partager

  Envoyé à notre serveur

  Rien.

  Ce qu’il en advient

  Fait dans votre navigateur. La copie est aplatie et ses scripts, actions de lancement et d'envoi, médias et fichiers incorporés sont supprimés. Un téléchargement normal n'est pas nettoyé : il conserve ce que contenait le PDF d'origine.

• Ajouter ou retirer un mot de passe (Protéger, Déverrouiller)

  Envoyé à notre serveur

  Ni le fichier ni le mot de passe.

  Ce qu’il en advient

  Le mot de passe est ajouté ou retiré dans votre navigateur. Quand vous en ajoutez un, notre serveur sait seulement que l’outil a été utilisé, pour le décompter de l’allocation quotidienne de votre offre.

• Lire une page numérisée (OCR)

  Envoyé à notre serveur

  Une image de chaque page numérisée que vous choisissez de lire, quelques pages à la fois.

  Ce qu’il en advient

  L’éditeur demande avant l’envoi de la première page, une fois par document, sauf si vous avez choisi « Ne plus demander sur cet appareil ». Un programme d’OCR sur notre serveur lit l’image et renvoie le texte ; l’image n’est pas conservée. Les pages lues sont décomptées de votre allocation quotidienne.

• Convertir un fichier Word, Excel, PowerPoint ou OpenDocument en PDF

  Envoyé à notre serveur

  Le fichier.

  Ce qu’il en advient

  Il est écrit dans un dossier temporaire privé de notre serveur et converti avec LibreOffice. Le dossier est supprimé à la fin de la conversion, qu’elle ait réussi ou non. Les fichiers convertis sont décomptés de votre allocation quotidienne.

• Traduire, résumer ou interroger un document (IA), sur un site où l’IA est activée

  Envoyé à notre serveur

  Dans le panneau IA, le texte des pages que vous choisissez, en texte brut : jamais le fichier PDF, ses images ni son nom. Seulement après avoir choisi « Envoyer le texte » pour ce document.

  Ce qu’il en advient

  Notre serveur transmet le texte à Anthropic, qui exploite le modèle d’IA et le traite pour notre compte ; selon les conditions de l’API d’Anthropic, il ne sert pas à entraîner ses modèles. GenPDF ne conserve ni le texte ni les réponses, et son journal ne garde que des totaux. Une traduction est réécrite dans le document, dans votre navigateur. Le panneau IA n’apparaît pas sur un site où l’IA est désactivée. Les crédits utilisés sont décomptés de votre quota quotidien.

• Lire une page scannée avec l’IA (panneau Texte), avec les forfaits payants, sur un site où l’IA est activée

  Envoyé à notre serveur

  L’image de la seule page que vous choisissez, et les lignes que le lecteur de scan y a trouvées (leurs mots et leur place sur la page). Seulement après avoir choisi « Envoyer l’image et lire », à chaque fois. Jamais le fichier PDF ni son nom.

  Ce qu’il en advient

  Notre serveur transmet l’image et les lignes à Anthropic, qui exploite le modèle d’IA et les traite pour notre compte ; selon les conditions de l’API d’Anthropic, elles ne servent pas à entraîner ses modèles. Le modèle répond avec les mots corrigés des lignes qu’il modifie, et l’éditeur les remet en place ; vous pouvez annuler. GenPDF ne conserve ni l’image ni la réponse, et son journal ne garde que des totaux. Les crédits utilisés sont décomptés de votre quota quotidien.

• Modifier dans un navigateur qui ne peut pas exécuter le moteur de modification

  Envoyé à notre serveur

  Le PDF, uniquement si vous choisissez « Envoyer à notre serveur ».

  Ce qu’il en advient

  Le même moteur le modifie en mémoire sur notre serveur, avec une limite de temps, et rien n’est conservé. Votre choix vaut pour cet onglet, et la barre du haut indique « Modification sur notre serveur » tant qu’il est utilisé.

• Saisir du texte dans une police que le PDF ne contient pas

  Envoyé à notre serveur

  Le nom et le style de la police, et chaque caractère distinct nécessaire (pas votre phrase).

  Ce qu’il en advient

  Notre serveur renvoie cette police réduite à ces caractères. Il peut télécharger le fichier de la police depuis Google Fonts à partir de son nom ; aucun texte n’y est envoyé.

• Signaler un problème, avec les forfaits payants

  Envoyé à notre serveur

  La phrase que vous écrivez, et quelques faits sur l’éditeur et le fichier : la version de GenPDF, votre navigateur, le nombre de pages, la taille et le type du fichier, les noms de ses polices, le logiciel indiqué dans le fichier et la dernière erreur rencontrée par la page. Jamais ses mots, son titre, son auteur ni son nom de fichier. Le PDF lui-même seulement si vous cochez « Envoyer aussi ce PDF à GenPDF pour que le problème puisse être corrigé ».

  Ce qu’il en advient

  Il est conservé sur notre serveur et seul l’administrateur de GenPDF peut l’ouvrir. Un PDF partagé est conservé 30 jours au plus et supprimé aussitôt que le problème est clos comme corrigé ou à ne pas corriger ; le signalement lui-même est supprimé un an après sa dernière modification, clos ou non. Pour trouver la cause, l’administrateur peut faire lire le PDF et votre phrase par un assistant d’IA (Claude, d’Anthropic) sur une machine GitHub temporaire, effacée ensuite. Le journal de GenPDF ne conserve que des nombres.

• Reprendre après un plantage ou un onglet fermé

  Envoyé à notre serveur

  Rien.

  Ce qu’il en advient

  Le document ouvert est conservé dans le stockage propre de votre navigateur, sur votre appareil, afin que l’éditeur puisse vous le proposer à nouveau pendant 7 jours. Il est oublié quand vous fermez le PDF, en ouvrez un autre ou choisissez Oublier.

• Fichiers récents dans l’application Android

  Envoyé à notre serveur

  Rien.

  Ce qu’il en advient

  L’application garde une copie de chaque PDF que vous ouvrez, les dix plus récents et 150 Mo au plus, dans son propre stockage sur votre téléphone, pour que l’accueil et l’onglet Fichiers puissent le rouvrir. Les copies ne quittent jamais le téléphone et ne font pas partie de votre compte. Retirez-en une dans Fichiers, ou toutes dans Compte, Fichiers récents. Elles sont gardées dans le stockage du navigateur que l’application utilise pour genpdf.com : désinstaller l’application ne les supprime donc pas forcément. Pour être sûr, effacez-les dans Compte ou effacez les données de genpdf.com dans les réglages d’Android.

• Demander des signatures à d’autres personnes

  Envoyé à notre serveur

  Le PDF, chiffré dans votre navigateur. Ainsi que le titre, votre message et les adresses e-mail des signataires. Par défaut, la clé n’est pas envoyée ; elle ne l’est, une seule fois lors de la création de la demande, que si vous cochez « Laisser GenPDF envoyer les liens par e-mail ».

  Ce qu’il en advient

  Notre serveur conserve la copie chiffrée et ces informations, et tient une piste d’audit : heures, empreinte à clé de chaque adresse, nom du navigateur et empreintes de chaque version. Par défaut, il envoie aux signataires un avis par e-mail qui ne contient jamais la clé (c’est vous qui envoyez son lien à chaque signataire), et il ne peut pas lire le document. Si vous laissez GenPDF envoyer les liens, notre serveur détient à la place la clé, scellée par un secret conservé sur le serveur, jusqu’à la fin de la demande (signée, refusée, retirée ou expirée), puis la supprime ; il s’en sert pour mettre le lien de chaque signataire dans ses e-mails, qui transitent aussi par des fournisseurs de messagerie, et une fois, à l’arrivée du document, pour vérifier que la clé l’ouvre (rien de déchiffré n’est conservé). Tant qu’il détient la clé, GenPDF pourrait techniquement ouvrir le document ; la piste d’audit indique de quelle manière les liens ont été envoyés et quand la clé a été supprimée. Le reste est supprimé 30 jours après la fin de la demande (une demande retirée, refusée ou expirée perd aussitôt la copie chiffrée). Les demandes sont comptées dans le quota mensuel de votre forfait.

• Se connecter, acheter une offre

  Envoyé à notre serveur

  Votre e-mail et votre mot de passe, ou votre connexion Google ; pour un achat, les données de paiement vont à Paddle.

  Ce qu’il en advient

  Paddle est le marchand officiel ; nous ne voyons ni ne conservons jamais vos données de carte. La Politique de confidentialité liste ce que nous conservons d’un compte, et pour combien de temps.

• Télécharger un fichier que vous avez fait, avec le forfait Gratuit

  Envoyé à notre serveur

  Le type de téléchargement (un PDF modifié, un PDF signé, un export Word ou le résultat d’un autre outil), un identifiant aléatoire pour ce téléchargement et, pour Word, son nombre de pages. Jamais le document, son nom ni son texte.

  Ce qu’il en advient

  C’est décompté du quota du jour de votre compte ou, sans compte, d’un cookie visiteur aléatoire et d’une empreinte chiffrée de votre adresse internet (jamais l’adresse elle-même). Les compteurs sont supprimés au bout de 90 jours.

• Visiter une page, ouvrir ou télécharger un fichier

  Envoyé à notre serveur

  Un comptage, sans cookie : le nom de l’étape, l’adresse de la page sans sa requête, la langue de la page, votre pays (pour la première page d’une visite et quelques étapes principales comme l’ouverture d’un fichier ou un téléchargement : déduit sur notre serveur de votre adresse internet, dont seul le pays est conservé), le site d’où vous venez (sur la première page d’une visite seulement, conservé dans les comptages uniquement comme un grand groupe tel que recherche ou réseaux sociaux, jamais le site lui-même) et nos propres libellés courts comme le nom d’un outil. Il est conservé sous forme d’un nombre par jour, pendant 24 mois, sans adresse, sans identité de navigateur et sans rien qui vous identifie. Tant que la page est ouverte, elle indique aussi à notre serveur, toutes les 30 secondes et quand vous la quittez, depuis combien de secondes elle est visible et quelle page elle affiche, sous une clé aléatoire gardée uniquement dans la mémoire de la page (rien n’est enregistré sur votre appareil) ; le serveur oublie la clé à la fin de la visite. Pour chaque visite, il garde une ligne pendant 90 jours : la minute du début, le pays, le grand groupe d’origine et le nom du site d’où vous venez, la première page, la langue, le type d’appareil, le nombre de secondes pendant lesquelles la page est restée visible et le nombre de pages, sans adresse, sans identité de navigateur et sans clé.

  Ce qu’il en advient

  Les comptages ne contiennent jamais un document, son texte, son nom de fichier ni rien de ce que vous avez saisi. En cas de problème, votre navigateur envoie un court rapport d’erreur (ce qui a échoué, le chemin de la page, la version de l’application et le nom de votre navigateur). Un programme le nettoie autant que possible des adresses web, adresses e-mail, noms de fichiers et mots entre guillemets ou hors ASCII ; on ne peut pas prouver que le message d’une bibliothèque ne contient aucun mot que vous avez saisi, nous ne le promettons donc pas. Le rapport est écrit dans le journal de notre serveur avec une référence que vous pouvez nous communiquer (30 jours au plus) et rejoint aussi un groupe anonyme de la même erreur (ce qui a échoué, sur quelle page, dans quelle version et combien de fois ; sans nom de navigateur), conservé jusqu’à 180 jours.

• Statistiques de visite avec Google Analytics et Microsoft Clarity, après votre accord là où la loi en demande un

  Envoyé à notre serveur

  Là où la loi demande votre accord : tant que vous n’acceptez pas, seulement des visites comptées sans cookie et sans identifiant. Ailleurs, et dès que vous acceptez : les pages que vous visitez (leur adresse sans paramètres), les étapes que vous franchissez avec les mêmes libellés courts, votre position approximative, votre appareil et votre navigateur, et un identifiant conservé dans les cookies de Google. Sur les pages publiques, Microsoft Clarity voit aussi vos clics et votre défilement.

  Ce qu’il en advient

  Google Ireland Limited les compte pour nous, comme sous-traitant. Là où la loi demande votre accord, Google ne dépose aucun cookie et Microsoft Clarity n’est pas chargé avant que vous acceptiez. « Paramètres des cookies », dans le pied de page et dans le menu Fichier de l’éditeur, retire votre réponse : le comptage s’arrête et les cookies de Google et de Clarity sont supprimés. Jamais un document, son texte, son nom de fichier ni rien de ce que vous avez saisi. L’application Android ne charge ni l’un ni l’autre et n’a pas de bandeau de cookies.

• Publicités Google AdSense sur les pages d’accueil publiques, après votre accord là où la loi en demande un

  Envoyé à notre serveur

  Là où la loi demande votre accord : rien tant que vous n’acceptez pas, car le code publicitaire n’est pas chargé. Ailleurs, et dès que vous acceptez : ce que votre navigateur envoie à Google pour charger une publicité (l’adresse de la page, votre adresse internet, votre navigateur et votre appareil) et les cookies publicitaires de Google. Jamais un document, son texte ni son nom de fichier, et jamais dans l’éditeur, la signature ou le compte.

  Ce qu’il en advient

  Google choisit et diffuse les publicités et décide de l’usage qu’il fait des informations, selon sa propre politique de confidentialité ; il peut utiliser des cookies pour afficher des publicités selon vos visites sur ce site et sur d’autres. Vous pouvez refuser les publicités personnalisées sur myadcenter.google.com. « Paramètres des cookies » retire votre réponse : les publicités sont masquées et les cookies publicitaires de Google sur ce site sont supprimés. L’application Android n’affiche aucune publicité.

Où sont les serveurs

Nos serveurs sont hébergés par OVHcloud (OVH SAS), servers in the European Union.

Comment le service est protégé

• Les pages ne sont servies qu’en HTTPS, et les navigateurs reçoivent l’instruction de continuer à l’utiliser (HSTS).
• Les mots de passe ne sont conservés que sous forme de hachages scrypt salés, et une connexion n’est retenue de notre côté que sous la forme d’un hachage de sa clé.
• Les requêtes sont limitées par adresse, et la connexion et le formulaire de contact le sont plus strictement.
• Le serveur compte ce qu’il écarte ou remarque (connexions échouées, recherches de pages que ce site n’a pas, requêtes venant d’autres sites) sous forme de nombres par jour avec le pays, jamais une adresse internet ni un compte, et les supprime après 180 jours.
• Les copies serveur du moteur PDF, qui lisent des fichiers faits par d’autres, s’exécutent dans des threads séparés avec une limite de temps et un plafond de mémoire, pour qu’un mauvais fichier ne bloque pas les autres.
• L’application s’exécute sous un utilisateur sans privilèges dans son conteneur, et ses dépendances sont vérifiées à chaque modification pour y chercher des vulnérabilités connues.

La Politique de confidentialité donne la liste complète de ce que nous conservons et de qui d’autre le voit.

Vous avez trouvé un problème ?

Signalez-le-nous en privé par la page Contact, en choisissant « Un problème de sécurité ». Dites ce que vous avez fait, ce qui s’est passé et ce que vous attendiez, sans joindre les documents d’autres personnes. Nous visons une réponse sous trois jours ouvrés.