Politique de confidentialité

Qui est responsable de vos données

Le responsable du traitement est Emmanuel Jégo EI (entrepreneur individuel), 26 B rue Émile Bernard, 35700 Rennes, France, immatriculé au Registre national des entreprises (RNE) sous le numéro SIREN 850 238 825.

Pour toute question sur vos données, écrivez à contact@visualpdf.com. Les informations complètes sur l'éditeur figurent dans les mentions légales.

Nous sommes le responsable du traitement pour les outils, les comptes, les espaces de travail, les données de facturation et la sécurité. Les paiements Premium sont gérés par Sold through Link, LLC, une société affiliée à Stripe, qui agit comme revendeur officiel. Link et Stripe sont des responsables du traitement indépendants pour les données de paiement qu'ils collectent.

L'essentiel

Voici ce qu'il faut retenir :

• Presque tous les outils fonctionnent dans votre navigateur : ces fichiers-là ne quittent donc pas votre appareil. Les convertisseurs Word, Excel et PowerPoint font exception : ils passent par notre serveur, comme expliqué plus bas.
• Vous pouvez utiliser les outils sans compte. Un compte n'est nécessaire que pour acheter Premium, enregistrer des signatures et des filigranes, ou rejoindre un espace de travail.
• Notre mesure d'audience est auto-hébergée, sans cookie, et ne peut pas vous suivre d'un site à l'autre.
• Nous n'affichons aucune publicité et nous ne vendons ni ne partageons jamais vos données à des fins publicitaires.
• Les paiements passent par Stripe. Nous ne voyons ni ne conservons jamais votre numéro de carte.
• Les données envoyées pour une tâche ponctuelle (un message de retour, un fichier envoyé pour une conversion Office) sont supprimées selon un calendrier fixe. Si vous créez un compte, ses données sont conservées jusqu'à ce que vous le supprimiez, ce que vous pouvez faire vous-même depuis la page de votre compte.

Fichiers traités dans votre navigateur

Avec nos outils côté client (fusionner, diviser, compresser, signer, ajouter un filigrane, rogner et tous les autres, sauf les convertisseurs Office), tout le traitement se fait sur votre propre appareil. Le fichier n'est jamais envoyé : nous ne pouvons ni le voir, ni le stocker, ni l'analyser. Notre mesure d'audience n'en apprend que le nombre de fichiers, leur taille totale et des décomptes, comme le nombre de pages modifiées par un outil (voir la section « Mesure d'audience »).

Deux choses peuvent malgré tout atteindre nos serveurs depuis ces outils : des événements d'utilisation anonymes (voir la section « Mesure d'audience ») et une signature ou un filigrane que vous choisissez d'enregistrer dans un compte Premium, stocké chiffré comme décrit plus bas. Le document sur lequel vous travaillez n'en fait jamais partie.

Conversions Office vers PDF

Convertir des fichiers Word, Excel ou PowerPoint en PDF demande des logiciels qui ne fonctionnent pas encore dans un navigateur. Ces trois outils passent donc par notre serveur. Voici précisément ce que devient votre fichier :

• Votre fichier est envoyé par une connexion chiffrée à notre serveur, qui le transmet à Microsoft (OneDrive) pour la conversion elle-même.
• Nous supprimons la copie transmise à Microsoft juste après la conversion, et un nettoyage automatique efface tout reste sous 75 minutes. La suppression est définitive : le fichier ne passe pas par la corbeille OneDrive, et Microsoft n'en garde donc aucune copie.
• Le PDF converti est conservé dans notre espace de stockage (Cloudflare R2) pour que vous puissiez le télécharger, puis supprimé automatiquement environ une heure après sa création (75 minutes au plus), avec une règle de stockage à 1 jour comme filet de sécurité.
• Votre lien de téléchargement cesse de fonctionner 30 minutes après la fin de votre conversion.
• Pour afficher la progression et nommer vos téléchargements, nous enregistrons les noms de vos fichiers avec la demande de conversion. Cette demande est supprimée 24 heures après sa création, que vous soyez connecté ou non. Si vous êtes connecté, elle est aussi rattachée à votre compte jusque-là.
• Les membres Premium disposent d'un quota quotidien de conversions. Un compteur des octets et des fichiers convertis dans la journée est associé à votre compte pendant environ 3 jours au plus.
• Nous ne lisons jamais le contenu de vos documents, et notre code n'inscrit pas les noms de fichiers dans les journaux de notre serveur.
• Nous traitons votre fichier et son nom uniquement pour réaliser la conversion que vous avez demandée. La base légale est l'exécution du contrat qui nous lie à vous (art. 6.1.b du RGPD).

Votre compte

Le compte est facultatif. Il est nécessaire pour acheter Premium, enregistrer des signatures et des filigranes, et rejoindre un espace de travail. Vous vous connectez avec Google ou avec un lien que nous vous envoyons par e-mail. Il n'y a pas de mot de passe. Une adresse e-mail est obligatoire pour créer un compte : sans elle, nous ne pouvons pas vous connecter, et vous pouvez toujours utiliser les outils gratuits sans compte. Le nom d'affichage est facultatif.

Nous utilisons les données de votre compte pour vous connecter et vous fournir le service auquel vous vous êtes inscrit ou que vous avez payé. La base légale est l'exécution du contrat qui nous lie à vous (art. 6.1.b du RGPD). Votre compte est conservé jusqu'à ce que vous le supprimiez : nous ne fermons pas les comptes inactifs.

Les enregistrements de vos sessions de connexion restent dans notre base de données (Cloudflare D1) jusqu'à ce que vous vous déconnectiez sur l'appareil concerné, que la session expire ou que vous supprimiez votre compte, avec une copie en cache (Cloudflare KV) qui expire avec la session. Nous supprimons les sessions expirées dans les 15 minutes qui suivent leur expiration. Nous conservons l'adresse IP et la chaîne d'identification du navigateur relevées à la connexion pour enquêter sur les abus et les prises de contrôle de compte, sur la base de notre intérêt légitime (art. 6.1.f du RGPD).

Voici ce que contient un compte :

• Votre adresse e-mail, et l'indication qu'elle est vérifiée ou non.
• Un nom d'affichage. Google le fournit si vous vous connectez avec Google, et vous pouvez le modifier sur la page de votre compte (1 à 100 caractères).
• La langue du site lors de votre dernière connexion, ou lors de votre dernier changement de langue en étant connecté. Nos e-mails l'utilisent, sauf le lien de connexion, qui suit la langue de la page depuis laquelle vous l'avez demandé. Nous la transmettons aussi à Stripe pour que ses pages et e-mails de paiement puissent l'utiliser.
• Si vous vous connectez avec Google : l'identifiant de votre compte Google, l'adresse de votre photo de profil Google, et les jetons d'accès, d'actualisation et d'identité que Google renvoie. Nous ne demandons à Google que votre profil de base et votre adresse e-mail (les portées « openid », « email » et « profile ») : ces jetons ne donnent donc aucun accès à votre Drive, à votre messagerie ni à vos autres données Google. Nous les conservons jusqu'à la suppression de votre compte.
• Vos sessions de connexion. Chacune contient un jeton aléatoire, l'adresse IP et la chaîne d'identification du navigateur relevées lors de la connexion, ainsi que ses dates de début et d'expiration. Une session dure 7 jours et se renouvelle tant que vous utilisez le site.
• Quand vous demandez un lien de connexion : l'adresse e-mail saisie, conservée dans une demande en attente qui est supprimée dès que le lien est utilisé, et sinon sous 25 minutes, même si vous n'allez pas au bout de la connexion. Le lien lui-même est valable 10 minutes.
• Votre statut Premium, les espaces de travail dont vous êtes membre et vos éléments enregistrés, décrits dans les sections suivantes.

Supprimer votre compte

Vous pouvez supprimer votre compte vous-même : ouvrez votre compte, allez dans « Compte » et utilisez « Supprimer le compte ». Par sécurité, la suppression exige une connexion de moins de 24 heures. Si la vôtre est plus ancienne, nous vous demandons d'abord de vous reconnecter.

La suppression est refusée tant que vous êtes propriétaire d'un espace de travail dont l'abonnement est toujours en cours. Résiliez l'abonnement, ou transférez l'espace de travail à un membre depuis la page « Équipes », puis supprimez le compte.

La suppression efface immédiatement votre compte, vos sessions, vos jetons Google, vos signatures et filigranes enregistrés, vos demandes de conversion, vos enregistrements Premium Semaine et l'espace de travail dont vous êtes propriétaire. Nous prévenons par e-mail les membres de cet espace de travail de sa fermeture.

Quelques éléments subsistent après la suppression :

• Les données de paiement, de facturation et de commande chez Stripe. La suppression de votre compte Visual PDF ne les atteint pas (voir la section « Paiements Premium »).
• Votre adresse e-mail dans les invitations que d'autres espaces de travail vous ont envoyées, jusqu'à 30 jours après leur expiration, et dans le journal d'activité de ces espaces, pendant 30 jours après chaque entrée.
• Des compteurs et des fichiers de courte durée : le compteur haché d'e-mails de connexion (environ 35 minutes), les fichiers convertis (75 minutes), les liens de téléchargement (30 minutes après la fin de la conversion) et le compteur quotidien de conversions (environ 3 jours au plus). Les compteurs de limitation de débit sont détenus par Cloudflare, pas par nous.
• Une ligne qui enregistre chaque achat Premium Semaine et sa date de fin, et qui ne renvoie plus à vous.
• Les journaux techniques du serveur, pendant 7 jours.
• Les points de restauration de la base de données, que notre hébergeur conserve 30 jours (Cloudflare D1 Time Travel). Nous ne les utilisons que pour rétablir le service après un incident.

Espaces de travail et équipes

Chaque compte dispose de son propre espace de travail. Avec un Abonnement Premium, le propriétaire peut partager Premium avec d'autres personnes, à raison d'une licence par personne, sur invitation.

Pour inviter quelqu'un, le propriétaire saisit son adresse e-mail : c'est ainsi que nous l'obtenons. Nous l'enregistrons dans l'invitation et envoyons à cette personne un e-mail qui indique le nom de l'espace de travail et le nom de la personne qui invite, ou son adresse e-mail si elle n'a pas défini de nom. L'e-mail est rédigé dans la langue du compte de la personne invitée si l'adresse en a déjà un, et sinon dans celle de la personne qui invite. Toute personne qui détient le lien d'invitation voit le nom de l'espace de travail, le prénom du propriétaire, le nom de la personne qui invite et une version masquée de l'adresse invitée. Quand le propriétaire ou la personne qui invite n'a pas défini de nom, nous utilisons à la place la partie de son adresse e-mail située avant le @, et le nom par défaut de l'espace de travail est construit de la même façon.

Les invitations expirent au bout de 7 jours et sont supprimées 30 jours plus tard. Le journal d'activité de l'espace de travail conserve l'adresse invitée pendant 30 jours. Ensuite, l'entrée reste, sans l'adresse.

Nous traitons les données des espaces de travail pour fournir le service auquel vous ou votre organisation avez souscrit (exécution du contrat, art. 6.1.b du RGPD), et nous les conservons jusqu'à la fermeture de l'espace de travail. Pour une personne invitée qui n'a pas encore de compte, et pour l'adresse invitée que le journal d'activité conserve 30 jours, la base légale est notre intérêt légitime et celui du propriétaire de l'espace de travail à faire parvenir les invitations et à garder une trace des personnes à qui l'accès a été donné (art. 6.1.f du RGPD). Un espace de travail n'est fermé que lorsque son propriétaire supprime son compte. Si un membre supprime son compte, les entrées du journal d'activité ne renvoient plus à lui, à l'exception de l'adresse inscrite sur une invitation, conservée jusqu'à ce que l'invitation ait 30 jours.

Lorsqu'une organisation gère un espace de travail pour son personnel, elle est responsable de l'usage qu'elle fait des données de ses membres. Les clients professionnels peuvent nous demander un contrat de sous-traitance des données à contact@visualpdf.com.

Voici qui voit quoi dans un espace de travail :

• Chaque membre voit le nom, l'adresse e-mail et le rôle des autres membres, ainsi que leur date d'arrivée.
• Chaque membre voit aussi le nom de l'espace de travail, le prénom du propriétaire (ou la partie de son adresse e-mail située avant le @ s'il n'a pas de nom), le nombre de licences et la date de renouvellement, ainsi que les signatures et filigranes partagés dans l'espace de travail, avec le nom de leur auteur.
• Le propriétaire voit en plus les invitations en attente (adresse e-mail et date d'expiration) et un journal d'activité : invitations, arrivées, départs et retraits, changements de licences et d'offre, changements de nom, éléments partagés, paiements échoués et transferts de propriété, avec le nom des personnes concernées, ou leur adresse e-mail si elles n'ont pas de nom.
• Personne dans un espace de travail, propriétaire compris, ne voit vos documents, vos conversions, les éléments enregistrés que vous n'avez pas partagés, vos sessions ni votre adresse IP.
• Retirer un membre, ou quitter l'espace de travail, met fin à l'accès et supprime les partages que ce membre y avait faits. Son propre compte n'est pas supprimé.

Signatures et filigranes enregistrés

Avec Premium, vous pouvez enregistrer des signatures et des filigranes dans votre compte. L'enregistrement est toujours votre choix. Les filigranes texte (texte, couleur, police, opacité), les signatures saisies et les signatures dessinées vont dans notre base de données (Cloudflare D1). Une signature dessinée est conservée sous forme de tracés, sans le minutage ni la pression des traits. Les images de filigrane, jusqu'à 1 Mo, vont dans notre stockage de fichiers (Cloudflare R2). Vous pouvez conserver jusqu'à 10 signatures et 20 filigranes.

Tout est chiffré avec une clé qui vous est propre (AES-256), elle-même verrouillée par une clé serveur. Il s'agit d'un chiffrement au repos, pas de bout en bout : notre serveur déchiffre un élément chaque fois qu'il vous l'envoie, ou qu'il l'envoie à un espace de travail avec lequel vous l'avez partagé. Une copie de ces éléments extraite de notre base de données ou de notre stockage est illisible sans la clé serveur.

Vous pouvez partager un élément avec un espace de travail qui compte 2 licences ou plus. Ses membres le voient alors avec votre nom, tant que vous êtes tous deux membres et que l'abonnement est en cours. Le propriétaire peut retirer un élément de son espace de travail. Quitter l'espace de travail, ou en être retiré, supprime vos partages dans cet espace.

Si Premium prend fin, vous pouvez toujours consulter, télécharger et supprimer vos éléments, mais plus les créer ni les modifier, et vos partages ne s'affichent plus.

Les éléments sont conservés jusqu'à ce que vous les supprimiez, ou que vous supprimiez votre compte. Supprimer un élément l'efface immédiatement, avec son image. Supprimer votre compte détruit d'abord votre clé, puis les images, puis les enregistrements. Les points de restauration de la base de données, conservés 30 jours, peuvent encore contenir des copies chiffrées accompagnées de votre clé verrouillée ; nous ne les utilisons que pour rétablir le service après un incident. La base légale est l'exécution du contrat qui nous lie à vous (art. 6.1.b du RGPD).

Paiements Premium

Premium est vendu via Stripe Managed Payments. Le revendeur officiel est Sold through Link, LLC, une société affiliée à Stripe : elle encaisse votre paiement, calcule la TVA et vous envoie vos reçus et factures. Vous saisissez votre carte, votre adresse de facturation et, le cas échéant, votre numéro d'identification fiscale sur les pages de Stripe. Nous ne voyons ni ne conservons jamais votre numéro de carte, et aucun script Stripe ne s'exécute sur nos pages.

Stripe et Link sont des responsables du traitement indépendants pour les données de paiement qu'ils collectent. Ils les conservent selon leurs propres politiques de confidentialité et obligations légales, et la suppression de votre compte Visual PDF ne les efface pas. Si vous demandez à Link de supprimer vos données, Stripe résilie les Abonnements Premium que vous avez achetés via Link et retire vos données de notre compte Stripe.

Ce que nous transmettons à Stripe. Pour un abonnement : le nom de l'espace de travail, l'adresse e-mail du propriétaire et notre identifiant d'espace de travail, ainsi que l'adresse e-mail du nouveau propriétaire après un transfert de propriété. Pour Premium Semaine : votre adresse e-mail, votre nom et notre identifiant de compte. Dans chaque cas, nous transmettons aussi la langue définie sur le compte de la personne concernée.

Ce que Stripe partage avec nous. En vertu des conditions de Link, Stripe met les données de votre commande à disposition dans notre compte Stripe : votre nom, votre adresse e-mail, votre numéro de téléphone, votre adresse de facturation, votre numéro d'identification fiscale si vous l'avez fourni, vos informations de paiement (jamais votre numéro de carte complet) et ce que vous avez acheté. Nous les utilisons pour l'assistance et pour notre comptabilité. Nos propres systèmes n'en copient rien, hormis les identifiants ci-dessous.

Ce que nous conservons dans notre propre base de données. L'identifiant client Stripe. Pour un abonnement : son offre, son statut, son nombre de licences, sa périodicité mensuelle ou annuelle, sa période en cours et ses dates de résiliation ou d'essai, tant que l'espace de travail existe. Une réduction du nombre de licences programmée est conservée jusqu'à 30 jours après sa prise d'effet. Pour Premium Semaine : les identifiants Stripe de la session de paiement et du paiement, ainsi que les dates de début et de fin, supprimés 30 jours après la fin du pass. Un achat de pass laisse aussi une ligne dans un journal d'activité interne, avec la date de fin du pass. Cette ligne n'a pas de limite de durée : elle subsiste après la suppression de votre compte, mais ne renvoie plus à vous.

Bases légales : l'exécution du contrat qui nous lie à vous (art. 6.1.b du RGPD) pour fournir Premium, notre intérêt légitime à traiter les demandes d'assistance, les remboursements et les rétractations (art. 6.1.f du RGPD), et notre obligation légale de tenir une comptabilité (art. 6.1.c du RGPD). Les données de commande restent dans notre compte Stripe aussi longtemps que Stripe les y conserve. Elles sont effacées si vous demandez à Link de supprimer vos données.

E-mails que nous envoyons

Nous n'envoyons des e-mails que lorsque le service l'exige, jamais de prospection commerciale. La base légale est l'exécution du contrat qui nous lie à vous (art. 6.1.b du RGPD).

Notre code ne garde aucune copie des e-mails qu'il envoie. Si un envoi échoue, le message d'erreur du prestataire est inscrit dans les journaux de notre serveur, conservés 7 jours.

Pour empêcher quiconque d'inonder une boîte de réception, nous comptons les e-mails envoyés à chaque adresse sur 10 minutes. Le compteur est stocké sous une empreinte (hachage) de l'adresse, et non sous l'adresse elle-même, et supprimé dans un délai d'environ 35 minutes. Cette empreinte est pseudonymisée, pas anonyme : quelqu'un qui connaît déjà votre adresse pourrait la calculer.

Les reçus, les factures et les relances de paiement viennent de Link et de Stripe, pas de nous.

Nos e-mails partent de noreply@mail.visualpdf.com via Cloudflare Email Sending, qui reçoit votre adresse et le contenu de l'e-mail. Nous envoyons :

• Votre lien de connexion, valable 10 minutes.
• Une invitation à un espace de travail, à l'adresse saisie par le propriétaire.
• Un avis lorsque votre licence dans un espace de travail vous est retirée.
• Un avis au propriétaire lorsqu'un paiement échoue.
• Un avis à chaque membre lorsque l'accès à Premium par un espace de travail prend fin.
• Un avis aux deux personnes lorsqu'un espace de travail change de propriétaire, qui indique le nom de l'autre personne (ou son adresse e-mail si elle n'a pas défini de nom).
• Un avis aux membres lorsqu'un espace de travail est fermé parce que son propriétaire a supprimé son compte.
• Un avis, 30 jours avant leur entrée en vigueur, des modifications importantes de cette politique ou de nos conditions, des changements de prix pour les abonnés, et des changements qui dégradent sensiblement Premium.

Formulaire d'aide et de retours

Lorsque vous nous écrivez via le formulaire « Aide et retours », nous recevons : le motif choisi, votre message, votre adresse e-mail (pour vous répondre), la page depuis laquelle vous écrivez, la langue de votre interface, la chaîne d'identification de votre navigateur, votre pays (déduit de votre connexion ; l'adresse IP n'est pas conservée avec votre message) et le fichier que vous avez choisi de joindre, le cas échéant.

Ces données servent à une seule chose : comprendre votre demande et y répondre. Votre message et sa pièce jointe sont supprimés automatiquement 30 jours après le traitement de votre demande, et au plus tard 12 mois après son envoi. La base légale est notre intérêt légitime à répondre aux personnes qui nous écrivent et à améliorer le service (art. 6.1.f du RGPD), ou l'exécution du contrat lorsque votre message concerne un achat ou votre compte.

À l'arrivée d'un message, notre équipe reçoit une notification dans un canal Discord avec le numéro du message, le motif, la langue, le pays, l'adresse de la page ainsi que le nom et la taille du fichier joint. Votre message et votre adresse e-mail ne sont pas envoyés à Discord. Ces notifications restent dans le canal Discord jusqu'à ce que nous les supprimions.

E-mails que vous nous envoyez

Lorsque vous écrivez à contact@visualpdf.com, votre message et votre adresse sont stockés dans notre messagerie chez IONOS SE, en Allemagne. Nous les utilisons uniquement pour vous répondre. La base légale est notre intérêt légitime (art. 6.1.f du RGPD), ou l'exécution du contrat lorsque vous nous écrivez au sujet d'un achat, d'une rétractation ou de votre compte.

Aucun mécanisme ne supprime ces e-mails automatiquement. Nous les conservons le temps nécessaire pour vous répondre et traiter les suites éventuelles, comme un remboursement ou un litige, puis nous les supprimons manuellement.

Notes des outils

Lorsque vous notez un outil, nous enregistrons le nom de l'outil, votre note et, si vous en ajoutez un, votre commentaire. Rien d'autre n'est enregistré avec : ni adresse IP, ni identifiant, ni compte, même si vous êtes connecté. L'indicateur « vous avez déjà noté cet outil » n'existe que dans votre propre navigateur. Par ailleurs, notre mesure d'audience enregistre qu'un outil a été noté, avec la note mais sans le commentaire (voir la section « Mesure d'audience »).

Les notes étant anonymes, nous les conservons sans limite de durée à titre de statistiques produit. Merci de ne pas inclure d'informations personnelles dans un commentaire : nous n'avons aucun moyen de savoir qui l'a écrit, donc aucun moyen de le rattacher à vous pour le supprimer.

Mesure d'audience

Nous mesurons l'utilisation du site avec Rybbit, un outil de mesure d'audience open source et sans cookie, que nous hébergeons nous-mêmes sur un serveur situé en France (OVH). Rien n'est partagé avec un réseau publicitaire et aucun profil n'est constitué.

Ce qui est enregistré : les pages consultées (leur adresse complète, y compris un lien d'invitation si vous en ouvrez un), le site d'origine, la famille du navigateur et du système d'exploitation, la taille de l'écran, le pays et la région. Votre adresse IP sert, au moment de la visite, à déduire le pays et la région, puis elle est écartée : elle n'est pas stockée avec vos visites. Pour compter les visites, Rybbit les relie par un identifiant pseudonyme calculé à partir de votre adresse IP et de la chaîne d'identification de votre navigateur. Cet identifiant ne change pas d'un jour à l'autre : les visites provenant de la même adresse IP et du même navigateur sont donc reliées dans le temps, jusqu'à ce que l'un des deux change. Si vous ouvrez un lien d'invitation, son adresse est enregistrée elle aussi, et cette visite pourrait être rattachée à l'invitation. Quand une conversion Office échoue, l'événement contient le numéro de requête de la conversion : pendant les 7 jours où les journaux de notre serveur sont conservés, nous pouvons donc le rapprocher de cette requête.

Nous enregistrons aussi des événements sur l'utilisation des outils, pour corriger les bugs : un outil ouvert, terminé, bloqué ou en échec (avec un message d'erreur technique tronqué ou un code d'erreur), le nombre et la taille totale des fichiers, les options choisies, des décomptes de résultats (par exemple les pages modifiées ou les images trouvées), la manière dont vous avez téléchargé le résultat, et si nous vous avons suggéré d'ouvrir la page en dehors du navigateur intégré d'une application. Nous enregistrons aussi que vous avez envoyé un message de retour (son motif et la présence ou non d'une pièce jointe) ou noté un outil (l'outil et la note), sans le message, le commentaire ni l'adresse e-mail.

Pour les comptes et Premium, nous enregistrons ces étapes : connexion commencée, réussie ou échouée (méthode, compte nouveau ou existant), déconnexion, compte supprimé, limite gratuite atteinte, message proposant Premium affiché et sa raison, paiement commencé (offre, licences, mensuel ou annuel) et finalisé, changements de licences, résiliation, invitations envoyées, acceptées ou refusées, membre retiré et propriété transférée. Aucun de ces événements ne contient votre nom, votre adresse e-mail ni un identifiant de compte.

Les événements de mesure d'audience sont conservés 24 mois au maximum, puis supprimés.

Ce traitement repose sur notre intérêt légitime à comprendre et améliorer le service. Il est configuré pour rester dans le cadre de l'exemption de consentement prévue par la CNIL pour la mesure d'audience, c'est pourquoi aucun bandeau de consentement n'est nécessaire.

Sécurité et prévention des abus

Ces mesures reposent sur notre intérêt légitime à garder le service disponible et les comptes protégés (art. 6.1.f du RGPD).

Pour protéger le service et votre compte, nous utilisons les mécanismes suivants, dont plusieurs traitent votre adresse IP :

• Limitation de débit : les requêtes sont comptées par adresse IP, ou par compte si vous êtes connecté, sur des fenêtres d'une minute. Le service de limitation de débit de Cloudflare détient ces compteurs : leur durée de vie dépend donc de Cloudflare. Ils ne sont jamais stockés avec un envoi ou un message.
• Cloudflare Turnstile : la vérification anti-robot qui s'exécute quand vous envoyez un message de retour, notez un outil, demandez un lien de connexion ou lancez une conversion Office sans Premium. Elle est opérée par Cloudflare, qui traite votre adresse IP, la chaîne d'identification de votre navigateur, une empreinte technique de votre connexion et l'identifiant de notre site pour distinguer les humains des robots. Turnstile ne dépose aucun cookie publicitaire, ne sert jamais à vous suivre d'un site à l'autre, et Cloudflare n'utilise pas ces données pour établir un profil de vous.
• Limite d'e-mails de connexion : un compteur par adresse e-mail, conservé environ 35 minutes sous une empreinte de l'adresse (voir la section « E-mails que nous envoyons »).
• Les sessions de connexion conservent l'adresse IP et la chaîne d'identification du navigateur relevées à la connexion (voir la section « Votre compte »).
• Un lien de connexion ne fonctionne que dans le navigateur qui l'a demandé, grâce à un cookie qui contient une empreinte du lien.
• Journaux du serveur : notre hébergeur, Cloudflare, enregistre des journaux techniques des requêtes traitées par notre serveur, y compris l'adresse demandée, votre adresse IP et la chaîne d'identification de votre navigateur. Ils sont conservés 7 jours et servent uniquement à corriger des erreurs et à enquêter sur des abus. Les messages que notre code écrit dans ces journaux peuvent contenir vos identifiants de compte, d'espace de travail ou Stripe et les adresses des liens d'invitation et de téléchargement, mais jamais votre adresse e-mail ni le contenu de vos fichiers.

Services Google

Connexion avec Google : si vous la choisissez, Google nous communique votre nom, votre adresse e-mail, l'indication que cette adresse est vérifiée ou non, l'adresse de votre photo de profil et l'identifiant de votre compte Google. Nous les conservons, avec les jetons renvoyés par Google, comme décrit dans la section « Votre compte ».

Votre photo de profil : si vous vous êtes connecté avec Google, votre navigateur charge votre photo directement depuis les serveurs de Google sur les pages qui affichent votre avatar. Google reçoit alors votre adresse IP et la chaîne d'identification de votre navigateur, comme pour toute image qu'il héberge.

Import depuis Google Drive : si vous choisissez d'importer un fichier depuis Google Drive, tout l'échange se déroule entre votre navigateur et Google, sans jamais passer par nos serveurs. L'autorisation accordée ne couvre que les fichiers que vous sélectionnez (portée « drive.file » de Google), et le jeton d'accès temporaire est conservé dans le stockage local de votre navigateur, nulle part ailleurs. Cette fonctionnalité ne s'active que si vous cliquez dessus.

Ce que Google fait de ces données relève de sa propre politique de confidentialité.

Durées de conservation

Les données liées à une tâche ponctuelle sont supprimées selon un calendrier fixe. Les données liées à votre compte sont conservées jusqu'à ce que vous les supprimiez, ou que vous supprimiez votre compte ou l'espace de travail auquel elles appartiennent. Voici le détail :

Cookies et contenus tiers

Nous ne déposons aucun cookie publicitaire ni cookie de suivi tiers, c'est pourquoi aucun bandeau cookies ne s'affiche.

Des contenus tiers ne se chargent dans votre navigateur que là où c'est nécessaire : Cloudflare Turnstile sur les formulaires qu'il protège et à la connexion, la page de connexion de Google et votre photo de profil Google si vous vous connectez avec Google, les scripts de Google si vous ouvrez l'import Drive, et les pages de paiement et de facturation de Stripe, vers lesquelles nous vous dirigeons quand vous achetez ou gérez Premium. Les polices de caractères sont servies depuis notre propre domaine, et non depuis les serveurs de Google Fonts.

Les cookies que nous utilisons sont tous strictement nécessaires : ils sont donc exemptés de consentement. Seul le premier peut être déposé sans connexion. Les autres n'existent que pendant la connexion ou tant que vous êtes connecté :

• « i18n_redirected » : mémorise votre préférence de langue une fois qu'une langue a été choisie ou détectée. Il ne contient aucun identifiant et dure un an.
• « __Secure-better-auth.session_token » : votre session de connexion. Les scripts de la page ne peuvent pas le lire, il est partagé par visualpdf.com et ses sous-domaines, et il dure 7 jours, renouvelés tant que vous utilisez le site.
• « vpdf_session » : indique à la page qu'une session existe, pour qu'elle puisse afficher votre compte immédiatement. Il ne contient que la valeur 1 et a la même durée de vie que le cookie de session.
• « __Host-vpdf_ml » : associe un lien de connexion au navigateur qui l'a demandé. Il contient une empreinte du lien, jamais le lien lui-même, et dure 10 minutes.
• « __Secure-better-auth.state » : un cookie de sécurité qui dure 5 minutes pendant votre connexion avec Google.

Stockage local

Quelques réglages sont conservés dans le stockage de votre navigateur, lus uniquement par nos pages et jamais envoyés à nos serveurs :

• « vpdf_account » : votre nom, votre adresse e-mail, vos initiales, la couleur de votre avatar, l'adresse de votre photo Google et votre statut Premium, pour que l'en-tête et son menu de compte puissent afficher votre compte avant la réponse de notre serveur. Il ne contient aucun identifiant de compte, et il est effacé quand vous vous déconnectez ou supprimez votre compte.
• « vpdf_r7k » : le nombre de tâches effectuées au cours de la dernière heure avec l'offre gratuite.
• « vpdf_currency » : la devise et le taux de change utilisés pour afficher une estimation des prix Premium dans votre devise, conservés 24 heures. Notre serveur choisit la devise d'après le pays que Cloudflare associe à votre connexion, et ne l'enregistre pas.
• « nuxt-color-mode » : votre choix de thème clair ou sombre.
• « visualpdf:ratings » : les outils que vous avez déjà notés ou refusé de noter, et la date de notre dernière demande.
• « visualpdf:viewer-zoom » : votre niveau de zoom préféré dans l'éditeur.
• Si vous utilisez l'import Google Drive : le jeton d'accès temporaire de Google.
• Dans le stockage de session, qui se vide à la fermeture de l'onglet : un indicateur qui aide la page à se rétablir après l'échec d'une mise à jour.

Prestataires et destinataires

Vos données ne sont jamais vendues, louées ni partagées à des fins publicitaires. Elles ne sont transmises qu'aux destinataires suivants, chacun pour la finalité indiquée :

• Cloudflare, Inc. (États-Unis) : hébergement, bases de données, stockage de fichiers, diffusion de contenu, journaux du serveur, sécurité (dont Turnstile) et acheminement de nos e-mails. Lié par un avenant relatif au traitement des données qui intègre les clauses contractuelles types de l'UE.
• Microsoft (États-Unis) : réalise uniquement les conversions Word, Excel et PowerPoint, comme décrit plus haut.
• OVH SAS (France) : héberge notre outil de mesure d'audience auto-hébergé.
• Google (États-Unis) : connexion avec Google, votre photo de profil si vous l'utilisez, et l'import Drive facultatif, qui s'exécute dans votre navigateur.
• Stripe, y compris Sold through Link, LLC (États-Unis) : paiements Premium, TVA, reçus et factures, en tant que revendeur officiel et responsable du traitement indépendant.
• Discord, Inc. (États-Unis) : notifications internes à notre équipe. Pour un message de retour : son numéro, son motif, la langue, le pays, l'adresse de la page, ainsi que le nom et la taille du fichier joint. Pour un e-mail en échec : le code d'erreur uniquement. Jamais votre message ni votre adresse e-mail.
• IONOS SE (Allemagne) : stocke les e-mails que vous envoyez à contact@visualpdf.com.
• Autres utilisateurs : les membres d'un espace de travail dont vous faites partie et les personnes que vous invitez voient ce que décrit la section « Espaces de travail et équipes ».

Transferts hors de l'Union européenne

Certains de nos prestataires sont situés aux États-Unis ou peuvent y traiter des données : Cloudflare (qui héberge nos bases de données et notre stockage), Microsoft, Google, Stripe et Discord. Ces transferts reposent sur le cadre de protection des données UE-États-Unis (Data Privacy Framework) lorsque le destinataire y est certifié, et sur les clauses contractuelles types de la Commission européenne dans les autres cas. Vous pouvez nous demander une copie de ces garanties à contact@visualpdf.com.

Vos droits

Le RGPD vous donne un droit d'accès, de rectification, d'effacement et de portabilité sur les données que nous détenons à votre sujet, ainsi qu'un droit d'opposition et un droit à la limitation du traitement. Si vous avez un compte, ces droits couvrent votre compte, les données de vos espaces de travail et vos éléments enregistrés.

Vous pouvez faire une partie de ces démarches vous-même : modifier votre nom sur la page de votre compte, supprimer vos éléments enregistrés et supprimer votre compte (voir la section « Supprimer votre compte »). Pour tout le reste, y compris une copie des données de votre compte dans un format portable, écrivez à contact@visualpdf.com. Nous répondons sous un mois.

Droit d'opposition : vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, aux traitements fondés sur notre intérêt légitime : mesure d'audience, mesures de sécurité, enregistrements de sessions et journaux du serveur. Écrivez à contact@visualpdf.com. Pour la mesure d'audience, vous pouvez aussi l'arrêter vous-même en bloquant les requêtes vers www.visualpdf.com/api/e/ avec n'importe quel bloqueur de contenu : le site continue de fonctionner.

Pour les données de paiement, vous pouvez aussi contacter directement Stripe ou Link. Leurs politiques de confidentialité sont accessibles depuis la section « Paiements Premium ».

Vous pouvez aussi nous donner des directives sur le sort de vos données après votre décès (loi Informatique et Libertés, article 85). En l'absence de directives, votre compte est conservé jusqu'à ce que vos héritiers nous demandent de le supprimer, en écrivant à contact@visualpdf.com avec un justificatif de décès. Vous pouvez nous indiquer à la même adresse si vos données peuvent être communiquées à une personne que vous désignez.

Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de l'autorité française de protection des données : CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France (www.cnil.fr). Vous pouvez aussi saisir l'autorité de protection des données du pays de l'Union où vous résidez, où vous travaillez ou où la violation présumée a eu lieu.

Profilage et âge minimum

Nous ne prenons aucune décision automatisée vous concernant et ne constituons aucun profil. Les outils ne nécessitent aucun compte et s'adressent à un public général.

Les comptes sont réservés aux personnes de 15 ans et plus. Les achats sont réservés aux personnes majeures, ou aux mineurs qui ont l'autorisation d'un parent. Nous ne collectons pas sciemment de données concernant des enfants de moins de 15 ans.

Modifications de cette politique

Si nos pratiques changent, nous mettons à jour cette page et sa date de « dernière mise à jour » avant l'entrée en vigueur du changement. Si un changement concerne de façon importante les titulaires d'un compte, nous les prévenons aussi par e-mail 30 jours avant son application.