Services PDF en ligne : ce qu’ils disent du stockage

Le secrétariat d’une école de Porrentruy rassemble des documents chaque semestre : horaires, lettres aux parents, inscriptions aux camps. Ce sont souvent des PDF séparés qui doivent devenir un seul fichier. Le chemin le plus rapide passe par un service en ligne : téléverser les fichiers, les fusionner, télécharger le résultat. Pour les inscriptions, avec les allergies et les numéros d’urgence, la secrétaire se demande où ces fichiers se trouvent entre-temps, et pour combien de temps.

La réponse figure en général chez le fournisseur lui-même — dans une FAQ, sur une page consacrée à la sécurité ou dans la déclaration de protection des données. Cet article reprend ce que quatre services répandus y indiquent, sans les évaluer, et montre à quoi l’on peut être attentif en lisant ce genre d’indications.

Ce qui se passe au téléversement

Un service en ligne qui travaille sur un serveur a besoin du fichier sur son serveur. Le fichier est téléversé, traité sur place, et le résultat est mis à disposition pour le téléchargement. Pendant un certain temps, l’original et le résultat se trouvent donc chez le fournisseur. Combien de temps, où et qui peut y accéder, c’est le fournisseur qui en décide — et qui le décrit publiquement, dans le meilleur des cas.

Ce qu’indiquent quatre fournisseurs

Les indications suivantes proviennent des pages des fournisseurs, résumées selon leurs propres termes, état au 25 septembre 2026 :

Fournisseur	Suppression des fichiers téléversés	Lieu et autres indications
Adobe	Sans connexion, Adobe supprime le fichier dans un court délai ; avec connexion, il est enregistré dans le compte	Chiffrement AES-256 et TLS 1.2 (FAQ, mise à jour du 2 juin 2025)
iLovePDF	Suppression automatique et définitive dans les deux heures suivant le traitement	Entreprise à Barcelone, basée en Europe (page sur la sécurité du 19 juin 2025)
PDF24	Suppression automatique dans l’heure suivant le traitement	Serveurs de traitement dans des centres de données dans l’UE ; programme de bureau pour le traitement sans téléversement (FAQ)
Smallpdf	Lors de l’utilisation des outils, suppression après une heure ; fichiers enregistrés dans le compte conservés jusqu’à leur suppression	Entreprise ayant son siège en Suisse, infrastructure de serveurs dans l’UE (article de blog du fournisseur)

Cet aperçu est un instantané. Les fournisseurs modifient leurs indications ; seule fait foi la page actuelle du fournisseur.

Comment lire ces indications

La comparaison fait ressortir quelques points que l’on peut aussi vérifier auprès d’autres services :

• Avec ou sans compte. Chez plusieurs fournisseurs, le délai dépend de la connexion. Avec un compte, les fichiers sont souvent conservés jusqu’à ce qu’on les supprime soi-même.
• « Supprimé » d’où ? Un délai de suppression se rapporte en général au serveur de traitement. S’il existe des copies de sauvegarde ou des journaux, et pour combien de temps, n’est pas toujours précisé à côté.
• Siège et emplacement des serveurs sont deux indications distinctes. Une entreprise peut avoir son siège dans un pays et exploiter ses serveurs dans un autre. Les deux comptent pour savoir quel droit s’applique et où vont les données.
• Sous-traitants. Qu’un fournisseur exploite ses propres serveurs ou recoure à des centres de données et à des services cloud de tiers ne figure souvent que dans la déclaration de protection des données.
• La date. Les indications des pages sur la sécurité sont révisées. Une date sur la page montre son actualité ; s’il n’y en a pas, il vaut la peine de noter la date de lecture.
• Chiffrement. « Chiffré » signifie en général chiffré pendant le transfert (TLS) et au stockage. Pour le traitement sur le serveur, le contenu doit en règle générale y être lisible.

Trois sortes de documents

Pour savoir si un service en ligne convient, un tri simple de ses propres documents aide :

1. Les documents sans données personnelles, par exemple un horaire ou une notice. Il s’agit ici surtout de commodité.
2. Les documents contenant des données personnelles ordinaires, par exemple une liste de classe avec noms et adresses. Ici comptent la conservation, l’emplacement et le contrat.
3. Les documents contenant des données personnelles sensibles, par exemple des données sur la santé (art. 5, let. c, ch. 2, LPD). La barre de la sécurité des données est ici plus haute, et la question du traitement local se pose tout particulièrement.

Ce tri ne préjuge d’aucune décision, mais il montre pour quels documents les indications d’un fournisseur méritent une lecture attentive.

Ce que dit la LPD

Si une entreprise ou une école téléverse des documents contenant des données personnelles auprès d’un service qui les traite pour son compte, ce service est en règle générale un sous-traitant. La LPD permet un tel transfert si les données sont traitées uniquement de la manière dont le responsable du traitement serait lui-même en droit de le faire, et si aucune obligation de garder le secret ne l’interdit ; le responsable doit notamment s’assurer que le sous-traitant est en mesure de garantir la sécurité des données (art. 9 LPD).

Si les serveurs se trouvent hors de Suisse, il s’agit en outre d’une communication à l’étranger. Celle-ci est possible sans autre si le Conseil fédéral a constaté que l’État concerné garantit un niveau de protection adéquat (art. 16, al. 1, LPD). La liste de ces États figure à l’annexe 1 OPDo ; elle comprend notamment l’Allemagne et l’Autriche.

Les questions que l’on peut poser à un fournisseur à ce sujet sont décrites dans l’article Six questions au fournisseur.

Quand le fichier n’est pas téléversé du tout

Il existe des alternatives au téléversement. Certains fournisseurs proposent des programmes de bureau qui travaillent en local ; PDF24, par exemple, décrit un tel programme pour Windows. Et certaines applications web peuvent traiter des fichiers dans le navigateur lui-même, sans les envoyer à un serveur. La manière de vérifier que c’est bien le cas est décrite dans l’article Traiter dans le navigateur.

Après le téléchargement

Le délai de suppression du fournisseur n’est qu’une partie de la question. Des copies naissent aussi sur son propre ordinateur : dans le dossier des téléchargements, dans la pièce jointe d’un e-mail, sur un lecteur partagé. Les données personnelles sont détruites ou anonymisées dès qu’elles ne sont plus nécessaires au regard de la finalité (art. 6, al. 4, LPD) — cela vaut pour les versions intermédiaires du dossier des téléchargements comme pour le fichier chez le fournisseur.

Pour le secrétariat scolaire de Porrentruy

Le secrétariat répartit ses documents en deux groupes. Les horaires et les lettres aux parents sans données personnelles continuent d’être fusionnés en ligne, chez le fournisseur dont il a lu les indications. Les inscriptions contenant des indications sur la santé sont traitées en local. Et le répertoire des programmes utilisés indique quel service sert à quoi.

Les outils PDF que nous développons traiteront les fichiers en Suisse, en mémoire, sans les conserver — sans publicité et sans suivi. En mode confidentiel, certaines tâches seront effectuées entièrement dans le navigateur, sur votre propre appareil.