Où vont vraiment vos fichiers ? Anatomie d’un upload PDF

Vous déposez un PDF, une barre de progression défile, un lien de téléchargement apparaît. Entre ces deux instants, votre document a fait un voyage invisible. Cet article le reconstitue — étape par étape, à partir des politiques réelles des services les plus utilisés — puis montre comment vérifier vous-même qu’un outil n’envoie rien.

Étape 1 : le fichier part vers un serveur que vous n’avez pas choisi

Au dépôt, le navigateur envoie le document dans le corps d’une requête POST, le plus souvent en multipart/form-data. TLS protège le trajet contre les interceptions — pas la destination : une fois arrivé, le fichier est lisible par le service.

Où ce serveur se trouve dépend de l’opérateur : iLovePDF est une société espagnole qui indique héberger en Europe ; Smallpdf, suisse, annonce des serveurs européens ; les services Acrobat en ligne d’Adobe relèvent d’une entreprise américaine et de son infrastructure cloud. La juridiction importe : elle fixe le droit applicable et les accès que les autorités locales peuvent légalement demander.

Samsung T7 Shield — SSD externe 1 ToSSD rapide et résistant aux chocs ; taillé pour un dossier numérisé complet.affilié

Étape 2 : le traitement — et ce que les conditions autorisent

Une fois sur le serveur, le fichier est lu par le logiciel du service. Ce qu’il peut en faire est défini par les conditions acceptées — souvent sans être lues. Trois exemples, cités tels quels, pages publiques consultées en octobre 2026 :

• Adobe : les conditions générales prévoient que, « solely for the purposes of operating or improving the Services and Software », vous accordez « a non-exclusive, worldwide, royalty-free sublicensable license to use, reproduce, publicly display, distribute, modify, create derivative works based on, publicly perform, and translate the Content ». La section « Our Access to Your Content » ajoute que des systèmes automatisés peuvent analyser le contenu par apprentissage automatique, « when the Content is sent, received, or stored », et que les fichiers déposés peuvent être scannés pour détecter des contenus illégaux. Après la controverse de juin 2024, Adobe a précisé ne pas entraîner ses modèles d’IA générative sur le contenu des clients, avec option d’exclusion du programme d’amélioration.
• iLovePDF : la FAQ affirme « we won’t check, copy or analyze your files in any way » — une promesse plus étroite, qui reste une déclaration contractuelle.
• Smallpdf : le centre de confiance limite l’accès aux données à « responding to support requests or addressing technical issues ».

Ces textes ne sont pas des aveux de malveillance : ce sont des périmètres d’autorisation. La question n’est pas de savoir si le service lira votre fichier, mais ce que vous l’avez contractuellement autorisé à en faire.

Étape 3 : « supprimé sous une heure » — une promesse, pas une observation

C’est la phrase rassurante de toutes les pages de confidentialité. En voici les versions réelles :

• iLovePDF supprime les fichiers « within TWO (2) HOURS of being processed » ; les conditions ajoutent que le contenu reste sur les serveurs « as long as the download link is available », et que les services de signature iLoveSign relèvent de durées propres.
• Smallpdf supprime les fichiers des outils gratuits après une heure — mais conserve les documents de signature quatorze jours, compteur remis à zéro à chaque ouverture, et garde les fichiers du stockage en compte jusqu’à suppression manuelle.

Deux limites structurelles. D’abord, c’est une obligation contractuelle, pas un fait observable : personne ne peut vérifier de l’extérieur qu’un purgeur s’est exécuté à l’heure dite, sur toutes les copies. Ensuite, le périmètre est étroit : le délai porte sur le fichier dans son stockage prévu — sauvegardes, répliques, files de traitement et dumps d’incident ne sont généralement pas couverts par ces clauses.

Étape 4 : les journaux survivent au fichier

Même supprimé à l’heure promise, votre document a laissé des traces que la clause ne couvre pas mécaniquement. Tout serveur journalise : adresse IP, nom du fichier, taille, horodatage, identifiant de tâche. Ces journaux sont des données personnelles — leur conservation relève des finalités générales de la politique, pas du délai « une heure ».

La politique d’iLovePDF est explicite : les données personnelles sont conservées « to the extent that its retention and processing are necessary to fulfil the purposes for which it was collected », puis « for as long as necessary for compliance with the relevant legal obligations ». Le fichier part en deux heures ; sa trace peut rester des mois, pour des raisons de sécurité ou d’obligations légales — légitime, mais invisible dans le slogan « vos fichiers sont supprimés ».

Étape 5 : le téléchargement ne referme pas le parcours

Le parcours a aussi mobilisé plus que votre fichier : adresse IP dans les journaux d’accès et de CDN, identifiant de session, parfois un compte. Et le document lui-même a livré avec lui des métadonnées embarquées — auteur, logiciel, historique — dont le nettoyage local est détaillé dans notre article sur les métadonnées des PDF.

L’autre paradigme : rien à promettre quand rien ne part

Document Flare part d’un postulat différent : le fichier ne quitte pas le navigateur, donc il n’y a ni délai de suppression à promettre, ni journal serveur à purger, ni sous-traitant à lister. Ce n’est pas une politique — c’est une architecture, et elle est vérifiable :

• L’onglet Réseau le montre : déposer un PDF dans l’outil de fusion ne déclenche aucune requête transportant le document. Le protocole complet — cinq minutes, rejouable sur n’importe quel outil — est dans notre test réseau.
• Un badge le mesure : sur les routes /tools/, un compteur additionne en continu les octets des corps de requêtes émises par l’application (fetch et XMLHttpRequest) et affiche le total. Il reste à zéro parce que rien ne part — ses limites (sendBeacon, WebSocket, requêtes internes aux workers non couvertes) sont indiquées dans son infobulle.
• Le cache est borné par une liste blanche : le service worker n’écrit en cache persistant que des assets applicatifs et des modèles publics — aucun octet de document n’est éligible au cache. La seule exception, le tampon de partage Android (share_target), est un cache dédié purgé à la première lecture.
• La mesure d’audience est un no-op sur les outils : le script d’analytics (Plausible, sans cookie) ne tourne que sur les pages publiques ; sur /tools/, le suivi de page vue ne transmet rien — ni nom, ni taille, ni contenu de fichier.

Deux précisions honnêtes : les fonctions IA et OCR téléchargent un modèle au premier usage — le trafic va du serveur vers votre machine, jamais l’inverse — et le traitement local ne protège pas contre un poste compromis. Le détail du modèle de menace est dans notre article sur la confidentialité du traitement local.

Le protocole rejouable : trois vérifications en dix minutes

1. Observez le réseau. F12, onglet Réseau, « Conserver le journal », déposez un PDF dont vous connaissez le poids. Un POST/PUT approchant cette taille est un upload ; son absence est le signe d’un traitement local.
2. Lisez la clause de rétention. Cherchez « delete », « retention », « hours » dans la politique — puis les exceptions : signature, stockage en compte, sous-traitants, juridiction d’hébergement.
3. Refaites le test avant un document sensible. Une observation vaut pour la version observée, pas pour la suivante.

Ce protocole s’applique à nous autant qu’aux autres — c’est ce qui le rend différenciant.

Sources

Politiques et conditions consultées en octobre 2026 — elles peuvent avoir évolué depuis ; les citations sont traduites de l’anglais :

• iLovePDF, Privacy Policy et Terms and Conditions — suppression sous deux heures, exception iLoveSign, conservation des données personnelles selon les finalités.
• iLovePDF, FAQ — « we won’t check, copy or analyze your files ».
• Smallpdf, Is Smallpdf Safe? et Trust Center — suppression après une heure, quatorze jours pour les documents eSign, stockage en compte jusqu’à suppression.
• Adobe, General Terms of Use — licence d’exploitation du contenu (§4.2) et accès automatisé (§2.3).
• Adobe, Updating Adobe’s Terms of Use (10 juin 2024) — clarification sur l’IA générative et l’option d’exclusion.

Si vous repérez une évolution de ces textes, signalez-la-nous via la page contact : cet article est maintenu comme une référence.

Avertissement

Cet article analyse des documents publics à des fins d’information ; il n’est ni un conseil juridique ni une accusation — il décrit ce que les conditions autorisent, pas nécessairement ce qui est exercé. Pour vos obligations propres (secret professionnel, RGPD), voir notre article sur le RGPD et le traitement local et les cas métiers : avocats, santé, ressources humaines.

Le matériel adapté

Samsung T7 Shield — SSD externe 1 ToSSD rapide et résistant aux chocs ; taillé pour un dossier numérisé complet.affilié Synology DS223j — NAS 2 baiesNAS deux baies accessible à distance : l’archive personnelle hors du cloud.affilié