Vos documents ne partent pas. Vérifiez-le vous-même.

Les trois vérifications

1. Coupez le réseau. Chargez l'atelier, passez l'appareil en mode avion ou débranchez le câble, puis travaillez : déposez, réorganisez, exportez. Tout continue de fonctionner. Un service qui téléverse s'arrête net à la première seconde.
2. Regardez l'onglet « Réseau ». Ouvrez les outils de développement de votre navigateur (F12), onglet Réseau, puis déposez un fichier de cent pages, réorganisez, filigranez. Rien ne part : ni requête, ni envoi en arrière-plan, ni « télémétrie ». Enregistrez, et vous en verrez apparaître exactement une, /compte?p=100 : le compteur de l'accueil, qui reçoit un nombre de pages. Elle pèse une ligne, et c'est la seule de tout le site.
3. Lisez la politique de sécurité du contenu. Elle est dans la source de chaque page et dans les en-têtes du serveur. La ligne qui compte est connect-src 'self' : elle interdit au navigateur toute connexion vers un autre domaine. Ce n'est pas une règle que le site s'impose et qu'il pourrait enfreindre — c'est le navigateur qui l'applique.

Pourquoi c'est différent d'une promesse

Un service qui téléverse peut promettre la suppression sous une heure ; vous n'avez aucun moyen de le constater. Une architecture, elle, se constate.

Ce que cela change pour le RGPD

Nous ne recevons aucun document, donc nous ne traitons aucune des données qu'ils contiennent. Concrètement, pour une organisation :

• Pas de transfert de données vers un tiers : rien ne sort du poste de travail de la personne qui utilise l'outil. La question du transfert hors Union européenne ne se pose pas, faute de transfert.
• Pas de sous-traitant à qualifier pour le contenu des fichiers, donc pas de contrat de sous-traitance à faire signer pour ce geste-là.
• Pas de durée de conservation à fixer, et rien à demander à effacer : il n'y a pas de copie ailleurs.
• Aucun cookie, aucun traceur, aucun tiers — donc pas de bandeau de consentement, parce qu'il n'y a rien à consentir. La seule mesure que nous fassions est un total de pages traitées, sans identifiant, sans adresse IP et sans provenance : elle est décrite ici.

Ce qu'un serveur web voit nécessairement quand vous chargez une page — une adresse IP, une date, la page demandée — reste vrai ici comme partout : c'est le fonctionnement du web, et cela concerne la page, jamais vos documents. Aucune de ces traces ne contient quoi que ce soit de ce que vous ouvrez dans l'atelier.

Le compteur, et pourquoi il ne triche pas

L'accueil affiche un nombre de pages traitées. Il faut donc dire d'où il vient, sans quoi ce serait un chiffre de plus sur un site qui demande qu'on le vérifie : après un export, et seulement à ce moment-là, la page envoie une requête vers ce domaine. Elle ressemble à ceci, et il n'y a rien d'autre dedans :

POST /compte?p=12

Douze, c'est le nombre de pages qui viennent d'être traitées. Ce qui n'est pas envoyé, et qui est tout le sujet : aucun octet de vos documents, aucun nom de fichier, aucun identifiant, aucun cookie (il n'y en a pas), pas même l'outil employé.

Disons-le sans détour : nous enregistrons le nombre d'actes réalisés. Une ligne est écrite à chaque enregistrement, avec sa date et son nombre de pages. Nous connaissons donc deux totaux — combien d'actes, combien de pages — et c'est exactement ce que l'accueil affiche. Rien dans ces lignes ne dit qui les a faits, ni depuis où, ni avec quel outil.

À l'arrivée, le serveur ne répond rien et n'écrit qu'une ligne dans un journal à part — une date et ce nombre. Ni adresse IP, ni agent utilisateur, ni référent ; deux exports faits par la même personne sont donc indistinguables de deux exports faits par deux inconnus. Le format tient en une ligne, et il est dans le dépôt : log_format pdf_tools_compte '$time_iso8601 $arg_p';

Un script additionne périodiquement ces lignes et écrit le total dans le HTML de l'accueil, entre deux marqueurs. C'est pour cela que la page d'accueil continue de ne charger aucun JavaScript : le compteur n'est pas calculé chez vous, il est déjà écrit quand la page vous parvient.

Enfin, si votre navigateur demande à ne pas être suivi (Do Not Track), rien n'est envoyé du tout, et les outils fonctionnent exactement pareil. C'est aussi le cas si vous avez posé le site sur une clef USB ou un intranet : il n'y a alors personne pour compter, et cela ne change rien à ce que vous faites.

Le posséder entièrement

Le site est un dossier de fichiers statiques. Il n'y a ni application, ni base de données, ni processus qui tourne. On peut donc le poser ailleurs :

• sur l'intranet de votre organisation, sans accès à Internet ;
• sur un partage réseau, ou même une clef USB ;
• sur votre propre hébergement, si vous préférez ne dépendre de personne.

C'est le second sens du mot « souverain » : ne pas dépendre d'un domaine, d'un abonnement, ni de la santé économique d'un prestataire. Si ce site disparaissait demain, une copie posée chez vous continuerait de fonctionner à l'identique.

Comment c'est fait, en trois phrases

Le PDF est lu et réécrit par une bibliothèque qui s'exécute dans votre navigateur ; les pages sont dessinées à l'écran par le moteur de rendu de Mozilla, servi depuis ce site et configuré sans évaluation de code et sans accès réseau. Les polices et les tables de caractères dont il a besoin sont recopiées dans le paquet plutôt que chargées depuis un réseau de diffusion : une seule requête vers un tiers suffirait à défaire la promesse.

Et l'export ne modifie jamais votre fichier : il fabrique un document neuf en y recopiant les pages voulues. C'est ce qui garantit qu'une page supprimée ne survit pas sous la nouvelle version — la façon dont des documents caviardés ont été « dé-caviardés » après publication.

Essayez, en coupant le réseau

C'est la démonstration la plus courte, et vous n'avez à croire personne.