Sécurité

Dernière mise à jour : 6 octobre 2026

Cette page explique où vos fichiers sont traités et comment signaler un problème de sécurité. Elle décrit nos mesures de sécurité et les limites des évaluations effectuées.

1. Qui fournit le service

PageJoy exploite pagejoy.app. Contactez l'assistance à support@pagejoy.app.

2. Fichiers traités sur notre site

Lorsque vous utilisez notre site, les PDF et les photos sont traités dans votre propre navigateur. Ils ne nous sont pas téléversés pour traitement. Nous n'utilisons pas l'IA pour traiter les fichiers sur le site. Nous n'entraînons aucune IA sur les fichiers des clients.

Pour le décompte gratuit et la liaison des codes, le site utilise des cookies d'identité anonyme du navigateur ; il utilise aussi des cookies pour la session du compte et l'état bref de retour de connexion du prestataire. Leurs noms, finalités et durées figurent dans la Avis relatif aux cookies et au stockage du navigateur. Notre service de connexion ne place pas les jetons du compte, codes, clés d'authentification, codes de secours ni noms de fichiers dans localStorage, sessionStorage ou IndexedDB. Les détails Templates enregistrés en mode Personal lorsque vous n'êtes pas connecté restent dans votre navigateur. Le stockage du navigateur fait partie de l'appareil utilisé. Les personnes ayant accès à ce profil de navigateur peuvent avoir accès aux informations qui y sont enregistrées. Vous pouvez les effacer dans les paramètres du navigateur, mais cela peut supprimer votre travail enregistré ou vos informations de connexion.

Conservez votre fichier original et vérifiez le résultat avant de l'utiliser. Vérifiez notamment qu'un fichier masqué ne révèle pas les informations que vous souhaitiez retirer et contrôlez le texte produit à partir d'un scan. La protection par mot de passe et le masquage agissent sur le fichier choisi. Ils ne modifient pas les copies conservées ailleurs.

3. Fichiers traités via ChatGPT et Claude

Dans ChatGPT, vous choisissez les fichiers d'entrée PDF et Photo dans notre propre panneau PageJoy et le travail s'exécute sur votre appareil. Nos outils ne lisent pas les fichiers joints à la conversation ChatGPT et n'envoient pas les fichiers d'entrée sélectionnés à notre serveur de traitement. La remise des résultats, y compris la copie verrouillée du résultat ChatGPT, est décrite dans la Avis de confidentialité du module complémentaire.

Claude sélectionne les fichiers uniquement dans notre propre panneau PageJoy. Ses outils ne lisent, ne récupèrent et n'extraient jamais les fichiers téléversés dans la conversation Claude. Les fichiers choisis dans le panneau sont traités sur votre appareil et le résultat est téléchargé dans votre navigateur. Nous ne renvoyons pas automatiquement le contenu des fichiers à Claude et n'envoyons pas ces fichiers du panneau à un autre destinataire. Une opération de traitement sur le serveur autorisée séparément suit ses propres règles annoncées de traitement et de suppression des fichiers.

Le traitement par la plateforme de vos conversations et de tout fichier ou résultat reçu suit ses conditions et informations de confidentialité distinctes. Une sélection dans le panneau n'établit pas à elle seule qu'Anthropic reçoit le fichier.

Pour plus d'informations, lisez la Notice de confidentialité du plugin pour ChatGPT et Claude. Ne considérez pas la suppression de notre serveur comme une suppression d'OpenAI, d'Anthropic ou de votre appareil.

4. Comptes, informations enregistrées et paiements

Le premier téléchargement gratuit sur le site ne nécessite pas de compte. À partir du deuxième téléchargement gratuit, vous confirmez un e-mail sur la même page, ce qui crée un compte gratuit et transfère votre décompte du navigateur. ChatGPT et Claude exigent un compte gratuit avant la première utilisation. Un compte gratuit n'autorise pas de frais. La connexion est disponible par adresse e-mail et mot de passe, code à usage unique envoyé par e-mail, Google ou Microsoft, avec Supabase Auth et notre intermédiaire de sécurité. Les mots de passe doivent comporter au moins 8 caractères. Cloudflare Turnstile vérifie les requêtes protégées pour détecter les robots. Les prestataires réels, régions de déploiement et rôles figurent dans notre Liste des Prestataires de services. L'enregistrement du relais privé Apple permet l'envoi à une adresse de relais ; il n'autorise pas l'identification de l'adresse derrière elle.

Dans les espaces Business gratuits ou payants, les données du compte et documents Templates enregistrés, détails de l'entreprise, clients, articles et logos sont stockés dans notre base de données Supabase. Les comptes personnels conservent les détails enregistrés de Templates sur leur propre appareil. Demandez à l'assistance des informations sur le lieu applicable à votre compte. Notre liste des Prestataires de services explique leurs rôles.

Les formules payantes utilisent Stripe Managed Payments. Stripe agit comme marchand officiel et gère la taxe sur les ventes et la TVA. Lisez les Conditions d'abonnement et de remboursement pour les dispositions d'achat et d'annulation. Stripe et Link ont leurs propres conditions de paiement et de confidentialité.

5. Nos mesures de sécurité

Nous vérifions les sessions des requêtes serveur protégées, utilisons des codes e-mail à usage unique, proposons une connexion facultative par application d'authentification, chiffrons les enregistrements privés de sécurité du compte et imposons les rôles de l'espace de travail et limites de requêtes sur le serveur. Nous ne revendiquons pas de certification indépendante de sécurité ni d'évaluation indépendante complète de sécurité. Les vérifications d'authentification et de l'espace de travail n'établissent pas que l'ensemble du service est sans risques de sécurité.

5.1 Connexion et sécurité privée du compte

Les codes de connexion par e-mail durent 10 minutes, fonctionnent une seule fois et se bloquent après cinq tentatives incorrectes. Un nouvel envoi invalide le code précédent. Le serveur conserve un hachage à clé du code, sa finalité, son expiration, le nombre d'essais incorrects et la liaison au navigateur ou à la session. Les modifications sensibles du compte exigent une preuve récente dans les 5 minutes.

Le navigateur conserve un cookie de session HttpOnly opaque, valide pendant 30 jours maximum, avec SameSite=Lax et Secure en HTTPS. Les sessions HTTPS utilisent le cookie __Host-session. L'intermédiaire vérifie l'enregistrement du serveur à chaque requête protégée ; la révocation prend donc effet immédiatement même si un ancien cookie reste dans le navigateur. Les jetons d'accès et de renouvellement du prestataire et l'état de retour restent dans l'état privé chiffré du serveur.

La connexion en 2 étapes par application d'authentification est facultative et désactivée par défaut. La configuration expire après 10 minutes et doit être confirmée avant l'activation du facteur. Nous stockons la clé d'authentification chiffrée car elle est nécessaire pour vérifier les codes, le dernier intervalle de temps accepté pour prévenir la réutilisation et les hachages à clé de 10 codes de secours à usage unique. Un hachage de secours utilisé est supprimé. Désactiver le facteur supprime sa clé active et les hachages de secours inutilisés. Une session nouvellement connectée ne peut pas lire les données protégées du compte avant la réussite de la seconde étape activée. Ces vérifications s'appliquent avant d'autoriser l'accès protégé au compte.

L'activité de sécurité du compte est privée à ce compte. Son enregistrement contient un identifiant de compte et d'événement, un type d'événement fixe et un horodatage. Les événements comprennent les connexions, échecs ou blocages des comptes connus, changements de méthode et de seconde étape, invitations, révocations de session ou connexion et demandes de suppression. Elle est distincte du journal d'activité de l'espace de travail Business du client. Les lignes d'appareils affichent leur type et leur dernière activité. Nous n'utilisons pas de recherche de localisation approximative pour les appareils.

Les e-mails de sécurité et de vérification utilisent l'adresse du destinataire, le type et l'heure du message et le code, lien d'invitation ou les informations limitées de l'appareil nécessaires au message. Les alertes concernent un nouvel appareil, un ajout ou retrait de méthode de connexion, l'activation ou désactivation de la connexion en 2 étapes, un changement d'e-mail et une demande ou annulation de suppression. Aucun code, jeton, clé, code de secours, identifiant brut ChatGPT, activité du compte liée à l'utilisateur ni nom de fichier n'a sa place dans l'analyse ou les rapports d'erreurs. Les journaux de diagnostic ne contiennent que des noms d'événements fixes et des numéros de statut.

5.2 Vérifications des robots, décompte pseudonyme et fenêtres de fréquence

Cloudflare Turnstile reçoit des données du navigateur et des défis et, lors de la vérification en production, l'adresse réseau. Une vérification des robots par un tiers implique des données. Ses rôles, lieux et contrats de prestataire applicables figurent dans la liste des Prestataires de services. La Notice sur les cookies et le stockage du navigateur explique son accès à l'appareil.

Le décompte mensuel d'utilisation gratuite, dans ChatGPT comme dans Claude, est lié à votre compte gratuit PageJoy. Nous conservons une identité de compte à clé, l'association entre l'outil et le mois UTC, des identifiants de résultats terminés pour éviter les doublons et des réservations en attente. Nous les traitons comme des informations personnelles pseudonymes. Aucun identifiant de quota anonyme ChatGPT ni aucune autorisation anonyme ChatGPT n'est utilisé. Ces enregistrements appliquent la limite de 3 utilisations terminées par outil et par mois et sont distincts des copies de fichiers. Un travail échoué ne consomme pas une autre utilisation gratuite. L'identité du compte ne donne pas accès à un espace de travail client.

Nous appliquons ces limites glissantes. Elles peuvent fonctionner ensemble ; respecter l'une ne contourne donc pas l'autre.

Les identifiants réseau et clés de limite de requêtes sont dérivés avec une clé conservée sur le serveur. Les horodatages des requêtes restent des données privées de sécurité. Nous n'utilisons pas de recherche de localisation approximative pour les appareils.

Les codes d'autorisation du plugin connecté sont valides pendant 60 secondes et fonctionnent une seule fois. Les jetons d'accès opaques durent 5 minutes. Les autorisations de renouvellement changent à chaque utilisation et ont une validité maximale de 30 jours sauf révocation anticipée. Une connexion révoquée est refusée à la requête suivante. Chaque outil réel doit aussi vérifier le rôle, l'approbation et le droit d'accès pour l'opération.

Les fenêtres de requêtes et délais d'expiration régissent l'accès plutôt que le moment où chaque enregistrement est effacé. Les horodatages hors de la fenêtre applicable sont supprimés lors de la prochaine utilisation d'une clé ; les clés hachées inactives n'expirent pas automatiquement. Les enregistrements de défi, de session et de connexion liés au compte sont supprimés lors de la purge du compte. L'activité privée du compte reste pendant sa durée de vie. Les facteurs d'authentification actifs chiffrés restent jusqu'à leur désactivation ou à la purge du compte, et les hachages de secours utilisés sont supprimés immédiatement. Un enregistrement de configuration expiré n'est pas nécessairement effacé au même moment. Les messages livrés quittent la file d'envoi, les messages du compte en attente sont supprimés lors de la purge et les copies détenues par notre service d'e-mail restent jusqu'à leur suppression par son opérateur. La Notice de confidentialité explique ces périodes et vos droits de demande.

5.3 Suppression du compte

La suppression du compte exige un nouveau code e-mail distinct et fixe un délai 7 jours plus tard. Vous pouvez l'annuler dans les paramètres du compte avant ce délai. La demande révoque les autres sessions du navigateur et autorisations des conversations connectées ; la session actuelle reste disponible pour examiner ou annuler la demande. L'annulation ne restaure pas les sessions ou connexions révoquées. L'autre accès au produit pendant cette période suit le fait que la session demandeuse peut utiliser les paramètres du compte et son accès autorisé existant au produit avant le délai ; les autres sessions et autorisations de conversation sont révoquées. Tout accès ordinaire au compte prend fin au délai.

Après le délai, la purge doit s'achever lors du prochain nettoyage réussi du compte après la période d'annulation de sept jours. Aucun délai maximal fixe n'est prévu entre le délai et la fin du nettoyage. Elle supprime le profil de compte de la personne, les facteurs, sessions, autorisations, activités privées du compte, défis, invitations, notices en attente, utilisations liées au compte et données du produit dans le champ approuvé. Les enregistrements Business partagés suivent les instructions du client professionnel et le DPA. La suppression du compte n'identifie pas automatiquement le quota de navigateur non lié ou les enregistrements hachés de fréquence réseau ; des programmes distincts doivent les purger.

Les documents et l'activité partagés restent jusqu'à la fermeture de l'espace de travail, avec minimisation des identifiants des anciens membres. Les clés hachées inactives de limite de requêtes suivent leurs règles de conservation distinctes. Les reçus personnels et enregistrements de sécurité du compte sont supprimés lors de la purge du compte. Seule une finalité licite précise et sa période applicable peuvent justifier la conservation d'autres enregistrements ; cela n'autorise pas la conservation d'identifiants actifs ou de tout l'historique de sécurité pour un usage ordinaire. Nous ne faisons pas de sauvegardes gérées par l'entreprise. Les exports téléchargés restent sur votre appareil jusqu'à leur suppression et la suppression du compte ne peut pas récupérer ces copies. Les données supprimées ne doivent pas être rétablies pour une utilisation active.

Le GDPR britannique exige des mesures de sécurité adaptées au risque selon les articles 5(1)(f) et 32. Il s'agit d'une obligation légale plutôt que d'une déclaration selon laquelle un contrôle particulier a été mis en œuvre. Consultez les Recommandations de l'ICO sur la sécurité des données.

6. Signaler un problème de sécurité

Envoyez une vulnérabilité ou un incident de sécurité présumé à security@pagejoy.app. Si cette adresse est indisponible, contactez support@pagejoy.app et précisez que le message concerne la sécurité.

Incluez la page ou le plugin concerné, une brève description, l'heure de la découverte et des étapes sûres pour reproduire le problème. Utilisez un compte et des fichiers de test. Retirez du rapport les informations personnelles des autres, mots de passe, clés et détails de paiement. Si vous pensez que des preuves sensibles sont nécessaires, demandez d'abord comment les envoyer de manière sécurisée.

Le champ des tests de sécurité autorisés se limite à votre propre copie, compte de test et fichiers synthétiques. Les systèmes publics tiers et les comptes des autres clients sont exclus ; demandez une autorisation écrite spécifique avant tout test plus large. Nos modalités de signalement et de divulgation sont d'envoyer un rapport minimisé, de nous permettre de le reproduire en sécurité, de coordonner la divulgation et d'éviter l'accès aux données d'autres personnes. Aucune récompense ni immunité juridique n'est promise.

Notre objectif d'accusé de réception d'un signalement est de cinq jours ouvrables. Notre objectif de mise à jour du progrès est tous les sept jours tant qu'un signalement pouvant donner lieu à une action reste ouvert, ou plus tôt pour un changement important.

7. Violations de données personnelles

Nous évaluerons une violation présumée de données personnelles et ferons les notifications exigées par la législation applicable. Selon l'article 33 du GDPR britannique, un responsable doit notifier une violation déclarable à l'autorité britannique de protection des données sans retard injustifié et, si possible, dans les 72 heures après en avoir pris connaissance. La Commission de l'information a succédé à l'ICO le 30 septembre 2026. Un sous-traitant doit informer le responsable concerné sans retard injustifié. L'article 34 peut exiger la notification aux personnes concernées sans retard injustifié lorsque la violation risque de présenter un risque élevé pour leurs droits et libertés. Consultez les recommandations publiées sur les violations et annonce de succession de l'autorité.

L'Avenant de traitement des données explique la notification à nos clients professionnels payants lorsque nous traitons les données personnelles de leurs clients. D'autres pays peuvent exiger des notifications ou délais différents.

8. Contact de sécurité lisible par machine

Nos coordonnées de sécurité lisibles par machine sont disponibles à security.txt.