Les documents de vos clients sur votre site : quelles garanties ?

Un client vous envoie un justificatif, un contrat à signer, des pièces pour un dossier. Vous, vous les recevez par e-mail, par un formulaire de votre site, ou vous les passez dans un outil PDF en ligne pour les assembler. À chaque fois, un document circule, et c’est vous qui en répondez. Voici ce qu’il faut savoir, et comment je l’ai appliqué dans mes propres outils, VEFdocsKit et PDFseries.com.

Un document qui circule est un document dont on est responsable

Un PDF n’est pas un fichier anodin : un justificatif, un contrat ou un extrait officiel contiennent des données personnelles, parfois sensibles. Dès que votre activité les reçoit ou les traite, la question de leur protection se pose, et le RGPD s’applique. J’en parle dans mon article sur la mise en conformité RGPD.

Le sujet n’est pas de se méfier de tout, mais de savoir poser les bonnes questions avant de confier un fichier à un outil, au vôtre comme à celui d’un prestataire.

Cinq questions à se poser

• Où va le fichier ? Sur quel serveur, et traité par quel service tiers.
• Combien de temps est-il conservé ? Plus il reste, plus il est exposé. On ne garde que ce qui est utile.
• Qui peut le voir ? Vous seul, votre équipe, l’administrateur du site ?
• Puis-je vérifier ce qui m’est rendu ? Une empreinte du fichier permet de s’assurer qu’il n’a pas été modifié.
• L’outil dit-il ses limites ? Un outil honnête annonce ce qu’il ne fait pas.

Si un outil ne répond pas clairement à ces questions, je préfère ne pas lui confier de document sensible.

Ce que cachent les PDF

Quelques notions évitent de mauvaises surprises :

• Les informations d’origine : un PDF garde souvent l’auteur, le logiciel utilisé et des dates. On peut transmettre plus que prévu sans le savoir.
• Les protections : beaucoup de documents d’administrations, comme les extraits Infogreffe, interdisent la modification, la copie ou l’impression, ce qui gêne dès qu’il faut les assembler ou les numéroter. Un mot de passe d’ouverture, lui, ne se contourne pas : il faut le connaître.
• La signature : le règlement européen eIDAS distingue trois niveaux de signature électronique, simple, avancée et qualifiée. Ils n’offrent pas les mêmes garanties, et il est utile de savoir lequel on utilise.

Ce que j’ai fait dans mes propres outils

J’ai répondu à ces questions en construisant VEFdocsKit, un plugin WordPress qui permet de fusionner, découper, numéroter, tamponner, déprotéger et faire signer des PDF, et PDFseries.com, le service qui reprend les mêmes outils sans rien installer. La version Free du plugin est gratuite.

• Les PDF restent chez vous : ils sont lus et écrits par le plugin lui-même, sur votre hébergement, sans service de conversion externe ni API tierce.
• L’original n’est pas conservé, et le résultat est chiffré avant d’être rangé. Sur PDFseries, un document téléchargé est supprimé aussitôt ; sinon il est effacé à la déconnexion et, au plus tard, deux jours après son traitement.
• Chacun voit ses documents, et uniquement les siens. Stripe gère le paiement sans jamais recevoir les documents.
• Un journal sans contenu : les empreintes SHA-256 du fichier reçu et du fichier rendu permettent de vérifier, sans jamais exposer le document.

La fiabilité ne s’improvise pas : chaque livraison passe par des tests de non-régression (isolation entre comptes, droits, conservation, suppression, signatures) et par le Plugin Check officiel de WordPress. Et je préfère être précis sur les limites : la signature proposée est une signature simple, ni avancée ni qualifiée, et traiter un PDF déjà signé numériquement en invalide la signature.

Ce que cela change pour votre site

Vous n’avez pas besoin d’outils PDF pour vous poser ces questions. Elles valent pour un formulaire qui accepte des pièces jointes, un espace client, un outil installé par un prestataire. Quelques réflexes simples :

• Ne demander que l’utile, et supprimer ce dont vous n’avez plus besoin.
• Savoir où sont stockés les fichiers reçus, et qui y a accès.
• Rester propriétaire de votre site, de vos accès et de vos données, pour ne dépendre de personne.
• Faire entretenir et sécuriser votre site : voir mon article sur la sécurité d’un site internet.

Si vous voulez faire le point sur ce que reçoit et conserve votre site, ou s’il vous manque une fonction, parlez-m’en : selon le cas, elle peut être développée sur mesure, sur devis.

Conclusion

Je préfère un outil qui dit clairement ce qu’il fait de vos fichiers à une promesse floue. Je préfère un document supprimé quand il n’est plus utile à un document oublié sur un serveur. Et je préfère un client bien informé à un client qui découvre les règles après coup.

C’est pour cela que j’ai construit VEFdocsKit et PDFseries.com comme je construis les sites de mes clients : avec de l’écoute, de la méthode et de la transparence. Un bon outil, comme un bon site, doit être compris, maîtrisé et réellement utile à celui qui s’en sert.

Pour aller plus loin

Essayez VEFdocsKit sur la démonstration en ligne, retrouvez toutes ses fonctions sur la page du plugin, ou téléchargez directement la version Free sur WordPress.org. Pour un service prêt à l’emploi, rendez-vous sur PDFseries.com.

Photo : Markus Spiske, Pexels.