Politique de confidentialité
[À COMPLÉTER — raison sociale] traite des données à caractère personnel dans le cadre du service Papiirus. Cette politique décrit lesquelles, pourquoi, combien de temps, et les droits dont vous disposez.
Le principe qui structure ce service
La majorité des opérations proposées — fusion, division, rotation, extraction, filigrane — s'exécutent intégralement dans votre navigateur. Le fichier n'est jamais transmis, jamais stocké, jamais lu par nos serveurs. Pour ces opérations, nous ne traitons aucune donnée contenue dans vos documents, quelle qu'elle soit.
Seules la reconnaissance de caractères et les conversions lourdes nécessitent un traitement serveur. L'interface l'indique explicitement avant tout envoi, et vous pouvez désactiver entièrement ces fonctions au niveau de votre espace.
Responsable du traitement
[À COMPLÉTER — raison sociale], [À COMPLÉTER — adresse du siège social]. Contact : [À COMPLÉTER — email de contact]. Délégué à la protection des données : contact@papiirus.eu.
Données traitées, finalités et bases légales
| Données | Finalité | Base légale |
|---|---|---|
| Adresse email, nom, mot de passe haché | Création et gestion du compte, authentification | Exécution du contrat |
| Nom de l'organisation, sous-domaine | Identification de l'espace de travail | Exécution du contrat |
| Fichiers envoyés pour traitement serveur, et leur contenu textuel reconnu | Exécution du traitement demandé (OCR, conversion) | Exécution du contrat |
| Métadonnées de traitement : type d'opération, nombre de pages, horodatage, durée | Facturation, application des quotas, assistance | Exécution du contrat, intérêt légitime |
| Journaux d'audit : action, horodatage, empreinte d'adresse IP | Sécurité, détection d'abus, traçabilité | Intérêt légitime |
| Enveloppes de signature à plusieurs signataires : nom et adresse email des signataires invités, empreinte de leur adresse IP, identité déclarée, consentement, horodatage, version chiffrée du document | Recueil des signatures, envoi des invitations et relances, dossier de preuve | Exécution du contrat, intérêt légitime |
| Données de facturation | Émission des factures, obligations comptables | Obligation légale |
| Facturation électronique, registre d'émission : numéro, type de document, statut, total TTC, empreinte du fichier, dates, lien avec la facture d'origine pour un avoir ; statut de paiement (émise ou encaissée), jour de paiement que vous déclarez, auteur et date de chaque changement, en ajout seul | Numérotation (un numéro n'est jamais réattribué), quota du plan, plafond des avoirs, preuve de ce qui a été émis, suivi de vos encaissements | Exécution du contrat ; après la fermeture de l'espace, obligation légale de conservation des factures (art. L102 B du Livre des procédures fiscales, art. L123-22 du Code de commerce) |
| Facturation électronique, profil de facturation de la société : identité, SIREN/SIRET, TVA, adresse, mentions, logo, IBAN (chiffré) | Pré-remplissage de vos factures | Exécution du contrat |
| Facturation électronique, carnet d'adresses : coordonnées de vos clients (chiffrées), partagées avec les membres de l'espace | Réutilisation de vos clients dans vos factures | Exécution du contrat |
| Mesure d'audience | Compréhension de l'usage du service | Consentement |
Les adresses IP ne sont pas conservées en clair : seule une empreinte cryptographique est enregistrée dans les journaux, ce qui permet de détecter des tentatives répétées sans conserver une donnée directement identifiante.
Enveloppes de signature : confidentialité du document
Dans une enveloppe de signature à plusieurs signataires, le document est chiffré dans votre navigateur avant d'être déposé : nos serveurs ne conservent qu'une version chiffrée, qu'ils ne peuvent pas lire. La clé de déchiffrement ne figure que dans la partie « fragment » des liens (après le signe #), que les navigateurs ne transmettent jamais au serveur lors d'une consultation.
Pour pouvoir envoyer les invitations, les relances et les e-mails de confirmation qui contiennent ce lien, notre serveur reçoit cette clé de façon transitoire, en mémoire, le temps de composer chaque message. Elle n'est ni enregistrée en base de données, ni écrite dans les journaux, ni renvoyée en réponse. En revanche, le message qui contient le lien transite par notre prestataire d'envoi d'e-mails et par la messagerie du destinataire : toute personne qui accède à ce message peut donc lire le document. Nous ne joignons jamais le document en clair aux e-mails.
Facturation électronique : ce que nos serveurs voient
Le contenu des factures que vous émettez (client, lignes, montants détaillés, mentions) est préparé et généré dans votre navigateur : il reste dans votre navigateur et n'est jamais enregistré par Papiirus. Pour numéroter vos documents (sans jamais réattribuer un numéro) et appliquer le quota de votre plan, nos serveurs reçoivent le type du document, son total TTC et l'empreinte du fichier produit, et rien d'autre sur son contenu : ils les consignent, avec le numéro et les dates, dans le registre d'émission. Si vous marquez une facture comme encaissée, ils enregistrent en plus ce statut et le jour de paiement que vous indiquez, sans jamais modifier la ligne du registre : chaque changement s'ajoute à un historique.
Le profil de facturation de votre société (identité, mentions, logo, IBAN) et le carnet d'adresses de vos clients sont, eux, enregistrés pour être réutilisés : l'IBAN et le carnet d'adresses sont chiffrés (AES-256-GCM) avant d'être stockés. Le profil et le carnet appartiennent à l'espace et sont supprimés avec lui ; le registre d'émission est conservé selon la durée indiquée ci-dessous. L'export de vos données personnelles (portabilité) contient, en clair, les fiches du carnet que vous avez créées (les fiches créées par les autres membres n'y figurent pas) et, si vous êtes administrateur ou propriétaire de l'espace, son profil de facturation (hors logo) : ce profil décrit la société, pas votre personne. Pour les données de vos clients enregistrées dans le carnet, vous êtes responsable de traitement et Papiirus agit comme sous-traitant (article 28 du RGPD) : voir l'article 11 des conditions générales.
Vos brouillons de facture, de devis et d'avoir restent dans votre navigateur (stockage local), sans IBAN, pendant 30 jours au plus ; ils sont vidés lorsque vous vous déconnectez depuis le menu du compte. Dans le mode confidentiel, l'émission numérotée est désactivée, le module de facturation n'est pas proposé et nos serveurs refusent toute modification du profil et du carnet, ainsi que toute création de fiche. La lecture, la suppression d'une fiche du carnet et le retrait du logo restent possibles. L'IBAN du profil ne peut en revanche être retiré qu'en quittant ce mode, ou en supprimant l'espace ; vos droits d'accès et de portabilité sur les données déjà enregistrées restent exerçables.
Papiirus ne transmet vos factures à aucune plateforme agréée ni à l'administration : vous restez responsable de leur envoi et de leur contenu.
Durées de conservation
| Fichiers envoyés | Inaccessibles à l'échéance (2 heures maximum, 15 minutes minimum, réglable par l'administrateur) ; contenu effacé du stockage dans les minutes qui suivent tant que le service est utilisé, et au plus tard 24 heures après l'échéance ; effacement immédiat sur demande du client |
|---|---|
| Données de compte | Conservées tant que le compte est actif. Vous pouvez supprimer votre compte à tout moment depuis votre espace : la suppression est immédiate et irréversible. Les comptes restés sans connexion sont par ailleurs supprimés au plus tard 3 ans après la dernière connexion |
| Journaux d'audit | 12 mois |
| Compteurs d'utilisation des outils | Compteurs d'utilisation des outils (outil, jour, nombre ; jamais le nom ni le contenu des fichiers) : 12 mois |
| Preuves de signature électronique | Signature d'un seul signataire : 5, 6 ou 10 ans à compter de la signature, selon le choix de l'organisation émettrice (10 ans par défaut), puis suppression du dossier de preuve (empreinte, identité déclarée, consentement et horodatage) — le document lui-même n'est jamais transmis à nos serveurs |
| Enveloppes de signature à plusieurs signataires | Enveloppes à plusieurs signataires : une fois toutes les signatures recueillies, le dossier de preuve scellé (empreintes, identité déclarée, adresses e-mail des signataires, empreinte de leur adresse IP, consentement et horodatage) et la version finale chiffrée du document sont conservés 5, 6 ou 10 ans à compter de la complétion, selon le choix de l'organisation émettrice (10 ans par défaut), puis détruits. Les versions intermédiaires chiffrées sont supprimées dès la complétion. Une enveloppe refusée, annulée ou arrivée à échéance sans être signée est détruite, avec les adresses e-mail des signataires, 30 jours après son dernier changement d'état. Le document n'est hébergé que sous forme chiffrée depuis votre navigateur ; la clé de déchiffrement n'est jamais enregistrée par Papiirus |
| Jetons de session | 30 jours, ou jusqu'à la déconnexion |
| Factures de votre abonnement Papiirus | 10 ans (obligation comptable, art. L123-22 du Code de commerce) |
| Registre d'émission des factures | Registre d'émission des factures (numéro, type, statut, total TTC, empreinte du fichier, dates) et historique du statut de paiement de chaque facture (émise ou encaissée, jour de paiement que vous déclarez, auteur et date de chaque changement, en ajout seul) : conservés après la fermeture de l'espace et la suppression du compte, puis supprimé 10 ans après la date d'émission de chaque ligne (obligation légale de conservation des factures : 6 ans au titre de l'art. L102 B du Livre des procédures fiscales, 10 ans au titre de l'art. L123-22 du Code de commerce ; pour un numéro réservé jamais confirmé, à compter de la date de réservation), afin qu'un numéro ne soit jamais réattribué et de pouvoir émettre un avoir (l'historique des paiements est supprimé avec la ligne du registre) ; une facture encore visée par un avoir est supprimée après lui, soit au plus tard 10 ans après le dernier avoir. Le contenu des factures n'y figure jamais |
| Profil de facturation de l'espace | Profil de facturation de l'espace (identité de la société, mentions, IBAN chiffré, logo) : conservé tant que l'espace existe, supprimé à sa fermeture ; le logo est effacé du stockage dès son retrait ou son remplacement |
| Carnet d'adresses des clients | Carnet d'adresses des clients (chiffré) : conservé tant que l'espace existe, supprimé à sa fermeture ; une fiche est supprimée dès que son auteur ou un administrateur la retire |
| Brouillons de facture (dans votre navigateur) | Brouillons de facture, de devis et d'avoir : enregistrés uniquement dans votre navigateur (stockage local IndexedDB), jamais sur nos serveurs ; supprimés après 30 jours, vidés lorsque vous vous déconnectez depuis le menu du compte ; le champ IBAN n'y est jamais conservé |
| Choix relatif aux cookies | 6 mois |
La suppression des fichiers envoyés est automatique et sans intervention humaine. À la date d'expiration, un fichier n'est plus accessible : aucun lien de téléchargement n'est plus délivré. Son contenu est ensuite effacé du stockage dans les minutes qui suivent tant que le service est utilisé, et au plus tard 24 heures après l'échéance par une tâche planifiée quotidienne. Vous pouvez également déclencher une suppression immédiate depuis l'interface : le contenu est alors effacé sur-le-champ. Un administrateur de l'espace peut en outre raccourcir la durée de conservation (15 minutes, 1 heure ou 2 heures) ; ce réglage ne s'applique qu'aux fichiers envoyés après le changement, et la durée minimale de 15 minutes laisse le temps de traiter puis de télécharger le résultat.
Vous pouvez aussi supprimer définitivement, à tout moment, vos enveloppes de signature à plusieurs signataires, sans attendre l'échéance de conservation (droit à l'effacement). Une enveloppe en cours doit d'abord être annulée ; une enveloppe annulée, refusée, expirée ou terminée peut ensuite être supprimée. La suppression efface la version chiffrée du document, les signataires et leurs données, ainsi que le dossier de preuve et son sceau détenus par Papiirus, sans possibilité de retour. Avant de supprimer une enveloppe terminée, vous pouvez exporter le PDF signé et le dossier de preuve pour vos propres archives. Seule une trace technique minimale de l'opération (identifiant de l'enveloppe, date, auteur) est conservée dans les journaux d'audit. Les entrées d'audit antérieures à la suppression (par exemple l'ajout d'un signataire) ne sont pas réécrites : elles s'effacent d'elles-mêmes au terme de la durée de conservation des journaux d'audit indiquée ci-dessus.
Sous-traitants
| Prestataire | Finalité | Localisation |
|---|---|---|
| Vercel Inc. | Hébergement de l'application web et des fonctions serverless ; mesure d'audience, uniquement après votre accord | Traitement en région UE (fra1) ; société établie aux États-Unis |
| Neon, Inc. | Base de données PostgreSQL (comptes, métadonnées de traitement, profil de facturation de la société et registre d'émission des factures — jamais le contenu des factures) | Union européenne ou États-Unis, selon la région Neon configurée |
| Cloudflare, Inc. (R2) | Stockage temporaire des fichiers envoyés pour traitement serveur ; pièces jointes de la bibliothèque ; logo de facture de l'espace | Union européenne (juridiction R2 « EU ») ; société aux États-Unis |
| Resend, Inc. ou Brevo (Sendinblue SAS), selon la clé configurée | Envoi des e-mails transactionnels (réinitialisation de mot de passe, code de vérification de signature) ; activé dès qu'une clé fournisseur est configurée | Brevo : Union européenne (France) — Resend : États-Unis |
| Hébergeur du service de reconnaissance de caractères (Railway Corp.) | Exécution du service OCR côté serveur — NON ACTIF à ce jour : aucun document ne lui est transmis tant que le service n'est pas déployé | Sans objet tant que le service est inactif |
| Mistral AI | Reconnaissance de caractères haute précision (document difficile ou demande explicite) — NON ACTIF à ce jour : dépend du déploiement du service OCR côté serveur | France (Union européenne) |
| Stripe Payments Europe, Ltd. | Traitement des paiements par abonnement | Irlande (Union européenne) |
La reconnaissance de caractères haute précision fait appel à un prestataire externe. Elle n'est déclenchée que pour les documents que le moteur standard ne parvient pas à traiter correctement, ou sur votre demande explicite. Le prestataire par défaut est établi en France. Les administrateurs d'un espace peuvent désactiver entièrement cette fonction.
Connecteurs de stockage personnel
Lorsqu'un connecteur de stockage personnel est activé sur ce déploiement, vous pouvez, si vous le choisissez, importer un fichier depuis votre propre espace de stockage personnel — parmi les fournisseurs listés ci-dessous — ou y enregistrer un résultat. Cette connexion se fait à votre initiative, depuis votre navigateur : l'authentification et les transferts ont lieu directement entre votre compte et votre navigateur. Le jeton d'accès reste dans votre navigateur, le temps de l'onglet (stockage de session, effacé à sa fermeture), et n'est jamais transmis à Papiirus ; aucun fichier ne transite par nos serveurs à cette occasion, à l'unique exception de l'import depuis pCloud décrite ci-dessous. Ces fournisseurs ne sont donc pas des sous-traitants de Papiirus : les données vont de votre compte vers votre navigateur, et ces échanges relèvent de votre relation avec ces fournisseurs — l'usage qu'ils font de vos fichiers relève de leurs propres conditions.
Exception pour l'import depuis pCloud. pCloud interdit le téléchargement de fichiers depuis un navigateur. Pour cet import uniquement, votre navigateur transmet à Papiirus le jeton pCloud et l'identifiant du fichier choisi ; nos serveurs récupèrent alors le fichier auprès de pCloud et le retransmettent à votre navigateur en flux continu. Le fichier n'est ni stocké, ni journalisé, ni conservé ; le jeton n'est ni enregistré ni journalisé, et n'est utilisé que le temps de la requête. Cette opération est réservée aux utilisateurs connectés et n'est pas disponible pour les espaces configurés en mode « navigateur uniquement ». L'enregistrement d'un résultat dans pCloud reste effectué directement depuis votre navigateur.
| Service | Portée demandée | Jeton d'accès |
|---|---|---|
| Google Drive (Google Ireland Ltd.) | Fichiers que vous sélectionnez et fichiers créés par Papiirus (drive.file) | OAuth et transferts dans le navigateur ; jeton conservé le temps de l'onglet, jamais reçu par Papiirus. |
| Dropbox (Dropbox International Unlimited Company) | Fichiers que vous choisissez à l'import ; dossier applicatif dédié à l'export | OAuth et transferts dans le navigateur ; jeton conservé le temps de l'onglet, jamais reçu par Papiirus. |
| OneDrive (Microsoft Ireland Operations Ltd.) | Fichier que vous choisissez à l'import (lecture ponctuelle, Files.Read) ; dossier applicatif dédié à l'export (Files.ReadWrite.AppFolder) | OAuth et transferts dans le navigateur ; jeton conservé le temps de l'onglet, jamais reçu par Papiirus. |
| pCloud (pCloud International AG — hébergement en UE ou aux États-Unis selon votre compte) | Aucune portée OAuth restreinte : pCloud n'en propose pas, le jeton couvre l'ensemble de votre compte. Papiirus n'y lit que le ou les fichiers que vous choisissez à l'import, et n'y écrit que dans un dossier applicatif dédié /Papiirus à l'export | OAuth, listage et export dans le navigateur ; jeton conservé le temps de l'onglet. À l'import, pCloud interdisant le téléchargement depuis un navigateur, le jeton et le fichier transitent par nos serveurs le temps de la requête (relais en flux), sans être stockés ni journalisés. |
Ces connecteurs n'apparaissent que s'ils sont activés sur ce déploiement, et jamais lorsqu'un espace impose que rien ne quitte l'appareil.
Ce que voient les administrateurs de votre espace
Dans un espace partagé, les administrateurs et le propriétaire de l'espace disposent d'un accès plus large que les autres membres. Concrètement, ils peuvent consulter :
- le journal d'activité de l'organisation : chaque action enregistrée (invitation, activation de la double authentification, partage, suppression, signature, facturation…), avec sa date, l'objet concerné, et le nom et l'adresse e-mail du membre qui l'a réalisée ;
- la liste des membres (nom, adresse e-mail, rôle, date d'arrivée) et les invitations en attente ;
- l'ensemble des liens de partage de l'espace, qu'ils peuvent révoquer, ainsi que les documents de la bibliothèque, qu'ils peuvent modifier ou supprimer.
Ils peuvent aussi créer des clés d'API en lecture seule. Selon les droits choisis, une clé donne accès aux métadonnées de la bibliothèque, au journal de l'organisation et à la liste des demandes de signature de l'espace (titre, statut et dates, sans le document ni les signataires).
Ils ne voient ni vos traitements de fichiers, ni le contenu de vos signatures et enveloppes, ni les actions qui ne figurent que dans votre journal personnel. Les membres sans rôle d'administration ne voient que leur propre journal.
Vos droits
Vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité sur vos données. Vous pouvez également retirer votre consentement à tout moment pour les traitements qui en dépendent.
- Exercice des droits : contact@papiirus.eu
- Réponse sous un mois à compter de la réception de votre demande
- Réclamation auprès de la CNIL : 3 place de Fontenoy, 75007 Paris — www.cnil.fr
Sécurité
- Chiffrement en transit (TLS) et au repos pour les fichiers stockés
- Mots de passe hachés avec bcrypt, jamais conservés en clair
- Jetons de session à durée courte, révocables, avec rotation systématique
- Cloisonnement strict des données entre organisations clientes
- Traitement des fichiers dans un environnement isolé, sans accès réseau sortant et sans privilèges administrateur
- Journalisation des accès et des opérations sensibles
Décision automatisée
Le service applique un traitement automatisé pour évaluer la difficulté d'un document et choisir le moteur de reconnaissance à employer. Ce traitement ne porte que sur des caractéristiques techniques — résolution, inclinaison, densité de traits — et ne produit aucun effet juridique à votre égard.
Modification
Toute modification substantielle de cette politique vous sera notifiée par email au moins quinze jours avant son entrée en vigueur.