Sécurité chez JoyPDF

Le modèle de sécurité de JoyPDF est fondamentalement différent des outils PDF cloud traditionnels. Au lieu de téléverser vos fichiers sur un serveur distant pour traitement, toutes les opérations s'exécutent localement dans votre navigateur via WebAssembly (WASM) et JavaScript.

Cela signifie que vos documents sensibles — contrats, rapports financiers, dossiers médicaux, actes juridiques — ne traversent jamais Internet. Ils restent sur votre appareil du début à la fin. Pas de stockage côté serveur, pas de cache cloud temporaire, et aucune possibilité que des fuites de données côté serveur affectent vos fichiers.

Cette architecture élimine des catégories entières de risques de sécurité :

• Aucun risque de données en transit pour vos fichiers — ils ne quittent jamais le sandbox du navigateur

• Aucun stockage côté serveur signifie zéro risque de fuites de données cloud

• Aucun accès tiers au contenu de vos documents

• Aucune donnée résiduelle — une fois l'onglet fermé, les données de traitement sont libérées de la mémoire

Tout le trafic vers et depuis joypdf.app est chiffré avec TLS 1.3 et des suites de chiffrement robustes. Nous imposons HTTPS sur tous les points de terminaison et mettons en œuvre HTTP Strict Transport Security (HSTS) pour prévenir les attaques par rétrogradation.

Nos enregistrements DNS sont protégés par DNSSEC, et nous utilisons des Content Security Policies (CSP) pour atténuer les attaques cross-site scripting (XSS) et l'injection de code.

Les en-têtes de sécurité que nous mettons en œuvre incluent :

• `Strict-Transport-Security` — impose HTTPS

• `X-Content-Type-Options: nosniff` — empêche la détection de type MIME

• `X-Frame-Options: DENY` — prévient le clickjacking

• `Referrer-Policy: strict-origin-when-cross-origin` — limite la fuite du referrer

• `Content-Security-Policy` — restreint le chargement des ressources

Lorsque vous choisissez explicitement d'utiliser des fonctionnalités IA (AI Summary, AI Translate, AI Agent), seul le contenu textuel extrait est envoyé à notre partenaire de traitement IA via notre API sécurisée — jamais le fichier PDF original, les images ou les métadonnées.

Le flux de données pour les fonctionnalités IA est le suivant :

1. Le texte est extrait du PDF localement dans votre navigateur

2. Le texte extrait est envoyé via HTTPS chiffré à notre point de terminaison API

3. Notre API transmet la demande au fournisseur du modèle IA

4. La réponse IA est renvoyée en streaming et affichée dans votre navigateur

5. Aucun texte ni réponse n'est stocké sur nos serveurs après la fin de la requête

Nous interdisons explicitement à nos fournisseurs IA d'utiliser vos données pour l'entraînement de modèles. Cela est imposé contractuellement.

L'authentification des utilisateurs est gérée par Clerk, une plateforme d'identité de niveau entreprise. Clerk fournit :

• Hachage sécurisé des mots de passe avec bcrypt

• Prise en charge de l'authentification multifacteur (MFA)

• Connexion sociale OAuth 2.0 / OpenID Connect

• Gestion des sessions avec cookies sécurisés HttpOnly

• Protection contre la force brute et les bots

• Infrastructure certifiée SOC 2 Type II

JoyPDF est conçu pour être conforme à :

• GDPR — Règlement général sur la protection des données de l'UE

• CCPA — California Consumer Privacy Act

• Directive ePrivacy — confidentialité des communications électroniques de l'UE

• LGPD — Loi générale sur la protection des données du Brésil

• PIPEDA — Loi sur la protection des renseignements personnels et les documents électroniques du Canada

Notre architecture sans téléversement simplifie intrinsèquement la conformité, car les données documentaires n'atteignent jamais notre infrastructure.

Nous prenons les vulnérabilités de sécurité au sérieux. Si vous découvrez un problème de sécurité, veuillez le signaler de manière responsable à security@joypdf.app. Nous nous engageons à :

• Accuser réception de votre signalement sous 48 heures

• Fournir des mises à jour régulières sur l'avancement de la correction

• Ne pas engager de poursuites contre les chercheurs en sécurité agissant de bonne foi

• Créditer les chercheurs (avec leur permission) pour les vulnérabilités découvertes