Sécurité & RGPD

Où sont stockés mes fichiers ?

L'emplacement précis, le fournisseur, et combien de temps ils y restent.

Stockage objet

Les fichiers sont stockés sur Backblaze B2, un stockage objet compatible S3 dans un centre de données européen (Amsterdam, Pays-Bas). Backblaze est une entreprise américaine, mais notre bucket de stockage se trouve physiquement dans l'UE et relève des règles européennes de souveraineté des données.

Vos fichiers ne sont ni stockés ni répliqués hors de l'UE — ils restent dans le bucket à Amsterdam. Les trois premiers téléchargements d'un transfert viennent directement de ce bucket, puis aussi tant que le trafic de téléchargement gratuit que notre fournisseur de stockage nous accorde chaque mois n'est pas épuisé. Au-delà, et pour les autres téléchargements (par exemple depuis un dossier partagé), le fichier passe par le réseau de Cloudflare jusqu'au destinataire, via le serveur le plus proche de lui — lequel peut se trouver hors de l'UE. Cloudflare ne conserve pas les fichiers et ne les met pas en cache. Dans les deux cas, le lien signé à durée courte dans l'adresse est le seul accès : Cloudflare ne détient aucune clé du bucket. Une exception pour ces trois premiers téléchargements : si le navigateur du destinataire ne peut pas créer lui-même un zip de plusieurs fichiers, notre serveur à Francfort crée ce zip, qui passe alors lui aussi par Cloudflare.

Indépendamment de vos fichiers : si vous utilisez l'une de nos fonctions IA, comme le résumé hebdomadaire dans le planning, nous transmettons les données que vous fournissez à cet effet — pour les fonctions qui lisent un document pour vous, également le contenu de ce document — à Anthropic aux États-Unis. La réponse est conservée trente jours au maximum, afin que la même question n'ait pas à être posée deux fois. Si vous reprenez cette réponse dans quelque chose que vous conservez vous-même, elle demeure jusqu'à ce que vous la supprimiez.

Conservation

À chaque envoi, vous choisissez la durée de validité du lien : 1, 3, 7, 14, 30, 60 ou 90 jours, ou « validité illimitée ». Sur un compte gratuit, le maximum est de 30 jours ; 60 jours, 90 jours et « illimité » relèvent d'une formule payante ou de l'essai Pro unique, et sur une telle formule vous pouvez prolonger un paquet a posteriori — via « modifier » ou via l'API — jusqu'à 365 jours. Si l'administrateur de votre environnement d'entreprise a défini son propre maximum, celui-ci prévaut toujours, y compris sur « illimité ». Passé ce délai, les fichiers sont physiquement supprimés des serveurs — et pas seulement rendus inaccessibles. Une tâche de nettoyage y repasse toutes les quelques minutes, avec chaque nuit un contrôle supplémentaire en guise de filet de sécurité. Avec les fichiers disparaissent les données du paquet, les adresses e-mail des destinataires et, en règle générale, aussi le journal de téléchargement de ce paquet (heure, adresse IP et navigateur de la personne qui a téléchargé). Les lignes de journal contenant une adresse IP qui survivent au paquet — visites de la page de téléchargement, tentatives de téléchargement bloquées et journaux de téléchargement subsistant après le nettoyage — sont dans tous les cas conservées au maximum 365 jours. Un lien que vous avez vous-même révoqué n'est pas nettoyé automatiquement, afin que vous puissiez annuler cette action.

Lorsqu'un visiteur ouvre un lien expiré, il voit une page « expiré » soignée. À partir de ce moment, le site ne délivre plus de nouveau lien de téléchargement, et rien ne reste en cache : notre proxy de téléchargement ne conserve délibérément aucune copie des fichiers. Une chose à savoir : un lien de téléchargement direct récupéré juste avant la date d'expiration reste valable jusqu'à la fin de sa propre durée de vie — cinq minutes pour un fichier isolé, six heures au maximum pour « Tout télécharger » — et un téléchargement déjà commencé est mené à terme. Si vous voulez fermer immédiatement l'accès à un fichier envoyé par erreur, supprimez le paquet dans « Mijn uploads » : nous supprimons alors immédiatement les fichiers du stockage, après quoi même un lien déjà distribué ne donne plus rien.

Comment les fichiers sont-ils protégés ?

Chiffrement, authentification et contrôle d'accès — concrètement, sans blabla marketing.

Composant	Mise en œuvre
Chiffrement du transport	TLS 1.3 (HTTPS forcé, HSTS activé, TLS 1.0/1.1 non autorisés)
Chiffrement au repos	AES-256 chiffrement côté serveur sur le stockage objet
Liens de téléchargement	Jeton aléatoire de 16 caractères hexadécimaux (64 bits), généré avec secrets.token_hex(8). Les liens plus anciens dotés d'un jeton de 10 caractères restent valables. Le jeton constitue l'accès ; par envoi, un mot de passe et une vérification par e-mail du destinataire peuvent en outre être activés.
Hachage des mots de passe	scrypt (n=32768, r=8, p=1) avec un sel aléatoire par mot de passe. Nous ne stockons que le hachage, jamais le mot de passe lui-même.
Téléchargements protégés par mot de passe	Facultatif par paquet. Le mot de passe est haché séparément et vérifié côté serveur
Limitation du débit	Liens de téléchargement et d'envoi : 30 tentatives échouées (lien inconnu ou mot de passe erroné) par minute et par IP, puis 5 min sans accès. Téléchargement et consultation en ligne : chacun max. 60 fois par minute par lien + IP, puis 10 min de pause. Connexion : 5 tentatives échouées par 5 min et par IP, puis verrouillage de 15 min, plus un compteur plus large par compte.
Journal d'audit	Tous les événements de connexion, changements de mot de passe et actions sur le compte sont journalisés avec l'adresse IP et l'horodatage
Protection CSRF	Basée sur des jetons pour tous les points de terminaison modifiant l'état
Cookies de session	HttpOnly, Secure, SameSite=Lax

Qui peut accéder à mes fichiers ?

Le modèle d'accès expliqué — qui dispose d'un accès technique et organisationnel.

Votre équipe

Les utilisateurs rattachés à votre compte (votre sous-domaine) ont accès à :

• Téléverser depuis votre sous-domaine (connexion requise)
• L'aperçu des paquets de toute l'équipe via /uploads
• Par paquet : copier le lien, modifier le délai d'expiration, supprimer
• Toute personne que vous désignez comme administrateur voit en outre sur /admin/inzicht l'historique des téléchargements de l'ensemble du compte : pour chaque téléchargement, l'heure, l'envoi et le fichier, l'adresse e-mail du collègue qui l'a expédié, ainsi que l'adresse IP et le navigateur (user-agent) du destinataire
• Ce même administrateur y voit également les tentatives de téléchargement bloquées — heure, envoi, expéditeur, motif et adresse IP — et peut exporter l'historique des téléchargements et le journal d'audit au format CSV ; l'adresse IP et le user-agent figurent dans cette exportation sous forme de colonne

Cet aperçu affiche par défaut les 30 derniers jours et peut être réglé de 1 à 365 jours ; l'export CSV d'un envoi spécifique contient l'historique de téléchargement complet de cet envoi. Les données de téléchargement et de visite comportant une adresse IP sont conservées au maximum 365 jours, après quoi elles sont automatiquement effacées. L'export CSV du journal d'audit contient lui aussi des adresses IP : il s'agit des événements de connexion et de compte de vos propres utilisateurs, pas des destinataires. Tenez-en compte lorsque vous attribuez des droits d'administrateur — un administrateur peut consulter les destinataires de tous les collègues du compte, pas seulement ceux de ses propres envois.

Les utilisateurs d'un autre compte (un autre client de Downloadlink) ne peuvent pas voir vos fichiers ou vos envois. Cela ne repose pas sur une base de données distincte par client, mais sur une seule base de données dans laquelle chaque envoi, fichier et donnée est rattaché au compte qui l'a créé. Chaque requête filtre sur ce rattachement — y compris lors de la modification et de la suppression, où nous vérifions en outre que l'envoi vous appartient bien. Deviner un identifiant ne mène donc à rien. Ce que vous partagez vous-même est une autre affaire : quiconque dispose d'un lien de téléchargement de votre part peut ouvrir cet envoi — c'est précisément à cela qu'un tel lien sert.

Une chose fonctionne différemment, et nous préférons le préciser : si vous utilisez les fonctions d'IA dans le planning (l'aperçu hebdomadaire IA et la proposition de planification IA), nous conservons temporairement le texte généré dans un cache qui n'est pas cloisonné par compte ; ce qui a plus de 30 jours est supprimé. Une réponse conservée ne ressort qu'avec exactement la même saisie — la même semaine, les mêmes noms, les mêmes heures — donc en pratique uniquement avec votre propre planning. Vos fichiers et vos envois n'y figurent pas.

Nous (Downloadlink)

Techniquement, les administrateurs de Downloadlink — concrètement une seule personne à ce jour — ont accès à :

• La base de données (pour gérer les comptes et aider en cas de demande d'assistance)
• Les journaux du serveur (diagnostic d'erreurs, surveillance de sécurité)
• Les identifiants du stockage objet — un accès existe, mais nous n'ouvrons pas vos fichiers, sauf si vous en faites vous-même la demande auprès du support. Une machine lit en revanche le contenu pour les fonctions que vous activez vous-même : si vous cochez « Lettre d'accompagnement (IA) » lors d'un téléversement, les noms de fichiers ainsi que trois PDF au maximum de cet envoi (jusqu'à 8 MB au total) sont transmis ; si vous utilisez l'outil OCR, les pages que vous faites reconnaître sont transmises ; et si vous disposez du module comptabilité, chaque reçu ou facture que vous téléversez ou envoyez par e-mail est lu automatiquement. Ce contenu est transmis à Anthropic aux États-Unis, qui le lit et renvoie le résultat. La lettre d'accompagnement est conservée avec l'envoi et disparaît avec lui, les données extraites d'un reçu (fournisseur, date, montant, TVA, description) sont placées dans votre propre comptabilité, et nous ne conservons rien du texte OCR — il est envoyé directement à votre écran. Si vous n'utilisez pas ces fonctions, rien de vos fichiers ne part vers un prestataire d'IA.

Nous ne regardons pas dans vos fichiers à d'autres fins que celle-là : pas d'analytique sur le contenu, pas de revente. Une seule exception, et elle commence toujours par une action — de votre part, ou de la part d'une personne à qui vous envoyez un document pour contrôle. Si une fonction IA est utilisée (la lettre d'accompagnement d'un envoi, le contrôle de texte par IA, la reconnaissance d'un scan (OCR), et dans un environnement professionnel également l'aide aux devis, le contrôle des calculs et les suggestions Word lors d'une revue), le contenu nécessaire à cette fin est transmis à Anthropic (Claude), avec un traitement aux États-Unis. Selon les conditions d'Anthropic, ce que nous envoyons via l'API n'est pas utilisé pour entraîner des modèles d'IA. Nous-mêmes ne conservons rien de plus de ces fonctions : le contrôle de texte et la reconnaissance de scan n'enregistrent rien, et ce que l'IA rédige appartient au document pour lequel il a été créé — une lettre d'accompagnement disparaît avec l'envoi, un devis avec le devis. Seule l'aide IA dans la planification (résumé hebdomadaire et suggestions de planification) dispose d'un cache : cette réponse est conservée chez nous pendant 30 jours au maximum. Si personne ne touche à une fonction IA, rien de vos fichiers n'est transmis à un prestataire d'IA. Cela figure noir sur blanc dans la déclaration de confidentialité.

Sous-traitants ultérieurs

Pour faire fonctionner le service, nous mobilisons ces sous-traitants ultérieurs :

• Render (hébergement applicatif, UE-Francfort) — n'a pas accès aux fichiers, uniquement à l'environnement applicatif
• Backblaze B2 (EU Central, Amsterdam) — stockage objet ; les fichiers sont chiffrés au repos
• Brevo (e-mail transactionnel) — uniquement pour les messages système (bienvenue, réinitialisation de mot de passe, notifications) ; jamais le contenu des paquets
• Cloudflare (couche réseau, réseau mondial) — protège le site contre les attaques et l'accélère, et transmet une partie des téléchargements (voir Stockage objet ci-dessus) ; ne conserve aucun fichier et n'a pas accès au stockage
• Anthropic (traitement IA, serveurs aux États-Unis) — n'intervient que lors d'une fonction d'IA que vous activez vous-même ; celle-ci a alors bel et bien accès au contenu

Ce dernier se distingue des quatre autres et mérite une explication. Si vous activez Lettre d'accompagnement (IA) lors de l'envoi, les noms de vos fichiers sont transmis, ainsi que trois PDF au maximum de l'envoi — les petits fichiers en entier, des grands uniquement les premières pages. Si vous faites lire un scan dans les outils PDF (OCR), l'image de cette page est transmise. Si vous utilisez l'aide IA dans le planning (résumé hebdomadaire ou proposition de planification), les chiffres de la semaine sont transmis : noms des collaborateurs, leur discipline et leurs heures. Et dans l'environnement professionnel avec contrôle de documents, les pages à contrôler ou le texte qui en est extrait sont transmis. Si vous n'utilisez aucune fonction d'IA, rien n'est transmis à Anthropic et votre contenu reste stocké uniquement dans l'UE.

Il s'agit d'un transfert hors de l'UE. Il est soumis aux mêmes garanties que les autres sous-traitants ultérieurs — un accord de sous-traitance avec les clauses contractuelles types de l'UE — et, en vertu des conditions professionnelles de l'API d'Anthropic, vos données ne sont pas utilisées pour entraîner des modèles d'IA. Nous-mêmes ne conservons que le résultat, pas ce que nous avons envoyé : une lettre d'accompagnement fait partie de l'envoi et disparaît avec lui à la date d'expiration ; d'un scan analysé, nous ne conservons rien ; les réponses d'IA pour le planning sont placées dans un cache que nous limitons à 30 jours — à chaque nouvelle réponse d'IA, nous effaçons ce qui est plus ancien.

Il existe en outre des parties qui sont responsables du traitement de manière indépendante — elles traitent les données selon leurs propres conditions de confidentialité, et non pour notre compte :

• Mollie et (pour les abonnements existants) PayPal — paiements
• Google — uniquement si vous choisissez « se connecter avec Google », ou si vous êtes arrivé via une annonce Google (mesure de conversion sans cookie : uniquement un identifiant de clic et un horodatage, ni nom ni adresse e-mail)

Nous concluons un accord de sous-traitance avec toutes ces parties. Pour vos propres archives, nous pouvons vous envoyer un accord de sous-traitance entre Downloadlink et votre entreprise — demandez-le via le formulaire de contact.

Que faisons-nous — et que ne faisons-nous pas ?

Gérer les attentes. Pas de fausses promesses, pas de lacunes passées sous silence.

Ce que nous faisons bel et bien :

• Chiffrer les fichiers pendant le transport (TLS 1.3) et au repos (AES-256)
• Supprimer automatiquement les fichiers après le délai convenu
• Journaliser qui s'est connecté, quand et à quoi
• Limitation du débit sur les tentatives de connexion par force brute et sur les tentatives de téléchargement
• Vérification en deux étapes avec un code d'une application d'authentification, pour chaque compte qui l'active, avec des codes de récupération si vous perdez votre téléphone. Sinon, la connexion se fait avec l'adresse e-mail et un mot de passe (au moins 10 caractères) ; après trop de tentatives échouées, nous la bloquons temporairement, par adresse IP et par compte
• HTTPS uniquement avec HSTS (un an, sous-domaines inclus), chiffrements robustes
• Proposer un contact security.txt pour la divulgation responsable
• Bibliothèques Python épinglées sur une version exacte et testée, de sorte qu'un déploiement n'embarque jamais une nouvelle version à notre insu ; chaque modification passe automatiquement par la suite de tests et un contrôle lint. Nous mettons à jour lorsqu'une alerte de sécurité ou une nouvelle fonctionnalité l'exige — il n'y a pas de rythme de mise à jour fixe
• Sauvegardes automatisées de la base de données (configurables par déploiement, rétention de 14 jours par défaut)

Ce que nous ne faisons pas (encore) :

• Chiffrement de bout en bout — nous protégeons toute la chaîne de transport, mais techniquement nous avons bien accès aux fichiers (comme tout SaaS). Le E2E rendrait l'outil inutilisable pour vos clients
• Certification SOC 2 / ISO 27001 — coûteuse pour un petit SaaS ; nous mettons néanmoins en œuvre nous-mêmes les pratiques de sécurité pertinentes
• Analyse antivirus des téléversements — nous ne bloquons pas les types de fichiers ; la responsabilité incombe au destinataire

RGPD : droits des personnes concernées

Comment vous traitez les demandes de données de vos clients (et vos demandes auprès de nous).

En tant que responsable du traitement pour vos communications clients, vous avez des droits et des obligations au titre du RGPD. Ce que nous faisons pour vous aider :

• Accès : vous pouvez consulter vos propres données de compte à tout moment via /account
• Rectification : vous modifiez vous-même votre adresse e-mail et votre mot de passe via /account
• Effacement : vous pouvez supprimer votre compte via /account/delete — votre compte est désactivé immédiatement et vos paquets et fichiers deviennent inaccessibles ; sous 30 jours, tout est effacé définitivement. Exceptions : nous conservons les factures et les données de paiement en raison de l'obligation fiscale de conservation (7 ans) et les journaux de sécurité au maximum 12 mois
• Portabilité : les fichiers restent toujours téléchargeables via les liens d'origine (tant qu'ils n'ont pas expiré) ; nous fournissons les données de compte au format JSON sur demande
• Opposition : arrêtez d'utiliser le service ; la résiliation est possible à tout moment via /account — votre formule se poursuit jusqu'à la fin de la période payée, après quoi vous revenez automatiquement à la formule gratuite de 50 Go et vos fichiers restent simplement en place

Pour les demandes qui ne sont pas en libre-service : écrivez à Patricklankhorst@hotmail.com. Nous répondons sous 5 jours ouvrés, bien en deçà du délai de 30 jours imposé par le RGPD.

Procédure en cas de violation de données

Que se passe-t-il en cas de problème — notre devoir et le vôtre.

Si un chercheur en sécurité découvre une vulnérabilité, ou si nous constatons une violation de données, nous :

• La vulnérabilité est fermée ou atténuée sous 24 heures après sa découverte
• Vous êtes informé en tant que client par e-mail sous 72 heures de l'impact et des données touchées
• Effectuons une notification à l'autorité néerlandaise de protection des données lorsque le RGPD l'exige
• Vous remettons un rapport de ce qui s'est passé, de la façon dont nous l'avons résolu et de ce que nous faisons pour éviter que cela se reproduise

Les chercheurs en sécurité peuvent signaler des vulnérabilités en toute sécurité via l'adresse indiquée dans security.txt (RFC 9116).