Rien n'est envoyé, et cela se vérifie

Rien n'est envoyé

Le document est lu par votre navigateur, dans l'onglet ouvert. La détection, la revue, la reconstruction du fichier et son contrôle s'y font aussi. Il n'y a pas de serveur de traitement : il n'y a nulle part où envoyer le document.

Les seules requêtes de la page sont des lectures de ce site : les pages, le code, les polices standard du format PDF et, si vous le demandez, le modèle des noms, et, si vous déposez un scan ou une photo, le moteur de reconnaissance de texte et le modèle de la langue, une fois, vérifié par son empreinte puis rangé sur votre poste. Pas de compte, pas de cookie, pas de mesure d'audience. La seule requête qui ne soit pas une lecture est le compteur, décrit plus bas. Le serveur ne tient pas de journal d'accès.

Une architecture plutôt qu'une promesse

Un service en ligne peut promettre d'effacer votre document ; vous n'avez aucun moyen de le constater. Une architecture, elle, se constate.

Le vérifier vous-même

1. Coupez le réseau

   Chargez la page, puis coupez le Wi-Fi ou débranchez le câble. Déposez un document, tranchez, produisez le fichier : tout va au bout. Rechargez même la page : après une première visite, l'outil se rouvre sans réseau.

2. Regardez l'onglet Réseau

   Ouvrez les outils de développement (F12), onglet « Réseau », avant de déposer le document. Pendant le travail, aucune ligne ne s'ajoute ; à l'enregistrement du fichier, une seule, /compte, le compteur décrit ci-dessous. L'atelier montre aussi sa propre liste, sous la revue ; mais une page pourrait mentir sur elle-même, l'onglet du navigateur non.

3. Lisez la politique de sécurité

   Chaque page porte une politique de sécurité du contenu que le navigateur fait respecter. La ligne qui compte : connect-src 'self'. Elle interdit toute connexion vers un autre site, même si le code de la page le demandait.

La seule chose qui part : un compteur

Quand vous enregistrez un fichier caviardé, ou qu'un document a été vérifié, votre navigateur envoie à ce site une requête, et une seule : POST /compte?f=caviardage&p=12. Elle dit s'il s'agit d'un caviardage ou d'une vérification, et combien de pages avait le document. Rien d'autre : pas un mot du document, pas une valeur masquée, pas un nom de fichier, pas un identifiant.

Le serveur n'écrit qu'une ligne : la date, la famille, le nombre de pages. Ni adresse IP, ni navigateur, ni page d'origine : deux documents de la même personne sont indistinguables de deux documents d'inconnus. Le total est publié tel quel sur l'accueil.

Un navigateur qui demande à ne pas être suivi (Do Not Track, Global Privacy Control) n'envoie rien. Hors ligne, rien ne part, et rien n'est gardé pour plus tard. La version auto-hébergée est construite sans compteur. Dans tous les cas, l'outil fonctionne à l'identique.

Disons-le sans détour : nous enregistrons le nombre de documents caviardés et vérifiés, et leur nombre de pages. Rien dans ces lignes ne dit qui les a traités, ni d'où, ni ce qu'ils contenaient.

Ce que cela change pour le RGPD

Nous ne recevons aucun document, donc nous ne traitons aucune des données qu'il contient. Concrètement, pour une organisation :

• Pas de transfert de données vers un tiers : le document ne quitte pas le poste de la personne qui caviarde. La question du transfert hors de l'Union européenne ne se pose pas, faute de transfert.
• Pas de sous-traitant à qualifier pour le contenu des documents, donc pas de contrat de sous-traitance à signer pour le caviardage lui-même.
• Pas de durée de conservation à fixer ni d'effacement à demander : il n'existe pas de copie ailleurs. Le document ouvert disparaît quand vous fermez l'onglet.
• Aucun fournisseur d'intelligence artificielle ne voit passer vos pièces : le modèle des noms est publié sous licence libre (MIT), épinglé, vérifié et servi par ce site, puis il tourne sur votre poste.
• Aucun cookie, aucun traceur, aucun tiers : pas de bandeau de consentement, parce qu'il n'y a rien à consentir. La seule mesure du site est le compteur décrit plus haut.
• Le site est hébergé en France, par OVH, et ne sert que des fichiers. Pour ne dépendre de personne, la version auto-hébergée tourne sur votre réseau interne.

Ce qui reste à votre charge

Klarmask ne décide pas à votre place de ce qui doit être masqué, et ne garantit pas qu'un document caviardé ne permet plus de reconnaître quelqu'un : c'est votre relecture qui le fait. Si vous pseudonymisez pour pouvoir réidentifier ensuite, la correspondance entre libellés et personnes reste l'information supplémentaire au sens du RGPD : gardez-la à part. Les conditions d'utilisation le rappellent.

Ce qui est rangé sur votre poste

Le modèle des noms et son moteur, si vous les téléchargez, sont rangés dans l'espace privé que le navigateur réserve à ce site, après vérification de leur empreinte. C'est ce qui évite de les retélécharger. L'atelier permet de les supprimer d'un bouton.

Les pages et le code de l'atelier sont gardés par le navigateur (un travailleur de service), pour que l'outil se rouvre sans réseau. Le moteur de lecture des scans y est gardé après sa première utilisation, et reste vérifié par son empreinte à chaque usage. Ce travailleur ne fait aucune requête de lui-même : il ne touche pas au compteur et ne rejoue jamais rien.

Si vous en créez, vos règles (les noms ou les mots à toujours masquer) sont gardées dans le stockage de ce navigateur, pour ce site : elles ne quittent pas le poste, et s'effacent avec les données du site.

Votre document, lui, n'est rangé nulle part : il est lu en mémoire, dans l'onglet, et disparaît quand vous le fermez. Le fichier produit est enregistré par votre navigateur, là où vous le décidez.

Ce qui est masqué n'existe plus dans le fichier

Le fichier produit est un document neuf. Le document d'origine n'est jamais modifié puis réenregistré : c'est ainsi que des documents caviardés ont été décaviardés, par la version d'avant restée dans le fichier.

Un document Word produit est lui aussi un paquet neuf, écrit à partir des seules parties que l'outil comprend : révisions acceptées, commentaires, propriétés, graphiques et objets incorporés retirés, métadonnées des images effacées.

La lecture des scans

Une page sans texte est lue par Tesseract (licence Apache 2.0), le moteur de Klarfile, compilé pour le navigateur. Le moteur et le modèle de la langue viennent de ce site, pas d'un réseau de diffusion : la bibliothèque habituelle qui les enveloppe irait les chercher ailleurs, elle n'est pas utilisée. Chaque fichier est vérifié par son empreinte avant de servir ; les empreintes sont publiées ci-dessous, avec celles du modèle des noms.

La lecture se fait dans un fil d'exécution à part, dans l'onglet. L'image de la page n'en sort pas.

Le modèle des noms

Les noms sont proposés par un modèle de reconnaissance d'entités, CamemBERT-NER (licence MIT), entraîné sur le français. Il ne se télécharge que si vous le demandez, depuis ce site et non depuis un tiers, une fois : chaque fichier est vérifié par son empreinte SHA-256 avant d'être rangé dans un espace que le navigateur réserve à ce site, sur votre poste. Il ne lit que le texte de la page ouverte, dans l'onglet.

La bibliothèque qui le fait tourner n'a pas le droit d'aller sur le réseau : sa fonction de téléchargement est remplacée par une fonction qui refuse, et elle ne lit que les fichiers déjà vérifiés. Les empreintes publiées ici sont celles que l'outil vérifie.

Modèle : Xenova/camembert-ner, révision 8e1988247e87.

Le contrôle de sortie

Avant de vous proposer le fichier, l'outil le relit par des chemins indépendants de celui qui l'a écrit : le texte, par un second lecteur PDF ; les objets du fichier, parcourus un à un, chaque flux décompressé. Chaque élément masqué y est cherché sous toutes ses formes (espaces, accents, majuscules). La structure est vérifiée : ni annotation, ni formulaire, ni signet, ni pièce jointe, ni métadonnée, et une seule version.

S'il retrouve quoi que ce soit, le fichier n'est pas proposé, et l'écran dit ce qui a été retrouvé et où.