Smallpdf est l'un des outils PDF en ligne les plus utilisés au monde : la société revendique plus de 40 millions d'utilisateurs actifs par mois (Smallpdf). Elle est suisse, affiche une certification de sécurité et promet de supprimer vos fichiers rapidement. Avant d'y déposer un document, une question simple : qu'acceptez-vous exactement ? Pas ce que dit la page d'accueil — ce que disent la politique de confidentialité, les conditions d'utilisation et les pages de sécurité. Nous les avons lues le 27 septembre 2026. Tout ce qui suit renvoie à leurs pages : vérifiez.
Qui est derrière Smallpdf ?
Smallpdf AG est une société anonyme de droit suisse, basée à Zurich, fondée en 2013 (politique de confidentialité, Smallpdf). Ses conditions relèvent du droit suisse. En 2022, elle a racheté l'éditeur de technologies PDF PDF Tools AG pour 30 millions de dollars (PR Newswire), qu'elle a revendu en juillet 2026 à l'américain Apryse, en restant elle-même indépendante (Startupticker).
La Suisse n'est pas membre de l'Union européenne, mais la Commission européenne reconnaît que son niveau de protection des données est adéquat. Sur le plan du droit applicable à la société, c'est donc un bon point.
Promesse contre réalité
| Ce qu'affiche Smallpdf | Ce que disent ses autres pages | Source |
|---|---|---|
| Fichiers « supprimés définitivement de nos serveurs après une heure » | La politique de confidentialité ne donne ce délai d'une heure qu'aux utilisateurs avec compte. Sans compte, Smallpdf dit seulement viser une suppression « dans un délai raisonnable » après la dernière ouverture du fichier. | Blog, Confidentialité |
| Serveurs « en Irlande » | La politique de confidentialité parle de serveurs gérés par Hetzner dans l'Union européenne, et d'un stockage temporaire possible chez Cloudflare, « aux États-Unis ou en Europe », pendant le traitement. | Blog, Confidentialité |
| Certification ISO 27001, conformité RGPD | Affiché sur le centre de confiance, où le certificat lui-même n'est pas publié. | Trust Center |
| « Nous n'utilisons pas ces fichiers pour entraîner des modèles » | Les conditions propres aux fonctions d'IA mentionnent OpenAI comme prestataire — un nom absent de la politique de confidentialité elle-même, qui renvoie à ces conditions. Les données d'usage de l'IA sont conservées 90 jours. | Confidentialité, Conditions IA |
Aucune de ces différences n'est un mensonge. Ce sont des pages rédigées à des moments différents, pour des publics différents. Mais c'est précisément ce qui pose problème : l'utilisateur qui cherche « Smallpdf est-il sûr ? » lit le blog, pas la politique de confidentialité. Or c'est cette dernière qui fait foi : le RGPD impose qu'elle indique notamment le délai de conservation des données, les catégories de destinataires et les garanties encadrant les transferts hors de l'Union européenne (LegalPlace).
Où va votre fichier, et qui peut le demander ?
Le fichier que vous déposez quitte votre ordinateur. Il est traité, selon la politique de Smallpdf, sur des serveurs de l'allemand Hetzner dans l'Union européenne — un choix plutôt rassurant. Mais il n'y est pas seul.
Des intermédiaires américains sont sur le chemin. La politique de confidentialité indique que des données peuvent être stockées temporairement, pendant le traitement, sur des serveurs de Cloudflare, une entreprise de San Francisco. D'autres prestataires cités sont également américains ou filiales de groupes américains : Amazon Web Services, Google, Stripe, PayPal. Or le CLOUD Act, une loi américaine de 2018, permet aux autorités des États-Unis d'exiger d'une entreprise américaine les données qu'elle détient, y compris sur des serveurs situés en Europe. Smallpdf encadre ses transferts par des clauses contractuelles types ; ces clauses lient Smallpdf et ses prestataires, pas le gouvernement américain.
La conservation est floue pour les utilisateurs sans compte. Paradoxalement, c'est en créant un compte que vous obtenez l'engagement le plus précis : suppression sous une heure, sauf si vous enregistrez le fichier. Sans compte, « un délai raisonnable » n'engage à rien de mesurable. Et les fichiers enregistrés puis supprimés sont effacés « en général » dans les quatorze jours.
Aucune fuite de données n'est documentée chez Smallpdf à ce jour, et la société participe à un programme public de signalement des failles. C'est à son crédit.
Ce que la page collecte avant même que vous déposiez un fichier
La politique de confidentialité liste des outils d'analyse (Google Analytics, Hotjar, HubSpot) et de publicité (Google Ads, pixel Meta, LinkedIn Insight Tag), soumis à votre consentement via le bandeau de cookies. Pour être valable, ce consentement doit résulter d'un acte positif : ni case pré-cochée, ni simple poursuite de la navigation (LegalPlace).
Les mesures indépendantes vont plus loin. WhoTracks.me, l'observatoire des traceurs de Ghostery, a relevé sur smallpdf.com 11 traceurs présents sur au moins 5 % des pages observées (22 en comptant les plus rares), en moyenne 4,4 traceurs par page. Parmi les plus fréquents figurent Google Tag, Datadog et Microsoft Advertising, présent sur 63 % des pages observées (WhoTracks.me). Microsoft Advertising, Datadog et TrackJS ne sont pas nommés dans la politique de confidentialité que nous avons consultée, qui ne mentionne que des catégories générales de prestataires (journalisation des erreurs, marketing).
Gratuit, jusqu'où ?
Smallpdf fonctionne sur un modèle « freemium » : quelques opérations gratuites, puis un abonnement. Le site ne publie pas de limite chiffrée pour l'offre gratuite (« téléchargements de documents limités ») et affiche ses prix de façon dynamique ; le 27 septembre 2026, sa page tarifs indiquait pour l'offre Pro 7,50 € par mois en formule annuelle (90 € par an) et 10 € en formule mensuelle (Smallpdf). Au-delà des premières opérations, le service invite à créer un compte — et chaque fichier est alors associé à une identité.
Alors, sûr ou pas ?
Sûr contre quoi ? Contre l'interception pendant l'envoi : oui, la connexion est chiffrée. Contre une société peu sérieuse : oui, Smallpdf est une entreprise établie, certifiée, sans incident connu. Contre le fait que votre fichier soit, pendant un temps, sur des serveurs tiers : non, c'est le principe du service. Contre une demande d'autorité américaine adressée à l'un de ses sous-traitants : non, rien ne l'empêche juridiquement. Contre des traceurs publicitaires sur la page : non, sauf à les refuser.
La question honnête n'est donc pas « Smallpdf est-il sûr ? », mais : ce document a-t-il une raison de quitter votre ordinateur ?
Le même travail, sans envoyer le fichier
Fusionner, compresser, découper, convertir des images en PDF, filigraner : un navigateur moderne sait le faire sur votre propre machine. C'est ce que fait PDFKami. Le fichier est lu par la page, transformé en mémoire, et vous est rendu en téléchargement. Il n'est pas téléversé : pas de sous-traitant, pas de délai de conservation, pas de CLOUD Act. Pas de compte, pas de cookie, pas de traceur, pas de publicité. Et rien à croire sur parole : faites un premier essai, coupez le Wi-Fi, et l'outil fonctionne toujours — voici comment le vérifier, chez nous comme chez eux.
Ce que PDFKami ne fait pas : l'OCR, la conversion de PDF en Word, la signature électronique. Pour ces usages, un serveur reste nécessaire, et vous savez désormais quelles pages lire avant de choisir.