Confidentialité et sécurité.

Voici quelques conseils pour choisir une phrase secrète robuste:

• Privilégiez une phrase longue, d'au moins douze mots, mêlant mots, chiffres et symboles.
• Évitez les phrases courantes et les informations personnelles (nom, date de naissance, numéro de téléphone).
• N'utilisez jamais la même phrase secrète pour plusieurs comptes.
• Ne la partagez avec personne.
• Si vous avez du mal à la mémoriser, conservez-la dans un gestionnaire de mots de passe.

Rien, en dehors de ce que cette personne enregistre elle-même.
Quand un document partagé est consulté, ses pages sont envoyées avec une consigne de non-conservation: le navigateur les affiche, puis les oublie. Il ne les écrit pas dans son cache. Fermer l'onglet suffit, il n'y a rien à retrouver ensuite sur la machine.
S'y ajoute une propriété du partage lui-même: les pages du document voyagent à l'intérieur de la page de partage, et non sous une adresse d'image séparée. Il n'existe donc pas d'URL à copier, à transmettre ou à recharger plus tard. Le jour où vous révoquez un partage, vous coupez l'accès aux pages en même temps qu'au document, et pas seulement au lien.
Ce que cette protection ne fait pas, et qu'aucun service ne peut faire: elle n'empêche pas une capture d'écran, ni l'enregistrement d'une image affichée, ni le téléchargement du fichier si vous l'avez laissé ouvert. À partir du moment où un document s'affiche sur un écran, il est lisible par la personne qui le regarde. Ce que vous pouvez décider, en revanche, tient en trois réglages du partage:

• désactiver le téléchargement, pour que le document se consulte sans repartir en fichier;
• protéger le partage par un mot de passe, pour choisir qui l'ouvre;
• lui donner une date d'expiration, pour qu'il cesse d'exister sans que vous ayez à y penser.

Vous, et les personnes à qui vous ouvrez un lien. Personne d'autre.
Un document déposé est privé par défaut. Il n'est ni lu, ni trié, ni indexé. Il ne devient accessible que si vous créez un partage, et vous décidez alors du mot de passe et de la date d'expiration.
Les prestataires techniques n'y ont pas accès non plus. L'hébergeur loue des machines, le prestataire de paiement ne voit que la facturation, le service d'acheminement ne voit que les e-mails. Ils sont listés, avec les garanties qui encadrent leurs traitements, dans la politique de confidentialité.
Reste la loi. Archive PDF héberge des contenus déposés par ses utilisateurs et relève à ce titre de la loi n° 2004-575 du 21 juin 2004. Les données d'identification enregistrées au dépôt, soit la date, une référence du contenu, l'adresse e-mail du compte et l'adresse IP, sont communiquées sur réquisition d'une autorité habilitée. Le point est écrit à l'article 6 des conditions générales d'utilisation.
Si cela ne suffit pas, chiffrez le document à l'envoi. Un document chiffré reste illisible sans votre clé, y compris ici.

Non. Aucun document n'est examiné avant sa mise en ligne.
Archive PDF conserve les documents sans les lire ni les trier, et leur présence ici ne vaut ni contrôle ni approbation. Le contenu relève de celui qui l'a déposé.
Ce qui déclenche un examen, c'est un signalement, ou la demande d'une autorité. Un contenu manifestement illicite est retiré une fois porté à la connaissance d'Archive PDF, et le compte est suspendu sans préavis en cas d'abus grave (article 5 des conditions générales d'utilisation).
La procédure de signalement, et le recours si un document a été retiré à tort, sont détaillés dans la politique de contenu.
Un document n'est pas retiré parce qu'il dérange. Il l'est parce qu'il est illicite, et parce que quelqu'un l'a signalé.

Non, et aucun service ne le peut. À partir du moment où un document s'affiche sur un écran, il est lisible par la personne qui le regarde. Elle peut le photographier, le capturer, ou l'imprimer depuis son navigateur. Une promesse contraire serait fausse.
Ce qui se règle vraiment, ce sont les conditions du partage.

• Désactiver le téléchargement, pour que le document se consulte sans repartir en fichier.
• Protéger le partage par un mot de passe, pour choisir qui l'ouvre.
• Lui donner une date d'expiration, pour qu'il cesse d'exister sans que vous ayez à y penser.
• Le révoquer à tout moment, ce qui coupe l'accès au document et à ses pages.

Ce qui reste, ou pas, sur la machine du lecteur est détaillé dans la réponse Que reste-t-il d'un document sur l'ordinateur de la personne qui l'a consulté?
Le partage se contrôle. La lecture, non.

C'est le dernier recours pour reprendre un compte quand le mot de passe et le second facteur sont perdus tous les deux, et c'est aussi le seul moyen de préparer la transmission du compte à un proche.
Vous le générez depuis votre compte, page Préférences puis Certificat de récupération. Votre mot de passe est redemandé à ce moment-là. Le certificat s'affiche une seule fois et se télécharge en PDF prêt à imprimer: il n'est jamais conservé en clair chez nous, donc il ne peut pas être réaffiché. Si vous le perdez, générez-en un autre, ce qui rend l'ancien caduc.
Pour s'en servir, il faut la feuille et l'adresse e-mail du compte, qui figure dessus. La reprise s'achève après un délai de 48 heures, ramené à zéro si le mot de passe du compte est fourni en même temps. Un e-mail part vers l'adresse du compte dès la demande, avec un lien qui permet de s'y opposer pendant le délai. À la fin, un nouveau mot de passe est choisi, les seconds facteurs sont réinitialisés, soit le code PIN, l'application d'authentification et les clés d'accès, toutes les sessions ouvertes sont fermées, et un nouveau certificat est émis.
Ce qu'il faut retenir pour le ranger: quiconque le détient peut entrer. Ne l'envoyez pas par e-mail, ne le rangez pas dans le gestionnaire de mots de passe qui garde déjà l'accès au compte, imprimez-le et conservez-le hors ligne. C'est un objet de papier, et c'est voulu.