Hver gang du slår sammen en kontrakt, redigerer en faktura, eller konverterer en kontoutskrift til Excel ved hjelp av et nettbasert PDF-verktøy, dukker det opp et spørsmål de fleste aldri tenker på å stille: hvor ble akkurat den filen av?

PDF-er er ikke harmløse formateringsbeholdere. De inneholder navn, adresser, bankkontonumre, lønninger, medisinske diagnoser og juridiske avtaler. EUs personvernforordning (GDPR) bryr seg ikke om du hadde til hensikt å "behandle personopplysninger" – den bryr seg om du gjorde det. Og hvis PDF-verktøyet ditt lastet opp filen til en server, er svaret ja.

Denne veiledningen forklarer hvordan GDPR gjelder for PDF-verktøy, hva som kreves av verktøyleverandører for å oppfylle kravene, og hvordan du evaluerer ethvert verktøy før du stoler på det med sensitive dokumenter.

GDPR Compliance for PDF Tools - what to look for when choosing privacy-compliant document tools

Den gjennomsnittlige bedriften håndterer tusenvis av PDF-er hver måned. Interne HR-dokumenter, klientkontrakter, kontoutskrifter, fakturaer, skatteskjemaer, medisinske journaler, juridisk korrespondanse – nesten alle inneholder personopplysninger slik de er definert av GDPR.

Artikkel 4(1) i GDPR definerer personopplysninger bredt: "all informasjon som er knyttet til en identifisert eller identifiserbar fysisk person." Dette inkluderer:

Navn og kontaktinformasjon funnet på fakturaer, kontrakter og korrespondanse
Finansielle data inkludert kontonumre, transaksjonshistorikk, lønninger og skatteinformasjon på kontoutskrifter og lønnsslipper
Helseinformasjon i medisinske journaler, forsikringsdokumenter og attester for uførhet
Offentlige identifikatorer som nasjonale ID-numre, skatteidentifikatorer og personnumre
Juridisk informasjon i kontrakter, rettsdokumenter og samsvarsrapporter

Når du åpner en PDF som inneholder noen av disse dataene og behandler den gjennom et nettbasert verktøy – sammenslåing, deling, konvertering, komprimering eller redigering – behandler du personopplysninger. Denne behandlingen er underlagt GDPR uavhengig av om uthenting av personopplysninger var din intensjon.

Konsekvensene er ikke teoretiske. Ifølge DLA Piper GDPR Fines and Data Breach Survey (januar 2026) nådde samlede bøter siden GDPR trådte i kraft 7,1 milliarder euro, hvorav 1,2 milliarder euro ble utstedt alene i 2025. Manglende overholdelse av generelle behandlingsprinsipper – kategorien som er mest relevant for hvordan PDF-verktøy håndterer filene dine – står for fem av de ti største bøtene som noensinne er utstedt.

Før du evaluerer PDF-verktøy med et samsvarsfokus, må du forstå fire kjernekonsepter. Denne delen hopper over juridisk sjargong og fokuserer på hva hvert konsept betyr i praksis.

Personopplysninger

All informasjon som kan identifisere en person, direkte eller indirekte. Et navn på en kontrakt er personopplysninger. Et bankkontonummer på en kontoutskrift er personopplysninger. En e-postadresse i et PDF-skjema er personopplysninger. Selv data som bare identifiserer noen når de kombineres med annen informasjon, teller – for eksempel et postnummer pluss en fødselsdato.

Hvis PDF-en du behandler inneholder informasjon om en identifiserbar person, håndterer du personopplysninger.

Behandlingsansvarlig vs. Databehandler

Behandlingsansvarlig bestemmer hvorfor og hvordan personopplysninger behandles. Hvis du er en bedrift som velger å bruke et PDF-verktøy for å konvertere klientens kontoutskrifter, er du den behandlingsansvarlige.

Databehandleren behandler data på vegne av den behandlingsansvarlige. PDF-verktøyleverandøren er databehandleren – de håndterer dataene i henhold til dine instruksjoner (konverter denne filen, slå sammen disse dokumentene, hent ut denne tabellen).

Denne skillet er viktig fordi GDPR pålegger forpliktelser på begge roller. Behandlingsansvarlige må velge databehandlere som tilbyr "tilstrekkelige garantier" for samsvar (Artikkel 28). Databehandlere må følge instruksjonene fra den behandlingsansvarlige og implementere passende sikkerhetstiltak. Hvis PDF-verktøyleverandøren din unnlater å beskytte personopplysninger, kan dere begge bli holdt ansvarlige.

Lovlig grunnlag for behandling

Artikkel 6 krever et lovlig grunnlag for behandling av personopplysninger. For mesteparten av bedriftsbruk av PDF-verktøy er de relevante grunnlagene berettiget interesse (en reell forretningsmessig grunn, som å konvertere kontoutskrifter for regnskapsføring), oppfyllelse av kontrakt (behandling nødvendig for å oppfylle en kontraktsmessig forpliktelse), eller samtykke (mindre vanlig i B2B-arbeidsflyter). Det lovlige grunnlaget må eksistere før behandlingen starter.

Registrertes rettigheter

Individer hvis data vises i disse PDF-ene har rettigheter under GDPR. De mest relevante for bruk av PDF-verktøy er innsynsrett (Artikkel 15 – be om en kopi av personopplysninger), rett til sletting (Artikkel 17 – be om sletting når data ikke lenger er nødvendig eller samtykke trekkes tilbake), og rett til dataportabilitet (Artikkel 20 – be om data i et maskinlesbart format).

Behandlingsansvarlige må svare innen én måned. Hvis PDF-verktøyleverandøren din har beholdt kopier av dokumenter som inneholder personens data, må du kunne sikre at disse kopiene også blir slettet.

Ikke all bruk av et PDF-verktøy skaper GDPR-forpliktelser. Skillet er enkelt, men kritisk viktig.

Scenario 1: Nettleserbasert behandling (ingen overføring)

Du åpner et PDF-verktøy i nettleseren din, velger en fil, og den behandles fullstendig ved hjelp av klient-side kode. Filen forlater aldri enheten din.

I dette scenarioet er PDF-verktøyleverandøren ikke en databehandler under GDPR. Ingen personopplysninger ble overført. Ingen DPA er nødvendig. Dette er den reneste mulige tilnærmingen fra et samsvarsperspektiv.

Scenario 2: Skysbasert behandling (overføring til databehandler)

Du laster opp en PDF til et nettbasert verktøys server. Serveren behandler filen – konverterer, slår sammen, henter ut, eller hvilken som helst annen operasjon du har valgt – og returnerer resultatet. I løpet av denne tiden eksisterte filen på leverandørens infrastruktur.

I dette scenarioet er PDF-verktøyleverandøren en databehandler under GDPR. Du, som behandlingsansvarlig, har overført personopplysninger til en databehandler. Dette utløser en kaskade av juridiske krav:

En databehandleravtale (DPA) må være på plass før overføringen
Databehandleren må implementere passende tekniske og organisatoriske tiltak for å beskytte dataene
Hvis databehandleren er utenfor EU/EØS, er overføringen en internasjonal dataoverføring som er underlagt ytterligere sikkerhetstiltak

Scenario 3: AI-drevet behandling (ytterligere hensyn)

Noen PDF-verktøy bruker AI eller maskinlæring for å behandle dokumenter – for OCR, datauthenting, oppsummering eller oversettelse. Hvis dette innebærer å sende filen din til en tredjeparts AI-tjeneste (Googles Gemini, OpenAI's GPT, osv.), er AI-leverandøren en underdatabehandler. Kjeden av forpliktelser strekker seg lenger:

PDF-verktøyleverandøren trenger din godkjenning for å bruke underdatabehandlere
Underdatabehandleren må være bundet av tilsvarende personvernforpliktelser
Du bør vite hvilke AI-tjenester som brukes og hvor de behandler data
Det må være klare forpliktelser om at filene dine ikke brukes til AI-modelltrening

GDPR compliance features for PDF tools: 6-feature grid with red flags checklist and fine tier reference

Hvis et PDF-verktøy behandler filer på sine servere – noe som gjør det til en databehandler – pålegger GDPR spesifikke krav. Her er hva du bør se etter.

Databehandleravtale (DPA)

Artikkel 28 i GDPR gjør dette ikke-forhandlingsbart. Enhver databehandler må ha en skriftlig DPA med hver behandlingsansvarlige. DPA-en må spesifisere art og formål med behandlingen, typer personopplysninger, kategorier av registrerte, databehandlerens forpliktelser om sikkerhet og konfidensialitet, regler for underdatabehandlere, krav om sletting av data ved avslutning, og rettigheter for den behandlingsansvarlige til å utføre revisjon.

En PDF-verktøyleverandør som ikke tilbyr en DPA, utgjør en samsvarsrisiko. Enhver legitim skysbasert databehandler bør ha en standard DPA tilgjengelig.

Formålsbegrensning

Artikkel 5(1)(b) i GDPR fastslår at personopplysninger skal være "samlet inn for spesifikke, uttrykkelige og legitime formål og ikke viderebehandles på en måte som er uforenlig med disse formålene."

For et PDF-verktøy er formålet klart: du lastet opp en fil for å konvertere, slå sammen, dele eller på annen måte transformere den. Leverandøren kan bare behandle filen din for det angitte formålet. De kan ikke analysere dokumentene dine for annonseinnsikt. De kan ikke bruke filinnholdet ditt til å trene AI-modeller. De kan ikke dele dataene dine med partnere for markedsføringsformål.

Hvis et verktøys personvernerklæring inkluderer formuleringer om bruk av opplastede filer "for å forbedre våre tjenester" eller "for forskningsformål", er det en formålsbegrensningsbrudd som venter på å skje.

Data minimalisering

Artikkel 5(1)(c) krever at personopplysninger skal være "tilstrekkelige, relevante og begrenset til det som er nødvendig i forhold til formålene de behandles for."

I praksis betyr dette at et PDF-verktøy bare bør få tilgang til de delene av filen din som er nødvendige for den forespurte operasjonen. Det bør ikke hente ut metadata, loggføre dokumentinnhold, eller beholde informasjon utover det som er nødvendig for å fullføre oppgaven.

Den sterkeste formen for data minimalisering er å ikke samle inn dataene i det hele tatt – noe som er nøyaktig hva nettleserbasert behandling oppnår.

Sikkerhetstiltak

Artikkel 32 krever "passende tekniske og organisatoriske tiltak" proporsjonalt med risikoen. For et PDF-verktøy betyr dette kryptering under overføring (TLS/HTTPS), kryptering i hvile, riktige tilgangskontroller, sikre hostingmiljøer og regelmessig sikkerhetstesting. En leverandør som ikke kan beskrive sin sikkerhetsarkitektur, bør ikke håndtere filene dine.

Filbevaring og sletting

Dette er der mange PDF-verktøy feiler. GDPR-prinsippet om lagringsbegrensning (Artikkel 5(1)(e)) krever at personopplysninger skal "lagres i en form som muliggjør identifisering av registrerte personer i ikke lenger enn det som er nødvendig."

For et PDF-verktøy er den nødvendige varigheten tiden det tar å fullføre behandlingsoperasjonen og levere resultatet. Når du har lastet ned den konverterte filen din, bør leverandøren ikke ha noen grunn til å beholde originalen eller resultatet.

Noen verktøy beholder filer i 24 timer, 7 dager, eller til og med 30 dager. Spør deg selv: hvorfor? Brukervennlighet er ikke et lovlig grunnlag for å beholde personopplysninger. Utvidet oppbevaring skaper risiko uten tilsvarende fordel.

Beste praksis er umiddelbar sletting etter at behandlingen er fullført.

Internasjonale dataoverføringer

Hvis PDF-verktøyleverandøren eller deres underdatabehandlere er utenfor EU/EØS, krever kapittel V i GDPR ytterligere sikkerhetstiltak: en tilstrekkelighetsprognose (Kommisjonen har fastslått at destinasjonslandet gir tilstrekkelig beskyttelse – per tidlig 2026 inkluderer dette Storbritannia, Japan, Sør-Korea, Canada og USA under EU-US Data Privacy Framework), standard kontraktsklausuler (SCCs), eller bindende interne retningslinjer (BCRs).

EU-US Data Privacy Framework overlevde en juridisk utfordring i september 2025, men kommentatorer merker seg at 2026 kan bringe ny granskning. Organisasjoner som er avhengige av dette rammeverket, bør følge med på utviklingen.

Varsling om datainnbrudd

Artikkel 33 krever at behandlingsansvarlige varsler tilsynsmyndigheten innen 72 timer etter å ha blitt kjent med et datainnbrudd. For PDF-verktøyleverandører betyr dette at de må varsle deg (den behandlingsansvarlige) uten unødig opphold slik at du kan oppfylle dine egne forpliktelser. DPA-en bør inkludere klare forpliktelser og tidsfrister for varsling om datainnbrudd.

Røde flagg i personvernerklæringer for PDF-verktøy

Personvernerklæringer er ofte lange og bevisst vage. Her er spesifikke formuleringer og praksiser som bør vekke bekymring.

"Vi kan dele data med tredjeparter for forretningsformål"

Vage delingsvilkår bryter med prinsippet om åpenhet. Du må vite nøyaktig hvilke tredjeparter som mottar data, for hvilket formål, og under hvilket lovlig grunnlag. "Forretningsformål" er ikke et lovlig grunnlag – det er en unnvikelse.

"Filer lagres i opptil 30 dager"

Overdreven oppbevaring uten begrunnelse. Hvis verktøyets formål er å konvertere en PDF, hvorfor trenger det kontoutskriften din i en måned? Lange oppbevaringsperioder øker risikoen for datainnbrudd og er vanskelige å forene med prinsippet om lagringsbegrensning.

"Vi bruker opplastede filer til å forbedre våre tjenester"

Dette er det største røde flagget. Hvis en verktøyleverandør bruker dokumentene dine – som inneholder dine kunders personopplysninger – til å trene AI-modeller eller forbedre algoritmene sine, behandler de personopplysninger for et formål du ikke har godkjent. Dette bryter formålsbegrensningen, mangler sannsynligvis et lovlig grunnlag, og kan utgjøre en sekundær behandlingsaktivitet som krever separat samtykke.

Ingen DPA tilgjengelig

Hvis et skysbasert PDF-verktøy ikke kan tilby en databehandleravtale, er det ikke GDPR-kompatibelt. Punktum. Artikkel 28 er utvetydig på dette punktet. Ingen DPA betyr ingen lovlig grunnlag for dem til å behandle personopplysninger på dine vegne.

Serverlokasjon ikke oppgitt

Hvis leverandøren ikke vil fortelle deg hvor filene dine behandles, kan du ikke vurdere om overføringen krever ytterligere sikkerhetstiltak i henhold til kapittel V. Åpenhet om infrastruktur er et grunnleggende krav.

Ingen liste over underdatabehandlere

GDPR krever at databehandlere informerer behandlingsansvarlige om underdatabehandlere. Hvis verktøyet bruker tredjepartstjenester for å behandle filene dine (skylagring, AI API-er, CDN-er) og ikke oppgir dem, kan du ikke utføre tilstrekkelig aktsomhetsvurdering.

Grønne flagg: Hvordan kompatible PDF-verktøy ser ut

Det motsatte av hvert røde flagg ovenfor er et grønt flagg. Men noen fortjener vektlegging:

Nettleserbasert behandling er den sterkeste personvernfunksjonen et PDF-verktøy kan tilby. Når en fil aldri forlater enheten din, blir leverandøren aldri en databehandler. Ingen overføring av personopplysninger, ingen DPA nødvendig for den operasjonen, ingen server-side oppbevaringsrisiko. Dette er ikke en teoretisk forskjell – klient-side behandling eliminerer genuint en hel kategori av samsvarsrisiko.
Umiddelbar sletting av filer etter at behandlingen er fullført. Enhver oppbevaring utover det trenger begrunnelse.
DPA offentlig tilgjengelig eller kan skaffes uten en bedriftssalgssamtale.
EU-baserte servere eller tydelig dokumenterte overføringsmekanismer (tilstrekkelighetsprognose, SCCs, BCRs) for servere utenfor EU/EØS.
Ingen sekundær bruk av filinnhold – forpliktet skriftlig, både i personvernerklæringen og DPA-en.
Transparent liste over underdatabehandlere med en varslingsmekanisme når underdatabehandlere endres (Artikkel 28(2)).

PDFSub ble bygget med en personvernførst-arkitektur som adresserer GDPR-krav etter design, ikke som en ettertanke. PDFSub er GDPR- og CCPA-kompatibel, og SOC 2 Ready.

Nettleserbasert behandling som standard

For redigeringsoperasjoner – sammenslåing, deling, komprimering, rotering – behandler PDFSub filer i nettleseren din. Konverteringer og avansert behandling drives av PDFSub Engine – en isolert tjeneste uten internettilgang. Filer behandles i et isolert miljø og slettes automatisk etter behandling.

Dette er ikke et markedsføringspåstand – det er en arkitektonisk beslutning. Klient-side behandling eliminerer databehandlerforholdet fullstendig for disse operasjonene. Ingen DPA nødvendig. Ingen internasjonal overføringsrisiko. Ingen server-side oppbevaring.

Når serverbehandling er nødvendig

Noen operasjoner krever serverbasert behandling: OCR for skannede dokumenter, AI-drevet uthenting for komplekse finansielle dokumenter, og visse avanserte konverteringer. Når dette skjer, følger PDFSub strenge protokoller:

Kryptering under overføring – all filoverføring bruker TLS-kryptering
Isolert behandling – filer behandles i et isolert miljø uten internettilgang
Umiddelbar sletting – filer slettes så snart behandlingen er fullført
Ingen trening på brukerfiler – opplastede dokumenter brukes aldri til å trene AI-modeller eller forbedre algoritmer
Formålsbegrensning – filer behandles utelukkende for den forespurte operasjonen

DPA tilgjengelig for bedriftskunder

PDFSub tilbyr en databehandleravtale for bedriftskunder som krever formell dokumentasjon av databehandlerforholdet. Dette dekker serverbaserte behandlingsscenarioer og inkluderer alle obligatoriske bestemmelser i Artikkel 28.

Åpenhet om hva som skjer

PDFSubs personverntilnærming er enkel: behandle lokalt når det er mulig, og når serverbehandling er nødvendig, minimer dataeksponering gjennom kryptering og umiddelbar sletting. Det er ingen vage "forretningsformål"-klausuler. Det er ingen sekundær bruk av dataene dine.

Du kan bla gjennom PDFSubs 84+ verktøy og prøve en 7-dagers gratis prøveperiode for å verifisere den nettleserbaserte behandlingsmodellen selv før du forplikter deg.

Bruk denne sjekklisten når du evaluerer et hvilket som helst PDF-verktøy for GDPR-samsvar. Nettleserbaserte verktøy omgår flere kategorier helt, men for ethvert skysbasert verktøy betyr hvert punkt noe.

#	Spørsmål	Hva du bør se etter
1	Behandler den filer lokalt?	Nettleserbasert behandling = ingen dataoverføring = ingen databehandlerforhold. Verifiser ved å sjekke nettverkstrafikk i nettleserens utviklerverktøy.
2	Er en DPA tilgjengelig?	Bør kunne skaffes uten en bedriftssalgssamtale. Må inkludere alle obligatoriske bestemmelser i Artikkel 28.
3	Hvor er serverne lokalisert?	EU/EØS-behandling unngår overføringskomplikasjoner. Hvis utenfor EU, sjekk for tilstrekkelighetsprognose, SCCs eller BCRs.
4	Hva er policyen for filbevaring?	Umiddelbar sletting er beste praksis. Enhver oppbevaring utover fullført behandling trenger begrunnelse.
5	Brukes data til noe sekundært formål?	Personvernerklæringen bør eksplisitt utelukke AI-trening, analyse og annonsebruk av filinnhold.
6	Hvordan håndteres registrertes forespørsler?	Må kunne bekrefte sletting av lagrede kopier når en registrert utøver retten til sletting.
7	Hvilke underdatabehandlere er involvert?	Publisert liste med beskrivelser, lokasjoner og en varslingsmekanisme når underdatabehandlere endres.
8	Hvilke sikkerhetstiltak er på plass?	Kryptering under overføring og i hvile, tilgangskontroller, relevante sertifiseringer (ISO 27001, SOC 2).
9	Hva er forpliktelsene for varsling om datainnbrudd?	Varsling innen 72 timer (eller tidligere), med et dedikert kontaktpunkt for sikkerhetshendelser.
10	Kan du revidere samsvar?	DPA bør inkludere revisjonsrettigheter. Leverandøren bør dele samsvarsdokumentasjon og utnevne en personvernombud (DPO).

GDPR-bøter er ment å være avskrekkende. Den nedre terskelen (Artikkel 83(4)) tillater bøter på opptil 10 millioner euro eller 2 % av årlig global omsetning for brudd på databehandler- og sikkerhetsbestemmelser. Den øvre terskelen (Artikkel 83(5)) tillater bøter på opptil 20 millioner euro eller 4 % av årlig global omsetning for brudd på databehandlingsprinsipper og registrertes rettigheter.

Enforcement-trenden er uunngåelig. I 2025 sto utilstrekkelig lovlig grunnlag for databehandling for 90 % av den totale bøtesummen (omtrent 1,03 milliarder euro). TikTok mottok en bot på 530 millioner euro i mai 2025 for ulovlig overføring av EU-brukerdata til Kina uten tilstrekkelige sikkerhetstiltak. Mindre organisasjoner er ikke immune – tilsynsmyndigheter har bøtelagt små og mellomstore bedrifter for utilstrekkelige DPAs, mangelfull sikkerhet og overdreven oppbevaring.

Den omdømmemessige kostnaden kan overstige den økonomiske straffen. Et datainnbrudd som involverer klienters kontoutskrifter eller medisinske journaler skader tilliten på måter ingen bøtebetaling kan reparere.

Basert på håndhevingssaker og regulatorisk veiledning, er dette de hyppigste samsvarsfeilene knyttet til dokumentbehandlingsverktøy.

Overdreven filbevaring

Mange nettbaserte PDF-verktøy beholder opplastede filer i dager eller uker. Begrunnelsen – "slik at du kan laste ned filen din senere" – holder ikke stand under GDPR-granskning. Når konverteringen er fullført og resultatet levert, bør originalfilen slettes.

Uoppgitt tredjepartsdeling

Et PDF-verktøy som ruter filer gjennom flere skytjenester – CDN for opplasting, separat behandlingsserver, AI API for OCR – uten å oppgi disse underdatabehandlerne, bryter med kravene til åpenhet. Du kan ikke oppfylle dine forpliktelser som behandlingsansvarlig hvis du ikke vet hvem som behandler dataene dine.

Bruk av filer til AI-trening

Noen dokumentbehandlingsverktøy mater opplastede filer inn i maskinlæringspipelines. Hvis dette ikke er tydelig oppgitt og separat samtykket til, bryter det med formålsbegrensningen. Brukeren lastet opp en fil for konvertering, ikke for å bidra til et AI-treningsdatasett.

Manglende eller utilstrekkelige DPAs

Å operere som databehandler uten en DPA er et GDPR-brudd for både databehandleren og den behandlingsansvarlige. Behandlingsansvarlige har en aktiv plikt til å sikre at DPAs er på plass før behandlingen starter.

Utilstrekkelig sikkerhet for midlertidig lagring

Selv kortvarig lagrede filer må beskyttes. Lagring av opplastede PDF-er i ukrypterte midlertidige kataloger, tilgjengelig via forutsigbare URL-er, eller uten riktige tilgangskontroller, er et brudd på sikkerhetstiltakene i henhold til Artikkel 32.

Ingen mekanisme for sletteforespørsler

Hvis en registrert utøver sin rett til sletting, må du sikre at alle databehandlere sletter relevante data. En PDF-verktøyleverandør uten en dokumentert prosess for å håndtere slike forespørsler skaper et samsvarsgap.

Praktiske trinn for samsvarsteam

Hvis du er ansvarlig for innkjøp av verktøy eller personvern i organisasjonen din, her er en strømlinjeformet tilnærming til valg av PDF-verktøy.

Revidér nåværende verktøy. Identifiser hvert PDF-verktøy i bruk, inkludert skygge-IT. Ansatte bruker ofte det første gratis nettbaserte verktøyet de finner.
Klassifiser etter behandlingstype. For hvert verktøy, avgjør om det behandler filer lokalt eller laster dem opp til en server.
Be om DPAs. For ethvert skysbasert verktøy, be om en databehandleravtale. Ingen DPA tilgjengelig? Planlegg en migrering.
Gjennomgå personvernerklæringer for røde flagg. Vage delingsvilkår, overdreven oppbevaring, sekundær databruk, uoppgitte underdatabehandlere.
Standardiser på nettleserbaserte verktøy der det er mulig. Dette eliminerer hele kategorier av samsvarsrisiko.
Dokumenter din vurdering. GDPRs ansvarlighetsprinsipp (Artikkel 5(2)) krever påviselig samsvar. Registrer din evaluering og begrunnelse.
Revidér årlig. Personvernerklæringer, underdatabehandlere og tilstrekkelighetsprognoser endres. Planlegg periodisk re-evaluering.

Konklusjon

GDPR-samsvar for PDF-verktøy handler ikke om å krysse av bokser. Det handler om en grunnleggende sannhet: PDF-er inneholder personopplysninger, og ethvert verktøy som behandler disse PDF-ene er en del av din databehandlingskjede.

Den enkleste veien til samsvar er også den mest effektive: velg verktøy som behandler filer i nettleseren din der det er mulig. Når serverbehandling er uunngåelig, insister på kryptering, umiddelbar sletting, klare DPAs og transparente praksiser.

PDFSub ble designet for akkurat denne virkeligheten – nettleserbasert behandling som standard, med strenge server-side protokoller når ekstra prosesseringskraft er nødvendig. Bla gjennom alle 84+ verktøy og start en 7-dagers gratis prøveperiode for å se hvordan personvernførst PDF-behandling fungerer i praksis.

Dine kunder stoler på deg med sine mest sensitive dokumenter. Sørg for at verktøyene dine fortjener den tilliten også.