Zgodność z RODO dla narzędzi PDF: na co zwrócić uwagę
Jak PDFSub zapewnia zgodność z RODO
PDFSub został zbudowany z myślą o architekturze zorientowanej na prywatność, która adresuje wymogi RODO z założenia, a nie jako dodatek. PDFSub jest zgodny z RODO i CCPA oraz przygotowany do SOC 2.
Domyślnie przetwarzanie w przeglądarce
W przypadku operacji edycyjnych — łączenia, dzielenia, kompresji, obracania — PDFSub przetwarza pliki w Twojej przeglądarce. Konwersje i zaawansowane przetwarzanie są obsługiwane przez PDFSub Engine — odizolowaną usługę bez dostępu do Internetu. Pliki są przetwarzane w izolowanym środowisku i automatycznie usuwane po przetworzeniu.
To nie jest chwyt marketingowy — to decyzja architektoniczna. Przetwarzanie po stronie klienta całkowicie eliminuje relację procesora danych dla tych operacji. Nie potrzeba DPA. Brak ryzyka transferu międzynarodowego. Brak retencji po stronie serwera.
Kiedy wymagane jest przetwarzanie serwerowe
Niektóre operacje wymagają przetwarzania serwerowego: OCR dla zeskanowanych dokumentów, ekstrakcja oparta na AI dla złożonych dokumentów finansowych i pewne zaawansowane konwersje. Kiedy tak się dzieje, PDFSub przestrzega ścisłych protokołów:
-
Szyfrowanie w tranzycie — wszystkie transfery plików wykorzystują szyfrowanie TLS
-
Izolowane przetwarzanie — pliki są przetwarzane w izolowanym środowisku bez dostępu do Internetu
-
Natychmiastowe usuwanie — pliki są usuwane natychmiast po zakończeniu przetwarzania
-
Brak uczenia na plikach użytkowników — przesłane dokumenty nigdy nie są wykorzystywane do trenowania modeli AI ani ulepszania algorytmów
-
Ograniczenie celu — pliki są przetwarzane wyłącznie w celu wykonania żądanej operacji
DPA dostępne dla klientów korporacyjnych
PDFSub udostępnia Umowę o przetwarzaniu danych (DPA) dla klientów korporacyjnych, którzy wymagają formalnej dokumentacji relacji procesora. Dotyczy to scenariuszy przetwarzania serwerowego i obejmuje wszystkie obowiązkowe postanowienia Artykułu 28.
Przejrzystość w zakresie tego, co się dzieje
Podejście PDFSub do prywatności jest proste: przetwarzaj lokalnie, gdy tylko jest to możliwe, a gdy przetwarzanie serwerowe jest konieczne, minimalizuj ekspozycję danych poprzez szyfrowanie i natychmiastowe usuwanie. Nie ma niejasnych klauzul o "celach biznesowych". Nie ma wtórnego wykorzystania Twoich danych.
Możesz przeglądać ponad 77 narzędzi PDFSub i wypróbować 7-dniowy bezpłatny okres próbny, aby samodzielnie zweryfikować model przetwarzania w przeglądarce, zanim się zdecydujesz.
Lista kontrolna zgodności z RODO przy wyborze narzędzia PDF
Użyj tej listy kontrolnej podczas oceny dowolnego narzędzia PDF pod kątem zgodności z RODO. Narzędzia oparte na przeglądarce omijają kilka kategorii, ale w przypadku każdego narzędzia opartego na chmurze każdy punkt jest ważny.
| # | Pytanie | Na co zwrócić uwagę |
|---|---|---|
| 1 | Czy przetwarza pliki lokalnie? | Przetwarzanie w przeglądarce = brak transferu danych = brak relacji procesora. Zweryfikuj, sprawdzając ruch sieciowy w narzędziach deweloperskich przeglądarki. |
| 2 | Czy dostępna jest DPA? | Powinna być dostępna bez rozmowy sprzedażowej z działem korporacyjnym. Musi zawierać wszystkie obowiązkowe postanowienia Artykułu 28. |
| 3 | Gdzie znajdują się serwery? | Przetwarzanie w UE/EOG pozwala uniknąć komplikacji związanych z transferem. Jeśli poza UE, sprawdź decyzję o adekwatności, SCC lub BCR. |
| 4 | Jaka jest polityka retencji plików? | Natychmiastowe usuwanie jest najlepszą praktyką. Wszelka retencja wykraczająca poza zakończenie przetwarzania wymaga uzasadnienia. |
| 5 | Czy dane są wykorzystywane do jakichkolwiek celów wtórnych? | Polityka prywatności powinna wyraźnie wykluczać trenowanie AI, analizę i wykorzystanie treści plików do celów reklamowych. |
| 6 | Jak obsługiwane są żądania osób, których dane dotyczą? | Musi istnieć możliwość potwierdzenia usunięcia zachowanych kopii, gdy osoba, której dane dotyczą, skorzysta z prawa do usunięcia. |
| 7 | Jakie podpowiernicy są zaangażowani? | Opublikowana lista z opisami, lokalizacjami i mechanizmem powiadamiania o zmianach podpowierników. |
| 8 | Jakie środki bezpieczeństwa są wdrożone? | Szyfrowanie w tranzycie i spoczynku, kontrola dostępu, odpowiednie certyfikaty (ISO 27001, SOC 2). |
| 9 | Jakie są zobowiązania dotyczące powiadamiania o naruszeniach? | Powiadomienie w ciągu 72 godzin (lub wcześniej), z dedykowanym punktem kontaktowym ds. incydentów bezpieczeństwa. |
| 10 | Czy można audytować zgodność? | DPA powinna zawierać prawa do audytu. Dostawca powinien udostępniać dokumentację zgodności i wyznaczyć Inspektora Ochrony Danych (IOD). |
Koszt błędu: kary RODO w kontekście
Kary RODO mają charakter odstraszający. Niższy próg (Artykuł 83 ust. 4) pozwala na kary do 10 mln EUR lub 2% rocznego światowego obrotu za naruszenia dotyczące procesorów i bezpieczeństwa. Wyższy próg (Artykuł 83 ust. 5) pozwala na kary do 20 mln EUR lub 4% rocznego światowego obrotu za naruszenia zasad przetwarzania danych i praw osób, których dane dotyczą.
Trend egzekwowania prawa jest niezaprzeczalny. W 2025 roku niewystarczająca podstawa prawna przetwarzania danych stanowiła 90% całkowitej wartości kar (około 1,03 mld EUR). TikTok otrzymał karę 530 mln EUR w maju 2025 r. za nielegalne przekazywanie danych użytkowników z UE do Chin bez odpowiednich zabezpieczeń. Mniejsze organizacje nie są odporne — organy nadzorcze nałożyły kary na MŚP za nieodpowiednie DPA, niewystarczające zabezpieczenia i nadmierną retencję.
Koszt reputacyjny może przewyższyć karę finansową. Naruszenie bezpieczeństwa danych obejmujące wyciągi bankowe klientów lub dokumentację medyczną niszczy zaufanie w sposób, którego nie naprawi żadna płatność kary.