Conformidade com o RGPD para Ferramentas de PDF: O Que Procurar
Como o PDFSub Lida com a Conformidade do GDPR
O PDFSub foi construído com uma arquitetura focada na privacidade que aborda os requisitos do GDPR por design, não como uma reflexão tardia. O PDFSub está em conformidade com o GDPR e CCPA, e pronto para o SOC 2.
Processamento no Navegador por Padrão
Para operações de edição — mesclar, dividir, comprimir, rotacionar — o PDFSub processa arquivos no seu navegador. Conversões e processamento avançado são alimentados pelo PDFSub Engine — um serviço isolado sem acesso à internet. Os arquivos são processados em um ambiente isolado e excluídos automaticamente após o processamento.
Esta não é uma alegação de marketing — é uma decisão arquitetônica. O processamento no lado do cliente elimina completamente a relação de processador de dados para essas operações. Nenhum DPA necessário. Nenhum risco de transferência internacional. Nenhuma retenção no lado do servidor.
Quando o Processamento no Servidor é Necessário
Algumas operações exigem processamento no lado do servidor: OCR para documentos digitalizados, extração baseada em IA para documentos financeiros complexos e certas conversões avançadas. Quando isso acontece, o PDFSub segue protocolos rigorosos:
-
Criptografia em trânsito — todas as transferências de arquivos usam criptografia TLS
-
Processamento isolado — os arquivos são processados em um ambiente isolado sem acesso à internet
-
Exclusão imediata — os arquivos são excluídos assim que o processamento é concluído
-
Sem treinamento em arquivos do usuário — os documentos carregados nunca são usados para treinar modelos de IA ou melhorar algoritmos
-
Limitação de finalidade — os arquivos são processados exclusivamente para a operação solicitada
DPA Disponível para Clientes Corporativos
O PDFSub fornece um Acordo de Processamento de Dados para clientes corporativos que exigem documentação formal da relação de processador. Isso cobre os cenários de processamento no lado do servidor e inclui todas as disposições obrigatórias do Artigo 28.
Transparente Sobre o Que Acontece
A abordagem de privacidade do PDFSub é direta: processar localmente sempre que possível e, quando o processamento no servidor for necessário, minimizar a exposição de dados por meio de criptografia e exclusão imediata. Não há cláusulas vagas de "propósitos comerciais". Não há uso secundário de seus dados.
Você pode navegar pelas mais de 77 ferramentas do PDFSub e experimentar um teste gratuito de 7 dias para verificar o modelo de processamento no navegador por si mesmo antes de se comprometer.
Checklist de Conformidade do GDPR para Escolher uma Ferramenta de PDF
Use esta checklist ao avaliar qualquer ferramenta de PDF para conformidade com o GDPR. Ferramentas baseadas no navegador contornam várias categorias inteiramente, mas para qualquer ferramenta baseada em nuvem, cada item é importante.
| # | Pergunta | O Que Procurar |
|---|---|---|
| 1 | Ela processa arquivos localmente? | Processamento baseado no navegador = nenhuma transferência de dados = nenhuma relação de processador. Verifique observando o tráfego de rede nas ferramentas de desenvolvedor do navegador. |
| 2 | Um DPA está disponível? | Deve ser obtido sem uma chamada de vendas corporativas. Deve incluir todas as disposições obrigatórias do Artigo 28. |
| 3 | Onde os servidores estão localizados? | O processamento na UE/EEE evita complicações de transferência. Se fora da UE, verifique a decisão de adequação, SCCs ou BCRs. |
| 4 | Qual é a política de retenção de arquivos? | A exclusão imediata é a melhor prática. Qualquer retenção além da conclusão do processamento precisa de justificativa. |
| 5 | Os dados são usados para algum propósito secundário? | A política de privacidade deve excluir explicitamente o treinamento de IA, análise e uso publicitário do conteúdo dos arquivos. |
| 6 | Como as solicitações de titulares de dados são tratadas? | Deve ser possível confirmar a exclusão de cópias retidas quando um titular de dados exerce o direito de apagamento. |
| 7 | Quais sub-processadores estão envolvidos? | Lista publicada com descrições, locais e um mecanismo de notificação quando os sub-processadores mudam. |
| 8 | Quais medidas de segurança estão em vigor? | Criptografia em trânsito e em repouso, controles de acesso, certificações relevantes (ISO 27001, SOC 2). |
| 9 | Quais são os compromissos de notificação de violação? | Notificação em até 72 horas (ou antes), com um ponto de contato dedicado para incidentes de segurança. |
| 10 | É possível auditar a conformidade? | O DPA deve incluir direitos de auditoria. O provedor deve compartilhar documentação de conformidade e designar um DPO. |
O Custo de Errar: Multas do GDPR em Contexto
As multas do GDPR são projetadas para serem dissuasivas. O nível inferior (Artigo 83(4)) permite multas de até EUR 10 milhões ou 2% do faturamento global anual para violações de processador e segurança. O nível superior (Artigo 83(5)) permite multas de até EUR 20 milhões ou 4% do faturamento global anual para violações de princípios de processamento de dados e direitos dos titulares de dados.
A tendência de aplicação é inconfundível. Em 2025, a base legal insuficiente para o processamento de dados representou 90% do valor total das multas (aproximadamente EUR 1,03 bilhão). O TikTok recebeu uma multa de EUR 530 milhões em maio de 2025 por transferir ilegalmente dados de usuários da UE para a China sem salvaguardas adequadas. Organizações menores não estão imunes — autoridades supervisoras multaram PMEs por DPAs inadequados, segurança insuficiente e retenção excessiva.
O custo reputacional pode exceder a penalidade financeira. Uma violação de dados envolvendo extratos bancários de clientes ou registros médicos prejudica a confiança de uma forma que nenhum pagamento de multa pode reparar.