Em 2024, um pesquisador de segurança analisou 20 sites de “combinação de PDF gratuita” e descobriu que 17 deles armazenavam os PDFs enviados pelos usuários em armazenamento temporário de CDN — e 3 deles não tinham excluído após 24 horas. Em outras palavras, o contrato, prontuário médico ou currículo que você enviou hoje ainda está no disco de outra pessoa amanhã, e você nem sabe.

PDF é um tipo de dado especialmente sensível. Frequentemente contém seu conteúdo mais privado — digitalizações de RG, contratos, holerites, prontuários médicos, passaportes, históricos escolares. Mas como “parece apenas um documento”, a defesa mental das pessoas é mais baixa do que para, por exemplo, fotos íntimas. Este artigo usa 3 estudos de caso reais de incidentes de privacidade para explicar por que insistimos em todo o processamento de PDF no navegador, e como você pode verificar se qualquer ferramenta realmente processa localmente.

3 Incidentes Reais

Um site de “combinação de PDF gratuita”, recomendado por muitos, foi descoberto por um pesquisador de segurança porque tinha armazenado 2 milhões de PDFs enviados por usuários no AWS S3, com permissões do bucket mal configuradas permitindo acesso público. O corpus incluía itens que poderiam ser ligados a identidades reais: cartas de advogados, resumos de alta hospitalar, diplomas.

Causa raiz: A equipe de engenharia usou armazenamento temporário S3 para “cache de aceleração” (a CDN estava mal configurada), mas as permissões IAM do bucket foram definidas como public-read. O botão de upload da ferramenta não dizia “enviar para S3”; apenas dizia “enviar para nuvem para processamento”.

O que o usuário poderia ter feito: Antes de enviar, pressionar F12 e olhar a aba Network. Se você vir requisições POST indo para domínios de terceiros, a ferramenta não é puramente frontend.

Incidente 2: Um “Anonimizador de PDF” que Apenas Cobriu Visualmente (2024)

Uma ferramenta anunciada como “envie prontuários médicos, anonimize automaticamente todos os nomes e endereços” foi descoberta por um engenheiro que usava “anonimização” que era apenas mascaramento visual (desenhar retângulos pretos sobre os nomes) — o fluxo de texto original dentro do PDF ainda continha os nomes. Qualquer pessoa com habilidades de engenharia reversa de PDF poderia extrair o texto original.

Causa raiz: A anonimização real requer modificar o fluxo de conteúdo do PDF (reescrever objetos com uma biblioteca como pdf-lib), mas o mascaramento visual é 1 linha de código (desenhar um retângulo na página). Implementação de baixo custo versus implementação de alto custo é uma decisão de negócios.

O que o usuário poderia ter feito: Enviar um “prontuário médico de teste” cheio de NOME DE TESTE test-name, depois baixar o resultado, abri-lo em um editor de PDF e olhar o fluxo de texto. Um PDF verdadeiramente anonimizado deveria fazer a busca por texto de qualquer nome retornar nada.

Incidente 3: A Controvérsia de Digitalização + Dados de Treinamento de um Serviço de OCR (2025)

Uma ferramenta de “OCR PDF para Word” impulsionada por IA escreveu em seu acordo de usuário: “os arquivos enviados podem ser usados para melhorar nossos modelos de IA”. Legalmente isso é permitido (o usuário concordou com o EULA), mas nenhum usuário que enviou seus contratos percebeu que seu contrato estava treinando uma IA.

Causa raiz: O modelo de negócios “ferramenta grátis por dados”. Ferramentas gratuitas não vendem anúncios (anunciantes não querem gastar dinheiro em ferramentas de OCR), então revendem dados em vez disso.

O que o usuário poderia ter feito: Antes de enviar, rolar até a seção “uso de dados” do acordo de usuário. Geralmente fica enterrada no meio. Sob uma perspectiva legal, se os dados são usados para “melhoria do serviço”, isso geralmente inclui treinamento de modelos.

Por Que Insistimos no Processamento Local

Ferramentas PDF do Piick tem exatamente um princípio de design: os arquivos nunca saem do navegador.

Implementação técnica:

  • Todas as operações de PDF rodam na memória do processo do navegador, usando pdf-lib (/src/components/tools/PdfTools.astro)
  • Objetos de arquivo nunca são envolvidos em FormData de fetch
  • Cliques de botão nunca disparam nenhuma requisição de rede
  • Arquivos processados produzem diretamente uma URL blob: — esta URL é interna ao sandbox do navegador; o mundo exterior não pode vê-la

Honestidade no design:

  • Nossa página de privacidade declara claramente “sem upload, sem armazenamento, sem treinamento”. Isso é uma promessa, não texto de marketing.
  • Nosso código é um site estático — não há servidor backend para onde enviar (o domínio piick.cc é apenas hospedagem de ativos estáticos HTML + JS + CSS, saída de build do Astro 4.x + cache CDN).
  • Não temos sistema de contas — sem cadastro, sem login, sem email.

Como Verificar se Qualquer Ferramenta que Você Usa Realmente Faz Processamento Local

Se você está usando a ferramenta de PDF de outro fornecedor, faça estas 3 verificações:

Passo 1: Monitoramento de Rede com DevTools

Abra as ferramentas de desenvolvedor do seu navegador (F12), mude para a aba Network, limpe os registros. Depois use a ferramenta para fazer uma combinação de PDF.

  • Local real: A aba Network deve ter zero requisições POST/PUT (exceto o HTML/CSS/JS do primeiro carregamento da página)
  • Local falso: Você verá requisições de upload indo para um domínio estrangeiro (/api/upload.pdf e similares)

Passo 2: Teste de Desconexão do Firewall

Desconecte sua rede (modo avião ou tire o cabo), depois faça uma combinação de PDF com a ferramenta.

  • Local real: Funciona completamente normal, gera o novo PDF
  • Local falso: Erro de “falha na conexão de rede”

Passo 3: Leia o Código (para Engenheiros)

Pressione F12, mude para a aba Sources, procure a função de processamento de PDF (mergePdf ou splitPdf). Se o corpo da função não tem chamada fetch( ou XMLHttpRequest, é puramente frontend. Se tem, procure essas URLs de fetch e veja se vão para seu próprio domínio — se vão para *.example.com, fez upload.

3 Casos Limites a Observar

Caso Limite 1: Extensões do Chromium

Se a ferramenta é uma extensão de navegador (Chrome Extension, Firefox Add-on), seu “processamento local” depende das permissões de rede da própria extensão. Verifique as configurações da extensão: Algumas extensões têm permissões <all_urls> por padrão, então mesmo sem uploads, elas leem suas páginas.

Caso Limite 2: O PDF Já Está na Nuvem

Se o PDF que você está processando foi baixado do Google Drive ou Dropbox (uma URL temporária), então após o “processamento local” ser concluído, os registros de acesso da URL temporária ainda ficam no lado do Google/Dropbox. Isso não é culpa da ferramenta, mas esteja ciente.

Caso Limite 3: Plugins do Leitor de PDF

Alguns leitores de PDF (Adobe Reader DC) têm um recurso de “Compartilhamento Rápido” que faz ping nos servidores da Adobe quando você abre um arquivo. Sem relação com a ferramenta, mas o ato de abrir um PDF pode já vazar dados.

Práticas Recomendadas

  1. PDFs sensíveis → ferramentas locais — contratos, prontuários médicos, digitalizações de RG, sempre use uma ferramenta puramente frontend (recomendamos nossas próprias Ferramentas PDF, mas qualquer ferramenta puramente frontend serve).
  2. PDFs não sensíveis → ferramentas na nuvem são aceitáveis — agendas de reuniões públicas, artigos públicos, livros didáticos — ferramentas na nuvem não são problema.
  3. Esvazie suas contas de ferramentas na nuvem anualmente — se você usou contas de ilovepdf ou smallpdf, elas podem ter histórico de uploads. Faça login, veja “Meus arquivos”, exclua você mesmo.
  4. PDFs importantes — nunca clique em um botão de “compartilhar em redes sociais” — essas ferramentas quase todas processam na nuvem.

Construímos as Ferramentas PDF porque isso importa pessoalmente para nós, não porque achamos que outros fazem mal. Genuinamente queremos dar a todos uma opção de processamento de PDF “sem precisar confiar”.