Seguridad en PDFLean: prioridad local y retención corta
Reconocemos la extrema confidencialidad de los contratos legales, declaraciones financieras y registros médicos. PDFLean está diseñado con principios que priorizan la privacidad y un estricto aislamiento de seguridad.
Resumen ejecutivo:
Las herramientas básicas del día a día (combinar, dividir, comprimir, convertir, marca de agua) se ejecutan dentro del sandbox de su navegador y no se suben por defecto. Las tareas opcionales aceleradas en la nube usan TLS 1.3 en tránsito; los archivos en la nube se eliminan automáticamente en 24 horas, los enlaces de descarga caducan a las 24 horas y los registros de tareas se conservan hasta 7 días. Los archivos nunca se usan para publicidad ni para entrenar IA.
01. Procesamiento en el cliente para las herramientas locales
Las herramientas etiquetadas como Local se ejecutan con JavaScript del lado del cliente y WebAssembly (por ejemplo, pdf.js, pdf-lib y códecs de imagen WASM) dentro de su navegador. Esos archivos no se suben a nuestros servidores. Una vez que la página ha cargado, las herramientas locales siguen funcionando si su conexión se interrumpe.
02. Cero subidas locales y retención corta en la nube
Local por defecto, en la nube solo cuando lo elige:
- Herramientas locales: los archivos no se suben a nuestros servidores; la memoria se libera cuando se cierra la pestaña. Sin persistencia del lado del servidor.
- Tareas opcionales en la nube: los archivos en la nube se eliminan automáticamente en 24 horas, los enlaces de descarga expiran en 24 horas, los registros de tareas en un máximo de 7 días. Use “Eliminar ahora” en su portal en cualquier momento.
03. Cifrado en tránsito y en reposo
HSTS y TLS 1.3 en tránsito; AES-256 en reposo para los objetos temporales en la nube, con eliminación automática por ciclo de vida. Eliminar significa el borrado de objetos en el servidor y la limpieza por caducidad; no afirmamos que se trate de una destrucción criptográfica.
04. Acceso con privilegios mínimos y registros de auditoría
Control de acceso basado en roles con el menor privilegio en puntos finales internos. El contenido del archivo se usa solo para completar la tarea solicitada — nunca para anuncios o entrenamiento de modelos. Las acciones operativas clave escriben registros de auditoría.
05. DPA estándar para el cumplimiento del GDPR
Para equipos institucionales sujetos al GDPR de la UE, al GDPR del Reino Unido o a la CCPA de California, proporcionamos nuestro Acuerdo de Procesamiento de Datos (DPA) estándar, que incorpora cláusulas contractuales tipo (SCC). Solicite la contrafirma a través de support@pdflean.com.
06. Programa de divulgación responsable de vulnerabilidades
Valoramos a la comunidad global de investigación de seguridad. Si identifica un problema potencial de seguridad, envíe los detalles de la prueba de concepto a nuestro equipo de seguridad. Nos comprometemos a cero acciones legales contra los investigadores que actúen de buena fe con divulgación coordinada.
07. Subprocesadores y residencia de datos
Mantenemos una lista breve de subprocesadores y la publicamos aquí:
- Cloudflare — alojamiento, cómputo, almacenamiento de objetos y seguridad de red (perímetro global).
- Stripe — procesamiento de pagos; nunca almacenamos los números de tarjeta completos.
- Resend — correo electrónico transaccional (notificaciones de cuenta y facturación).
- DeepSeek — resumen o traducción con IA opcionales, invocados en el servidor únicamente cuando usted usa una función de IA (los datos se transfieren fuera del EEE/Reino Unido; consulte la página de subprocesadores para conocer las garantías).
No utilizamos sus documentos para publicidad ni para entrenar modelos de IA. Para los equipos que requieren residencia de datos en la UE o una lista de subprocesadores firmada, contacte con support@pdflean.com.