Segurança no PDFLean: Local-First e Retenção Curta
Reconhecemos o caráter extremamente confidencial de contratos jurídicos, demonstrações financeiras e prontuários médicos. O PDFLean é arquitetado sobre princípios de privacidade em primeiro lugar e rigoroso isolamento de segurança.
Resumo Executivo:
As principais ferramentas do dia a dia (mesclar, dividir, comprimir, converter, marca d'água) são executadas dentro da sandbox do seu navegador e, por padrão, nada é enviado. As tarefas opcionais aceleradas na nuvem usam TLS 1.3 em trânsito; os arquivos na nuvem são excluídos automaticamente em até 24 horas, os links de download expiram em 24 horas e os registros de tarefas são mantidos por até 7 dias. Os arquivos nunca são usados para anúncios nem para treinamento de IA.
01. Processamento no Lado do Cliente para Ferramentas Locais
As ferramentas rotuladas como Local são executadas com JavaScript no lado do cliente e WebAssembly (por exemplo, pdf.js, pdf-lib e codecs de imagem WASM) dentro do seu navegador. Esses arquivos não são enviados para nós. Depois que a página é carregada, as ferramentas locais continuam funcionando mesmo se a sua conexão cair.
02. Zero-Upload Local e Retenção Curta na Nuvem
Local por padrão, na nuvem apenas quando você escolher:
- Ferramentas locais: os arquivos não são enviados para nós; a memória é liberada quando a aba é fechada. Nenhuma persistência no lado do servidor.
- Tarefas opcionais na nuvem: os arquivos na nuvem são excluídos automaticamente em até 24 horas, os links de download expiram em 24 horas e os registros de tarefas são mantidos por até 7 dias. Use “Excluir agora” no seu portal a qualquer momento.
03. Criptografia em Trânsito e em Repouso
HSTS e TLS 1.3 em trânsito; AES-256 em repouso para os objetos temporários na nuvem, com exclusão automática por ciclo de vida. Exclusão significa a remoção do objeto no lado do servidor e a limpeza por expiração; não afirmamos oferecer destruição criptográfica.
04. Acesso de Menor Privilégio e Logs de Auditoria
Controle de acesso baseado em funções, com privilégio mínimo, nos endpoints internos. O conteúdo dos arquivos é usado apenas para concluir a tarefa solicitada — nunca para anúncios nem para treinamento de modelos. As principais ações operacionais gravam logs de auditoria.
05. DPA Padrão para Conformidade com o GDPR
Para equipes institucionais sujeitas ao GDPR da UE, ao GDPR do Reino Unido ou ao CCPA da Califórnia, fornecemos nosso Acordo de Processamento de Dados (DPA) padrão, que incorpora as Cláusulas Contratuais Padrão (SCCs). Solicite a contrassinatura pelo support@pdflean.com.
06. Programa de Divulgação Responsável de Vulnerabilidades
Valorizamos a comunidade global de pesquisa em segurança. Se você identificar um possível problema de segurança, envie os detalhes da prova de conceito para a nossa equipe de segurança. Comprometemo-nos a não tomar nenhuma ação legal contra pesquisadores que ajam de boa-fé com divulgação coordenada.
07. Subprocessadores e Residência de Dados
Mantemos a nossa lista de subprocessadores curta e a publicamos aqui:
- Cloudflare — hospedagem, computação, armazenamento de objetos e segurança de rede (edge global).
- Stripe — processamento de pagamentos; nunca armazenamos números completos de cartão.
- Resend — e-mail transacional (notificações de conta e faturamento).
- DeepSeek — resumo/tradução por IA opcional, acionado no lado do servidor somente quando você usa um recurso de IA (os dados são transferidos para fora do EEE/Reino Unido; consulte a página de subprocessadores para conhecer as salvaguardas).
Não usamos os seus documentos para publicidade nem para treinar modelos de IA. Para equipes que exijam residência de dados na UE ou uma lista de subprocessadores assinada, entre em contato com support@pdflean.com.