安全与隐私实践
我们深知法律合同、财务报表与医疗记录的极端敏感性。PDFLean 构建于严格的隐私优先架构与数据安全隔离机制之上。
核心执行摘要：
核心文档处理工具（合并、拆分、压缩、格式转换、加水印等）在你的浏览器本地沙盒内直接执行，默认不上传服务器。可选云端加速任务全程 TLS 1.3 加密传输，云端文件保留 24 小时，到期自动删除；任务记录最多保留 7 天，可随时手动立即删除，不用于广告或 AI 训练。
01. 客户端 WebAssembly 本地沙盒架构
PDFLean 的本地工具使用浏览器端 JavaScript 与 WebAssembly（如 pdf.js、pdf-lib 与 WASM 图像编解码）在用户浏览器内运行，文件不会上传给我们。页面加载完成后，即使断开网络，本地工具仍可继续工作。
02. 本地零上传与云端短期保留
我们默认本地处理、按需云端（Ephemeral by Default）：
- 本地工具：文件不会上传给我们，关闭页面即释放浏览器内存，不产生服务端持久化对象。
- 可选云端任务：云端文件保留 24 小时，到期自动删除；任务记录最多保留 7 天；用户可在控制面板随时手动立即删除。
03. 传输与存储加密
全站强制 HSTS 与 TLS 1.3 加密传输。云端暂存文件采用 AES-256 静态加密并通过生命周期策略自动删除；删除指服务端对象删除与过期清理，不宣称为“密码学粉碎”。
04. 内部访问控制与审计
内部管理接口实行基于角色的访问控制（RBAC），默认最小权限；文档内容仅用于完成用户请求的任务，不用于广告或模型训练。关键运营动作写入审计日志。
05. 企业 DPA 数据处理协议签署
对于需要满足欧盟 GDPR、英国 GDPR 或美国加州 CCPA 要求的律所、医疗与金融机构，PDFLean 提供标准数据保护协议（DPA）及标准合同条款（SCCs）。企业客户可直接向 support@pdflean.com 申请签署。
06. 负责任的安全漏洞披露程序
我们高度重视全球独立安全研究人员的贡献。若你发现了潜在安全隐患，请将复现步骤与概念验证（PoC）发送至安全团队邮箱。在未公开披露并给予合理修复时间的前提下，我们承诺绝不对善意研究人员采取任何法律追究。
07. 子处理者与数据驻留
我们的子处理者清单保持精简并在此公开：
- Cloudflare —— 托管、计算、对象存储与网络安全（全球边缘网络）。
- Stripe —— 支付处理；我们不存储完整银行卡号。
- Resend —— 事务性邮件（账户与账单通知）。
- DeepSeek —— 可选的 AI 摘要与翻译；仅在你使用 AI 功能时由服务端调用（数据将传输至欧洲经济区/英国之外，保障措施见子处理者页面）。
我们不会将你的文档用于广告，也不会用于训练 AI 模型。如需欧盟数据驻留或已签署的子处理者清单，请联系 support@pdflean.com。