«هل يمكننا استخدام هذا الموقع لدمج ملفات PDF؟» يتكرر هذا السؤال كل أسبوع في بريد مسؤول حماية البيانات (DPO). خلف أداة تبدو بريئة يختبئ تكييف قانوني دقيق: ما إن يحتوي المستند على بيانات شخصية، تصبح الخدمة التي تستقبله معالجاً — مع كل ملف الامتثال الذي يستتبعه ذلك. أما الأداة التي تعالج الملف في متصفحك فتخرج كلياً من هذا الإطار، ولسبب بنيوي: دون نقل، لا توجد معالجة من الباطن.
متى تصبح أداة PDF معالجاً؟
يُعرِّف GDPR في مادته 4، النقطة 8، المعالجَ بأنه الجهة التي تعالج بيانات شخصية لحساب المسؤول عن المعالجة. وتوضح المبادئ التوجيهية 07/2020 الصادرة عن EDPB بشأن مفهومي المسؤول والمعالج أن التكييف يتوقف على واقع المعالجة، لا على نية الطرفين ولا على وجود عقد.
العامل المحفِّز إذن هو نقل الملف، لا توقيع أي شيء. تودع عقد عمل على ضاغط عبر الإنترنت: يتلقى الخادم بيانات شخصية وينفّذ عليها عمليةً لحسابك. تصبح الخدمة معالجاً في تلك اللحظة — حتى لو «حُذف الملف بعد ساعة»، وحتى لو لم تنشئ أي حساب.
Fellowes 6M — قطع دقيق P-4قطع دقيق P-4: مناسب لوثائق الهوية والمستندات المالية.انتساب
ما الذي تلزم به المعالجة من الباطن
بمجرد ثبوت التكييف، تفرض المادة 28 عقداً للمعالجة (هو DPA الشهير، Data Processing Agreement) يعدّد النظام حدّه الأدنى من المحتوى: تعليمات موثقة، وسرية، وتدابير أمن المادة 32، وتأطير المعالجين اللاحقين، ومساعدة في حقوق أصحاب البيانات، والحذف أو الإعادة في نهاية الخدمة، ومعلومات التدقيق.
وحول العقد ثلاثة التزامات عملية:
- السجل: يجب أن يظهر المعالج في سجل أنشطة المعالجة لديك (المادة 30)، مع فئات المعالجات المنفَّذة لحسابك.
- اختراق البيانات: يجب على المعالج إخطارك «دون تأخير غير مبرر» بأي اختراق (المادة 33، §2)، لتتمكن أنت بدورك من إخطار CNIL في غضون 72 ساعة (المادة 33، §1). دون DPA، لا شيء يضمن تعاقدياً هذا الإخطار.
- النقل خارج الاتحاد الأوروبي: إذا كان المزوّد أو معالجوه يستضيفون البيانات خارج الاتحاد الأوروبي، يشترط الفصل الخامس ضماناً — بنوداً تعاقدية معيارية، أو قرار ملاءمة — ومنذ حكم Schrems II (CJUE، C-311/18، 2020)، تقييماً واقعياً لقانون بلد المقصد.
واقع السوق: أدوات PDF المجانية لا تقدّم DPA تقريباً أبداً. كل قسيمة راتب تُضغَط على خدمة ما هي إذن معالجة من الباطن غير موثقة — لا يمكن الدفاع عنها عند رقابة.
المادة 28 معكوسة: لا نقل، لا معالج
يطبق Document Flare المنطق المعاكس: يُقرأ الملف في ذاكرة متصفحك، ويُعالَج بمحركات محلية (pdf-lib للتجميع، وpdf.js للعرض، وTesseract في WebAssembly لـ OCR، وكل ذلك داخل Web Workers)، ثم يُعاد بناؤه في Blob قابل للتنزيل. لا يعبر أي بايت من المستند الشبكة.
النتيجة القانونية المباشرة: في خطوة المعالجة هذه لا يوجد متلقٍّ، فلا معالج. لا DPA للتفاوض عليه، ولا سطر يُضاف إلى سجل المعالجين، ولا بند نقل يُقيَّم، ولا مهلة إزالة يُرجى أن يحترمها طرف ثالث. يصبح قسم كامل من ملف الامتثال بلا موضوع.
توضيحان للأمانة. أولاً، هذه ليست شهادة: الأداة تلغي مسألة المعالج في معالجة الملف — لكنها لا تجعل مؤسستك «ممتثلة لـ GDPR»، وهو مفهوم لا وجود له كعلامة أصلاً. ثانياً، الانضباط مرئي في الكود: القدرات البعيدة الوحيدة المخطط لها (تحويلات Office، تلخيص ذكاء اصطناعي بعيد) موسومة «محاكاة» في الكتالوج ومستبعدة من النسخة العامة — الجدل «محلي أو بعيد» محسوم بالبناء، لا بوعد.
خاصية قابلة للتحقق، لا وعد
الفرق بين سياسة خصوصية وبنية، أن الثانية تُفحَص دون أن تصدقنا:
- افتح أدوات المطور (F12)، تبويب الشبكة، وفعّل «الاحتفاظ بالسجل».
- أسقط ملف PDF وابدأ المعالجة.
- افحص الطلبات: تحميل الصفحة والمحركات أمر طبيعي — لا يجب أن يحمل أي طلب المستند.
البروتوكول الكامل مفصَّل في اختبارنا لحركة شبكة أدوات PDF (المقال متوفر بالفرنسية). وثمة اختبار أكثر جذرية: بعد زيارة أولى متصلة، يعمل التطبيق دون اتصال — عامل الخدمة خزّن الأصول مسبقاً، والنماذج الثقيلة (OCR، الذكاء الاصطناعي) تُنزَّل عند أول استخدام ثم تبقى متاحة. اقطع الشبكة وتواصل الأداة معالجة ملفاتك؛ لا يُحتفَظ بأي بايت من المستند في ذاكرة مؤقتة دائمة، فالقائمة البيضاء لعامل الخدمة لا تغطي سوى الأصول التطبيقية — والاستثناء الوحيد، مخزن عابر للمشاركة على Android، يُمحى عند أول قراءة. وعلى صعيد القياس، لا تحمل صفحات الأدوات AdSense ولا تحليلات — سكربت Plausible لا يُحقَن إلا في الصفحات العامة، ولا على /tools/ أبداً.
ما الذي لا يُعفيك منه المحلي
المعالجة المحلية تحسم مسألة الطرف الثالث، لا مسألتك أنت. تبقى المسؤول عن المعالجة: الأساس القانوني (المادة 6)، والأغراض، وإعلام الأشخاص، وأمن أجهزتك — حاسوب مخترَق يعرّض مستنداً محلياً كغيره.
يبقى التقليل (المادة 5) وجيهاً أيضاً، وأداتان من الكتالوج تخدمانه مباشرة: تنظيف PDF يزيل اختيارياً البيانات الوصفية وJavaScript والمرفقات والتعليقات قبل النشر؛ والتنقيح يكشف محلياً تسعة أنواع من البيانات الشخصية (IBAN، رقم الضمان الاجتماعي، البطاقات البنكية، SIREN/SIRET، عناوين البريد الإلكتروني، الهواتف، تواريخ الميلاد، عناوين IP) ويحوّل الصفحات المعنية إلى صور نقطية ليجعل النص غير قابل للاسترجاع — السياق الكامل في مقالنا عن GDPR والمعالجة المحلية.
أخيراً، تبقى بقية سلسلتك المستندية خاضعة لالتزاماتها: البريد، والتخزين المشترك، ونظام إدارة المستندات. المحلي لا يزيل إلا حلقة واحدة — لكنها الأكثر هشاشة، تلك التي كان المستند يغادر عبرها إلى خدمة بلا عقد.
قائمة تحقق لتقييم أداة PDF (قبل التوصية بها)
- هل يغادر الملف الجهاز؟ اختبار شبكة، لا سياسة خصوصية.
- إن نعم: هل يقدم المزوّد DPA يتضمن محتوى المادة 28 §3؟ هل معالجوه اللاحقون مدرجون؟ أين الخوادم؟
- هل الاحتفاظ والإزالة معلَنان — وقابلان للتحقق؟
- هل إخطار الاختراق متعاقَد عليه، وبمهلة؟
- إن لا (أداة محلية): هل الخاصية قابلة للتحقق من فريقك؟ هل تصدر صفحات الأدوات قياساً عن بعد؟ هل تعمل دون اتصال؟
إخلاء مسؤولية
يصف هذا المقال آليةً تقنية والإطار العام لـ GDPR؛ وهو ليس استشارة قانونية ولا تحليلاً لوضعك. تكييفُ تدفق محدد والتزاماتُ مؤسستك من اختصاص مسؤول حماية البيانات لديك أو مستشارك القانوني.
جميع العمليات المذكورة تنفَّذ في المتصفح، مثل كامل الكتالوج المعروض في مقالنا عن أدوات PDF دون رفع — قابلة للتحقق في تبويب الشبكة بدل أن تصدقنا.
المعدات المناسبة
Fellowes 6M — قطع دقيق P-4قطع دقيق P-4: مناسب لوثائق الهوية والمستندات المالية.انتساب
