¿A dónde van realmente tus archivos? Anatomía de una subida de PDF

Depositas un PDF, una barra de progreso avanza, aparece un enlace de descarga. Entre esos dos instantes, tu documento ha hecho un viaje invisible. Este artículo lo reconstruye — paso a paso, a partir de las políticas reales de los servicios más utilizados — y luego muestra cómo comprobar por ti mismo que una herramienta no envía nada.

Paso 1: el archivo parte hacia un servidor que no has elegido

Al depositarlo, el navegador envía el documento en el cuerpo de una petición POST, casi siempre en multipart/form-data. TLS protege el trayecto contra las interceptaciones — no el destino: una vez allí, el archivo es legible por el servicio.

Dónde se encuentra ese servidor depende del operador: iLovePDF es una empresa española que indica alojar en Europa; Smallpdf, suiza, anuncia servidores europeos; los servicios Acrobat en línea de Adobe dependen de una empresa estadounidense y de su infraestructura cloud. La jurisdicción importa: fija el derecho aplicable y los accesos que las autoridades locales pueden exigir legalmente.

Samsung T7 Shield — SSD portátil 1 TBSSD rápido y resistente a golpes; pensado para un archivo digitalizado completo.afiliado

Paso 2: el procesamiento — y lo que las condiciones autorizan

Una vez en el servidor, el archivo es leído por el software del servicio. Lo que puede hacer con él lo definen las condiciones aceptadas — a menudo sin ser leídas. Tres ejemplos, citados textualmente, páginas públicas consultadas en octubre de 2026:

• Adobe: las condiciones generales prevén que, « solely for the purposes of operating or improving the Services and Software », concedes « a non-exclusive, worldwide, royalty-free sublicensable license to use, reproduce, publicly display, distribute, modify, create derivative works based on, publicly perform, and translate the Content ». La sección « Our Access to Your Content » añade que sistemas automatizados pueden analizar el contenido por aprendizaje automático, « when the Content is sent, received, or stored », y que los archivos depositados pueden ser analizados para detectar contenidos ilegales. Tras la controversia de junio de 2024, Adobe precisó que no entrena sus modelos de IA generativa con el contenido de los clientes, con opción de exclusión del programa de mejora.
• iLovePDF: el FAQ afirma « we won’t check, copy or analyze your files in any way » — una promesa más estrecha, que sigue siendo una declaración contractual.
• Smallpdf: el centro de confianza limita el acceso a los datos a « responding to support requests or addressing technical issues ».

Estos textos no son confesiones de mala fe: son perímetros de autorización. La cuestión no es si el servicio leerá tu archivo, sino qué le has autorizado contractualmente a hacer con él.

Paso 3: «eliminado en una hora» — una promesa, no una observación

Es la frase tranquilizadora de todas las páginas de privacidad. Estas son las versiones reales:

• iLovePDF elimina los archivos « within TWO (2) HOURS of being processed »; las condiciones añaden que el contenido permanece en los servidores « as long as the download link is available », y que los servicios de firma iLoveSign se rigen por duraciones propias.
• Smallpdf elimina los archivos de las herramientas gratuitas al cabo de una hora — pero conserva los documentos de firma catorce días, con el contador puesto a cero en cada apertura, y guarda los archivos del almacenamiento en cuenta hasta su eliminación manual.

Dos límites estructurales. Primero, es una obligación contractual, no un hecho observable: nadie puede verificar desde fuera que un proceso de purga se ha ejecutado a la hora anunciada, sobre todas las copias. Segundo, el perímetro es estrecho: el plazo se aplica a el archivo en su almacenamiento previsto — las copias de seguridad, las réplicas, las colas de procesamiento y los volcados de incidente no suelen estar cubiertos por esas cláusulas.

Paso 4: los registros sobreviven al archivo

Aunque se elimine a la hora prometida, tu documento ha dejado trazas que la cláusula no cubre mecánicamente. Todo servidor registra: dirección IP, nombre del archivo, tamaño, fecha y hora, identificador de tarea. Esos registros son datos personales — su conservación depende de las finalidades generales de la política, no del plazo de «una hora».

La política de iLovePDF es explícita: los datos personales se conservan « to the extent that its retention and processing are necessary to fulfil the purposes for which it was collected », y después « for as long as necessary for compliance with the relevant legal obligations ». El archivo se va en dos horas; su traza puede quedarse meses, por razones de seguridad u obligaciones legales — legítimo, pero invisible en el eslogan «tus archivos se eliminan».

Paso 5: la descarga no cierra el recorrido

El recorrido también ha movilizado más que tu archivo: dirección IP en los registros de acceso y del CDN, identificador de sesión, a veces una cuenta. Y el propio documento ha entregado consigo metadatos embarcados — autor, software, historial — cuya limpieza local se detalla en nuestro artículo sobre los metadatos de los PDF.

El otro paradigma: nada que prometer cuando nada sale

Document Flare parte de un postulado diferente: el archivo no sale del navegador, por lo que no hay plazo de eliminación que prometer, ni registro de servidor que purgar, ni subcontratista que listar. No es una política — es una arquitectura, y es verificable:

• La pestaña Red lo muestra: depositar un PDF en la herramienta de fusión no desencadena ninguna petición que transporte el documento. El protocolo completo — cinco minutos, reproducible en cualquier herramienta — se describe en nuestra prueba de tráfico de red (artículo disponible en francés).
• Un contador lo mide: en las rutas /tools/, un contador suma continuamente los bytes de los cuerpos de petición emitidos por la aplicación (fetch y XMLHttpRequest) y muestra el total. Permanece en cero porque nada sale — sus límites (sendBeacon, WebSocket, peticiones internas de los workers no cubiertas) se indican en su descripción emergente.
• La caché está acotada por una lista blanca: el service worker solo escribe en caché persistente recursos de la aplicación y modelos públicos — ningún byte de documento es elegible para la caché. La única excepción, el búfer de compartición de Android (share_target), es una caché dedicada que se purga en la primera lectura.
• La medición de audiencia es un no-op en las herramientas: el script de analítica (Plausible, sin cookie) solo se ejecuta en las páginas públicas; en /tools/, el seguimiento de páginas vistas no transmite nada — ni nombre, ni tamaño, ni contenido de archivo.

Dos precisiones honestas: las funciones de IA y OCR descargan un modelo en el primer uso — el tráfico va del servidor a tu máquina, nunca al revés — y el procesamiento local no protege contra un equipo comprometido. El detalle del modelo de amenaza está en nuestro artículo sobre la privacidad del procesamiento local.

El protocolo reproducible: tres verificaciones en diez minutos

1. Observa la red. F12, pestaña Red, «Conservar el registro», deposita un PDF cuyo peso conozcas. Un POST/PUT que se acerque a ese tamaño es una subida; su ausencia es la señal de un procesamiento local.
2. Lee la cláusula de retención. Busca «delete», «retention», «hours» en la política — y luego las excepciones: firma, almacenamiento en cuenta, subcontratistas, jurisdicción de alojamiento.
3. Repite la prueba antes de un documento sensible. Una observación vale para la versión observada, no para la siguiente.

Este protocolo se aplica a nosotros tanto como a los demás — es lo que lo hace diferenciador.

Fuentes

Políticas y condiciones consultadas en octubre de 2026 — pueden haber evolucionado desde entonces; las citas se reproducen en el inglés original:

• iLovePDF, Privacy Policy y Terms and Conditions — eliminación en dos horas, excepción iLoveSign, conservación de datos personales según las finalidades.
• iLovePDF, FAQ — « we won’t check, copy or analyze your files ».
• Smallpdf, Is Smallpdf Safe? y Trust Center — eliminación al cabo de una hora, catorce días para los documentos eSign, almacenamiento en cuenta hasta la eliminación.
• Adobe, General Terms of Use — licencia de explotación del contenido (§4.2) y acceso automatizado (§2.3).
• Adobe, Updating Adobe’s Terms of Use (10 de junio de 2024) — aclaración sobre la IA generativa y la opción de exclusión.

Si detectas una evolución de estos textos, comunícanoslo a través de la página de contacto: este artículo se mantiene como referencia.

Aviso

Este artículo analiza documentos públicos con fines informativos; no es ni un consejo jurídico ni una acusación — describe lo que las condiciones autorizan, no necesariamente lo que se ejerce. Para tus propias obligaciones (secreto profesional, RGPD), consulta nuestro artículo sobre el RGPD y el procesamiento local y los casos por sector: salud y recursos humanos.

El material adecuado

Samsung T7 Shield — SSD portátil 1 TBSSD rápido y resistente a golpes; pensado para un archivo digitalizado completo.afiliado Synology DS223j — NAS 2 bahíasNAS de dos bahías con acceso remoto: tu archivo personal fuera de la nube.afiliado