«¿Podemos usar este sitio para fusionar PDF?» La pregunta llega cada semana al buzón de un DPD. Detrás de una herramienta en apariencia inofensiva se esconde una calificación jurídica precisa: en cuanto el documento contiene datos personales, el servicio que lo recibe se convierte en encargado del tratamiento — con todo el expediente de conformidad que eso desencadena. Una herramienta que trata el archivo dentro de tu navegador sale por completo de ese marco, y por una razón estructural: sin transferencia, no hay encargo.
¿En qué momento una herramienta PDF se convierte en encargado?
El artículo 4, punto 8, del RGPD define al encargado del tratamiento como la persona que trata datos personales por cuenta del responsable del tratamiento. Las directrices 07/2020 del CEPD sobre las nociones de responsable y encargado precisan que la calificación depende de la realidad del tratamiento, no de la intención de las partes ni de la existencia de un contrato.
El desencadenante es, por tanto, la transferencia del archivo, no la firma de nada. Subes un contrato de trabajo a un compresor en línea: el servidor recibe datos personales y ejecuta una operación sobre ellos por tu cuenta. El servicio es encargado en ese instante — aunque el archivo se «elimine al cabo de una hora», aunque no hayas creado ninguna cuenta.
Fellowes 6M — microcorte P-4Microcorte P-4: para documentos de identidad y financieros.afiliado
Lo que el encargo obliga a hacer
Una vez establecida la calificación, el artículo 28 impone un contrato de encargo (el famoso DPA, Data Processing Agreement) cuyo contenido mínimo enumera el reglamento: instrucciones documentadas, confidencialidad, medidas de seguridad del artículo 32, encuadre de los subencargados, asistencia para los derechos de los interesados, supresión o devolución al final de la prestación, información de auditoría.
Alrededor del contrato, tres obligaciones prácticas:
- Registro: el encargado debe figurar en tu registro de actividades de tratamiento (art. 30), con las categorías de tratamientos realizados por tu cuenta.
- Violación de la seguridad de los datos: el encargado debe notificarte «sin dilación indebida» cualquier violación (art. 33, apartado 2), para que puedas a su vez notificar a la autoridad de control — la AEPD en España — en un plazo de 72 horas (art. 33, apartado 1). Sin contrato de encargo, nada garantiza contractualmente esa notificación.
- Transferencias fuera de la UE: si el proveedor o sus subencargados alojan fuera de la Unión Europea, el capítulo V exige una garantía — cláusulas contractuales tipo, decisión de adecuación — y desde la sentencia Schrems II (TJUE, C-311/18, 2020), una evaluación concreta del derecho del país de destino.
La realidad del mercado: las herramientas PDF gratuitas casi nunca ofrecen un contrato de encargo. Cada nómina comprimida en un servicio cualquiera es, por tanto, un encargo no documentado — indefendible en caso de control.
El artículo 28 invertido: sin transferencia, no hay encargado
Document Flare aplica la lógica inversa: el archivo se lee en memoria dentro de tu navegador, lo tratan motores locales (pdf-lib para el ensamblado, pdf.js para el renderizado, Tesseract en WebAssembly para el OCR, todo dentro de Web Workers) y se reconstruye como un Blob descargable. Ni un solo byte del documento cruza la red.
Consecuencia jurídica directa: para esa etapa de manipulación no hay destinatario, luego no hay encargado. Ningún contrato de encargo que negociar, ninguna línea que añadir al registro de encargados, ninguna cláusula de transferencia que evaluar, ningún plazo de purga que esperar que un tercero respete. Una sección entera del expediente de conformidad queda sin objeto.
Dos precisiones de honestidad. Primero, esto no es una certificación: la herramienta elimina la cuestión del encargado para la manipulación del archivo — no hace que tu organización «cumpla el RGPD», noción que por otra parte no existe como etiqueta. Segundo, la disciplina es visible en el código: las únicas capacidades remotas previstas (conversiones Office, resumen por IA remoto) están marcadas como «simulación» en el catálogo y excluidas de la versión pública — el debate «local o remoto» lo decide el build, no una promesa.
Una propiedad verificable, no una promesa
La diferencia entre una política de privacidad y una arquitectura es que la segunda se controla sin tener que creernos:
- Abre las herramientas de desarrollo (F12), pestaña Red, y activa «Conservar registro».
- Suelta un PDF y lanza el tratamiento.
- Examina las peticiones: la carga de la página y de los motores es normal — ninguna petición debe transportar el documento.
Prueba más radical aún: tras una primera visita en línea, la aplicación funciona sin conexión — el service worker ha precacheado los assets y los modelos pesados (OCR, IA) se descargan en el primer uso y siguen disponibles. Corta la red y la herramienta sigue tratando tus archivos; ningún byte del documento se conserva en una caché persistente, ya que la lista blanca del service worker solo cubre los assets de la aplicación — la única excepción, un búfer efímero para el envío desde Android, se purga en la primera lectura. En el plano de la medición, las páginas de herramientas no cargan ni AdSense ni analítica — el script de Plausible solo se inyecta en las páginas públicas, nunca en /tools/.
De lo que el local no te exime
El procesamiento local resuelve la cuestión del tercero, no la tuya. Sigues siendo responsable del tratamiento: base jurídica (art. 6), fines, información a los interesados, seguridad de tus equipos — un ordenador comprometido expone un documento local como cualquier otro.
La minimización (art. 5) también sigue siendo pertinente, y dos herramientas del catálogo la sirven directamente: la limpieza de PDF retira a elegir metadatos, JavaScript, archivos adjuntos y anotaciones antes de difundir; la censura detecta localmente nueve tipos de datos personales (IBAN, número de seguridad social francés, tarjetas bancarias, SIREN/SIRET, correos, teléfonos, fechas de nacimiento, direcciones IP) y rasteriza las páginas afectadas para que el texto sea irrecuperable — el contexto completo en nuestro artículo sobre el RGPD y el procesamiento local.
Por último, el resto de tu cadena documental conserva sus obligaciones: correo, almacenamiento compartido, gestor documental. Lo local solo elimina un eslabón — pero es el eslabón más frágil, aquel en el que un documento salía hacia un servicio sin contrato.
Checklist para evaluar una herramienta PDF (antes de recomendarla)
- ¿El archivo sale del dispositivo? Prueba de red, no política de privacidad.
- Si es así: ¿el proveedor ofrece un contrato de encargo que recoja el contenido del art. 28, apartado 3? ¿Están listados sus subencargados? ¿Dónde están los servidores?
- ¿La retención y la purga están declaradas — y son verificables?
- ¿La notificación de violaciones está contratada, con un plazo?
- Si no (herramienta local): ¿puede tu equipo verificar la propiedad? ¿Las páginas de herramientas emiten telemetría? ¿Funcionan sin conexión?
Aviso
Este artículo describe un mecanismo técnico y el marco general del RGPD; no constituye asesoramiento jurídico ni un análisis de tu situación. La calificación de un flujo concreto y las obligaciones de tu organización corresponden a tu DPD o a tu asesor jurídico.
Todas las operaciones citadas se ejecutan en el navegador, como el conjunto del catálogo presentado en nuestro artículo sobre las herramientas PDF sin subida — verificable en la pestaña Red en lugar de tener que creernos.
El material adecuado
Fellowes 6M — microcorte P-4Microcorte P-4: para documentos de identidad y financieros.afiliado
