O que acontece quando você envia um PDF

01

O caminho normal

Você escolhe um arquivo. O navegador o envia pela rede até um servidor. O servidor grava em disco ou em armazenamento de objetos, roda a conversão, grava a saída e te entrega um link de download. Em algum momento depois, uma rotina de limpeza apaga os dois.

Cada passo aí é engenharia comum, e serviços sérios fazem isso com cuidado: criptografado em trânsito, criptografado em repouso, apagado num cronograma, com controle de acesso ao armazenamento. O ponto não é que algo ruim esteja acontecendo. É que, entre o envio e a exclusão, uma cópia completa do seu documento existe em equipamento de outra pessoa.

02

A que essa cópia fica exposta

Retenção. A janela de exclusão é uma política, normalmente de algumas horas, e políticas são implementadas por rotinas de limpeza que podem falhar em silêncio. "Apagado depois de uma hora" descreve uma intenção.

Backups. Sistemas de armazenamento têm cópia de segurança, e os backups têm a própria retenção — muitas vezes bem mais longa que a janela anunciada pelo serviço, e nem sempre coberta pela mesma lógica de apagar no prazo.

Registros. Nomes de arquivo, tamanhos, endereços IP e carimbos de tempo são rotineiramente registrados para depuração e prevenção de abuso. Só o nome do arquivo já pode ser revelador: "lista-demissoes-3tri.pdf" diz muita coisa antes de alguém abrir.

Pessoas. Quem tem acesso de produção em geral alcança o armazenamento de produção. Isso é normal e necessário para operar um serviço. Ainda assim é um conjunto de seres humanos que poderiam, em princípio, ler o seu arquivo.

Jurisdição. O servidor está num país, sujeito ao processo legal daquele país. Para a maioria dos documentos isso é irrelevante. Para alguns, é a questão inteira.

Aquisição e falência. Políticas são promessas de uma empresa, e empresas são compradas, mudam os termos ou quebram. Os dados sobrevivem à promessa.

03

Quando isso importa de verdade

Para um cardápio de restaurante ou uma passagem de ônibus, nada disso merece um pensamento. Envie e siga em frente.

Começa a importar com documentos que carregam identificadores — CPF, RG, extratos bancários, declaração de imposto de renda, holerites, laudos médicos. Importa com qualquer coisa sob dever de sigilo, o que para muita gente inclui a maior parte do que ela lida no trabalho. Arquivos de clientes, contratos não assinados, atas de diretoria, prontuários de RH e qualquer coisa sujeita à LGPD frequentemente não podem ser enviados a um operador terceiro sem contrato firmado, por melhor que esse operador se comporte.

Vale notar que as pessoas com mais chance de estar enviando documentos sensíveis — alguém comprimindo um RG digitalizado para caber num formulário, alguém convertendo um laudo médico — são as com menos chance de estar pensando em contratos de tratamento de dados.

04

A alternativa

O trabalho não precisa acontecer num servidor. Navegadores conseguem rodar código compilado a uma velocidade próxima da nativa por meio do WebAssembly, o que significa que o motor de PDF pode ser mandado para a sua máquina em vez de o seu documento ser mandado para a deles. O arquivo é lido para a memória da aba, processado ali e devolvido como download.

Nada é transmitido, então não há cópia para reter, registrar, salvar em backup, intimar ou esquecer de apagar. Também costuma ser mais rápido em arquivos grandes, porque não há envio para esperar — um arquivo de 40 MB começa a ser processado na hora em vez de subir devagar pela sua conexão. E, uma vez carregada a página, ela continua funcionando com a rede desligada, o que é um jeito decente de verificar a afirmação: desligue o wi-fi e veja se a ferramenta ainda roda.

Vale também dizer os limites honestos. O processamento acontece na memória do seu aparelho, então arquivos muito grandes esbarram no seu hardware e não no de um data center. E algumas conversões realmente precisam de um conjunto de ferramentas de porte de servidor. Mas onde o site consegue fazer o trabalho localmente, não há bom motivo para o seu arquivo viajar.