合规清单 · GDPR Compliance
GDPR 合规 PDF 工具：选型前能逐条打勾的检查清单 / GDPR Compliant PDF Tools: A Checklist
"符合 GDPR"在供应商页面上是句口号，落到自己公司头上是一串能当场验证的事实。这份清单把七项检查拆到能打勾的粒度。
阅读约 8 分钟 · 8 min read
一句话结论
判断一款 PDF 工具在 GDPR 下能不能用，不必读完整套法律文本，只需要问七个问题，而且每个问题都有可以由供应商签字确认的物证：文件会不会离开本机、离开之后落在哪个国家、对方算控制者还是处理者、有没有 DPA（数据处理协议）可签、日志留多久、子处理者是谁、跨境传输依据哪一条。七项全部落地打勾，这份工具才算可用。少一项，那份 DPIA（数据保护影响评估）就写不完。
最省事的路线是把第一项直接改成零分风险：用浏览器本地处理的工具，合并这件事从头到尾不发生文件上传 /blog/merge-pdf-no-upload，服务器端那条链就没有需要论证的内容了，剩下的只是网站自身的统计和 Cookie 那一小块。这也解释了为什么越来越多合规岗把"能不能在本机跑完"当成第一道筛子，而不是收尾时才想起来的一项加分。
Deciding whether a PDF merge tool survives GDPR does not require reading the regulation cover to cover. It comes down to seven questions, each with evidence the vendor can countersign: does the file leave the device, which country does it land in, controller or processor, is there a DPA to sign, how long logs are kept, who the sub-processors are, and which transfer mechanism applies. Tick all seven and the tool is usable. Miss one and the data protection impact assessment stalls.
七项 GDPR 合规检查清单 / The seven checks
下面这张表按顺序列出检查项、通过的样子和一眼就能看出来的不合格信号。第三列最有价值，因为供应商在这些地方的回答通常是含糊的，而含糊就是答案。
| 检查项 | 通过的样子 | 不合格的信号 |
|---|---|---|
| 文件是否上传 | 处理全程在本机，或用 DevTools 实测零上传 | 页面要求先传上去才能处理 |
| 法律角色 | 合同写明对方是处理者，用途限于你的指令 | 条款把对方写成控制者，或保留自行使用的权利 |
| DPA（数据处理协议） | 有一份可签署的处理者协议并附子处理者名单 | 只有隐私政策，拿不到 DPA 文本 |
| 存储地 | 写明国家、可用区、运维接入地三处位置 | 只写"全球 CDN"或"多区域托管" |
| 日志留存 | 约定留存期限，并且日志不含文件内容 | 没有留存期的书面承诺 |
| 子处理者 | 给出名单并承诺变更提前通知 | 名单藏在嵌套条款页，变更不另行告知 |
| 跨境传输 | 指明 SCC 或充分性认定作为转移依据 | 对转移工具没有任何说明 |
第一行决定了后面六行的难度。文件从未上传到对方服务器，这条链条上就不存在替你处理合同内容的第三方，余下的工作从论证降到了记录。
你在链条上算什么角色 / Controller or processor
多数人卡在这一步：以为"我们不碰数据"就能站在 GDPR 定义之外。用 PDF 工具处理客户的合同、员工的身份证明或患者的病历，贵司决定处理目的，就是控制者；工具方替你处理，是处理者。这两层角色一旦写清楚，合同义务就清楚了：控制者要给指令，处理者要在第 28 条第 3 款要求的那份书面协议里承诺只按指令办、不擅自转托他人、事后删除或返还。
需要警惕的是角色漂移。工具方如果把上传的文件也拿去训练模型、做统计或"改进服务"，它就不再是单纯的处理者，而是为自己的目的而处理的控制者，这条必须另有法律依据，很多时候就是另行告知加单独同意。合同里出现"为改进服务而使用"这类措辞时，把它作为一项待核实事项列进清单，不要默认它没问题。
角色判定的另一个实际后果落在文档量上。处理自己的文件属于小规模场景，负担很轻；一旦处理的是客户或员工的数据，第三十条要求的那份处理活动记录（ROPA）就要能拿出来。选型阶段填好的这份检查清单，正好就是 ROPA 条目和供应商清单的草稿。
In practice the roles run like this. Whoever decides why the documents are processed is the controller, and whoever acts on those instructions is the processor. Handling client contracts, employee identity papers or patient records puts your company in the first seat, and the tool sits in the second. Once written down, Article 28(3) does the rest: a written agreement in which the processor promises to act only on instructions, to control its own sub-processors, and to delete or return the data afterwards. Watch for role drift too. A vendor that also trains models on uploaded files is pursuing its own purpose and becomes a controller for that part, which needs its own legal basis and usually its own notice.
存储地与跨境传输 / Storage and transfers
服务器在欧洲不等于没有跨境问题。完整的答案包含三个地点：挂在哪个可用区、备份复制到哪里、以及远程运维从哪个国家接入。第三个最容易被漏掉，而它恰好是最实在的一条，因为能登录就有读取的可能。要求对方把这三处写进附件，这项才算核完。
只要有一处在欧洲经济区之外，就需要一个转移工具：通常用的是标准合同条款（SCC），配合转移影响评估，或者看目标国是否有欧盟委员会的充分性认定。2023 年欧盟与美国之间的数据传输框架落地之后，向经过认证的美国接收方转移有了可行路径，但文档仍然要能指出具体依据，而不是留一段"我们采取了适当措施"。
- 存储地：要求写明国家和可用区，不接受"多区域托管"这类说法。
- 备份：问清楚备份保留多少个周期、跨不跨境，以及删除请求是否覆盖备份。
- 运维接入：确认支持人员所属国家，以及是否可以按需关闭远程调取。
- 转移依据：SCC 编号或充分性认定，写在合同而非营销页上。
- 替代方案：传输链路这一步也可以用"不传输"来解决，文件不出本机就没有转移可谈。
数据出境的影响不只停留在纸面罚款，更常见的是在客户招投标时被要求补交这一段说明。出境评估的更多业务背景见 /blog/pdf-data-export-impact。
Storage inside the EEA answers one of three questions. Backups and maintenance access answer the other two, and the third is the one most often forgotten because access from another jurisdiction still means someone outside can read the file. Ask for all three in the annex. If any location sits outside the EEA you need a transfer mechanism: standard contractual clauses plus a transfer impact assessment, or an adequacy decision covering that country. Since the EU-US Data Privacy Framework took effect in 2023 there is a workable route to certified US recipients, but the paperwork still has to name the mechanism.
交给法务的一页纸 / The page you hand a DPO
合规工作最大的成本是来回问。把下面这条流程固定下来，一次问完，第七步出来的那一页纸可以直接进采购档案。
- 先确认文件是否离机：能在浏览器里跑完的工具，后面六步大部分都变成了零风险项
- 向供应商索取 DPA 全文与子处理者名单，拿不到就换名录里的下一家
- 确认合同的角色条款：对方是处理者，处理目的限于你的书面指令
- 记录存储国家、备份区域与运维接入地三处位置
- 写明删除窗口（建议 24 小时内清除临时对象）与删除证明的出具方式
- 标注跨境传输依据：SCC 编号或充分性认定
- 把以上六条连同工具名、用途、负责人签在同一页纸上，进供应商清单与 ROPA
合并这一步在 pdfmergenext.shop 全程本地完成，调整页序或挑页码都不需要把文件交出去。这也是为什么在第一项检查上，本地处理的工具和需要上传的工具根本不在同一张表上比较：前者少了一整个论证章节。服务器端与浏览器端的架构差别见 /blog/client-side-vs-server-side-pdf-tools，零上传工具的实现方式见 /blog/how-zero-upload-pdf-tools-work。
在 pdfmergenext.shop 本地合并，文件不出本机 →更多 PDF 工具合规与隐私的判断细节见 /blog，企业与个人用工具的取舍见 PDF 工具的个人隐私与企业 SaaS 之别，本地方案的能力边界见 离线 PDF 合并的边界。
常见问题 / FAQ
在本地浏览器里合并 PDF，还算不算 GDPR 约束下的数据处理？
文件留在设备上、供应商看不到内容时，就不存在 PDF 文件本身的处理环节，只剩下匿名的页面访问统计需要向访客交代。这也是各家公司做数据保护影响评估时最省事的一条：把原本要论证的一整段关于服务器端处理的内容直接删掉。验证办法见 /blog/devtools-network-tab-privacy-guide。
供应商只肯给隐私政策，不肯签 DPA，怎么办？
这一个回答就够否掉了。GDPR 第 28 条第 3 款要求控制者与处理者之间有书面合同，列明处理目的、期限、子处理者、删除或返还义务。隐私政策是单方声明，不具备这组条款。拿不到 DPA，点请把处理地点搬回本地或者换成愿意签的那一家。
工具方说服务器在欧洲，是不是就没有跨境传输问题了？
地理位置只是第一步。还要看远程运维从哪里接入、客服能否调取文件、有没有 CDN 把静态资源放到欧洲之外、备份落在哪个可用区。要求对方把存储地、运维接入地和备份可用区三个地点都写进附件，这一项才算核实完。
合并完 PDF 之后，留在对方服务器上的那份怎么确认删掉了？
看删除时限的书面承诺，不看邮箱里一句"我们已删除"。合同里要写明删除窗口（例如处理后 24 小时内清除临时对象）、临时存储的加密方式、以及需要时可出具的删除证明。没有这个条款，审计时你拿不出证据。
Is a no-upload PDF merge tool automatically GDPR compliant?
It removes the biggest obligation, since no file reaches the vendor and there is nothing to justify under Article 28 for the document content. What remains is the website itself: analytics, advertising cookies and any contact form still need a lawful basis and a notice, which is a much smaller job than defending server-side processing of client contracts.
The vendor offers a privacy policy but no DPA. Is that enough?
No. Article 28(3) requires a written contract covering subject matter, duration, sub-processors and deletion or return of the data. A privacy policy is a unilateral notice and carries none of those clauses. Without a DPA you cannot demonstrate compliance, so either move the work into the browser or pick a vendor that signs.
Servers inside the EU settle the transfer question, right?
Only partly. Storage location is one of three questions. The others are where support staff and administrators connect from, and whether backups or CDN edges sit outside the region. Ask for all three locations in the annex, including maintenance access, and then the item can be ticked off.
How long may a tool keep the merged file?
Long enough to hand it back and no longer, and the retention window belongs in the contract rather than in a chat reply. Typical wording is that temporary objects are purged within 24 hours and that audit logs hold no content, only counts. Ask what happens on the backup rotation too.