Qué pasa con tu PDF al pulsar «Elegir archivo»

Es jueves por la tarde y la agencia inmobiliaria quiere toda la documentación para el piso en un solo archivo: el contrato de trabajo, dos nóminas, un informe de solvencia, la copia del DNI. Escribes «unir PDF» en el buscador, haces clic en el primer resultado, arrastras los archivos al recuadro, esperas cinco segundos, descargas el resultado y cierras la pestaña.

Casi nadie se ha parado a leer qué ha ocurrido en esos cinco segundos. Y eso que la mayor parte está publicada; solo hay que saber dónde mirar. Y rara vez es la página con el candado y la palabra «seguro».

Este artículo no menciona a ningún proveedor por su nombre. En su lugar, te enseña a evaluar cualquier servicio por tu cuenta en unos minutos. También a nosotros.

El viaje de tu archivo

Cuando una herramienta online basada en servidor procesa tu PDF, no lo hace en tu navegador. Lo hace en un centro de datos, y tu archivo tiene que llegar hasta allí. El recorrido típico es este:

Tu navegador empaqueta el archivo y lo envía por HTTPS a un balanceador de carga, que lo pasa a un nodo de procesamiento. Allí acaba —según la arquitectura— en la memoria RAM, en un disco temporal o directamente en un almacenamiento de objetos como Amazon S3. Un proceso worker ejecuta la operación propiamente dicha. El resultado se guarda de nuevo, casi siempre tras una URL generada al azar, para que puedas descargarlo. En paralelo, el servidor web, el balanceador y la aplicación escriben sus logs. El almacenamiento de objetos replica entre varias ubicaciones. Las copias de seguridad siguen su propio calendario.

Esto no es una crítica, sino ingeniería sólida: así se construyen servicios escalables. Pero explica por qué «borrado» es una palabra con más significados de los que uno sospecha al leerla. La orden de borrado alcanza con fiabilidad el archivo principal. Que alcance también cada réplica, cada backup y cada línea de log es una cuestión de implementación, y eso no figura en ninguna política de privacidad.

Cómo leer un plazo de borrado

Aquí llega la parte más útil de este artículo, y te cuesta cinco minutos por proveedor.

En las portadas, en los artículos de ayuda y en las secciones de preguntas frecuentes aparecen cifras como «se borra al cabo de una hora». Eso es texto de marketing. Lo jurídicamente vinculante es la política de privacidad. Si pones ambas cosas una al lado de la otra, fíjate en cinco detalles:

1. ¿Coinciden las cifras? Busca en la política de privacidad el apartado sobre los plazos de conservación y compáralo con lo que dice la página del producto. La experiencia enseña que el ejercicio merece la pena.

2. ¿El plazo cuenta desde la subida o desde el último acceso? La diferencia es enorme. Un plazo «desde la última apertura» no es un reloj, sino un temporizador que se reinicia con cada acceso.

3. ¿Rige el mismo plazo con y sin cuenta de usuario? Mucha gente evita crearse una cuenta precisamente para dejar menos rastro. Comprueba si en tu caso eso significa de verdad la conservación más corta o la más larga; la respuesta no siempre es la esperada.

4. ¿Hay excepciones para herramientas concretas? Las firmas electrónicas, por ejemplo, exigen una conservación más larga por motivos probatorios; es objetivamente razonable, pero suele figurar solo en la letra pequeña del servicio en cuestión.

5. ¿Qué fecha lleva el documento? Si la política de privacidad es claramente más antigua que las funciones más recientes del menú —por ejemplo, herramientas de IA para resumir o traducir—, conviene preguntar qué subencargados de tratamiento se han incorporado para ellas.

El punto cinco es el más actual. Las funciones de IA requieren, por regla general, más proveedores en segundo plano. Quien quiera saber dónde acaba entonces realmente el documento encontrará la respuesta en la lista de subprocesadores; nunca en la página del producto.

La ironía de las herramientas más sensibles

Echa un vistazo a una lista típica de herramientas. Dos funciones aparecen casi en todas partes, y en ambas el enfoque de subir el archivo desarrolla una lógica peculiar:

«Censurar un PDF». Tachas pasajes porque el documento, en su forma original, no debe caer en manos ajenas. Para conseguirlo, lo transmites en su forma original a un tercero.

«Quitar la contraseña de un PDF». Tienes un archivo cifrado: el extracto bancario, la póliza del seguro, la nómina. Para levantar la protección, transmites el archivo y la contraseña.

No es un reproche a nadie; en el lado del servidor, técnicamente no hay otra manera. Pero son exactamente los dos casos en los que merece la pena pensárselo tres segundos.

Los metadatos también son datos

Las políticas de privacidad suelen distinguir entre el archivo y sus metadatos: nombre, tamaño y tipo de archivo. Los metadatos caen a menudo bajo reglas más generosas, por ejemplo su análisis para mejorar el producto.

Suena inofensivo hasta que uno piensa en los nombres de archivo que hay realmente en los discos duros. Despido_Garcia_final.pdf. Diagnostico_oncologia_2024.pdf. Convenio_regulador_divorcio_borrador3.pdf. El contenido queda bajo llave; el titular, no.

Que esto no es un problema teórico lo demuestra un vistazo a la base de datos Have I Been Pwned. En la entrada dedicada a un gran servicio de PDF comprometido en 2020, entre las categorías de datos expuestos figuran, junto a nombres y hashes de contraseñas, expresamente también los títulos de los documentos convertidos.

Tres incidentes documentados

Los casos siguientes están acreditados públicamente y pueden verificarse en las fuentes citadas. Afectan exclusivamente a los servicios allí descritos y no permiten sacar conclusiones sobre otros proveedores.

Septiembre de 2020: el alcance se minimizó al principio. Un proveedor de PDF cotizado en bolsa comunicó a su supervisor bursátil un incidente de seguridad de impacto reducido; los datos de clientes no estarían afectados. Pocos meses después, un conocido grupo de atacantes publicó la base de datos completa: 14 GB, más de 77 millones de registros. Antes, un paquete con esa base de datos más alrededor de un terabyte de documentos se había puesto a la venta con una puja inicial de 80.000 dólares. (Documentado en BleepingComputer y Have I Been Pwned.)

Julio de 2024: el almacenamiento estaba simplemente abierto. El equipo de investigación de Cybernews encontró dos servicios de PDF cuyo almacenamiento en Amazon S3 era accesible en internet sin restricción alguna. En el momento de la publicación, unos 89.000 archivos estaban libremente accesibles, entre ellos pasaportes, carnés de conducir, contratos y certificados académicos. Según el informe, varios intentos de contacto de los investigadores quedaron sin respuesta mientras se seguían subiendo documentos. (Documentado en Cybernews.)

Marzo de 2025: los conversores falsos. La oficina del FBI en Denver alertó públicamente de páginas de conversión fraudulentas. Realmente hacen la tarea prometida; solo que el documento devuelto contiene código malicioso. Según el FBI, algunas de estas ofertas rastrean además los archivos subidos en busca de datos personales, bancarios y de criptomonedas. Una portavoz de la oficina declaró a los medios que corre especial peligro quien teclea «free online file converter» en un buscador, porque arriba suelen aparecer anuncios de pago. (Nota de prensa del FBI Denver Field Office, marzo de 2025.)

El tercer caso es el más importante para el día a día, porque no tiene nada que ver con descuidos de empresas serias. Describe ofertas construidas desde el principio como una trampa, y que para el usuario tienen exactamente el mismo aspecto que todas las demás.

Dos obligaciones, no una: la lección alemana que vale para toda la UE

Para los particulares, todo esto es una cuestión de criterio. Para las empresas y para determinadas profesiones es una cuestión jurídica, y no solo en Alemania: la primera de las dos obligaciones que siguen nace directamente del RGPD y rige exactamente igual en España. Lo que sigue describe el marco legal y no sustituye al asesoramiento jurídico en el caso concreto.

Encargo de tratamiento. Una empresa que entrega a un servicio externo un documento con datos personales está externalizando un tratamiento. La Cámara de Industria y Comercio de Múnich y Alta Baviera lo formula sin ambigüedad en su guía sobre protección de datos en sitios web: también actividades como la conversión de datos cuentan, a efectos del RGPD, como encargo de tratamiento, y entonces se necesita un contrato conforme al artículo 28 del RGPD. Y añade: esta obligación solo decae si no se tratan datos personales en absoluto. Nada de esto es una peculiaridad alemana: el artículo 28 obliga exactamente igual a cualquier empresa española. Sin ese contrato hay infracción, aunque el proveedor trabaje de forma impecable; la multa puede llegar aquí hasta los 10 millones de euros o el dos por ciento de la facturación anual mundial (art. 83.4 del RGPD).

Muchos proveedores consolidados ofrecen el contrato correspondiente. Solo que prácticamente nadie que quiera unir dos páginas deprisa lo firma.

Profesionales sujetos a secreto. Alemania ilustra hasta dónde puede llegar la segunda obligación. Para abogados, médicos, asesores fiscales, notarios y psicoterapeutas se suma allí el artículo 203 del Código Penal alemán (StGB). Hasta 2017 la situación era delicada: cualquier entrega a un proveedor informático externo podía constituir una revelación de secretos. La reforma en vigor desde el 9 de noviembre de 2017 creó la figura de la «otra persona colaboradora»: según el § 203, apartado 3, frase 2, revelarle información es lícito en la medida necesaria para utilizar el servicio; lo acompañan normas habilitantes en los estatutos profesionales (§ 43e BRAO, § 62a StBerG, § 26a BNotO, § 50a WPO).

La trampa está en el apartado 4: el profesional debe obligar al proveedor a guardar el secreto e instruirle sobre las consecuencias penales. Quien lo omite comete él mismo un delito. Un contrato de encargo de tratamiento según el RGPD no resuelve esto: regula la protección de datos, no el derecho penal. Son dos obligaciones separadas, y la segunda se pasa por alto con regularidad.

España conoce deberes análogos: el secreto profesional de abogados, médicos o asesores está protegido por el Código Penal y por las normas deontológicas de cada colegio. Los detalles difieren; la conclusión, no: quien pasa «un momentito» el escrito de un cliente por un conversor online gratuito, con toda probabilidad no ha cumplido ninguna de las dos obligaciones.

La alternativa: procesar donde el archivo ya está

Que el procesamiento de PDF haya vivido históricamente en servidores tiene una razón técnica. Un PDF no es un formato de texto, sino una estructura binaria con tablas de referencias cruzadas, fuentes incrustadas y árboles de objetos. Quien quiera descomponerlo y reescribirlo limpiamente necesita una biblioteca seria, y esas estuvieron escritas durante décadas en C o C++ y no funcionaban en el navegador.

WebAssembly ha deshecho ese nudo. Las mismas bibliotecas pueden compilarse a un formato binario que el navegador ejecuta a velocidad casi nativa. El proceso queda entonces así:

1. Eliges un archivo. El navegador lo entrega al código JavaScript como ArrayBuffer a través de la File API, sin tráfico de red.
2. Un módulo WebAssembly —normalmente en un web worker, para que la interfaz siga fluida— procesa los bytes en la memoria de la pestaña.
3. El resultado se genera como blob y se ofrece para su descarga mediante una URL de objeto.
4. Cierras la pestaña. La memoria se libera.

En ningún momento el archivo abandona el dispositivo. La caja de herramientas para esto es real y está madura: PDF.js, de Mozilla, lleva años renderizando los PDF en Firefox. pdf-lib crea y modifica documentos en JavaScript puro. MuPDF.js, de Artifex, lleva el motor completo de MuPDF al navegador como WebAssembly. Tesseract.js hace posible el reconocimiento de texto en local. Y para el caso más duro —Word o Excel a PDF— existe desde noviembre de 2024 ZetaOffice, de allotropia: una compilación de LibreOffice a WebAssembly con API de JavaScript.

Lo que, siendo honestos, sigue siendo difícil en el lado del cliente

Un artículo que solo enumera ventajas es publicidad. Así que aquí va la cuenta en contra:

Memoria. El wasm32 habitual direcciona como máximo 4 GB; no es un límite blando, sino todo el espacio de direcciones de un puntero de 32 bits. Desde WebAssembly 3.0 (septiembre de 2025) existe direccionamiento de 64 bits, pero los navegadores lo topan en 16 GB, cuesta rendimiento y el soporte no está igual de avanzado en todas partes. En la práctica: un escaneo de 400 megabytes con 800 páginas puede tumbar la pestaña en un smartphone antiguo. Un servidor no tiene ese problema.

Tiempo de carga. Un módulo WebAssembly con la pila completa de PDF ocupa varios megabytes. En la primera visita hay que descargarlo; después queda en la caché y la página funciona incluso sin conexión, pero la primera impresión es más lenta que con una herramienta de servidor.

Y el punto más importante, también en causa propia: procesar en el cliente no significa automáticamente respetar la privacidad. La página sigue conociendo tu dirección IP. Los scripts de analítica, el registro de errores y las redes publicitarias funcionan con independencia de dónde se procese el PDF. Una oferta que calcula en local y a la vez incrusta cinco rastreadores solo ha resuelto la mitad del problema. Pregunta por eso no solo si el archivo se queda donde está, sino también qué más sale de tu navegador; y hazlo con cada proveedor, incluido este.

La prueba que puedes hacer tú mismo en 30 segundos

No tienes que creer a nadie. Dos comprobaciones que funcionan en cualquier web:

El test de red. Abre las herramientas para desarrolladores (F12 o Ctrl+Mayús+I; en Mac, Cmd+Option+I), ve a la pestaña «Red» y filtra por «Fetch/XHR». Después procesa un archivo. Una herramienta basada en servidor genera en ese punto una petición POST cuyo volumen de datos transferidos se corresponde aproximadamente con el tamaño de tu archivo. Con procesamiento local, ahí no pasa nada.

El test sin conexión. Aún más simple, y no admite maquillaje: carga la página, apaga el wifi o activa el modo avión, y sigue trabajando. Lo que funciona sin conexión a internet no ha transmitido nada, garantizado.

Haz ambas pruebas tranquilamente en esta página. No querríamos que fuera de otra manera.

Una regla práctica para llevarse

Antes de pulsar «Elegir archivo», hazte una sola pregunta: ¿enviaría este documento por correo electrónico a un desconocido que promete borrarlo al cabo de dos horas?

Con el menú para la cena de la peña: claro. Con la presentación para el consejo, el historial médico, el escrito de un cliente, el escaneo del DNI: más bien no.

Y si la respuesta es «más bien no», la buena noticia es que no tienes que elegir entre comodidad y precaución. El navegador ya sabe hacerlo por sí solo.

Última actualización: julio de 2026. Este artículo describe cuestiones técnicas generales y el marco legal; no evalúa proveedores concretos ni constituye asesoramiento jurídico. Para valorar un servicio en particular, consulta tú mismo su política de privacidad vigente.