合併 PDF 不上傳：為什麼律師和會計師該在意

情境很單純。客戶把簽好的合約掃描成一個檔，附件是另外三個檔，你要把它們併成一份寄出去。你搜尋「合併 PDF」，點進第一個結果，把檔案拖進去，十秒鐘搞定。

在你放開滑鼠的那一瞬間，那份合約已經在別人的伺服器上了。

檔案被拖進去之後發生什麼事

這類網站絕大多數是把檔案傳到伺服器端處理。檔案會經過網路傳輸、寫進儲存空間、由伺服器程式讀取、產生結果檔、再傳回來給你。過程中它通常還會經過第三方的雲端基礎設施——運算、儲存、CDN 往往不是同一家公司。

這不是指控誰有惡意。多數服務的隱私政策寫得很清楚，也多半是真心的：一小時後刪除、不做他用、不人工查看。問題不在他們誠不誠實，而在於你沒有辦法驗證。從外面看，「已刪除」和「還留著」長得一模一樣。

為什麼專業人士的處境不同

一般人上傳一張要壓縮的旅遊照，風險是自己的。但如果檔案裡是客戶的資料，你面對的就不只是風險，而是義務——而且義務在你身上，不在那個網站身上。

幾個具體的例子：

• 律師。美國律師協會的 Model Rule 1.6(c) 要求律師採取合理措施，防止客戶資訊遭到非預期揭露或未經授權的存取；2017 年的 Formal Opinion 477R 進一步談電子傳輸該怎麼處理。Rule 1.1 的註解 [8] 則把「了解相關科技」寫進了專業能力的範圍。各法域規定不同，但方向一致。
• 報稅代理人（美國）。美國《國內稅收法》第 7216 條針對報稅代理人未經同意揭露或使用納稅人資訊訂有刑事罰則，第 6713 條另有民事罰款。這條規範的對象是代理人，不是網站。
• 處理歐盟個資時。GDPR 第 28 條規定，資料控管者只能委託能提供充分保證的處理者，而且雙方必須有書面的資料處理合約。一個免費網頁表單幾乎不可能給你那份合約。
• 公司員工。很多公司的資安政策直接禁止把內部文件上傳到未核准的服務，而且常常用網路層的規則擋住——這也正是為什麼你在公司網路裡會發現這類網站傳不上去。

以上是一般性的說明，不構成法律意見；實際規範請以你所屬法域與公會的規定為準。但有一點在哪裡都成立：你把檔案交出去的那一刻，就沒有辦法收回了。

「可是它寫說一小時後就刪除」

這句話可能百分之百屬實，但它解決不了三件事。

第一，那是一個承諾，不是一個可稽核的事實。第二，就算他們確實刪了，在刪掉之前那份資料仍然存在過，仍然可能進了備份、日誌或快取。第三，如果那家公司自己被入侵，外洩的是你客戶的合約，而要去向客戶解釋的人是你。

換個角度想：如果你不會把這份合約用明信片寄出去，那就不該把它交給一個你無法稽核的第三方——即使對方的政策寫得再好看。

另一條路：根本不要傳出去

現代瀏覽器已經可以在本機完成這些工作。透過 WebAssembly，原本只能在伺服器上跑的 PDF 與影像處理程式，可以直接編譯成在瀏覽器裡執行的版本。檔案由 JavaScript 從你的硬碟讀進記憶體、在你的電腦上處理、再寫回你的硬碟。

它從頭到尾沒有離開過你的裝置，所以也就沒有「保留多久」這個問題——因為根本沒有東西可以保留。

怎麼自己驗證（兩分鐘）

不要相信任何人的宣稱，包括我們的。瀏覽器自己就能告訴你答案。

1. 用開發者工具看。按 F12（Mac 是 Cmd+Option+I）開啟開發者工具，切到「網路 / Network」分頁，篩選 Fetch/XHR，然後執行那個工具。如果檔案被上傳，你會看到一個請求的 payload 大小和你的檔案差不多——10 MB 的 PDF 不可能用 2 KB 傳出去。
2. 更直接的方法：斷網。把頁面載入完成後，切到飛航模式或拔掉網路線，然後執行工具。如果它照常跑完，那你的檔案不可能傳到任何地方。

這裡要講清楚一件事，免得你誤判：就算檔案沒有上傳，你還是會在網路分頁看到一堆請求——字型、樣式表、廣告、流量統計。那些是網頁本身，不是你的檔案。要分辨的方式是看 payload 的大小，以及那個請求是不是在你按下「處理」的當下才發出的。

順帶一提，這個測試對我們也一樣適用。這個站的 PDF 合併工具就是在瀏覽器裡跑的，你可以直接用上面第二個方法驗證它——載入頁面、斷網、合併、下載。它會完成。

什麼時候上傳還是合理的

不是所有情況都需要這麼嚴格。公開資料、你自己的照片、已經公開發布的文件，上傳到哪裡都無所謂，伺服器端處理往往還更快、功能更多。

真正該停下來想一下的是這幾種：客戶或病患的資料、尚未簽署的合約、薪資與人事檔案、身分證件、財務報表、任何標示為機密的東西。

判斷標準其實只有一句話：如果這份檔案外洩了，需要通知別人，那就不要上傳。

在瀏覽器裡直接完成，檔案不會離開你的電腦：PDF 工具