合并 PDF 不上传：为什么律师和会计师该在意

情境很单纯。客户把签好的合约扫描成一个档，附件是另外三个档，你要把它们并成一份寄出去。你搜寻“合并 PDF”，点进第一个结果，把档案拖进去，十秒钟搞定。

在你放开滑鼠的那一瞬间，那份合约已经在别人的服务器上了。

档案被拖进去之后发生什么事

这类网站绝大多数是把档案传到服务器端处理。档案会经过网路传输、写进储存空间、由服务器程式读取、产生结果档、再传回来给你。过程中它通常还会经过第三方的云端基础设施——运算、储存、CDN 往往不是同一家公司。

这不是指控谁有恶意。多数服务的隐私政策写得很清楚，也多半是真心的：一小时后删除、不做他用、不人工查看。问题不在他们诚不诚实，而在于你没有办法验证。从外面看，“已删除”和“还留着”长得一模一样。

为什么专业人士的处境不同

一般人上传一张要压缩的旅游照，风险是自己的。但如果档案里是客户的资料，你面对的就不只是风险，而是义务——而且义务在你身上，不在那个网站身上。

几个具体的例子：

• 律师。美国律师协会的 Model Rule 1.6(c) 要求律师采取合理措施，防止客户资讯遭到非预期揭露或未经授权的存取；2017 年的 Formal Opinion 477R 进一步谈电子传输该怎么处理。Rule 1.1 的注解 [8] 则把“了解相关科技”写进了专业能力的范围。各法域规定不同，但方向一致。
• 报税代理人（美国）。美国《国内税收法》第 7216 条针对报税代理人未经同意揭露或使用纳税人资讯订有刑事罚则，第 6713 条另有民事罚款。这条规范的对象是代理人，不是网站。
• 处理欧盟个资时。GDPR 第 28 条规定，资料控管者只能委托能提供充分保证的处理者，而且双方必须有书面的资料处理合约。一个免费网页表单几乎不可能给你那份合约。
• 公司员工。很多公司的资安政策直接禁止把内部文件上传到未核准的服务，而且常常用网路层的规则挡住——这也正是为什么你在公司网路里会发现这类网站传不上去。

以上是一般性的说明，不构成法律意见；实际规范请以你所属法域与公会的规定为准。但有一点在哪里都成立：你把档案交出去的那一刻，就没有办法收回了。

“可是它写说一小时后就删除”

这句话可能百分之百属实，但它解决不了三件事。

第一，那是一个承诺，不是一个可稽核的事实。第二，就算他们确实删了，在删掉之前那份资料仍然存在过，仍然可能进了备份、日志或快取。第三，如果那家公司自己被入侵，外泄的是你客户的合约，而要去向客户解释的人是你。

换个角度想：如果你不会把这份合约用明信片寄出去，那就不该把它交给一个你无法稽核的第三方——即使对方的政策写得再好看。

另一条路：根本不要传出去

现代浏览器已经可以在本机完成这些工作。透过 WebAssembly，原本只能在服务器上跑的 PDF 与影像处理程式，可以直接编译成在浏览器里执行的版本。档案由 JavaScript 从你的硬碟读进记忆体、在你的电脑上处理、再写回你的硬碟。

它从头到尾没有离开过你的装置，所以也就没有“保留多久”这个问题——因为根本没有东西可以保留。

怎么自己验证（两分钟）

不要相信任何人的宣称，包括我们的。浏览器自己就能告诉你答案。

1. 用开发者工具看。按 F12（Mac 是 Cmd+Option+I）开启开发者工具，切到“网路 / Network”分页，筛选 Fetch/XHR，然后执行那个工具。如果档案被上传，你会看到一个请求的 payload 大小和你的档案差不多——10 MB 的 PDF 不可能用 2 KB 传出去。
2. 更直接的方法：断网。把页面载入完成后，切到飞航模式或拔掉网路线，然后执行工具。如果它照常跑完，那你的档案不可能传到任何地方。

这里要讲清楚一件事，免得你误判：就算档案没有上传，你还是会在网路分页看到一堆请求——字型、样式表、广告、流量统计。那些是网页本身，不是你的档案。要分辨的方式是看 payload 的大小，以及那个请求是不是在你按下“处理”的当下才发出的。

顺带一提，这个测试对我们也一样适用。这个站的 PDF 合并工具就是在浏览器里跑的，你可以直接用上面第二个方法验证它——载入页面、断网、合并、下载。它会完成。

什么时候上传还是合理的

不是所有情况都需要这么严格。公开资料、你自己的照片、已经公开发布的文件，上传到哪里都无所谓，服务器端处理往往还更快、功能更多。

真正该停下来想一下的是这几种：客户或病患的资料、尚未签署的合约、薪资与人事档案、身份证件、财务报表、任何标示为机密的东西。

判断标准其实只有一句话：如果这份档案外泄了，需要通知别人，那就不要上传。

在浏览器里直接完成，档案不会离开你的电脑：PDF 工具