Abrir o editor

Segurança

O que sai do seu dispositivo

A edição acontece no seu navegador: seu PDF fica no seu dispositivo. Aqui está cada caso em que algo é enviado ao nosso servidor, ferramenta por ferramenta, e o que acontece com isso.

Em resumo

  • Editar, assinar, preencher, tarjar, unir, dividir, comprimir e adicionar uma senha rodam no seu navegador. O arquivo não é enviado.
  • A imagem de uma página digitalizada só é enviada para leitura depois que o editor pergunta e você concorda.
  • Um arquivo de escritório é enviado para ser convertido e é apagado assim que a conversão termina.
  • Pedir assinaturas é a exceção que você escolhe: o PDF é criptografado no seu navegador e nosso servidor guarda só a cópia criptografada. Por padrão, a chave dela fica nos links que você envia; se você deixar o GenPDF enviar os links por e-mail, nosso servidor guarda a chave até o pedido terminar. A cópia é apagada quando o pedido termina ou 30 dias depois de todos assinarem.
  • Se o seu navegador não consegue executar o mecanismo de edição, o PDF só vai para o nosso servidor se você concordar.
  • Relatórios de erro e contagens de visitas nunca contêm um documento, seu texto, o nome do arquivo nem nada que você digitou.
  • No aplicativo Android, os arquivos recentes são cópias guardadas só no seu celular, e o GenPDF não carrega ali o Google Analytics, o Microsoft Clarity nem anúncios, e não faz nenhuma pergunta sobre cookies.
  • O Google Analytics conta as visitas. Onde a lei pede o seu consentimento (por exemplo, na União Europeia e no Reino Unido), ele não grava cookies até você aceitar; em outros lugares, grava os cookies desde a sua primeira visita. O Microsoft Clarity, que nos mostra os cliques e a rolagem nas páginas públicas, segue a mesma regra: fica desligado até você aceitar onde a lei pede o seu consentimento, e começa desde a sua primeira visita em outros lugares. Ele nunca roda no editor, na assinatura ou na conta. Você pode recusar quando quiser em «Configurações de cookies», e o sinal Global Privacy Control do seu navegador conta como uma recusa.
  • O Google AdSense mostra anúncios nas páginas iniciais públicas, pela mesma regra: onde a lei pede o seu consentimento, o código dele não é carregado até você aceitar. O Google e seus parceiros podem usar cookies de publicidade para personalizá-los, e você pode recusar isso nas configurações de anúncios do Google (myadcenter.google.com). Os anúncios nunca aparecem no editor, sobre um documento nem nas páginas de assinatura ou de conta, e nunca recebem um documento, seu texto nem o nome do arquivo.

Ferramenta por ferramenta

  • Editar texto, adicionar texto, localizar e substituir, assinar, preencher formulários, destacar, carimbar, adicionar marca-d'água ou numeração de páginas, tarjar, nivelar

    Enviado ao nosso servidor
    Nada.
    O que acontece com isso
    O mecanismo de PDF (PDFium, compilado para WebAssembly) roda no seu navegador e trabalha com o arquivo lá.

  • Unir, dividir, comprimir, organizar, girar ou cortar páginas; PDF para Word; PDF para imagens; imagens para PDF

    Enviado ao nosso servidor
    Nada.
    O que acontece com isso
    Feito no seu navegador, no seu dispositivo.

  • Salvar uma cópia para compartilhar

    Enviado ao nosso servidor
    Nada.
    O que acontece com isso
    Feito no seu navegador. A cópia é achatada e seus scripts, ações de execução e de envio, mídias e arquivos incorporados são removidos. Um download normal não é limpo: mantém o que o PDF original continha.

  • Adicionar ou remover uma senha (Proteger, Desbloquear)

    Enviado ao nosso servidor
    Nem o arquivo nem a senha.
    O que acontece com isso
    A senha é adicionada ou removida no seu navegador. Quando você adiciona uma, nosso servidor só fica sabendo que a ferramenta foi usada, para contá-la na cota diária do seu plano.

  • Ler uma página digitalizada (OCR)

    Enviado ao nosso servidor
    Uma imagem de cada página digitalizada que você escolhe ler, poucas páginas por vez.
    O que acontece com isso
    O editor pergunta antes de enviar a primeira página, uma vez por documento, a menos que você tenha escolhido "Não perguntar de novo neste dispositivo". Um programa de OCR no nosso servidor lê a imagem e devolve o texto; a imagem não é guardada. As páginas lidas contam na sua cota diária.

  • Converter um arquivo do Word, Excel, PowerPoint ou OpenDocument em PDF

    Enviado ao nosso servidor
    O arquivo.
    O que acontece com isso
    Ele é gravado numa pasta temporária privada do nosso servidor e convertido com o LibreOffice. A pasta é apagada quando a conversão termina, tenha dado certo ou não. Os arquivos convertidos contam na sua cota diária.

  • Traduzir, resumir ou perguntar sobre um documento (IA), em um site com a IA ativada

    Enviado ao nosso servidor
    No painel de IA: o texto das páginas que você escolher, como texto simples: nunca o arquivo PDF, suas imagens ou seu nome. Só depois que você escolher “Enviar o texto” para aquele documento.
    O que acontece com isso
    Nosso servidor repassa o texto à Anthropic, que opera o modelo de IA e o trata em nosso nome; segundo os termos da API da Anthropic, ele não é usado para treinar seus modelos. O GenPDF não guarda nem o texto nem as respostas, e seu registro guarda apenas totais. A tradução é escrita de volta no documento, no seu navegador. O painel de IA não aparece em um site com a IA desativada. Os créditos usados são descontados da sua cota diária.

  • Ler uma página digitalizada com IA (painel Texto), nos planos pagos, em um site com a IA ativada

    Enviado ao nosso servidor
    Uma imagem da única página que você escolher, e as linhas que o leitor de digitalização encontrou nela (as palavras e onde estão na página). Só depois que você escolher “Enviar a imagem e ler”, a cada vez. Nunca o arquivo PDF nem o seu nome.
    O que acontece com isso
    Nosso servidor repassa a imagem e as linhas à Anthropic, que opera o modelo de IA e as trata em nosso nome; segundo os termos da API da Anthropic, elas não são usadas para treinar seus modelos. O modelo responde com as palavras corrigidas das linhas que altera, e o editor as coloca de volta; você pode desfazer. O GenPDF não guarda nem a imagem nem a resposta, e seu registro guarda apenas totais. Os créditos usados são descontados da sua cota diária.

  • Editar num navegador que não consegue executar o mecanismo de edição

    Enviado ao nosso servidor
    O PDF, somente se você escolher "Enviar ao nosso servidor".
    O que acontece com isso
    O mesmo mecanismo o edita na memória do nosso servidor, com limite de tempo, e nada é guardado. Sua escolha vale para aquela aba, e a barra superior diz "Edição no nosso servidor" enquanto ele está em uso.

  • Digitar numa fonte que o PDF não contém

    Enviado ao nosso servidor
    O nome e o estilo da fonte, e cada caractere distinto necessário (não a sua frase).
    O que acontece com isso
    Nosso servidor devolve essa fonte reduzida a esses caracteres. Ele pode baixar o arquivo da fonte do Google Fonts pelo nome; nenhum texto é enviado para lá.

  • Relatar um problema, nos planos pagos

    Enviado ao nosso servidor
    A frase que você escreve e alguns dados sobre o editor e o arquivo: a versão do GenPDF, o seu navegador, o número de páginas, o tamanho e o tipo do arquivo, os nomes das fontes dele, o programa indicado nele e o último erro que a página encontrou. Nunca as palavras, o título, o autor ou o nome do arquivo. O PDF em si só se você marcar “Enviar também este PDF ao GenPDF para que o problema possa ser corrigido”.
    O que acontece com isso
    Ele fica guardado no nosso servidor e só o administrador do GenPDF pode abri-lo. Um PDF compartilhado é guardado por no máximo 30 dias e apagado na hora em que o problema é encerrado como corrigido ou como não será corrigido; o relato em si é apagado um ano depois da última alteração, encerrado ou não. Para achar a causa, o administrador pode pedir que um assistente de IA (Claude, da Anthropic) leia o PDF e a sua frase em uma máquina temporária do GitHub, que é apagada depois. O registro do GenPDF guarda apenas números.

  • Continuar trabalhando depois de uma falha ou de uma aba fechada

    Enviado ao nosso servidor
    Nada.
    O que acontece com isso
    O documento aberto é guardado no armazenamento do próprio navegador, no seu dispositivo, para que o editor possa oferecê-lo de volta por 7 dias. Ele é esquecido quando você fecha o PDF, abre outro ou escolhe Esquecer.

  • Arquivos recentes no aplicativo Android

    Enviado ao nosso servidor
    Nada.
    O que acontece com isso
    O aplicativo guarda uma cópia de cada PDF que você abre, os dez mais recentes e no máximo 150 MB, no próprio armazenamento do seu celular, para que Início e Arquivos possam abri-lo de novo. As cópias nunca saem do celular e não fazem parte da sua conta. Remova uma em Arquivos, ou todas em Conta, Arquivos recentes. Elas ficam no armazenamento do navegador que o aplicativo usa para genpdf.com, então desinstalar o aplicativo não as apaga necessariamente: para ter certeza, limpe-as em Conta ou apague os dados de genpdf.com nas configurações do Android.

  • Pedir assinaturas a outras pessoas

    Enviado ao nosso servidor
    O PDF, criptografado no seu navegador. Também o título, a sua mensagem e os e-mails de quem assina. Por padrão a chave não é enviada; só se você marcar “Deixar o GenPDF enviar os links por e-mail” ela é enviada, uma vez, ao criar o pedido.
    O que acontece com isso
    O nosso servidor guarda a cópia criptografada e esses dados e mantém uma trilha de auditoria: horários, um hash com chave de cada endereço, o nome do navegador e as impressões digitais de cada versão. Por padrão envia a quem assina um aviso por e-mail que nunca leva a chave (você envia a cada pessoa o link dela) e não consegue ler o documento. Se você deixar o GenPDF enviar os links, o nosso servidor guarda a chave, selada com um segredo mantido no servidor, até o pedido terminar (assinado, recusado, retirado ou expirado), e depois a apaga; usa a chave para pôr o link de cada pessoa nos e-mails dela, que também passam por provedores de e-mail, e uma vez, quando o documento chega, para conferir que a chave o abre (nada descriptografado é guardado). Enquanto tiver a chave, o GenPDF poderia, tecnicamente, abrir o documento; a trilha de auditoria registra de que modo os links foram enviados e quando a chave foi apagada. O resto é apagado 30 dias depois de o pedido terminar (um pedido retirado, recusado ou expirado perde a cópia criptografada na hora). Os pedidos contam na cota mensal do seu plano.

  • Entrar numa conta, comprar um plano

    Enviado ao nosso servidor
    Seu e-mail e senha, ou seu login do Google; numa compra, os dados de pagamento vão para a Paddle.
    O que acontece com isso
    A Paddle é a comerciante oficial; nunca vemos nem guardamos os dados do seu cartão. A Política de Privacidade lista o que guardamos de uma conta e por quanto tempo.

  • Baixar um arquivo que você fez, no plano Grátis

    Enviado ao nosso servidor
    Que tipo de download é (um PDF editado, um PDF assinado, uma exportação para Word ou o resultado de outra ferramenta), um identificador aleatório desse download e, para Word, o número de páginas. Nunca o documento, seu nome ou seu texto.
    O que acontece com isso
    É descontado da cota do dia da sua conta ou, sem conta, de um cookie de visitante aleatório e de um hash com chave do seu endereço de internet (nunca o endereço em si). As contagens são apagadas após 90 dias.

  • Visitar uma página, abrir ou baixar um arquivo

    Enviado ao nosso servidor
    Uma contagem, sem cookies: o nome da etapa, o endereço da página sem a consulta, o idioma da página, o seu país (para a primeira página de uma visita e algumas etapas principais, como abrir um arquivo ou um download: deduzido no nosso servidor a partir do seu endereço de internet, do qual só o país é guardado), o site de onde você vem (só na primeira página de uma visita, guardado na contagem apenas como um grupo amplo, como busca ou redes sociais, nunca o site em si) e rótulos curtos nossos, como o nome de uma ferramenta. Ela é guardada como um número por dia, por 24 meses, sem endereço, sem identidade do navegador e sem nada que identifique você. Enquanto a página está aberta, ela também informa ao nosso servidor, a cada 30 segundos e quando você a deixa, há quantos segundos está visível e em que página você está, sob uma chave aleatória guardada apenas na memória da página (nada é guardado no seu dispositivo); o servidor esquece a chave quando a visita termina. De cada visita ele guarda uma linha por 90 dias: o minuto em que começou, o país, o grande grupo de origem e o nome do site de referência, a primeira página, o idioma, o tipo de aparelho, os segundos em que a página ficou visível e o número de páginas, sem endereço, sem identidade do navegador e sem chave.
    O que acontece com isso
    As contagens nunca contêm um documento, seu texto, o nome do arquivo nem nada que você digitou. Se algo der errado, seu navegador envia um breve relatório de erro (o que falhou, o caminho da página, a versão do aplicativo e o nome do seu navegador). Um programa o limpa o melhor que pode de endereços da web, e-mails, nomes de arquivo e palavras entre aspas ou fora do ASCII; não é possível provar que a mensagem de uma biblioteca não traga uma palavra que você digitou, então não prometemos isso. O relatório é gravado no registro do nosso servidor com uma referência que você pode citar (30 dias no máximo) e também entra num grupo anônimo do mesmo erro (o que falhou, em qual página, em qual versão e quantas vezes; sem o nome do navegador), guardado até 180 dias.

  • Estatísticas de visitas com o Google Analytics e o Microsoft Clarity, após o seu consentimento onde a lei o pede

    Enviado ao nosso servidor
    Onde a lei pede o seu consentimento: até você aceitar, apenas visitas contadas sem cookies e sem identificador. Em outros lugares, e assim que você aceitar: as páginas que você visita (o endereço sem parâmetros), as etapas que você realiza com os mesmos rótulos curtos, sua localização aproximada, seu dispositivo e navegador, e um identificador guardado nos cookies do Google. Nas páginas públicas, o Microsoft Clarity também vê os seus cliques e a sua rolagem.
    O que acontece com isso
    A Google Ireland Limited as conta por nós, como operadora. Onde a lei pede o seu consentimento, o Google não grava cookies e o Microsoft Clarity não é carregado antes de você aceitar. «Configurações de cookies», no rodapé e no menu Arquivo do editor, retira a sua resposta: a contagem para e os cookies do Google e do Clarity são apagados. Nunca um documento, seu texto, o nome do arquivo nem nada que você digitou. O aplicativo Android não carrega nenhum dos dois e não tem aviso de cookies.

  • Anúncios do Google AdSense nas páginas iniciais públicas, após o seu consentimento onde a lei o pede

    Enviado ao nosso servidor
    Onde a lei pede o seu consentimento: nada até você aceitar, porque o código de publicidade não é carregado. Em outros lugares, e assim que você aceitar: o que o seu navegador envia ao Google para carregar um anúncio (o endereço da página, o seu endereço de internet, o seu navegador e dispositivo) e os cookies de publicidade do Google. Nunca um documento, seu texto nem o nome do arquivo, e nunca no editor, na assinatura ou na conta.
    O que acontece com isso
    O Google escolhe e exibe os anúncios e decide como usa as informações, conforme a sua própria política de privacidade; pode usar cookies para mostrar anúncios com base nas suas visitas a este site e a outros. Você pode desativar os anúncios personalizados em myadcenter.google.com. «Configurações de cookies» retira a sua resposta: os anúncios são ocultados e os cookies de publicidade do Google neste site são apagados. O aplicativo Android não mostra anúncios.

Onde ficam os servidores

Nossos servidores são hospedados por OVHcloud (OVH SAS), servers in the European Union.

Como o serviço é protegido

  • As páginas são servidas somente por HTTPS, e os navegadores são instruídos a continuar usando-o (HSTS).
  • As senhas são guardadas somente como hashes scrypt com sal, e um login é lembrado do nosso lado somente como o hash da sua chave.
  • As solicitações são limitadas por endereço, e o login e o formulário de contato de forma mais rígida.
  • O servidor conta o que recusa ou percebe (logins que falharam, buscas por páginas que este site não tem, solicitações de outros sites) como números por dia com o país, nunca um endereço de internet nem uma conta, e os apaga após 180 dias.
  • As cópias no servidor do mecanismo de PDF, que leem arquivos feitos por outras pessoas, rodam em threads separadas com limite de tempo e teto de memória, para que um arquivo ruim não trave os demais.
  • O aplicativo roda como usuário sem privilégios em seu contêiner, e suas dependências são verificadas em busca de vulnerabilidades conhecidas a cada mudança.

A Política de Privacidade tem a lista completa do que guardamos e de quem mais vê.

Encontrou um problema?

Conte-nos em particular pela página de Contato, escolhendo "Um problema de segurança". Diga o que você fez, o que aconteceu e o que esperava, e não inclua documentos de outras pessoas. Procuramos responder em até três dias úteis.