你要把四份 PDF 合并成一份。你搜索，点开第一条结果，把文件拖进去，再把结果下载下来。三十秒，不用装软件，也不花钱。
这是一次不错的产品体验。但也值得认真弄明白一次：在那三十秒里究竟发生了什么——因为多数人脑中设想的画面，和实际发生的事情相去甚远。
你的文件经历了什么
很多人以为在线工具的工作方式有点像页面里的计算器——合并是在自己的浏览器里、在自己的机器上完成的。
通常并非如此。你的文档被完整地上传到了那家公司的服务器上。那台服务器打开它们、读取它们、生成一份新文件，再把结果传回给你。此后有一段时间里，你的原始文件和处理结果都躺在某处的硬盘上——在一个你叫不出名字的数据中心里，在一个不是你选择的国家。
这算不上什么丑闻。服务本来就是这么运作的，正规的服务商也会明说。但这确实意味着，”这个网站可信吗？”是个问错了的问题。该问的是：我刚才同意了什么，还有谁能碰到那份文件？
四件人们想不到的事
1. “一小时后删除”是一句承诺，不是一套机制
大多数服务都声明，上传的文件会在一段时间后被自动删除。有信誉的服务商是真的会这么做。但你无从核实，而且删除这件事比听上去复杂：备份按它自己的时间表运行，一份从主系统中移除的文件，仍可能在备份里留存数周。这些都不是欺骗，只是再正常不过的基础设施罢了——只不过它意味着，这句承诺比字面读起来要软一些。
2. 你可能已经把自己文档的许可授了出去
这一条最让人意外。免费文件处理工具的服务条款里，常常包含一项条款，授予该公司存储、复制和处理你内容的许可——有时措辞宽泛到足以涵盖”改进其服务”，而这越来越多地包括训练机器学习模型。
各家条款差异极大，也有不少服务写得谨慎而克制。重点不是说某个具体网站在干什么见不得人的事，而是”免费”服务总得有个商业模式；如果你说不清自己是拿什么在付账，那么在上传一份客户合同之前，值得先把那条条款读一遍。
3. 这家公司成了你风险面的一部分
你的文档一旦到了别人的服务器上，它的安全就取决于对方的安全水平，而不是你的。取决于他们的补丁、他们的访问控制、他们的员工。如果两年后他们发生数据泄露，一份你只上传过一次的文件也可能牵涉其中。
在这种情形下，你什么都没做错。这恰恰是问题所在——从上传完成的那一刻起，结果就不再由你掌控了。
4. 那份文档也许根本轮不到你来上传
正是这一点，把个人偏好变成了职业问题。如果 PDF 里含有他人的个人数据——一名员工的病假证明、一位客户的合同、一份患者名单、一组考试成绩——那么把它发给第三方服务就构成一次数据传输，随之而来的全部义务都要承担。
在 GDPR 之下，这通常意味着你需要一项合法依据，并与该服务商签订数据处理协议。几乎没有人在把文件拖到一个免费网站上时具备这些。在受监管的工作环境里，这不是一个理论问题，而是审计时会被翻出来的那类问题。
怎样用两分钟读懂一项服务
如果你打算用一个——而且确实有充分的理由去用——一次简短的检查就能告诉你大部分要紧的事。你不是在审计谁，你只是在看那些基本问题有没有显而易见的答案。
它有没有说明处理是在哪里进行的？确实有少数工具完全在你的浏览器里运行，不上传任何东西。它们往往会把这一点写在显眼处，因为这正是它们的主要卖点。如果页面上只字未提，就默认文件会被上传。
背后有没有一家具名的公司？在页脚或隐私政策里找一个真实的公司名称和地址。一项查不到运营者的服务，也就是一项你无从追责的服务。
隐私政策有没有给出保留期限？“文件将在一小时后删除”是一项承诺。”我们可能在必要范围内保留数据”不是。差别就在具体程度上，这就是信号。
在条款里搜索”licence”和”improve”。两个词，三十秒。它们会把你直接带到那条描述你正在就自己内容授出哪些权利的条款。
这家公司注册在哪里？这决定了适用哪国法律，以及出了问题会怎样。对一份私人文档来说，这很少要紧。但对任何受工作场所规定约束的内容而言，它往往是决定性因素。
一项能把这五个问题都答清楚的服务，用于日常工作大概没什么问题。一项一个都答不上来的服务未必心怀恶意——但你完全是凭感觉在信任它，而知道自己正在这么做，本身就有意义。
什么时候用在线工具完全没问题
我并不想劝你放弃一件有用的东西。在线工具确实方便，而且对相当大一部分文档来说，没有理由避开它们：
- 公开文档——一份说明书、一份已发布的报告、一张你从政府网站上下载的表格
- 任何你愿意随手发邮件给陌生人的东西
- 不含任何他人个人数据的文件
- 在个人电脑上的一次性任务，装个软件反倒比这件事本身还麻烦
界线不在于”在线不好、离线才好”，而在于哪些文档如果出现在意想不到的地方，你会介意。
一条两秒钟就能用上的经验法则
在上传任何东西之前，先问自己一个问题：
这份文件出现在一个陌生人的收件箱里，我能坦然接受吗？
如果能，那就上传，然后接着过你的一天。如果你犹豫了——因为里面有薪资数字、有住址、有客户的名字、有医疗细节，或者有什么尚未公开的内容——那这一下犹豫就是答案。这一份，在本地处理。
如果你宁可根本不上传
PDF Manipulator 之所以存在，就是因为我一次次遇到那些不愿为了三十秒的活儿交出去的文件。它把常见操作——合并、拆分、转换、加密、压缩——全部放在你自己的电脑上完成。没有任何东西被上传，因为压根就没有可上传的去处。
既然坦诚地摆出取舍正是这篇文章的用意，那就说清楚：
- 你得安装一个东西。在线工具无需安装，在一台不属于你的机器上，这是实打实的优势。
- 它是一个桌面程序，在手机上跑不了。
- 在本地处理保护的是你的隐私。它不是杀毒软件——一份恶意 PDF，无论你在哪里打开它，都还是一份恶意 PDF。
它免费、没有广告，源代码也是公开的——所以”没有任何东西离开你的电脑”这句话，是你可以去核实的，而不是只能选择相信的。
简单来说
在线 PDF 工具不是什么陷阱，运营它们的多数人做的都是完全正当的生意。但上传一份文件是一个决定，而不是一个技术细节：它把你文档的一份副本放到了别人的电脑上，依据的是一份你多半没读过的条款。对一张公开表格来说，无所谓。对一份客户合同来说，那就值得花上三十秒想一想——也值得考虑一个从一开始就不需要上传的工具。
同样的活儿，不必上传就能干完——PDF Manipulator 免费且离线 →
