Ferramentas PDF gratuitas sem envio (seus arquivos permanecem locais)

Quando você solta um PDF em uma ferramenta online típica — iLovePDF, Smallpdf, PDF2Go, Sejda e muitas outras — o arquivo é enviado a um servidor, processado lá, e o resultado é devolvido. A política de privacidade do site geralmente diz que os arquivos são excluídos após algumas horas. Três coisas a ponderar:

• O arquivo existe no disco de outra pessoa por algum tempo. Horas, dias ou indefinidamente — você não pode verificar.
• O servidor vê o conteúdo decifrado. Se o PDF é sensível (um contrato, um prontuário médico, um formulário fiscal, um manuscrito inédito), esse conteúdo está agora numa infraestrutura que você não controla.
• Os metadados viajam com o arquivo. Autor, data de criação, histórico de edição — tudo está no servidor.

Para um PDF banal descartável, nada disso importa. Para qualquer documento com uma dimensão de confidencialidade ou conformidade, «gratuito em troca de envio» é um mau compromisso.

Uma ferramenta PDF local-first faz o mesmo trabalho que um servidor faria, mas no seu navegador. O arquivo é lido em memória com a API File, transmitido a um Web Worker (uma thread em segundo plano para que a UI não congele) e processado com uma biblioteca PDF JavaScript ou WASM compilado. O resultado é escrito num Blob e oferecido para download. Em nenhum momento o arquivo sai do seu dispositivo.

Tecnologias-chave:

• API File — lê o arquivo do disco para um ArrayBuffer em memória.
• Web Workers — executam a análise PDF pesada numa thread em segundo plano para que a página permaneça responsiva.
• Bibliotecas PDF JavaScript (pdf-lib, PDF.js) — analisam e modificam a estrutura PDF no navegador.
• WASM — para bibliotecas que compilam código nativo (p. ex. qpdf, mupdf) para executar no navegador a velocidade quase nativa.
• Blob + URL.createObjectURL — produzem o download sem ida e volta ao servidor.

O compromisso: tudo executa no seu dispositivo, então arquivos muito grandes ou máquinas muito lentas levam mais tempo que um servidor rápido. A vantagem: o arquivo não sai nunca do seu dispositivo, e a ferramenta funciona offline uma vez a página carregada.

Cada ferramenta abaixo executa inteiramente no seu navegador. Solte um arquivo, obtenha o resultado, e o arquivo nunca toca um servidor.

A tabela abaixo é honesta sobre os compromissos. Os serviços baseados em envio são frequentemente mais rápidos em arquivos grandes (servidores potentes) e oferecem funcionalidades difíceis de realizar num navegador (OCR, resumo por IA). As ferramentas local-first ganham em privacidade, funcionamento offline e não exigir conta.

• Privacidade: Local-first ganha. O arquivo nunca sai do seu dispositivo. Os serviços de envio vêem todo o conteúdo.
• Velocidade em arquivos grandes: Os serviços de envio ganham frequentemente — rodam em servidores rápidos. As ferramentas locais são limitadas pelo seu dispositivo.
• Conta / cadastro: As ferramentas local-first não precisam. Muitos serviços de envio restringem funcionalidades atrás de uma conta.
• Offline: Local-first funciona offline uma vez a página carregada. Os serviços de envio não.
• Funcionalidades: Os serviços de envio oferecem OCR, IA e outras funcionalidades que exigem backend. As ferramentas local-first limitam-se ao que um navegador faz bem.
• Limites de tamanho: Os serviços de envio limitam o tamanho (frequentemente 50–100 Mo nos níveis gratuitos). As ferramentas local-first são limitadas pela memória do seu dispositivo, não uma política de servidor.

Use uma ferramenta local-first quando o arquivo é sensível, quando está numa conexão lenta ou cobrada e não quer enviar um arquivo de 50 Mo, quando está offline ou quando simplesmente não quer criar conta. Use um serviço de envio quando você precisa de uma funcionalidade que o navegador não pode fazer bem (OCR num documento digitalizado, resumo por IA, conversão para arquivos Office editáveis) e o arquivo não é sensível. Se o arquivo é sensível e você precisa de uma funcionalidade do lado do servidor, execute-a na sua própria máquina com uma ferramenta local (qpdf, ghostscript, Tesseract OCR) em vez de um site de terceiros.

«Ferramentas PDF privadas», «ferramentas PDF gratuitas sem envio» e «ferramentas PDF locais» descrevem a mesma ideia sob três ângulos. Uma ferramenta PDF privadaé uma ferramenta que não envia seu arquivo — nem nada derivado dele — para um servidor. Uma ferramenta sem envio é uma ferramenta onde o arquivo nunca sai do seu dispositivo. Uma ferramenta local é uma ferramenta onde o processamento acontece no seu navegador. As três apontam para a mesma propriedade arquitetural: não há caminho de rede que transporte os bytes do documento.

Esta página usa «sem envio» como enquadramento principal porque é o mais concreto e verificável — você pode abrir a aba Network do seu navegador e ver que nenhuma requisição transporta o arquivo. «Privado» é a mesma garantia descrita em termos do que o operador não pode fazer (divulgar, vazar, perder) em vez do que a rede não faz (enviar).

Uma ferramenta PDF é privada se, por concepção, ela não pode ver o conteúdo do seu arquivo. Concretamente: sem envio, sem processamento do lado do servidor, sem telemetria incluindo o conteúdo do arquivo, nomes de arquivo, metadados ou texto extraído. A ferramenta pode carregar seu próprio código de um CDN, mas o documento que você lhe confia nunca sai do seu navegador. É mais forte que uma política de privacidade prometendo «excluir seu arquivo após 24 horas». Uma política é um compromisso; o processamento local-first é uma garantia técnica. Se o código não tem caminho de envio, não há nada a fazer cumprir — a ausência da funcionalidade é a prova.

Privacidade-first não é gratuito. Os compromissos:

• Sem funcionalidades do lado do servidor. OCR, resumo por IA e conversão para arquivos Office editáveis exigem um backend. Uma ferramenta privada não pode oferecê-los honestamente.
• Limitado pelo seu dispositivo. Um PDF de 500 Mo num computador lento será lento. Um servidor com 32 núcleos seria mais rápido.
• Sem sincronização entre dispositivos. Se você começa no seu computador, a ferramenta não o sabe no seu telefone. Sem conta nem estado do lado do servidor.
• Sem histórico «arquivos recentes». Sem armazenamento local ou servidor, a ferramenta não se lembra do que você processou.

Para a maioria das tarefas PDF comuns — fundir, dividir, comprimir, girar, marca d'água, converter — nada disso importa. O navegador é rápido o suficiente, os arquivos pequenos o suficiente, e o ganho de privacidade é real.

Sob o RGPD (UE) e o CCPA(Califórnia), uma organização que processa dados pessoais deve: ter base legal, divulgar o que coleta, honrar pedidos de exclusão, proteger os dados e (sob o RGPD) frequentemente nomear um Encarregado de Proteção de Dados e manter registos de processamento. Uma ferramenta que envia um PDF cheio de dados pessoais para um servidor noutra jurisdição aciona todas essas obrigações — para o operador da ferramenta e possivelmente para o usuário.

Uma ferramenta que processa o PDF inteiramente no navegador do usuário não coleta dados pessoais. Sem transferência, sem armazenamento, sem processamento do lado do operador, sem fluxo transfronteiriço. O operador não tem nada a divulgar, nada a vazar, nada a excluir. A conformidade não é uma questão de papelada correta — é uma propriedade estrutural da arquitetura.

Isso não isenta o usuário de suas próprias obrigações (se você processa dados pessoais na sua atividade, você permanece responsável), mas retira o fornecedor da ferramenta da cadeia de subcontratantes. É uma simplificação significativa para qualquer organização preocupada com minimização de dados.

A arquitetura do IXPDF está documentada na nossapágina de privacidade epágina sobre. Em resumo:

• Não coleta: Conteúdo PDF, nomes de arquivo, metadados, texto extraído, resultados de processamento, senhas, chaves API.
• Pode coletar (análise, se ativada): metadados agregados não identificadores — vistas de página, nomes de ferramentas, sucesso/fracasso, buckets de duração, buckets de tamanho de arquivo. Nunca conteúdo de documento num evento de análise.
• Não usa: contas, cookies de rastreamento, APIs PDF de terceiros, armazenamento em nuvem, SDKs publicitários.

A camada de análise é projetada para ser honesta: se o identificador de medição não estiver configurado, é um no-op. Mesmo configurada, ela não pode transportar conteúdo de documento porque o caminho de código que o faria não existe.

«Privado» é uma palavra de marketing que qualquer um pode usar. Para verificar, confira três coisas: (1) a ferramenta funciona offline após o carregamento da página? Uma ferramenta que quebra quando você desconecta a rede fala com um servidor. (2) abra a aba Network das devtools do seu navegador e processe um arquivo — se você vê os bytes do arquivo saírem, não é local. (3) leia a política de privacidade: se ela diz que os arquivos são «excluídos após N horas», o arquivo estava num servidor para começar. Uma ferramenta realmente privada não tem nada a excluir porque nada foi recebido.

IXPDF passa nas três verificações. A aba Network mostra o carregamento inicial da página e nada mais quando você processa um arquivo. A política de privacidade reflete a arquitetura, não um calendário de retenção.