Il tuo commercialista carica le tue buste paga su siti PDF a caso?

Pensa a chi ha messo le mani sulla tua busta paga quest’anno. Tu, il tuo datore di lavoro e quasi sicuramente un commercialista o un ufficio paghe. Ora pensa al momento in cui quel PDF doveva essere combinato con quello del mese scorso, oppure diviso in pagine separate per la banca. Dove è successo tutto questo?

Per molti professionisti, la risposta è un sito web gratuito trovato nella prima pagina dei risultati di ricerca. Ci trascinano dentro la tua busta paga, cliccano un pulsante, scaricano il risultato e tirano avanti. Funziona. Ma significa anche che il tuo stipendio, le tue coordinate bancarie e il tuo codice fiscale sono appena finiti su un server di cui non hai mai sentito parlare.

È proprio questa la parte di cui vale la pena parlare.

I documenti che passano per le mani di altri

Raramente elabori da solo i tuoi PDF più delicati. Passano attraverso degli intermediari.

Gli uffici paghe e i commercialisti vedono buste paga, contratti, dichiarazioni fiscali e certificazioni bancarie. Gli uffici risorse umane gestiscono scansioni di documenti d’identità, numeri di previdenza sociale, certificati di malattia e a volte certificati medici. Gli studi legali trattano di tutto, dalle pratiche di divorzio ai documenti di successione. La segreteria di una clinica unisce lettere di accompagnamento e referti in un unico file per l’assicurazione.

Ognuna di queste persone, prima o poi, deve fare qualcosa di noioso con un PDF. Combinare quattro file in uno. Estrarre le pagine dalla 3 alla 7 di una scansione di 40 pagine. Ridurre un file perché stia in una email. Niente di tutto questo è un lavoro affascinante, ed è esattamente per questo che viene fatto con qualunque strumento sia più veloce, non con quello più sicuro.

”Eliminati dopo un’ora” non è una garanzia

La maggior parte degli strumenti PDF online carica il tuo file sul proprio server, esegue lì l’operazione e ti restituisce il risultato. Il piccolo banner che dice “i tuoi file vengono eliminati dopo 1 ora” potrebbe essere del tutto sincero. Il problema è che non puoi verificarlo, e nemmeno il commercialista che lo usa può farlo.

Una volta che una busta paga si trova sul server di qualcun altro, anche solo per un attimo, alcune cose sfuggono al controllo di tutti. Log e backup possono conservare copie oltre la finestra promessa. Il server stesso può subire una violazione. Lo strumento potrebbe girare su un’infrastruttura che non possiede, facendo passare il tuo file attraverso bucket di archiviazione e code di elaborazione di cui nessuno ha parlato. Un documento che non lascia mai un computer portatile non può trapelare in una violazione che avviene da qualche altra parte.

Per una foto delle vacanze, chi se ne importa. Per un file con il tuo stipendio e il tuo codice fiscale sopra, i conti cambiano.

Cosa chiede loro davvero il GDPR

Ecco la parte che i professionisti a volte saltano. Quando un commercialista o un ufficio HR gestisce i tuoi dati, il GDPR non li considera roba personale loro di cui fare ciò che vogliono. Stanno trattando dati personali per conto di altri, e questo comporta dei doveri.

Ci si aspetta che applichino misure tecniche adeguate per mantenere quei dati al sicuro (Articolo 32). Dovrebbero sapere con chi li stanno condividendo, e un sito PDF qualunque che riceve un file caricato è una terza parte in quella catena. Se trasmettono i tuoi dati a un responsabile del trattamento, dovrebbe esserci un contratto a regolarlo. E se quel sito web subisce una violazione, sono le persone le cui buste paga sono state esposte a pagarne le conseguenze, in stress e in peggio.

Caricare la dichiarazione dei redditi di un cliente su uno strumento gratuito sconosciuto per risparmiare trenta secondi è difficile da conciliare con tutto questo. La maggior parte dei professionisti che lo fanno semplicemente non ha mai pensato a dove finisce il file. Lo strumento sembrava una calcolatrice, non un trasferimento di dati.

La soluzione: tieni il file sul dispositivo

Esiste una categoria di strumenti PDF che funziona in modo diverso. Invece di inviare il tuo file a un server, esegue l’intera operazione dentro il browser. Il codice viene scaricato sul dispositivo una sola volta, il tuo PDF viene aperto e modificato nella memoria del browser stesso, e il file finito viene salvato direttamente sullo stesso computer. Il documento non va da nessuna parte.

È così che funziona reader.me, ed è il motivo per cui è adatto ai documenti delicati. Quando un ufficio paghe usa il nostro strumento per unire PDF per combinare una pila di buste paga, quei file vengono elaborati sul loro computer, nel loro browser. Niente viene caricato da noi, perché non c’è alcun passaggio su server a cui caricare. Chiudi la scheda e la memoria di lavoro sparisce.

E non devi nemmeno crederci sulla parola. Apri i DevTools del browser, vai alla scheda Network, esegui un’unione e osserva: nessuna richiesta porta fuori il tuo file. Se il file non è nel corpo di nessuna richiesta, non è stato inviato da nessuna parte.

Cosa fare concretamente

Se sei il professionista, cambia una sola abitudine. Prima di inserire la busta paga o il contratto di un cliente in uno strumento web, chiediti se elabora nel browser o su un server. Se non riesci a capirlo, esegui una volta il test con i DevTools e scoprilo. Scegli uno strumento client-side e rendilo la tua opzione predefinita. È anche più veloce, perché non c’è il viaggio di andata e ritorno di caricamento e download, e continua a funzionare anche quando il Wi-Fi dell’ufficio cade.

Se sei il cliente, hai tutto il diritto di chiedere. La prossima volta che il tuo commercialista o l’ufficio HR gestisce i tuoi documenti, chiedi loro come elaborano i tuoi PDF e se i file lasciano il loro computer. Una buona risposta è “resta tutto sulla nostra macchina”. Un’alzata di spalle è un segnale che vale la pena approfondire. Sono il tuo stipendio e il tuo codice fiscale su quelle pagine, e chiedere dove vanno a finire è una cosa del tutto ragionevole da fare.

Il lavoro in sé è banale. Unire qualche file richiede pochi secondi. L’unica domanda è se quei secondi avvengono sul tuo dispositivo o sul server di uno sconosciuto e, per una busta paga, è una domanda a cui vale la pena dare la risposta giusta.