Kế toán của bạn có tải phiếu lương lên những trang PDF lạ không?

Hãy nghĩ xem ai đã chạm vào phiếu lương của bạn trong năm nay. Bạn, người sử dụng lao động của bạn, và gần như chắc chắn là một kế toán hoặc một phòng tính lương. Giờ hãy nghĩ đến khoảnh khắc khi PDF đó cần được gộp với phiếu của tháng trước, hoặc tách thành các trang riêng để nộp cho ngân hàng. Việc đó đã diễn ra ở đâu?

Với rất nhiều người làm chuyên môn, câu trả lời là một trang web miễn phí mà họ tìm thấy ở trang đầu của kết quả tìm kiếm. Họ kéo phiếu lương của bạn vào, bấm một nút, tải kết quả về, rồi làm việc khác. Nó hoạt động. Nhưng điều đó cũng có nghĩa là mức lương, thông tin ngân hàng và số căn cước của bạn vừa đi tới một máy chủ mà bạn chưa từng nghe tên.

Đó mới là phần đáng để nói tới.

Những tài liệu đi qua tay người khác

Bạn hiếm khi tự xử lý các PDF nhạy cảm của chính mình. Chúng đi qua các bên trung gian.

Phòng tính lương và kế toán nhìn thấy phiếu lương, hợp đồng, tờ khai thuế và giấy xác nhận ngân hàng. Phòng nhân sự xử lý bản scan giấy tờ tùy thân, số bảo hiểm xã hội, giấy nghỉ ốm, và đôi khi cả giấy chứng nhận y tế. Các văn phòng luật xử lý đủ thứ, từ hồ sơ ly hôn đến giấy tờ thừa kế. Bàn hành chính của một phòng khám gộp giấy giới thiệu và kết quả xét nghiệm vào một tệp để gửi cho công ty bảo hiểm.

Mỗi người trong số họ, tại một thời điểm nào đó, đều cần làm một việc tẻ nhạt với một PDF. Gộp bốn tệp thành một. Lấy trang 3 đến 7 ra khỏi bản scan 40 trang. Nén một tệp cho vừa email. Chẳng có gì hào nhoáng trong những việc đó, và đó chính là lý do chúng được làm bằng bất cứ công cụ nào nhanh nhất, chứ không phải công cụ nào an toàn nhất.

”Xóa sau một giờ” không phải là một bảo đảm

Phần lớn các công cụ PDF trực tuyến tải tệp của bạn lên máy chủ của họ, chạy thao tác ở đó, rồi gửi kết quả về cho bạn. Cái dòng chữ nhỏ ghi “tệp của bạn sẽ bị xóa sau 1 giờ” có thể hoàn toàn thành thật. Vấn đề là bạn không thể kiểm chứng được điều đó, và kế toán đang dùng nó cũng vậy.

Một khi phiếu lương đã nằm trên máy chủ của người khác, dù chỉ trong chốc lát, có vài thứ vượt ngoài tầm kiểm soát của tất cả mọi người. Nhật ký (log) và bản sao lưu có thể giữ lại bản sao quá thời hạn đã hứa. Bản thân máy chủ có thể bị xâm nhập. Công cụ đó có thể chạy trên hạ tầng mà nó không sở hữu, đẩy tệp của bạn qua các kho lưu trữ và hàng đợi xử lý mà chẳng ai nhắc tới. Một tài liệu không bao giờ rời khỏi máy tính xách tay thì không thể bị rò rỉ trong một vụ xâm nhập xảy ra ở nơi khác.

Với một tấm ảnh đi nghỉ thì ai mà quan tâm. Nhưng với một tệp có mức lương và số căn cước của bạn trên đó, bài toán lại khác.

GDPR thật ra yêu cầu gì ở họ

Đây là phần mà người làm chuyên môn đôi khi bỏ qua. Khi một kế toán hay phòng nhân sự xử lý dữ liệu của bạn, GDPR không xem đó là tài sản cá nhân của họ để muốn làm gì thì làm. Họ đang xử lý dữ liệu cá nhân thay mặt cho người khác, và điều đó đi kèm trách nhiệm.

Họ được kỳ vọng phải áp dụng các biện pháp kỹ thuật phù hợp để giữ dữ liệu đó an toàn (Điều 32). Họ được cho là phải biết mình đang chia sẻ dữ liệu với ai, và một trang web PDF bất kỳ tiếp nhận tệp được tải lên chính là một bên thứ ba trong chuỗi đó. Nếu họ chuyển dữ liệu của bạn cho một bên xử lý, lẽ ra phải có một hợp đồng điều chỉnh việc đó. Và nếu trang web đó bị rò rỉ, chính những người có phiếu lương bị lộ là người gánh chịu hậu quả, bằng sự căng thẳng và những thứ còn tệ hơn.

Tải tờ khai thuế của một khách hàng lên một công cụ miễn phí lạ hoắc để tiết kiệm ba mươi giây thật khó mà dung hòa được với bất kỳ điều nào ở trên. Phần lớn những người làm chuyên môn vẫn làm thế đơn giản vì chưa bao giờ nghĩ tới chuyện tệp tin đi về đâu. Công cụ đó cứ ngỡ như một cái máy tính bỏ túi, chứ không phải một cuộc chuyển giao dữ liệu.

Cách khắc phục: giữ tệp ở lại trên thiết bị

Có một loại công cụ PDF hoạt động theo cách khác. Thay vì gửi tệp của bạn tới một máy chủ, nó chạy toàn bộ thao tác ngay bên trong trình duyệt. Mã được tải về thiết bị một lần, PDF của bạn được mở và chỉnh sửa trong chính bộ nhớ của trình duyệt, và tệp đã hoàn thành được lưu thẳng trở lại đúng máy đó. Tài liệu chẳng đi đâu cả.

reader.me hoạt động đúng như vậy, và đó là lý do nó phù hợp với các tài liệu nhạy cảm. Khi một phòng tính lương dùng công cụ gộp PDF của chúng tôi để gộp một xấp phiếu lương, những tệp đó được xử lý trên máy tính của họ, trong trình duyệt của họ. Không có gì được tải lên cho chúng tôi cả, vì không hề có bước máy chủ nào để tải lên. Đóng tab lại và bộ nhớ làm việc biến mất.

Bạn cũng không cần phải tin lời suông. Hãy mở DevTools của trình duyệt, vào tab Network, chạy một thao tác gộp, và quan sát: không có request nào mang tệp của bạn đi ra ngoài. Nếu tệp không nằm trong nội dung của bất kỳ request nào, thì nó đã không được gửi đi đâu cả.

Nên làm gì trong thực tế

Nếu bạn là người làm chuyên môn, hãy thay đổi một thói quen. Trước khi đưa phiếu lương hay hợp đồng của khách hàng vào một công cụ web, hãy tự hỏi liệu nó xử lý trong trình duyệt hay trên máy chủ. Nếu không phân biệt được, hãy chạy thử bài kiểm tra DevTools một lần để biết. Hãy chọn một công cụ chạy phía client và đặt nó làm mặc định. Dù sao thì nó cũng nhanh hơn, vì không có vòng tải lên rồi tải xuống, và nó vẫn chạy được khi Wi-Fi của văn phòng rớt mạng.

Nếu bạn là khách hàng, bạn hoàn toàn có quyền hỏi. Lần tới khi dịch vụ kế toán hay phòng nhân sự xử lý tài liệu của bạn, hãy hỏi họ xử lý PDF của bạn ra sao và liệu các tệp có rời khỏi máy tính của họ không. Một câu trả lời tốt là “mọi thứ đều ở lại trên máy của chúng tôi.” Một cái nhún vai là dấu hiệu đáng để truy hỏi thêm. Đó là mức lương và căn cước của bạn trên những trang giấy ấy, và hỏi xem chúng đi về đâu là việc hoàn toàn hợp lý.

Bản thân công việc thì rất bình thường. Gộp vài tệp chỉ mất vài giây. Câu hỏi duy nhất là những giây ấy diễn ra trên thiết bị của bạn hay trên máy chủ của một người lạ, và với một phiếu lương, đó là câu hỏi đáng để trả lời cho đúng.