金融与咨询机构：含银行数据的 PDF，保持私密

一家金融机构运转在一些文档之上，而这些文档读起来就像某个人整段人生的地图。展示着每一杯咖啡和每一笔工资到账的银行流水。纳税申报表。账户所有权证明。顶上印着 IBAN 的贷款协议。精确到分的投资汇总。如果你从事咨询、财富管理或财务规划，这就是你的原材料，而其中几乎每一份都以 PDF 的形式抵达。

接着是无聊的部分。这份流水需要把最近三个月合并成一个文件。已签字的授权书必须压缩到符合某个门户的上传上限。委托书在银行放款之前需要一个签名。这些都不难。问题在于它们发生在哪里。

这些页面上到底印着什么

当一份金融 PDF 离开你手时，把页面上有什么说具体一点是有帮助的。

一份单独的银行流水通常带有完整的账号或 IBAN、账户持有人的姓名和地址，以及一笔一笔记录着这个人如何生活的交易明细。一份纳税申报表还会加上身份证件号、申报收入、各项扣除，而且往往还有配偶的信息。一份账户证明把一个真实的人和一个真实的余额绑在一起。把其中几样凑到一起，你就有了足够的东西去在某人自己的银行冒充他，或者去拼出一份关于他财务状况、详尽得令人胆寒的画像。

这就是你每次在把一份 PDF 转发出去之前整理它时，所搬动着的那些数据。

那个没人当成上传的上传

大多数在线 PDF 工具在底层的工作方式都一样。你的文件上传到他们的服务器，合并或压缩在那里运行，然后结果传回来。那个承诺「文件在一小时后删除」的页面，也许是当真的。你依然没法核实它，而监管机构不会接受「网站上是这么说的」作为你的尽职调查。

一旦客户的银行流水落在一个第三方的服务器上，哪怕只有一分钟，掌控也就没了。日志和备份可能在承诺的时限之外仍保有副本。服务器可能被攻破。那个工具可能跑在它并不拥有的基础设施上，让文件穿过一些没人告诉过你的存储与处理队列。一份从不离开你机器的流水，没法在别处的某次泄露里冒出来。

对金融机构来说，这不是一种抽象的担忧。你是一家受监管的企业，处理的正是诈骗团伙最想要的那种数据。从一份泄露的流水里抠出的一个账号加一个姓名，就是针对客户银行做社会工程的一个起点。泄露不必发生在你这边，后果也能落到你头上。

规则对你的期待

当一家金融或咨询机构处理客户的文档时，GDPR 把这些数据看作你受托保管的东西，而不是你可以随手丢进任何一个图快的免费网站里去的东西。你是在代表他人处理个人数据，而这带来了义务。

你被期待采取适当的技术措施来保证它的安全（第 32 条）。金融数据分量更重，因为暴露所带来的伤害是直接而即时的。你理应知道这条链路上的每一方，而一个接收上传文件的随便找来的 PDF 网站，就是那条链路上的一个第三方——通常没有合同，也根本不知道你是谁。如果那个网站被攻破，流水被暴露的那位客户就是付出代价的人，而你的机构就是那个得去解释文件为什么会在那里的人。

为了省下三十秒，把客户的纳税申报表上传到一个不明的工具，事后在任何来追问的人面前都很难辩解。大多数这么做的人只是从没想象过那个文件会离开校舍。那个工具感觉就像一个计算器。

把文件留在设备上

有另一种 PDF 工具。它不把你的文件送往服务器，而是在浏览器里完成整个操作。代码一次性下载到你的设备上，PDF 在浏览器自己的内存里被打开、被修改，完成的文件直接存回同一台机器。文档从不移动。

reader.me 就是这样工作的，这也是它适合金融文档的原因。当你压缩一份 PDF，好让一份已签字的授权书低于某门户的体积上限时，文件是在你的电脑上、在你的浏览器里被处理的。没有任何东西被上传给我们，因为根本没有一个可上传到的服务器环节。关掉标签页，工作内存就没了。

你不必凭信任接受这一点。打开浏览器的开发者工具，进到 Network 标签页，运行一次压缩，然后看着。没有任何请求把你的文件带出去。如果那份银行流水不在任何请求体里，它就没被送往任何地方。这是一项你可以做一次、然后拿给你的合规负责人看的检查。

保护与签署，依然在你的机器上

金融工作里有两件活儿不断出现，而它们都能留在本地。

第一件是把文件锁死。在你把流水电邮给客户、或把一份纳税汇总发给第三方之前，你可以给 PDF 加上密码，让只有目标对象才能打开它。加密是在你的浏览器里、在你的设备上施加的。未加保护的原件从不离开你的机器，密码也一样。

第二件是签署。委托书、授权书和各种授权文件都需要一个签名，而通常的本能反应是打印、签字、扫描，再上传到某个签署网站。你可以改为在浏览器里签署 PDF，把你的签名放到页面上，然后把签好的文件存在本地。没有打印机，没有上传，没有第三方握着一份授权资金流动的文档。

让它成为习惯，而非一次性的事

转变很小。在任何客户的金融 PDF 进入一个网页工具之前，先问一句：它是在浏览器里处理，还是在服务器上处理。如果你判断不出来，就跑一次开发者工具的测试把它定下来。挑一个客户端工具，把它定为机构的默认选择，然后把它写进你的流程，好让它在下一位新员工到来后依然存续。

反正它还更快。没有上传再下载的往返，而且在办公室网络掉线时它照样能用。对于一份列着客户 IBAN 和他三个月开销的文档来说，把这件事做对不是额外的工作。这就是工作本身。

想了解为什么上传敏感文件一开始就是个问题的更全面图景，读读我们关于GDPR 与上传 PDF的文章。