文件不会离开这个标签页
不上传文件，直接编辑 PDF
规定写得很清楚：这份文档不能放到任何网站上。于是搜索结果里那些要你把文件交出去的工具全都用不上，因为收走文件正是它们的工作方式。这个编辑器打开 PDF 的方式和桌面软件一样，就在这个标签页里、在你的电脑上，而且你可以亲眼确认文件没有离开。
- 浏览器从你自己的硬盘读取 PDF，并把它留在这个标签页里。不用去找什么“不上传”的选项，因为本来就不会上传任何内容。
- 添加文件之前，先打开“网络”（Network）面板：里面的每一个请求都是页面在加载自己，没有一个带着你的文档。
- 编辑免费。下载需要免费账户和付费套餐，首周 £0.99。
将 PDF 拖到这里
保护隐私：文件只在你的浏览器中处理
你的文件适用吗？
| 你的文件 | 这里能处理吗？ | 具体情况 |
|---|---|---|
| 规定不能用邮件发送、也不能上传的客户文件 | 可以 | 在这里打开它，只是读取本地的文件，和你双击文件时发生的事一样。标签页一关，它就不在了。 |
| 受管控、什么都不能安装的电脑 | 可以 | 不用安装任何东西，也不用到处找管理员密码。如果真正卡住你的是不能安装，而不是不能发送文件，那个问题有专门的页面。 不用 Acrobat 编辑 PDF |
| 从案件管理系统导出、有密码保护的文件 | 多一步即可 | 编辑器无法打开加密的文件，它会直接告诉你，而不是乱猜。请先解除密码。 PDF 解密 |
| 好几百页的整套扫描件 | 多一步即可 | 整个文件都放在你电脑的内存里，所以太大的扫描件可能把这个标签页的内存用光。请先把需要的部分提取出来。 PDF 拆分 |
| 带有基于数字证书的数字签名的 PDF | 这里不行 | 任何修改都会让这个签名失效，没有哪个编辑器能避免。只有签署人能重新出一份。在一份新的副本上加手写签名，则是另一回事。 PDF 签名 |
哪些人会找到这个页面
正在整理员工申诉材料的人事专员
在申诉处理小组看到之前，有两个名字必须去掉，而这份材料不能放到任何网站上。
正在准备个案材料的社工
第 6 页上写着安置地址，而会议两点就开。
手上有在办案件的律师助理
客户的材料只能留在律所的内网里，而大家叫得出名字的编辑器，全都是在线的。
用受管控电脑办公的财务人员
不能安装软件，不能用私人邮箱，而手上这张供应商表单有四个数字是错的。
用图书馆电脑的学生
没有管理员权限，预约的上机时间只剩一个小时，而表单得在时间到之前交上去。
操作步骤
- 1
先让“网络”（Network）面板开始记录，再添加文件
按 F12（Mac 上是 Cmd+Option+I），打开“网络”（Network）面板，把记录清空。接着把 PDF 拖到编辑器里。这时出现的是：从 peadf.com 加载的我们的脚本和 worker 文件、从 googletagmanager.com 加载的 Google Analytics，以及一条匿名的使用事件，里面带着四舍五入到 0.1 MB 的文件大小。没有任何一个请求把你的文档带出去。
- 2
用“选择”工具修改，有名字必须去掉时，改用“涂黑”工具
一开始选中的就是“选择”工具，点击任意一行，重新输入即可。“添加文字”可以在空白处加一行字，“打勾”可以在印好的方框里打勾，“矩形”可以遮盖一整块内容，“涂黑”则是把下面的内容彻底移除，而不只是遮盖。
- 3
断开网络，继续编辑
文件打开、页面也显示出来之后，把 Wi-Fi 关掉。输入、重新绘制和搜索都照常进行，因为它们都在你的电脑上运行。唯一不行的，是第一次对扫描件运行 OCR（文字识别）：它得先下载识别引擎，才能读取任何内容。
可以修改哪些内容
- 把个案记录里出现了 14 处的同一个姓名全部涂黑
- 从全部 22 页的页脚里删掉证人的电话号码
- 把每一页页眉里的案件编号从 CS-2291 改成 CS-2319
- 把申诉材料第 1 页上的转介日期从 3 月 3 日改成 3 月 13 日
- 在没有可填写字段的同意书上，填好 6 条空白的横线
- 用白色色块遮盖一张贴进文档里的内部邮件截图
- 在申报表上勾选 9 个声明事项的方框，不用把文件转给有软件授权的同事
为什么常用的方法会弄坏这个文件
交给在线的转换工具或编辑器处理
文档会传到一家你没有评估过的公司，存放在他们的存储空间里，保留多久，由一份你无从审计的留存政策决定。你们的规定要防止的，正是这样的传输。
发到自己的邮箱，回家再改
这下两个邮箱、一个下载文件夹和一台私人设备里都有了副本，而原来管着原件的那套管控，一个也管不到。
打印出来用笔改，再用办公室的一体机扫描回去
一体机会先把整份文档的扫描图片存进自己的硬盘，再作为邮件附件发回来。可以选中的文字也没了。
提交申请，让公司安装桌面版的 PDF 编辑器
这是正确的做法，只是要等六周，还得买一份授权。对今天下午就要发出去的那份材料，一点帮助也没有。
这里做不到的事
- 这仍然是一个网站，所以你的浏览器要从我们的服务器下载代码。如果所在的网络会拦截不认识的脚本或 WebAssembly，编辑器可能根本无法启动。
- 下载修改好的文件需要免费账户（用发到邮箱的验证码确认）、一张银行卡和付费套餐，首周 £0.99，之后每年 £11.99 起。这件事请在开始之前先确认好。
- 我们说得准的，只有这个标签页里发生的事。如果浏览器会同步你的下载文件夹，或者有监控程序盯着这个文件夹，那就是你和 IT 部门之间的事了。
- 涂黑会把处理到的那一页重新生成为一张图片，所以那一页的文字无法再选中，也无法搜索。
- 对扫描件运行 OCR 时，会从公共的代码 CDN 下载识别引擎和语言数据，只需下载一次。你的页面不会发送到任何地方，识别也是在这里进行的；不过这次下载会出现在网络记录里，离线时也无法进行。
大家常问的问题
怎么向 IT 部门证明文件没有上传？
做两项检查，两项都不需要任何人相信我们的说法。打开开发者工具，切换到“网络”（Network）面板，把记录清空，再把 PDF 拖到编辑器里。浏览器只是把文件的数据交给这个标签页，你看到的是我们的代码在加载，外加一条匿名的使用记录，没有任何一项带着文档。接着把 Wi-Fi 关掉，继续输入。文字照样重新绘制，搜索也照样能用。这两项都请当着 IT 同事的面做。
在这里编辑 PDF 时，有哪些东西会离开我的电脑？
一共四项，你的文档不在其中。第一，页面和代码是从我们的服务器下载的，任何网站都是如此。第二，Google Analytics 会加载，并收到匿名的统计数据：打开了一个文件、文件的大小（四舍五入到 0.1 MB）、做了一处修改、开始了一次导出。没有文件名，没有页面上的文字，也没有任何内容。第三，如果对扫描件运行 OCR，识别引擎和语言数据会从公共的代码 CDN 下载一次，识别则在你的电脑上进行。第四，你点击“导出 PDF”时，我们会向自己的服务器询问你的账户能不能下载。这次询问带的是你的账户信息，不是文件。
供应商评估或 DPIA（个人信息保护影响评估）的初筛该怎么填？
用审核人员一看就懂的大白话。文档在哪里处理：在最终用户的设备上、在浏览器里，由我们提供的代码处理。是否传输给供应商：否。是否存储：否。供应商持有哪些个人信息：账户的邮箱地址，以及保存在我们的支付服务商那里的账单信息；两者都来自账户，与文档无关。还涉及哪些第三方：Google Analytics，它会从页面收到匿名的使用统计，以及它自己的跟踪代码设置的标识符，但不会收到文档。我们无法提供法律意见，所以请附上我们的隐私政策和服务条款，交由审核人员判断。
需要为这些文档签一份数据处理协议吗？
和我们之间不需要。这类协议是委托对方代你处理数据，而我们从头到尾都没有收到文档，所以没有任何事可以委托给我们。账户关系则是另一回事，而且确实存在：一个邮箱地址、一项订阅、一笔付款，全都适用我们的隐私政策和服务条款。除此之外还要不要留存其他书面文件，由你们的个人信息保护负责人决定。
完全没有网络也能用吗？
不行。页面和代码得先下载，才有东西可以运行，所以在没有联网的电脑上从头开始是行不通的。可行的顺序是反过来：先加载页面，打开文件，再断开网络；只要标签页还开着，就能一直编辑。唯一的例外是第一次运行 OCR，它需要先下载引擎。导出时必须重新联网，因为账户的检查要连到我们的服务器。如果你需要的是一台真正物理隔离的电脑，老实说，该用的是安装在电脑上的软件。
可以出具书面证明，确认你们已经删除我的文件吗？
不行，因为我们这边没有任何东西可以删除，我们也不会出具一份暗示曾经有过的证明。你的文档是由你的浏览器读取的，放在一个标签页的内存里，标签页关闭时就丢弃了。我们从来没有过副本，自然无从销毁；这样一份证明所描述的，会是一件没有发生过的事。能回答审核人员的，是前面那句话：没有传输，所以没有留存。
在这里打开文件，先验证我们的说法，再决定要不要相信：一边是开发者工具，一边是你的文档。如果你操作的时候什么都没有传出去，答案就有了，那份材料今天下午也发得出去。
打开 PDF