No se sube nada. Así se comprueba.

Tres comprobaciones, en treinta segundos

Corte la conexión de red. Cargue una herramienta y apague el wifi o desenchufe el cable. Suelte un documento, únalo, gírelo, numérelo, guárdelo, cambie de herramienta. Todo sigue funcionando, porque todo ocurría ya en su máquina — incluso si corta antes de haber soltado nada.

Mire la pestaña «Red». Abra las herramientas de desarrollo de su navegador (F12), pestaña Red, y suelte un archivo de cien páginas, reordénelo, póngale una marca de agua. No sale nada: ni petición, ni envío en segundo plano, ni telemetría. Guarde, y verá aparecer exactamente una, /compte?p=100&f=pdf: el contador de la portada, que recibe un número y la familia de herramientas de la que viene. Pesa una línea, y es la única de todo el sitio. Si prefiere no abrir las herramientas de desarrollo, cada página de herramienta lleva abajo del todo un atajo a la misma lista — «Lo que esta pestaña ha pedido a la red» — que se actualiza mientras usted trabaja. Ese atajo lo escribe la página, o sea nosotros; la que vale es la tabla de su navegador, y allí también lo decimos.

Lea la política de seguridad de contenido. Está en el código fuente de cada página, y su navegador la impone. connect-src 'self' significa que la página no puede abrir una conexión con ningún otro dominio: ni con un proveedor de tipografías, ni con un CDN, ni con una etiqueta de medición. No es una política, es una regla que aplica el navegador.

Desenchufado, el sitio sigue funcionando — y esto es lo que ha costado

La primera comprobación de arriba tenía un punto ciego, y conviene decirlo antes que nada: una página de herramienta se abre sin su maquinaria. Las dos bibliotecas que hacen el trabajo pesan tres cuartas partes del sitio y no sirven de nada mientras no se suelte un archivo, así que solo se iban a buscar con el primero. Quien cortaba la red antes de soltar un archivo se encontraba una herramienta muerta, y podía creer con razón que nos había pillado.

Ahora un service worker aparta esa maquinaria en cuanto se abre la página, junto con las cincuenta páginas de herramientas de su idioma. Puede desenchufar nada más llegar y luego unir, tachar, aligerar y pasar de una herramienta a otra. El sitio cabe en su navegador: esa es la demostración que un servicio que sube archivos no puede copiar, porque necesita su servidor para trabajar.

Queda decir con franqueza qué es esa pieza. Un service worker es un programa que se instala entre la página y la red: exactamente el sitio desde el que se sacarían sus documentos si alguien quisiera hacerlo. Esto es lo que hace el nuestro, y lo que no hace.

• No abre ninguna conexión. Las evita: su trabajo es responder con lo que ya tiene, para no tener que pedir nada. No habla con ningún otro dominio — la política de seguridad de contenido se lo prohibiría de todos modos.
• Ningún documento pasa por él. Sus archivos no tocan nunca la red; van de su disco a la memoria de la pestaña. Lo que guarda son las páginas y el código de este sitio, nada más.
• No toca el contador y, sobre todo, no lo repite. Un service worker sabe retener un envío y rehacerlo cuando vuelve la red. Eso sería guardar en su navegador un rastro fechado de su trabajo, a la espera de mandárnoslo. Sin conexión, el contador no cuenta, y está muy bien así.
• Se vacía por completo con cada versión nueva del sitio, y nunca sirve la página de ayer mientras la red responda: una página caducada son promesas caducadas.
• Se puede leer. Es el archivo /sw.js, en la raíz del dominio: doscientas líneas comentadas que se abren en una pestaña. No hace falta que se crea este párrafo.

La única petición, y lo que lleva

Después de una exportación, y solo entonces, la página envía una petición a este dominio. Lleva dos cosas: un número y la familia de herramientas de la que viene, pdf, image, video o archive. Ningún byte de su documento, ningún nombre de archivo, ningún identificador, ninguna cookie, y tampoco la herramienta concreta: una familia agrupa una docena.

El registro del servidor para ese punto escribe tres cosas: una fecha, una familia y ese número. Dice por tanto que tal día alguien trabajó sobre una imagen y no sobre un PDF, una cosa más que ayer, ligada a nadie: sin dirección, sin sesión, sin encadenamiento. El formato está en el repositorio, y un navegador que pide no ser rastreado no envía absolutamente nada. Podríamos haber contado las visitas como todo el mundo; una etiqueta de medición habría visto la página, la dirección, el aparato y el recorrido, y nada de eso hace falta para mostrar «tantas páginas procesadas».

Qué cambia para el RGPD

Nunca tratamos sus documentos, porque nunca llegan hasta nosotros. No hay encargado del tratamiento que nombrar, ni transferencia fuera de la Unión Europea que declarar, ni plazo de conservación que fijar, ni nada que pedirle a nadie que borre.

Ni cookie, ni rastreador, ni tercero, así que tampoco banner de consentimiento, porque no hay nada que consentir. Lo que un servidor web ve necesariamente cuando usted carga una página (una dirección IP, una fecha, la página pedida) sigue siendo cierto aquí como en todas partes: así funciona la web, y afecta a la página, nunca a sus documentos.

Funciona sin nosotros

Todo el sitio es una carpeta de archivos estáticos. Puede ponerse en una intranet o en cualquier servidor web pequeño y funciona desenchufado: ese paquete es lo que vendemos, para organizaciones que prefieren no depender de ningún sitio web externo.

Que es también la respuesta más sencilla a «¿y si este sitio desaparece?»: nada de lo que ha hecho aquí dependía de que siguiera en pie.