Smallpdf è sicuro nel 2026? Una revisione dettagliata della privacy

Risposta breve: Smallpdf è un'azienda svizzera legittima che dichiara di essere certificata ISO/IEC 27001 e conforme al GDPR, cifra i trasferimenti di file con TLS ed elimina i file automaticamente. Per i PDF di tutti i giorni che non contengono nulla di riservato è ragionevolmente sicuro. Per documenti riservati come contratti, cartelle cliniche, bilanci o qualsiasi cosa coperta dal segreto professionale, è il modello stesso a diventare il rischio: ogni file che elabori viene caricato su un server remoto, resta lì durante l'elaborazione e viene eliminato solo dopo. Uno strumento basato su browser che non carica mai il file elimina del tutto questa esposizione.

Questo articolo spiega nel dettaglio come Smallpdf tratta i tuoi dati nel 2026, cosa dicono davvero le sue politiche, per quali categorie di documenti il modello cloud non è adatto e quale architettura alternativa elimina il passaggio del caricamento.

Cosa fa davvero Smallpdf con il tuo file

Quando trascini un PDF su Smallpdf, il file segue un percorso preciso:

Il browser carica il file sui server di Smallpdf tramite TLS. La sua informativa sulla privacy indica i server Hetzner nell'Unione europea come luogo in cui vengono elaborati i file caricati.
Il file viene elaborato su quei server dai suoi strumenti.
Il file elaborato torna al browser per il download.
L'originale viene eliminato automaticamente dai suoi server dopo un certo periodo di conservazione.

Il periodo di conservazione dipende dallo strumento e dall'account. Il centro assistenza di Smallpdf afferma che, per la maggior parte degli strumenti, i file vengono rimossi dai suoi server un'ora dopo l'elaborazione. L'informativa sulla privacy è più precisa: con un account, i file vengono eliminati entro un'ora, a meno che tu non li salvi nello spazio di archiviazione, e i file salvati che poi elimini vengono generalmente rimossi entro 14 giorni. Senza account, l'informativa dice soltanto che Smallpdf punta a eliminare i file entro un periodo ragionevole dall'ultima volta in cui sono stati aperti, e che riaprire un file prolunga quel periodo, mentre il suo accordo sul trattamento dei dati fissa l'eliminazione a un'ora o a due settimane, a seconda che si usi o meno un account. Le pagine di Smallpdf, quindi, non danno una risposta univoca. I file salvati nello spazio di archiviazione di un account, gratuito o a pagamento, restano lì finché non li elimini.

Non è un caso isolato. Quasi tutti i principali servizi PDF online (iLovePDF, PDF24, Sejda, Adobe Acrobat Online) funzionano allo stesso modo. Per essere elaborato da un server, il file deve trovarsi su quel server. La domanda non è se Smallpdf lo faccia in modo responsabile (lo fa), ma se il modello cloud in sé sia adatto al documento che stai elaborando.

Sicurezza e conformità di Smallpdf

Quello che Smallpdf pubblica su sicurezza e conformità nel 2026 è solido per gli standard SaaS. Queste sono dichiarazioni di Smallpdf stessa:

Azienda con sede in Svizzera: Smallpdf AG, registrata a Zurigo, soggetta alla Legge federale svizzera sulla protezione dei dati
Server nell'UE per i file caricati, così l'elaborazione resta all'interno della giurisdizione del GDPR
Certificazione ISO/IEC 27001, con audit annuali, secondo Smallpdf. Il suo sito non indica l'ente certificatore né la data del certificato
Conformità a GDPR, CCPA e nFADP, per sua stessa dichiarazione, con un accordo sul trattamento dei dati pubblicato
Crittografia TLS per i file in transito
Crittografia a riposo: il sito di Smallpdf non ne parla. Il DPA dice soltanto che i dati sono cifrati in transito
Eliminazione automatica dopo un'ora, indicata nelle pagine degli strumenti

Quando abbiamo verificato a settembre 2026 non abbiamo trovato alcuna comunicazione di violazione sul sito di Smallpdf. L'azienda dichiara cosa conserva e per quanto tempo. L'elenco completo dei suoi sub-responsabili del trattamento è disponibile solo su richiesta. Se stai valutando Smallpdf come fornitore con una checklist di approvvigionamento, soddisfa i requisiti a cui tiene la maggior parte degli acquirenti aziendali.

Dove il modello cloud diventa il vero rischio

La solidità della sicurezza di Smallpdf non cambia il dato strutturale: il contenuto del tuo documento lascia il tuo dispositivo. Per alcune categorie di documenti è proprio questo il rischio, per quanto ben protetto sia il server che lo riceve.

Documenti legali

Contratti, NDA, bozze di operazioni M&A, materiale di discovery processuale. Molte lettere d'incarico degli studi legali e molti accordi di riservatezza aziendali vietano espressamente di trasmettere documenti dei clienti a responsabili del trattamento esterni senza un consenso scritto preventivo o un accordo sul trattamento dei dati firmato. Trascinare con leggerezza la bozza di contratto di un cliente in uno strumento web pubblico può costituire una violazione contrattuale prima ancora che si concretizzi qualsiasi rischio tecnico.

Documentazione medica

Cartelle cliniche, referti di laboratorio, moduli assicurativi. Negli Stati Uniti l'HIPAA richiede un Business Associate Agreement con qualsiasi fornitore che tratti informazioni sanitarie protette (PHI). La pagina dello strumento di oscuramento di Smallpdf cita l'HIPAA tra le normative che l'oscuramento può aiutarti a rispettare, ma Smallpdf non dichiara di essere a sua volta conforme all'HIPAA, e quando abbiamo verificato a settembre 2026 non abbiamo trovato alcun BAA sul suo sito. Nell'UE i dati sanitari, che rientrano nelle categorie particolari dell'articolo 9 del GDPR, sono soggetti a requisiti di trattamento più severi, che un caricamento informale su uno strumento SaaS gratuito non soddisfa.

Documenti finanziari e fiscali

Dichiarazioni dei redditi, estratti conto, file delle buste paga, rendiconti di investimento. Al di là degli aspetti di conformità, questi documenti contengono numeri di conto, codici fiscali e dati identificativi che, se intercettati, hanno un valore diretto per chi commette frodi, anche con una crittografia robusta in transito.

Codice sorgente, report interni, documenti con proprietà intellettuale

Specifiche di prodotti non ancora lanciati, materiale di operazioni M&A, stampe di codice sorgente, verbali del consiglio di amministrazione. Qui il rischio è meno normativo e più competitivo: ogni volta che materiale aziendale riservato si trova su un server di terze parti, quella copia è a una violazione, a un'ingiunzione giudiziaria o a un errore di configurazione dall'essere esposta.

Per questi tipi di documenti la domanda non è "Smallpdf è sicuro?", ma "Questo documento dovrebbe trovarsi su un server di terze parti, uno qualsiasi?". Per la maggior parte dei professionisti che trattano materiale sensibile la risposta è no, anche quando la terza parte è affidabile.

I limiti del piano gratuito da conoscere

A prescindere dalla questione privacy, nel 2026 il piano gratuito di Smallpdf ha limiti in cui ti imbatterai presto:

Limite giornaliero: il centro assistenza afferma che gli utenti gratuiti possono fare fino a 2 conversioni al giorno, e la pagina dei prezzi indica un limite giornaliero di download sulla maggior parte degli strumenti
Account necessario per alcune funzioni, come la condivisione di un file. Diversi strumenti, tra cui Firma e Sblocca, dichiarano di non richiedere un account
Filigrana su alcuni download gratuiti: la finestra di download di Smallpdf offre gratis un file con filigrana e uno senza con Pro
Le richieste di firma passano da Sign.com, dove un account gratuito è limitato a 2 documenti al mese
Per lavorare offline serve l'app desktop: gli strumenti web richiedono una connessione, perché l'elaborazione avviene sui server di Smallpdf. L'app desktop offline si scarica gratis con pochi strumenti (compressione di base, il lettore, Split), mentre l'intera gamma è inclusa in Pro

Per chi lo usa di tanto in tanto il piano gratuito può bastare. Per chi elabora PDF nel lavoro di tutti i giorni, il limite giornaliero in genere spinge verso l'abbonamento Pro, con fatturazione mensile o annuale.

Come gli strumenti PDF basati su browser cambiano il modello

Esiste un'architettura radicalmente diversa, maturata molto dal 2023 a oggi: l'elaborazione dei PDF interamente nel browser grazie a WebAssembly. Nessun caricamento, nessuna elaborazione lato server, nessuna finestra di conservazione di cui preoccuparsi, perché il documento non lascia mai il tuo dispositivo.

È l'architettura che usa HonestPDF. Quando unisci, oscuri, firmi, comprimi o converti un PDF, tutta l'elaborazione avviene nel browser, con le stesse risorse di calcolo che mostrano la pagina che stai leggendo. Non esiste alcun endpoint di caricamento per i file degli strumenti. Puoi verificarlo tu stesso: apri lo strumento, disconnettiti da internet e lo strumento continua a funzionare. Prova a fare lo stesso con qualsiasi servizio PDF in cloud e si ferma subito.

I compromessi ci sono, ed è giusto dirlo. Gli strumenti basati su browser richiedono che il dispositivo abbia memoria sufficiente per i file molto grandi (un PDF scansionato di 500 pagine pesa di più su un telefono che su una workstation). Per operazioni molto specialistiche, come l'OCR su larga scala di scansioni di scarsa qualità, i software desktop dedicati restano più precisi. Ma per il lavoro quotidiano in cui conta la privacy (oscuramento, unione, firma, compressione, conversione, OCR semplice), il modello basato su browser elimina l'intera categoria di rischio creata dal modello cloud.

A confronto: quando ha senso ciascun approccio

Smallpdf è una scelta ragionevole quando:

Elabori documenti non riservati (PDF pubblici, materiale di marketing, report generici)
Ti serve una funzione che solo le piattaforme SaaS più mature offrono (richieste di firma a più firmatari, con cronologia delle attività e certificato di completamento)
Lavori in un'organizzazione che ha firmato un DPA che copre Smallpdf
Apprezzi la resa uniforme del cloud su tutti i dispositivi

Uno strumento basato su browser come HonestPDF è la scelta più sicura quando:

Il documento è riservato, coperto da segreto professionale o soggetto a normative
Elabori dati dei clienti e non hai firmato un DPA con il fornitore cloud
Vuoi evitare i limiti giornalieri di attività e le filigrane dei piani gratuiti
Devi lavorare offline o in reti con accesso limitato
Semplicemente preferisci che i documenti che elabori non lascino mai il tuo dispositivo

Nessuno dei due approcci è giusto in assoluto. La risposta dipende dal documento e dal contesto specifici.

Un flusso di lavoro consigliato

Per la maggior parte dei professionisti, il flusso di lavoro più pulito nel 2026 è questo: usa di default uno strumento basato su browser per qualsiasi documento che contenga dati dei clienti, informazioni finanziarie, informazioni sanitarie o qualunque cosa coperta da un NDA. Riserva i servizi PDF in cloud ai documenti davvero pubblici, per i quali la comodità vale il compromesso. In questo modo eviti di dover decidere ogni volta se un documento è "abbastanza sensibile da preoccuparsene" e lo sostituisci con un'abitudine sicura per impostazione predefinita.

Se vuoi provare l'approccio basato su browser senza cambiare abitudini, prendi il prossimo PDF riservato che avresti caricato ed elaboralo invece in locale. Il risultato è identico. L'esposizione no.

Domande frequenti

Smallpdf ha subito attacchi informatici?

Quando abbiamo verificato a settembre 2026 non abbiamo trovato alcuna comunicazione di violazione sul sito di Smallpdf, e non siamo a conoscenza di violazioni dei file degli utenti rese pubbliche. Smallpdf dichiara di essere certificata ISO/IEC 27001 e sottoposta ad audit annuali. Il problema strutturale di Smallpdf non sono le violazioni passate, ma l'architettura stessa: ogni file elaborato si trova sui suoi server durante l'elaborazione, una forma di esposizione che gli strumenti basati su browser eliminano del tutto.

Smallpdf è conforme al GDPR?

Smallpdf dichiara di esserlo. Pubblica un accordo sul trattamento dei dati, elabora i file caricati su server nell'Unione europea ed è soggetta sia alla Legge federale svizzera sulla protezione dei dati sia al GDPR. Se la tua organizzazione è soggetta al GDPR, usare Smallpdf in genere richiede comunque di aggiornare la tua informativa sulla privacy per indicare Smallpdf come responsabile del trattamento esterno. Uno strumento basato su browser che non carica file elimina del tutto quest'obbligo di comunicazione.

Smallpdf è sicuro per documenti legali o medici?

Smallpdf documenta una buona sicurezza di base, ma per i documenti legali e medici la questione rilevante è contrattuale e normativa più che tecnica. Molte lettere d'incarico degli studi legali e molti Business Associate Agreement previsti dall'HIPAA limitano la trasmissione di documenti di clienti o pazienti a strumenti SaaS di terze parti senza un accordo scritto preventivo. Per queste categorie di documenti, uno strumento PDF basato su browser che non trasmette mai il file è la soluzione più pulita dal punto di vista della conformità.

Per quanto tempo Smallpdf conserva i miei file?

Il centro assistenza di Smallpdf indica un'ora dopo l'elaborazione per la maggior parte degli strumenti. L'informativa sulla privacy aggiunge i dettagli: con un account, i file vengono eliminati entro un'ora, a meno che tu non li salvi nello spazio di archiviazione, e un file salvato che poi elimini viene generalmente rimosso entro 14 giorni. Senza account, l'informativa si impegna soltanto a un periodo ragionevole dall'ultima apertura del file, mentre l'accordo sul trattamento dei dati parla di un'ora o di due settimane, a seconda che si usi o meno un account: i due testi non coincidono. I file salvati nello spazio di archiviazione dell'account, gratuito o a pagamento, restano finché non li elimini. Con uno strumento basato su browser la questione della conservazione non si pone, perché nessun file viene mai salvato su un server.

Posso usare Smallpdf offline?

Non nel browser. Gli strumenti web di Smallpdf richiedono una connessione a internet, perché l'elaborazione avviene sui suoi server. Per lavorare offline serve la Smallpdf Desktop App, che si scarica gratis con alcuni strumenti di base; l'intera gamma di strumenti richiede il piano Pro a pagamento. Se devi lavorare con i PDF in ambienti con accesso a internet limitato o assente, ti serve un software desktop oppure uno strumento basato su browser che si carica una volta e poi funziona in locale.

Pronto a cambiare?

Se sei arrivato fin qui e hai deciso che preferisci che i tuoi file non lascino il dispositivo, la domanda successiva di solito è come si confrontano gli strumenti fianco a fianco. Abbiamo preparato un confronto dettagliato, funzione per funzione, che copre i prezzi, i limiti di utilizzo, le filigrane e i punti di forza di ciascuno strumento: HonestPDF vs Smallpdf.

In conclusione

Smallpdf è un servizio PDF in cloud ben gestito e attento alla sicurezza, che documenta la propria conformità. Per i documenti non sensibili va bene. Per quelli sensibili il problema non è Smallpdf in particolare, ma il modello cloud in sé. Gli strumenti basati su browser che elaborano i file in locale eliminano alla radice il passaggio del caricamento, che è ciò che crea il rischio.

Se tratti regolarmente PDF riservati, la scelta pratica è usare di default uno strumento che non vede mai i tuoi file e riservare i servizi cloud ai documenti per cui davvero non ti importa chi altro possa vederli.

Prova gli strumenti PDF di HonestPDF pensati per la privacy: ogni strumento funziona interamente nel tuo browser, senza caricamenti, senza account e senza limiti giornalieri.

Altre analisi sulla privacy

Se stai valutando diversi software PDF e le loro politiche sulla privacy, potrebbero esserti utili anche le altre nostre analisi sulla sicurezza: