Smallpdf è uno degli strumenti PDF online più usati al mondo: la società dichiara oltre 40 milioni di utenti attivi al mese (Smallpdf). È svizzera, mostra una certificazione di sicurezza e promette di cancellare in fretta i tuoi file. Prima di caricarci un documento, una domanda semplice: cosa accetti, esattamente? Non quello che dice la home page, ma quello che dicono l'informativa sulla privacy, le condizioni d'uso e le pagine sulla sicurezza. Le abbiamo lette il 27 settembre 2026. Tutto ciò che segue rimanda alle loro pagine: verifica tu stesso.
Chi c'è dietro Smallpdf?
Smallpdf AG è una società anonima di diritto svizzero, con sede a Zurigo, fondata nel 2013 (informativa sulla privacy, Smallpdf). Le sue condizioni sono regolate dal diritto svizzero. Nel 2022 ha acquistato PDF Tools AG, società specializzata in tecnologie PDF, per 30 milioni di dollari (PR Newswire), per poi rivenderla nel luglio 2026 all'americana Apryse, restando a sua volta indipendente (Startupticker).
La Svizzera non fa parte dell'Unione europea, ma la Commissione europea riconosce che il suo livello di protezione dei dati è adeguato. Sul piano del diritto applicabile alla società, quindi, è un punto a favore.
Promesse e realtà
| Cosa dichiara Smallpdf | Cosa dicono le sue altre pagine | Fonte |
|---|---|---|
| File «rimossi definitivamente dai nostri server dopo un'ora» | L'informativa sulla privacy concede quel termine di un'ora solo agli utenti con un account. Senza account, Smallpdf dice soltanto di puntare a una cancellazione «entro un periodo di tempo ragionevole» dall'ultima apertura del file. | Blog, Privacy |
| Server «in Irlanda» | L'informativa sulla privacy parla di server gestiti da Hetzner nell'Unione europea e di una possibile archiviazione temporanea presso Cloudflare, «negli Stati Uniti o in Europa», durante l'elaborazione. | Blog, Privacy |
| Certificazione ISO 27001, conformità al GDPR | Indicate nel Trust Center, dove però il certificato vero e proprio non è pubblicato. | Trust Center |
| «Non utilizziamo questi file per addestrare modelli» | Le condizioni specifiche per le funzioni di IA citano OpenAI come fornitore: un nome che non compare nell'informativa sulla privacy vera e propria, la quale rimanda a quelle condizioni. I dati d'uso delle funzioni di IA vengono conservati per 90 giorni. | Privacy, Condizioni IA |
Nessuna di queste differenze è una bugia. Sono pagine scritte in momenti diversi, per pubblici diversi. Ma è proprio questo il problema: chi cerca «Smallpdf è sicuro?» legge il blog, non l'informativa sulla privacy. Ed è quest'ultima a fare fede: il GDPR impone che indichi, tra l'altro, il periodo di conservazione dei dati, le categorie di destinatari e le garanzie che regolano i trasferimenti fuori dall'Unione europea (LegalPlace).
Dove va il tuo file, e chi può richiederlo?
Il file che carichi lascia il tuo computer. Secondo l'informativa di Smallpdf, viene elaborato su server della tedesca Hetzner nell'Unione europea: una scelta piuttosto rassicurante. Ma Hetzner non è l'unico soggetto in gioco.
Lungo il percorso ci sono intermediari americani. L'informativa sulla privacy indica che alcuni dati possono essere archiviati temporaneamente, per la durata dell'elaborazione, su server di Cloudflare, un'azienda di San Francisco. Anche altri fornitori citati sono americani o filiali di gruppi americani: Amazon Web Services, Google, Stripe, PayPal. E il CLOUD Act, una legge americana del 2018, permette alle autorità degli Stati Uniti di esigere da un'azienda americana i dati che detiene, anche su server situati in Europa. Smallpdf regola i suoi trasferimenti con clausole contrattuali standard; queste clausole vincolano Smallpdf e i suoi fornitori, non il governo americano.
Per chi non ha un account, la conservazione è vaga. Paradossalmente, è creando un account che ottieni l'impegno più preciso: cancellazione entro un'ora, a meno che tu non salvi il file. Senza account, «un periodo di tempo ragionevole» non impegna a nulla di misurabile. E i file salvati e poi eliminati vengono cancellati «in genere» entro quattordici giorni.
A oggi non risulta documentata alcuna fuga di dati presso Smallpdf, e la società partecipa a un programma pubblico di segnalazione delle vulnerabilità. Gliene va dato atto.
Cosa raccoglie la pagina ancora prima che tu carichi un file
L'informativa sulla privacy elenca strumenti di analisi (Google Analytics, Hotjar, HubSpot) e di pubblicità (Google Ads, il pixel di Meta, LinkedIn Insight Tag), subordinati al tuo consenso tramite il banner dei cookie. Per essere valido, questo consenso deve nascere da un atto positivo: niente caselle già spuntate, e il semplice fatto di continuare a navigare non basta (LegalPlace).
Le misurazioni indipendenti vanno oltre. WhoTracks.me, l'osservatorio dei tracker di Ghostery, ha rilevato su smallpdf.com 11 tracker presenti su almeno il 5% delle pagine osservate (22 contando anche i più rari), in media 4,4 tracker per pagina. Tra i più frequenti figurano Google Tag, Datadog e Microsoft Advertising, presente sul 63% delle pagine osservate (WhoTracks.me). Microsoft Advertising, Datadog e TrackJS non sono nominati nell'informativa sulla privacy che abbiamo consultato, che menziona solo categorie generali di fornitori (registrazione degli errori, marketing).
Gratis, fino a che punto?
Smallpdf funziona con un modello «freemium»: qualche operazione gratuita, poi un abbonamento. Il sito non indica un limite numerico per il piano gratuito («download di documenti limitati») e mostra i prezzi in modo dinamico; il 27 settembre 2026 la sua pagina dei prezzi, consultata dalla Francia, indicava per il piano Pro 7,50 € al mese con fatturazione annuale (90 € all'anno) e 10 € con fatturazione mensile (Smallpdf). Dopo le prime operazioni, il servizio invita a creare un account, e da quel momento ogni file è associato a un'identità.
Allora, sicuro o no?
Sicuro contro cosa? Contro l'intercettazione durante l'invio: sì, la connessione è cifrata. Contro un'azienda poco seria: sì, Smallpdf è una società affermata, certificata, senza incidenti noti. Contro il fatto che il tuo file resti, per un certo tempo, su server di terzi: no, è il principio stesso del servizio. Contro la richiesta di un'autorità americana rivolta a uno dei suoi fornitori: no, giuridicamente nulla lo impedisce. Contro i tracker pubblicitari sulla pagina: no, a meno che tu non li rifiuti.
La domanda onesta, quindi, non è «Smallpdf è sicuro?», ma: questo documento ha un motivo per lasciare il tuo computer?
Lo stesso lavoro, senza inviare il file
Unire, comprimere, dividere, convertire immagini in PDF, aggiungere una filigrana: un browser moderno sa farlo direttamente sulla tua macchina. È quello che fa PDFKami. Il file viene letto dalla pagina, trasformato in memoria e ti viene restituito come download. Non viene caricato: nessun fornitore esterno, nessun periodo di conservazione, nessun CLOUD Act. Niente account, niente cookie, niente tracker, niente pubblicità. E non devi crederci sulla parola: fai una prima prova, spegni il Wi-Fi, e lo strumento funziona ancora — ecco come verificarlo, da noi come da loro.
Cosa PDFKami non fa: l'OCR, la conversione da PDF a Word, la firma elettronica. Per questi usi serve ancora un server, e ora sai quali pagine leggere prima di scegliere.