gottrix.app bearbetar filer 100% lokalt i din webbläsare: konverteringskoden har ingen åtkomst till någon extern server (tvingas fram av Content-Security-Policy), så en uppladdning är tekniskt omöjlig. Leveransen sker via TLS 1.2/1.3 med HSTS (2 år), en komplett uppsättning säkerhetsheadrar och hosting hos Hetzner i Tyskland. Varje påstående på den här sidan kan du verifiera själv.
Nolluppladdningsarkitektur: säkerhet genom borttagning
Vanliga onlinekonverterare laddar upp din fil till en server, bearbetar den där och skickar tillbaka resultatet - vart och ett av dessa steg är en angreppsyta. gottrix tar bort det kritiska steget helt: motorerna (för bilder, PDF, ljud, video och mer) körs som WebAssembly direkt i din webbläsare. Det som aldrig skickas kan inte fångas upp på vägen, kan inte läcka från någon server och kan inte krävas ut av någon.
Detta tvingas fram genom arkitektur, inte genom policy, med två strikt separerade zoner: koden som rör vid din fils bytes (motorer och webbworkers) är begränsad till sitt eget ursprung av Content-Security-Policy och innehåller noll nätverksanrop - ett automatiskt test verifierar detta vid varje build. Sidnivån, som aldrig ser dina filer, kan bara nå en dokumenterad tillåtelselista för analys.
Motorer och workers: 0 nätverksprimitiv, inga externa ursprung - kontrolleras statiskt vid varje build.
Sidnivå: externa förfrågningar bara till den dokumenterade tillåtelselistan för analys, aldrig filbytes.
Ingen uppladdningsreserv: om den lokala bearbetningen misslyckas får du ett ärligt felmeddelande - aldrig en omväg via en server.
Offlinebevis: efter ditt första besök fortsätter verktygen att fungera i flygplansläge - det starkaste beviset på att inget skickas.
Dataflöde: från din enhet till servern
Varje begäran till gottrix.app går först via Cloudflares Edge-nätverk, som avslutar TLS-anslutningen och snabbar upp leveransen, innan den skickas vidare till origin-servern hos Hetzner i Tyskland. Cloudflare och Hetzner behandlar endast tekniska anslutningsdata som IP-adress, begärd URL och tidsstämpel - aldrig filinnehåll, eftersom det aldrig lämnar din enhet. Det valfria feedbackformuläret lägger till två grenar till (Cloudflare Turnstile för botskydd, Resend för en enda intern avisering); den anonyma användningsstatistiken går, endast med ditt samtycke, direkt från din webbläsare till Google Analytics 4. Den fullständiga mottagartabellen med alla datakategorier och rättsliga grunder finns längre ned på den här sidan.
Mottagare av dina (anslutnings)data
Tabellen nedan listar varje extern mottagare som behandlar tekniska data vid drift av gottrix.app - genererad från samma register som integritetspolicyn, så att de två sidorna aldrig kan gå isär. Innehållet i dina filer finns inte i någon rad, eftersom det aldrig når någon av dessa mottagare.
Mottagare av dina (anslutnings)data
Mottagare
Roll
Säte
Datakategorier
Rättslig grund
Överföringsmekanism
Lagringstid
Hetzner Online GmbH
Origin-Hosting / Server-Zugriffslogs
Deutschland
Gekuerzte/maskierte IP-Adresse (im Caddy-Zugriffslog, GDPR-uebliche Truncation: IPv4 auf /24 = letztes Oktett genullt, IPv6 auf /48 = letzte 80 Bit genullt; Details siehe evidence); Zeitstempel; angefragte URL; User-Agent; HTTP-Statuscode; Feedback-Freitext + optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit) in der Feedback-DB, KEINE IP-Adresse und KEINE E-Mail-Adresse (laut Tabellenschema bewusst keine Spalte dafuer)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am sicheren, stabilen Betrieb; fuer Feedback: berechtigtes Interesse an Missbrauchsschutz/Bearbeitung, optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO)
keine Drittlanduebermittlung (Sitz Deutschland/EU)
IP-Adresse (jeder Request, da Cloudflare TLS terminiert - nicht auf das Feedback-Formular beschraenkt); angefragte URL; User-Agent; Zeitstempel; TLS-/Verbindungsmetadaten; NEL-Fehlerberichte (Netzwerkfehler-Metadaten des Browsers); Turnstile-Challenge-Antwort-Token + optional die Besucher-IP als remoteip-Parameter (nur beim Absenden des Feedback-Formulars)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer, performanter Auslieferung und Missbrauchs-/Bot-Abwehr)
EU-Standardvertragsklauseln, ggf. EU-US Data Privacy Framework (konkrete Cloudflare-Vertragsgrundlage im Repository nicht dokumentiert - zu verifizieren, siehe offene Punkte)
Art. 6 Abs. 1 lit. a DSGVO i.V.m. § 25 Abs. 1 TDDDG (Einwilligung); vor Einwilligung ausschliesslich anonyme Modellierungssignale ohne Cookie und ohne Personenbezug
EU-Standardvertragsklauseln, EU-US Data Privacy Framework
går inte att fastställa konkret
Resend, Inc.
Transaktionale E-Mail (genau eine interne Benachrichtigung pro Feedback-Eingang)
USA
Feedback-Freitext (im E-Mail-Body); optionale Werkzeug-Kennung, Seiten-Pfad, Sprache, Zeitstempel (im E-Mail-Body); optionale Diagnosedaten (Browser/Plattform/Viewport/Client-Zeit), NUR bei separater ausdruecklicher Einwilligung; KEINE Besucher-IP-Adresse, KEINE Besucher-E-Mail-Adresse (laut Code nicht Teil der API-Payload)
Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Bearbeitung des Anliegens); fuer optionale Diagnosedaten Art. 6 Abs. 1 lit. a DSGVO (gesonderte Einwilligung)
EU-Standardvertragsklauseln, soweit einschlaegig EU-US Data Privacy Framework
vanligtvis 180 dagar
Lagringstider i sammandrag
Alla kända lagringstider hos gottrix.app, på ett ställe, konkret i stället för vagt:
Lagringstider i sammandrag
Serverloggar för åtkomst (Hetzner, ursprung)
90 dagar
Inskickad feedback (databas)
vanligtvis 180 dagar
Google Analytics 4 (användningsstatistik)
går inte att fastställa konkret
Lagringstiden för Google Analytics 4 konfigureras i Google Analytics-egenskapen, inte i gottrix.apps källkod - det konkreta värdet går inte att verifiera härifrån. Alla rättsliga grunder finns i integritetspolicyn.
Överföring: TLS och HSTS
Webbplatsen levereras uteslutande via HTTPS - TLS 1.2 och 1.3 med moderna cipher suites och automatiskt hanterade certifikat. HTTP Strict Transport Security (HSTS) är inställt med max-age=63072000 (2 år) inklusive subdomäner: webbläsaren tvingar därmed fram HTTPS själv vid varje framtida besök. För tydlighetens skull: innehållet i dina filer passerar aldrig denna anslutning, eftersom det aldrig lämnar din enhet - transportkrypteringen skyddar leveransen av själva webbplatsen.
HTTP-säkerhetsheadrar
Varje svar från servern bär en komplett uppsättning säkerhetsheadrar. Värdena är konfiguration, inte önsketänkande: ett automatiskt test avbryter varje driftsättning där någon av dem saknas eller avviker.
Inaktiverar 12 enhets- och sensor-API:er (plats, USB, sekretess-sandlådans API:er Attribution-Reporting/Browsing-Topics/Interest-Cohort med flera) som sajten inte behöver; bara helskärmsläge, skärmdelning, kamera och mikrofon (för respektive inspelningsverktyg) förblir tillåtna för det egna ursprunget.
Cross-Origin-Opener-Policy: same-origin
Isolerar webbläsarfönstret från externa sajter som öppnat det.
Cross-Origin-Resource-Policy: same-origin
Hindrar externa sajter från att bädda in eller läsa resurser från detta ursprung.
Content-Security-Policy i sin helhet
CSP:n är det tekniska låset bakom garantin om nolluppladdning. Den genereras från en enda källfil och visas här live från exakt den källan - alla 17 direktiv, oförkortade:
Google CSP Evaluator (kontrollerad 2026-07-09): 0 fynd med hög allvarlighetsgrad. Förutom det egna ursprunget tillåter connect-src bara sidnivåns dokumenterade tillåtelselista för analys - metadata, aldrig filinnehåll.
Den befintliga Content-Security-Policyn (default-src 'self') fungerar samtidigt som ett tekniskt reklamlås: den tillåter i princip inte den levererade koden att ansluta till någon främmande origin alls. Även ett annons- eller spårningsskript som av misstag smugit sig in skulle därför inte kunna fungera - webbläsaren blockerar varje sådan anslutning enligt policyn. Det här är inget tillkännagivande, utan en egenskap hos den befintliga arkitekturen som går att verifiera i källkoden.
Ett medvetet val: Privacy Sandbox-API:erna förblir blockerade
Permissions-Policy-raden ovan blockerar helt browsing-topics=(), attribution-reporting=() och interest-cohort=() - det är ingen tillfällig inställning utan ett medvetet, permanent beslut. Dessa tre API:er ingår i Googles "Privacy Sandbox": ersättningsmekanismer för den klassiska spårningskakan som skulle låta webbläsaren själv bygga intresseprofiler eller lagra annonsattributionsdata. Att blockera dem är ingen teknisk fotnot hos gottrix, utan ett särskiljande drag i linje med noll-uppladdningsarkitekturen: där filinnehåll redan aldrig lämnar webbläsaren har inte heller en webbläsarintern intresseprofil någon plats.
Annonsnätverk
Läget per 2026-07-25: gottrix använder för närvarande inga annonsnätverk. Skulle detta ändras kommer det att anges här och i integritetspolicyn innan ändringen träder i kraft.
Oberoende verifiering
Tre externa granskningar är fast planerade och kommer att köras mot den aktiva domänen vid den offentliga lanseringen: SSL Labs (TLS-konfiguration), Mozilla Observatory (HTTP-säkerhetsläge) och securityheaders.com (fullständighet av headrar). Resultaten visas och länkas bara när skanningarna faktiskt har körts - gottrix visar principiellt aldrig overifierade sigill eller betyg, och det tvingas fram av ett automatiskt test i varje build.
Hosting och dataplats
Ursprungsservrarna drivs av Hetzner Online GmbH i Tyskland och omfattas av GDPR. På dem finns bara den statiska webbplatsen: inga användarkonton, inget filinnehåll, ingen innehållsdatabas. Serverloggar innehåller bara tekniskt nödvändig åtkomstdata med en lagringstid på 90 dagar; ett databehandlingsavtal med Hetzner finns. Eftersom filbearbetningen sker lokalt i din webbläsare når innehållet i dina filer den här platsen ändå aldrig.
Statistik och samtycke
Den anonyma användningsstatistiken (Google Analytics 4 med Consent Mode v2 Advanced) startar med alla signaler inställda på avvisad: utan ditt samtycke sätts ingen statistikcookie och ingen identifierare skapas. Med samtycke mäts som mest sidvisningar och identifieraren för det använda verktyget - aldrig filnamn, filstorlekar eller filinnehåll. Alla detaljer och rättsliga grunder finns i integritetspolicyn.
gottrix avslutar en integritets- eller säkerhetsgranskning i stället för att inleda en: eftersom filinnehåll aldrig lämnar webbläsaren sker tekniskt sett ingen överföring av det till oss - och utan överföring finns ingen behandling som en granskning ens skulle behöva stoppa. Det gäller oavsett vem som öppnar filen: en advokatbyrå, en läkarmottagning, ett skattekontor, en HR-avdelning, en myndighet eller en privatperson.
För filinnehåll uppstår inget personuppgiftsbiträdesavtal, eftersom ingen överföring sker - det finns ingen behandling hos gottrix som ett avtal skulle behöva reglera. För leverans av webbplatsen, den samtyckesbaserade användningsstatistiken och det separata feedbackformuläret är operatören personuppgiftsansvarig, inte personuppgiftsbiträde. Av detta följer att ett personuppgiftsbiträdesavtal enligt art. 28 GDPR varken krävs eller är juridiskt lämpligt för att använda själva verktygen - därför erbjuder vi medvetet ingen avtalsmall för filbearbetning.
Denna bedömning gäller uttryckligen bara filinnehåll. För leverans av webbplatsen via Cloudflare och användningsstatistiken (Google Analytics 4) är gottrix självt personuppgiftsansvarig enligt dataskyddslagstiftningen, och personuppgiftsbiträdesavtal med respektive leverantör finns för dessa tjänster (se integritetspolicyn). Den som behöver ett biträdesavtal för webbplatslagret hittar avtalsparterna där - men inte för filinnehåll, eftersom det inte finns någon behandling som ett sådant avtal skulle behöva täcka.
Efter yrke och bransch
Advokater och advokatbyråer
Klientakter skyddas av advokaters tystnadsplikt och är i Tyskland straffrättsligt skyddade enligt § 203.1 nr 3 i den tyska brottsbalken (StGB). Enligt vår bedömning - inte juridisk rådgivning för ditt specifika fall - ändrar användningen av gottrix strukturellt sett ingenting i detta: en fil som aldrig når en extern server avslöjas heller aldrig för någon.
Bryter jag mot min tystnadsplikt om jag bearbetar en klientakt med gottrix?
Enligt vår bedömning nej, eftersom ingen avslöjning sker: filen stannar tekniskt sett på din enhet, gottrix ser den aldrig. Ett bindande svar för ditt specifika fall kan bara ges av ditt advokatsamfund eller en särskilt anlitad juridisk rådgivare.
Behöver jag ett personuppgiftsbiträdesavtal med gottrix?
Inte för filinnehåll - ingen behandling sker som ett sådant avtal skulle behöva reglera (se rollmodellen ovan). Det gäller inte webbplatsens analys - se stycket om lagerseparation.
Läkare och vårdmottagningar
Patientjournaler omfattas av läkares tystnadsplikt och i Tyskland av § 203.1 nr 1 StGB, och räknas regelmässigt som hälsodata enligt art. 9 GDPR. Enligt vår bedömning gäller samma strukturella resonemang som för advokater: utan överföring sker ingen avslöjning för gottrix.
Får jag konvertera ett läkarbrev eller ett provsvar med gottrix?
Enligt vår bedömning ja, eftersom filen aldrig lämnar din enhet - ingen tredje part får tillgång till dess innehåll. För särskilt känsliga arbetsflöden är ett kompletterande internt godkännande från din mottagnings eller kliniks IT- eller dataskyddsansvariga ändå att rekommendera.
Skatterådgivare och revisorer
Skatterådgivare, auktoriserade revisorer och godkända revisorer omfattas av exakt samma tystnadspliktsskydd som advokater och läkare (i Tyskland § 203.1 nr 3 StGB), utöver sina egna yrkesmässiga tystnadsplikter. Klientakter och årsredovisningshandlingar som konverteras med gottrix lämnar aldrig enheten i processen.
Kan jag bearbeta en klients kvitton eller PDF:er för årsredovisning med gottrix?
Enligt vår bedömning ja, av samma strukturella skäl som för advokater: ingen överföring, ingen avslöjning. Den slutgiltiga bedömningen för din byrå ligger hos ditt yrkesförbund eller din interna efterlevnadsfunktion.
HR- och personalavdelningar
Lönebesked, anställningsavtal och jobbansökningar är personuppgifter, en del av dem särskilt känsliga enligt GDPR - ingen ny särskild regel behövs för att nå samma resultat: eftersom filen aldrig färdas till någon server utanför enheten skapar användningen av gottrix i sig ingen ytterligare behandling enligt art. 4.2 GDPR.
Får vi konvertera lönebesked eller anställningsavtal med gottrix?
Enligt vår bedömning ja - inget ytterligare behandlingssteg uppstår eftersom filen stannar lokalt. Ett internt godkännande från er dataskyddsfunktion är ändå klokt, men ersätter inte er egen bedömning från fall till fall.
Myndigheter och den offentliga sektorn
Utöver GDPR är myndigheter ofta bundna av egen sekretess i tjänsten, som varierar mellan region, myndighet och ansvarsområde - vi anger medvetet ingen enskild bestämmelse här, eftersom den skiljer sig åt mellan jurisdiktioner. Den strukturella poängen kvarstår ändå densamma: en fil som gottrix aldrig tar emot kan inte heller röjas otillbörligt av oss.
Kan vi använda gottrix för officiella handlingar om molntjänster inte är tillåtna hos oss?
Ofta ja, eftersom konverteringen inte innebär någon uppladdning - just det kriterium ett molnförbud vanligtvis riktar sig mot. Det bindande godkännandet ligger hos er egen IT-säkerhets- eller dataskyddsfunktion, utifrån era egna regler.
Företag i allmänhet (B2B)
Avtal, interna kalkyler, fusions- och förvärvsdokument eller personaldata - för alla typer av företagshemligheter eller konfidentiella dokument gäller samma strukturella fördel: det finns inget uppladdningssteg där en tredje part skulle kunna läsa med.
Är gottrix lämpligt för företagshemligheter och konfidentiella avtal?
Enligt vår bedömning ja, eftersom filen aldrig lämnar enheten - ett sekretessbrott genom överföring är strukturellt uteslutet, inte bara kontraktuellt utlovat. Ett internt godkännande enligt er egen IT-policy är ändå klokt.
Privatpersoner
Ett lönebesked, ett hyreskontrakt, ett provsvar, ett kontoutdrag: även utan yrkesmässig tystnadsplikt angår en privat fil ingen annan än dig själv. Eftersom gottrix aldrig ser den kan ingen av oss av misstag vidarebefordra den, förlora den eller använda den till något annat.
Är det säkert att bearbeta mitt lönebesked eller id-handling med ett onlineverktyg?
Med gottrix ja, eftersom ingen uppladdning sker: filen stannar i minnet på din egen enhet. Även så gäller den allmänna regeln fortfarande: dela resultatet efteråt bara med den som verkligen behöver det.
Vad gottrix inte har
Ingen ISO 27001-certifiering.
Ingen SOC 2 (typ I eller II).
Ingen enkel inloggning (SSO) eller identitetsfederation för företagskonton.
Inget avtalat servicenivåavtal (SLA) för support.
Dessa luckor namnges medvetet, inte döljs: en granskning som slutar vid en erkänd lucka är hederligare än en som misslyckas vid en upptäckt lucka.
Har du hittat en sårbarhet? Vi uppskattar ansvarsfulla rapporter. Testa endast mot din egen enhet eller webbläsare, utan att orsaka dataförlust, avbrott i tjänsten eller åtkomst till andra användares data - med gottrix nolluppladdningsarkitektur innebär det i praktiken: kringgående av CSP, XSS, felkonfigurerade headrar eller TLS och liknande webbsårbarheter i själva den levererade sidan.
Tester som utförs i god tro enligt denna policy leder inte till några rättsliga åtgärder från gottrix. Vi bekräftar mottagandet, prioriterar efter allvarlighetsgrad och håller dig uppdaterad om framstegen - för närvarande ett soloprojekt utan fast SLA för svarstid, men med genuint intresse för varje rapport.
Säkerheten bygger på arkitektur snarare än löften: filer bearbetas uteslutande lokalt i din webbläsare och skickas aldrig till en server - en strikt Content-Security-Policy förbjuder konverteringskoden all extern anslutning. Till det kommer TLS 1.2/1.3 med HSTS, en komplett uppsättning säkerhetsheadrar och hosting i Tyskland. Var och en av dessa punkter kan du verifiera själv i källkoden, nätverksfliken eller genom testet i flygplansläge.
Laddas mina filer upp eller lagras någonstans?
Nej. Konverteringen sker helt i din webbläsares minne; det finns ingen uppladdningsendpoint och ingen serverlagring för filinnehåll. Content-Security-Policy nekar motor- och workerkoden all anslutning till externa servrar, och ett automatiskt test verifierar detta vid varje build. Stäng fliken så försvinner datan - det finns inget som behöver raderas på serversidan.
Vilken kryptering använder gottrix.app?
Webbplatsen levereras uteslutande via HTTPS med TLS 1.2 och 1.3 och moderna cipher suites; HSTS tvingar fram HTTPS i två år inklusive subdomäner. Innehållet i dina filer passerar själv aldrig någon anslutning, eftersom det aldrig lämnar din enhet - transportkrypteringen skyddar leveransen av sajten och den valfria, samtyckesbaserade användningsmetadatan.
Var hostas servrarna?
Ursprungsservrarna drivs av Hetzner Online GmbH i Tyskland, under GDPR. På dem finns bara den statiska webbplatsen: inga användarkonton, inget filinnehåll, ingen innehållsdatabas. Eftersom bearbetningen sker lokalt i din webbläsare saknar serverns placering betydelse för innehållet i dina filer - det når den aldrig.
Hur kan jag själv verifiera dessa säkerhetspåståenden?
Tre sätt som inte kräver särskild expertis: testet i flygplansläge (öppna ett verktyg, koppla från, konvertera - det fortsätter fungera), nätverksfliken i utvecklarverktygen (F12: ingen filförfrågan under konverteringen) och de svarshuvuden som varje webbläsare kan visa. Steg-för-steg-guiden finns på bevissidan; vid den offentliga lanseringen tillkommer externa skanningar från SSL Labs, Mozilla Observatory och securityheaders.com.
Vilka data samlar gottrix egentligen in?
Utan ditt samtycke: inga statistikcookies och inga identifierare, bara tekniskt nödvändiga serverloggar med en lagringstid på 90 dagar. Med samtycke mäter Google Analytics 4 aggregerad användning, till exempel sidvisningar och identifieraren för det använda verktyget; filnamn, filstorlekar och filinnehåll registreras aldrig. De fullständiga rättsliga grunderna och hur du återkallar samtycket finns i integritetspolicyn.
Verifierbarhet: så kontrollerar du det själv
Varje påstående på den här sidan kan du kontrollera själv med medel du redan har - från flygplanslägestestet till nätverksfliken i utvecklarverktygen. Den fullständiga steg-för-steg-guiden finns på bevissidan. Kontrollskriptet bakom den här garantin är självt öppet i det här projektets källkod, under oss/gate-null-upload-static/ - att granska och återanvända.
Registren för mottagare, dataflöde och påståenden på den här sidan genereras från källfiler; datumet nedan är deras senaste faktiska ändring i versionshistoriken, inte manuellt underhållet.
Senast uppdaterad: 2026-07-25
Endast med ditt samtycke mäter vi användningen anonymiserat via cookies för att förbättra gottrix. Dina filer stannar alltid lokalt, på din enhet. Integritet