Wo Ihre Dokumente liegen – und was das Telefon verlässt

Scannen, Texterkennung und die PDF-Werkzeuge – zusammenführen, komprimieren, umwandeln, unterschreiben – laufen auf dem Prozessor und im Speicher Ihres Telefons. Ihr Dokument wird zur Verarbeitung nicht auf unsere Server hochgeladen. Sie können es prüfen: Flugmodus einschalten, und der ganze Ablauf funktioniert weiter.

Was das Gerät verlässt, wenn Sie es verlangen: ein verschlüsseltes Backup, falls Sie die Pro-Synchronisierung einschalten – hochgeladen als Chiffrat, das wir nicht lesen können; eine Datei, die Sie über das Android-Teilen-Menü verschicken, die dorthin geht, wohin Sie sie schicken; und der Inhalt des Kontaktformulars, wenn Sie uns schreiben. Sonst trägt nichts ein Dokument.

Seiten, Vorschaubilder und fertige PDFs werden in das private Verzeichnis der App geschrieben, das Android auf Betriebssystemebene von jeder anderen App abschottet.

• Keine andere App kann dieses Verzeichnis lesen, und ScanOrbit kann deren Verzeichnisse nicht lesen.
• Der Dokumentindex – Titel, Seitenzahlen, Größen, Daten – liegt auf dem Gerät in MMKV, innerhalb dieses privaten Verzeichnisses. Nicht in einer Cloud-Datenbank.
• Das Android-Backup ist für diese App abgeschaltet, ein „adb backup“ kann die Sandbox also nicht vom Gerät kopieren.

Kantenerkennung und Texterkennung nutzen Google ML Kit, das seine Modelle in der App mitbringt und die Auswertung auf dem Telefon ausführt. Es gibt keinen Vision-API-Aufruf und keinen Bild-Upload.

• Kamerabilder werden für die Kantenerkennung im Speicher gelesen und nicht als Originale auf die Festplatte geschrieben.
• Die Texterkennung erzeugt durchsuchbaren Text auf dem Gerät; das Seitenbild erreicht keinen Server, der es liest.
• Der PDF-Aufbau geschieht lokal, mit den in der App mitgelieferten Schriften und Ressourcen.

Die Berechtigungsliste ist kurz, weil der Funktionsumfang keine lange braucht – und mehrere Berechtigungen sind im Manifest ausdrücklich gesperrt und nicht bloß nicht angefragt.

• CAMERA, um ein Dokument aufzunehmen, während der Scanner offen ist.
• Fotozugriff, nur wenn Sie ein vorhandenes Bild importieren.
• Genauer und ungefährer Standort sowie Audioaufnahme sind im Manifest gesperrt – nicht angefragt und nicht anfragbar.

Die ehrliche Liste, auch die Teile, die man leichter weglässt. Keiner davon trägt den Inhalt eines Dokuments.

• Absturzberichte und Produktanalyse über Firebase. Die Analyse ist freiwillig und aus, bis Sie sie in den Einstellungen einschalten; Ereignisse tragen Zahlen und Kategorien, nie einen Titel, Dateinamen oder Suchbegriff.
• Google Play und RevenueCat, um zu prüfen, ob ein Pro-Abonnement aktiv ist, sowie Google-Anmeldung, falls Sie sie nutzen.
• Wenn Sie uns schreiben oder sich für den frühen Zugang eintragen: Ihre Nachricht und Ihre IP-Adresse, die wir einer ungefähren Stadt zuordnen, um zu verstehen, woher Interesse kommt. Dasselbe geschieht einmalig beim ersten Start eines Geräts. Die Datenschutzerklärung nennt den Anbieter.

Der Tresor im Detail

Wie der Document Master Key erzeugt, unter Ihrer PIN und einem Wiederherstellungsschlüssel verpackt wird und warum der Server nur die verpackten Kopien hält – sauber aufgeschrieben, mit den Teilen, die eine Prüfung erlauben.

Wenn Sie ein Sicherheitsproblem finden, sagen Sie es bitte uns, bevor Sie es anderen sagen. Wir bestätigen den Eingang, halten Sie während der Untersuchung auf dem Laufenden und nennen Sie beim Erscheinen des Fixes, wenn Sie das möchten.