Dónde están tus documentos y qué sale del teléfono

El escaneo, el reconocimiento de texto y las herramientas PDF —unir, comprimir, convertir, firmar— se ejecutan en el procesador y en la memoria de tu teléfono. Tu documento no se sube a nuestros servidores para procesarse. Puedes comprobarlo: activa el modo avión y todo el flujo sigue funcionando.

Lo que sí sale del dispositivo, cuando tú lo pides: una copia cifrada si activas la sincronización Pro, subida como texto cifrado que no podemos leer; un archivo que envías por el menú de compartir de Android, que va a donde tú lo dirijas; y el contenido del formulario de contacto si nos escribes. Nada más lleva un documento.

Las páginas, las miniaturas y los PDF terminados se escriben en el directorio privado de la app, que Android aísla de cualquier otra aplicación a nivel de sistema operativo.

• Ninguna otra app puede leer ese directorio, y ScanOrbit no puede leer los suyos.
• El índice de documentos —títulos, número de páginas, tamaños, fechas— se guarda en el dispositivo en MMKV, dentro de ese directorio privado. No en una base de datos en la nube.
• La copia de seguridad de Android está desactivada para esta app, así que un «adb backup» no puede sacar el sandbox del dispositivo.

La detección de bordes y el reconocimiento de texto usan Google ML Kit, que incluye sus modelos dentro de la app y ejecuta la inferencia en el teléfono. No hay llamada a una API de visión ni subida de imágenes.

• Los fotogramas de la cámara se leen en memoria para detectar bordes y no se escriben en disco como originales.
• El OCR genera texto buscable en el dispositivo; la imagen de la página nunca llega a un servidor para leerse.
• El PDF se monta localmente, con las fuentes y recursos incluidos en la app.

La lista de permisos es corta porque las funciones no necesitan una larga, y varios permisos están bloqueados expresamente en el manifiesto, no solo sin solicitar.

• CAMERA, para capturar un documento mientras el escáner está abierto.
• Acceso a fotos, solo cuando eliges importar una imagen existente.
• La ubicación precisa y aproximada y la grabación de audio están bloqueadas en el manifiesto: ni se piden ni se pueden pedir.

La lista honesta, incluidas las partes que sería más cómodo omitir. Ninguna lleva el contenido de un documento.

• Informes de fallos y analítica de producto mediante Firebase. La analítica es opcional y está desactivada hasta que la actives en Ajustes; los eventos llevan recuentos y categorías, nunca un título, un nombre de archivo ni un término de búsqueda.
• Google Play y RevenueCat, para comprobar si hay una suscripción Pro activa, y el inicio de sesión de Google si lo usas.
• Si nos escribes o te apuntas a la lista de acceso anticipado: tu mensaje y tu dirección IP, que asociamos a una ciudad aproximada para entender de dónde llega el interés. Lo mismo ocurre una vez al primer arranque en un dispositivo. La política de privacidad nombra al proveedor.

La caja fuerte en detalle

Cómo se genera la clave maestra del documento, cómo se envuelve bajo tu PIN y una clave de recuperación, y por qué el servidor solo guarda las copias envueltas: escrito en condiciones, con lo necesario para comprobarlo.

Si encuentras un problema de seguridad, cuéntanoslo antes que a nadie. Confirmaremos la recepción, te mantendremos al tanto durante la investigación y te acreditaremos cuando salga la corrección si así lo quieres.