Où sont vos documents, et ce qui quitte le téléphone

La numérisation, la reconnaissance de texte et les outils PDF — fusionner, compresser, convertir, signer — s’exécutent sur le processeur et dans la mémoire de votre téléphone. Votre document n’est pas envoyé sur nos serveurs pour être traité. Vous pouvez le vérifier : activez le mode avion et tout le flux fonctionne encore.

Ce qui quitte l’appareil, quand vous le demandez : une sauvegarde chiffrée si vous activez la synchronisation Pro, envoyée sous forme de texte chiffré que nous ne pouvons pas lire ; un fichier que vous envoyez via le menu de partage Android, qui va là où vous le dirigez ; et le contenu du formulaire de contact si vous nous écrivez. Rien d’autre ne transporte un document.

Les pages, les miniatures et les PDF terminés sont écrits dans le répertoire privé de l’application, qu’Android isole de toutes les autres applications au niveau du système.

• Aucune autre application ne peut lire ce répertoire, et ScanOrbit ne peut pas lire les leurs.
• L’index des documents — titres, nombres de pages, tailles, dates — est stocké sur l’appareil dans MMKV, à l’intérieur de ce répertoire privé. Pas dans une base de données distante.
• La sauvegarde Android est désactivée pour cette application : un « adb backup » ne peut pas copier le bac à sable hors de l’appareil.

La détection des bords et la reconnaissance de texte utilisent Google ML Kit, qui embarque ses modèles dans l’application et exécute l’inférence sur le téléphone. Aucun appel à une API de vision, aucun envoi d’image.

• Les images de la caméra sont lues en mémoire pour la détection des bords et ne sont pas écrites sur le disque en tant qu’originaux.
• L’OCR produit du texte interrogeable sur l’appareil ; l’image de la page n’atteint aucun serveur pour être lue.
• L’assemblage du PDF se fait localement, avec les polices et les ressources incluses dans l’application.

La liste des autorisations est courte parce que les fonctions n’en exigent pas une longue — et plusieurs autorisations sont explicitement bloquées dans le manifeste, pas simplement non demandées.

• CAMERA, pour capturer un document pendant que le scanner est ouvert.
• L’accès aux photos, uniquement lorsque vous importez une image existante.
• La localisation précise et approximative ainsi que l’enregistrement audio sont bloqués dans le manifeste — ni demandés, ni demandables.

La liste honnête, y compris les parties qu’il serait plus simple d’omettre. Aucune ne transporte le contenu d’un document.

• Les rapports de plantage et les statistiques produit via Firebase. Les statistiques sont facultatives et désactivées tant que vous ne les activez pas dans les réglages ; les événements portent des compteurs et des catégories, jamais un titre, un nom de fichier ou un terme recherché.
• Google Play et RevenueCat, pour vérifier si un abonnement Pro est actif, et la connexion Google si vous l’utilisez.
• Si vous nous écrivez ou rejoignez la liste d’accès anticipé : votre message et votre adresse IP, que nous rattachons à une ville approximative pour comprendre d’où vient l’intérêt. La même chose se produit une fois au premier lancement sur un appareil. La politique de confidentialité nomme le prestataire.

Le coffre-fort en détail

Comment la clé maîtresse de document est générée, enveloppée sous votre code et une clé de récupération, et pourquoi le serveur ne détient que les copies enveloppées — rédigé correctement, avec de quoi vérifier.

Si vous trouvez un problème de sécurité, dites-le-nous avant de le dire à quelqu’un d’autre. Nous accuserons réception, vous tiendrons informé pendant l’enquête et vous créditerons à la publication du correctif si vous le souhaitez.