書類はどこにあり、端末から何が出ていくのか

スキャン、文字認識、PDF の各機能（結合・圧縮・変換・署名）は、端末のプロセッサーとメモリー上で動作します。処理のために書類を当社サーバーへアップロードすることはありません。機内モードにしても一連の操作がそのまま動くことで確認できます。

お客様の求めに応じて端末から出るもの：Pro 同期を有効にした場合の暗号化バックアップ（当社が読めない暗号文として送信されます）、Android の共有メニューから送信したファイル（お客様が指定した宛先に届きます）、そしてお問い合わせの内容です。これ以外に書類を運ぶものはありません。

ページ、サムネイル、完成した PDF は、Android が OS レベルで他のすべてのアプリから隔離する、アプリ専用ディレクトリに書き込まれます。

• 他のアプリはこのディレクトリを読めず、ScanOrbit も他のアプリのものを読めません。
• 書類の索引（タイトル、ページ数、サイズ、日付）は、その専用ディレクトリ内の MMKV に端末上で保存されます。クラウド上のデータベースではありません。
• このアプリでは Android バックアップを無効にしているため、「adb backup」でサンドボックスを端末外へ複製することはできません。

枠の検出と文字認識には Google ML Kit を使い、モデルをアプリ内に同梱して端末上で推論します。画像認識 API の呼び出しも、画像のアップロードもありません。

• カメラ映像は枠の検出のためにメモリー上で読み取られ、原本としてディスクに書き出されることはありません。
• OCR は端末上で検索可能なテキストを生成します。ページ画像が読み取りのためにサーバーへ渡ることはありません。
• PDF の組み立ては、アプリに同梱されたフォントとリソースを用いて端末内で行われます。

機能に長い一覧が不要なため、権限は短い一覧です。加えて、いくつかの権限はマニフェストで明示的にブロックしてあり、単に要求していないだけではありません。

• CAMERA。スキャナーを開いている間に書類を撮影するためです。
• 写真へのアクセス。既存の画像を取り込むときだけです。
• 精細・おおよその位置情報と音声録音はマニフェストでブロック済みです。要求しませんし、要求できません。

省いたほうが楽な部分も含めた、正直な一覧です。いずれも書類の中身は運びません。

• Firebase によるクラッシュレポートと利用状況の統計。統計は任意で、設定でオンにするまで無効です。イベントが持つのは件数と種別のみで、タイトル・ファイル名・検索語は含みません。
• Pro の契約状況を確認するための Google Play と RevenueCat、ご利用の場合は Google アカウントでのログイン。
• お問い合わせや先行アクセスのご登録をいただいた場合は、その内容と IP アドレス。関心がどこから寄せられているかを把握するため、おおよその都市に対応付けます。端末の初回起動時にも一度だけ同じ処理を行います。プライバシーポリシーに事業者名を記載しています。

金庫の詳細

ドキュメントマスターキーの生成方法、PIN と復旧キーによる包み方、そしてサーバーが包まれた複製しか持たない理由を、検証できる形で丁寧に記しています。

セキュリティ上の問題を見つけられた場合は、公表の前にまず当社へお知らせください。受領をご連絡し、調査の進捗をお伝えし、ご希望があれば修正公開時にお名前を記載します。