Waar je documenten staan, en wat de telefoon verlaat

Scannen, tekstherkenning en de PDF-gereedschappen — samenvoegen, comprimeren, omzetten, ondertekenen — draaien op de processor en in het geheugen van je telefoon. Je document wordt niet naar onze servers geüpload om verwerkt te worden. Je kunt het controleren: zet vliegtuigmodus aan en de hele werkwijze werkt nog.

Wat het toestel wél verlaat, als je erom vraagt: een versleutelde back-up als je Pro-synchronisatie aanzet, geüpload als cijfertekst die wij niet kunnen lezen; een bestand dat je via het Android-deelmenu verstuurt, dat gaat waarheen jij het stuurt; en de inhoud van het contactformulier als je ons schrijft. Verder draagt niets een document.

Pagina’s, miniaturen en afgeronde PDF’s worden weggeschreven naar de privémap van de app, die Android op besturingssysteemniveau afschermt van elke andere app.

• Geen andere app kan die map lezen, en ScanOrbit kan die van hen niet lezen.
• De documentindex — titels, aantallen pagina’s, groottes, datums — staat op het toestel in MMKV, binnen die privémap. Niet in een clouddatabase.
• Android-back-up staat uit voor deze app, dus een ‘adb backup’ kan de sandbox niet van het toestel kopiëren.

Randdetectie en tekstherkenning gebruiken Google ML Kit, dat zijn modellen in de app meelevert en de inferentie op de telefoon uitvoert. Er is geen vision-API-aanroep en geen beelduploadt.

• Camerabeelden worden in het geheugen gelezen voor randdetectie en worden niet als originelen naar schijf geschreven.
• OCR maakt doorzoekbare tekst op het toestel; de pagina-afbeelding bereikt nooit een server om gelezen te worden.
• De PDF wordt lokaal samengesteld, met de lettertypen en bronnen die in de app zitten.

De lijst met rechten is kort omdat de functies er geen lange nodig hebben — en meerdere rechten zijn uitdrukkelijk geblokkeerd in het manifest, niet alleen niet gevraagd.

• CAMERA, om een document vast te leggen terwijl de scanner open staat.
• Toegang tot foto’s, alleen wanneer je een bestaande afbeelding importeert.
• Nauwkeurige en globale locatie en audio-opname zijn geblokkeerd in het manifest — niet gevraagd, en niet te vragen.

De eerlijke lijst, inclusief de delen die makkelijker weg te laten zijn. Geen daarvan draagt de inhoud van een document.

• Crashrapporten en productstatistieken via Firebase. Statistieken zijn optioneel en staan uit tot je ze in de instellingen aanzet; gebeurtenissen dragen aantallen en categorieën, nooit een titel, bestandsnaam of zoekterm.
• Google Play en RevenueCat, om te controleren of er een Pro-abonnement actief is, en Google-inloggen als je dat gebruikt.
• Als je ons schrijft of je aanmeldt voor vroege toegang: je bericht en je IP-adres, dat we koppelen aan een globale stad om te zien waar belangstelling vandaan komt. Hetzelfde gebeurt eenmalig bij de eerste start op een toestel. Het privacybeleid noemt de aanbieder.

De kluis in detail

Hoe de Document Master Key wordt gemaakt, verpakt onder je pincode en een herstelsleutel, en waarom de server alleen de verpakte kopieën heeft — netjes opgeschreven, met wat nodig is om het te controleren.

Vind je een beveiligingsprobleem, vertel het ons dan voordat je het iemand anders vertelt. We bevestigen de ontvangst, houden je op de hoogte tijdens het onderzoek en vermelden je bij de oplossing als je dat wilt.