Onde estão os seus documentos e o que sai do telemóvel

Digitalização, reconhecimento de texto e ferramentas PDF — juntar, comprimir, converter, assinar — correm no processador e na memória do seu telemóvel. O seu documento não é enviado para os nossos servidores para ser processado. Pode confirmar: ative o modo de voo e todo o fluxo continua a funcionar.

O que sai do aparelho, quando o pede: uma cópia cifrada se ativar a sincronização Pro, enviada como texto cifrado que não conseguimos ler; um ficheiro que envie pelo menu de partilha do Android, que vai para onde o mandar; e o conteúdo do formulário de contacto se nos escrever. Mais nada transporta um documento.

Páginas, miniaturas e PDF terminados são escritos na pasta privada da aplicação, que o Android isola de todas as outras ao nível do sistema operativo.

• Nenhuma outra aplicação consegue ler essa pasta, e o ScanOrbit não consegue ler as delas.
• O índice de documentos — títulos, número de páginas, tamanhos, datas — fica no aparelho em MMKV, dentro dessa pasta privada. Não numa base de dados na nuvem.
• A cópia de segurança do Android está desligada para esta aplicação, por isso um «adb backup» não consegue copiar a sandbox para fora do aparelho.

A deteção de margens e o reconhecimento de texto usam o Google ML Kit, que traz os modelos dentro da aplicação e corre a inferência no telemóvel. Não há chamada a uma API de visão nem envio de imagens.

• Os fotogramas da câmara são lidos em memória para a deteção de margens e não são escritos em disco como originais.
• O OCR produz texto pesquisável no aparelho; a imagem da página nunca chega a um servidor para ser lida.
• O PDF é montado localmente, com os tipos de letra e recursos incluídos na aplicação.

A lista de permissões é curta porque as funcionalidades não precisam de uma longa — e várias permissões estão bloqueadas expressamente no manifesto, não apenas por pedir.

• CAMERA, para captar um documento enquanto o digitalizador está aberto.
• Acesso a fotografias, apenas quando escolhe importar uma imagem existente.
• Localização precisa e aproximada e gravação de áudio estão bloqueadas no manifesto — nem pedidas, nem possíveis de pedir.

A lista honesta, incluindo as partes que seria mais fácil omitir. Nenhuma transporta o conteúdo de um documento.

• Relatórios de falhas e estatísticas de produto através do Firebase. As estatísticas são opcionais e estão desligadas até as ligar nas definições; os eventos levam contagens e categorias, nunca um título, nome de ficheiro ou termo pesquisado.
• Google Play e RevenueCat, para verificar se existe uma subscrição Pro ativa, e o início de sessão Google se o usar.
• Se nos escrever ou entrar na lista de acesso antecipado: a sua mensagem e o seu endereço IP, que associamos a uma cidade aproximada para perceber de onde vem o interesse. O mesmo acontece uma vez no primeiro arranque num aparelho. A política de privacidade indica o fornecedor.

O cofre em detalhe

Como a chave mestra do documento é gerada, embrulhada sob o seu PIN e uma chave de recuperação, e porque o servidor guarda apenas as cópias embrulhadas — escrito como deve ser, com o que permite verificar.

Se encontrar um problema de segurança, diga-nos antes de dizer a mais alguém. Confirmamos a receção, mantemo-lo a par durante a investigação e creditamo-lo quando a correção sair, se assim o quiser.