安全
你的文档在哪里，什么会离开手机
每个扫描应用都说自己注重隐私。这一页说明在这里它具体指什么——包括那些不提会更省事的网络请求。
这项声明，以及它覆盖的范围
扫描、文字识别和 PDF 工具（合并、压缩、转换、签名）都在手机的处理器和内存中运行。你的文档不会上传到我们的服务器去处理。你可以验证：打开飞行模式，整套流程照样可用。
在你要求时会离开设备的东西：若你开启 Pro 同步，会上传一份加密备份，是我们读不了的密文；你通过 Android 分享菜单发出的文件，会去到你指定的地方；以及你写信给我们时表单里的内容。除此之外，没有任何东西承载文档。
文件存放在哪里
页面、缩略图和成品 PDF 都写入应用的私有目录；Android 在操作系统层面把它与其他所有应用隔离。
- 其他应用读不到这个目录，ScanOrbit 也读不到它们的目录。
- 文档索引（标题、页数、大小、日期）保存在设备上、该私有目录内的 MMKV 中，不在云端数据库里。
- 本应用关闭了 Android 备份，因此 “adb backup” 无法把沙盒复制出设备。
处理在哪里运行
边缘识别和文字识别使用 Google ML Kit，模型随应用一起打包，推理在手机上完成。没有视觉 API 调用，也没有图片上传。
- 相机画面为识别边缘在内存中读取，不会作为原图写入磁盘。
- OCR 在设备上生成可搜索文本；页面图像不会送到任何服务器去读取。
- PDF 在本地组装，使用应用内置的字体和资源。
应用能接触到什么
权限列表很短，因为功能本身不需要一长串——而且有几项权限是在清单文件里明确屏蔽的，不只是没有申请。
- CAMERA：在扫描器打开时拍摄文档。
- 照片访问：仅当你选择导入已有图片时。
- 精确与粗略定位、录音都已在清单文件中屏蔽——既不申请，也无法申请。
真正经过网络的东西
一份诚实的清单，包括那些略去会更省事的部分。它们都不承载文档内容。
- 通过 Firebase 上报崩溃和产品统计。统计是可选的，在你于设置中开启前都处于关闭状态；事件只携带计数和分类，绝不包含标题、文件名或搜索词。
- Google Play 与 RevenueCat，用于核对 Pro 订阅是否有效；如果你使用，还有 Google 登录。
- 当你写信给我们或加入抢先体验名单时：你的留言和 IP 地址，我们会把它对应到大致城市，以了解关注来自何处。设备首次启动时也会做一次同样的处理。隐私政策中写明了服务提供方。