生效日期及最后更新：2026年8月8日
本隐私政策适用于 Android 移动应用程序 PDF Scanner（也称为 PDF Scanner: Escáner y Lector），其应用程序包名为 com.umbrabyte.pdfscanner，由 Umbrabyte Apps 开发和发布。本政策是 Umbrabyte 通用隐私政策 的补充，是应用内及其 Google Play Store 列表中链接的官方隐私政策。
通俗易懂的摘要： 您的所有 PDF 文档、相机扫描的图像、文本笔记、数字化手写签名和保护密码，均完全在您的设备上本地处理和存储。Umbrabyte 不运营任何云服务器来托管或处理您的文件，不需要用户账户或注册，不包含侵入性广告，也从不出售或出租您的个人数据。只有当您明确选择将文档分享或导出到第三方应用程序时；使用 Android 文件选择器时；Google Play 处理 PRO 购买或订阅时；或您直接联系支持团队时，您的文档才会离开您的设备。
本摘要不能替代以下详细条款。
1. 适用范围与关键事实
PDF Scanner 是一款由本地 AI（Google ML Kit）驱动的综合文档套件与智能扫描仪。它允许您使用相机将纸质文档数字化，通过 OCR 识别文字以生成可搜索的 PDF，以护眼模式（Reflow、Sepia、夜间模式）阅读 PDF，合并与拆分页面，添加文字和手写签名，将图片和笔记转换为可打印的 A4 PDF，使用密码加密文档，以及使用您自己设备的文字转语音（TTS）引擎收听文本。
- 无需账户或注册： 应用程序不会要求您创建用户账户、个人资料或提供个人凭证。
- 100% 设备端 / 离线优先处理： 相机文档扫描和光学字符识别（Google ML Kit On-Device API，其 AI 模型本身即打包在 APK 内）、PDF 渲染引擎（PDFBox）以及格式转换，全部在您的 Android 设备处理器上运行，无需互联网连接。
- 无 Umbrabyte 文档服务器： Umbrabyte 不拥有也不运营任何用于上传、复制或分析您扫描或阅读的文档的服务器。
- 无广告或跨应用跟踪： 应用程序不包含任何广告网络、横幅广告或跨应用跟踪 SDK（cross-app tracking）。应用清单明确移除（
tools:node="remove"）与广告标识符（AD_ID）和 AdServices 相关的 Android 权限，即使某个第三方依赖项间接声明了这些权限。 - 不出售数据： Umbrabyte 在任何情况下均不出售、出租或交易用户个人信息。
- 无自动画像： 我们不进行用户画像分析，也不进行具有法律效力的自动化决策。
- 平台集成： 可选的 PRO 购买和订阅通过官方 Google Play Billing API 处理。匿名的定量产品性能和稳定性指标通过 Firebase Analytics 收集（绝不包含文档内容或文件名）。应用会使用官方的 Google Play Core（应用内更新 API） 库定期检查 Google Play 上是否发布了新版本，朗读文本功能则使用您 Android 系统上已配置的文字转语音引擎。
就 Google Play Store 的 数据安全（Data Safety） 部分而言，“收集”指的是将数据从设备传输到开发者或第三方。本政策透明地说明了本地处理和平台服务两方面的情况。
2. 数据控制者
对于 Umbrabyte 直接收到的任何数据（例如客户支持沟通或许可证管理），其开发者及数据控制者为：
- 全名： Cristian Donet Segura
- 工作室名称： Umbrabyte Apps
- 营业地址： Calle Pintor Camarón, nº 24, 12560 Benicasim, Castellón, España
- 税号（NIF）： 20468489F
- D-U-N-S® 编号： 374071851
- 隐私与支持联系方式： support@umbrabyte.app
诸如 Google Play Store 或用户自行选择的第三方存储提供商等平台服务，就其自身隐私政策下处理的数据而言，均作为独立的数据控制者行事。
3. 应用程序处理的数据
3.1 设备上存储和处理的信息
应用程序仅在应用的私有本地存储或您选择的系统位置中处理以下信息：
| 数据类别 | 信息示例 | 存储位置 |
|---|---|---|
| PDF 文档与扫描图像 | 打开的 PDF 文件、相机拍摄的图像、合并/拆分/转换后的 PDF 文件 | 应用私有存储或用户通过 Android 存储访问框架（SAF）选择的文件夹 |
| OCR 识别的文本 | 由 Google ML Kit Text Recognition 从扫描页面本地生成的可搜索文本层（“OCR 与可搜索 PDF”功能） | 嵌入在生成的 PDF 文件本身中，存储于用户选择的位置 |
| 签名与文本注释 | 用户创建的数字化手写签名、叠加文本 | 应用私有本地存储 |
| 阅读偏好与文库 | 最近文件、页面书签、阅读进度、Sepia/夜间模式、Reflow 字体大小 | 设备上的私有本地数据库（Room / DataStore） |
| 免费使用配额跟踪 | 已使用的每日免费扫描和工具操作计数器 | 设备上的私有本地偏好设置（DataStore） |
| 购买状态与 PRO 权益 | 本地缓存的 PRO 权益状态（ProEntitlement） |
私有本地偏好设置（DataStore） |
扫描的文档和笔记可能包含您自愿提供的机密或敏感信息。此类信息始终处于您在设备上的专属控制之下。
3.2 权限与设备访问
只有当您启动需要相应权限的功能时，Android 权限才会以透明方式被请求。您可以随时在 Android 系统设置中管理或撤销权限：
| 权限 / 能力 | 目的与用途 | 必要性 |
|---|---|---|
相机 (android.permission.CAMERA) |
拍摄实体文档照片以进行本地 AI 扫描 | 可选，仅在启动相机扫描仪时请求 |
通知 (POST_NOTIFICATIONS) |
显示进度提示或任务完成通知 | 可选（Android 13 及以上） |
| 存储访问框架（SAF） | 选择文件进行读取、合并、拆分或保存，而无需授予广泛的存储权限 | Android 内置功能；由用户选择可访问的文件 |
结算 (com.android.vending.BILLING) |
连接 Google Play Billing API 以处理 PRO 购买与订阅 | 在浏览或获取付费选项时使用 |
网络与互联网访问 (INTERNET, ACCESS_NETWORK_STATE) |
官方 Google Play Billing（验证购买）、Firebase Analytics（匿名指标）以及 Google Play Core（检查是否有更新版本的应用）所必需 | 由平台组件在后台使用 |
本应用程序不会请求或访问您的精确/大致位置、联系人列表、通话记录、短信、麦克风、健康/健身数据、Android 广告标识符（GAID）、未选择的图库照片或生物识别验证数据。
3.3 用户发起的分享与导出
当您使用应用功能将 PDF 保存到存储、将页面导出为 PNG 图像、通过电子邮件分享加密文件，或将其发送到云盘或消息应用（例如 Google Drive、WhatsApp）时，数据传输通过标准 Android 系统接口（Intent 与 SAF）进行。目的地和接收者均由您明确选择。
3.4 Umbrabyte 不会接收的数据
在 PDF Scanner 的标准使用过程中，Umbrabyte 不会在服务器上接收或存储：
- 您 PDF 文件的内容、文本或图像。
- 相机照片或文档扫描件。
- 手写签名或加密密码。
- 文件名、路径或本地元数据。
- OCR 识别的文本，或通过您系统的文字转语音引擎朗读的文本（此处理发生在您的设备上；如果您的默认 TTS 引擎是您自行安装的云服务，则发生在您的设备与该提供商之间——绝不通过 Umbrabyte 的服务器）。
- 地理位置轨迹或信用卡详细信息。
如果您通过电子邮件联系支持团队，我们会收到您的电子邮件地址、消息内容以及您自愿提供的任何附件。
4. 外部服务与数据通信
为确保安全分发、许可证验证以及应用程序的技术健康，PDF Scanner 使用 Google 提供的一组最小化平台服务：
4.1 通过 Google Play Billing 进行分发与支付
PDF Scanner 通过 Google Play Store 分发，并使用官方 Google Play Billing SDK (com.android.billingclient) 处理可选订阅（月度与年度）以及终身访问权购买。
- Google 处理的数据： 完成交易时，Google 会处理您的 Google 账户数据、付款卡/银行信息、设备标识符、订阅状态和账单信息。Umbrabyte 绝不接收或存储您的付款卡或银行账户详细信息。
- Umbrabyte 可访问的数据： Umbrabyte 仅在 Google Play Console 中访问匿名交易记录、购买地区、销售报告和权益状态，用于客户支持、法律要求的退款以及税务合规。
- 适用条款： 交易受 Google 隐私政策 和 Google Play 服务条款 约束。
4.2 通过 Firebase Analytics 进行产品分析
PDF Scanner 集成了 Firebase Analytics（由 Google Ireland Limited / Google LLC 提供），用于衡量产品稳定性和汇总功能使用情况。
- 收集的指标： 汇总的定量事件，例如屏幕浏览量（如主屏幕、阅读器、付费墙）、每日配额触发、技术错误或订阅流程完成情况。
- 严格的隐私保证： Firebase Analytics 经配置严格遵守我们的本地优先（Local-first）隐私模型。它不会收集文件名、文档内容、文本笔记、相机图像、签名、密码或本地文件 URI。
- Google Analytics 隐私： 详情请参阅 Firebase 隐私文档。
4.3 通过 Google ML Kit 进行本地处理（扫描仪与 OCR）
相机文档扫描使用 Google ML Kit On-Device Document Scanner 库。边缘检测、透视校正和滤镜增强均在您的设备处理器上本地运行。“OCR 与可搜索 PDF”功能还额外使用 Google ML Kit Text Recognition 库，其文字识别模型随应用自身的 APK 一起打包发布。两个 ML Kit 库均不会将扫描的照片、文档或识别的文本传输到 Google 的服务器；所有分析均在无互联网连接的情况下进行。
4.4 Android 自动备份（Google Backup）
如果您的 Google 账户启用了 Android 自动备份，您的 Android 操作系统可能会将应用偏好设置和本地数据库的加密备份保存到您个人的 Google Drive 存储空间中。Umbrabyte 无法访问这些备份文件。您可以在 Android 系统设置中管理此设置。
4.5 通过 Google Play Core（应用内更新 API）检查更新
PDF Scanner 使用 Google 官方的 Play Core 库（应用内更新 API）检查 Google Play 是否已发布新版本，并在有新版本时提供在不离开应用的情况下进行安装的选项。
- 工作原理： 检查直接在您的设备与 Google Play Store 服务器之间进行；Umbrabyte 不会通过此功能接收或处理任何个人数据。此功能不需要请求任何额外的设备权限——该检查复用了第 3.2 节中已描述的互联网访问权限。
- 更新类型： 根据所发布修复内容的严重程度（例如安全问题与微小视觉调整之间的差异），应用可能会显示灵活更新（在后台下载，不打断您的使用）或者仅在出现严重问题时显示立即更新。此检查绝不会在启动画面、入门教程或订阅付费墙期间运行。
- 用户控制： 始终由您通过 Google Play 自身的官方界面确认安装；应用绝不会在该界面之外自行下载或安装软件包。
4.6 通过系统文字转语音引擎进行语音合成
“朗读 PDF”功能使用您 Android 设备无障碍设置中默认配置的**文字转语音（TTS）**引擎，将您文档中的文本转换为音频（通常为“Google 语音服务”或设备制造商安装的其他引擎）。Umbrabyte 将文本传递给 Android 的标准 TextToSpeech 接口，不干预也不存储该交换过程。如果您选择的文字转语音引擎在云端而非您自己的设备上处理文本，则该处理将受该特定提供商自身隐私政策的约束，我们建议您从系统的无障碍设置中查阅该政策。
5. 处理目的与法律依据
根据欧盟通用数据保护条例（GDPR）、英国 GDPR 以及国际隐私框架，处理操作依赖以下法律依据：
| 活动 / 功能 | 目的 | 法律依据 |
|---|---|---|
| 本地 PDF 阅读、编辑、扫描、OCR 与转换 | 提供所请求的应用程序功能 | 合同履行 / 服务关系（GDPR 第 6.1.b 条） |
| 扫描仪的相机访问 | 实现文档的实时数字化 | 通过设备权限提示获得的用户明确同意（GDPR 第 6.1.a 条） |
| PRO 订阅与账单管理 | 验证访问权益、处理订单并履行法律义务 | 合同履行（第 6.1.b 条）与法律合规（GDPR 第 6.1.c 条） |
| 汇总产品分析（Firebase） | 评估应用程序稳定性、修复缺陷并改进用户界面 | 维护软件质量的正当利益（GDPR 第 6.1.f 条） |
| 更新检查（Google Play Core） | 使应用程序保持安全、稳定并及时获得最新修复 | 软件安全与正常运行的正当利益（GDPR 第 6.1.f 条） |
| 客户支持沟通 | 回应支持请求或权利请求 | 合同前/合同性措施（第 6.1.b 条）与正当利益（第 6.1.f 条） |
6. 数据保留、删除与管理
由于文档、签名和偏好设置均存储在您手机的本地，您对数据的保留和删除拥有完全的控制权：
| 数据类型 | 保留期限 | 删除方式 |
|---|---|---|
| PDF 文档、签名及本地偏好设置 | 只要应用仍已安装或未被手动删除 | 在 Android 设置中清除应用数据、删除本地文件，或卸载 PDF Scanner |
| 本地 PRO 购买状态 / 许可证 | 应用安装期间；可通过 Google Play 恢复 | 与您的 Google Play Store 账户自动同步 |
| Google Play Console 中的交易记录 | 法定税务与会计保留期限（通常为 5 到 10 年） | 由 Google 和 Umbrabyte 保留，以满足强制性法律合规要求 |
| 支持电子邮件往来记录 | 根据解决支持查询所需保留，最长不超过 3 年 | 定期清理邮箱 |
数据删除： PDF Scanner 不使用开发者服务器的用户账户。如需删除所有本地应用数据和文档，请在设置 > 应用 > PDF Scanner > 存储 > 清除数据中清除应用存储，或卸载该应用程序。
7. 数据安全
在 Umbrabyte，我们通过隐私与安全设计原则来优先保障数据安全：
- Android 进程隔离（沙盒）： 应用数据被隔离在私有的 Android 沙盒内，可防止其他已安装应用程序的未经授权访问。
- 文档加密： 使用“密码保护”功能时，生成的 PDF 使用标准的 128 位加密算法进行加密。您的密码绝不会被发送到任何服务器，记住密码完全是您自己的责任。
- 加密传输（TLS/HTTPS）： Google Play Billing、Firebase Analytics 和 Google Play Core 更新检查所需的网络通信严格使用 HTTPS/TLS 加密连接。
- 经过验证的更新： 应用程序更新仅通过 Google 官方的 Play Core Library 下载和安装，该库会在安装前验证软件包的加密签名，与从 Google Play Store 下载的任何手动更新一样。
我们建议您保持 Android 操作系统更新至最新安全补丁，并使用 PIN 码、图案或生物识别锁屏来保护您的设备。
8. 您在全球范围内的权利
无论您身处何地，我们都尊重您的隐私权利。您可以通过发送电子邮件至 support@umbrabyte.app 提交隐私咨询或行使您的权利。
欧洲经济区与西班牙（GDPR / LOPDGDD）
欧洲经济区（EEA）和西班牙居民享有 GDPR 第 15 条至第 22 条详述的权利：
- 访问、更正与删除： 请求确认数据处理情况、访问您的数据，或请求删除。
- 限制与反对： 反对或限制基于正当利益的处理。
- 数据可携性： 随时可直接从您的设备导出或移动您的标准 PDF 文件。
- 监管机构： 向西班牙数据保护局（AEPD）（www.aepd.es）或您所在地的欧洲经济区隐私监管机构投诉。
英国（UK GDPR）
英国居民享有 UK GDPR 和 2018 年数据保护法（Data Protection Act 2018）赋予的权利，并可联系信息专员办公室（ICO）（ico.org.uk）。
美国（加州 CCPA/CPRA 及各州法律）
对于加州及其他适用隐私法律的美国州居民：
- Umbrabyte 不出售或共享个人信息，也不从事有针对性的跨情境行为广告。
- 我们不会为广告目的收集或处理敏感个人信息。
- 您可以通过联系我们的隐私邮箱请求数据访问或删除。
巴西（LGPD）、加拿大、澳大利亚、日本及全球其他地区
我们依据巴西《通用数据保护法》（LGPD）、加拿大《个人信息保护和电子文件法》（PIPEDA）、澳大利亚《隐私法》（Privacy Act）、日本《个人信息保护法》（APPI）以及其他适用的全球隐私法规履行隐私请求。
9. 儿童隐私
PDF Scanner 是一款面向大众及成人专业使用的文档工具。它并非针对 13 岁以下（或同等法定最低年龄）的儿童设计。我们不会故意收集儿童的个人数据。父母或监护人可以随时管理设备权限或删除本地应用存储。
10. 本隐私政策的变更
我们可能会定期更新本隐私政策，以反映应用改进或法律更新。更新内容将以修订后的生效日期永久发布在此固定网址上。
11. 联系方式
如有隐私咨询、权利请求或需要支持，请联系：
Cristian Donet Segura — Umbrabyte Apps
Calle Pintor Camarón, nº 24
12560 Benicasim, Castellón, España
电子邮件：support@umbrabyte.app
网站：https://umbrabyte.app