隐私政策

I. 简介

e-Scanner 是一款由 PB Solutions Co., Ltd（以下简称“我们”）开发并发布的文档扫描应用。本政策适用于 e-Scanner 应用及本网站，旨在透明地说明我们如何处理您的数据、数据在何时会离开您的设备以及参与处理的第三方合作方。

数据负责人与联系方式：

• 数据控制者PB Solutions Co., Ltd
• 通信地址No. 12, Lane 56, Le Quang Dao Street, Residential Group 6, Tu Liem Ward, Hanoi, Vietnam
• 联系与支持邮箱support@pbsolutions.io

II. 我们处理的数据

本网站与 e-Scanner 应用彼此独立运行，二者处理数据的方式完全不同。

1. 关于本网站

• IP 地址托管服务器及集成服务可能会接收您的 IP 地址，用于页面显示及分析流量，例如判断访问区域或来源。该数据仅用于汇总统计，绝不与任何个人信息进行关联。
• 支持表单当您提交表单时，您填写的信息（邮箱、内容与设备信息）将通过 Web3Forms 发送至我们的邮箱，仅用于回复您的咨询。

2. 针对 e-Scanner 应用

• 个人文档数据扫描件、PDF 文件、OCR 文本及缩略图均仅安全存储在您的本地设备中。绝不向我们的服务器发送任何数据。
• 上传至云端的数据仅在您主动使用在线功能时产生（如 PDF 转 Word、Word 转 PDF 或高级文本提取）。您的文件将被清除原始文件名，并通过加密连接传输至服务器进行处理。所有文件在处理完成后均会立即从我们的服务器自动永久删除。
• 使用额度数据仅记录匿名设备 ID 和已处理页数，用于管理套餐配额。绝不收集文件内容、文件名或您的文本。
• 应用日志通过 Firebase 收集自动崩溃报告，用于修复错误并保障应用安全。该数据绝不包含文档内容、文件名或个人信息。
• 设备访问权限仅获取必要权限：相机用于扫描，相册用于导入文件，Face ID/Touch ID 用于应用锁。通过这些权限获取的数据绝不会被收集或发送。
• 本地离线处理数据所有扫描、基础 OCR 及 PDF 处理（合并、拆分、压缩、旋转、加密等）均 100% 在您的设备本地运行，无需连接网络。

III. 为什么要处理

所收集的数据仅用于以下特定目的：

• 履行服务请求根据您的请求处理和转换文件（如高级 OCR 或 PDF 格式转换），并将结果返回至您的设备。
• 套餐额度管理通过匿名设备 ID 记录处理页数和使用次数，以执行免费版与高级版（Premium）的额度限制。
• 保障应用稳定性与修复错误分析崩溃日志和技术细节（堆栈轨迹/stack trace），以排查并修复应用错误。
• 安全防护与防滥用验证请求是否来自官方应用，以防止欺诈、自动化脚本攻击或恶意刷取额度。
• 客服与问题回复接收并回复您通过支持表单提交的咨询、反馈或求助信息。
• 应用内购买状态验证根据应用商店（如 Apple App Store 或 Google Play Store）提供的支付凭证验证您的订阅状态。

我们绝不将您的文档、提取文本或 OCR 数据用于广告推送、用户画像（profiling）或 AI 模型训练。除上述已列明的目的外，我们不会将您的数据用于任何隐秘目的。

针对 GDPR 适用范围内的用户，我们的法律依据包括：

(1) 为履行您所请求的服务而必需的合同履约。

(2) 您对在线处理功能的同意（您可随时停止使用）。

(3) 我们在维护服务稳定及防止系统滥用方面的合法利益。

IV. 数据共享与第三方处理者

我们绝不会读取、分析您的文档内容，也不会对您进行用户画像。唯一的例外是您主动使用在线功能时。但即使在这种情况下，您的数据也绝不会被用于训练任何人工智能（AI）模型（无论是由我们还是任何第三方开发）。

以下是代表我们处理数据的全部第三方合作伙伴名单：

• Apple Inc. (美国)通过 App Store 进行应用分发及 Premium 高级版订阅支付处理。 隐私政策： https://www.apple.com/legal/privacy/
• Mathpix, Inc. (美国)高级 OCR 处理。仅接收已删除原始文件名的文件，且每次请求都会附带 Mathpix 的退出标记，使该文件不会被用于改进其模型。 隐私政策： https://mathpix.com/privacy
• Google LLC - Firebase (美国)收集崩溃报告、生成匿名标识符及应用完整性验证。 隐私信息： https://firebase.google.com/support/privacy
• RevenueCat, Inc. (美国)管理并同步订阅状态。 隐私政策： https://www.revenuecat.com/privacy
• Web3Forms (美国)处理并将网站联系表单提交的内容转发至我们的邮箱。 隐私政策： https://web3forms.com/privacy

V. 跨境数据传输

• 我们的服务器位于越南，处理在线任务（如高级 OCR 和 PDF 格式转换）。
• 第三方合作伙伴（第四部分）根据您所在的地缘区域，数据将在美国、新加坡或合作伙伴的全球数据中心网络中进行处理与存储。

对于位于欧洲经济区（EEA）或英国（UK）的用户，仅在您主动使用在线功能时，数据才会离开您所在的地区。数据跨境传输的保护机制遵循标准合同条款（SCCs）或第四部分中所列各合作方的独立隐私政策。

VI. 本地数据存储与安全

四重最高级别安全防护，100% 仅存在于您的设备上：

• 本地数据库采用 AES-256 算法对所有文档内容进行加密，包括标题、标签、文本内容及缩略图。
• 加密密钥在设备上直接生成并安全存储于硬件安全区域（Keychain/KeyStore）。密钥绝不离开设备或同步至云端，确保即使是我们也无法解密您的文档。
• 应用锁PIN 码以加盐哈希（salted hash）形式安全存储于本地，绝不进行传输。生物识别验证由操作系统直接处理，应用仅接收验证结果。
• 数据删除机制被删除的文档首先进入本地回收站。执行永久删除时，应用会重写数据并彻底销毁对应的解密密钥，确保文件无法恢复。

VII. 数据保留期限

• 文档与元数据 (Metadata)仅存储于您的设备上，直至您主动删除。卸载应用将同时彻底删除设备上的所有相关数据。
• 高级 OCR 处理文件通过加密连接直接实时处理，不在服务器上进行存储，OCR 合作伙伴亦不保留任何数据。
• Word 转 PDF 转换文件下载成功后立即自动删除，或在上传后最长 30 分钟内自动永久清除。
• 使用额度数据仅保留匿名设备 ID、处理页数及转换次数，保留期限视管理套餐配额需要而定。绝不包含任何文档内容。
• 崩溃日志（Firebase）在 Google 系统中保留约 90 天用于故障排查，之后自动彻底删除。
• 客服请求与联系记录在处理您的请求期间及之后的合理期限内保留，以便为您提供后续支持。

VIII. 您的权利

根据您所在地区的法律法规，您可能对个人数据享有以下权利：

• 访问权请求获取我们持有的您个人数据的副本。
• 更正或删除权请求更正或删除您的个人数据。
• 限制或反对权请求限制或反对对您个人数据的处理。
• 申诉权向您当地的数据保护主管机构提出申诉。

实际上，您可以在设备上完全自行管理或删除文档。我们可能保留的唯一数据仅包括客服沟通历史及匿名订阅状态。

如需行使上述权利，请发送邮件至 support@pbsolutions.io。由于应用不收集个人身份信息，我们需要您提供先前联系时使用的邮箱以便查找相应记录。

IX. 关闭可选功能

您可以在应用内直接管理或关闭以下功能，无需联系客服：

• 高级 OCR在“设置”中关闭开关。关闭后，任何文档均不会离开您的设备。
• 文档与元数据 (Metadata)直接在应用内删除并清空回收站。卸载应用将彻底删除资料库及其对应的加密密钥。
• 客服请求与联系记录联系我们，我们将删除该沟通历史记录。
• 崩溃报告 (Crash Reports)目前应用内暂无关闭开关。报告不包含姓名、邮箱或文档内容，并由 Google 在约 90 天后自动删除。

本应用不发送营销邮件，也不收集广告标识符，因此您无需进行任何退订或重置操作。

X. 数据安全

您的数据安全防护层级：

• 静态存储整个资料库（文档与数据库）均采用 AES-256 算法加密。解密密钥单独保存于设备的硬件级安全区域（Keychain/KeyStore）中。
• 传输过程应用传输的所有数据均强制通过 TLS 加密通道进行。
• 服务器端未携带有效完整性验证令牌（Integrity Attestation Token）的请求将被系统自动拒绝。
• 日志记录加密密钥、文档内容及 OCR 文本绝不记录于日志，亦不提交或发送至任何分析系统。

说明：没有任何系统是绝对完美的。但通过本地优先的架构设计，您最敏感的数据始终仅保留在您的设备上 - 即使我们的服务器遭入侵也无法触及。

XI. 儿童隐私

e-Scanner 不面向 13 周岁以下（或当地法律规定的 16 周岁以下）儿童，且我们不会故意收集儿童的个人信息。若您发现儿童在未经父母或监护人同意的情况下使用了本应用，请及时与我们联系以便妥善处理。

XII. 政策变更

我们可能会随着应用的发展更新本隐私政策。页面顶部的“最后更新日期”始终反映当前版本。若涉及数据处理的重大变更，我们将会在应用更新说明中明确标注，或在本页面顶部进行醒目提示。