DocCipher · 移动应用
隐私政策
DocCipher 将您的文档保存在设备上的加密保险库中。不存在 DocCipher 账户，也不存在 BB16 Studio 文档服务器。
数据控制者
数据控制者为 DocCipher 的发布者 BB16 Studio。如对您的数据有任何疑问或请求，请发送邮件至 bb16studio@gmail.com。本政策适用于已宣布将在 Google Play 发布的 Android 版 DocCipher。该应用尚未上架。
文档和本地加密
导入的文档及其预览、OCR 识别出的文字、文件夹、标签和保险库数据都会保存在应用的私有空间中。保险库在设备上加密。BB16 Studio 不会收到您的文档、文档内容、密码或恢复材料。
文字识别（OCR）使用应用内置模型在设备上进行：任何图片或文字都不会为此发送到服务器。
本地提醒和保险库外数据
如果您启用提醒，DocCipher 会在应用私有空间内、加密保险库之外保存一份有限的计划，其中只包含日期、计数、所选时间和通用文字。这样即使保险库处于锁定状态，也能发出本地提醒。该计划不包含文档标题、姓名、编号或类别。锁屏上的通知使用通用标题。这些数据不会通过推送通知服务发送。
无文档服务器，无同步
BB16 Studio 不运营任何用于托管、分析、同步或备份您文档的服务器。此版本不提供 WebDAV 或 Nextcloud 同步，也不提供其他在线存储。只有在您主动导出时，文档才会离开设备。
由您选择的导出和备份
只有当您明确触发导出，并通过系统选择器或分享面板选择目的地时，文档或 .dcvault 备份才会离开应用。.dcvault 备份仍保持加密；以明文导出的文档不再加密，此后其安全性取决于您选择的目的地。
恢复工具包（您的恢复短语及其二维码）只有在您打印、保存为 PDF 到所选位置或复制恢复短语时才会离开应用。此后，它将由您选择的打印机、目的地或剪贴板处理。
Android 自动备份和向新设备自动迁移均已停用。
Android 购买 SDK 可能会请求 Google Block Store 备份与购买关联的假名化标识符，以便恢复购买。此渠道不同于上述已停用的应用文件备份；它不包含您的文档。
生物识别解锁
如果您启用此功能，生物识别解锁会使用 Android 系统提示。DocCipher 只会收到身份是否通过确认的结果；它无法访问任何指纹、面部图像或生物识别模板，这些数据始终保留在设备的安全区域内。生物识别不会取代您的 PIN 码，后者仍然必需。
计划首发提供的紧急清除码和伪装保险库
这两项可选功能计划包含在终身 Premium 使用权中，无需额外付费。其本地实现仍在验证中；是否公开提供取决于安全审查和所需的设备测试能否通过。
启用紧急清除码是自愿操作，需要先用主密码完成身份验证，再输入两次独立 PIN、确认两项同意并确认不可逆操作。您可以选择部分保险库或所有保险库。此后，只有准确输入已启用的紧急清除 PIN，才会在不再显示对话框的情况下，对所选保险库中的文件、本地密钥、缓存和缩略图执行逻辑删除。该操作不保证物理擦除存储。已导出的备份、云端副本和其他外部备份不会被删除。
伪装保险库是一个独立的本地保险库，拥有自己的 PIN、密钥和内容。打开后只显示其中的内容。该功能用于防范偶然窥视，并已公开说明；它既不保证观察者不知道其存在，也不保证设备分析无法将其识别出来。
可选购买
DocCipher 与 RevenueCat 的数据交换用于显示方案、购买、恢复购买，以及核实与这些可选操作相关的 Premium 使用权。您无需购买也可使用 DocCipher。付款由 Google Play 完成。购买和 Premium 使用权的验证委托给 RevenueCat；该服务商代表 BB16 Studio 并依照其指示处理数据（即《通用数据保护条例》所称的数据处理者）。SDK 配置后，应用回到前台时可能会再次向其查询 Premium 使用权状态。任何文档、保险库、PIN、密码或密钥都不会经过此路径。
打开方案、购买、恢复购买或存在已知 Premium 使用权时，也会在本地留下 Premium 兴趣标记。之后启动应用时，即使未打开方案，该标记也可能触发 SDK 配置并再次核实使用权。无法读取的标记会被视为存在，以便恢复使用权。此初始化最早可能在进程首次解锁时开始；它既不保证每次启动都会发出请求，也不保证会收到网络响应。
在每次此类交换中，RevenueCat 会收到：
- 一个随机用户标识符，由 RevenueCat SDK 在应用首次联系它时创建；
- 每次请求附带的技术信息：平台和 Android 版本、设备型号和品牌、设备的一种或多种语言、您的 Google Play 账户所在国家/地区、应用标识符、应用版本及 SDK 版本；
- 您的连接 IP 地址；所有被联系的服务器都会收到该地址，并可能据此推断大致国家/地区。
购买或恢复购买时，RevenueCat 还会收到 Google Play 购买令牌（收据）、所购产品、价格和币种以及交易日期，并据此确定您的 Premium 使用权状态（有效或已过期）。
该标识符不包含您的姓名或电子邮件地址，但并非匿名：它与您的 Google Play 购买记录关联，而购买记录又与您的 Google 账户关联；恢复购买时还可能将它与您其他安装实例的标识符关联。这是一项假名化数据。应用不会创建账户；广告标识符、Android 标识符等设备标识符的自动收集已停用，SDK 诊断也已停用。
与 Play 商店中的所有购买一样，Google Play 会收到您的 Google 账户、所购产品和付款信息。Google 作为独立的数据控制者，依据其自身隐私政策处理这些数据。在控制台中，Google Play 会向 BB16 Studio 提供管理销售所需的订单信息，尤其是订单号、产品、价格和购买国家/地区。BB16 Studio 永远看不到您的银行信息。
目的和法律依据
与 RevenueCat 的数据交换用于管理您的购买和 Premium 权益：
- 应用每次联系 RevenueCat 时核实您的 Premium 使用权，即使您从未购买：该处理为履行应用使用合同所必需（《通用数据保护条例》第 6 条第 1 款 b 项）；
- 处理购买或恢复购买：该处理为履行购买合同所必需（《通用数据保护条例》第 6 条第 1 款 b 项）。
购买数据还用于 RevenueCat 中的销售和订阅统计。这些数据不会用于广告、广告画像或广告跟踪。如果您向我们发送消息，我们会使用您的消息和电子邮件地址回复您；其法律依据是我们对此的合法利益，或您行使权利时我们须履行的法律义务。
向欧盟以外传输
RevenueCat, Inc. 位于美国，上述购买数据会在那里处理。此类传输受欧盟委员会标准合同条款约束，这些条款已纳入 RevenueCat 的数据处理协议。您可以发送邮件至 bb16studio@gmail.com 索取副本。
保存期限
RevenueCat 会在管理和恢复您的购买仍有需要期间保存购买数据，并会在您提出请求时删除这些数据（参见“删除和您的权利”）。如果您从未购买，但应用曾联系 RevenueCat，后者会代表 BB16 Studio 保存一条假名化记录，仅包含上述标识符和技术信息；只要该记录仍为此联系所需就会保留，并可应请求删除（参见“删除和您的权利”）。Google Play 按照自身政策保存订单数据。您的文档会留在设备上，直到您在应用中删除。通过紧急清除码执行的清除会对所选保险库及其本地数据进行逻辑删除；外部备份仍会留在其目的地，直到您在那里将其删除。
DocCipher 不会做什么
- 无需 DocCipher 用户账户，也不会要求提供电子邮件地址。
- 无广告，不使用广告标识符，也不出售数据。
- RevenueCat 会处理上述购买数据，包括将其用于销售统计。我们未添加任何用于跟踪文档使用情况或报告崩溃的软件开发工具包；ML Kit 库中的诊断组件已被移除。
- 不跨应用或跨网站跟踪。
Android 崩溃报告
如果您已在设备设置中同意与 Google 分享使用情况和诊断数据，Android 可能会向 Google 发送崩溃和性能报告。Google Play 会在其控制台（Android Vitals）中以汇总统计数据和技术报告的形式向 BB16 Studio 提供这些信息，包括设备型号、Android 版本和错误堆栈。此机制属于系统，而非 DocCipher。这些报告不包含您的文档、姓名或电子邮件地址，您可以在设备设置中将其停用。
在 Google Play 中评分
DocCipher 可在成功保护一份文档或成功完成一次备份后调用 Google Play 官方应用内评价 API。应用绝不会在启动时、处理期间、失败后或从紧急清除码和伪装保险库界面发出请求。两次请求之间至少间隔 90 天。是否显示界面由 Google Play 决定；DocCipher 不会收到评分、评论或分数，也不知道评价卡是否已经显示。此渠道不会传送任何文档、保险库、PIN 或输入的文字。
Android 权限
为 Google Play 准备的 Android 构建版本清单恰好声明了七个条目：
android.permission.INTERNET— 仅用于购买；com.android.vending.BILLING— Google Play 结算；android.permission.USE_BIOMETRIC— 显示系统生物识别提示；不会因此获得任何生物识别数据；android.permission.USE_FINGERPRINT，仅限 Android 9 及更早版本 — 在这些版本中承担相同作用；android.permission.RECEIVE_BOOT_COMPLETED— 重启后重新安排本地提醒；android.permission.POST_NOTIFICATIONS— 显示本地提醒，并在需要时请求系统授权；- 一项应用内部签名权限，不会开放任何设备功能。
应用不会请求相机、位置、联系人、麦克风或扩展存储权限：文件通过系统选择器传递。
删除和您的权利
您可以在应用中删除文档。如果您自愿启用了 Premium 紧急清除选项，其独立 PIN 可以对您选中的本地保险库或所有本地保险库执行逻辑删除。该操作在应用中不可逆，但不保证物理擦除，也不会删除任何外部备份。您还可以在 Android 设置中清除 DocCipher 的全部本地数据，或卸载应用。导出的副本会一直留在所选位置，直到您在那里将其删除。BB16 Studio 无法远程提取、解密或恢复您的保险库。
对于 RevenueCat 代表 BB16 Studio 处理的数据，您可以请求访问、更正、删除、限制处理或数据可携带；当处理依据为我们的合法利益时，您还可以提出反对。请发送邮件至 bb16studio@gmail.com。如果您已购买，请提供 Google Play 订单号：该号码以“GPA.”开头，可在 Google Play 发送的收据电子邮件中找到。如果您从未购买，但应用曾联系 RevenueCat，请提供大致日期和设备型号：由于应用不会要求您提供任何身份信息，这些信息连同 RevenueCat 自有标识符足以找到您的记录，无需订单号。切勿附上文档、密码、密钥或恢复短语。《通用数据保护条例》规定我们须在一个月内回复。
删除这些数据不会取消您的购买：Google Play 仍会保留购买记录，之后恢复购买时会重新找到该记录，并再次向 RevenueCat 传送上述数据。订阅需在 Google Play 中管理和取消。
如果您认为自身权利未获尊重，可以向数据保护机构投诉；在法国，该机构为 CNIL。
变更
如果应用的数据流、第三方服务或权限发生变化，本页将随之更新。