隐私政策

所有者与数据控制者

简要说明

• 所有者不运营任何接收用户文稿的服务器。文稿存储在用户的设备上；开启 iCloud 同步或自动备份后（两者均默认开启），也存储在用户自己的 iCloud 储存空间中，该储存空间由 Apple 运营，所有者无法访问。关闭同步不会停止备份：备份是一项单独的设置。
• 文稿中的文字在设备上识别。名称、摘要、标签、文件夹说明、对识别文字的纠错，以及以卡片形式显示的数据，均由 Apple 的语言模型在设备上或通过 Apple 的 Private Cloud Compute 生成。在可用的情况下，私密连接默认开启；用户可以在应用设置中切换为“仅限 iPhone”。
• 无需账户。没有广告、分析或跟踪软件。没有 Cookie。

收集的数据类型

本应用自行或通过第三方处理的个人数据类型包括：用户扫描或导入的文稿（页面的相机图像、PDF 文件和图像）及其包含的一切内容；其中识别出的文字；由这些文字衍生的内容（建议的名称和文件夹、文稿的日期、摘要、建议的标签、对识别错误的纠正，以及金额、截止日期、参考编号和联系人等数据）；根据文件夹中各文稿的摘要生成的文件夹简短说明；用户为文稿和文件夹设定的名称和标签；用户手绘或键入的签名和姓名首字母；偏好和设置；与用户共享文件夹的人员的姓名和 iCloud 身份（由 Apple 提供）；设备信息；应用诊断信息；用户发送给所有者的消息内容及用户的电子邮件地址；以及记录在网站服务器日志中的使用数据。

文稿可能包含任何类型的信息，包括第三方的数据和特殊类别的数据（例如一份医疗报告）。本应用对每份文稿一视同仁，按下文所述方式处理，并且绝不会把任何文稿发送给所有者。用户须对其存储或共享的文稿中所含的第三方个人数据负责，并确认自己有权这样做。

除非另有说明，此处所述的数据是使用它的功能所必需的；用户始终可以决定不扫描、导入或共享某份文稿。

数据处理的方式与地点

处理方式

所有者采取适当的安全措施，防止数据被未经授权访问、披露、修改或未经授权销毁。数据使用信息技术工具处理，所遵循的程序与所述目的严格相关。除所有者外，数据仅可能由本文件中点名的外部方访问，这些外部方在必要时担任数据处理者。

地点

数据在用户的设备上、用户自己的 iCloud 账户中处理，除非用户选择“仅限 iPhone”，否则还在 Apple 的 Private Cloud Compute 上处理；对于用户发送的消息以及网站的流量和日志，则在所有者的办公场所和下文所列的服务提供商处处理。视用户所在地而定，这可能涉及把数据传输到用户所在国家以外的国家，包括美国。对于欧洲经济区、英国和瑞士的用户，Apple 的服务由 Apple Distribution International Limited（爱尔兰）提供；据 Apple 称，该公司依据标准合同条款将数据传输到这些地区以外。下文各节会说明其他服务提供商所依据的保障措施。

保存期限

文稿、其文字及其分析结果会一直保留在用户的设备和用户的 iCloud 储存空间中，直到用户将其删除。自动备份默认每天运行一次并保留最近 3 份，或按用户设定的频率和数量执行；手动备份绝不会被自动删除。已删除的文稿会保留在现有备份中，直到这些备份被移除：自动备份在轮替时移除，手动备份在用户删除时移除。设备上的技术日志在达到固定大小时轮替，保留最新的条目。发送给所有者的电子邮件，在处理请求及后续跟进所需的期间内保存。网站日志在不再为安全和故障排查所需后即被删除。

处理的目的

• 扫描和导入文稿，并将其存储为按文件夹整理的 PDF 文件；
• 识别文稿中的文字，使用户能够阅读和搜索；
• 为文稿建议名称、文件夹、日期和标签，撰写简短摘要，以卡片形式显示其数据，并描述每个文件夹中的内容；
• 通过用户的 iCloud 账户，在用户的各台设备之间同步用户的文稿，并与用户邀请的人员共享文件夹；
• 在用户自己的存储空间中创建备份；
• 回复用户的电子邮件，并调查用户报告的问题；
• 运营网站 paginascan.com；
• 遵守适用的法律（法律依据：法律义务）。

所有者不会作出任何完全基于自动化处理、并对用户产生法律效力或类似重大影响的决定。语言模型仅提供建议；由用户作出决定。

个人数据处理的详细信息

相机与导入的文件

如果用户授予权限，本应用仅在用户对准一页纸时，通过 Apple 的文稿扫描器 (VisionKit) 使用相机。用户也可以导入在“文件”App 中选取的 PDF 文件和图像；本应用只读取用户选取的文件。每份文稿在设备上保存为一个 PDF。

处理的个人数据：页面的图像；导入的文件；其中可见的一切内容。

法律依据：履行用户所请求的服务。

处理地点：用户的设备。

文字识别与分析

每份文稿中的文字使用 Apple 的 Vision 框架在设备上识别。为了建议名称、文件夹和日期，撰写摘要，并找出以卡片形式显示的数据，本应用会按应用设置中的设定，把识别出的文字（新扫描件为前几页；重新分析文稿时为其文字，以一定大小为限），连同用户的文件夹的名称和说明（针对新扫描件），交给 Apple 的一个语言模型 (Foundation Models)。默认使用私密连接：

• 仅限 iPhone：模型在设备上运行，任何内容都不会离开设备。
• 私密连接（在可用的情况下，自 iOS 27 起）：请求由 Apple 的 Private Cloud Compute 处理；据 Apple 称，它仅为回应请求而使用数据，不会存储数据，并使任何人都无法访问，包括 Apple 和所有者。如果该功能不可用，或用户的每日额度已用完，则改用设备自身的模型。

使用私密连接时，文字识别完成后，识别出的文字（以一定大小为限）也会交给 Private Cloud Compute，以纠正其中的识别错误。在描述文件夹时，模型会收到该文件夹的名称、其当前说明，以及刚刚添加或移除的那一份文稿的摘要。选择仅限 iPhone 时，这些操作都在设备上运行，但纠错不会执行。

识别出的文字和分析结果与文稿一同存储，并像文稿的其余部分一样随文稿流转。所有者绝不会收到它们。

处理的个人数据：文稿的文字；用户的文件夹的名称和说明；文稿的摘要；分析结果。

法律依据：履行用户所请求的服务。

处理地点：用户的设备；使用私密连接时，为 Apple 的 Private Cloud Compute（参见 Apple 的说明和 Apple 的隐私政策）。

将日期添加到日历

在显示日期的卡片上，用户可以打开系统的事件编辑器，其中已预先填入该文稿的名称和该日期。该编辑器由 iOS 运行：本应用不会请求访问日历，也不会从中收到任何内容。

搜索与聚焦

为了搜索文稿，本应用在设备上保存一份索引，包含文稿的名称、标签、文件夹和识别出的文字。该索引由文稿衍生而来，绝不会同步，也不包含在备份中。如果用户在应用设置中开启“聚焦”（默认关闭），文稿的名称、标签、摘要和识别出的文字还会被添加到该设备上的系统搜索索引中，由 iOS 管理，以便能从系统搜索中找到它们。关闭后，这些内容会被移除。

处理的个人数据：文稿的名称、标签和摘要及其识别出的文字。

法律依据：履行用户所请求的服务；对于“聚焦”，为用户的选择。

处理地点：用户的设备。

签名

用户可以在应用设置中保存一个或多个签名，每个签名带有用户自选的名称，由用手指或 Apple Pencil 手绘的签名和姓名首字母组成（姓名首字母也可以键入），并可将其放置在文稿的页面上。已放置的签名随文稿一同保存，可在应用中移动或移除，并且仅在用户共享 PDF 时才会印入其中。这是手写风格的图像，不是数字签名或合格电子签名。放置在文稿上的签名像文稿的其余部分一样随文稿流转，包括流转给与之共享文件夹的人员。已保存的签名存储在设备上，绝不会成为共享文件夹的一部分。只有当用户在“签名”设置中开启“保存到 iCloud 和备份”（默认关闭）时，它们才会同时存储在用户的私人 iCloud 数据库中（需开启 iCloud 同步），并包含在应用的备份中。关闭后，在 iCloud 同步开启期间，它们会从私人 iCloud 数据库中移除；此前创建的备份会保留它们，直到这些备份被移除。它们仍保留在设备上。

处理的个人数据：已保存签名的名称、签名和姓名首字母的手绘图案、键入的姓名首字母，以及新签名在页面上的放置位置和与页面边缘的距离。

法律依据：履行用户所请求的服务；对于 iCloud 和备份，为用户的选择。

处理地点：用户的设备；经用户选择，为用户的私人 iCloud 数据库和备份。

高级统计

本应用会针对每份文稿统计语言模型对其做了多少工作：请求次数以及读取和写入的 token 数量，按步骤以及工作是在设备上运行还是通过 Private Cloud Compute 运行来划分，并附有每日和总体的合计。这些统计数据保存在设备上，绝不会同步，也不包含在备份中。只有当用户在应用设置中开启“高级统计”（默认关闭）时才会显示。这些统计数据也会出现在下文所述的技术日志中，不含任何文稿内容。

处理的个人数据：使用次数统计，不含任何文稿内容。

法律依据：履行用户所请求的服务。

处理地点：用户的设备。

数据存储与 iCloud 同步

文稿、文件夹、其文字和分析结果以及用户的偏好设置存储在设备上。开启 iCloud 同步后（默认开启，可在应用设置中关闭），它们还会存储在用户的私人 iCloud 数据库中，由 Apple Inc. 管理，以便在用户的其他设备上使用。Apple 的通知服务会在内容发生变化时告知本应用；这些通知不含任何文稿内容。关闭同步不会删除 iCloud 中已有的内容。所有者无法访问这些内容。

如果用户开启了 iCloud 云备份，无论本应用自身如何设置，iOS 都会把本应用的数据包含在设备备份中。

处理的个人数据：文稿以及上文列出的一切内容。

法律依据：履行用户所请求的服务。

处理地点：用户的设备；开启 iCloud 同步时，为 Apple 的数据中心。

文件夹共享

用户可以通过 iCloud 与其他人共享文件夹。此后，其中的文稿及其文字和分析结果将对用户邀请的参与者可见；如果用户授予编辑权限，参与者还可以修改文稿或向其中添加内容。共享文件夹中的文稿存储在共享者的 iCloud 账户中。用户可以随时停止共享，参与者也可以随时退出。参与者保存到自己文件夹中的副本，在共享结束后仍由其保留。

处理的个人数据：共享文件夹中的文稿；共享者和参与者的姓名及 iCloud 身份（由 Apple 提供）。

法律依据：履行用户所请求的服务。

处理地点：共享者和参与者的 iCloud 账户，由 Apple Inc. 管理。

备份

备份（无论自动还是手动）以文件形式保存在用户自己的存储空间中：在可用时保存在用户的 iCloud Drive 中，否则保存在设备上。备份包含文稿、其文字和分析结果以及用户的设置。自动备份默认开启，无论 iCloud 同步是否开启都会运行，并可在应用设置中更改。所有者无法访问这些备份。

处理的个人数据：文稿以及上文列出的一切内容。

法律依据：履行用户所请求的服务。

处理地点：用户的设备；用户的 iCloud Drive，由 Apple Inc. 管理。

崩溃报告与诊断

在 App Store 上，只有当用户已在设备的隐私设置中选择与 App 开发者共享崩溃日志时，崩溃日志才会到达所有者。在 TestFlight 中，Apple 会向所有者提供崩溃报告、测试员发送的反馈和截屏，以及测试员的姓名和电子邮件地址。

本应用还在设备上保存一份大小有限的技术日志，记录本应用所做的操作。只有当用户将其附加到发给所有者的电子邮件中，或从应用设置中导出时，它才会离开设备，并且每次都由用户选择其中包含的内容。默认包含的技术类别含有时间、数量、大小、状态、错误、内部标识符、购买状态、应用版本、设备型号、iOS 版本和区域设置，绝不含用户文稿的文字或名称。另有两个类别，只有当用户为该封邮件或该次导出开启时才会包含：文稿文本（用户文稿中识别出的文字，例如姓名、地址、税号、金额或账号）和文稿名称（用户的文稿和文件夹的名称）。目前，本应用不会向这两个类别写入任何内容。

处理的个人数据：设备型号；操作系统版本；诊断信息；上述技术日志的内容。

法律依据：所有者查找和修复错误的合法利益；对于技术日志，为用户发送日志的选择，而对于其中两个涉及个人信息的类别，为用户针对每封邮件或每次导出给出的同意。

处理地点：Apple；对于技术日志，为用户的设备，以及（若已发送）所有者的电子邮件服务。

购买

PaginaScan Pro 的购买由 Apple 通过 App Store 处理。所有者不会收到任何付款信息，也不会收到买家的任何个人数据，只会收到 Apple 提供的汇总销售和下载报告，其中包括有多少次下载来自网站上的链接。本应用在设备上向 Apple 核实用户的 Apple 账户拥有哪些购买项目。

法律依据：履行用户所请求的服务。

处理地点：Apple。

通过电子邮件联系所有者

用户可以通过电子邮件联系所有者，也可以从应用中联系（“设置”、“支持”、“帮助与反馈”，或摇动设备），这会在用户自己的邮件 App 中准备好一封邮件。在用户发送之前，不会发送任何内容。错误报告包含应用版本、iOS 版本和设备型号，用户可以选择附上上述技术日志。

处理的个人数据：电子邮件地址；用户的电子邮件账户中设置的姓名；邮件及任何附件的内容；对于错误报告，为应用版本、iOS 版本和设备型号。

法律依据：履行用户所请求的服务，以及所有者回复其收到的消息的合法利益。

处理地点：意大利以及所有者的电子邮件服务提供商 Google (Gmail) 的所在地，后者可能包括美国，依据为欧盟－美国数据隐私框架。

网站

网站 paginascan.com 是静态网站。它不设置 Cookie，也不运行分析。每次请求都会经过 Cloudflare, Inc.（由其保护和分发网站），然后到达所有者的服务器。在显示电子邮件地址的页面上，Cloudflare 会添加一个小脚本，以保护该地址不被自动采集。

与任何网络服务器一样，该服务器会在日志中记录每次请求（IP 地址、日期和时间、请求的页面、响应代码、浏览器用户代理），仅用于安全和故障排查。该网站托管在向 DigitalOcean, LLC 租用的服务器上，后者担任数据处理者。Cloudflare 同样担任数据处理者：它处理访问者的 IP 地址和请求，可能接收其浏览器发送的网络错误报告，并且是该域名的注册商。

处理的个人数据：使用数据（IP 地址、日期和时间、请求的页面、浏览器用户代理）。

法律依据：所有者运营安全网站的合法利益。

处理地点：Cloudflare 的网络和托管服务提供商的数据中心；当数据被传输到美国时，依据 Cloudflare 和 DigitalOcean 数据处理条款中的保障措施（欧盟－美国数据隐私框架或标准合同条款，视情况而定）。

Cookie 政策

本应用是原生移动应用，不使用 HTTP Cookie。设备上的本地存储（例如设备上的数据库和应用的偏好设置）仅用于服务运行所需的内容。网站不设置 Cookie。

本应用不包含任何用于分析、广告或跟踪的第三方软件开发工具包，也不会按照 Apple 的 App 跟踪透明度框架请求跟踪权限，因为它不进行跟踪。

用户依据《通用数据保护条例》(GDPR) 享有的权利

用户可以就所有者处理的其数据行使某些权利。具体而言，在法律允许的范围内，用户有权：

• 在已给出同意的情况下，随时撤回其同意。撤回同意不影响撤回之前所进行的处理的合法性。
• 在数据处理基于同意以外的法律依据时，反对处理其数据。
• 访问其数据并获取副本。
• 核实并要求更正其数据。
• 限制处理其数据。
• 要求删除其数据。
• 接收其数据并将其传输给另一个数据控制者，格式为结构化、常用且机器可读。
• 向其有管辖权的数据保护监管机构提出投诉（在意大利为 Garante per la protezione dei dati personali）。

用户的大部分数据从不会到达所有者：用户可直接控制这些数据。删除文稿、文件夹或本应用的 iCloud 数据，会将其从设备上删除，并在开启同步时从 iCloud 中删除；现有备份会保留这些数据，直到备份被移除。对于所有者确实持有的内容（例如电子邮件），可将请求发送到上述联系方式，并将尽快答复，且在一个月内答复。

儿童

本应用不面向 14 岁以下的儿童，所有者也不会故意收集他们的数据。

本隐私政策的变更

所有者可随时更新本隐私政策。最后更新日期显示在下方；如有重大变更，所有者也可能在应用中予以说明。