你上传过多少敏感文件？
回想一下用过的在线转换工具：证件照片、合同扫描件、银行流水截图——为了让它们变成PDF或图片，它们被上传到了某个你从未听说过的服务器。多数服务声称"处理后立即删除"，但你无从验证，而且上传这个动作本身已经发生了。
本地处理是什么意思
Image to PDF 的所有功能——图片转PDF、拼接、PDF转图片、合并、加密、解密——都在你的手机上完成。具体来说：
- 图片和PDF文件只在应用内读取、处理、输出，不经过任何服务器；
- 转换在设备芯片上执行，断网状态下同样可以完成全部功能；
- 输出文件保存在应用的本地目录，通过系统分享面板由你决定发到哪里。
换句话说，"文件不离开手机"不是一句口号，而是技术架构的直接结果——没有上传通道，自然没有上传。
历史记录存在哪里
每次转换都会写入应用的历史记录，内容包括操作状态、耗时、源与输出格式、文件大小。这些记录存在设备的本地数据库中，只在本机可读。清除缓存或卸载应用即可彻底删除，过程不经过我们——事实上，我们想看也看不到。
广告与订阅的数据边界
应用的商业模式需要说清楚：
- 广告：未订阅用户进入功能页面时会展示 Google AdMob 的激励广告。AdMob 依其政策使用广告标识符投放广告，这是它与我们之间的边界——我们不掌握你的文件，也不由广告收集你的个人数据；
- Pro 订阅：支付由 Apple App Store 处理，订阅验证通过 RevenueCat 完成。我们接触不到你的卡号、账单信息，也不保留支付凭据；
- 订阅权益：Pro 移除广告，进入功能直接使用，不再观看激励视频。
给敏感文件的处理建议
即使用了本地处理工具，习惯仍然重要：
- 重要输出及时转移——转换结果通过分享面板存到"文件"、iCloud或网盘，不要只留在应用目录里；
- 外发前加密——敏感PDF用加密功能设置打开密码，密码与文件分开渠道传；
- 定期清理——不需要的历史记录和输出文件，在设置里清除缓存，保持设备干净。
隐私保护不靠承诺，靠架构。下次转换文件前，不妨先想一想：这个文件，要离开我的手机吗？