Документ в данном контексте получается на выходе приложения-редактора. Когда там Save жмёшь и оно на диск ложится. А в приложении - просто внутреннее состояние приложения.

Говорю же - тривиальные вещи, в общем-то, но некоторые путаются, не будучи в  состоянии их в голове разложить. В результате имеем документы, прикидывающиеся приложениями (PDF-формы, допустим - они даже в базу лезть умеют!), приложения, кажущиеся документами - весь веб и часть офисных "документов", состоящая практически исключительно из скриптов, и все проблемы с безопасностью, этому сопутствующие.

корень  зла, кстати, очень простой - традиционно приложение устанавливалось на компьютер каким-то явным образом, с ведома того, кто этот компьютер (или его часть) администрирует. Так же традиционно документы прилетали разными способами без особого контроля. И так же традиционно разные персонажи, начиная от вирусописателей и заканчивая гуглом хотели добраться до ресурсов пользователя - хоть вычислительных, хоть его данных - в обход  администратора. И все веб-приложения - именно об этом, о том, чтобы отобрать не то что контроль, а даже само понимание, когда ты запускаешь приложение и что оно должно/не должно делать.