Mich wundert, dass Du damit überhaupt durch die Revision kommst, gibt es da keine Beschwerden oder zusätzlichen Anforderungen von GooglePlay?
Soweit ich weiss lässt Android keine Updates zu, welche nicht aus dem Playstore kommen, oder hat sich da was geändert.
Das gibt dafür entsprechende Mechanismen. Seit Android 8, auf das dort auch geprüft wird, sieht das noch einmal anders aus. Früher konntest du die Berechtigung zur App-Installation aus unbekannten Quellen nur global setzen. Heute kannst du pro App setzen, dass von dort Apps installiert werden dürfen. Das fand ich vorher auch katastrophal für die Sicherheit.
Dazu kommt noch der Fileprovider, den man passend konfigurieren kann, damit der App-Installer auch Zugriff auf die heruntergeladene Datei hat.