Ajuda e FAQ

Sim. A demonstração em try.privacynotes.app é o app completo com conteúdo de exemplo: sem cadastro, sem e-mail, e nada do que você digita é salvo. Ela roda inteira no seu navegador e não envia nada aos nossos servidores.

Fechar a aba apaga tudo, e é exatamente essa a ideia. Quando quiser guardar suas notas, crie um cofre de verdade em use.privacynotes.app e comece do zero: copie antes o que quiser levar da demonstração.

A que combina com o seu nível de ameaça. São três. Um: entrar com Google, Apple ou GitHub, com a sua chave guardada no nosso servidor. Dois: o mesmo login, mas a chave fica só no seu dispositivo. Três: "Gerar uma frase", sem e-mail, sem nome e sem login nenhum. Os três mantêm suas notas criptografadas no seu dispositivo, e o que separa um do outro é quem tem a chave e o quanto a gente fica sabendo sobre você.

Ao entrar com Google, Apple ou GitHub, o app pergunta onde sua chave fica e começa com a opção "Deixe simples e prático". Essa opção armazena sua frase criptografada no nosso servidor para que um dispositivo novo possa abrir suas notas após o login com o provedor e um código do autenticador, se o 2FA estiver ativado. Salve sua frase caso perca a conta do provedor e guarde sua chave de backup 2FA se ativar o login em duas etapas. "Máxima segurança e privacidade" mantém a frase no seu dispositivo: não conseguiríamos ler uma nota sob pressão nenhuma, e um dispositivo novo precisa das suas 12 palavras ou da leitura de um QR de um dispositivo já conectado.

Ao usar apenas a frase, nenhum e-mail ou nome vincula a conta a uma pessoa. Em troca, só você tem a frase, então, se a perder e não restar nenhum dispositivo desbloqueado, ninguém poderá recuperá-la para você. Configurações > Conta > Custódia da chave mostra seu modo atual e permite alterá-lo. Uma conta com frase precisa primeiro conectar um provedor em Configurações > Conta > Contas antes de escolher a custódia no servidor; conectar por si só não altera a custódia. Todos os modos podem adicionar um PIN ou bloqueio biométrico e o login opcional em duas etapas. A comparação completa está na escala de níveis de ameaça.

Não. Um cofre novo é uma frase de recuperação de 12 palavras recém-gerada, e nada mais. Sem e-mail, sem nome de usuário, sem telefone, sem etapa de verificação. Se você entra com a frase, não conseguiríamos escrever para você nem se quiséssemos: nunca sabemos quem você é.

Prefere o caminho conhecido? Entrar com Google, Apple ou GitHub também funciona. Essa rota inevitavelmente nos revela o e-mail ligado a esse login, mas suas notas continuam criptografadas no seu dispositivo de qualquer forma, e uma frase também é gerada para você em segundo plano.

Abra Configurações > Import & Export e escolha a origem. A lista cobre os apps de onde as pessoas vêm: Apple Notes, Obsidian, Evernote, Standard Notes, Notesnook, UpNote, Google Keep, Simplenote, Samsung Notes e Apple Journal. O Bitwarden e as senhas salvas no seu navegador vão para o Cofre, os favoritos do navegador chegam como marcadores, e um importador de Markdown genérico aceita qualquer pasta de arquivos .md.

As importações rodam inteiramente no seu dispositivo: seus arquivos exportados são lidos, criptografados e salvos localmente, nada é enviado para processamento. Cada nota importada recebe uma etiqueta com a origem, para você revisar o lote depois, e as listas do Google Keep até viram listas de tarefas nativas.

Sim. Digite Markdown e a formatação aparece na hora: # títulos, negrito, listas, - [ ] caixas de tarefa, citações e avisos. As notas também são exportadas como Markdown limpo, então o que você escreve continua portátil.

Você também pode conectar notas entre si: digite [[ e um preenchimento automático sugere suas notas existentes. Um link entre notas abre o destino com um clique, e o painel de estrutura mais a busca dentro da nota mantêm documentos longos navegáveis.

Os formatos padrão de Markdown ganham vida enquanto você digita: títulos, ênfase, tachado e destaque, listas com marcadores e numeradas, listas de tarefas (Tab e Shift+Tab aninham qualquer lista, listas de tarefas incluídas), citações, divisórias, código em linha e blocos de código com realce de sintaxe, fórmulas matemáticas em linha e em bloco (KaTeX) e links entre notas com preenchimento automático.

A barra de formatação e o menu "Inserir" acrescentam o resto: tabelas, avisos que podem ser recolhidos, sublinhado, sobrescrito e subscrito, alinhamento do texto, cores de texto e de destaque, fontes, links, imagens e anexos. Tudo vai e volta como Markdown: "Ver markdown" embaixo de qualquer nota mostra o código-fonte bruto, e as exportações são arquivos .md limpos, então nada do que você escreve fica preso a um formato proprietário.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

1. Write your phrase down
2. Store it offline
   - paper beats cloud
   - two copies, two places

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// keys never leave your device
const keys = deriveKeys(phrase);
```

// keys never leave your device
const keys = deriveKeys(phrase);

H<sub>2</sub>O and E = mc<sup>2</sup>,
<u>underline</u> included

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Quick capture

---

Polished later

As pastas se aninham quanto você quiser e ficam na barra lateral. Navegar por elas é gratuito em qualquer plano. Criar uma, renomear ou mover uma nota para dentro ("Nova pasta" e "Mover para pasta") é onde o Pro começa, para que uma conta gratuita sempre consiga ler uma estrutura importada ou montada enquanto tinha Pro. Uma linha "Sem pasta" lista toda nota que não está em nenhuma.

Uma nota fica em uma pasta por vez, como um arquivo. Use as etiquetas quando algo pertence a dois lugares ao mesmo tempo. A pasta fica dentro da nota criptografada, então o servidor enxerga a sua estrutura tão pouco quanto enxerga o seu texto.

Toda nota aberta tem uma linha de etiquetas embaixo do título. Digite uma palavra e aperte Enter, vírgula ou #, e a etiqueta vira um chip. A barra lateral lista as etiquetas que a seção aberta usa, e um clique filtra a lista para aqueles itens. Você pode renomear uma etiqueta em todo lugar de uma vez, favoritá-la para ficar fixada no topo, ou excluí-la, com ou sem as notas que a carregam.

Etiquetas e pastas resolvem problemas diferentes: uma nota fica em uma pasta mas carrega quantas etiquetas você quiser, que é justamente o que você precisa quando algo é ao mesmo tempo "trabalho" e "nota fiscal". As importações marcam por origem, então tudo que veio de outro app chega com a própria etiqueta e é fácil de achar, ou de limpar depois.

Tudo o que você guarda fica em uma única biblioteca. As seções da barra lateral, como Notas, Cofre e Diários, são visões dessa biblioteca por tipo. Uma pasta é um lugar, então uma pasta pode guardar uma nota e o login que combina com ela, e a árvore de pastas é a mesma em todas as seções. Os números contam o que a seção aberta tem, e uma pasta sem nada dela aparece esmaecida. Uma etiqueta é um rótulo, e a barra lateral lista só as etiquetas que a seção aberta usa.

Os espaços dividem a biblioteca em Pessoal e Trabalho e mostram um por vez. Uma pasta de nível superior pertence a um espaço, com tudo o que está dentro, e Mover para Trabalho no menu dela a leva para o outro. Um item sem pasta pertence a Pessoal, então tudo o que você cria em Trabalho vai para uma pasta de Trabalho. As etiquetas são grátis, e pastas e espaços precisam do Pro.

Digite [[ em qualquer ponto de uma nota e comece a escrever um título. Escolha uma nota da lista e ela vira um link entre notas em que você pode clicar. Se nada corresponder, escolha "Criar" e a nota nova é criada e ligada num passo só. O botão da barra de ferramentas para criar um link entre notas faz a mesma coisa. Para abrir uma nota em uma das seções dela, digite # depois do título da nota e escolha o título da seção. O ícone de link em um título da estrutura copia esse link para você.

Os links entre notas ficam dentro da nota, então são exportados junto e sobrevivem a uma importação: um cofre do Obsidian mantém seus links e os links de notas do Evernote são convertidos na entrada. Para achar o que aponta para uma nota, busque o título dela: toda nota que liga para ela contém essas palavras.

Sim. Arraste uma nota da lista até uma pasta na barra lateral para movê-la para lá, ou até Sem pasta para tirá-la da pasta. Solte-a em uma etiqueta para adicionar essa etiqueta, e a nota mantém as etiquetas que já tinha. Tarefas, marcadores, contatos, itens do Cofre e arquivos enviados em Arquivos se arrastam do mesmo jeito. Deixe um item arrastado parado sobre uma pasta fechada por um instante e ela se abre, para você chegar a uma subpasta.

Para mover vários de uma vez, use Cmd-clique no Mac ou Ctrl-clique no Windows e no Linux para selecioná-los, Shift-clique para incluir um intervalo, e depois arraste qualquer item selecionado. Arrastar exige um mouse, trackpad ou caneta e uma janela larga o bastante para mostrar a barra lateral. No celular, use Mover para pasta no menu "...". Etiquetas são gratuitas, e pastas exigem Pro.

Qualquer linha que você escrever como - [ ] em qualquer nota vira uma tarefa, e a visão Tarefas na barra lateral reúne todas num lugar só. Marcar uma tarefa ali atualiza a nota em que ela vive, e abrir uma tarefa pula direto para essa nota. Não há um banco de dados de tarefas separado para manter: tarefas são só linhas nas suas notas, criptografadas como todo o resto.

A caixa de adição rápida no topo de Tarefas acrescenta a uma nota chamada Quick Tasks (criada para você no primeiro uso), então capturar um afazer avulso leva uma tecla só, não uma decisão de arquivamento. A mesma visão oferece três layouts (Híbrida, Agregada, Lista), uma opção para ver tarefas concluídas e busca de tarefas, e o botão New na visão Todos pode começar uma nota de tarefas direto.

Sim. O menu "..." da nota tem Desmarcar todos os itens para reaproveitar uma lista, Excluir itens marcados para limpar os concluídos, e Ordenar itens por status para levar os itens marcados para baixo dos outros. Cada opção só aparece quando mudaria alguma coisa. Excluir pede confirmação antes, e Ordenar e Desmarcar todos podem ser desfeitos com Cmd+Z ou Ctrl+Z. O fim da nota mostra o seu progresso, como "3 de 6 marcados".

Para reordenar à mão, arraste a alça no fim de um item. Os itens aninhados vão junto, e o Esc cancela o arraste. A alça aparece quando você passa o ponteiro por cima no computador e fica levemente visível em uma tela sensível ao toque. Por padrão, um item marcado desce para baixo dos não marcados na sua lista; desative isso com Mover itens marcados para baixo em Configurações > Listas. Tudo isso é gratuito.

Diários é uma visão dedicada a entradas com data: um toque cria a entrada de hoje, e o botão de calendário ao lado preenche um dia recente que você deixou passar. Uma entrada é uma nota normal mais rastreadores opcionais: humor numa escala de 1 a 10 com 24 etiquetas de emoção, sono, atividade, medicamentos, energia, foco e mais. "Configurar rastreadores" dentro de qualquer entrada liga e desliga os embutidos, e o Pro adiciona até 10 rastreadores personalizados (escalas, números, sim/não).

Estatísticas (nas Configurações, ou o ícone de estatísticas no rodapé) abre num Resumo da sua semana, escrita e bem-estar juntos. A aba Bem-estar mostra em gráfico todos os rastreadores que você registra, inclusive os personalizados, no período que você escolher; Explorar pega um rastreador e mostra como fica seu humor nos dias com ele e sem ele, no mesmo dia ou no dia seguinte; Padrões classifica todos os rastreadores desse jeito; Medicação mostra a adesão como um calendário. As exportações são geradas no seu dispositivo: "Baixar JSON" é grátis, e o Pro adiciona um "PDF para o médico" para levar às consultas, um prompt de IA pronto para copiar no chatbot da sua preferência, as comparações e um resumo da semana. Os dados dos rastreadores ficam dentro da entrada criptografada, então o servidor não consegue ler nada deles.

Abra Configurações > Estatísticas, ou clique na contagem de notas e palavras no rodapé. Resumo resume a sua semana: a sua sequência de escrita, as palavras escritas, o humor e os dias registrados, além de uma grade das últimas 26 semanas e das horas em que você costuma escrever. Escrita conta suas notas, palavras e etiquetas, mostra sua sequência atual e a mais longa, e lista seus marcos. Bem-estar mostra em gráficos cada rastreador do seu diário no período que você escolher, incluindo os personalizados.

Tudo é calculado no seu dispositivo, e nada disso é enviado para nós. Palavras e horas de escrita contam o que você escreve naquele dispositivo, então cada dispositivo mostra os próprios números. Os gráficos, as sequências, o calendário de medicação e Baixar JSON são gratuitos. O Pro acrescenta o resumo da semana, o que mexe com seu humor, a tabela de Padrões, as comparações no mesmo dia e no dia seguinte, um PDF para o médico e um prompt de IA pronto para copiar.

Sim. Os marcadores são um pilar próprio na barra lateral, ao lado das notas, das tarefas e dos diários, e são gratuitos em todos os planos. Cole um link na barra de adição rápida para salvar um. Para trazer os seus, exporte um arquivo de favoritos (.html) do seu navegador e solte em Configurações > Import & Export > Importar > "Favoritos do navegador". Chrome, Firefox, Safari, Edge, Opera, Brave e Vivaldi contêm o mesmo arquivo, e as suas pastas e datas vêm junto. O Safari embrulha ele num .zip, que você pode soltar sem abrir.

Seus endereços nunca saem do seu dispositivo: a gente não carrega a página por trás de um link, e é por isso que um marcador que você adiciona à mão fica com o domínio como nome até você escrever um. Os ícones dos sites são a única exceção, e você pode desligá-los. A exportação escreve o mesmo arquivo .html padrão, então seus marcadores saem com a mesma facilidade (guia de importação).

Sim. Os contatos são um pilar próprio na barra lateral, ao lado das notas, das tarefas e dos diários, e são gratuitos em todos os planos. Um contato reúne nomes, números, e-mails, endereços, sites, datas, uma empresa e uma nota. Toque num número para ligar, num e-mail para escrever, ou em qualquer linha para copiá-la. Tudo o mais que o seu celular escreveu no arquivo fica em Também neste arquivo e volta a ser escrito quando você exporta.

Para trazer os seus, exporte um vCard (.vcf) do celular, do Mac ou do Google Contacts e solte em Configurações > Import & Export > Importar > "Contatos (vCard)". Se mais tarde você soltar o mesmo arquivo, as pessoas que já estão lá são reconhecidas em vez de duplicadas. A exportação escreve um vCard comum, então a sua agenda sai com a mesma facilidade com que entrou (mais sobre importar).

As partes da sua vida que não pertencem a um perfil de navegador nem à agenda de um celular. Os Marcadores, os Contatos e o Cofre ficam ao lado daqueles que o seu navegador e o seu celular já sincronizam com o Google, a Apple ou a Mozilla, e guardam o que você prefere deixar de fora. Os três são gratuitos em todos os planos.

• Links sobre saúde, dinheiro, direito ou uma busca por emprego, num computador que você divide com alguém
• A pesquisa sobre um tema, junta em vez de perdida entre milhares de favoritos do navegador
• O médico, a advogada, o locador e o recrutador, fora de uma agenda que sincroniza com o iCloud ou o Google
• Um contato com o contexto em volta: as suas notas, as datas, o arquivo que ele mandou
• Frases de recuperação, chaves de licença, códigos de cofre e números de passaporte, segredos que não são logins
• As poucas credenciais que você nunca quer dentro de uma extensão do navegador

Cada um é uma linha na barra lateral. Se faltar uma, abra as opções da barra lateral acima das suas etiquetas e ligue Mostrar na barra lateral. Você traz os seus a partir de um arquivo e tira do mesmo jeito (marcadores, contatos, o cofre).

A função “Ir para” pula para qualquer coisa pelo título. Aperte Cmd+K no Mac ou Ctrl+K no Windows e no Linux (Cmd+P ou Ctrl+P também funciona), ou clique em Ir para na barra lateral ou no cabeçalho da lista. Digite parte de um título para encontrar notas, tarefas, entradas de diário, itens do Cofre, marcadores, contatos, arquivos anexados e configurações. Enter abre o item, e Option+Enter ou Alt+Enter abre o item em uma aba.

Digite > primeiro para executar um comando, como criar uma nota nova ou ir para uma seção. Para encontrar palavras dentro do texto em vez dos títulos, escolha a linha Buscar em tudo, ou aperte Cmd+Enter ou Ctrl+Enter a partir de qualquer linha. A busca acontece no seu dispositivo, então nada do que você digita é enviado para nós. A função “Ir para” é gratuita.

Em uma nota aberta, aperte Cmd+F no Mac ou Ctrl+F no Windows e no Linux, ou clique na lupa no canto superior de uma nota longa. Digite a palavra e aperte Enter para a próxima ocorrência e Shift+Enter para a anterior, enquanto a barra conta as ocorrências. Para fechar, aperte as mesmas teclas de novo ou clique no X. A busca também funciona em notas somente leitura.

Com Pro você também pode substituir: aperte Option+Cmd+F no Mac ou Ctrl+H no Windows e no Linux, ou escolha Buscar e substituir no menu "..." da nota. Substitua uma ocorrência ou Todas de uma vez, com Diferenciar maiúsculas de minúsculas quando precisar. As duas barras também funcionam em Ver markdown, onde alcançam o texto bruto, como a linguagem de um bloco de código. Para buscar em todas as suas notas, use a busca da lista, que a tecla / ativa. Toda busca roda no seu dispositivo.

Aperte ? em qualquer lugar do app para ver a folha de referência embutida, também disponível em Configurações > Sobre. Os atalhos cobrem navegação, ações de nota, formatação e visões - e no Windows e no Linux, todo Cmd equivale a Ctrl e Option a Alt.

A folha de atalhos para imprimir lista todos os atalhos em uma única página A4, para Mac ou para Windows e Linux, e para o navegador ou para os apps de desktop. Ela é gerada a partir da mesma lista que o app mostra, então sempre corresponde à versão que você usa.

Sim. A folha de referência para imprimir reúne todos os atalhos em uma única página A4, em duas colunas, pronta para pendurar ao lado da tela. Ela é gerada a partir da mesma lista que o app mostra, então nunca pode ficar para trás de uma versão.

Abra a folha e aperte o botão Imprimir (ou Cmd+P / Ctrl+P). Para ficar com um arquivo em vez de papel, escolha PDF como destino na janela de impressão. Ela também está linkada acima e abaixo da lista de atalhos no app (Configurações > Sobre > Atalhos) e no rodapé deste site.

Sim. Configurações > Aparência cuida do visual: o Modo alterna entre Claro, Escuro e Auto, que segue o seu sistema, e você escolhe um tema de cor para o modo claro e outro para o escuro. Configurações > Editor cuida da escrita: o Tamanho do texto tem cinco passos e aumenta só a sua área de escrita, então a interface em volta fica igual, e o Editor decide se as notas abrem no modo Formatado ou como Markdown puro. Configurações > Listas organiza os itens em Lista ou Grade. Nos apps de desktop, o Tamanho do app em Configurações > Aparência escala a janela inteira. O botão Aparência no rodapé reúne os ajustes que você mais muda, com três temas favoritos para cada modo.

Os temas de cor exigem Pro: o tema padrão é gratuito e o Pro libera o resto, claros e escuros, além de temas seus. O modo zen, que esconde tudo menos o seu texto (Cmd+Shift+F), também é Pro. Mover a barra de formatação para o topo ou para a parte de baixo é gratuito, e organizar os botões dela é Pro. O modo, os temas de cor que você escolhe e seus três favoritos, o tamanho do texto, Lista ou Grade e o tamanho do app ficam no dispositivo onde você ajusta. O modo do editor, o espaçamento entre linhas, as cores das notas e as configurações das listas seguem a sua conta para os seus outros dispositivos.

Sim, com Pro. Abra Configurações > Aparência e escolha Novo tema. Escolha seis cores (Fundo, Barra lateral, Borda, Texto, Texto atenuado e Ênfase) e o app sugere o resto, enquanto o app atrás do painel mostra seu tema conforme você avança. Uma verificação de contraste aponta qualquer texto difícil de ler e oferece Corrigir tudo. O botão Salvar é liberado assim que todas as verificações passam.

O menu de cada cartão de tema tem Copiar código, que copia o tema como um código de texto curto que você pode mandar para qualquer pessoa, e Colar código de tema adiciona um que você recebeu. Você escolhe um tema para o modo claro e outro para o escuro, Favorito no menu de um cartão coloca até três temas de cada modo no botão Aparência no rodapé, e os temas que você cria sincronizam com todos os seus dispositivos. Encontre mais na página de temas, onde você também pode enviar o seu. O tema padrão é gratuito, e todos os outros temas exigem Pro.

Sim. Clique na engrenagem no fim da barra de formatação, ou abra Configurações > Barra de formatação. Cada botão tem três lugares: Na barra, No menu + ou Ocultos. Arraste um botão para mudá-lo de lugar, ou clique nele para ver as opções. Um botão oculto continua funcionando pelo atalho de teclado e pelo Markdown, então esconder um não tira nada de você.

Mover a barra para o topo ou para a parte de baixo é gratuito em todas as contas. Organizar os botões dela faz parte do Pro: em uma conta gratuita, Configurações > Barra de formatação funciona como uma prévia para você experimentar, e seu layout é salvo assim que você tiver o Pro. Sua organização acompanha sua conta em todos os dispositivos, e Restaurar padrões traz a barra padrão de volta. Em uma tela sensível ao toque, a barra é uma única linha que rola para o lado, em todas as contas, então nenhum botão fica escondido em uma segunda linha.

O modo Zen esconde tudo menos a nota que você está escrevendo: a barra lateral, a lista e o rodapé, e a barra de formatação também começa escondida. As abas abertas continuam no topo. Aperte Cmd+Shift+F no Mac ou Ctrl+Shift+F no Windows e no Linux, clique em Modo Zen no rodapé, ou clique com o botão direito em uma área vazia e escolha Modo Zen.

Para voltar, aperte Esc, as mesmas teclas de novo, ou Sair do Zen no topo da nota. Mostrar barra de formatação traz a barra de formatação de volta enquanto você continua no modo Zen. O modo Zen faz parte do Pro, e a demonstração permite experimentar sem conta.

Sim, nos apps de desktop para Mac, Windows e Linux. Aperte Cmd e a tecla de mais no Mac, ou Ctrl e a tecla de mais no Windows e no Linux, para aumentar a janela inteira. A tecla de menos diminui, e o 0 volta ao normal. O mesmo controle é o Tamanho do app em Configurações > Aparência, com passos de 80% a 200%.

O Tamanho do app escala tudo de uma vez: a barra lateral, a lista, os menus e o seu texto. Para mudar só a sua escrita, use Tamanho do texto em Configurações > Editor. O Tamanho do app vale para o dispositivo onde você o ajusta. Em um navegador, o zoom do próprio navegador faz o mesmo trabalho.

Sim, em Configurações > Data. Formato da data oferece Automático, Dia primeiro, Mês primeiro e Ano primeiro (ISO), e Formato da hora oferece Automático, 24 horas e 12 horas. Automático segue o idioma do app e a região de cada dispositivo, e a sua escolha vale em todos os seus dispositivos.

As entradas de diário recebem o título a partir da data, e Títulos do diário no mesmo lugar oferece formatos prontos no seu formato de data, ou Padrão personalizado para você montar o seu a partir de códigos como YYYY, MMMM e ddd, com as palavras entre colchetes mantidas como você digitou. Um padrão novo vale só para entradas novas. Para inserir a data de hoje em qualquer nota, aperte Cmd+; no Mac ou Ctrl+; no Windows e no Linux, e acrescente Shift para incluir também a hora. Tudo isso é gratuito.

Selecione o texto e escolha Spoiler no menu + da barra de formatação, ou digite o texto entre dois pares de barras: ||spoiler||. O texto fica borrado na hora. Enquanto você edita, ele aparece assim que o cursor encosta nele e volta a ficar borrado quando o cursor sai. Em uma nota somente leitura, um clique mostra o texto.

A lista de notas e as prévias mostram ••• no lugar dele, então nem o tamanho entrega o conteúdo. A busca continua encontrando as palavras dentro de um spoiler, uma exportação em HTML as mantém borradas até o leitor clicar, e uma impressão as mostra. Uma exportação em Markdown mantém as barras, que outros apps de Markdown mostram como caracteres comuns em volta do texto. Spoilers são gratuitos.

Adicione uma caixa de cópia: escolha Caixa de cópia no menu + da barra de formatação e depois digite ou cole o texto dentro dela, como um comando, um endereço ou um código. O botão no canto coloca o texto inteiro na área de transferência e mostra Copiado por um instante. Um bloco de código e uma caixa de cópia se convertem um no outro, então você também pode transformar um bloco que já existe.

O código embutido também copia. Em uma nota somente leitura, um clique ou um toque no código embutido copia o conteúdo. Enquanto você edita, Cmd-clique no Mac ou Ctrl-clique no Windows e no Linux copia, para que um clique comum continue posicionando o cursor. Uma caixa de cópia é salva como um bloco de código com a linguagem copy, que outros apps de Markdown mostram como um bloco de código normal. Os dois são gratuitos.

Escolha Nota de rodapé no menu + da barra de formatação. O app insere o próximo número no cursor, cria uma nota de rodapé vazia abaixo do texto e coloca o cursor nela. Você também pode digitar [^1] logo depois de uma palavra e começar uma linha com [^1]: para escrever a nota de rodapé em si. O identificador pode ser uma palavra, não só um número.

Clique em um número para pular para a nota de rodapé dele, e a seta de voltar ou o Esc levam você de volta ao texto. No computador, parar o ponteiro sobre um número mostra a nota de rodapé em um pequeno cartão. Os números seguem a ordem do texto, e a nota salva notas de rodapé em Markdown padrão, então outros apps de Markdown conseguem lê-las. Uma exportação em HTML, um PDF e uma burn note as mantêm como notas de rodapé com link. Notas de rodapé são gratuitas.

Sim. Abra o pilar Markdown na barra lateral, escolha uma pasta com arquivos .md e .txt e edite tudo no mesmo editor que você usa para as notas. As subpastas aparecem sozinhas, as mudanças são salvas direto no arquivo e nada é convertido, então a mesma pasta continua funcionando no Obsidian, num repositório git ou nos seus próprios scripts. Salvar nas minhas notas copia um arquivo, ou uma seleção inteira, para as suas notas criptografadas com um clique e deixa o original onde está. Tudo isso é gratuito em qualquer plano.

Esses arquivos ficam no seu disco exatamente como você deixou: nunca os enviamos, eles nunca sincronizam para os seus outros dispositivos e nada é convertido no caminho. Funciona no app de computador em qualquer computador, e no Chrome, Edge ou Opera pelo navegador, porque abrir uma pasta direto do disco é um recurso de computador.

Hoje não. A pasta Markdown funciona no app de computador em macOS, Windows e Linux, e no Chrome, Edge ou Opera num computador, porque um computador entrega ao app uma pasta de verdade que ele lê e escreve direto. O Android e o iOS não entregam pasta nenhuma: cada arquivo chega ao app pela camada de documentos do sistema, uma permissão por vez. Ler uma árvore inteira e escrever de volta nela é, por isso, trabalho à parte em cada plataforma, e ainda não está pronto.

No celular você pode trazer os mesmos arquivos como cópias: Configurações > Import & Export > Importar > "Arquivos Markdown" aceita .md e .txt avulsos ou dentro de um .zip, e uma pasta compactada mantém as subpastas, as imagens e os anexos. Chegam como notas criptografadas que sincronizam para os seus outros dispositivos, e Exportar escreve .md limpo de volta. Os originais ficam no seu disco exatamente onde estão.

Sim, e construímos a central de ajuda pensando nisso. Cada resposta está publicada em um único arquivo de texto em llms-full.txt, então um assistente lê tudo de uma vez. A caixa no fim de qualquer página de ajuda copia um prompt pronto: cole no ChatGPT, Claude, Gemini ou no assistente que você já usa, e pergunte no seu próprio idioma.

Mandar você para uma ferramenta em que já confia nos deixa completamente de fora, e nunca ficamos sabendo o que você perguntou. Um chatbot nosso significaria suas perguntas chegando aos nossos servidores, e perguntas sobre um app de notas costumam carregar o conteúdo das notas junto. Isso é separado do app em si, que não tem nenhum recurso de IA (detalhes).

Nunca cole sua frase de recuperação, seu PIN ou o texto de uma nota em um assistente. Nenhuma resposta precisa deles, o prompt copiado manda o assistente recusá-los, e tudo o que você digita na janela de conversa de outra pessoa já saiu do seu dispositivo.

Notas, títulos, etiquetas e anexos estão sempre criptografados, no seu dispositivo e a caminho do servidor. Na autocustódia, que é o ponto de partida de toda conta criada com uma frase, não temos uma chave de descriptografia. Ao criar uma conta com Google, Apple ou GitHub, o app pergunta onde sua chave fica e começa com a opção "Deixe simples e prático", que armazena sua frase no nosso servidor, criptografada com uma chave nossa. Nesse modo, nosso servidor pode descriptografar a frase e, portanto, suas notas. Configurações > Conta > Custódia da chave mostra seu modo atual e permite alterá-lo.

Podemos ver as informações necessárias para manter o serviço funcionando: quanto armazenamento criptografado você usa, quantos dispositivos estão vinculados e os horários de sincronização. Se você usa apenas sua frase e não conectou uma conta do Google, Apple ou GitHub, não sabemos seu endereço de e-mail.

Porque a Apple pede um único rótulo que cubra tudo o que pode chegar ao nosso servidor, mesmo quando chega criptografado e mesmo quando só algumas contas enviam. Vinculados a você significa associados a uma conta, e a conta por trás de um cadastro com frase é uma chave, não um nome. Nada é usado para rastreamento, e o app não tem análises, anúncios nem relatórios de falhas. Cada linha do rótulo significa uma coisa:

• Conteúdo do usuário: suas notas e arquivos, criptografados no seu dispositivo. Na autocustódia, não conseguimos lê-los.
• Identificadores: uma chave pública derivada da sua frase de recuperação e um hash do dispositivo, calculado no seu dispositivo, que serve apenas para aplicar o limite de dispositivos do plano gratuito.
• Informações de contato: um endereço de e-mail, apenas se você entrar com Google, Apple ou GitHub.
• Compras: se a sua conta tem Pro. A Apple processa o pagamento, e nunca vemos o seu cartão.

Para deixar essa lista o mais curta possível na sua conta, cadastre-se com uma frase de recuperação em vez de um login do Google, Apple ou GitHub, e mantenha a autocustódia. Configurações > Conta > Custódia da chave mostra seu modo atual. O que o PrivacyNotes consegue ver explica o resto.

No começo parece ao contrário, mas uma única frase de recuperação é a construção mais forte. Com usuário e senha, o usuário não é segredo (aparece em todo vazamento), então toda a segurança repousa na senha - e senhas escolhidas por humanos ficam em média em uns 30 a 40 bits de entropia. Sua frase de 12 palavras tem 128 bits garantidos, gerados pelo seu dispositivo, nunca escolhidos por um humano e nunca reaproveitados de outro site.

Do nosso lado também não há senha nenhuma para perder. Login com senha significa que o servidor guarda pelo menos um hash de senha, que pode vazar, ser quebrado ou cair em phishing. Na autocustódia, sua frase nunca sai do seu dispositivo: ela deriva suas chaves de criptografia localmente, e o servidor só vê dados criptografados. Não há hash para roubar nem fluxo de redefinição de senha para um atacante abusar.

Se digitar 12 palavras parece trabalhoso: você pode salvar a frase no seu gerenciador de senhas com um toque (Configurações > Segurança > Frase), e entrar vira um login como outro qualquer. Prefere o fluxo conhecido? Entrar com Google, Apple ou GitHub também funciona: uma frase também é gerada para você em segundo plano, e você escolhe se ela fica no seu dispositivo ou se a gente guarda para você.

Sim. Os aplicativos web, de computador e de celular estão publicados no GitHub, junto com o código de criptografia que torna suas notas ilegíveis e o modelo de ameaças que descreve o que cada parte protege. É o mesmo código com que compilamos nossas versões.

É isso que transforma uma promessa em algo que você pode conferir. Leia a criptografia numa sentada só, abra a aba de rede do navegador e veja suas próprias notas saírem como texto ilegível, ou compile o aplicativo você mesmo e compare com o que distribuímos. Você não precisa acreditar em uma palavra nossa.

Ative o login opcional em duas etapas em Configurações > Segurança > 2FA. Atualize o PrivacyNotes nos outros dispositivos primeiro. Leia o código QR com um app autenticador ou digite a chave de configuração manualmente. Salve a chave de backup 2FA fora do PrivacyNotes, confirme a cópia salva e digite um código atual para concluir.

Após a configuração, uma nova sessão no servidor precisa da sua frase ou de um provedor conectado e depois de um código do autenticador. Na autocustódia, a frase continua sendo necessária para descriptografar as notas. Gerencie contas de provedores em Configurações > Conta > Contas; conectar uma conta não muda a custódia da chave.

Se você perder o autenticador, adicione a chave de backup 2FA salva a outro app autenticador. Se perder os dois, não poderemos restaurar o acesso ao servidor. As notas já desbloqueadas em um dispositivo continuam disponíveis para leitura e exportação. O login em duas etapas não adiciona criptografia nem protege um dispositivo já desbloqueado.

Sim. Abra Configurações > Conta > Contas e conecte Google, Apple ou GitHub para adicionar um login que abre o mesmo cofre. Você pode conectar várias, até duas contas do mesmo provedor, e sua frase de recuperação continua funcionando junto com elas. Conectar ou desconectar uma conta não muda suas notas nem sua criptografia.

Um login que já pertence a outro cofre não pode ser conectado, porque cofres nunca são mesclados. Desconectar pede suas 12 palavras antes. Se nós guardamos a sua frase, a última conta conectada fica até você conectar outra ou salvar sua frase e passar para autocustódia. Com autocustódia, um dispositivo novo ainda pede suas 12 palavras. Contas conectadas estão em beta.

Sim, 12 palavras bastam. Uma frase BIP-39 de 12 palavras codifica 128 bits de entropia. Quebrar 128 bits na força bruta não é um problema de "precisamos de um computador maior", e sim de "precisamos de mais energia do que a humanidade produz". Não existe ataque realista que quebre 128 bits mas falhe em 256.

A comparação com o Bitcoin mostra justamente por que 24 palavras são mais marketing do que outra coisa: as chaves do Bitcoin vivem na curva secp256k1, que por si só oferece apenas cerca de 128 bits de segurança. Uma frase de 24 palavras injeta 256 bits de entropia numa fechadura que ainda se abre com cerca de 128 bits de trabalho. É também por isso que muitas carteiras grandes seguem com 12 palavras por padrão.

O PrivacyNotes mira o mesmo nível de 128 bits de ponta a ponta: sua frase passa por uma função de derivação de chave, e a criptografia que ela protege (XChaCha20-Poly1305) é calibrada na mesma medida. Ir para 24 palavras dobraria o que você anota e digita sem nenhum ganho prático de segurança, então ficamos em 12.

O que importa é onde você guarda a frase, não quantas palavras ela tem. Guarde num gerenciador de senhas, não digite em nenhum outro lugar, e 12 palavras vão sobreviver a todos nós.

Não. Ninguém consegue adivinhar suas 12 palavras, e ninguém mais acaba com as mesmas: nenhum computador que existe, ou que se possa prever, chega perto. Só quem tiver as suas palavras de verdade consegue entrar, então guarde-as bem.

Seu dispositivo sorteia sua frase, e o número de frases possíveis tem 39 dígitos. Adivinhar a sua na primeira tentativa é menos provável do que ganhar quatro vezes seguidas um prêmio de loteria com chance de 1 em 300 milhões. Um computador que testasse um bilhão de bilhões de frases por segundo ainda levaria cerca de 10 trilhões de anos para testar todas, muito mais do que o tempo de existência do universo. Mesmo se cada uma das 8 bilhões de pessoas na Terra tivesse uma frase, a chance de duas delas serem iguais é menor do que ganhar esse prêmio duas vezes seguidas.

A força vem dessa aleatoriedade, não da aparência das palavras. Não invente uma frase nem acrescente símbolos: use as 12 palavras exatamente como o app entrega. Maiúsculas e minúsculas não importam. A última palavra serve de verificação, então o app recusa uma frase digitada errada ou inventada.

Não, na prática não. Seu dispositivo sorteia sua frase entre um número enorme de frases possíveis. Mesmo se cada pessoa na Terra criasse uma conta, duas frases iguais seriam menos prováveis do que ganhar duas vezes seguidas um prêmio de loteria com chance de 1 em 300 milhões. Os mesmos números explicam por que ninguém consegue adivinhar sua frase.

Seu ID da conta vem da frase. Então, se você excluir uma conta e entrar de novo com as mesmas 12 palavras, recebe um cofre novo e vazio com o mesmo ID da conta. Nada do cofre excluído volta. Depois de migrar para uma frase nova, remova a antiga do seu gerenciador de senhas, para nunca entrar na conta antiga por engano.

Sim, a lista BIP-39 padrão (em inglês): 2048 palavras, exatamente a mesma lista que as carteiras Bitcoin usam. Geramos as frases com a @scure/bip39, uma biblioteca open source auditada. Nada de lista própria nem criptografia caseira.

A lista foi desenhada para escrever à mão: as quatro primeiras letras de cada palavra são únicas, então uma palavra borrada ou abreviada continua inequívoca, e palavras parecidas foram excluídas de propósito.

Por ser a lista padrão, você pode conferir sua frase em qualquer referência BIP-39 pública, e nosso código de criptografia é open source, então você mesmo pode revisar a implementação.

Sim, de propósito. Nem todo mundo se defende das mesmas ameaças, então o modelo de conta é uma escada, não um dogma único. Em cada degrau suas notas continuam criptografadas no seu dispositivo; o que muda é quem guarda a chave e o que sabemos sobre você.

A opção prática: entre com Google, Apple ou GitHub e mantenha "Deixe simples e prático" selecionado quando o app perguntar, que é a opção inicial dessa tela. Armazenamos sua frase de recuperação criptografada no nosso servidor para que um dispositivo novo possa abrir suas notas após o login com o provedor e um código do autenticador, se o 2FA estiver ativado. Em troca, sabemos o e-mail usado nesse login e nosso servidor pode descriptografar sua frase. Salve sua frase caso perca a conta do provedor e guarde sua chave de backup 2FA se ativar o login em duas etapas.

O meio: entre com Google, Apple ou GitHub, mas escolha "Máxima segurança e privacidade". Sua frase nunca toca nossos servidores e a criptografia é totalmente de zero conhecimento; um dispositivo novo exige a frase ou um escaneamento de QR a partir de um dispositivo já conectado. Continuamos, por força, conhecendo o e-mail por trás desse login, mas não conseguiríamos ler uma única nota, nem sob coação.

A ponta privada: dispense os logins e use apenas a frase de 12 palavras. Sem e-mail, sem nome, sem identidade - e, combinada com uma compra anônima do Pro, nem o pagamento deixa seu nome em lugar algum. Em troca, a custódia da chave é toda sua: perca a frase sem nenhum dispositivo conectado e ninguém poderá ajudar.

Configurações > Conta > Custódia da chave mostra os dois modos, suas vantagens e limitações, e permite alternar entre eles. Ao deixar a custódia no servidor, excluímos nossa cópia depois que você confirma três palavras da frase salva. Voltar a esse modo envia a frase novamente e exige uma escolha explícita. As mudanças nos dois sentidos são assinadas com a chave da sua conta e exigem um novo código do autenticador quando o 2FA está ativado. Uma conta com frase pode conectar um provedor em Configurações > Conta > Contas e depois escolher a custódia no servidor separadamente; conectar o provedor não envia a frase. Todos os modos também podem usar bloqueio do app com PIN, desbloqueio biométrico e proteção por nota.

Não. A busca consulta um índice de texto completo construído e guardado no seu dispositivo. As consultas nunca saem dele, os resultados aparecem mesmo sem conexão nenhuma, e nada sobre o que você busca é transmitido, jamais.

Não é uma política que poderíamos reverter em silêncio: é imposto pela arquitetura. O servidor só guarda texto cifrado, então do nosso lado não há nada legível para indexar ou vasculhar. Um servidor que não consegue ler suas notas também não consegue buscá-las.

Não. Não há recursos de IA no app, nenhum processamento de IA em segundo plano e nenhum treinamento de modelo com o seu conteúdo. Suas notas estão sempre criptografadas, no seu dispositivo e a caminho do servidor - nos nossos servidores não existe nada legível para alimentar coisa alguma.

Se um dia construirmos algo nessa direção, terá de rodar inteiramente no seu dispositivo e ser estritamente opcional. Enviar notas em texto puro para um modelo na nuvem quebraria a promessa de zero conhecimento, então está fora de cogitação.

"Somente leitura" (no menu de opções da nota, Pro) trava a nota contra edições, para que um documento pronto não seja estragado sem querer; não esconde nada. "Proteger" (mesmo menu, Pro) esconde o conteúdo de uma nota atrás do seu PIN ou desbloqueio biométrico, para aquelas coisas que você prefere não deixar à vista numa tela que outras pessoas às vezes veem. O título continua visível na lista, então deixe o segredo fora do título.

Os dois são travas de tela, não uma segunda camada de criptografia. Essas marcações viajam dentro dos dados criptografados da nota, e a nota, de propósito, não é recriptografada com o seu PIN: assim, um PIN esquecido nunca pode destruir dados. A frase continua sendo a fronteira de verdade: proteja ela primeiro, e use essas travas para a tela que outras pessoas às vezes veem.

Você nunca fica trancado do lado de fora. A tela de bloqueio sempre oferece uma alternativa: "Desbloquear com PIN", ou "Entrar com a frase de recuperação". A biometria é uma trava local, não uma chave de criptografia, então suas notas ficam intactas de qualquer forma.

Depois, conserte a trava. O cadastro é por dispositivo, então um celular novo, um perfil de navegador limpo ou uma reinstalação exigem cadastrar de novo: Configurações > Segurança > "Bloqueio", desative e depois "Ativar desbloqueio biométrico" de novo. Também é preciso "Confiar neste dispositivo" (sessões não confiáveis são limpas quando a aba fecha) e um hardware com autenticador de plataforma (Touch ID, Face ID, Windows Hello). Se um gerenciador de senhas como Bitwarden ou 1Password aparecer no lugar do aviso do sistema, dispense-o e tente de novo, ou desligue a captura de passkey dele para o site - o app pede o autenticador embutido, mas alguns gerenciadores interceptam mesmo assim.

Sim, nos apps para Android, iPhone e iPad, Mac e Windows. Abra Configurações > Segurança > Bloqueio e ative Ocultar em capturas de tela. Capturas de tela, gravações de tela e compartilhamento de tela passam a mostrar uma janela em branco no lugar das suas notas, até onde o dispositivo permite. No celular, isso também esconde suas notas no alternador de apps.

A opção vem desativada, vale só para o dispositivo onde você a ativa e é gratuita. Navegadores e o Linux não dão a um app nenhum jeito de bloquear uma captura, então a opção não aparece neles. Ela funciona sozinha e não precisa de bloqueio do app nem de PIN.

Mande uma burn note: ela transforma qualquer nota num link criptografado de uso único, destruído no momento em que é lido, o que permite enviar uma senha, um endereço ou um rascunho. Para algo que a outra pessoa vai guardar, exporte a nota como Markdown, HTML ou PDF e mande o arquivo.

Uma nota que duas pessoas editam ao vivo seria outro produto: exigiria que o servidor passasse chaves entre pessoas, e manter o servidor longe das suas chaves é aqui o projeto inteiro. Uma conta é uma pessoa com uma frase, e é isso que torna "não conseguimos ler suas notas" um fato, e não uma política.

Uma burn note é um jeito autodestrutivo de compartilhar uma nota com alguém que não usa o PrivacyNotes. O app criptografa o conteúdo com uma chave de uso único e entrega um link. A chave viaja no fragmento do link, que os navegadores nunca enviam aos servidores - nosso servidor guarda, portanto, texto cifrado que não consegue ler.

Na primeira abertura do link, o servidor entrega o texto cifrado e o apaga no mesmo passo: uma leitura, e acabou. Links nunca abertos expiram sozinhos após o tempo escolhido por quem envia, de 1 hora a 7 dias. De um jeito ou de outro, nada fica para trás.

Escreva para privacynotes@lifetimelabs.dev. O mesmo endereço está publicado no nosso security.txt assinado com PGP, então você pode confirmar que é legítimo antes de escrever, e a nossa chave pública está ali do lado se você preferir criptografar o relato.

A gente responde e, quando uma correção precisa de coordenação, combina com você o prazo de divulgação antes de qualquer coisa vir a público. Os relatos chegam direto a quem escreveu o código, e quem quiser crédito recebe. Teste na demonstração em try.privacynotes.app ou numa conta descartável, nunca nas notas de outra pessoa.

Se você ainda está logado em qualquer dispositivo: sim, você mesmo recupera. Abra Configurações > Segurança > Frase e salve-a agora no seu gerenciador de senhas.

Se você não tem mais nenhum dispositivo logado nem a frase, depende de quem guarda a chave. Se você deixou a gente guardar a chave quando se cadastrou com Google, Apple ou GitHub, entre com esse login e você volta a ter acesso. Na autocustódia, ninguém consegue: sua frase nunca chega aos nossos servidores, então não há nada para redefinir e nenhum chamado de suporte que ajude. Qualquer serviço capaz de restaurar seus dados criptografados após uma perda total está guardando as suas chaves.

A prevenção custa dez segundos: salve a frase num gerenciador de senhas no dia em que criar a conta. Se ela já se foi e você paga um complemento de armazenamento, a Paddle cobra você diretamente e consegue cancelá-lo sem a sua frase: veja trocar ou cancelar um complemento.

Nada se perde, e você mesmo pode limpar o PIN com sua frase de recuperação. O PIN é uma trava de tela, não uma chave de criptografia: suas notas são criptografadas com chaves derivadas da frase, então é a frase que as abre. Amarrar a criptografia a quatro dígitos faria um PIN esquecido destruir dados. Aqui isso nunca acontece.

Onde quer que o app peça o PIN, escolha Esqueceu seu PIN? e digite suas 12 palavras. Está na tela de bloqueio, em uma nota protegida e em Configurações > Segurança > PIN. O PIN é limpo em todos os seus dispositivos e você pode definir um novo em seguida. O desbloqueio biométrico não é afetado.

De qualquer dispositivo conectado, abra Configurações > Conta > "Dispositivos registrados" e remova o que você perdeu. Na próxima vez que esse dispositivo ficar online, ele é desconectado e seus dados locais são apagados, dentro de mais ou menos um minuto do próximo uso. Ele continua listado em "Removidos recentemente" por 72 horas, para você confirmar que sumiu.

Ative o bloqueio do app (PIN ou biometria) em tudo que é portátil e deixe o bloqueio de tela do sistema ligado. Um dispositivo se apaga assim que se reconectar, então até lá são essas travas locais que ficam entre um celular perdido e as suas notas. A chave de verdade é a frase: quem tem as suas 12 palavras consegue entrar de novo. Se você desconfia que a própria frase vazou, siga o guia para frase vazada.

Adicione sua chave de backup 2FA a qualquer app autenticador e digite o código que ele mostra quando o PrivacyNotes pedir. A chave de backup é aquela que você salvou quando ativou o 2FA, e ela funciona sempre que você precisar.

Se você perdeu o celular e a chave de backup, nós não redefinimos o 2FA, e nosso suporte não pode ajudar com isso. As notas que já estão nos seus dispositivos continuam legíveis.

Para mantê-las, vá em Configurações > Import & Export > Exportar em um dispositivo que ainda tenha as notas. Depois crie um novo cofre e importe a exportação nele.

Significa que o nosso servidor não aceita mais o login deste dispositivo, então a sincronização para. Uma conexão fraca ou uma queda do servidor nunca causa isso: o app confere com o servidor uma segunda vez antes de mostrar a mensagem. Suas notas estão seguras neste dispositivo.

Clique em Entrar de novo. Primeiro o app pergunta se você salvou sua frase de recuperação, porque você precisa dela, ou do login com que se cadastrou, para voltar. Notas que ainda não sincronizaram ficam no dispositivo e sincronizam assim que você entrar. A mesma janela avisa se algum arquivo ainda não terminou de ser enviado, porque esses são removidos ao sair.

Por baixo você ainda tem uma frase de 12 palavras, e a frase sozinha faz login em qualquer dispositivo - sem Google, Apple nem GitHub. Abra Configurações > Segurança > Frase e salve-a no seu gerenciador de senhas.

Faça isso uma vez e perder a conta Google, Apple ou GitHub não custa nada: é só entrar com a frase no lugar.

Considere o cofre comprometido. Uma frase não pode ser trocada nem rotacionada, porque a frase é a chave sob a qual tudo é criptografado - então o conserto é migrar para um cofre novo. Primeiro, na conta antiga, exporte tudo: Configurações > Import & Export > Exportar > "Backup do PrivacyNotes (.zip)".

Saia da conta, crie um cofre novo (12 palavras novas) e traga a exportação de volta em Configurações > Import & Export > Restaurar > "Backup completo (.zip)". Depois exclua a conta antiga de qualquer dispositivo ainda conectado a ela: Configurações > Conta > "Excluir conta e dados...". Isso remove os dados sincronizados dela e barra qualquer pessoa que esteja com a frase antiga. Se você entrou com Google, Apple ou GitHub, exclua a conta antiga primeiro, depois entre de novo com esse mesmo login para começar o cofre novo.

Duas coisas a resolver antes: cancele qualquer complemento de armazenamento ativo, porque a exclusão exige isso, e note que o Pro fica na conta em que foi comprado em vez de acompanhar o cofre novo. Depois guarde a frase nova num gerenciador de senhas e em nenhum outro lugar: a prevenção é toda essa.

No app: Configurações > Conta e, em seguida, "Excluir conta e dados". Isso remove permanentemente do servidor suas notas sincronizadas, arquivos, dispositivos, configurações e a própria conta. Não há período de retenção nem backup que possamos restaurar depois - então exporte antes tudo o que quiser manter (Configurações > Import & Export).

Dois detalhes: uma assinatura de armazenamento ativa precisa ser cancelada antes da exclusão (uma já agendada para encerrar não bloqueia), e como uma conta de frase nunca teve e-mail nem nome, não sobra perfil nem lista de marketing para limpar. Apagar os dados locais de um dispositivo é uma ação separada e não mexe na sua conta.

No dispositivo que você já usa, abra Configurações > Segurança > Frase. Lá estão as suas 12 palavras e um QR code de login. No dispositivo novo escolha "Entrar com frase" e escaneie esse QR com a câmera, envie uma foto dele, ou digite as palavras. Suas notas chegam em segundos.

Uma conta gratuita cobre 2 dispositivos e o Pro quantos você quiser, e dois navegadores no mesmo computador contam como um dispositivo só. Trate o QR exatamente como a frase que ele carrega: não mostre para ninguém e nunca deixe cair numa galeria de fotos que sincroniza para a nuvem de outra pessoa.

Tudo o que você esperaria, e tudo isso criptografado no seu dispositivo: notas, tarefas, entradas de diário, seu cofre e os arquivos dentro dele. Suas configurações também acompanham - etiquetas favoritas, preferências de ordenação e exibição, tema de cor, seu PIN (como hash com sal, nunca o PIN em si), bloqueio do app, configuração de rastreadores e medicamentos, e a limpeza automática da lixeira. Configure uma vez e cada dispositivo acompanha.

Algumas coisas ficam de propósito locais ao dispositivo: modo claro ou escuro (cada dispositivo segue a própria preferência do sistema), desbloqueio biométrico (preso ao hardware de cada dispositivo) e seu estado de desbloqueio (fechar o app sempre trava de novo). O servidor só armazena blobs criptografados e não consegue ler nada disso.

Sim. O app é local-first: suas notas vivem num banco de dados no seu dispositivo, então ler, escrever e buscar funcionam sem conexão nenhuma. As mudanças sincronizam sozinhas quando você volta a ficar online, e uma imagem ou um arquivo que você adiciona offline fica esperando neste dispositivo e também é enviado nessa hora.

Seus dispositivos mesclam a nota detalhe por detalhe quando voltam a sincronizar, então uma alteração feita em apenas um deles é mantida. Se os dois editaram o texto enquanto estavam separados (um offline, por exemplo), o dispositivo que sincroniza em segundo lugar mostra um diálogo de conflito: manter a versão deste dispositivo, manter a outra, ou manter as duas como notas separadas. As duas versões são mantidas até você escolher.

Quando os dois dispositivos mudaram o mesmo detalhe enquanto estavam separados, como a fixação, a pasta ou o título, é mantido o detalhe do dispositivo que editou a nota por último, sem diálogo. Uma nota excluída permanentemente em um dispositivo é excluída em todo lugar, inclusive uma alteração que outro dispositivo tenha feito nela enquanto estavam separados.

Contas gratuitas sincronizam em até 2 dispositivos, e este diálogo aparece quando um terceiro tenta se registrar. Remova um dispositivo que você não usa mais direto no diálogo, ou num dispositivo existente em Configurações > Conta (como funciona a remoção). A vaga é liberada na hora, e o dispositivo removido continua visível em "Removidos recentemente" por 72 horas. O Pro remove o limite por completo.

Vários navegadores num mesmo computador contam como um dispositivo só: eles são agrupados usando hashes que preservam a privacidade de sinais grosseiros da máquina, calculados no seu dispositivo com um segredo por conta. Uma atualização grande de navegador, ou um navegador reforçado como Brave ou Tor que embaralha esses sinais, pode colocar a mesma máquina numa vaga nova. Remova a entrada obsoleta e siga em frente. Você nunca fica trancado do lado de fora.

Configurações > Conta lista cada dispositivo registrado. Remova o que você está aposentando: a vaga é liberada na hora (útil no plano gratuito de 2 dispositivos), e o dispositivo removido é desconectado na próxima tentativa de sincronizar. Ele continua visível por 72 horas em "Removidos recentemente", para você confirmar que sumiu.

A remoção libera a vaga e desconecta aquele dispositivo; quem manda no acesso é a frase. Qualquer pessoa com as suas 12 palavras consegue entrar de novo, então, se um dispositivo foi perdido ou roubado, proteja a frase primeiro e deixe o bloqueio do app (PIN ou biometria) ligado. É ele que impede um dispositivo achado de virar porta aberta.

Nada é apagado, nunca. Quando novas mudanças param de caber, a sincronização avisa: "Armazenamento cheio. Algumas notas não puderam sincronizar." Os dados existentes continuam sincronizando, o novo crescimento não. Se você continuar acima do limite, começa uma contagem regressiva de 90 dias, mostrada numa faixa âmbar. Ler, editar para reduzir o tamanho, excluir e exportar continuam funcionando o tempo todo.

Depois de 90 dias acima do limite, a sincronização pausa: a faixa fica vermelha ("Sincronização pausada. Você está acima do seu limite de armazenamento há mais de 90 dias."). O app continua funcionando por completo em todos os dispositivos; as mudanças só ficam locais até você voltar para baixo do limite. A recuperação é instantânea e por conta própria: libere espaço - esvaziar a lixeira conta - ou adicione armazenamento em Configurações > Armazenamento, e a sincronização volta sozinha. Isto é o oposto deliberado de serviços que apagam automaticamente os dados que passam do limite.

Sim. Abra Configurações > ID & Sync e aperte "Pausar sincronização". Esse dispositivo para de mandar qualquer coisa para o servidor: notas, configurações e arquivos. Você escreve exatamente como antes, tudo se acumula localmente, e assim que você retoma a sincronização tudo é enviado.

A pausa pertence só àquele dispositivo. Ela não viaja para os outros e nunca se desfaz sozinha, porque um botão que diz "este dispositivo não fala com ninguém" não pode ser religado por nada além de você. Uma coisa continua de propósito: o pequeno sinal pelo qual um dispositivo removido descobre que foi removido. É assim que um dispositivo perdido se apaga mesmo assim.

No Android, sim. Abra Configurações > ID & Sync e ligue "Arquivos só no wi-fi". Suas notas continuam sincronizando em qualquer conexão, porque texto é minúsculo. Só imagens e anexos esperam, e eles são enviados assim que o wi-fi volta em vez de esperar a próxima tentativa.

O botão mora no Android porque o Android é a única plataforma cuja visão do app diferencia wi-fi de rede móvel com confiança, e um botão que adivinha vale menos que botão nenhum. Numa conexão com franquia de dados em outro lugar, "Pausar sincronização" faz o mesmo trabalho com a mão mais pesada e funciona em todo lugar.

Você pode exportar tudo a qualquer momento, gerado inteiramente no seu dispositivo: arquivos Markdown num zip com os anexos incluídos, JSON simples, ou HTML autossuficiente - por nota ou para a conta inteira. O zip é o "Backup do PrivacyNotes (.zip)", e ele pode ser restaurado, como os backups criptografados; JSON e HTML são para leitura e para o seu próximo app. Os itens do cofre têm a própria via, "Exportação do cofre (.json)", que escreve o formato da Bitwarden e leva seus nomes de usuário, senhas, URL, dados de cartão e chaves 2FA para a Bitwarden, o 1Password ou o KeePass.

Está tudo em Configurações > Import & Export > Exportar. A importação funciona do mesmo jeito, a partir do Obsidian, Evernote, Apple Notes, Standard Notes, Bitwarden e mais: a lista completa está em vindo de outro app. Aprisionar você não faz parte do modelo de negócio.

Exporte o "Backup completo criptografado (.pnbackupz)" em Configurações > Import & Export > Exportar. Ele criptografa tudo - notas, diários, itens do cofre, tarefas, imagens, áudio e arquivos - com a chave da sua frase, então você pode deixá-lo na nuvem ou num pen drive, e ele restaura com a sua frase em qualquer dispositivo.

Ele abre com a frase que o criou, então guarde ao lado um "Backup do PrivacyNotes (.zip)" caso um dia você mude para uma frase nova: ele tem o mesmo conteúdo, pode ser restaurado em qualquer cofre e é legível no disco, então guarde num lugar em que você confia. O "Backup criptografado (.pnbackup)" cobre texto e metadados em vez de imagens e arquivos, e o "Backup de texto (.json)" e o arquivo HTML são formatos de portabilidade, não de restauração.

Por que manter backups locais, se tudo sincroniza? Porque sincronização não é backup: ela propaga fielmente as exclusões, incluindo as de um servidor comprometido que os seus dispositivos então espelham. Uma cópia no seu próprio disco é a única que nenhum evento de servidor consegue tocar. Exporte antes de importações grandes, antes de ir embora, e num ritmo que você consiga manter.

Abra Configurações > Import & Export > Restaurar e escolha o formato que você tem. "Backup completo (.zip)" aceita a exportação inteira: notas, diários, itens do cofre, tarefas, imagens, áudio e arquivos. "Backup criptografado (.pnbackup, .pnbackupz)" aceita qualquer uma das duas exportações criptografadas. Seu arquivo é lido e descriptografado no seu dispositivo, e restaurar é gratuito em qualquer plano.

Uma restauração associa as notas pelo identificador. Uma nota que você já tem só é atualizada se a cópia do backup for mais recente, uma nota na lixeira sai de lá, uma nota que falta é adicionada uma única vez, e restaurar o mesmo arquivo de novo não muda nada, a não ser que você tenha editado uma nota restaurada nesse meio-tempo, o que traz a cópia mais antiga de volta ao lado da sua edição. Um arquivo sem identificadores nossos, de outro app ou de um backup feito por uma versão anterior deste, adiciona as notas dele como novas toda vez. Os dois formatos criptografados só abrem na conta que os criou, porque estão criptografados com a chave da frase dessa conta; um .zip entra em qualquer cofre (que backup fazer).

Primeiro no seu dispositivo, e é essa a cópia que você usa: o app é local-first, então suas notas abrem e são editadas offline. A cópia de sincronização vive em servidores em Zurique, na Suíça. O que fica lá é a sua chave pública, blobs criptografados das suas notas, arquivos e configurações, além das marcas de tempo e dos tamanhos de que uma sincronização precisa. Nenhum título, nenhum texto, nenhuma etiqueta.

O país importa menos do que a criptografia. Tudo está sempre criptografado, no seu dispositivo e a caminho do servidor, então essa cópia seria ilegível onde quer que estivesse: a Suíça é um bônus, não a promessa. O que sincroniza lista item por item.

A cópia no seu dispositivo também é criptografada. As notas são seladas no disco com uma chave derivada da sua frase de recuperação ao desbloquear, então uma cópia do armazenamento do app no seu dispositivo, ou um backup roubado desse armazenamento, contém dados criptografados, não as suas notas.

Em uma pasta por instalação, na área de dados de apps da sua conta. Onde fica essa pasta depende da plataforma:

• macOS: ~/Library/WebKit/app.privacynotes/WebsiteData/
• Windows: %LOCALAPPDATA%\app.privacynotes
• Linux: ~/.local/share/app.privacynotes, ou app.privacynotes.appimage no AppImage, que traz o próprio motor web e por isso mantém um perfil só dele
• Android, iOS: o armazenamento privado do app, que nenhum outro app consegue abrir
• Navegador: o perfil do seu navegador, em use.privacynotes.app

O que está lá são dados criptografados. Cada nota é um bloco selado com o título, o texto e as etiquetas dentro, aberto por uma chave derivada da sua frase de recuperação ao desbloquear, então uma pasta copiada não contém nada legível. Em claro fica só o que o índice local precisa: identificadores, datas, o tipo de item e marcações como fixada ou excluída.

Para levar suas notas para outro dispositivo, ou guardar uma cópia sua, use Configurações > Import & Export > Exportar e escolha o "Backup completo criptografado (.pnbackupz)". Ele tem tudo, é criptografado com a chave da sua frase e restaura com a sua frase em qualquer dispositivo. Mais sobre backups.

A lixeira não é um arquivo morto: por padrão, tudo que está nela é apagado permanentemente após 30 dias. O botão fica na própria visão Lixeira, com o rótulo "Excluir automaticamente após 30 dias" - desligue ali se quiser manter a lixeira para sempre, e a configuração sincroniza para todos os seus dispositivos. A limpeza roda no seu dispositivo quando o app abre, porque o servidor não consegue ver quais notas criptografadas estão na lixeira.

Apagado permanentemente significa que foi embora: nenhum dispositivo e ninguém do nosso lado consegue trazer de volta, só um backup que você tenha feito antes. Se você usa a lixeira como uma pilha de "quem sabe um dia", desligue a exclusão automática ou restaure as notas antes de completar 30 dias. Até lá, notas na lixeira ainda contam no seu armazenamento - "Esvaziar", na mesma visão, libera esse espaço na hora.

Arquivar tira um item das suas listas sem excluí-lo. Escolha Arquivar no menu "..." do item ou no menu do botão direito, ou na barra de seleção para vários itens de uma vez. Itens arquivados saem de Todos, da sua seção, de Fixados e das contagens de pastas e etiquetas, e ficam esperando na visão Arquivo no fim da barra lateral, que aparece assim que algo é arquivado. Para mantê-los em Todos e nas contagens, marque Arquivo na coluna Todos de Configurações > Listas. Desarquivar nos mesmos lugares traz um item de volta.

A Lixeira é para o que você quer ver sumir: ela apaga tudo de vez após 30 dias, a menos que você desative isso. O Arquivo nunca apaga nada, e os itens arquivados continuam ao alcance, porque uma busca em Todos, a função “Ir para” e os links entre notas ainda os encontram. Eles sincronizam e ficam criptografados como todo o resto, e ainda contam no seu armazenamento. O Arquivo funciona com todos os tipos de item e é gratuito.

Sim, com Pro. Abra o menu "..." da nota e escolha "Histórico" para navegar e restaurar até 20 versões anteriores. Restaurar não perde nada: o texto atual é salvo antes como versão, então você pode ir e voltar. As versões são criptografadas como a própria nota, então nós também não conseguimos ler.

Um instantâneo é tirado no máximo uma vez por minuto, então duas edições com segundos de diferença dividem uma versão. O histórico é o único recurso Pro que passa pelo servidor, e é por isso que a demonstração guarda uma cópia local própria. Todo plano tem também a lixeira, que guarda uma nota excluída por 30 dias.

O Cofre é uma seção dedicada a segredos estruturados: logins com usuário e senha, cartões de crédito e débito, e chaves SSH. As entradas têm campos de verdade em vez de texto livre, os logins mostram o ícone do site, e tudo é criptografado no seu dispositivo como o resto dos seus dados.

Ele dá um lar organizado e protegido àquele punhado de credenciais que, de outro jeito, acaba espalhado pelas notas. Combine com o bloqueio do app e a proteção por PIN para uma segunda barreira nas entradas mais sensíveis. Uma importação do Bitwarden aterrissa aqui automaticamente.

Sim. Um login do Cofre tem um campo "Código 2FA" que aceita um segredo base32 ou um link otpauth:// inteiro, e uma importação do Bitwarden traz as chaves existentes. A chave é criptografada, salva e sincronizada em todos os planos, incluindo o gratuito. O Pro transforma ela no código rotativo com a contagem regressiva, então você não precisa de um segundo app aberto ao lado.

Uma senha e o código de uso único dela no mesmo cofre significam que um dispositivo desbloqueado carrega os dois fatores, a mesma troca que qualquer gerenciador de senhas com códigos integrados faz. Na maioria das contas a praticidade ganha, ainda mais com o bloqueio do app ou um PIN na frente. Se você preferir separar os dois fatores para o seu e-mail ou o seu banco, deixe esses códigos em outro lugar e deixe o Cofre carregar o resto.

Sim. Clique com o botão direito numa nota, ou abra o menu de compartilhamento dela, e escolha "Imprimir / Salvar como PDF". A janela de impressão do seu sistema abre, então você manda para uma impressora ou salva um PDF dali. A página sai limpa no branco e com a formatação intacta, seja qual for o tema que você usa no app.

Ela é gerada no seu dispositivo como qualquer outra exportação, então nada é enviado para produzi-la. Para várias notas de uma vez, selecione e exporte como HTML: você recebe uma página imprimível por nota. O "PDF para o médico" em Estatísticas é um relatório de bem-estar separado, feito para isso, e exige Pro.

Qualquer tipo de arquivo: imagens, PDFs, áudio, compactados, o que você arrastar. Cada arquivo está sempre criptografado, no seu dispositivo e a caminho do servidor, exatamente como o texto das notas, e a visão Arquivos reúne todos os anexos num lugar só.

O limite por arquivo é de 5 MB no plano gratuito e 50 MB no Pro. Os arquivos contam no seu armazenamento total de sincronização (50 MB grátis, 500 MB no Pro, expansível até 5,5 GB com os complementos de armazenamento), e a barra em Configurações > Armazenamento mostra sempre onde você está.

Tudo o que você sincroniza, no tamanho criptografado: o texto das notas, imagens, gravações de áudio e anexos. A barra em Configurações > Armazenamento mostra o total; a pegada de cada nota aparece nas opções da nota como "Armazenamento usado". Notas na lixeira ainda contam até a lixeira ser esvaziada.

Para liberar espaço rápido, abra Arquivos, ordene por Tamanho e exclua os itens maiores - os anexos fazem o texto parecer minúsculo em quase toda conta. Depois esvazie a lixeira: a visão Lixeira mostra quanto espaço "Esvaziar" vai liberar. Só texto quase nunca enche uma cota; até os 50 MB grátis guardam dezenas de milhares de notas simples.

Seu espaço já está livre. No momento em que a exclusão sincroniza, aqueles bytes param de contar na sua cota, no servidor tanto quanto neste dispositivo. Se a barra ainda mostra o número antigo, aperte o ícone de atualizar do lado: ele reconta a partir do servidor e deixa de fora tudo que já está na fila de exclusão. Um dispositivo que ficou offline mantém a própria última contagem até se atualizar.

Os "poucos dias" que o app menciona são sobre o arquivo criptografado em si, não sobre a sua cota, e essa espera é proposital. Excluir um arquivo do armazenamento é definitivo, não existe lixeira para pescar de volta. Um dispositivo que não terminou de sincronizar tem uma visão incompleta das suas notas, então poderia excluir uma imagem que outra nota ainda mostra. Por isso um arquivo espera pelo menos 24 horas, e só um dispositivo com sincronização concluída direito remove ele. Essa paciência não custa nada, porque o espaço foi creditado no dia em que você excluiu.

O erro diz qual teto você atingiu. Por arquivo: 5 MB no plano gratuito, 50 MB no Pro, 100 MB com qualquer complemento de armazenamento. No total: tudo o que você sincroniza precisa caber no armazenamento da sua conta (50 MB no gratuito, 500 MB no Pro, mais com os complementos de armazenamento), então uma cota cheia faz um envio falhar mesmo quando o arquivo é pequeno. Qualquer tipo de arquivo é aceito.

Confira a barra de armazenamento na visão Arquivos ou em Configurações > Armazenamento, depois escolha o conserto mais barato: libere espaço, faça upgrade ou reduza o arquivo (fotos de celular costumam ser originais de vários MB; um JPEG comprimido é uma fração do tamanho). Um envio que falha por falta de conexão fica guardado, não se perde: o arquivo fica neste dispositivo e é enviado automaticamente assim que você voltar a ficar online, e até lá Configurações > ID & Sync conta esse envio como pendente.

Sim. As duas configurações vêm ativadas porque amamos nossos usuários: queremos que você economize espaço e mantenha sua privacidade. Economia de espaço reduz uma imagem grande para 2048 pixels e a salva como JPEG com 85 % de qualidade, o que mantém todo o detalhe que uma tela consegue mostrar. Remover dados de localização apaga os metadados EXIF que uma câmera grava na foto, incluindo a posição GPS, antes de a imagem ser salva. As duas valem para toda imagem no app: colada em uma nota, adicionada como arquivo ou importada.

Desative qualquer uma delas em Configurações > Imagens, onde as fotos de contatos têm uma terceira chave que as mantém em 512 pixels. As configurações valem só para imagens novas; arquivos que não são imagens são guardados exatamente como estão. Imagens HEIC e TIFF são convertidas para JPEG, porque só o Safari consegue exibi-las. Um backup que você restaura é gravado de volta byte a byte.

Escreva o quanto quiser - em notas normais, tamanho nem entra em pauta. Quando uma única nota cresce demais, uma dica aparece embaixo e sobe de tom em três degraus: perto de 50.000 palavras, avisa que a nota está ficando longa e pode engasgar em dispositivos mais lentos; perto de 75.000, fica âmbar, e a digitação pode começar a travar; e perto de 100.000, sugere dividir a nota porque você está chegando ao limite de sincronização. São guias, não bloqueios rígidos - nada impede você de continuar.

Esse limite de sincronização é o único teto de verdade. Uma única nota comporta cerca de 1 MB de texto depois de criptografada - grosso modo, 120.000 palavras de inglês comum, menos com escrita não latina ou muita formatação. Uma nota além disso continua funcionando e segue segura no dispositivo onde foi escrita, mas essa nota específica não vai mais sincronizar com os outros dispositivos (você verá um aviso de "falha na sincronização"). O resto das suas notas não é afetado: uma nota grande demais nunca bloqueia mais nada.

O conserto é fácil: divida uma nota gigante em algumas menores. O conteúdo é idêntico, sincroniza sem problema e o editor continua rápido. Um contador de palavras ao vivo embaixo de cada nota deixa você de olho no tamanho enquanto escreve.

O app web guarda suas notas no armazenamento do próprio navegador, então limpar os dados do site do PrivacyNotes apaga a cópia local e desconecta você. Tudo que já tinha sincronizado está seguro: entre com a sua frase de 12 palavras e volta. O que ainda não tinha sincronizado se perde, porque a gente nunca teve uma cópia.

Então faça duas coisas. Confira se o rodapé diz "Synced" antes de limpar qualquer coisa, e guarde a sua frase num gerenciador de senhas, porque um navegador esvaziado não consegue pedir ela com jeitinho. Os apps de computador e de celular não são afetados: eles têm o próprio armazenamento, no qual uma limpeza de navegador nunca encosta.

Não. O app Android mantém os dados dele fora do backup na nuvem do celular, então nada disso chega ao Google Drive. O motivo é a chave, não as notas: onde você escolheu Confiar neste dispositivo, suas 12 palavras ficam nesse dispositivo para manter você conectado, e um backup na nuvem não é lugar para a chave que descriptografa suas notas.

Um celular novo começa por isso vazio: instale o app, entre com suas 12 palavras e chega tudo o que sincronizou. A restauração espera essa primeira sincronização, para que um backup que você trouxer seja associado ao que a conta já tem em vez de ser adicionado duas vezes. O que nunca sincronizou vive só no celular antigo, então confira primeiro se o rodapé diz "Synced", ou leve junto um "Backup do PrivacyNotes (.zip)" de Configurações > Import & Export > Exportar (que backup fazer).

Uma transferência direta de celular para celular durante a configuração é outra coisa: alguns celulares movem aí os dados dos apps, e o Android não dá ao app um jeito confiável de recusar. Essa cópia nunca sai dos seus dois dispositivos, então apague o celular antigo depois.

Exporte primeiro, exclua depois - as duas coisas por conta própria. Configurações > Import & Export > Exportar cobre toda rota de saída: "Backup do PrivacyNotes (.zip)" para uma cópia completa, Markdown e HTML portáteis para o seu próximo app de notas, e "Exportação do cofre (.json)" em formato compatível com Bitwarden para o seu próximo gerenciador de senhas. As exportações são geradas no seu dispositivo.

Depois, Configurações > Conta > "Excluir conta e dados...": digite DELETE, e suas notas sincronizadas, arquivos, dispositivos, configurações e a própria conta são removidos permanentemente, sem período de retenção (detalhes). Um complemento de armazenamento ativo precisa ser cancelado antes, em Configurações > Armazenamento. Uma conta só de frase não deixa nada para trás para limpar, porque nunca soubemos quem você era. Sem padrões enganosos e sem e-mails de reconquista - seus dados são seus, inclusive na hora de ir embora.

Você fica com elas. Suas notas, tarefas, entradas de diário e itens do cofre vivem no seu dispositivo porque o app é local-first, e exportá-los para Markdown, JSON ou HTML funciona offline. Uma imagem ou um arquivo fica num dispositivo assim que você o adiciona ou abre lá, e um que este dispositivo nunca abriu é baixado quando você o abre, então mantenha um backup completo: ele baixa todas as imagens e arquivos que faltam neste dispositivo, e avisa se algum não puder ser baixado.

O código de criptografia também é open source: o formato continua legível de forma independente, mesmo num mundo em que nossos servidores sumissem da noite para o dia.

Principalmente guardando o mínimo possível. Cadastre-se com uma frase e não há nome, e-mail nem identidade nos nossos registros para solicitar: seus dados são texto cifrado sob uma chave pública aleatória, hospedados em Zurique, na Suíça. Entre com Google, Apple ou GitHub e existe exatamente um identificador - o e-mail por trás desse login, ligado a essa chave. Os dados de cobrança do Pro ficam com a Paddle, o merchant of record, não com a gente.

Você pode exercer cada direito por conta própria e de imediato, sem formulário de solicitação: acesso e portabilidade são Configurações > Import & Export (exportação completa em formatos abertos), apagamento é Configurações > Conta > "Excluir conta e dados..." sem período de retenção, e retificação é editar as suas notas. A versão formal, incluindo como falar com a gente para qualquer coisa que o app não faça sozinho, está na política de privacidade.

Sim, e tem a ver com publicidade. Compramos espaços em outros sites e pagamos criadores, então precisamos saber quais realmente trazem pessoas. O dinheiro de publicidade desperdiçado é um custo que o produto carrega de qualquer forma, então medimos isso na menor forma que responde à pergunta.

O site de marketing conta os cliques nos nossos links como totais, por link e por país, sem nenhum identificador: sem cookies, sem ficha de visitante, sem scripts de terceiros. Se você criar uma conta, ela guarda duas palavras curtas de uma lista publicada: por qual link você chegou, se houve algum, e como você instalou o aplicativo, por exemplo “android-play”.

As duas palavras são escritas uma única vez quando a conta é criada, nunca são atualizadas e são apagadas junto com a sua conta. Nada mais sobre a sua chegada é guardado. Se você fechar a aba antes de se cadastrar, ou se o seu navegador remover o link, nenhuma palavra é guardada. Os aplicativos não têm análise do que você escreve, nem pixels, nem rastreadores de terceiros: abra a aba de rede e confira.

O grátis é o produto completo, não uma amostra: notas, tarefas, diário e cofre, tudo criptografado no seu dispositivo, uso offline, importação e exportação - em até 2 dispositivos com 50 MB de armazenamento de sincronização.

O Pro é uma compra única que adiciona dispositivos ilimitados, 500 MB de armazenamento (expansível), histórico de versões das notas, anexos maiores, bloqueio de notas e proteção por PIN, acompanhamento de bem-estar avançado, modo zen e todos os temas de cor.

Porque o serviço foi desenhado para ser barato de operar. O app é local-first e as notas são pequenos blobs criptografados: o servidor pouco faz além de guardá-los e repassá-los entre seus dispositivos. Sem análise do que você escreve, sem pixels nem rastreadores de terceiros, sem recursos de IA queimando computação, sem departamento de suporte.

O único custo que cresce com o tempo é o armazenamento, e ele é precificado de acordo: espaço além dos 500 MB inclusos é um pequeno complemento de armazenamento anual. Custos únicos se pagam uma vez; custos recorrentes, de forma recorrente. O modelo só precisa se sustentar, e ele se sustenta.

30 dias, sem perguntas. Se o Pro não for para você, peça o reembolso integral em até 30 dias da compra e ele volta para o método de pagamento original. Clientes na UE mantêm ainda o direito legal de arrependimento de 14 dias.

Os pagamentos são processados pela Paddle, nosso merchant of record, então os reembolsos são tratados diretamente pela Paddle: responda ao e-mail do recibo da compra ou visite paddle.net. A política completa está nos termos de serviço.

Sim. O Pro está vinculado à sua conta, não a um dispositivo, plataforma ou loja. Compre uma vez, entre com a mesma frase (ou o mesmo login Google, Apple ou GitHub) em qualquer lugar, e o Pro estará ativo lá também.

Isso inclui plataformas que ainda nem existem: quando um app novo sair, o seu Pro atual vai junto sem custo extra.

Sim. O Pro e o armazenamento estão vinculados à sua conta, não a uma plataforma ou loja. Compre na web e todo app em que você entrar é Pro, incluindo as versões de loja; compre dentro de uma versão de loja e os apps web e desktop liberam do mesmo jeito. Entrar já é a restauração, porque o direito segue a conta. Uma versão de loja traz também um botão Restaurar compras em Configurações > Conta, que pergunta à Apple ou ao Google o que você tem e libera de novo depois de uma reinstalação.

A única diferença é quem faz a cobrança. As compras na web passam pela Paddle e são gerenciadas no app em Configurações > Armazenamento. As compras feitas dentro de uma versão de loja (a App Store hoje, Google Play quando esse app sair) são cobradas por essa loja: o armazenamento recorrente é cancelado nas configurações de assinatura da loja, e os reembolsos seguem o processo da loja. De um jeito ou de outro, é a mesma conta e o mesmo Pro em todo lugar - incluindo plataformas que ainda nem existem.

Espere um minuto, depois recarregue o app. Depois do checkout, o app verifica por cerca de 20 segundos e libera sozinho, e recarregar confere de novo o status do Pro ao abrir. Se o pagamento entrou mas a ativação atrasa, uma faixa diz "Pagamento recebido, mas a ativação do Pro está demorando mais que o normal" - esse estado se resolve sozinho em quase todos os casos. Nas versões de loja, uma compra que falha na validação tenta de novo quando você reinicia o app, e uma compra que nunca ativa é reembolsada pela loja automaticamente em até 3 dias.

Ainda travado? Quase sempre é uma conta trocada: o Pro se prende à conta que estava conectada na compra, então uma frase diferente - ou um login Google, Apple ou GitHub no lugar do seu cofre de frase - é uma conta diferente. Compare o ID da conta em Configurações > ID & Sync no dispositivo que fez a compra. Se estiver realmente emperrado, relate o problema e inclua esse ID da conta: ele identifica a compra e não revela nada sobre as suas notas.

O Pro inclui 500 MB de armazenamento de sincronização criptografado. Se precisar de mais, os complementos de armazenamento se somam ao espaço incluído: 1 GB por US$ 4,80 ao ano, 2 GB por US$ 8,40, ou 5 GB por US$ 18, até 5,5 GB no total. Os complementos de armazenamento são a única compra recorrente do produto, porque armazenamento é a única coisa que nos custa dinheiro em cada mês de uso.

Tudo é gerenciado em Configurações > Armazenamento: troque por um pacote maior (você paga só a diferença proporcional) ou cancele quando quiser e mantenha o espaço até o fim do período pago. O Pro, de qualquer forma, é seu para sempre.

Configurações > Armazenamento é o painel de controle. Trocar para um pacote maior vale na hora. Na web, a confirmação mostra o valor proporcional exato cobrado hoje antes de você confirmar, e a data de renovação não muda; na Play Store e na App Store é a tela de pagamento da loja que mostra o valor, e a Apple reembolsa a parte não usada do seu ano atual e começa um novo. "Cancelar armazenamento" mantém o seu espaço extra até o fim do período que você já pagou. Para ir a um pacote menor, cancele o atual e compre o menor quando o período terminar.

Se os seus dados ainda couberem no limite restante depois do vencimento, acabou por aí; se não, nada é apagado e começa o ciclo de 90 dias acima do limite. Uma renovação que falha mostra uma faixa com um link "Atualizar cartão" para acertar o pagamento na Paddle.

Cancelar de fora do app também funciona, e é a resposta para quando você não consegue entrar. A Paddle é a nossa vendedora oficial e cobra você diretamente: use o link "Gerenciar assinatura" no e-mail do recibo, ou o chat de suporte em paddle.net. Numa versão de loja a ideia é a mesma, então cancele lá, nas configurações de assinatura da própria loja.

A resposta são duas contas, e abrir a segunda não custa nada: cada uma ganha 2 dispositivos e 50 MB de graça. Uma conta é uma frase de 12 palavras, e quem tem essa frase tem tudo que está dentro: cada nota, cada item do cofre, em cada dispositivo. São as contas separadas que dão a cada pessoa as próprias notas privadas. O Pro é comprado por conta.

Para passar uma coisa específica, mande uma burn note em vez da sua frase. Uma conta de casa compartilhada funciona bem se for mesmo o que você quer: guarde a frase num item compartilhado do gerenciador de senhas e considere que quem já teve essa frase alguma vez viu tudo que está dentro.

Você pode usar no trabalho, e muita gente usa. Por projeto é uma ferramenta para uma pessoa só: sua própria conta, sua própria frase, sua própria compra do Pro, e cada pessoa de um time guarda a própria chave. Não há espaço compartilhado, console de administração nem cobrança central.

Pese isso antes de padronizar. Criptografia de zero conhecimento significa que as notas pertencem a quem as escreveu, exatamente o que uma jornalista, um advogado ou quem presta consultoria quer, e é por isso que uma organização que precisa de custódia de chaves ou registros de auditoria coloca isso num sistema feito para esse fim. Para quem exerce a profissão por conta própria é a posição mais forte que existe: ninguém pode ser obrigado a entregar o que ninguém consegue ler.

Menos do que você imagina. O checkout passa pela Paddle, o merchant of record: seu nome, número do cartão e endereço de cobrança vão para a Paddle para pagamento e impostos, e nunca tocam nossos servidores.

A Paddle guarda seus dados de cobrança; o que chega ao nosso banco de dados é sua chave pública, o valor e o identificador do pedido, e, num complemento de armazenamento, o tamanho dele e as datas de renovação. Nossa conta na Paddle consegue ver os dois lados, e a gente não vai procurar quem você é. Para manter seu nome fora da compra, pague com um alias de e-mail e um cartão mascarado.

Sim, com duas ferramentas padrão. Para o recibo, use um alias de e-mail: Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay ou addy.io encaminham todos para a sua caixa real sem expô-la. Para o pagamento, use um cartão mascarado: o privacy.com, nos EUA, gera cartões virtuais que funcionam com qualquer nome digitado, e muitos bancos e serviços em outros lugares (o Revolut, por exemplo) oferecem cartões virtuais descartáveis que fazem o mesmo trabalho.

No checkout, a Paddle pede um e-mail, um método de pagamento e um país (mais um código postal em algumas regiões) para calcular impostos. O alias recebe o recibo, o cartão mascarado carrega o nome que você deu a ele, e a localização fiscal situa você, no máximo, numa região, nada além. Mantenha o alias vivo, porém: o e-mail do recibo é sua prova de compra e seu canal para reembolso.

Combinado com uma conta de frase, nenhuma parte termina com o quadro completo: seu banco vê uma recarga de cartão, a Paddle vê um alias e um cartão mascarado, e nós vemos uma chave pública que virou Pro, ao lado desse alias na nossa conta da Paddle.

O Pro fica na conta em que você o comprou, e sua frase de recuperação é a única chave dessa conta. Se a frase vazar e você migrar para um cofre novo, o Pro não vai junto, e ninguém consegue transferi-lo manualmente, nem a gente. O app avisa isso no cadastro e de novo antes de você sair da conta: as 12 palavras são o único jeito de entrar.

Se você comprou o Pro nos últimos 30 dias, pode pedir um reembolso integral e comprar de novo no cofre novo. Cada reembolso custa taxas de pagamento para a gente, então use isso só para um vazamento real. Os passos para levar suas notas e encerrar o cofre antigo estão em o que fazer quando sua frase vaza. Guarde a frase nova num gerenciador de senhas e não digite em nenhum outro lugar.

Web, macOS, Windows, Linux, iOS e Android. Cada app nasce do mesmo núcleo, criptografa suas notas no seu dispositivo do mesmo jeito e sincroniza pela mesma conta. A seção de downloads tem sempre as versões mais recentes.

Os apps nativos precisam de macOS 13 ou mais recente, Windows 10 ou mais recente, iOS 17.4 ou mais recente, Android 7.0 ou mais recente, ou uma distribuição Linux com webkit2gtk 4.1 (Ubuntu 22.04+, Debian 12+ ou equivalente). Abaixo dessas versões o app não instala nem abre, então use o app web.

O app web é cidadão de primeira classe, não um plano B: mantém suas notas no seu dispositivo e funciona offline - qualquer navegador moderno é sempre uma porta de entrada.

Você não precisa. Os apps para Mac e Windows e o AppImage para Linux procuram uma atualização quando abrem e quando você volta para eles, no máximo a cada 12 horas, e baixam a atualização em segundo plano. Depois, um aviso diz Atualização disponível, com Reiniciar para concluir e Changelog para ver as novidades.

O pacote .deb para Linux é atualizado com um novo download: o aviso dele oferece Baixar, que abre a seção de downloads, e você instala o pacote novo por cima do antigo. Um .deb antigo demais para sincronizar com segurança pausa a sincronização até você atualizar. Se você instalou pelo Scoop no Windows, execute scoop update privacynotes, e o aviso tem Copiar comando para isso. No Mac, o Homebrew não precisa de comando de atualização, porque o app se atualiza sozinho.

Sim, no iPhone, iPad e Android, em beta. Toque no botão de compartilhar em qualquer app e escolha o PrivacyNotes. Um link da web vira um marcador com o título da página, um texto vira uma nota nova, e imagens e arquivos vão para Arquivos. Um link que você já salvou é mostrado em vez de ser salvo duas vezes. Os itens compartilhados chegam sem pasta e sem etiqueta, para você organizar quando quiser.

No Android, o app pergunta antes: ele lista o que chegou e só salva quando você escolhe Salvar tudo, ou descarta com Descartar. No iPhone e no iPad, um cartão confirma Salvo no PrivacyNotes. Cada arquivo segue o seu limite de envio, e um compartilhamento espera até você entrar e o app estar desbloqueado.

Toda build que a gente publica é assinada, e o seu sistema operacional confere essa assinatura antes de executar qualquer coisa. As builds macOS são assinadas e notarizadas pela Apple. Os instaladores Windows carregam uma assinatura Authenticode que você lê em Propriedades > Assinaturas digitais. O APK Android é assinado com a nossa própria chave, e é por isso que o Android recusa qualquer atualização que não venha de nós. O app para iPhone e iPad é assinado pela Apple e só instala pela App Store. Os apps de computador também rejeitam uma atualização que não esteja assinada com a nossa chave.

Baixe só de PrivacyNotes.app ou dos nossos lançamentos no GitHub, onde está cada versão. A assinatura é a conferência que conta, e o seu sistema faz essa conferência por você: ela é checada contra uma chave que não está em lugar nenhum do nosso site, então um arquivo trocado é reprovado nessa conferência, diga o que disser a página ao lado.

Instale com o Obtainium e sim: ele lê nossas versões e oferece cada versão nova assim que ela sai, e é justamente por isso que recomendamos esse caminho no Android. Um APK pego direto do nosso site atualiza quando você mandar, porque o Android só atualiza automaticamente apps vindos de uma loja.

O APK do site avisa você no lugar disso. O app verifica se existe uma versão mais nova e mostra o aviso "Atualização disponível" com um botão "Baixar". Toque em Baixar e depois abra o arquivo baixado para instalar por cima da versão antiga, com suas notas e configurações intactas. A verificação só pergunta se existe uma versão mais nova, ela nunca toca nas suas notas, que seguem criptografadas o tempo todo.

Pegue o Obtainium se você quer que o app se mantenha atualizado sozinho, e o APK direto se prefere não rodar um segundo app para isso. O Google Play ainda não está no ar, então hoje a escolha é entre esses dois. Os dois entregam o mesmo arquivo assinado com a mesma chave, então você pode ir para qualquer lado a qualquer momento: o Obtainium adota um APK que você já instalou por sideload, e o APK do site instala por cima de um do Obtainium.

Dá para mudar de ideia depois sem dor de cabeça. Antes de qualquer troca que exija desinstalar primeiro, confirme que o app mostra "Synced" e deixe suas 12 palavras ou um QR de login de outro dispositivo à mão, porque desinstalar limpa a cópia local.

O Obtainium é um app Android gratuito e open source que instala outros apps direto das páginas de versões deles. Agora é a forma que recomendamos para instalar o PrivacyNotes no Android, porque é o único caminho que se mantém atualizado sozinho. Já tem o app? Toque no selo e ele adiciona o PrivacyNotes para você.

Ainda não tem? Instale primeiro o Obtainium, adicione um app e cole isto:

O Obtainium lê nossas versões, escolhe o APK e instala cada versão nova assim que ela sai. Nenhuma conta Google entra em jogo em momento algum.

O Obtainium não é um app nosso, e o Android continua pedindo que você confirme cada instalação, então uma atualização chega como notificação e um toque, não em silêncio. O APK é a mesma compilação que nossa página de download serve, assinada com a mesma chave, então o Obtainium adota um app que você já instalou por sideload: nada para desinstalar, nada para entrar de novo. Sem ele, o app só consegue avisar você dentro dele que uma versão está pronta.

Inglês, alemão, francês, italiano, espanhol, holandês, polonês, tcheco, catalão, turco, sueco, ucraniano, russo, japonês, coreano, chinês tradicional, tailandês, árabe e português, nas variantes europeia e do Brasil. O app segue o idioma do sistema por padrão, ou você fixa um explicitamente em Configurações > Idioma em cada dispositivo.

As traduções são grátis para todo mundo, não uma vantagem Pro. Mais idiomas estão nos planos; se o seu está faltando, conte para a gente no GitHub ou no Reddit.

Escrevemos primeiro o inglês. Depois, um agente de IA traduz cada idioma a partir de um glossário compartilhado, no registro definido para esse idioma, e um segundo agente revisa cada lote quanto à precisão, terminologia e registro antes da publicação. Falantes nativos revisam uma amostra, começando pelos idiomas mais novos e pelos textos de segurança, login e cobrança, e duas verificações automáticas fazem o build falhar enquanto alguma tradução estiver faltando ou desatualizada. As traduções estão em todos os planos, nunca são um extra do Pro.

Você pode melhorar qualquer uma delas. Se uma frase soar torta no seu idioma, informe a tradução: seu idioma, a tela em que ela aparece e o que deveria estar escrito. As correções saem na próxima versão.

Muitas vezes dias. Pedidos pequenos e relatos de bugs normalmente entram na próxima versão, e lançamos uma versão quase toda semana, e não duas ou três vezes por ano. O changelog é a prova: cada entrada tem data, está escrita em linguagem simples e diz o que mudou. Leia um mês e você vai saber exatamente o que esperar de nós antes de confiar qualquer coisa ao aplicativo.

Esse ritmo vem de como o trabalho é dividido. O núcleo de criptografia, o protocolo de sincronização e o login foram escritos por pessoas, fora do expediente, muito antes de o app ter um nome, e o núcleo criptográfico continua sendo mantido assim; nada automatizado chega perto dele. Quando essa base ficou sólida, na primeira metade de 2026, começamos a usar ferramentas de IA para programar sob um protocolo fixo: primeiro nas traduções, depois nos artigos de ajuda, depois em recursos de interface e correções de bugs não críticos, onde elas são boas em cercar casos raros que de outro modo levariam semanas, e em escrever os scripts de teste que mantêm vários desenvolvedores no mesmo padrão. É por isso que vale a pena atender ao pedido de uma única pessoa em vez de deixá-lo esperando atrás dos primeiros da lista.

Tudo o que toca criptografia, sincronização ou login fica com desenvolvedores experientes que escrevem cada linha, e esse código é público para você poder ler em vez de acreditar na nossa palavra. Mais sobre o time e como trabalhamos na nossa página sobre nós.

O aplicativo em si não tem recursos de IA e nunca envia suas notas para lugar nenhum (detalhes). Essa promessa é separada, e ela não muda.