Ajuda e FAQ

Sim. A demonstração em try.privacynotes.app é o app completo com conteúdo de exemplo: sem cadastro, sem e-mail, e nada do que você digita é salvo. Ela roda inteira no seu navegador e não envia nada aos nossos servidores.

Fechar a aba apaga tudo, e é exatamente essa a ideia. Quando quiser guardar suas notas, crie um cofre de verdade em use.privacynotes.app. O conteúdo da demonstração não é transferido, então copie antes o que quiser manter.

Não. Uma conta nova é uma frase de recuperação de 12 palavras recém-gerada, e nada mais. Sem e-mail, sem nome de usuário, sem telefone, sem etapa de verificação. Se você entra com a frase, não conseguiríamos escrever para você nem se quiséssemos: nunca sabemos quem você é.

Prefere o caminho conhecido? Entrar com Google, Apple ou GitHub também funciona. Essa rota inevitavelmente nos revela o e-mail ligado à sua conta no provedor, mas suas notas continuam criptografadas de ponta a ponta de qualquer forma, e por baixo você ainda ganha uma frase.

Abra Configurações > Import & Export e escolha a origem. Há importadores dedicados para Apple Notes, Obsidian, Standard Notes, Google Keep, Simplenote, Samsung Notes e Bitwarden (logins, cartões e notas seguras vão parar no Cofre), além de um importador Markdown genérico para qualquer pasta de arquivos .md.

As importações rodam inteiramente no seu aparelho: seus arquivos exportados são lidos, criptografados e salvos localmente, nada é enviado para processamento. Cada nota importada recebe uma tag com a origem, para você revisar o lote depois, e as listas do Google Keep até viram listas de tarefas nativas.

Sim. Digite Markdown e a formatação aparece na hora: # títulos, **negrito**, listas, - [ ] caixas de tarefa, citações e callouts. As notas também exportam como Markdown limpo, então o que você escreve continua portátil.

Você também pode conectar notas entre si: digite [[ e um preenchimento automático sugere suas notas existentes. Um note-link abre o destino com um clique, e o painel de estrutura mais a busca dentro da nota mantêm documentos longos navegáveis.

Os formatos padrão de Markdown ganham vida enquanto você digita: títulos, ênfase, tachado e destaque, listas e listas de tarefas, citações, divisórias, código em linha e blocos de código com realce de sintaxe, fórmulas matemáticas (KaTeX) e note-links entre notas com preenchimento automático.

Tabelas, callouts, destaques, cor do texto, imagens e anexos ficam na barra de formatação e no menu "Inserir". Tudo vai e volta como Markdown: "Ver markdown" embaixo de qualquer nota mostra o código-fonte bruto, e as exportações são arquivos .md limpos, então nada do que você escreve fica preso a um formato proprietário.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Qualquer linha que você escrever como - [ ] em qualquer nota vira uma tarefa, e a visão Tarefas na barra lateral reúne todas num lugar só. Marcar uma tarefa ali atualiza a nota em que ela vive, e abrir uma tarefa pula direto para essa nota. Não há um banco de dados de tarefas separado para manter: tarefas são só linhas nas suas notas, criptografadas como todo o resto.

A caixa de adição rápida no topo de Tarefas acrescenta a uma nota chamada Quick Tasks (criada para você no primeiro uso), então capturar um afazer avulso leva uma tecla só, não uma decisão de arquivamento. A mesma visão oferece três layouts (Híbrida, Agregada, Lista), uma opção para ver tarefas concluídas e busca de tarefas, e o botão Nova na visão Todos pode começar uma nota de tarefas direto.

Diários é uma visão dedicada a entradas com data: um toque cria a entrada de hoje, e o botão de calendário ao lado preenche um dia recente que você deixou passar. Uma entrada é uma nota normal mais rastreadores opcionais: humor numa escala de 1 a 10 com 24 tags de emoção, sono, atividade, medicamentos, energia, foco e mais. "Configurar rastreadores" dentro de qualquer entrada liga e desliga os embutidos, e o Pro adiciona até 10 rastreadores personalizados (escalas, números, sim/não).

Estatísticas (em Configurações, ou pelo ícone de estatísticas no rodapé) transforma as entradas em tendências na aba Bem-estar: humor ao longo do tempo, gráficos de sono e atividade, adesão a medicamentos. As exportações são geradas no seu aparelho: "Baixar JSON" é grátis, e o Pro adiciona um "PDF para o médico" para levar às consultas, um prompt de IA pronto para copiar para o chatbot da sua escolha, insights de padrões e um resumo da semana. Os dados dos rastreadores vivem dentro da entrada criptografada, então o servidor não consegue ler nenhum deles.

Aperte ? em qualquer lugar do app para ver a folha de referência embutida, também disponível em Configurações > Sobre e Ajuda. Os atalhos cobrem navegação, ações de nota, formatação e visões - e no Windows e no Linux, todo Cmd equivale a Ctrl e Option a Alt.

Nada legível. Notas, títulos, tags e anexos são criptografados no seu aparelho antes de sincronizar. O servidor armazena texto cifrado que não consegue decifrar, e do nosso lado não existe chave alguma que mude isso.

O que conseguimos ver é o mínimo para operar o serviço: quanto armazenamento criptografado você ocupa, quantos aparelhos estão vinculados e os horários de sincronização. Se você entra com uma frase em vez de Google ou Apple, nem o seu e-mail conhecemos.

No começo parece ao contrário, mas uma única frase de recuperação é a construção mais forte. Com usuário e senha, o usuário não é segredo (aparece em todo vazamento), então toda a segurança repousa na senha - e senhas escolhidas por humanos ficam em média em uns 30 a 40 bits de entropia. Sua frase de 12 palavras tem 128 bits garantidos, gerados pelo seu aparelho, nunca escolhidos por um humano e nunca reaproveitados de outro site.

Do nosso lado também não há nada a perder. Login com senha significa que o servidor guarda pelo menos um hash de senha, que pode vazar, ser quebrado ou cair em phishing. Sua frase nunca sai do seu aparelho: ela deriva suas chaves de criptografia localmente, e o servidor só vê dados criptografados. Não há hash para roubar nem fluxo de redefinição de senha para um atacante abusar.

Se digitar 12 palavras parece trabalhoso: você pode salvar a frase no seu gerenciador de senhas com um toque (Configurações > Segurança > Sua frase), e entrar vira um login como outro qualquer. Prefere o fluxo conhecido? Entrar com Google ou Apple também funciona, e por baixo você ainda ganha uma frase.

Sim, de propósito. Nem todo mundo se defende das mesmas ameaças, então o modelo de conta é uma escada, não um dogma único. Em cada degrau suas notas continuam criptografadas de ponta a ponta; o que muda é quem guarda a chave e o que sabemos sobre você.

A ponta conveniente: entre com Google, Apple ou GitHub e escolha "Deixe simples e prático" quando perguntarem. Guardamos sua frase de recuperação por você, criptografada em repouso no nosso servidor: qualquer aparelho entra só com a conta do provedor e não há nada para salvar nem perder. O preço honesto: conhecemos o e-mail por trás da sua conta no provedor, e um servidor totalmente comprometido poderia, em princípio, expor a chave guardada. Se a sua ameaça realista é perder as próprias credenciais, e não um ataque direcionado, é uma troca sensata.

O meio: entre com um provedor, mas escolha "Máxima segurança e privacidade". Sua frase nunca toca nossos servidores e a criptografia é totalmente de conhecimento zero; um aparelho novo exige a frase ou um escaneamento de QR a partir de um aparelho já conectado. Continuamos, por força, conhecendo seu e-mail do provedor, mas não conseguiríamos ler uma única nota, nem sob coação.

A ponta privada: dispense provedores e use apenas a frase de 12 palavras. Sem e-mail, sem nome, sem identidade - e, combinada com uma compra anônima do Pro, nem o pagamento deixa seu nome em lugar algum. Em troca, a custódia da chave é toda sua: perca a frase sem nenhum aparelho conectado e ninguém poderá ajudar.

Você não fica preso ao degrau que escolheu. Em Configurações > Segurança > Sua frase os dois modos aparecem lado a lado com o que cada um custa, e você pode mudar em qualquer direção quando quiser. Passar para a autocustódia apaga nossa cópia e antes pede que você redigite três das suas doze palavras, porque quem clica ali costuma ser justamente quem nunca as anotou. Voltar atrás envia a frase de novo e exige uma escolha explícita. As duas direções são assinadas com a chave da sua própria conta, então uma sessão roubada não muda o seu modo. E cada degrau aceita as camadas locais por cima: bloqueio por PIN, desbloqueio biométrico e proteção por nota.

Sim, 12 palavras bastam. Uma frase BIP-39 de 12 palavras codifica 128 bits de entropia. Quebrar 128 bits na força bruta não é um problema de "precisamos de um computador maior", e sim de "precisamos de mais energia do que a humanidade produz". Não existe ataque realista que quebre 128 bits mas falhe em 256.

A comparação com o Bitcoin mostra justamente por que 24 palavras são mais marketing do que outra coisa: as chaves do Bitcoin vivem na curva secp256k1, que por si só oferece apenas cerca de 128 bits de segurança. Uma frase de 24 palavras injeta 256 bits de entropia numa fechadura que ainda se abre com cerca de 128 bits de trabalho. É também por isso que muitas carteiras grandes seguem com 12 palavras por padrão.

O PrivacyNotes mira o mesmo nível de 128 bits de ponta a ponta: sua frase passa por uma função de derivação de chave, e a criptografia que ela protege (XChaCha20-Poly1305) é calibrada na mesma medida. Ir para 24 palavras dobraria o que você anota e digita sem nenhum ganho prático de segurança, então não planejamos oferecer.

Os pontos fracos honestos de qualquer frase de recuperação são o phishing e o lugar onde você guarda o papel, não o comprimento dela. Proteja a frase em si e 12 palavras vão sobreviver a todos nós.

Resposta curta: sim. Sua frase é a chave, então qualquer pessoa que a tiver consegue entrar, do mesmo jeito que qualquer um com a chave da sua casa abre a sua porta. Isso é proposital: ela é a única chave mestra das suas notas, e nada mais fraco fica na frente. A pergunta real, portanto, não é se ter a frase dá acesso (dá), e sim se alguém conseguiria adivinhá-la - e aí a resposta é não, com nenhum computador que exista ou que se possa prever.

Eis a escala. Uma frase de 12 palavras é uma entre 2^128 possibilidades: cerca de 340 undecilhões, um número de 39 dígitos (3,4 x 10^38). A chance de adivinhar a sua na primeira tentativa é 1 em 340 undecilhões - mais improvável do que ganhar quatro vezes seguidas um prêmio de loteria de 1 em 300 milhões. Tratar como busca em vez de golpe de sorte também não ajuda: mesmo a um quintilhão de tentativas por segundo (10^18, muito além de qualquer hardware real, estados incluídos), percorrer todas levaria uns 10 trilhões de anos, quase 800 vezes a idade atual do universo. E essa é a versão fantasiosa, porque cada tentativa real precisa passar por uma derivação de chave deliberadamente lenta, e qualquer ataque online precisa atravessar nossos servidores - o que deixa o palpite verdadeiro mais lento por várias ordens de grandeza adicionais. O esquema tampouco é novidade: a mesma construção de 128 bits protege carteiras Bitcoin há mais de uma década, e ninguém jamais adivinhou uma.

É tentador imaginar a frase como uma senha, que se reforça com maiúsculas, números e símbolos. Uma frase de recuperação não funciona assim, e você nunca deve tentar montar ou editar uma à mão. Seu aparelho gera 128 bits de aleatoriedade criptograficamente segura e os codifica em 12 palavras de uma lista pública fixa de 2048 palavras: essa aleatoriedade é toda a força. A última palavra ainda carrega uma soma de verificação embutida, então uma frase digitada errada ou inventada é rejeitada na hora. A ordem das palavras importa, maiúsculas e minúsculas não (normalizamos no login), e acrescentar símbolos só tornaria a frase inválida. Digite as palavras exatamente como foram entregues.

Porque é uma escolha deliberada, não um esquecimento. A 2FA conhecida - código por SMS ou app autenticador - existe para escorar senhas fracas escolhidas por humanos, e se apoia num segredo compartilhado e num caminho de recuperação guardados num servidor. É exatamente a superfície de ataque que o modelo de frase elimina: seu aparelho prova que possui a chave assinando um desafio, então nossos servidores só recebem uma chave pública e uma assinatura - nunca a frase, nunca um hash de senha. Parafusar um código por cima reintroduziria a maquinaria de servidor que esse design evita de propósito, sem acrescentar nada contra adivinhação, porque 128 bits já fecham essa porta.

O único segundo fator que acrescentaria algo de verdade é um resistente a phishing, como uma chave de segurança física ou uma passkey, porque os riscos residuais reais não são adivinhação, e sim phishing, malware e uma frase roubada ou espiada por cima do ombro. Num aparelho deixado desbloqueado, o bloqueio do app (PIN) e o desbloqueio biométrico são a proteção local.

Fora isso, a frase é a chave, então faça o backup no dia em que criar a conta: guarde-a num gerenciador de senhas confiável, ou imprima ou escreva à mão e guarde essa cópia num lugar seguro. E nunca cole a frase em lugar nenhum que não seja o próprio app.

Sim, a lista BIP-39 padrão (em inglês): 2048 palavras, exatamente a mesma lista que as carteiras Bitcoin usam. Geramos as frases com a @scure/bip39, uma biblioteca open source auditada. Nada de lista própria nem criptografia caseira.

A lista foi desenhada para escrever à mão: as quatro primeiras letras de cada palavra são únicas, então uma palavra borrada ou abreviada continua inequívoca, e palavras parecidas foram excluídas de propósito.

Por ser a lista padrão, você pode conferir sua frase em qualquer referência BIP-39 pública, e nossa camada de criptografia está publicada como open core, então você mesmo pode revisar a implementação.

Não. A busca consulta um índice de texto completo construído e guardado no seu aparelho. As consultas nunca saem dele, os resultados aparecem mesmo sem conexão nenhuma, e nada sobre o que você busca é transmitido, jamais.

Não é uma política que poderíamos reverter em silêncio: é imposto pela arquitetura. O servidor só guarda texto cifrado, então do nosso lado não há nada legível para indexar ou vasculhar. Um servidor que não consegue ler suas notas também não consegue buscá-las.

Não. Não há recursos de IA no app, nenhum processamento de IA em segundo plano e nenhum treinamento de modelo com o seu conteúdo. Suas notas são criptografadas antes de sair do seu aparelho - nos nossos servidores não existe nada legível para alimentar coisa alguma.

Se um dia construirmos algo nessa direção, terá de rodar inteiramente no seu aparelho e ser estritamente opcional. Enviar notas em texto puro para um modelo na nuvem quebraria a promessa de zero conhecimento, então está fora de cogitação.

Uma burn note é um jeito autodestrutivo de compartilhar uma nota com alguém que não usa o PrivacyNotes. O app criptografa o conteúdo com uma chave de uso único e entrega um link. A chave viaja no fragmento do link, que os navegadores nunca enviam aos servidores - nosso servidor guarda, portanto, texto cifrado que não consegue ler.

Na primeira abertura do link, o servidor entrega o texto cifrado e o apaga no mesmo passo: uma leitura, e acabou. Links nunca abertos expiram sozinhos após 24 horas. De um jeito ou de outro, nada fica para trás.

"Somente leitura" (no menu de opções da nota, Pro) trava a nota contra edições, para que um documento pronto não seja estragado sem querer; não esconde nada. "Proteger" (mesmo menu, Pro) esconde o título e o conteúdo de uma nota atrás do seu PIN ou desbloqueio biométrico, para aquelas coisas que você prefere não deixar à vista numa tela que outras pessoas às vezes veem.

Os dois são travas de conveniência no seu aparelho, não uma criptografia extra. Essas marcações viajam dentro dos dados criptografados da nota, e a nota, de propósito, não é recriptografada com o seu PIN: assim, um PIN esquecido nunca pode destruir dados. Isso também significa que qualquer pessoa com a sua frase de recuperação poderia entrar num aparelho novo, definir um novo PIN e ler tudo. A frase continua sendo a verdadeira fronteira de segurança - proteja a frase primeiro, e use essas travas para a privacidade na tela.

Você nunca fica trancado do lado de fora. A tela de bloqueio sempre oferece uma alternativa: "Desbloquear com PIN", ou "Entrar com a frase de recuperação". A biometria é uma trava local, não uma chave de criptografia, então suas notas ficam intactas de qualquer forma.

Depois, conserte a trava. O cadastro é por aparelho, então um celular novo, um perfil de navegador limpo ou uma reinstalação exigem cadastrar de novo: Configurações > Segurança > "Bloqueio biométrico", desative e depois "Ativar desbloqueio biométrico" de novo. Também é preciso "Confiar neste dispositivo" (sessões não confiáveis são limpas quando a aba fecha) e um hardware com autenticador de plataforma (Touch ID, Face ID, Windows Hello). Se um gerenciador de senhas como Bitwarden ou 1Password aparecer no lugar do aviso do sistema, dispense-o e tente de novo, ou desligue a captura de passkey dele para o site - o app pede o autenticador embutido, mas alguns gerenciadores interceptam mesmo assim.

As partes que protegem você já são. O código de criptografia, o esquema do banco de dados e o modelo de ameaças estão publicados como open core: qualquer pessoa pode auditar como suas notas são protegidas, em vez de acreditar na nossa palavra.

Os apps vêm em seguida. Quando os apps nativos de todas as plataformas tiverem saído, abriremos o código dos clientes (web, desktop e mobile). A única peça que permanece fechada é o backend de sincronização, e ele nunca guarda nada além de dados criptografados que não conseguimos ler. Mantê-lo privado não custa nada da sua privacidade, mas impede que alguém clone o serviço inteiro e apresente nosso trabalho como se fosse dele. Aberto onde protege você, fechado onde protege a gente.

Se você ainda está logado em qualquer aparelho: sim, você mesmo recupera. Abra Configurações > Segurança > Sua frase e salve-a agora no seu gerenciador de senhas.

Se você não tem mais nenhum aparelho logado nem a frase: não, e ninguém consegue. Sua frase nunca chega aos nossos servidores, então não há nada para redefinir e nenhum chamado de suporte que ajude. Não é uma política que possamos flexibilizar - é o que criptografia de ponta a ponta significa. Qualquer serviço capaz de restaurar seus dados criptografados após uma perda total está guardando as suas chaves.

A prevenção custa dez segundos: salve a frase num gerenciador de senhas no dia em que criar a conta.

Por baixo você ainda tem uma frase de 12 palavras, e a frase sozinha faz login em qualquer aparelho - sem Google nem Apple. Abra Configurações > Segurança > Sua frase e salve-a no seu gerenciador de senhas.

Faça isso uma vez e perder a conta do provedor não custa nada: é só entrar com a frase no lugar.

Considere o cofre comprometido. Uma frase não pode ser trocada nem rotacionada, porque a frase é a chave sob a qual tudo é criptografado - então o conserto é migrar para um cofre novo. Primeiro, na conta antiga, exporte tudo: Configurações > Import & Export > Exportar > "Backup do PrivacyNotes (.zip)".

Saia da conta, crie um cofre novo (12 palavras novas) e traga a exportação de volta em Configurações > Import & Export > Restaurar > "Backup completo (.zip)". Depois exclua a conta antiga de qualquer aparelho ainda conectado a ela: Configurações > ID & Sync > "Excluir conta e dados...". Isso remove os dados sincronizados dela e barra qualquer pessoa que esteja com a frase antiga. Se você entrou com Google ou Apple, exclua a conta antiga primeiro, depois entre de novo com o provedor para começar o cofre novo.

Dois custos honestos: um adicional de armazenamento ativo precisa ser cancelado antes da exclusão, e o Pro está preso à conta em que foi comprado - ele não se transfere para o cofre novo, e fora a janela padrão de 30 dias isso não é um evento reembolsável. A prevenção é barata em comparação: guarde a frase num gerenciador de senhas e em nenhum outro lugar.

De qualquer aparelho conectado, abra Configurações > Conta > "Dispositivos registrados" e remova o que você perdeu. Na próxima vez que esse aparelho ficar online, ele é desconectado e seus dados locais são apagados, dentro de mais ou menos um minuto do próximo uso. Ele continua listado em "Removidos recentemente" por 72 horas, para você confirmar que sumiu.

Os limites honestos: um aparelho que nunca mais se reconecta mantém o que já tinha guardado até que se reconecte, e é por isso que o bloqueio do app (PIN ou biometria) mais o bloqueio de tela do sistema importam em tudo que é portátil. E a remoção não é uma troca de chave - quem de fato tem as suas 12 palavras consegue entrar de novo mesmo assim. Se você desconfia que a própria frase vazou, siga o guia para frase vazada.

Não. O PIN é uma trava de conveniência contra olhares curiosos no seu próprio aparelho, não uma chave de criptografia. Suas notas são criptografadas com chaves derivadas da sua frase de recuperação, e a frase sempre dá acesso completo, sem PIN algum.

É uma decisão de projeto deliberada: amarrar a criptografia a um PIN de 4 dígitos significaria que um PIN esquecido destrói dados. Aqui isso nunca acontece.

No app: Configurações > ID & Sync e, em seguida, "Excluir conta e dados". Isso remove permanentemente do servidor suas notas sincronizadas, arquivos, aparelhos, configurações e a própria conta. Não há período de retenção nem backup que possamos restaurar depois - então exporte antes tudo o que quiser manter (Configurações > Import & Export).

Dois detalhes: uma assinatura de armazenamento ativa precisa ser cancelada antes da exclusão (uma já agendada para encerrar não bloqueia), e como uma conta de frase nunca teve e-mail nem nome, não sobra perfil nem lista de marketing para limpar. Apagar os dados locais de um aparelho é uma ação separada e não mexe na sua conta.

Tudo o que você esperaria, cada item criptografado no seu aparelho antes de sincronizar: notas, tarefas, entradas de diário, seu cofre e os arquivos criptografados dentro dele. Suas configurações também acompanham - tags favoritas, preferências de ordenação e exibição, tema de cor, seu PIN (como hash com sal, nunca o PIN em si), bloqueio do app, configuração de rastreadores e medicamentos, e a limpeza automática da lixeira. Configure uma vez e cada aparelho acompanha.

Algumas coisas ficam de propósito locais ao aparelho: modo claro ou escuro (cada aparelho segue a própria preferência do sistema), desbloqueio biométrico (preso ao hardware de cada aparelho) e seu estado de desbloqueio (fechar o app sempre trava de novo). O servidor só armazena blobs criptografados e não consegue ler nada disso.

Sim. O app é local-first: suas notas vivem num banco de dados no seu aparelho, então ler, escrever e buscar funcionam sem conexão nenhuma. As mudanças sincronizam sozinhas quando você volta a ficar online.

Nada é sobrescrito em silêncio. Se os dois aparelhos mudaram a mesma nota enquanto estavam separados (um offline, por exemplo), o app detecta a colisão na próxima sincronização e mostra um diálogo de conflito: manter a versão deste aparelho, manter a outra, ou manter as duas como notas separadas.

No dia a dia você raramente vai vê-lo. Online, as edições sincronizam em segundos, e o diálogo só aparece quando duas versões da mesma nota realmente divergiram.

Configurações > Conta lista cada aparelho registrado. Remova o que você está aposentando: a vaga é liberada na hora (útil no plano gratuito de 2 aparelhos), e o aparelho removido é desconectado na próxima tentativa de sincronizar. Ele continua visível por 72 horas em "Removidos recentemente", para você confirmar que sumiu.

Um aviso honesto: a remoção sozinha não é uma fronteira de segurança, porque qualquer pessoa com a sua frase de recuperação consegue entrar de novo. Se um aparelho foi perdido ou roubado, a frase é o que precisa de proteção - e o bloqueio do app (PIN ou biometria) é o que impede um aparelho achado de virar porta aberta.

Contas gratuitas sincronizam em até 2 aparelhos, e este diálogo aparece quando um terceiro tenta se registrar. Remova um aparelho que você não usa mais direto no diálogo, ou num aparelho existente em Configurações > Conta (como funciona a remoção). A vaga é liberada na hora, e o aparelho removido continua visível em "Removidos recentemente" por 72 horas. O Pro remove o limite por completo.

Uma peculiaridade que vale saber: para que vários navegadores num mesmo computador não consumam várias vagas, os aparelhos são agrupados usando hashes que preservam a privacidade de sinais grosseiros da máquina, calculados no seu aparelho com um segredo por conta. Uma atualização grande de navegador, ou navegadores reforçados como Brave ou Tor que embaralham esses sinais, podem colocar a mesma máquina numa vaga nova por um tempo. Você nunca fica trancado do lado de fora - remova a entrada obsoleta e siga em frente.

Nada é apagado, nunca. Quando novas mudanças param de caber, a sincronização avisa: "Armazenamento cheio. Algumas notas não puderam sincronizar." Os dados existentes continuam sincronizando, o novo crescimento não. Se você continuar acima do limite, começa uma contagem regressiva de 90 dias, mostrada numa faixa âmbar. Ler, editar para reduzir o tamanho, excluir e exportar continuam funcionando o tempo todo.

Depois de 90 dias acima do limite, a sincronização pausa: a faixa fica vermelha ("Sincronização pausada. Você está acima do seu limite de armazenamento há mais de 90 dias."). O app continua funcionando por completo em todos os aparelhos; as mudanças só ficam locais até você voltar para baixo do limite. A recuperação é instantânea e por conta própria: libere espaço - esvaziar a lixeira conta - ou adicione armazenamento em Configurações > Armazenamento, e a sincronização volta sozinha. Isto é o oposto deliberado de serviços que apagam automaticamente os dados que passam do limite.

Primeiro no seu aparelho - é essa cópia que você realmente usa. A cópia de sincronização vive em servidores em Zurique, na Suíça.

Como tudo é criptografado antes de sair do seu aparelho, a localização do servidor é um bônus, não uma promessa estrutural: os dados sincronizados seriam ilegíveis onde quer que estivessem.

Você pode exportar tudo a qualquer momento, gerado inteiramente no seu aparelho: arquivos Markdown num zip com os anexos incluídos, um backup JSON completo, ou HTML autossuficiente - por nota ou para a conta inteira.

Importar também funciona: traga notas do Obsidian, Apple Notes, Google Keep, Standard Notes, Simplenote e Samsung Notes. Prender o usuário não faz parte do modelo de negócio.

Para uma rede de segurança completa: "Backup do PrivacyNotes (.zip)" em Configurações > Import & Export > Exportar. Ele contém tudo - notas, diários, cofre, tarefas, imagens, áudio, arquivos - e restaura por completo pela aba Restaurar, em qualquer cofre. É legível no seu disco, então guarde num lugar em que você confia: um disco criptografado, não um drive compartilhado.

"Backup criptografado (.pnbackup)" é a troca oposta: seguro para deixar em qualquer lugar, porque é ilegível sem a sua frase, mas cobre só texto e metadados (nada de imagens ou arquivos) e restaura apenas na mesma conta que o criou - o que o deixa inútil se um dia você mudar para uma frase nova. O "Backup de texto (.json)" e o Arquivo HTML são formatos de portabilidade, não de restauração, e a "Exportação do cofre (.json)" é texto puro compatível com Bitwarden para gerenciadores de senhas.

Por que manter backups locais afinal, se tudo sincroniza? Porque sincronização não é backup: ela propaga fielmente as exclusões, incluindo, no pior caso, um servidor comprometido descartando dados que os seus aparelhos então espelham. Um backup completo periódico no seu próprio disco é a única cópia que nenhum evento de servidor consegue tocar. Exporte antes de importações grandes, antes de ir embora, e num ritmo que você realmente consiga manter.

Tudo o que você sincroniza, no tamanho criptografado: o texto das notas, imagens, gravações de áudio e anexos. A barra em Configurações > Armazenamento mostra o total; a pegada de cada nota aparece nas opções da nota como "Armazenamento usado". Notas na lixeira ainda contam até a lixeira ser esvaziada.

Para liberar espaço rápido, abra Arquivos, ordene por Tamanho e exclua os itens maiores - os anexos fazem o texto parecer minúsculo em quase toda conta. Depois esvazie a lixeira: a visão Lixeira mostra quanto espaço "Esvaziar" vai liberar. Só texto quase nunca enche uma cota; até os 50 MB grátis guardam dezenas de milhares de notas simples.

Qualquer tipo de arquivo: imagens, PDFs, áudio, compactados, o que você arrastar. Cada arquivo é criptografado no seu aparelho antes do envio, exatamente como o texto das notas, e a visão Arquivos reúne todos os anexos num lugar só.

O limite por arquivo é de 5 MB no plano gratuito e 50 MB no Pro. Os arquivos contam no seu armazenamento total de sincronização (50 MB grátis, 500 MB no Pro, expansível até 5,5 GB com os adicionais de armazenamento), e a barra em Configurações > Armazenamento mostra sempre onde você está.

Dois limites se aplicam, e o erro diz qual deles você atingiu. Por arquivo: 5 MB no plano gratuito, 50 MB no Pro, 100 MB com qualquer adicional de armazenamento. No total: tudo o que você sincroniza precisa caber no armazenamento da sua conta (50 MB no gratuito, 500 MB no Pro, mais com os adicionais), então uma cota cheia faz os envios falharem mesmo quando o arquivo em si é pequeno. Qualquer tipo de arquivo é aceito - não há restrição de formato.

Confira a barra de armazenamento na visão Arquivos ou em Configurações > Armazenamento, depois escolha o conserto mais barato: libere espaço, faça upgrade ou reduza o arquivo (fotos de celular costumam ser originais de vários MB; um JPEG comprimido é uma fração do tamanho). Os envios também precisam de conexão: os arquivos não entram na fila enquanto você está offline.

A lixeira não é um arquivo morto: por padrão, tudo que está nela é apagado permanentemente após 30 dias. O botão fica na própria visão Lixeira, com o rótulo "Exclusão automática após 30 dias" - desligue ali se quiser manter a lixeira para sempre, e a configuração sincroniza para todos os seus aparelhos. A limpeza roda no seu aparelho quando o app abre, porque o servidor não consegue ver quais notas criptografadas estão na lixeira.

Apagado permanentemente significa que foi embora: sem cópia no servidor e sem caminho de recuperação. Se você usa a lixeira como uma pilha de "quem sabe um dia", desligue a exclusão automática ou restaure as notas antes de completar 30 dias. Até lá, notas na lixeira ainda contam no seu armazenamento - "Esvaziar", na mesma visão, libera esse espaço na hora.

O Cofre é uma seção dedicada a segredos estruturados: logins com usuário e senha, cartões de crédito e débito, e chaves SSH. As entradas têm campos de verdade em vez de texto livre, os logins mostram o ícone do site, e tudo é criptografado de ponta a ponta como o resto dos seus dados.

Ele dá um lar organizado e protegido àquele punhado de credenciais que, de outro jeito, acaba espalhado pelas notas. Combine com o bloqueio do app e a proteção por PIN para uma segunda barreira nas entradas mais sensíveis. Uma importação do Bitwarden aterrissa aqui automaticamente.

Escreva o quanto quiser - em notas normais, tamanho nem entra em pauta. Quando uma única nota cresce demais, uma dica aparece embaixo e sobe de tom em três degraus: perto de 50.000 palavras, avisa que a nota está ficando longa e pode engasgar em aparelhos mais lentos; perto de 75.000, fica âmbar, e a digitação pode começar a travar; e perto de 100.000, sugere dividir a nota porque você está chegando ao limite de sincronização. São guias, não bloqueios rígidos - nada impede você de continuar.

Esse limite de sincronização é o único teto de verdade. Uma única nota comporta cerca de 1 MB de texto depois de criptografada - grosso modo, 120.000 palavras de inglês comum, menos com escrita não latina ou muita formatação. Uma nota além disso continua funcionando e segue segura no aparelho onde foi escrita, mas essa nota específica não vai mais sincronizar com os outros aparelhos (você verá um aviso de "falha na sincronização"). O resto das suas notas não é afetado: uma nota grande demais nunca bloqueia mais nada.

O conserto é fácil: divida uma nota gigante em algumas menores. O conteúdo é idêntico, sincroniza sem problema e o editor continua rápido. Um contador de palavras ao vivo embaixo de cada nota deixa você de olho no tamanho enquanto escreve. E se você ia testar onde fica o muro: agora não precisa mais.

Exporte primeiro, exclua depois - as duas coisas por conta própria. Configurações > Import & Export > Exportar cobre toda rota de saída: "Backup do PrivacyNotes (.zip)" para uma cópia completa, Markdown e HTML portáteis para o seu próximo app de notas, e "Exportação do cofre (.json)" em formato compatível com Bitwarden para o seu próximo gerenciador de senhas. As exportações são geradas no seu aparelho.

Depois, Configurações > ID & Sync > "Excluir conta e dados...": digite DELETE, e suas notas sincronizadas, arquivos, aparelhos, configurações e a própria conta são removidos permanentemente, sem período de retenção (detalhes). Um adicional de armazenamento ativo precisa ser cancelado antes, em Configurações > Armazenamento. Uma conta só de frase não deixa nada para trás para limpar, porque nunca soubemos quem você era. Sem padrões enganosos e sem e-mails de reconquista - seus dados são seus, inclusive na hora de ir embora.

Principalmente guardando o mínimo possível. Cadastre-se com uma frase e não há nome, e-mail nem identidade nos nossos registros para solicitar: seus dados são texto cifrado sob uma chave pública aleatória, hospedados em Zurique, na Suíça. Entre com Google ou Apple e existe exatamente um identificador - o e-mail que seu provedor compartilha, ligado a essa chave. Os dados de cobrança do Pro ficam com a Paddle, o merchant of record, não com a gente.

Todo direito é por conta própria e imediato, sem formulário de solicitação: acesso e portabilidade são Configurações > Import & Export (exportação completa em formatos abertos), apagamento é Configurações > ID & Sync > "Excluir conta e dados..." sem período de retenção, e retificação é editar as suas notas. A versão formal, incluindo como falar com a gente para qualquer coisa que o app não faça sozinho, está na política de privacidade.

Você não perde nada. O conjunto completo de dados já está no seu aparelho porque o app é local-first, e a exportação para Markdown, JSON ou HTML funciona totalmente offline.

A camada de criptografia também está publicada como open core: o formato continua legível de forma independente, mesmo num mundo em que nossos servidores sumissem da noite para o dia.

O grátis é o produto completo, não uma amostra: notas, tarefas, diário e cofre criptografados de ponta a ponta, uso offline, importação e exportação - em até 2 aparelhos com 50 MB de armazenamento de sincronização.

O Pro é uma compra única que adiciona aparelhos ilimitados, 500 MB de armazenamento (expansível), histórico de versões das notas, anexos maiores, bloqueio de notas e proteção por PIN, acompanhamento de bem-estar avançado, modo zen e todos os temas de cor.

Porque o serviço foi desenhado para ser barato de operar. O app é local-first e as notas são pequenos blobs criptografados: o servidor pouco faz além de guardá-los e repassá-los entre seus aparelhos. Sem pipeline de analytics, sem recursos de IA queimando computação, sem departamento de suporte.

O único custo que cresce com o tempo é o armazenamento, e ele é precificado de acordo: espaço além dos 500 MB inclusos é um pequeno adicional anual. Custos únicos se pagam uma vez; custos recorrentes, de forma recorrente. O modelo só precisa se sustentar, e ele se sustenta.

Sim. O Pro está vinculado à sua conta, não a um aparelho, plataforma ou loja. Compre uma vez, entre com a mesma frase (ou o mesmo login Google, Apple ou GitHub) em qualquer lugar, e o Pro estará ativo lá também.

Isso inclui plataformas que ainda nem existem: quando um app novo sair, o seu Pro atual vai junto sem custo extra.

Espere um minuto, depois recarregue o app. Depois do checkout, o app verifica por cerca de 20 segundos e libera sozinho, e recarregar confere de novo o status do Pro ao abrir. Se o pagamento entrou mas a ativação atrasa, uma faixa diz "Pagamento recebido, mas a ativação do Pro está demorando mais que o normal" - esse estado se resolve sozinho em quase todos os casos. Nas versões de loja, uma compra que falha na validação tenta de novo quando você reinicia o app, e uma compra que nunca ativa é reembolsada pela loja automaticamente em até 3 dias.

Ainda travado? Quase sempre é uma conta trocada: o Pro se prende à conta que estava conectada na compra, então uma frase diferente - ou um login de provedor no lugar do seu cofre de frase - é uma conta diferente. Compare o ID da conta em Configurações > ID & Sync no aparelho que fez a compra. Se estiver realmente emperrado, relate o problema e inclua esse ID da conta: ele identifica a compra e não revela nada sobre as suas notas.

O Pro inclui 500 MB de armazenamento de sincronização criptografado. Se precisar de mais, os pacotes se somam por cima: 1 GB por US$ 4,80 ao ano, 2 GB por US$ 8,40, ou 5 GB por US$ 18, até 5,5 GB no total. Os adicionais são a única compra recorrente do produto, porque armazenamento é a única coisa que nos custa dinheiro em cada mês de uso.

Tudo é gerenciado em Configurações > Armazenamento: troque por um pacote maior (você paga só a diferença proporcional) ou cancele quando quiser e mantenha o espaço até o fim do período pago. O Pro, de qualquer forma, é seu para sempre.

Configurações > Armazenamento é o painel de controle. Trocar para um pacote maior vale na hora, e a confirmação mostra o valor proporcional exato cobrado hoje antes de você confirmar; a data de renovação não muda. "Cancelar armazenamento" mantém o seu espaço extra até o fim do período que você já pagou. Ainda não dá para reduzir para um pacote menor - o caminho por enquanto é cancelar e depois comprar o pacote menor quando o período terminar.

Se os seus dados ainda couberem no limite restante depois do vencimento, acabou por aí; se não, nada é apagado e começa o ciclo de 90 dias acima do limite. Uma renovação que falha mostra uma faixa com um link "Atualizar cartão" para acertar o pagamento na Paddle. Se você assinou dentro de uma versão de loja, quem cobra é a loja, então o cancelamento acontece nas configurações de assinatura da própria loja.

Sim. O Pro e o armazenamento estão vinculados à sua conta, não a uma plataforma ou loja. Compre na web e todo app em que você entrar é Pro, incluindo as versões de loja; compre dentro de uma versão de loja e os apps web e desktop liberam do mesmo jeito. Não existe botão de "restaurar compras", porque entrar já é a restauração - o direito segue a conta.

A única diferença é quem faz a cobrança. As compras na web passam pela Paddle e são gerenciadas no app em Configurações > Armazenamento. As compras feitas dentro de uma versão de loja (Google Play, ou a App Store quando o app de iOS sair) são cobradas por essa loja: o armazenamento recorrente é cancelado nas configurações de assinatura da loja, e os reembolsos seguem o processo da loja. De um jeito ou de outro, é a mesma conta e o mesmo Pro em todo lugar - incluindo plataformas que ainda nem existem.

30 dias, sem perguntas. Se o Pro não for para você, peça o reembolso integral em até 30 dias da compra e ele volta para o método de pagamento original. Clientes na UE mantêm ainda o direito legal de arrependimento de 14 dias.

Os pagamentos são processados pela Paddle, nosso merchant of record, então os reembolsos são tratados diretamente pela Paddle: responda ao e-mail do recibo da compra ou visite paddle.net. A política completa está nos termos de serviço.

Menos do que você imagina. O checkout passa pela Paddle, o merchant of record: seu nome, número do cartão e endereço de cobrança vão para a Paddle para pagamento e impostos, e nunca tocam nossos servidores.

O que chega até nós é a confirmação de que a chave pública da sua conta agora é Pro, mais o valor do pedido. A relação de cobrança, incluindo o e-mail de recibo digitado no checkout, fica com a Paddle. Uma conta só de frase permanece, portanto, pseudônima para nós mesmo como cliente pagante: sabemos que você pagou, não quem você é.

Sim, com duas ferramentas padrão. Para o recibo, use um alias de e-mail: Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay ou addy.io encaminham todos para a sua caixa real sem expô-la. Para o pagamento, use um cartão mascarado: o privacy.com, nos EUA, gera cartões virtuais que funcionam com qualquer nome digitado, e muitos bancos e serviços em outros lugares (o Revolut, por exemplo) oferecem cartões virtuais descartáveis que fazem o mesmo trabalho.

No checkout, a Paddle pede um e-mail, um método de pagamento e um país (mais um código postal em algumas regiões) para calcular impostos. O alias recebe o recibo, o cartão mascarado carrega o nome que você deu a ele, e a localização fiscal situa você, no máximo, numa região, nada além. Mantenha o alias vivo, porém: o e-mail do recibo é sua prova de compra e seu canal para reembolso.

Combinado com uma conta de frase, nenhuma parte termina com o quadro completo: seu banco vê uma recarga de cartão, a Paddle vê um alias e um cartão mascarado, e nós vemos apenas que uma chave pública virou Pro.

Web, macOS, Windows, Linux e Android hoje, com iOS chegando em breve. Cada app nasce do mesmo núcleo, com a mesma criptografia de ponta a ponta, e sincroniza pela mesma conta. A seção de downloads tem sempre as versões mais recentes.

O app web é cidadão de primeira classe, não um plano B: mantém uma cópia local completa dos seus dados e funciona offline - qualquer navegador moderno é sempre uma porta de entrada.

Se veio da Google Play Store: sim, ele se atualiza sozinho como os outros apps. Se você baixou direto do nosso site, o celular não vai atualizá-lo automaticamente - é simplesmente assim que o Android trata apps que não vêm da Play Store.

Em vez disso, o app confere se há versões novas e mostra a mensagem "Nova versão disponível" quando uma estiver pronta. Toque nela e a atualização se instala por cima da versão antiga, com todas as suas notas e configurações no lugar. A verificação só procura uma versão mais nova, nunca toca nas suas notas, que permanecem criptografadas o tempo todo.

Sim, mas não instalando um por cima do outro. As duas versões são assinadas com chaves diferentes (a Play gerencia a própria assinatura; a chave do APK direto é só nossa), e o Android se recusa a atualizar um app cuja assinatura mudou, então a instalação falha com um erro do tipo "App não instalado". Alternar significa: confirme que o app mostra "Synced", desinstale a versão atual, instale a outra, entre de novo.

Desinstalar apaga os dados locais do app - é por isso que a checagem de sincronização vem primeiro. Depois de entrar, tudo volta pela sincronização. Tenha as suas 12 palavras ou um QR de login de outro aparelho à mão antes de desinstalar, não depois. Fora isso, as versões são idênticas; diferem só em como se atualizam e em como o Pro é cobrado.

Inglês, alemão, francês, italiano, espanhol, holandês, polonês, tcheco, catalão, japonês, coreano, chinês tradicional e português, nas variantes europeia e do Brasil. O app segue o idioma do sistema por padrão, ou você fixa um explicitamente em Configurações > Idioma em cada aparelho.

As traduções são grátis para todo mundo, não uma vantagem Pro. Mais idiomas estão nos planos; se o seu está faltando, conte para a gente no GitHub ou no Reddit.