Ajuda i preguntes freqüents

Sí. La demostració de try.privacynotes.app és l'aplicació completa amb contingut d'exemple: sense registre, sense correu electrònic, i res del que hi escriguis no es desa. Funciona íntegrament al teu navegador i no envia mai res als nostres servidors.

En tancar la pestanya s'esborra tot, i aquesta és justament la gràcia. Quan estiguis a punt per conservar les teves notes, crea una caixa forta de debò a use.privacynotes.app. El contingut de la demostració no s'hi trasllada, així que abans copia't tot el que vulguis conservar.

No. Un compte nou és una frase de recuperació de 12 paraules acabada de generar, i res més. Sense correu electrònic, sense nom d'usuari, sense número de telèfon, sense pas de verificació. Si inicies la sessió amb la frase, no et podríem enviar cap correu ni que volguéssim, perquè mai no arribem a saber qui ets.

Prefereixes un procés familiar? També pots iniciar la sessió amb Google, Apple o GitHub. Aquesta via ens revela necessàriament l'adreça electrònica vinculada al compte del proveïdor, però les teves notes es mantenen xifrades d'extrem a extrem igualment, i sota el capó també tens una frase.

Obre Configuració > Importació i exportació i tria l'origen. Hi ha importadors dedicats per a Apple Notes, Obsidian, Standard Notes, Google Keep, Simplenote, Samsung Notes i Bitwarden (els inicis de sessió, les targetes i les notes segures van a parar a la Caixa forta), més un importador genèric de Markdown per a qualsevol carpeta de fitxers .md.

Les importacions s'executen íntegrament al teu dispositiu: els fitxers exportats s'analitzen, es xifren i es desen localment; no es puja res enlloc per processar-ho. Cada nota importada s'etiqueta amb el seu origen perquè després puguis repassar el lot sencer, i les llistes de comprovació de Google Keep es converteixen fins i tot en llistes de tasques natives.

Sí. Escriu Markdown i es formata en directe: encapçalaments amb #, **negreta**, llistes, caselles de tasca amb - [ ], citacions i requadres destacats. Les notes també s'exporten com a Markdown net, així que el que escrius es manté portable.

També pots connectar notes entre elles: escriu [[ i un autocompletat t'ofereix les notes que ja tens. Un note-link obre la nota de destinació amb un sol clic, i el tauler d'esquema i la cerca dins de la nota mantenen navegables els documents llargs.

Els formats habituals de Markdown cobren forma mentre escrius: encapçalaments, èmfasi, ratllat i ressaltat, llistes i llistes de tasques, citacions, separadors, codi en línia i blocs de codi amb ressaltat de sintaxi, matemàtiques (KaTeX) i note-links entre notes amb autocompletat.

Les taules, els requadres destacats, els ressaltats, el color de text, les imatges i els fitxers adjunts són a la barra d'eines de format i al seu menú Insereix. Tot es manté en Markdown d'anada i tornada: «Mostra el markdown» sota qualsevol nota en mostra el codi font, i les exportacions són fitxers .md nets, així que res del que escrius no queda lligat a cap format propietari.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Qualsevol línia que escriguis com a - [ ] en qualsevol nota es converteix en una tasca, i la vista Tasques de la barra lateral les aplega totes en un sol lloc. Si hi marques una tasca com a feta, s'actualitza la nota on és, i si l'obres, saltes a aquella nota. No hi ha cap base de dades de tasques a part per mantenir: les tasques són simplement línies de les teves notes, xifrades com tota la resta.

La casella d'afegit ràpid de la part superior de Tasques afegeix el que escrius a una nota anomenada Quick Tasks (que es crea per tu el primer cop que la fas servir), així que apuntar una tasca solta costa una sola tecla, no pas una decisió d'arxivament. La mateixa vista ofereix tres disposicions (Híbrida, Agregada, Llista), un interruptor per a les tasques completades i cerca de tasques, i el botó Nova de la vista Tot pot començar directament una nota de tasques.

Diaris és una vista dedicada a les entrades amb data: amb un toc crees l'entrada d'avui, i el botó de calendari del costat et permet crear l'entrada d'un dia recent que t'hagis saltat. Una entrada és una nota normal més seguiments opcionals: estat d'ànim en una escala de l'1 al 10 amb 24 etiquetes d'emocions, son, activitat, medicaments, energia, concentració i més. «Configura els seguiments» dins de qualsevol entrada activa o desactiva els integrats, i Pro n'hi afegeix fins a 10 de personalitzats (escales, nombres, sí/no).

Estadístiques (a Configuració, o la icona d'estadístiques del peu de pàgina) converteix les entrades en tendències sota la pestanya Benestar: l'estat d'ànim al llarg del temps, gràfics de son i d'activitat, l'adherència a la medicació. Les exportacions es generen al teu dispositiu: «Baixa el JSON» és gratuïta, i Pro hi afegeix un «PDF per al metge» per portar a les visites, una indicació per a la IA a punt de copiar per al xatbot que triïs, informació sobre patrons i un resum de la setmana. Les dades dels seguiments són dins de l'entrada xifrada, així que el servidor no en pot llegir res.

Prem ? a qualsevol lloc de l'aplicació per obrir la guia ràpida integrada, també disponible a Configuració > Informació i ajuda. Les dreceres cobreixen la navegació, les accions de nota, el format i les vistes - i a Windows i Linux, cada Cmd es llegeix com a Ctrl i Option com a Alt.

Res de llegible. Les notes, els títols, les etiquetes i els fitxers adjunts es xifren al teu dispositiu abans de sincronitzar-se. El servidor emmagatzema text xifrat que no pot desxifrar, i a la nostra banda no hi ha cap clau que ho pugui canviar.

El que sí que podem veure és el mínim necessari per fer funcionar el servei: quant emmagatzematge xifrat fas servir, quants dispositius tens vinculats i les marques de temps de sincronització. Si inicies la sessió amb una frase en lloc de Google o Apple, ni tan sols sabem la teva adreça electrònica.

D'entrada pot semblar al revés del que toca, però una única frase de recuperació és la construcció més sòlida. Amb nom d'usuari i contrasenya, el nom d'usuari no és cap secret (surt a totes les filtracions), de manera que tota la seguretat recau en la contrasenya, i les contrasenyes triades per persones ronden de mitjana els 30 o 40 bits d'entropia. La teva frase de 12 paraules són 128 bits garantits, generats pel teu dispositiu, mai triats per una persona i mai reutilitzats d'un altre lloc web.

A més, nosaltres no tenim res a perdre. Un inici de sessió amb contrasenya vol dir que el servidor guarda com a mínim un resum (hash) de la contrasenya, que es pot filtrar, trencar o robar amb phishing. La teva frase no surt mai del teu dispositiu: en deriva les claus de xifratge localment, i el servidor només veu dades xifrades. No hi ha cap hash per robar ni cap procés de restabliment de contrasenya que un atacant pugui explotar.

Si escriure 12 paraules et sembla feixuc: pots desar la frase al teu gestor de contrasenyes amb un sol toc (Configuració > Seguretat > La teva frase), i iniciar la sessió és com qualsevol altre inici de sessió. Prefereixes un procés familiar? També pots iniciar la sessió amb Google o Apple, i sota el capó igualment tens una frase.

Sí, i és volgut. No tothom es defensa de les mateixes amenaces, així que el model de comptes és una escala, no pas un dogma únic. A tots els esglaons les teves notes es mantenen xifrades d'extrem a extrem; el que canvia és qui té la clau i què sabem de tu.

L'extrem còmode: inicia la sessió amb Google, Apple o GitHub i tria «Mantén-ho senzill» quan t'ho pregunti. Guardem la teva frase de recuperació per tu, xifrada en repòs al nostre servidor, de manera que qualsevol dispositiu inicia la sessió només amb el compte del proveïdor i no hi ha res de què fer còpia de seguretat ni res que es pugui perdre. La contrapartida, dita amb honestedat: sabem el correu que hi ha darrere del teu compte del proveïdor, i un servidor totalment compromès podria, en principi, exposar la clau guardada. Si la teva amenaça realista és perdre les teves pròpies credencials i no pas un atac dirigit, és un intercanvi assenyat.

El punt mitjà: inicia la sessió amb un proveïdor però tria «Privadesa màxima». La teva frase no toca mai els nostres servidors i el xifratge és totalment de coneixement zero; els dispositius nous necessiten la frase o escanejar un codi QR des d'un dispositiu que ja tingui la sessió iniciada. Continuem sabent necessàriament el correu del proveïdor, però no podríem llegir ni una sola nota, ni tan sols sota coacció.

L'extrem privat: prescindeix del tot dels proveïdors i fes servir només la frase de 12 paraules. Sense correu, sense nom, sense identitat, i combinat amb una compra de Pro anònima, ni tan sols pagar deixa cap nom enlloc. A canvi, la custòdia de la clau és tota teva: si perds la frase sense cap dispositiu amb la sessió iniciada, ningú no et podrà ajudar.

No estàs lligat al esglaó que vas triar. A Configuració > Seguretat > La teva frase hi ha els dos modes de costat amb el que costa cadascun, i pots canviar en qualsevol direcció quan vulguis. Passar a l’autocustòdia esborra la nostra còpia i abans et demana reescriure tres de les teves dotze paraules, perquè qui hi clica sol ser justament qui mai no les va apuntar. Tornar enrere torna a pujar la frase i exigeix una decisió explícita. Totes dues direccions se signen amb la clau del teu compte, així que una sessió robada no pot canviar-te el mode. I cada esglaó admet les capes locals a sobre: bloqueig amb PIN, desbloqueig biomètric i protecció per nota.

Sí, 12 paraules són suficients. Una frase BIP-39 de 12 paraules codifica 128 bits d'entropia. Trencar 128 bits per força bruta no és un problema de «cal un ordinador més gros», sinó un problema de «cal més energia de la que produeix la humanitat». No hi ha cap atac realista que trenqui 128 bits però fracassi amb 256.

De fet, la comparació amb Bitcoin mostra per què 24 paraules són sobretot màrqueting: les claus de Bitcoin viuen a la corba secp256k1, que per si mateixa només aporta uns 128 bits de seguretat. Una frase de 24 paraules aboca 256 bits d'entropia en un pany que continua costant només uns 128 bits de feina d'obrir. També és per això que molts dels moneders principals encara fan servir 12 paraules per defecte.

PrivacyNotes apunta al mateix nivell de seguretat de 128 bits a tota la cadena: la teva frase passa per una funció de derivació de claus, i el xifratge que protegeix (XChaCha20-Poly1305) té la clau ajustada al mateix nivell. Afegir 24 paraules doblaria el que has d'apuntar i teclejar sense afegir cap seguretat pràctica, així que no tenim previst oferir-ho.

Els punts febles reals de qualsevol frase de recuperació són el phishing i el lloc on guardes el paper, no pas la seva llargada. Protegeix la frase i 12 paraules ens sobreviuran a tots.

Resposta curta: sí. La teva frase és la clau, de manera que qualsevol que la tingui pot iniciar la sessió, igual que qualsevol que tingui la clau de casa teva pot obrir-te la porta. És així per disseny: és l'única clau mestra de les teves notes, i no hi ha res més feble posat al davant. Així doncs, la pregunta real no és si tenir la frase dona accés (el dona), sinó si algú la podria endevinar, i aquí la resposta és que no: ni amb cap ordinador que existeixi ni amb cap que puguem preveure.

Vet aquí l'escala. Una frase de 12 paraules és una entre 2^128 possibilitats: uns 340 sextilions, un nombre de 39 xifres (3,4 x 10^38). La probabilitat d'endevinar la teva al primer intent és d'1 entre 340 sextilions, més improbable que guanyar quatre vegades seguides el primer premi d'una loteria d'1 entre 300 milions. Tractar-ho com una cerca en lloc d'un cop de sort tampoc no ajuda: fins i tot a un trilió d'intents per segon (10^18, molt més enllà del que podria assolir cap maquinari real, estats inclosos), recórrer-les totes trigaria uns 10 bilions d'anys, prop de 800 vegades l'edat actual de l'univers. I això és la versió de fantasia, perquè cada intent real ha d'executar un pas de derivació de claus deliberadament lent i qualsevol atac en línia ha de passar pels nostres servidors, cosa que fa l'endevinació real més lenta per molts ordres de magnitud més. Tampoc no és cap esquema nou: la mateixa construcció de 128 bits protegeix els moneders de Bitcoin des de fa més d'una dècada, i ningú no n'ha endevinat mai cap.

És temptador imaginar-se la frase com una contrasenya, que reforces barrejant-hi majúscules, números i símbols. Una frase de recuperació no funciona així, i no hauries d'intentar mai construir-ne ni retocar-ne una a mà. El teu dispositiu genera 128 bits d'aleatorietat criptogràficament segura i els codifica en 12 paraules d'una llista pública fixa de 2048 paraules: aquesta aleatorietat és tota la força. L'última paraula porta fins i tot una suma de verificació incorporada, de manera que una frase mal escrita o inventada es rebutja a l'acte. L'ordre de les paraules importa, les majúscules no (les normalitzem quan inicies la sessió), i afegir-hi símbols només faria la frase invàlida. Escriu les paraules exactament tal com se t'han donat.

Perquè és una decisió deliberada, no pas un descuit. La 2FA de sempre, un codi per SMS o una aplicació d'autenticació, existeix per apuntalar contrasenyes febles triades per persones, i es recolza en un secret compartit i una via de recuperació guardats en un servidor. Aquesta és exactament la superfície d'atac que el model de frase elimina: el teu dispositiu demostra que té la clau signant un repte, així que els nostres servidors no reben mai res més que una clau pública i una signatura: mai la frase, mai cap hash de contrasenya. Cargolar-hi un codi al damunt reintroduiria la maquinària de servidor que aquest disseny existeix per evitar, i no aportaria res contra l'endevinació, perquè 128 bits ja tanquen aquesta porta.

L'únic tipus de segon factor que hi aportaria alguna cosa de debò és un de resistent al phishing, com una clau de seguretat física o una clau d'accés, perquè els riscos residuals reals no són l'endevinació sinó el phishing, el programari maliciós i una frase robada o espiada per damunt de l'espatlla. En un dispositiu deixat desbloquejat, el bloqueig de l'aplicació (PIN) i el desbloqueig biomètric són la barrera local.

Més enllà d'això, la frase és la clau, així que fes-ne una còpia de seguretat el mateix dia que creïs el compte: guarda-la en un gestor de contrasenyes de confiança, o imprimeix-la o escriu-la a mà i desa aquesta còpia en un lloc segur. No l'enganxis mai enlloc que no sigui la mateixa aplicació.

Sí, la llista de paraules estàndard BIP-39 en anglès: 2048 paraules, exactament la mateixa llista que fan servir els moneders de Bitcoin. Generem les frases amb @scure/bip39, una biblioteca de codi obert auditada. Cap llista de paraules pròpia i cap criptografia casolana.

La llista està pensada per escriure-la a mà: les quatre primeres lletres de cada paraula són úniques, així que una paraula mig esborrada o abreujada continua sent inequívoca, i les paraules que s'assemblen entre elles es van excloure expressament.

Com que és la llista estàndard, pots verificar la teva frase amb qualsevol referència pública de BIP-39, i la nostra capa de xifratge està publicada com a open core, així que pots comprovar-ne la implementació tu mateix.

No. La cerca s'executa contra un índex de text complet construït i desat al teu dispositiu. Les consultes no en surten mai, els resultats apareixen fins i tot sense cap connexió, i mai no es transmet res sobre el que cerques.

Això no és una decisió de política que poguéssim revertir en silenci: ho imposa l'arquitectura. El servidor només té text xifrat, així que a la nostra banda no hi ha res de llegible per indexar ni per cercar. Un servidor que no pot llegir les teves notes tampoc no les pot cercar.

No. No hi ha funcions d'IA a l'aplicació, cap processament d'IA en segon pla ni cap entrenament de models amb el teu contingut. Les teves notes es xifren abans de sortir del teu dispositiu, així que als nostres servidors no hi ha res de llegible per alimentar res.

Si mai llancem alguna funció en aquesta direcció, hauria d'executar-se íntegrament al teu dispositiu i ser estrictament opcional. Enviar notes en text clar a un model al núvol trencaria la promesa de coneixement zero, així que està descartat.

Una burn note és una manera autodestructiva de compartir una nota amb algú que no fa servir PrivacyNotes. L'aplicació xifra el contingut amb una clau d'un sol ús i et dona un enllaç. La clau viatja al fragment de l'enllaç, que els navegadors no envien mai als servidors, així que el nostre servidor emmagatzema text xifrat que no pot llegir.

El primer cop que s'obre l'enllaç, el servidor lliura el text xifrat i el suprimeix en el mateix pas: una lectura, i ja no hi és. Els enllaços no oberts caduquen sols al cap de 24 hores. Sigui com sigui, no en queda res.

«Només de lectura» (al menú d'opcions de la nota, Pro) bloqueja una nota contra les edicions perquè un document acabat no es pugui malmetre sense voler; no amaga res. «Protegeix» (al mateix menú, Pro) amaga el títol i el contingut d'una nota darrere del teu PIN o el desbloqueig biomètric, per a les coses que prefereixes no tenir a la vista en una pantalla que de tant en tant veuen altres persones.

Tots dos són barreres de comoditat al teu dispositiu, no pas xifratge addicional. Els indicadors viatgen dins de les dades xifrades de la nota, i la nota no es torna a xifrar amb el teu PIN expressament: així, un PIN oblidat no pot destruir mai cap dada. També vol dir que qualsevol que tingui la teva frase de recuperació podria iniciar la sessió en un dispositiu nou, establir un PIN nou i llegir-ho tot. La frase continua sent la frontera de seguretat de debò - protegeix-la primer, i fes servir aquestes barreres per a la privadesa a la pantalla.

Mai no et quedes fora. La pantalla de bloqueig sempre ofereix una alternativa: «Desbloqueja amb el PIN» o «Inicia la sessió amb la frase de recuperació». La biometria és una barrera local, no pas una clau de xifratge, així que les teves notes queden intactes en tots dos casos.

Després, arregla la barrera. El registre és per dispositiu, així que un telèfon nou, un perfil de navegador acabat de fer o una reinstal·lació s'han de tornar a registrar: Configuració > Seguretat > «Bloqueig biomètric», desactiva'l i torna a «Activa el desbloqueig biomètric». També cal «Confia en aquest dispositiu» (les sessions no fiables s'esborren en tancar la pestanya) i maquinari amb un autenticador de plataforma (Touch ID, Face ID, Windows Hello). Si un gestor de contrasenyes com ara Bitwarden o 1Password apareix en lloc de la sol·licitud del sistema, descarta'l i torna-ho a provar, o desactiva-li la captura de claus d'accés per a aquest lloc - l'aplicació demana l'autenticador integrat, però alguns gestors l'intercepten igualment.

Les parts que et protegeixen ja ho són. El codi de xifratge, l'esquema de la base de dades i el model d'amenaces estan publicats com a open core, de manera que qualsevol pot auditar exactament com es protegeixen les teves notes en lloc de refiar-se de la nostra paraula.

Les aplicacions són el pas següent. Quan hagin sortit les aplicacions natives per a totes les plataformes, alliberarem com a codi obert el codi dels clients (web, escriptori i mòbil). L'única part que es manté tancada és el backend de sincronització, i mai no conté res més que dades xifrades que no podem llegir. Que sigui privat no et costa res en privadesa, i evita que algú cloni el servei sencer i faci passar la nostra feina per seva. Obert on et protegeix a tu, tancat on ens protegeix a nosaltres.

Si encara tens la sessió iniciada en algun dispositiu: sí, la pots recuperar tu mateix. Obre Configuració > Seguretat > La teva frase i desa-la ara mateix al teu gestor de contrasenyes.

Si no tens cap dispositiu amb la sessió iniciada ni la frase: no, i ningú no pot. La teva frase no arriba mai als nostres servidors, així que no hi ha res a restablir ni cap tiquet de suport que hi pugui fer res. No és una política que puguem doblegar - és el que significa el xifratge d'extrem a extrem. Qualsevol servei que et pugui restaurar les dades xifrades després d'una pèrdua total és que et guarda les claus.

La solució costa deu segons: desa la frase en un gestor de contrasenyes el mateix dia que creïs el compte.

Sota el capó també tens una frase de 12 paraules, i la frase per si sola et permet iniciar la sessió en qualsevol dispositiu - sense Google ni Apple. Obre Configuració > Seguretat > La teva frase i desa-la al teu gestor de contrasenyes.

Fes-ho un cop i perdre el compte del proveïdor no et costarà res: senzillament, inicia la sessió amb la frase.

Dona la caixa forta per cremada. Una frase no es pot canviar ni rotar, perquè la frase és la clau amb què està xifrat tot - així que la solució és passar a una caixa forta nova. Primer, al compte antic, exporta-ho tot: Configuració > Import & Export > Exporta > «Còpia de seguretat de PrivacyNotes (.zip)».

Tanca la sessió, crea una caixa forta nova (12 paraules noves) i torna a importar l'exportació a Configuració > Import & Export > Restaura > «Còpia de seguretat completa (.zip)». Després suprimeix el compte antic des de qualsevol dispositiu que encara hi tingui la sessió iniciada: Configuració > ID & Sync > «Suprimeix el compte i les dades...». Això n'elimina les dades sincronitzades i deixa fora qualsevol que tingui la frase antiga. Si vas iniciar la sessió amb Google o Apple, suprimeix primer el compte antic i després torna a iniciar la sessió amb el proveïdor per començar la caixa forta nova.

Dos costos que val la pena dir clarament: un complement d'emmagatzematge actiu s'ha de cancel·lar abans de la supressió, i Pro va lligat al compte on es va comprar - no es transfereix a la caixa forta nova, i més enllà de la finestra estàndard de 30 dies això no és un cas reemborsable. La prevenció, en canvi, surt barata: desa la frase en un gestor de contrasenyes i enlloc més.

Des de qualsevol dispositiu amb la sessió iniciada, obre Configuració > Compte > «Dispositius registrats» i elimina el que has perdut. El pròxim cop que aquell dispositiu es connecti, se li tanca la sessió i se n'esborren les dades locals, aproximadament un minut després del seu pròxim ús. Queda a la llista de «Eliminats fa poc» durant 72 hores perquè puguis confirmar que ja no hi és.

Els límits, dits amb honestedat: un dispositiu que no es torna a connectar mai conserva el que ja tenia desat fins que ho faci, i per això el bloqueig de l'aplicació (PIN o biometria) més el bloqueig de pantalla del teu sistema operatiu són importants en qualsevol cosa portàtil. I l'eliminació no és cap canvi de clau - qualsevol que tingui de debò les teves 12 paraules pot tornar a iniciar la sessió igualment. Si sospites que és la mateixa frase la que s'ha filtrat, segueix més aviat el protocol per a una frase filtrada.

No. El PIN és un bloqueig de comoditat contra mirades indiscretes al teu propi dispositiu, no pas una clau de xifratge. Les teves notes es xifren amb claus derivades de la teva frase de recuperació, i la frase sempre dona accés complet sense cap PIN.

És una decisió de disseny deliberada: lligar el xifratge a un PIN de 4 xifres voldria dir que un PIN oblidat destrueix dades. Aquí això no passa mai.

Des de l'aplicació: Configuració > ID i sincronització, i després «Suprimeix el compte i les dades». Això elimina permanentment del servidor les notes sincronitzades, els fitxers, els dispositius, la configuració i el compte mateix. No hi ha cap finestra de retenció ni cap còpia de seguretat que puguem restaurar després, així que primer exporta tot el que vulguis conservar (Configuració > Importació i exportació).

Dos detalls: cal cancel·lar una subscripció d'emmagatzematge activa abans de la supressió (una que ja estigui programada per cancel·lar-se no la bloqueja), i com que un compte amb frase mai no ha inclòs cap correu ni cap nom, no queda cap perfil ni cap llista de màrqueting per netejar. Esborrar les dades locals d'un dispositiu és una acció a part i no toca el teu compte.

Tot el que esperaries, sempre xifrat al teu dispositiu abans de sincronitzar-se: notes, tasques, entrades del diari, la caixa forta i els fitxers xifrats que hi ha dins. La teva configuració també et segueix - etiquetes preferides, preferències d'ordre i de vista, tema de color, el PIN (com a hash amb sal, mai el PIN en si), bloqueig de l'aplicació, configuració dels seguiments i de la medicació, i la supressió automàtica de la paperera. Configura-ho un cop i tots els dispositius ho recullen.

Unes quantes coses es queden expressament en local a cada dispositiu: el mode clar o fosc (cada dispositiu segueix la preferència del seu propi sistema), el desbloqueig biomètric (lligat al maquinari de cada dispositiu) i l'estat de desbloqueig (en tancar l'aplicació, sempre es torna a bloquejar). El servidor només emmagatzema blobs xifrats i no en pot llegir res.

Sí. L'aplicació és local primer (local-first): les teves notes viuen en una base de dades al teu dispositiu, de manera que llegir, escriure i cercar funcionen sense cap connexió. Els canvis se sincronitzen automàticament quan tornes a ser en línia.

No se sobreescriu res en silenci. Si tots dos dispositius han canviat la mateixa nota mentre estaven separats (per exemple, un era fora de línia), l'aplicació detecta la col·lisió quan tornen a sincronitzar-se i mostra un diàleg de conflicte: conserva la versió d'aquest dispositiu, conserva l'altra o conserva totes dues com a notes separades.

En l'ús quotidià el veuràs poques vegades. Els canvis se sincronitzen en qüestió de segons mentre ets en línia, i el diàleg només apareix quan dues versions de la mateixa nota han divergit de debò.

Configuració > Compte llista tots els dispositius registrats. Elimina el que estiguis retirant: la plaça s'allibera a l'instant (útil en el pla gratuït de 2 dispositius), i al dispositiu eliminat se li tanca la sessió el pròxim cop que intenti sincronitzar-se. Queda visible a «Eliminats recentment» durant 72 hores perquè puguis confirmar que ja no hi és.

Un advertiment honest: l'eliminació, per si sola, no és una frontera de seguretat, perquè qualsevol que tingui la teva frase de recuperació pot tornar a iniciar la sessió. Si un dispositiu s'ha perdut o l'han robat, el que cal protegir és la frase, i el bloqueig de l'aplicació (PIN o biometria) és el que evita que un dispositiu trobat sigui una porta oberta.

Els comptes gratuïts se sincronitzen en un màxim de 2 dispositius, i aquest diàleg apareix quan un tercer intenta registrar-se. Elimina un dispositiu que ja no facis servir directament al diàleg, o en un dispositiu existent a Configuració > Compte (com funciona l'eliminació). La plaça s'allibera a l'instant, i el dispositiu eliminat queda visible a «Eliminats fa poc» durant 72 hores. Pro elimina el límit del tot.

Una particularitat que val la pena saber: perquè diversos navegadors en un mateix ordinador no es mengin diverses places, els dispositius s'agrupen mitjançant resums (hashes) que preserven la privadesa de senyals genèrics de la màquina, calculats al teu dispositiu amb un secret propi de cada compte. Una actualització important del navegador, o navegadors reforçats com ara Brave o Tor que fan aleatoris aquests senyals, poden posar la mateixa màquina en una plaça nova durant un temps. Mai no et quedes fora - elimina l'entrada obsoleta i continua.

No s'esborra mai res. Quan els canvis nous deixen de cabre-hi, la sincronització ho diu: «Emmagatzematge ple. Algunes notes no s'han pogut sincronitzar.» Les dades existents continuen sincronitzant-se; el creixement nou, no. Si continues per sobre del límit, comença un compte enrere de 90 dies, que es mostra com un avís de color ambre. Llegir, editar coses per fer-les més petites, suprimir i exportar continuen funcionant tota l'estona.

Passats 90 dies per sobre del límit, la sincronització es posa en pausa: l'avís es torna vermell («Sincronització en pausa. Fa més de 90 dies que superes el límit d'emmagatzematge.»). L'aplicació continua funcionant del tot a cada dispositiu; els canvis simplement es queden en local fins que tornis a estar per sota. La recuperació és instantània i la fas tu mateix: allibera espai - buidar la paperera compta - o afegeix emmagatzematge a Configuració > Emmagatzematge, i la sincronització es reprèn sola. Això és el contrari deliberat dels serveis que esborren automàticament les dades que superen la quota.

Primer de tot, al teu dispositiu - aquesta és la còpia amb què treballes realment. La còpia de sincronització viu en servidors a Zuric, Suïssa.

Com que tot es xifra abans de sortir del teu dispositiu, la ubicació del servidor és un extra, no pas una promesa estructural: les dades sincronitzades serien il·legibles fossin on fossin.

Pots exportar-ho tot en qualsevol moment, generat íntegrament al teu dispositiu: fitxers Markdown en un zip amb els adjunts inclosos, una còpia de seguretat completa en JSON, o HTML autònom - per nota o per a tot el compte.

La importació també funciona: porta-hi notes des d'Obsidian, Apple Notes, Google Keep, Standard Notes, Simplenote i Samsung Notes. La dependència forçada no forma part del model de negoci.

Per tenir una xarxa de seguretat completa: «Còpia de seguretat de PrivacyNotes (.zip)» a Configuració > Import & Export > Exporta. Conté tot - notes, diaris, caixa forta, tasques, imatges, àudio, fitxers - i es restaura sencera des de la pestanya Restaura, a qualsevol caixa forta. És llegible al teu disc, així que desa-la en un lloc de confiança: un disc xifrat, no pas una unitat compartida.

«Còpia de seguretat xifrada (.pnbackup)» és l'intercanvi contrari: es pot deixar en qualsevol lloc amb tota tranquil·litat perquè és il·legible sense la teva frase, però només cobreix el text i les metadades (ni imatges ni fitxers) i només es restaura al mateix compte que la va crear - cosa que la fa inútil si algun dia passes a una frase nova. La «Còpia de seguretat de text (.json)» i l'arxiu HTML són formats de portabilitat més que no pas de restauració, i l'«Exportació de la caixa forta (.json)» és text pla compatible amb Bitwarden per a gestors de contrasenyes.

Per què conservar cap còpia de seguretat local, si tot se sincronitza? Perquè la sincronització no és una còpia de seguretat: propaga fidelment les supressions, incloent-hi, en el pitjor dels casos, un servidor compromès que deixa caure dades que els teus dispositius després reprodueixen. Una còpia de seguretat completa i periòdica al teu propi disc és l'única còpia que cap incident del servidor no pot tocar. Exporta abans de les importacions grosses, abans de marxar, i amb una regularitat que puguis mantenir de debò.

Tot el que sincronitzes, a la seva mida xifrada: el text de les notes, les imatges, els enregistraments d'àudio i els fitxers adjunts. La barra de Configuració > Emmagatzematge mostra el total; la petjada de cada nota surt a les seves opcions de nota com a «Emmagatzematge usat». Les notes a la paperera continuen comptant fins que es buida la paperera.

Per alliberar espai de pressa, obre Fitxers, ordena per Mida i suprimeix els elements més grossos - en gairebé tots els comptes, els adjunts empetiteixen el text. Després buida la paperera: la vista Paperera mostra quant espai alliberarà «Buida». El text tot sol gairebé mai no omple una quota; fins i tot els 50 MB gratuïts contenen desenes de milers de notes de text pla.

Qualsevol tipus de fitxer: imatges, PDF, àudio, arxius comprimits, el que hi deixis anar. Cada fitxer es xifra al teu dispositiu abans de pujar, exactament igual que el text de les notes, i la vista Fitxers aplega tots els adjunts en un sol lloc.

El límit per fitxer és de 5 MB al pla gratuït i de 50 MB amb Pro. Els fitxers compten dins de l'emmagatzematge total de sincronització (50 MB al pla gratuït, 500 MB amb Pro, ampliable fins a 5,5 GB amb complements d'emmagatzematge), i la barra d'emmagatzematge de Configuració > Emmagatzematge et mostra sempre on ets.

S'apliquen dos límits, i l'error et diu quin has superat. Per fitxer: 5 MB al pla gratuït, 50 MB amb Pro, 100 MB amb qualsevol complement d'emmagatzematge. En total: tot el que sincronitzes ha de cabre en l'emmagatzematge del teu compte (50 MB al pla gratuït, 500 MB amb Pro, més amb complements), així que una quota plena fa fallar les pujades encara que el fitxer sigui petit. S'accepta qualsevol tipus de fitxer - no hi ha cap restricció de format.

Comprova la barra d'emmagatzematge a la vista Fitxers o a Configuració > Emmagatzematge, i després tria la solució més barata: allibera espai, millora el pla o redueix el fitxer (les fotos del telèfon sovint són originals de diversos MB; un JPEG comprimit ocupa una fracció de la mida). Les pujades també necessiten connexió: els fitxers no es posen a la cua mentre ets fora de línia.

La paperera no és cap arxiu: per defecte, tot el que hi ha es suprimeix permanentment al cap de 30 dies. L'interruptor és a la mateixa vista Paperera, amb l'etiqueta «Se suprimeixen automàticament al cap de 30 dies» - desactiva'l allà si vols conservar la paperera per sempre, i la configuració se sincronitza a tots els teus dispositius. La neteja s'executa al teu dispositiu quan s'obre l'aplicació, perquè el servidor no pot veure quines notes xifrades són a la paperera.

Suprimit permanentment vol dir que ha desaparegut: cap còpia al servidor i cap via de recuperació. Si fas servir la paperera com un munt de coses per a un potser algun dia, desactiva la supressió automàtica o restaura les notes abans del dia 30. Fins llavors, les notes a la paperera encara compten dins del teu emmagatzematge - «Buida», a la mateixa vista, allibera aquell espai a l'instant.

La Caixa forta és una secció dedicada als secrets estructurats: inicis de sessió amb noms d'usuari i contrasenyes, targetes de crèdit i de dèbit, i claus SSH. Les entrades tenen camps de debò en lloc de text lliure, els inicis de sessió mostren la icona del lloc web, i tot està xifrat d'extrem a extrem com la resta de les teves dades.

Dona una llar endreçada i protegida al grapat de credencials que, altrament, acaben escampades per les notes. Combina-la amb el bloqueig de l'aplicació i la protecció amb PIN per posar una segona barrera a les entrades més delicades. Una importació de Bitwarden aterra aquí automàticament.

Escriu tant com vulguis - en notes normals, la mida no surt mai a escena. Quan una sola nota es fa molt gran, hi apareix a sota una petita indicació que puja de to en tres passos: cap a les 50.000 paraules t'indica que la nota s'està fent llarga i pot anar amb retard en dispositius més lents; cap a les 75.000 es torna de color ambre, senyal que l'edició pot començar a entretallar-se; i cap a les 100.000 et suggereix dividir la nota perquè t'acostes al límit de sincronització. Són orientacions, no pas topalls, i res no t'impedeix continuar.

Aquest límit de sincronització és l'únic sostre real. Una sola nota pot contenir fins a 1 MB de text un cop xifrat, aproximadament - molt a grans trets, unes 120.000 paraules d'anglès corrent, i menys amb un alfabet no llatí o amb molta formatació. Una nota que el sobrepassi continua funcionant i es manté segura al dispositiu on l'has escrita, però aquella nota no se sincronitzarà als altres dispositius (veuràs un avís de «no s'ha pogut sincronitzar»). La resta de notes no es veuen afectades: una nota massa grossa no bloqueja mai res més.

La solució és fàcil: divideix una nota molt llarga en unes quantes de més petites. El contingut és idèntic, se sincronitza sense problemes i l'editor es manté ràpid. Un recompte de paraules en directe sota cada nota et deixa vigilar la mida a mesura que escrius. I si estaves a punt de posar a prova on és el mur, ja no cal.

Primer exporta, després suprimeix - totes dues coses les fas tu mateix. Configuració > Import & Export > Exporta cobreix totes les vies de sortida: «Còpia de seguretat de PrivacyNotes (.zip)» per a una còpia completa, Markdown i HTML portables per a la teva pròxima aplicació de notes, i «Exportació de la caixa forta (.json)» en format compatible amb Bitwarden per al teu pròxim gestor de contrasenyes. Les exportacions es generen al teu dispositiu.

Després, Configuració > ID & Sync > «Suprimeix el compte i les dades...»: escriu DELETE, i les teves notes sincronitzades, els fitxers, els dispositius, la configuració i el compte mateix s'eliminen permanentment sense cap finestra de retenció (detalls). Un complement d'emmagatzematge actiu s'ha de cancel·lar primer a Configuració > Emmagatzematge. Un compte només amb frase no deixa res per netejar, perquè mai no vam saber qui eres. Sense patrons foscos i sense correus de reconquesta - les teves dades són teves, també a la sortida.

Sobretot, guardant tan poca cosa com sigui possible. Registra't amb una frase i no hi ha cap nom, cap correu ni cap identitat arxivats que es puguin sol·licitar: les teves dades són text xifrat sota una clau pública aleatòria, allotjat a Zuric, Suïssa. Inicia la sessió amb Google o Apple i existeix exactament un identificador - el correu que comparteix el teu proveïdor, vinculat a aquella clau. Les dades de facturació de Pro són a Paddle, el venedor oficial (merchant of record), i no pas amb nosaltres.

Cada dret és immediat i el pots exercir tu mateix, sense cap formulari de sol·licitud: l'accés i la portabilitat són a Configuració > Import & Export (exportació completa en formats oberts), la supressió és a Configuració > ID & Sync > «Suprimeix el compte i les dades...» sense cap finestra de retenció, i la rectificació és editar les teves notes. La versió formal, incloent-hi com contactar-nos per a qualsevol cosa que l'aplicació no pugui fer per si mateixa, és a la política de privadesa.

No perds res. El conjunt de dades complet ja és al teu dispositiu perquè l'aplicació és local primer, i l'exportació a Markdown, JSON o HTML funciona del tot fora de línia.

La capa de xifratge també està publicada com a open core, així que el format continua sent llegible de manera independent fins i tot en un món on els nostres servidors desapareguessin d'un dia per l'altre.

El pla gratuït és el producte complet, no pas un tastet: notes, tasques, diari i caixa forta xifrats d'extrem a extrem, ús fora de línia, importació i exportació - en fins a 2 dispositius amb 50 MB d'emmagatzematge de sincronització.

Pro és una compra única que hi afegeix dispositius il·limitats, 500 MB d'emmagatzematge de sincronització (ampliable), historial de versions de les notes, fitxers adjunts més grossos, bloqueig de notes i protecció amb PIN, seguiment avançat del benestar, mode zen i tots els temes de color.

Perquè el servei és deliberadament barat de mantenir. L'aplicació és local primer i les notes són petits blobs xifrats, així que el servidor no fa gaire més que desar-los i passar-los entre els teus dispositius. Cap sistema d'analítiques, cap funció d'IA cremant capacitat de càlcul, cap departament de suport.

L'únic cost que sí que creix amb el temps és l'emmagatzematge, i per això té el preu que té: l'emmagatzematge més enllà dels 500 MB inclosos és un petit complement anual. Els costos únics es paguen un cop; els costos recurrents es repeteixen. El model només s'ha de sostenir a si mateix, i ho fa.

Sí. Pro va lligat al teu compte, no pas a cap dispositiu, plataforma ni botiga. Compra'l un cop, inicia la sessió amb la mateixa frase (o el mateix compte de Google, Apple o GitHub) on sigui, i Pro també hi estarà actiu.

Això inclou plataformes que encara no existeixen: quan surti una aplicació nova, el teu Pro l'acompanya sense cap cost addicional.

Dona-li un minut i després torna a carregar l'aplicació. Després del pagament, l'aplicació ho comprova durant uns 20 segons i es desbloqueja sola, i una recàrrega torna a comprovar l'estat de Pro en arrencar. Si el pagament ha entrat però l'activació va endarrerida, un avís diu «Hem rebut el pagament, però l'activació de Pro triga més de l'habitual» - aquest estat es resol sol en gairebé tots els casos. A les versions de botiga, una compra que no es valida es torna a intentar quan reinicies l'aplicació, i una compra que no s'arriba a activar mai la reemborsa automàticament la botiga en un termini de 3 dies.

Encara bloquejat? Gairebé sempre és un desajust de compte: Pro s'associa al compte que tenia la sessió iniciada en el moment de la compra, així que una frase diferent - o un inici de sessió amb proveïdor en lloc de la teva caixa forta amb frase - és un compte diferent. Compara l'ID del compte a Configuració > ID & Sync al dispositiu que el va comprar. Si de debò s'ha encallat, informa'n i inclou aquest ID del compte: identifica la compra i no revela res de les teves notes.

Pro inclou 500 MB d'emmagatzematge de sincronització xifrat. Si en necessites més, els paquets addicionals s'hi apilen al damunt: 1 GB per 4,80 $ l'any, 2 GB per 8,40 $, o 5 GB per 18 $, fins a un total de 5,5 GB. Els complements són l'única compra recurrent del producte, perquè l'emmagatzematge és l'únic que ens costa diners cada mes que el fas servir.

Tot es gestiona des de Configuració > Emmagatzematge: canvia a un paquet més gran (només pagues la diferència prorratejada) o cancel·la quan vulguis i conserva l'espai fins que acabi el període que has pagat. Pro, en tot cas, és teu per sempre.

Configuració > Emmagatzematge és el tauler de control. Canviar a un paquet més gran s'aplica immediatament, i la confirmació mostra l'import prorratejat exacte que es cobra avui abans no ho confirmis; la data de renovació no es mou. «Cancel·la l'emmagatzematge» et manté l'espai addicional fins al final del període que ja has pagat. Encara no es pot baixar de paquet - la via provisional és cancel·lar i després comprar el paquet més petit quan s'acabi el període.

Si les teves dades encara caben en el límit restant després del venciment, s'ha acabat; si no, no s'esborra res i comença el cicle de 90 dies per excés de quota. Una renovació fallida mostra un avís amb un enllaç «Actualitza la targeta» per arreglar el pagament a Paddle. Si t'hi vas subscriure des d'una versió de botiga, qui et factura és la botiga, així que la cancel·lació es fa a la configuració de subscripcions de la botiga mateixa.

Sí. Pro i l'emmagatzematge van lligats al teu compte, no pas a cap plataforma ni botiga. Compra al web i totes les aplicacions on iniciïs la sessió tindran Pro, incloses les versions de botiga; compra des d'una versió de botiga i les aplicacions web i d'escriptori es desbloquegen igual. No hi ha cap botó de «restaurar compres» perquè iniciar la sessió ja és la restauració - el dret segueix el compte.

L'única diferència és qui et factura. Les compres al web passen per Paddle i es gestionen a l'aplicació a Configuració > Emmagatzematge. Les compres fetes des d'una versió de botiga (Google Play, o l'App Store quan surti l'aplicació d'iOS) les factura aquella botiga: l'emmagatzematge recurrent es cancel·la a la configuració de subscripcions de la botiga, i els reemborsaments segueixen el procés de la botiga. Sigui com sigui, és el mateix compte i el mateix Pro pertot arreu - incloent-hi plataformes que encara no existeixen.

30 dies, sense preguntes. Si Pro no és per a tu, demana el reemborsament complet dins dels 30 dies posteriors a la compra i tornarà al mètode de pagament original. Els clients de la UE conserven, a més, el dret legal de desistiment de 14 dies.

Els pagaments els processa Paddle, el nostre venedor oficial (merchant of record), així que els reemborsaments els gestiona Paddle directament: respon al correu del rebut de compra o visita paddle.net. La política completa és a les condicions del servei.

Menys del que et pensaries. El pagament passa per Paddle, el nostre venedor oficial (merchant of record): el teu nom, el número de la targeta i l'adreça de facturació van a Paddle per al pagament i els impostos, i no toquen mai els nostres servidors.

El que ens arriba és una confirmació que la clau pública del teu compte ara és Pro, més l'import de la comanda. La relació de facturació, incloent-hi l'adreça del rebut que introdueixes en pagar, es queda amb Paddle. Així, un compte només amb frase continua sent pseudònim per a nosaltres fins i tot com a client de pagament: sabem que has pagat, no pas qui ets.

Sí, amb dues eines estàndard. Per al rebut, fes servir un àlies de correu: Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay o addy.io reenvien tots a la teva bústia real sense exposar-la. Per al pagament, fes servir una targeta emmascarada: privacy.com als EUA genera targetes virtuals que funcionen amb qualsevol nom que hi escriguis, i molts bancs i serveis d'altres llocs (Revolut, per exemple) ofereixen targetes virtuals d'un sol ús que fan la mateixa feina.

En pagar, Paddle demana una adreça electrònica, un mètode de pagament i un país (més un codi postal en algunes regions) per calcular els impostos. L'àlies rep el rebut, la targeta emmascarada porta el nom que li hagis posat, i la ubicació fiscal només t'acota a una regió, res més. Això sí, mantén l'àlies viu: el correu del rebut és la teva prova de compra i el teu canal per a un reemborsament.

Combinat amb un compte amb frase, cap part no acaba tenint la imatge completa: el teu banc veu una recàrrega de targeta, Paddle veu un àlies i una targeta emmascarada, i nosaltres només veiem que una clau pública ha passat a ser Pro.

Avui: web, macOS, Windows, Linux i Android, amb iOS a punt d'arribar. Totes les aplicacions es construeixen a partir del mateix nucli amb el mateix xifratge d'extrem a extrem i se sincronitzen amb el mateix compte. La secció de baixades sempre té les últimes versions.

L'aplicació web és de primera classe, no pas un pla B: guarda una còpia local completa de les teves dades i funciona fora de línia, així que qualsevol navegador modern sempre és una porta d'entrada.

Si l'has instal·lada des de la Google Play Store, sí: s'actualitza sola com les altres aplicacions. Si l'has baixada directament del nostre web, el telèfon no l'actualitzarà automàticament; és com funciona Android amb les aplicacions que no venen de la Play Store.

A canvi, l'aplicació comprova si hi ha versions noves i mostra el missatge «Hi ha una versió nova disponible» quan n'hi ha una a punt. Toca'l i l'actualització s'instal·la damunt de la versió antiga, amb totes les teves notes i la configuració intactes. La comprovació només busca una versió més nova; no toca mai les teves notes, que es mantenen xifrades tota l'estona.

Sí, però no instal·lant-ne una a sobre de l'altra. Les dues versions estan signades amb claus diferents (Play gestiona la seva pròpia signatura; la clau de l'APK directe és només nostra), i Android es nega a actualitzar una aplicació que ha canviat de signatura, així que la instal·lació falla amb un error de l'estil «Aplicació no instal·lada». Canviar vol dir: confirma que l'aplicació mostra «Synced», desinstal·la la versió actual, instal·la l'altra i torna a iniciar la sessió.

Desinstal·lar esborra les dades locals de l'aplicació - per això la comprovació de sincronització va primer. Un cop iniciïs la sessió, tot torna des de la sincronització. Tingues a punt les teves 12 paraules o un codi QR d'inici de sessió d'un altre dispositiu abans de desinstal·lar, no pas després. Les versions, per la resta, són idèntiques; només es diferencien en com s'actualitzen i en com es factura Pro.

Anglès, alemany, francès, italià, espanyol, neerlandès, polonès, txec, català, japonès, coreà, xinès tradicional i portuguès, en les variants europea i brasilera. L'aplicació segueix per defecte l'idioma del sistema, o pots fixar-ne un explícitament a Configuració > Idioma a cada dispositiu.

Les traduccions són gratuïtes per a tothom, no pas un avantatge de Pro. Hi ha més idiomes previstos; si el teu hi falta, digue'ns-ho a GitHub o a Reddit.