Ajuda e FAQ

Sim. A demo em try.privacynotes.app é a app completa com conteúdo de exemplo: sem registo, sem e-mail, e nada do que escreves é guardado. Corre inteiramente no teu navegador e nunca envia nada para os nossos servidores.

Fechar o separador apaga tudo, e é mesmo essa a ideia. Quando quiseres guardar as tuas notas, cria um cofre a sério em use.privacynotes.app. O conteúdo da demo não passa para o cofre novo, por isso copia antes o que quiseres manter.

Não. Um cofre novo é uma frase de recuperação de 12 palavras acabada de gerar, e mais nada. Sem e-mail, sem nome de utilizador, sem telefone, sem passo de verificação. Se inicias sessão com a frase, não te conseguíamos escrever nem que quiséssemos, porque nunca ficamos a saber quem és.

Preferes o caminho conhecido? Iniciar sessão com Google, Apple ou GitHub também funciona. Essa via revela-nos inevitavelmente o e-mail associado à tua conta no fornecedor, mas as tuas notas continuam encriptadas ponta a ponta em qualquer dos casos, e por baixo continuas a receber uma frase.

Abre Definições > Import & Export e escolhe a origem. Há importadores dedicados para Apple Notes, Obsidian, Standard Notes, Google Keep, Simplenote, Samsung Notes e Bitwarden (os logins, os cartões e as notas seguras vão parar ao Cofre), além de um importador de Markdown genérico para qualquer pasta de ficheiros .md.

As importações correm inteiramente no teu dispositivo: os teus ficheiros exportados são lidos, encriptados e guardados localmente, nada é enviado para processamento. Cada nota importada recebe uma etiqueta com a origem, para poderes rever o lote depois, e as listas de verificação do Google Keep passam até a listas de tarefas nativas.

Sim. Escreve Markdown e a formatação aparece na hora: # títulos, **negrito**, listas, - [ ] caixas de tarefa, citações e avisos. As notas também exportam como Markdown limpo, por isso o que escreves continua portátil.

Também podes ligar notas umas às outras: escreve [[ e um preenchimento automático sugere-te as notas que já tens. Um note-link abre o destino com um clique, e o painel de estrutura mais a procura dentro da nota mantêm os documentos longos navegáveis.

Os formatos Markdown padrão ganham vida à medida que escreves: títulos, ênfase, rasurado e destaque, listas e listas de tarefas, citações, separadores, código em linha e blocos de código com realce de sintaxe, matemática (KaTeX), e note-links entre notas com preenchimento automático.

Tabelas, avisos, destaques, cor do texto, imagens e anexos de ficheiros ficam na barra de formatação e no seu menu Inserir. Tudo se mantém como Markdown nos dois sentidos: "Ver markdown" por baixo de qualquer nota revela o código-fonte em bruto, e as exportações são ficheiros .md limpos, por isso nada do que escreves fica preso num formato proprietário.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Qualquer linha que escrevas como - [ ] em qualquer nota torna-se uma tarefa, e a vista Tarefas na barra lateral reúne-as todas num só sítio. Marcar aí uma tarefa como concluída atualiza a nota onde ela vive, e abrir uma tarefa salta para essa nota. Não há uma base de dados de tarefas à parte para manter: as tarefas são apenas linhas nas tuas notas, encriptadas como tudo o resto.

A caixa de adição rápida no topo de Tarefas acrescenta a uma nota chamada Quick Tasks (criada para ti no primeiro uso), por isso apanhar um afazer solto é uma tecla, não uma decisão de arquivo. A mesma vista oferece três disposições (Híbrida, Agregada, Lista), um interruptor para as tarefas concluídas, e procura de tarefas, e o botão Nova na vista Todos pode começar diretamente uma nota de tarefas.

Diários é uma vista dedicada a entradas com data: um toque cria a entrada de hoje, e o botão de calendário ao lado preenche um dia recente que te escapou. Uma entrada é uma nota normal mais registos opcionais: humor numa escala de 1 a 10 com 24 etiquetas de emoção, sono, atividade, medicamentos, energia, foco e mais. "Configurar registos" dentro de qualquer entrada ativa ou desativa os predefinidos, e o Pro acrescenta até 10 registos personalizados (escalas, números, sim/não).

As Estatísticas (em Definições, ou o ícone de estatísticas no rodapé) transformam as entradas em tendências no separador Bem-estar: o humor ao longo do tempo, gráficos de sono e atividade, adesão à medicação. As exportações são geradas no teu dispositivo: "Transferir JSON" é grátis, e o Pro acrescenta um "PDF para o médico" para levares às consultas, um prompt de IA pronto a copiar para o chatbot à tua escolha, análise de padrões e um resumo da semana. Os dados dos registos vivem dentro da entrada encriptada, por isso o servidor não consegue ler nada disso.

Carrega em ? em qualquer parte da app para veres o guia de referência integrado, também disponível em Definições > Sobre e Ajuda. Os atalhos cobrem navegação, ações sobre notas, formatação e vistas - e no Windows e no Linux, cada Cmd lê-se como Ctrl e Option como Alt.

Nada legível. As notas, os títulos, as etiquetas e os anexos são encriptados no teu dispositivo antes de sincronizarem. O servidor armazena texto cifrado que não consegue decifrar, e do nosso lado não existe chave nenhuma que mude isso.

O que conseguimos ver é o mínimo para operar o serviço: quanto armazenamento encriptado ocupas, quantos dispositivos tens associados e as horas de sincronização. Se inicias sessão com uma frase em vez de Google ou Apple, nem o teu e-mail conhecemos.

Ao início parece ao contrário, mas uma única frase de recuperação é a construção mais forte. Com utilizador e palavra-passe, o utilizador não é segredo (aparece em todas as fugas de dados), por isso toda a segurança assenta na palavra-passe - e as palavras-passe escolhidas por humanos rondam, em média, os 30 a 40 bits de entropia. A tua frase de 12 palavras são 128 bits garantidos, gerados pelo teu dispositivo, nunca escolhidos por um humano e nunca reaproveitados de outro site.

Do nosso lado também não há nada a perder. Um início de sessão com palavra-passe significa que o servidor guarda pelo menos um hash da palavra-passe, que pode fugir, ser quebrado ou cair em phishing. A tua frase nunca sai do teu dispositivo: deriva as tuas chaves de encriptação localmente, e o servidor só vê dados encriptados. Não há hash para roubar nem fluxo de reposição de palavra-passe de que um atacante possa abusar.

Se escrever 12 palavras te parece trabalhoso: podes guardar a frase no teu gestor de palavras-passe com um toque (Definições > Segurança > A tua frase), e iniciar sessão passa a ser como em qualquer outro sítio. Preferes o caminho conhecido? Iniciar sessão com Google ou Apple também funciona, e por baixo continuas a receber uma frase.

Sim, de propósito. Nem toda a gente se defende das mesmas ameaças, por isso o modelo de conta é uma escada, e não um dogma único. Em todos os degraus as tuas notas continuam encriptadas ponta a ponta; o que muda é quem guarda a chave e o que sabemos sobre ti.

A ponta conveniente: inicia sessão com Google, Apple ou GitHub e escolhe "Manter tudo simples" quando te perguntarem. Guardamos a tua frase de recuperação por ti, encriptada em repouso no nosso servidor, por isso qualquer dispositivo inicia sessão só com a conta do fornecedor e não há nada para guardar nem perder. A contrapartida honesta: conhecemos o e-mail por trás da tua conta no fornecedor, e um servidor totalmente comprometido poderia, em princípio, expor a chave guardada. Se a tua ameaça realista é perderes as tuas próprias credenciais, e não um ataque dirigido, é uma troca sensata.

O meio: inicia sessão com um fornecedor, mas escolhe "Máxima privacidade". A tua frase nunca toca nos nossos servidores e a encriptação é totalmente de zero conhecimento; os dispositivos novos precisam da frase ou de uma leitura de QR a partir de um dispositivo com sessão já iniciada. Continuamos, por força, a conhecer o teu e-mail do fornecedor, mas não conseguiríamos ler uma única nota, nem sob coação.

A ponta privada: dispensa os fornecedores por completo e usa apenas a frase de 12 palavras. Sem e-mail, sem nome, sem identidade e, combinada com uma compra anónima do Pro, nem o pagamento deixa o teu nome em lado nenhum. Em troca, a custódia da chave é toda tua: perdes a frase sem nenhum dispositivo com sessão iniciada e ninguém te consegue ajudar.

Não ficas preso ao degrau que escolheste. Em Definições > Segurança > A tua frase, os dois modos aparecem lado a lado com o que cada um custa, e podes mudar em qualquer direção quando quiseres. Passar para a autocustódia apaga a nossa cópia e pede-te primeiro que voltes a escrever três das tuas doze palavras, porque quem carrega ali é justamente quem nunca as apontou. Voltar atrás envia a frase outra vez e exige uma escolha explícita. Ambas as direções são assinadas com a chave da tua conta, por isso uma sessão roubada não muda o teu modo. E cada degrau aceita as camadas locais por cima: bloqueio por PIN, desbloqueio biométrico e proteção por nota.

Sim, 12 palavras chegam. Uma frase BIP-39 de 12 palavras codifica 128 bits de entropia. Quebrar 128 bits por força bruta não é um problema de "precisamos de um computador maior", é um problema de "precisamos de mais energia do que a humanidade produz". Não existe ataque realista que quebre 128 bits mas falhe nos 256.

A comparação com o Bitcoin mostra justamente porque é que 24 palavras são sobretudo marketing: as chaves do Bitcoin vivem na curva secp256k1, que por si só oferece apenas cerca de 128 bits de segurança. Uma frase de 24 palavras injeta 256 bits de entropia numa fechadura que continua a abrir-se com cerca de 128 bits de trabalho. É também por isso que muitas carteiras conhecidas continuam a usar 12 palavras por predefinição.

O PrivacyNotes visa o mesmo nível de 128 bits de ponta a ponta: a tua frase passa por uma função de derivação de chave, e a encriptação que ela protege (XChaCha20-Poly1305) está calibrada na mesma medida. Passar para 24 palavras duplicaria o que anotas e escreves sem qualquer ganho prático de segurança, por isso não temos planos de o oferecer.

Os pontos fracos honestos de qualquer frase de recuperação são o phishing e o sítio onde guardas o papel, não o comprimento dela. Protege a frase em si e 12 palavras vão sobreviver a todos nós.

Resposta curta: sim. A tua frase é a chave, por isso quem a tiver consegue iniciar sessão, tal como quem tiver a chave da tua casa consegue abrir a porta. Isso é de propósito: é a única chave mestra das tuas notas, e nada mais fraco fica à frente dela. Portanto, a pergunta a sério não é se ter a frase dá acesso (dá), mas se alguém a conseguiria adivinhar - e aí a resposta é não, com nenhum computador que exista ou que se consiga prever.

Eis a escala. Uma frase de 12 palavras é uma entre 2^128 possibilidades: cerca de 340 sextiliões, um número de 39 dígitos (3,4 x 10^38). A probabilidade de adivinhares a tua à primeira é de 1 em 340 sextiliões, uma probabilidade mais remota do que ganhar quatro vezes seguidas um prémio de lotaria de 1 em 300 milhões. Tratá-lo como uma busca em vez de um golpe de sorte também não ajuda: mesmo a um trilião de tentativas por segundo (10^18, muito além do que qualquer hardware real consegue, estados-nação incluídos), percorrê-las todas levaria uns 10 biliões de anos, quase 800 vezes a idade atual do universo. E essa é a versão de fantasia, porque cada tentativa a sério tem de passar por um passo de derivação de chave deliberadamente lento, e qualquer ataque online tem de atravessar os nossos servidores, o que torna o adivinhar verdadeiro mais lento em muitas mais ordens de grandeza. O esquema também não é novidade: a mesma construção de 128 bits protege carteiras Bitcoin há mais de uma década, e nunca ninguém adivinhou uma.

É tentador imaginar a frase como uma palavra-passe, que se reforça misturando maiúsculas, números e símbolos. Uma frase de recuperação não funciona assim, e nunca deves tentar montar ou editar uma à mão. O teu dispositivo gera 128 bits de aleatoriedade criptograficamente segura e codifica-os em 12 palavras de uma lista pública fixa de 2048 palavras: essa aleatoriedade é toda a força. A última palavra até carrega uma soma de verificação integrada, por isso uma frase mal escrita ou inventada é rejeitada logo à partida. A ordem das palavras importa, as maiúsculas não (normalizamo-las quando inicias sessão), e acrescentar símbolos só tornaria a frase inválida. Escreve as palavras exatamente como te foram entregues.

Porque é uma escolha deliberada, não um esquecimento. A 2FA que conheces, um código por SMS ou uma app autenticadora, existe para escorar palavras-passe fracas escolhidas por humanos, e assenta num segredo partilhado e num caminho de recuperação guardados num servidor. É exatamente essa a superfície de ataque que o modelo de frase elimina: o teu dispositivo prova que tem a chave assinando um desafio, por isso os nossos servidores só recebem uma chave pública e uma assinatura, nunca a frase e nunca um hash de palavra-passe. Aparafusar um código por cima reintroduziria a maquinaria do lado do servidor que este design existe para evitar, sem acrescentar nada contra o adivinhar, porque 128 bits já fecham essa porta.

O único segundo fator que acrescentaria mesmo alguma coisa é um resistente a phishing, como uma chave de segurança física ou uma passkey, porque os riscos residuais a sério não são o adivinhar, mas o phishing, o malware e uma frase que seja roubada ou espreitada por cima do ombro. Num dispositivo deixado desbloqueado, o bloqueio da app (PIN) e o desbloqueio biométrico são a proteção local.

Fora isso, a frase é a chave, por isso faz-lhe backup no dia em que criares a conta: guarda-a num gestor de palavras-passe de confiança, ou imprime-a ou escreve-a à mão e guarda essa cópia num sítio seguro. Nunca a coles em nada que não seja a própria app.

Sim, a lista BIP-39 padrão (em inglês): 2048 palavras, exatamente a mesma lista que as carteiras Bitcoin usam. Geramos as frases com a @scure/bip39, uma biblioteca open source auditada. Nada de listas próprias nem de criptografia caseira.

A lista foi desenhada para se escrever à mão: as quatro primeiras letras de cada palavra são únicas, por isso uma palavra borrada ou abreviada continua inequívoca, e as palavras parecidas foram excluídas de propósito.

Por ser a lista padrão, podes conferir a tua frase em qualquer referência BIP-39 pública, e a nossa camada de encriptação está publicada como open core, por isso podes rever tu mesmo a implementação.

Não. A procura consulta um índice de texto integral construído e guardado no teu dispositivo. As pesquisas nunca saem dele, os resultados aparecem mesmo sem ligação nenhuma, e nada sobre o que procuras é alguma vez transmitido.

Não é uma política que pudéssemos reverter em silêncio, é imposto pela arquitetura: o servidor só guarda texto cifrado, por isso do nosso lado não há nada legível para indexar ou vasculhar. Um servidor que não consegue ler as tuas notas também não as consegue procurar.

Não. Não há funcionalidades de IA na app, nenhum processamento de IA em segundo plano e nenhum treino de modelos com o teu conteúdo. As tuas notas são encriptadas antes de saírem do teu dispositivo, por isso nos nossos servidores não existe nada legível para alimentar seja o que for.

Se algum dia lançarmos algo nesta direção, teria de correr inteiramente no teu dispositivo e ser estritamente opcional. Enviar notas em texto simples para um modelo na nuvem quebraria a promessa de zero conhecimento, por isso está fora de questão.

Uma burn note é uma forma autodestrutiva de partilhar uma nota com alguém que não usa o PrivacyNotes. A app encripta o conteúdo com uma chave de uso único e dá-te um link. A chave viaja no fragmento do link, que os navegadores nunca enviam para os servidores, por isso o nosso servidor guarda texto cifrado que não consegue ler.

Na primeira vez que o link é aberto, o servidor entrega o texto cifrado e apaga-o no mesmo passo: uma leitura, e acabou. Os links nunca abertos expiram sozinhos ao fim de 24 horas. De uma forma ou de outra, nada fica para trás.

"Apenas leitura" (no menu de opções da nota, Pro) tranca uma nota contra edições, para que um documento terminado não seja estragado por acidente; não esconde nada. "Proteger" (o mesmo menu, Pro) esconde o título e o conteúdo de uma nota atrás do teu PIN ou desbloqueio biométrico, para aquelas coisas que preferias não ter à vista num ecrã que outros às vezes veem.

Ambos são fechos de conveniência no teu dispositivo, não encriptação adicional. Os indicadores viajam dentro dos dados encriptados da nota, e a nota não é reencriptada com o teu PIN de propósito: assim, um PIN esquecido nunca pode destruir dados. Isto também significa que quem tiver a tua frase de recuperação poderia iniciar sessão num dispositivo novo, definir um novo PIN e ler tudo. A frase continua a ser a verdadeira fronteira de segurança - protege-a primeiro, e usa estes fechos para privacidade no ecrã.

Nunca ficas sem acesso. O ecrã de bloqueio oferece sempre uma alternativa: "Desbloquear com PIN", ou "Iniciar sessão com a frase de recuperação". A biometria é um fecho local, não uma chave de encriptação, por isso as tuas notas ficam intactas de qualquer forma.

Depois, arranja o fecho. O registo é por dispositivo, por isso um telemóvel novo, um perfil de navegador acabado de criar, ou uma reinstalação precisam de novo registo: Definições > Segurança > "Bloqueio biométrico", desativa, depois "Ativar o desbloqueio biométrico" outra vez. Também exige "Confiar neste dispositivo" (as sessões não confiáveis desaparecem quando o separador fecha) e hardware com um autenticador de plataforma (Touch ID, Face ID, Windows Hello). Se um gestor de palavras-passe como o Bitwarden ou o 1Password aparecer em vez da janela do sistema, dispensa-o e tenta de novo, ou desliga a captura de passkeys dele para o site - a app pede o autenticador integrado, mas alguns gestores intercetam à mesma.

As partes que te protegem já são. O código de encriptação, o esquema da base de dados e o modelo de ameaças estão publicados como open core, por isso qualquer pessoa pode auditar exatamente como as tuas notas são protegidas, em vez de acreditar na nossa palavra.

As apps vêm a seguir. Assim que as apps nativas de todas as plataformas tiverem saído, vamos abrir o código dos clientes (web, computador e telemóvel). A única peça que fica fechada é o backend de sincronização, e esse nunca guarda nada além de dados encriptados que não conseguimos ler. Mantê-lo privado não te custa nada em privacidade, e impede que alguém clone o serviço inteiro e apresente o nosso trabalho como se fosse dele. Aberto onde te protege, fechado onde nos protege.

Se ainda tens sessão iniciada nalgum dispositivo: sim, consegues recuperá-la tu mesmo. Abre Definições > Segurança > A tua frase e guarda-a já no teu gestor de palavras-passe.

Se não tens nenhum dispositivo com sessão iniciada nem a frase: não, e ninguém consegue. A tua frase nunca chega aos nossos servidores, por isso não há nada para repor e nenhum pedido de apoio que ajude. Não é uma política que possamos dobrar - é isso que a encriptação ponta a ponta significa. Qualquer serviço capaz de restaurar os teus dados encriptados depois de uma perda total está a guardar as tuas chaves.

A prevenção custa dez segundos: guarda a frase num gestor de palavras-passe no dia em que criares a conta.

Por baixo continuas a ter uma frase de 12 palavras, e a frase sozinha chega para iniciares sessão em qualquer dispositivo - sem Google nem Apple. Abre Definições > Segurança > A tua frase e guarda-a no teu gestor de palavras-passe.

Faz isso uma vez e perder a conta do fornecedor não te custa nada: é só iniciares sessão com a frase.

Dá o cofre por perdido. Uma frase não pode ser mudada nem rodada, porque a frase é a chave sob a qual tudo é encriptado - por isso a solução é mudar para um cofre novo. Primeiro, na conta antiga, exporta tudo: Definições > Import & Export > Exportar > "Backup do PrivacyNotes (.zip)".

Termina sessão, cria um cofre novo (12 palavras novas), e traz a exportação de volta em Definições > Import & Export > Restaurar > "Backup completo (.zip)". Depois elimina a conta antiga a partir de qualquer dispositivo onde ainda tenhas sessão iniciada: Definições > ID & Sync > "Eliminar a conta e os dados...". Isso remove os dados sincronizados dela e fecha a porta a quem tiver a frase antiga. Se iniciaste sessão com Google ou Apple, elimina primeiro a conta antiga, depois inicia sessão com o fornecedor outra vez para começar o cofre novo.

Dois custos honestos: um complemento de armazenamento ativo tem de ser cancelado antes da eliminação, e o Pro está associado à conta onde foi comprado - não passa para o cofre novo, e para lá da janela normal de 30 dias isto não é um caso reembolsável. A prevenção é barata em comparação: guarda a frase num gestor de palavras-passe e em mais lado nenhum.

A partir de qualquer dispositivo com sessão iniciada, abre Definições > Conta > "Dispositivos registados" e remove o que perdeste. Da próxima vez que esse dispositivo ficar online, termina sessão e os seus dados locais são apagados, cerca de um minuto após a utilização seguinte. Fica listado em "Removidos recentemente" durante 72 horas, para poderes confirmar que desapareceu.

Os limites honestos: um dispositivo que nunca se volta a ligar mantém o que já tinha guardado até o fazer, e é por isso que o bloqueio da app (PIN ou biometria) mais o bloqueio de ecrã do sistema operativo importam em tudo o que seja portátil. E a remoção não é uma mudança de chave - quem tiver mesmo as tuas 12 palavras consegue iniciar sessão de novo à mesma. Se suspeitas que a própria frase foi exposta, segue antes o guia para uma frase exposta.

Não. O PIN é um fecho de conveniência contra olhares curiosos no teu próprio dispositivo, não uma chave de encriptação. As tuas notas são encriptadas com chaves derivadas da tua frase de recuperação, e a frase dá sempre acesso total, sem PIN nenhum.

É uma decisão de design deliberada: amarrar a encriptação a um PIN de 4 dígitos significaria que um PIN esquecido destrói dados. Aqui isso nunca acontece.

Na app: Definições > ID & Sync e, a seguir, "Eliminar a conta e os dados". Isto remove permanentemente do servidor as tuas notas sincronizadas, os ficheiros, os dispositivos, as definições e a própria conta. Não há período de retenção nem backup que possamos restaurar depois, por isso exporta antes tudo o que quiseres manter (Definições > Import & Export).

Dois pormenores: uma subscrição de armazenamento ativa tem de ser cancelada antes da eliminação (uma já agendada para terminar não bloqueia), e como uma conta de frase nunca incluiu um e-mail nem um nome, não sobra perfil nem lista de marketing para limpar. Apagar os dados locais de um dispositivo é uma ação separada e não mexe na tua conta.

Tudo o que esperarias, encriptado no teu dispositivo antes de sincronizar: notas, tarefas, entradas de diário, o teu cofre e os ficheiros encriptados lá dentro. As tuas definições também te acompanham - etiquetas favoritas, preferências de ordenação e de vista, tema de cor, o teu PIN (como hash com sal, nunca o PIN em si), bloqueio da app, configuração de registos e medicamentos, e a limpeza automática do lixo. Configura uma vez e todos os dispositivos acompanham.

Algumas coisas ficam de propósito só no dispositivo: o modo claro ou escuro (cada dispositivo segue a preferência do próprio sistema), o desbloqueio biométrico (preso ao hardware de cada dispositivo) e o teu estado de desbloqueio (fechar a app bloqueia sempre de novo). O servidor só armazena blobs encriptados e não consegue ler nada disso.

Sim. A app é local-first: as tuas notas vivem numa base de dados no teu dispositivo, por isso ler, escrever e procurar funcionam sem ligação nenhuma. As alterações sincronizam sozinhas quando voltares a ficar online.

Nada é substituído em silêncio. Se os dois dispositivos mudaram a mesma nota enquanto estavam separados (um estava offline, por exemplo), a app deteta a colisão quando voltarem a sincronizar e mostra uma caixa de conflito: manter a versão deste dispositivo, manter a outra, ou manter as duas como notas separadas.

No dia a dia raramente a vais ver. Online, as edições sincronizam em segundos, e a caixa só aparece quando duas versões da mesma nota divergiram mesmo.

Definições > Conta lista todos os dispositivos registados. Remove o que vais reformar: a vaga é libertada de imediato (útil no plano gratuito de 2 dispositivos), e o dispositivo removido termina sessão da próxima vez que tentar sincronizar. Fica visível em "Removidos recentemente" durante 72 horas, para confirmares que desapareceu.

Uma ressalva honesta: a remoção só por si não é uma fronteira de segurança, porque quem tiver a tua frase de recuperação consegue iniciar sessão de novo. Se um dispositivo se perdeu ou foi roubado, a frase é o que precisa de proteção, e o bloqueio da app (PIN ou biometria) é o que impede um dispositivo encontrado de ser uma porta aberta.

As contas gratuitas sincronizam em até 2 dispositivos, e esta caixa aparece quando um terceiro tenta registar-se. Remove um dispositivo que já não uses diretamente na caixa, ou num dispositivo existente em Definições > Conta (como funciona a remoção). A vaga é libertada de imediato, e o dispositivo removido continua visível em "Removidos recentemente" durante 72 horas. O Pro elimina o limite por completo.

Uma peculiaridade que vale a pena saber: para que vários navegadores num só computador não comam várias vagas, os dispositivos são agrupados através de hashes que preservam a privacidade de sinais grosseiros da máquina, calculados no teu dispositivo com um segredo por conta. Uma atualização grande do navegador, ou navegadores reforçados como o Brave ou o Tor que tornam esses sinais aleatórios, podem pôr a mesma máquina numa vaga nova durante algum tempo. Nunca ficas sem acesso - remove a entrada obsoleta e segue em frente.

Nunca se apaga nada. Quando as novas alterações deixam de caber, a sincronização avisa: "Armazenamento cheio. Algumas notas não conseguiram sincronizar." Os dados existentes continuam a sincronizar, o crescimento novo não. Se ficares acima do limite, começa uma contagem decrescente de 90 dias, mostrada como um banner âmbar. Ler, editar para reduzir, apagar e exportar continuam todos a funcionar o tempo todo.

Após 90 dias acima do limite, a sincronização entra em pausa: o banner fica vermelho ("Sincronização em pausa. Estás acima do teu limite de armazenamento há mais de 90 dias."). A app continua a funcionar por completo em todos os dispositivos; as alterações ficam apenas locais até voltares para baixo do limite. A recuperação é instantânea e faz-se sozinha: liberta espaço - esvaziar o lixo conta - ou adiciona armazenamento em Definições > Armazenamento, e a sincronização retoma sozinha. Isto é o oposto deliberado dos serviços que apagam automaticamente os dados acima do limite.

Primeiro no teu dispositivo - é essa a cópia com que realmente trabalhas. A cópia de sincronização vive em servidores em Zurique, na Suíça.

Como tudo é encriptado antes de sair do teu dispositivo, a localização do servidor é um bónus e não uma promessa estrutural: os dados sincronizados seriam ilegíveis onde quer que estivessem.

Podes exportar tudo quando quiseres, gerado inteiramente no teu dispositivo: ficheiros Markdown num zip com os anexos incluídos, um backup JSON completo, ou HTML autossuficiente - por nota ou para a conta inteira.

Importar também funciona: traz notas do Obsidian, Apple Notes, Google Keep, Standard Notes, Simplenote e Samsung Notes. Prender-te aqui não faz parte do modelo de negócio.

Para uma rede de segurança completa: "Backup do PrivacyNotes (.zip)" em Definições > Import & Export > Exportar. Contém tudo - notas, diários, cofre, tarefas, imagens, áudio, ficheiros - e restaura por completo através do separador Restaurar, para qualquer cofre. É legível no teu disco, por isso guarda-o num sítio de confiança: um disco encriptado, não uma drive partilhada.

O "Backup encriptado (.pnbackup)" é a troca oposta: seguro para deixar em qualquer lado porque é ilegível sem a tua frase, mas cobre apenas texto e metadados (sem imagens nem ficheiros) e só restaura para a mesma conta que o criou - o que o torna inútil se alguma vez mudares para uma frase nova. O "Backup de texto (.json)" e o arquivo HTML são formatos de portabilidade e não formatos de restauro, e a "Exportação do cofre (.json)" é texto simples compatível com o Bitwarden para gestores de palavras-passe.

Porquê ter sequer backups locais, se tudo sincroniza? Porque a sincronização não é um backup: propaga fielmente as eliminações, incluindo, no pior dos casos, um servidor comprometido a deixar cair dados que os teus dispositivos depois espelham. Um backup completo periódico no teu próprio disco é a única cópia que nenhum acontecimento no servidor consegue tocar. Exporta antes de importações grandes, antes de saíres, e num ritmo que consigas mesmo manter.

Tudo o que sincronizas, ao seu tamanho encriptado: o texto das notas, imagens, gravações de áudio e anexos de ficheiros. A barra em Definições > Armazenamento mostra o total; a pegada de cada nota está listada nas suas opções de nota como "Armazenamento usado". As notas no lixo continuam a contar até o lixo ser esvaziado.

Para libertar espaço depressa, abre Ficheiros, ordena por Tamanho e apaga os itens maiores - os anexos fazem o texto parecer minúsculo em quase todas as contas. Depois esvazia o lixo: a vista Lixo mostra quanto espaço o "Esvaziar" vai libertar. Só o texto quase nunca enche uma quota; até os 50 MB grátis comportam dezenas de milhares de notas simples.

Qualquer tipo de ficheiro: imagens, PDF, áudio, arquivos comprimidos, o que quer que largues aqui. Cada ficheiro é encriptado no teu dispositivo antes do envio, tal como o texto das notas, e a vista Ficheiros reúne todos os anexos num só sítio.

O limite por ficheiro é de 5 MB no plano gratuito e de 50 MB no Pro. Os ficheiros contam para o teu armazenamento total de sincronização (50 MB no grátis, 500 MB no Pro, expansível até 5,5 GB com os complementos de armazenamento), e a barra em Definições > Armazenamento mostra sempre onde estás.

Aplicam-se dois limites, e o erro diz-te qual deles atingiste. Por ficheiro: 5 MB no grátis, 50 MB no Pro, 100 MB com qualquer complemento de armazenamento. No total: tudo o que sincronizas tem de caber no armazenamento da tua conta (50 MB no grátis, 500 MB no Pro, mais com complementos), por isso uma quota cheia faz falhar os envios mesmo quando o próprio ficheiro é pequeno. Qualquer tipo de ficheiro é aceite - não há restrição de formato.

Verifica a barra de armazenamento na vista Ficheiros ou em Definições > Armazenamento, e escolhe depois a solução mais barata: liberta espaço, faz upgrade, ou reduz o ficheiro (as fotos do telemóvel são muitas vezes originais de vários MB; um JPEG comprimido é uma fração do tamanho). Os envios também precisam de ligação: os ficheiros não ficam em fila enquanto estás offline.

O lixo não é um arquivo: por predefinição, tudo o que estiver lá é apagado em definitivo ao fim de 30 dias. O interruptor fica na própria vista Lixo, com o nome "Eliminação automática ao fim de 30 dias" - desliga-o aí se quiseres manter o lixo para sempre, e a definição sincroniza com todos os teus dispositivos. A limpeza corre no teu dispositivo quando a app abre, porque o servidor não consegue ver que notas encriptadas estão no lixo.

Apagado em definitivo quer dizer que desapareceu: sem cópia no servidor e sem caminho de recuperação. Se usas o lixo como um monte de "talvez um dia", desativa a eliminação automática ou restaura as notas antes do dia 30. Até lá, as notas no lixo continuam a contar para o teu armazenamento - o "Esvaziar" na mesma vista liberta esse espaço de imediato.

O Cofre é uma secção dedicada a segredos estruturados: logins com nome de utilizador e palavra-passe, cartões de crédito e de débito, e chaves SSH. As entradas têm campos a sério em vez de texto livre, os logins mostram o ícone do site, e tudo é encriptado ponta a ponta como o resto dos teus dados.

Dá um lar arrumado e protegido àquele punhado de credenciais que, de outra forma, acaba espalhado pelas notas. Combina-o com o bloqueio da app e a proteção por PIN para teres uma segunda barreira nas entradas mais sensíveis. Uma importação do Bitwarden vai parar aqui automaticamente.

Escreve o que quiseres - nas notas normais, a questão do tamanho nunca se põe. Quando uma única nota cresce muito, aparece uma dica por baixo dela que sobe de tom em três degraus: por volta das 50.000 palavras, avisa que a nota está a ficar longa e pode ficar lenta em dispositivos mais lentos; por volta das 75.000, fica âmbar, o que quer dizer que a edição pode começar a bloquear; e por volta das 100.000, sugere dividir a nota porque estás a aproximar-te do limite de sincronização. São guias, não bloqueios rígidos, e nada te impede de continuar.

Esse limite de sincronização é o único teto a sério. Uma única nota comporta cerca de 1 MB de texto depois de encriptada - grosso modo, 120.000 palavras de inglês comum, e menos com escrita não latina ou muita formatação. Uma nota que passe disso continua a funcionar e fica segura no dispositivo onde a escreveste, mas essa nota não vai sincronizar com os teus outros dispositivos (vais ver um aviso de "falha ao sincronizar"). As restantes notas não são afetadas: uma nota demasiado grande nunca bloqueia mais nada.

A solução é fácil: divide uma nota muito longa em algumas mais pequenas. O conteúdo é idêntico, sincroniza sem problemas e o editor continua rápido. Um contador de palavras ao vivo por baixo de cada nota deixa-te ficar de olho no tamanho. E se estavas prestes a testar onde fica o muro, agora já não precisas.

Primeiro exporta, depois elimina - as duas coisas fazem-se sozinhas. Definições > Import & Export > Exportar cobre todas as vias de saída: "Backup do PrivacyNotes (.zip)" para uma cópia completa, Markdown e HTML portáteis para a tua próxima app de notas, e "Exportação do cofre (.json)" em formato compatível com o Bitwarden para o teu próximo gestor de palavras-passe. As exportações são geradas no teu dispositivo.

Depois, Definições > ID & Sync > "Eliminar a conta e os dados...": escreve DELETE, e as tuas notas sincronizadas, os ficheiros, os dispositivos, as definições e a própria conta são removidos permanentemente sem período de retenção (detalhes). Um complemento de armazenamento ativo tem de ser cancelado primeiro em Definições > Armazenamento. Uma conta só de frase não deixa nada para trás para limpar, porque nunca soubemos quem és. Sem padrões manipuladores e sem e-mails de reconquista - os teus dados são teus, mesmo à saída.

Sobretudo guardando o mínimo possível. Regista-te com uma frase e não há nome, e-mail nem identidade em ficheiro para pedir: os teus dados são texto cifrado sob uma chave pública aleatória, alojada em Zurique, na Suíça. Inicia sessão com Google ou Apple e existe exatamente um identificador - o e-mail que o teu fornecedor partilha, associado a essa chave. Os dados de faturação do Pro ficam com a Paddle, o merchant of record, não connosco.

Todos os direitos se exercem por ti e de imediato, sem formulário de pedido: o acesso e a portabilidade são Definições > Import & Export (exportação completa em formatos abertos), o apagamento é Definições > ID & Sync > "Eliminar a conta e os dados..." sem período de retenção, e a retificação é editares as tuas notas. A versão formal, incluindo como nos contactar para o que a app não conseguir fazer sozinha, está na política de privacidade.

Não perdes nada. O conjunto completo de dados já está no teu dispositivo porque a app é local-first, e a exportação para Markdown, JSON ou HTML funciona totalmente offline.

A camada de encriptação também está publicada como open core, por isso o formato continua legível de forma independente, mesmo num mundo em que os nossos servidores desaparecessem de um dia para o outro.

O grátis é o produto completo, não uma amostra: notas, tarefas, diário e cofre encriptados ponta a ponta, uso offline, importação e exportação - em até 2 dispositivos com 50 MB de armazenamento de sincronização.

O Pro é uma compra única que acrescenta dispositivos ilimitados, 500 MB de armazenamento de sincronização (expansível), histórico de versões das notas, anexos maiores, bloqueio de notas e proteção por PIN, registo de bem-estar avançado, modo Zen e todos os temas de cor.

Porque o serviço foi desenhado de propósito para ser barato de operar. A app é local-first e as notas são pequenos blobs encriptados, por isso o servidor pouco mais faz do que guardá-los e passá-los entre os teus dispositivos. Sem pipeline de analytics, sem funcionalidades de IA a queimar computação, sem departamento de apoio.

O único custo que cresce com o tempo é o armazenamento, e é esse que é cobrado em conformidade: o espaço para lá dos 500 MB incluídos é um pequeno complemento anual. Os custos únicos pagam-se uma vez; os custos recorrentes, recorrem. O modelo só tem de se pagar a si mesmo, e paga.

Sim. O Pro está associado à tua conta, não a um dispositivo, plataforma ou loja. Compra-o uma vez, inicia sessão com a mesma frase (ou o mesmo início de sessão Google, Apple ou GitHub) em qualquer lado, e o Pro está ativo lá também.

Isso inclui plataformas que ainda nem existem: quando uma app nova sair, o teu Pro atual acompanha-te sem custo extra.

Dá-lhe um minuto, depois recarrega a app. Depois do checkout, a app fica a verificar durante cerca de 20 segundos e desbloqueia sozinha, e uma recarga volta a verificar o estado do Pro ao arrancar. Se o pagamento entrou mas a ativação se atrasa, um banner diz "Pagamento recebido, mas a ativação do Pro está a demorar mais do que o normal" - esse estado resolve-se sozinho em quase todos os casos. Nas versões de loja, uma compra que falhe a validação volta a tentar quando reinicias a app, e uma compra que nunca ative é reembolsada pela loja automaticamente no prazo de 3 dias.

Continua bloqueado? É quase sempre uma conta trocada: o Pro fica ligado à conta com que tinhas sessão iniciada na compra, por isso uma frase diferente - ou um início de sessão por fornecedor em vez do teu cofre de frase - é uma conta diferente. Compara o ID da conta em Definições > ID & Sync no dispositivo que o comprou. Se estiver mesmo encravado, comunica-nos e inclui esse ID da conta: identifica a compra e não revela nada sobre as tuas notas.

O Pro inclui 500 MB de armazenamento de sincronização encriptado. Se precisares de mais, os pacotes somam-se por cima: 1 GB por 4,80 $ ao ano, 2 GB por 8,40 $, ou 5 GB por 18 $, até 5,5 GB no total. Os complementos são a única compra recorrente do produto, porque o armazenamento é a única coisa que nos custa dinheiro em cada mês que o usas.

Tudo se gere em Definições > Armazenamento: troca por um pacote maior (pagas só a diferença proporcional) ou cancela quando quiseres e fica com o espaço até acabar o período que já pagaste. O Pro, de qualquer forma, é teu para sempre.

Definições > Armazenamento é o painel de controlo. Passar para um pacote maior aplica-se de imediato, e a confirmação mostra o valor proporcional exato cobrado hoje antes de confirmares; a data de renovação não muda. "Cancelar o armazenamento" mantém o teu espaço extra até ao fim do período que já pagaste. Ainda não é possível baixar de pacote - o caminho entretanto é cancelar e depois comprar o pacote mais pequeno quando o período terminar.

Se os teus dados ainda couberem no limite restante depois de expirar, fica por aqui; se não, nada é apagado e começa o ciclo de 90 dias acima do limite. Uma renovação falhada mostra um banner com um link "Atualizar cartão" para corrigir o pagamento na Paddle. Se subscreveste dentro de uma versão de loja, é a loja que te cobra, por isso o cancelamento faz-se nas definições de subscrição da própria loja.

Sim. O Pro e o armazenamento ficam associados à tua conta, não a uma plataforma ou loja. Compra na web e todas as apps onde inicias sessão ficam Pro, incluindo as versões de loja; compra dentro de uma versão de loja e as apps de web e de computador desbloqueiam da mesma maneira. Não há botão de "restaurar compras" porque iniciar sessão é o restauro - o direito acompanha a conta.

A única diferença é quem te cobra. As compras na web passam pela Paddle e gerem-se na app em Definições > Armazenamento. As compras feitas dentro de uma versão de loja (Google Play, ou a App Store assim que a app de iOS sair) são cobradas por essa loja: o armazenamento recorrente cancela-se nas definições de subscrição da loja, e os reembolsos seguem o processo da loja. De uma forma ou de outra, é a mesma conta e o mesmo Pro em todo o lado - incluindo plataformas que ainda não existem.

30 dias, sem perguntas. Se o Pro não for para ti, pede o reembolso integral no prazo de 30 dias após a compra e o valor volta para o método de pagamento original. Os clientes na UE mantêm ainda o seu direito legal de retratação de 14 dias.

Os pagamentos são processados pela Paddle, o nosso merchant of record, por isso os reembolsos são tratados diretamente pela Paddle: responde ao e-mail do recibo da compra ou visita paddle.net. A política completa está nos termos de serviço.

Menos do que imaginas. O checkout passa pela Paddle, o merchant of record: o teu nome, o número do cartão e a morada de faturação vão para a Paddle por causa do pagamento e dos impostos, e nunca tocam nos nossos servidores.

O que chega até nós é a confirmação de que a chave pública da tua conta passou a Pro, mais o valor da encomenda. A relação de faturação, incluindo o e-mail de recibo que escreves no checkout, fica com a Paddle. Por isso uma conta só de frase continua pseudónima para nós mesmo como cliente pagante: sabemos que pagaste, não quem és.

Sim, com duas ferramentas correntes. Para o recibo, usa um alias de e-mail: Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay ou addy.io reencaminham todos para a tua caixa real sem a exporem. Para o pagamento, usa um cartão mascarado: o privacy.com, nos EUA, gera cartões virtuais que funcionam com qualquer nome que escrevas, e muitos bancos e serviços noutros sítios (o Revolut, por exemplo) oferecem cartões virtuais descartáveis que fazem o mesmo trabalho.

No checkout, a Paddle pede um e-mail, um método de pagamento e um país (mais um código postal nalgumas regiões) para calcular o imposto. O alias recebe o recibo, o cartão mascarado leva o nome que lhe deste, e a localização fiscal situa-te, quando muito, numa região, e mais nada. Mantém o alias vivo, no entanto: o e-mail do recibo é a tua prova de compra e o teu canal para um reembolso.

Combinado com uma conta de frase, nenhuma das partes fica com o quadro completo: o teu banco vê um carregamento de cartão, a Paddle vê um alias e um cartão mascarado, e nós vemos apenas que uma chave pública passou a Pro.

Web, macOS, Windows, Linux e Android hoje, com o iOS a chegar em breve. Todas as apps são construídas a partir do mesmo núcleo, com a mesma encriptação ponta a ponta, e sincronizam pela mesma conta. A secção de transferências tem sempre as versões mais recentes.

A app web é um cidadão de primeira, não um plano B: mantém uma cópia local completa dos teus dados e funciona offline, por isso qualquer navegador moderno é sempre uma porta de entrada.

Se a instalaste a partir da Google Play Store, sim, atualiza-se sozinha como as tuas outras apps. Se a transferiste diretamente do nosso site, o teu telemóvel não a vai atualizar automaticamente, é simplesmente assim que o Android trata as apps que não vêm da Play Store.

Em vez disso, a app verifica se há versões novas e mostra a mensagem "Nova versão disponível" quando houver uma pronta. Toca nela e a atualização instala-se por cima da versão antiga, com todas as tuas notas e definições no sítio. A verificação só procura uma versão mais recente, nunca toca nas tuas notas, que ficam sempre encriptadas.

Sim, mas não instalando uma por cima da outra. As duas versões são assinadas com chaves diferentes (a Play gere a sua própria assinatura; a chave do APK direto é só nossa), e o Android recusa-se a atualizar uma app cuja assinatura mudou, por isso a instalação falha com um erro do género "Aplicação não instalada". Alternar significa: confirma que a app mostra "Synced", desinstala a versão atual, instala a outra, inicia sessão de novo.

Desinstalar limpa os dados locais da app - é por isso que a verificação de sincronização vem primeiro. Depois de iniciares sessão, tudo regressa pela sincronização. Tem à mão as tuas 12 palavras ou um QR de início de sessão de outro dispositivo antes de desinstalares, não depois. De resto, as versões são idênticas; só diferem em como se atualizam e em como o Pro é cobrado.

Inglês, alemão, francês, italiano, espanhol, neerlandês, polaco, checo, catalão, japonês, coreano, chinês tradicional e português, nas variantes europeia e do Brasil. A app segue o idioma do sistema por predefinição, ou podes fixar um explicitamente em Definições > Idioma em cada dispositivo.

As traduções são grátis para toda a gente, não são uma vantagem Pro. Estão previstos mais idiomas; se o teu está a faltar, diz-nos no GitHub ou no Reddit.