說明與常見問題

可以。try.privacynotes.app 上的示範版就是完整的應用程式，附有範例內容：不必註冊、不必留電子郵件，你輸入的任何內容都不會被儲存。它完全在你的瀏覽器裡執行，絕不會把任何東西傳到我們的伺服器。

關閉分頁就會清空一切，而這正是重點。準備好要保留筆記時，請到 use.privacynotes.app 建立正式帳號，從頭開始。想從示範版帶走的東西，請先自行複製出來。

選符合你威脅等級的那一種。一共有三種。第一種是用 Google、Apple 或 GitHub 登入，金鑰存在我們的伺服器上。第二種是同一種登入，但金鑰只留在你的裝置上。第三種是「產生助憶詞」，不用電子郵件、不用姓名，也完全不用登入。三種都讓你的筆記維持端對端加密，差別只在金鑰由誰保管，以及我們會知道你多少事。

用這三種其中一種登入之後，會再問你的金鑰要住在哪裡。「保持簡單方便」把它加密後存在我們的伺服器上，任何新裝置只要靠那組登入就能進入，你沒有東西要保管。如果你怕的是弄丟自己的登入憑證，這就是合適的等級。「最高安全與隱私」把金鑰留在你的裝置上：無論受到什麼壓力我們都讀不到任何一則筆記，而新裝置需要你的 12 個字，或從已登入的裝置掃一次 QR 碼。

只用助憶詞的那條路是最高等級：沒有電子郵件、沒有姓名，沒有任何把帳號綁到某個人身上的東西。代價是金鑰完全屬於你，所以在一台已登入的裝置都不剩時弄丟它，就沒有人幫得上忙。不過這些都不是定死的：設定 > 安全性 > 你的助憶詞可以隨時把你在兩種模式之間搬動，而且每一個等級都能再疊上 PIN 或生物辨識鎖。完整的階梯，連同每一階的代價，都寫在威脅等級階梯裡。

不需要。新帳號就是一組全新產生的 12 個復原助憶詞，僅此而已。沒有電子郵件、沒有使用者名稱、沒有電話號碼、沒有驗證步驟。如果你用助憶詞登入，就算我們想寄信給你也辦不到，因為我們從頭到尾都不知道你是誰。

偏好熟悉的流程？用 Google、Apple 或 GitHub 登入也行。那條路必然會讓我們知道與該帳號綁定的電子郵件，但無論哪種方式，你的筆記都維持端對端加密，而且底層仍然會有一組助憶詞。

開啟「設定 > 匯入與匯出」並選擇來源。清單涵蓋了大家搬家時的常見來源：Apple Notes、Obsidian、Evernote、Standard Notes、Notesnook、UpNote、Google Keep、Simplenote、Samsung Notes 和 Apple Journal。Bitwarden 和瀏覽器裡存的密碼會進到保險庫，瀏覽器書籤會以書籤的形式進來，通用的 Markdown 匯入器則接受任何一個裝著 .md 檔的資料夾。

匯入完全在你的裝置上進行：匯出的檔案會在本機解析、加密並儲存，不會上傳任何內容做處理。每篇匯入的筆記都會標上來源標籤，方便事後整批檢視；Google Keep 的核取清單還會轉換成原生任務清單。

可以。在側邊欄開啟 Markdown，選一個放著 .md 和 .txt 檔案的資料夾，就能用寫筆記時的同一個編輯器編輯它們。子資料夾會自動出現，修改直接存回檔案，而且什麼都不會被轉換，所以同一個資料夾在 Obsidian、git 儲存庫或你自己的腳本裡照樣能用。存進我的筆記會把一個檔案或整批選取的檔案一鍵複製到你加密的筆記裡，原檔留在原地不動。以上全部在每個方案都免費。

那些檔案就照你離開時的樣子留在磁碟上：我們從不上傳，永遠不會同步到你的其他裝置，進出之間也不會轉換任何東西。桌面版 app 在任何電腦上都能用，瀏覽器則支援 Chrome、Edge 與 Opera，因為直接從磁碟開啟資料夾是電腦才有的能力。

支援。輸入 Markdown 就會即時排版：# 標題、粗體、清單、- [ ] 任務核取方塊、引用與標註區塊。筆記也能匯出成乾淨的 Markdown，寫下的內容隨時帶得走。

筆記之間也能互相連結：輸入 [[ 就會跳出自動完成，列出你既有的筆記。點一下 note-link 就會開啟它指向的筆記；大綱面板加上筆記內搜尋，讓長篇筆記也容易導覽。

標準的 Markdown 格式會隨著你輸入即時排版：標題、強調、刪除線與螢光標示、項目符號與編號清單、任務清單（Tab 與 Shift+Tab 可以巢狀任何清單，勾選清單也適用）、引用、分隔線、行內程式碼與帶語法高亮的程式碼區塊、行內與區塊數學公式（KaTeX），以及筆記之間帶自動完成的 note-link。

其餘的放在格式工具列及其「插入」選單裡：表格、九種可摺疊的標註區塊、底線、上標與下標、文字對齊、文字與螢光標示顏色、字型、連結、圖片與檔案附件。所有內容都能以 Markdown 無損地往返：任一篇筆記下方的「顯示 Markdown」會展開原始碼，而匯出的是乾淨的 .md 檔案，所以你寫的東西不會被鎖進任何專有格式。

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

1. Write your phrase down
2. Store it offline
   - paper beats cloud
   - two copies, two places

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

H<sub>2</sub>O and E = mc<sup>2</sup>,
<u>underline</u> included

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Quick capture

---

Polished later

在任何筆記裡只要寫成 - [ ] 的那一行，就會變成一項任務，而側邊欄的「任務」檢視會把它們全部集中在一處。在那裡把任務打勾，會更新它所在的筆記；打開一項任務，則會跳到那篇筆記。沒有另一個要維護的任務資料庫：任務就只是你筆記裡的一行行文字，和其他所有內容一樣經過加密。

「任務」頂端的快速新增框，會把內容附加到一篇名為 Quick Tasks 的筆記（首次使用時會自動幫你建立），所以隨手記下一件待辦只要一個按鍵，而不必先決定歸檔到哪裡。同一個檢視提供三種版面配置（混合、彙整、清單）、一個已完成任務的切換開關，以及任務搜尋；「全部」檢視上的「新增」按鈕也能直接開一篇任務筆記。

「日誌」是專為有日期的記事設計的檢視：點一下就建立今天的記事，旁邊的日曆按鈕則能補上你錯過的某一天。一則記事就是一篇普通筆記，外加可選的追蹤項目：1 到 10 分的心情量表搭配 24 種情緒標籤、睡眠、活動、用藥、精力、專注度等等。任一則記事裡的「設定追蹤項目」可切換內建項目，而 Pro 另外提供最多 10 個自訂追蹤項目（量表、數值、是／否）。

「統計」（在設定裡，或頁尾的統計圖示）會把記事整理成「身心」分頁下的趨勢：心情隨時間的變化、睡眠與活動圖表、用藥遵從度。匯出都在你的裝置上產生：「下載 JSON」免費，Pro 另外提供可帶去門診的「醫師 PDF」、一段可直接複製、餵給你選用的聊天機器人的 AI 提示詞、模式洞察，以及一週回顧。追蹤資料存在加密後的記事裡，所以伺服器一個字也讀不到。

可以。書籤是側邊欄裡獨立的一根支柱，就在筆記、待辦和日記旁邊，而且所有方案都免費。在快速新增列貼上連結就能存下一筆。要把既有的搬過來，先從瀏覽器匯出書籤檔（.html），再拖進設定 > 匯入與匯出 > 匯入 > 「Browser bookmarks」。Chrome、Firefox、Safari、Edge、Opera、Brave 和 Vivaldi 裝的都是同一種檔案，資料夾和日期也會一起過來。Safari 會把它包成 .zip，不用解壓縮就能直接拖進來。

你的網址從不離開你的裝置：我們不抓取連結背後的網頁，所以你手動加的書籤在你自己命名之前，會以網域當名稱。網站圖示是唯一的例外，而且可以關掉。匯出寫的也是同一種標準檔案，所以書籤要離開和進來一樣容易（匯入指南）。

資料夾要嵌多深都行，就放在側邊欄。瀏覽它們在每個方案都免費。新增、改名，或把筆記搬進去（「新增資料夾」和「移至資料夾」）才是 Pro 的起點，這樣免費帳號永遠讀得到自己匯入的、或在 Pro 期間建好的結構。「未分類」那一列會列出所有不在任何資料夾裡的筆記。

一則筆記一次只待在一個資料夾裡，就像一個檔案。當某件事同時屬於兩個地方時，改用標籤。資料夾資訊放在加密的筆記裡，所以伺服器看得到的結構跟看得到的內文一樣少。

每則開啟的筆記在標題下方都有一列標籤。輸入一個詞再按 Enter、逗號或 #，標籤就會變成一顆膠囊。側邊欄會列出你用過的每個標籤，點一下就把清單篩成那些筆記。你可以一次改掉標籤在所有地方的名字，把它加進最愛讓它釘在最上面，或是連同底下的筆記一起刪掉，也可以只刪標籤。

標籤和資料夾解決的是不同的問題：筆記待在一個資料夾裡，但要帶幾個標籤都行，而當某件事既是「工作」又是「發票」時，需要的正是標籤。匯入會依來源加標籤，所以從別的 app 進來的東西都會帶著自己的標籤落地，之後要找或要清都很容易。

在筆記的任何位置輸入 [[，然後開始打標題。從清單裡挑一則筆記，它就會變成可以點的筆記連結。如果沒有符合的，選「建立」，新筆記就會一次完成建立和連結。工具列的「連結到另一則筆記」按鈕做的是同一件事。

筆記連結就住在筆記裡，所以匯出時會一起帶走，匯入也活得下來：Obsidian 保險庫會保留原本的連結，Evernote 的筆記連結則會在進來時轉換。想知道有誰指向某則筆記，就搜尋它的標題：每一則連到它的筆記都含有那些字。

可以，在設定 > 外觀。模式在淺色、深色和跟著系統走的自動之間切換。文字大小有四段，只放大你書寫的區域，周圍的介面維持原樣。檢視把項目排成清單或格狀。編輯器決定筆記開啟時是排版模式還是純 Markdown。

Pro 後面的只有色彩主題：預設主題免費，其餘的由 Pro 解鎖，淺色深色都算。把文字以外全部藏起來的禪模式也在 Pro 裡（Cmd+Shift+F）。模式和文字大小留在你設定的那台裝置上，其餘的都會跟著帳號走到你的其他裝置。

在應用程式的任何地方按下 ? 就會叫出內建的快捷鍵速查表，也可以在「設定 > 關於與說明」裡找到。快捷鍵涵蓋導覽、筆記操作、格式設定與各種檢視；在 Windows 和 Linux 上，每個 Cmd 都讀作 Ctrl，Option 讀作 Alt。

有。可列印的快捷鍵速查表把所有快捷鍵整理在一張 A4 紙上，分成兩欄，適合貼在螢幕旁邊。它是從應用程式顯示的同一份清單產生的，所以永遠不會落後於任何版本。

打開後按下「列印」按鈕（或 Cmd+P / Ctrl+P）。想存成檔案而不是印在紙上，在列印對話框裡把目的地選為 PDF 即可。速查表也連結在應用程式內快捷鍵清單（設定 > 關於與說明 > 快速鍵）的上下方，以及本網站的頁尾。

可以，說明中心就是為此而做的。每一則解答都發布在 llms-full.txt 這一個純文字檔裡，助理一次就能讀完。任何說明頁面底部的方塊都能複製一段現成的提示詞：貼到 ChatGPT、Claude、Gemini 或你原本就在用的助理，再用你自己的語言發問。

把你導向你本來就信任的工具，我們就完全不會涉入，也永遠不會知道你問了什麼。若我們自己做聊天機器人，你的問題就會落在我們的伺服器上，而關於筆記軟體的問題往往夾帶著筆記內容。這和 App 本身是兩回事，App 完全沒有任何 AI 功能（詳情）。

絕對不要把復原助憶詞、PIN 碼或筆記內文貼給助理。任何解答都不需要這些，複製的提示詞也會要求助理拒絕，而你在別人聊天框裡輸入的東西，就已經離開你的裝置了。

沒有任何可讀的內容。筆記、標題、標籤與附件都會先在你的裝置上加密才同步。伺服器儲存的是它無法解密的密文，而我們這邊也沒有任何金鑰能改變這件事。

我們能看到的，只有維持服務運作所需的最低限度：你用了多少加密儲存空間、連結了幾部裝置，以及同步的時間戳記。如果你是用助憶詞而不是 Google、Apple 或 GitHub 登入，我們連你的電子郵件地址都不知道。

一開始可能覺得反直覺，但單一一組復原助憶詞其實是更強的設計。使用者名稱加密碼的組合裡，使用者名稱不是祕密（每次資料外洩流出的清單裡都有它），所以安全性全押在密碼上，而人類自選的密碼平均大概只有 30 到 40 位元的熵。你的 12 個助憶詞則保證有 128 位元，由你的裝置產生，不經人手挑選，也絕不會和其他網站重複使用。

另一方面，我們手上也沒有東西可以弄丟。密碼登入代表伺服器至少要存一份密碼雜湊，而雜湊可能外洩、被破解或被釣走。你的助憶詞從不離開你的裝置：它在本機衍生你的加密金鑰，伺服器只會看到加密後的資料。沒有雜湊可偷，也沒有密碼重設流程可供攻擊者濫用。

如果覺得輸入 12 個單字很麻煩：只要一個動作就能把助憶詞存進密碼管理器（設定 > 安全性 > 你的助憶詞），之後登入就和一般網站沒兩樣。偏好熟悉的流程？用 Google、Apple 或 GitHub 登入也行，底層仍然會有一組助憶詞。

可以，而且是刻意設計的。每個人要防範的威脅不盡相同，所以帳號模式是一道階梯，而不是單一教條。每一階都讓筆記維持端對端加密；不同的只是金鑰由誰保管，以及我們對你知道多少。

便利的一端：用 Google、Apple 或 GitHub 登入，並在詢問時選擇「保持簡單方便」。我們會替你保管復原助憶詞，以靜態加密存放在我們的伺服器上，之後任何裝置只要用那組登入就能進入，沒有東西需要備份，也沒有東西可弄丟。交換的是：我們會知道那組登入背後的電子郵件，而且金鑰由我們保管，不在你手上。如果你實際面對的威脅是弄丟自己的登入憑證，而不是遭受針對性入侵，這一階就很合適。

中間一階：用 Google、Apple 或 GitHub 登入，但選擇「最高安全與隱私」。你的助憶詞完全不會碰到我們的伺服器，加密是完全零知識的；新裝置需要輸入助憶詞，或用已登入的裝置掃 QR Code。我們仍然必然知道那組登入的電子郵件，但即使被強制要求，我們也讀不出任何一篇筆記。

最私密的一端：完全跳過這些登入，只用 12 個助憶詞。沒有電子郵件、沒有姓名、沒有身分；再搭配匿名購買 Pro，連付款都不會在任何地方留下名字。相對地，金鑰完全由你自己保管：如果助憶詞遺失，又沒有任何仍在登入狀態的裝置，就沒有人幫得上忙。

你不會被當初選的那一階綁住。在設定 > 安全性 > 你的助憶詞裡，兩種模式並排列出各自的代價，你隨時可以往任一方向切換。改為自行保管會刪除我們的副本，並先要求你重新輸入十二個單字中的三個，因為會按下它的人往往正是從沒抄下來的人。改回去會再次上傳助憶詞，並且需要明確的選擇。兩個方向都以你自己的帳號金鑰簽署，所以被竊的工作階段無法更改你的模式。而且每一階都能再疊上本機防護：PIN 鎖定、生物辨識解鎖與單篇筆記保護。

夠，12 個單字就夠了。12 個單字的 BIP-39 助憶詞承載 128 位元的熵。暴力破解 128 位元不是「電腦要更大台」的問題，而是「需要的能量超過全人類產出」的問題。現實中不存在能攻破 128 位元、卻拿 256 位元沒辦法的攻擊。

拿 Bitcoin 來比反而說明了 24 個單字大多是行銷話術：Bitcoin 金鑰建立在 secp256k1 曲線上，而這條曲線本身只提供約 128 位元的安全性。24 個單字等於把 256 位元的熵灌進一道只需約 128 位元工作量就能打開的鎖。這也是許多主流錢包至今預設 12 個單字的原因。

PrivacyNotes 全程鎖定同樣的 128 位元安全等級：你的助憶詞會經過金鑰衍生函數，而它所保護的加密（XChaCha20-Poly1305）金鑰強度也與之相配。改成 24 個單字只會讓你要抄寫和輸入的份量翻倍，卻不會增加任何實質安全性，所以我們維持 12 個。

真正決定強度的是你把助憶詞放在哪裡，而不是它有幾個字。把它存進密碼管理器，其他地方一概不輸入，12 個單字就撐得比我們所有人都久。

簡短回答：能。助憶詞就是鑰匙，持有它的人就能登入，就像拿著你家鑰匙的人就能開你家的門。這是刻意的設計：它是進入你筆記的唯一主鑰匙，前面不會擋著更弱的東西。所以真正的問題不在於持有助憶詞是否等於取得存取權（確實等於），而在於有沒有人猜得中。答案是猜不中：現存的電腦不行，可預見的電腦也不行。

先看看數量級。12 個助憶詞是 2^128 種可能之一：約 3.4 x 10^38 種，寫出來是一個 39 位數。第一次就猜中你那一組的機率是 3.4 x 10^38 分之一，比連續四次抱走中獎率三億分之一的樂透頭獎還要渺茫。把它當成逐一搜尋而不是碰運氣，也無濟於事：就算每秒嘗試 10^18 次（十億的十億倍，遠超過任何真實硬體所能達到的速度，國家級也不例外），要跑完所有組合仍需約 10 兆年，將近目前宇宙年齡的 800 倍。而這還只是幻想版本，因為每一次真實嘗試都得執行一段刻意放慢的金鑰衍生步驟，任何線上攻擊也都必須經過我們的伺服器，實際的猜測速度因此還要再慢上好幾個數量級。這也不是什麼新發明：同樣的 128 位元架構已經守護 Bitcoin 錢包超過十年，從來沒有人猜中過任何一組。

很容易把助憶詞想像成密碼，以為摻進大寫、數字和符號就能加強。復原助憶詞不是這樣運作的，你也永遠不該嘗試自己拼湊或修改。你的裝置會產生 128 位元密碼學等級的安全隨機值，再把它編碼成 12 個單字，全部取自一份固定公開、共 2048 個單字的清單：那份隨機性就是全部的強度所在。最後一個單字還帶有內建的檢查碼，打錯或自創的助憶詞會當場被拒絕。單字順序有影響，大小寫沒有（登入時我們會自動統一），添加符號只會讓助憶詞失效。請一字不差照原樣輸入。

因為這是刻意的取捨，不是疏忽。大家熟悉的那種 2FA（簡訊驗證碼或驗證器應用程式）是為了補強人類自選的弱密碼而存在的，而且仰賴一個放在伺服器上的共享祕密與復原管道。那正是助憶詞模式移除掉的攻擊面：你的裝置透過簽署挑戰值證明自己持有金鑰，所以我們的伺服器只會收到公鑰與簽章，永遠收不到助憶詞，也不存在密碼雜湊。硬要疊一層驗證碼上去，等於把這個設計刻意避開的伺服器端機制又搬回來，對防止猜測卻毫無新增助益，因為 128 位元早已關上那扇門。

在這裡保護你的東西是本機的，而且每個方案都有：應用程式鎖定（PIN 碼）與生物辨識解鎖，會擋在別人撿起的裝置前面。真正值得防的風險是釣魚，以及助憶詞被人從肩後看見，而不是被猜中。所以請把助憶詞存進密碼管理器，除了 app 之外哪裡都不要輸入。

除此之外，助憶詞就是鑰匙，所以請在建立帳號當天就備份：存進信譽良好的密碼管理器，或列印、抄寫下來，把那份副本收在安全的地方。除了應用程式本身，永遠不要把它貼進任何其他地方。

一樣，就是標準的 BIP-39 英文單字清單：2048 個單字，和 Bitcoin 錢包用的一模一樣。我們以 @scure/bip39 產生助憶詞，這是一個經過稽核的開放原始碼函式庫。沒有自訂單字清單，也沒有自製的密碼學。

這份清單是為了手抄而設計的：每個單字的前四個字母都獨一無二，所以就算字跡糊掉或只寫縮寫，仍能明確辨認；外觀相似的單字也被刻意排除在外。

因為用的是標準清單，你可以拿任何公開的 BIP-39 參考資料核對你的助憶詞；我們的加密程式碼也是開放原始碼，你可以親自檢驗實作。

不會。搜尋是對照一份建立並儲存在你裝置上的全文索引執行的。查詢內容從不離開裝置，完全沒有連線時也照樣有結果，你搜尋了什麼從頭到尾都不會被傳送。

這不是一條我們可以悄悄改掉的政策，而是架構使然：伺服器只保存密文，我們這邊沒有任何可讀的內容可供建立索引或搜尋。讀不了你筆記的伺服器，自然也搜尋不了。

不會。應用程式裡沒有任何 AI 功能，背景沒有 AI 處理在執行，也不會拿你的內容訓練模型。筆記在離開你的裝置前就已加密，我們伺服器上沒有任何可讀的內容能餵給任何東西。

如果將來真要推出這個方向的功能，它必須完全在你的裝置上執行，而且嚴格採取自願啟用。把明文筆記送進雲端模型會打破零知識承諾，所以不在考慮之列。

burn note（閱後即焚筆記）是一種自毀式的分享方式，能把筆記分享給不使用 PrivacyNotes 的人。應用程式會用一次性金鑰加密內容，然後給你一條連結。金鑰放在連結的片段（fragment）裡傳遞，而瀏覽器永遠不會把這一段送到伺服器，所以我們的伺服器存的是一份自己讀不了的密文。

連結第一次被開啟時，伺服器交出密文，並在同一個步驟裡刪除它：讀一次，就沒了。沒被開啟的連結會在 24 小時後自行失效。無論哪種情況，都不會留下任何東西。

寄一則焚毀筆記：它會把任何一則筆記變成只能開一次的加密連結，被讀取的當下就銷毀，拿來遞一組密碼、一個地址或一份草稿剛好。若對方要留著，把筆記匯出成 Markdown、HTML 或 PDF，再把檔案寄過去。

兩個人即時共編的筆記會是另一種產品：那意味著伺服器得在人與人之間傳遞金鑰，而讓伺服器碰不到你的金鑰，正是這裡整套設計的核心。一個帳號，就是一個人配一組助憶詞，這也正是「我們讀不到你的筆記」之所以是事實而非政策的原因。

「唯讀」（在筆記選項選單裡，Pro）會鎖住筆記不讓編輯，讓一份完成的文件不會被不小心弄亂；它不隱藏任何內容。「保護」（同一個選單，Pro）則會把筆記的標題與內容藏到你的 PIN 碼或生物辨識解鎖後面，用於那些你不太希望在別人偶爾會看到的螢幕上顯示的東西。

兩者都是為螢幕設的關卡，而不是第二層加密。這些標記本身就存放在筆記的加密資料裡，而筆記刻意不會用你的 PIN 碼重新加密：這樣一來，忘記 PIN 碼永遠不會毀掉資料。真正的邊界始終是助憶詞：請先顧好它，這些關卡則留給旁人偶爾看得見的螢幕。

你永遠不會被鎖在外面。鎖定畫面一律提供備援方案：「以 PIN 碼解鎖」，或「以復原助憶詞登入」。生物辨識是本機的關卡，不是加密金鑰，所以無論走哪一條路，你的筆記都毫髮無傷。

接著修好這道關卡。註冊是各裝置分開的，所以換新手機、開新的瀏覽器設定檔，或重新安裝，都需要重新註冊：「設定 > 安全性 > 生物辨識鎖定」，先停用，再「啟用生物辨識解鎖」一次。它還需要「信任此裝置」（未受信任的工作階段會在分頁關閉時清除），以及具備平台驗證器的硬體（Touch ID、Face ID、Windows Hello）。如果冒出來的是 Bitwarden 或 1Password 之類的密碼管理器，而不是系統提示，把它關掉再試一次，或者關閉它對這個網站的密碼金鑰擷取：應用程式請求的是內建的驗證器，但有些管理器還是會攔截。

是的。網頁版、桌面版與行動版應用程式都公開在 GitHub 上，一併公開的還有把你的筆記變成無法閱讀的加密程式碼，以及說明每個部分各自保護什麼的威脅模型。這就是我們拿來建置每個發行版本的同一份程式碼。

這正是把承諾變成你可以親自查證的東西。加密的部分一次就能讀完；打開瀏覽器的網路分頁，就能看見自己的筆記以無法閱讀的文字送出去；你也可以自己建置這個應用程式，拿來和我們發佈的版本比對。你不需要相信我們說的任何一句話。

請寄信到 privacynotes@lifetimelabs.dev。同一個地址也寫在我們以 PGP 簽署的 security.txt 裡，你可以在寄信前確認它是真的；如果你想加密回報內容，我們的公鑰 就放在旁邊。

我們一定會回覆。若修正需要協調，我們會先和你談好公開的時間，再對外揭露。回報會直接送到寫這段程式碼的人手上，想要署名致謝的人也都會得到。請對 try.privacynotes.app 上的展示版或用完即丟的帳號進行測試，絕對不要拿別人的筆記來試。

如果還有任何一部裝置在登入狀態：可以，你自己就能救回。現在就開啟「設定 > 安全性 > 你的助憶詞」，把它存進密碼管理器。

如果既沒有登入中的裝置、也沒有助憶詞：救不回來，任何人都救不回來。你的助憶詞從未到達我們的伺服器，所以沒有東西可以重設，客服單也無能為力。這不是一條我們可以通融的政策，而是端對端加密的本義。任何在你全部遺失之後仍能還原加密資料的服務，手上都握著你的金鑰。

預防只要十秒鐘：在建立帳號的當天，就把助憶詞存進密碼管理器。如果助憶詞已經不見，而你有付費的儲存空間加購：帳是 Paddle 直接向你收的，沒有助憶詞也能取消，請看變更或取消加購。

你的帳號底層仍有一組 12 個助憶詞，單憑這組助憶詞就能在任何裝置登入，不需要 Google、Apple 或 GitHub。開啟「設定 > 安全性 > 你的助憶詞」，把它存進密碼管理器。

做過這一次，之後就算失去 Google、Apple 或 GitHub 帳號也毫無損失：改用助憶詞登入就行。

把這個保險庫當成已經燒毀。助憶詞無法更改，也無法輪替，因為助憶詞就是一切加密所依據的金鑰；所以解法是搬到一個全新的保險庫。首先，在舊帳號裡把所有東西匯出：「設定 > 匯入與匯出 > 匯出 > PrivacyNotes 備份（.zip）」。

登出，建立一個新的保險庫（全新的 12 個助憶詞），再透過「設定 > 匯入與匯出 > 還原 > 完整備份（.zip）」把匯出的內容帶回來。接著，從任何仍在登入狀態的裝置上刪除舊帳號：「設定 > 帳號 > 刪除帳號與資料…」。這會移除它已同步的資料，也把任何持有舊助憶詞的人擋在門外。如果你是用 Google、Apple 或 GitHub 登入，先刪除舊帳號，再用同一個 Google、Apple 或 GitHub 帳號重新登入，以開始這個全新的保險庫。

有兩件事要先處理：刪除需要先取消使用中的儲存空間加購；另外 Pro 會留在當初購買它的那個帳號，不會跟著搬到新的保險庫。接著把新的助憶詞存進密碼管理器，其他地方一概不放，預防就是這麼一件事。

在任何已登入的裝置上，開啟「設定 > 帳號 > 已註冊裝置」，然後移除遺失的那一部。那部裝置下次上線時就會被登出，本機資料也會被抹除，通常在它下次被使用後約一分鐘內完成。它會在「最近移除」中列出 72 小時，讓你確認它真的離開了。

請在所有可攜裝置上開啟應用程式鎖定（PIN 碼或生物辨識），並讓作業系統的螢幕鎖定保持開啟。裝置會在下次連線時清空，所以在那之前，擋在遺失的手機與你的筆記之間的正是這些本機關卡。真正的鑰匙是助憶詞：任何持有你那 12 個助憶詞的人都能再次登入。如果你懷疑是助憶詞本身外洩了，請改走助憶詞外洩自救指南。

什麼都不會遺失，你可以用復原助憶詞自己清除 PIN 碼。PIN 碼是畫面上的鎖，不是加密金鑰：你的筆記是用助憶詞衍生的金鑰加密的，所以開啟筆記的是助憶詞。若把加密綁在四位數字上，忘記 PIN 碼就等於毀掉資料。這裡永遠不會這樣。

只要應用程式要求 PIN 碼，就選 忘記 PIN 碼？ 並輸入你的 12 個字。鎖定畫面、受保護的筆記，以及 設定 > 安全性 > PIN 碼 都有。PIN 碼會在所有裝置上清除，你可以馬上設定新的。生物辨識解鎖不受影響。

在應用程式裡：「設定 > 帳號」，然後選「刪除帳號與資料」。這會把你已同步的筆記、檔案、裝置、設定，連同帳號本身，從伺服器上永久移除。沒有保留期，事後也沒有任何我們能拿來還原的備份，所以想保留的內容請先匯出（設定 > 匯入與匯出）。

兩個細節：刪除前必須先取消使用中的儲存空間訂閱（已排定取消的不會擋住流程）；另外，助憶詞帳號從頭到尾都沒有電子郵件或姓名，所以也不存在需要清除的個人檔案或行銷名單。抹除單一裝置上的本機資料是另一個獨立動作，不會動到你的帳號。

在你已經在用的裝置上開啟設定 > 安全性 > 你的助憶詞。那裡有你的 12 個字，還有一組登入用的 QR 碼。在新裝置上選「助憶詞登入」，然後用相機掃描那組 QR 碼、上傳它的照片，或直接把字打進去。你的筆記幾秒內就會到。

免費帳號涵蓋 2 台裝置，Pro 想要幾台都行，而同一台電腦上的兩個瀏覽器只算一台裝置。請把 QR 碼當成它承載的助憶詞本身：別給任何人看，也別讓它落進會同步到別人雲端的相簿裡。

所有你想得到的內容都會同步，而且一律先在你的裝置上加密：筆記、任務、日誌記事、保險庫，以及裡面的加密檔案。你的設定也會跟著你走：最愛標籤、排序與檢視偏好、佈景主題、你的 PIN 碼（以加鹽雜湊的形式，絕不是 PIN 碼本身）、應用程式鎖定、追蹤項目與用藥設定，還有垃圾桶自動刪除。設定一次，每部裝置都會跟上。

有幾樣東西刻意留在各裝置本機：淺色或深色模式（每部裝置各自跟隨系統偏好）、生物辨識解鎖（綁定各裝置的硬體），以及解鎖狀態（關閉應用程式就一定重新上鎖）。伺服器儲存的永遠只有加密資料塊，而且一個字也讀不到。

可以。這個應用程式是本機優先：筆記存放在你裝置上的資料庫裡，閱讀、書寫與搜尋在沒有連線時全都能用。恢復連線後，變更會自動同步。

可以。開啟設定 > ID & Sync，按下「暫停同步」。那台裝置就不再送任何東西到伺服器：筆記、設定、檔案都一樣。你照樣像以前那樣寫，內容都堆在本機，等你恢復的那一刻全部一起上傳。

這個暫停只屬於那台裝置。它不會跑到你其他裝置上，也永遠不會自己解除，因為一個說著「這台裝置不跟任何人說話」的開關，除了你以外不該被任何東西打開。有一件事是刻意繼續跑的：那個讓被移除的裝置知道自己被移除的小心跳。遺失的裝置之所以還是會清空自己，靠的就是它。

在 Android 可以。開啟設定 > ID & Sync，打開「僅在 Wi-Fi 下傳檔案」。因為文字很小，你的筆記在任何連線下都會繼續同步。等待的只有圖片和附件，而且 Wi-Fi 一回來它們就上傳，不必等下一次重試。

這個開關落在 Android，因為 Android 是唯一能從 app 畫面可靠分辨 Wi-Fi 與行動網路的平台，而一個靠猜的開關比沒有開關更糟。在別的平台上用計量連線時，"暫停同步" 用更粗的手法做同一件事，而且到哪裡都管用。

不會有任何內容被悄悄覆寫。如果兩部裝置在彼此分離期間（例如其中一部離線）都改了同一篇筆記，重新同步時應用程式會偵測到衝突，並顯示衝突對話框：保留此裝置上的版本、保留另一部裝置的版本，或兩個都保留為個別筆記。

日常使用中你很少會看到它。連線時編輯幾秒內就會同步，只有同一篇筆記的兩個版本真的分岔了，對話框才會出現。

「設定 > 帳號」列出每一部已註冊的裝置。移除要淘汰的那一部：名額會立即釋出（在免費的 2 部裝置方案上特別有用），被移除的裝置下次嘗試同步時就會被登出。它會在「最近移除」中顯示 72 小時，讓你確認它真的離開了。

移除會釋出名額並把那台裝置登出；真正決定存取權的是助憶詞。任何持有你那 12 個助憶詞的人都能再次登入，所以裝置遺失或被偷時，請先保護助憶詞，並讓應用程式鎖定（PIN 碼或生物辨識）保持開啟。讓撿到裝置的人無門可入的，正是它。

免費帳號最多可在 2 部裝置上同步，當第三部想註冊時，就會跳出這個對話框。直接在對話框裡移除你不再使用的裝置，或在既有的裝置上到「設定 > 帳號」處理（裝置移除的運作方式）。名額會立即釋出，被移除的裝置會在「最近移除」中顯示 72 小時。Pro 則完全解除這項上限。

同一台電腦上的多個瀏覽器只算一台裝置：裝置是用一種保護隱私的方式分組的，也就是對粗略的機器訊號取雜湊，並在你的裝置上用一組各帳號專屬的祕密計算而成。瀏覽器的重大更新，或像 Brave、Tor 這類會把那些訊號隨機化的強化型瀏覽器，都可能讓同一台機器被分到一個新名額。移除那筆過時的記錄，繼續用就是了。你永遠不會被鎖在外面。

任何內容都不會被刪除。當新的變更再也塞不下時，同步會直說：「儲存空間已滿，部分筆記無法同步。」既有的資料會繼續同步，新增的部分則不會。如果你持續超出上限，一段 90 天的倒數就會開始，並以琥珀色橫幅顯示。閱讀、把東西改小、刪除與匯出，在這整段期間全都照常運作。

超出上限滿 90 天後，同步就會暫停：橫幅轉為紅色（「同步已暫停。你超出儲存空間上限已達 90 天以上。」）。應用程式在每部裝置上仍然完整運作，變更只是先留在本機，直到你回到上限以內。恢復是即時且自助的：釋出空間（清空垃圾桶也算），或到「設定 > 儲存空間」加購儲存空間，同步就會自行恢復。這是刻意與那些會自動刪除超量資料的服務反其道而行。

首先在你的裝置上，你實際使用的就是那份副本；應用程式是本機優先，所以筆記離線也能開啟和編輯。同步副本存放在瑞士蘇黎世的伺服器。那裡放的是你的公開金鑰、筆記與檔案與設定的加密資料塊，以及同步所需的時間戳記和大小。沒有標題，沒有內文，沒有標籤。

國家不如加密重要。所有內容在離開裝置前就已在裝置上加密，所以那份副本不管放在哪裡都讀不出來：瑞士是加分項，不是那個承諾。哪些內容會同步逐項列出了細節。

你裝置上的那份副本也有加密。解鎖時會從你的復原助憶詞導出一把金鑰，筆記就用它封存在磁碟上，所以被複製的瀏覽器設定檔、儲存空間傾印或遭竊的備份，帶走的是密文而不是你的筆記。

每個安裝各有一個資料夾，放在你帳號的 app 資料區裡。確切位置看平台：

• macOS：~/Library/WebKit/app.privacynotes/WebsiteData/
• Windows：%LOCALAPPDATA%\app.privacynotes
• Linux：~/.local/share/app.privacynotes，AppImage 則是 app.privacynotes.appimage，因為它自帶網頁引擎，所以也自帶一份設定檔
• Android、iOS：app 的私有儲存空間，其他 app 打不開
• 瀏覽器：use.privacynotes.app 底下的瀏覽器設定檔

放在那裡的是密文。每則筆記都是一個封存的區塊，標題、內文和標籤都在裡面，解鎖時用從復原助憶詞導出的金鑰打開。留在明文的只有本機索引需要的東西：ID、時間戳，還有我的最愛或已刪除這類標記。

要把筆記搬到別的裝置，或自己留一份，就到設定 > 匯入與匯出 > 匯出選「加密完整備份（.pnbackupz）」。它包含所有東西，用你的助憶詞金鑰加密，只要有助憶詞，在任何裝置上都還原得回來。更多備份說明

隨時都能匯出全部內容，而且完全在你的裝置上產生：附帶附件的 Markdown 壓縮檔（zip）、完整的 JSON 備份，或獨立完整的 HTML，可以逐篇匯出，也可以整個帳號一次匯出。保險庫項目有自己的出口，「保險庫匯出（.json）」會寫成 Bitwarden 的格式，把你的使用者名稱、密碼、網址、卡片資料和 2FA 金鑰帶進 Bitwarden、1Password 或 KeePass。

這些全都在「設定 > 匯入與匯出 > 匯出」裡。匯入也是同一套，可以從 Obsidian、Evernote、Apple Notes、Standard Notes、Bitwarden 等等搬過來：完整清單在從其他應用程式搬進來。把你綁死不是我們的商業模式。

可以。在筆記上按右鍵，或打開它的分享選單，選「列印／另存為 PDF」。系統的列印視窗會開啟，你可以送到印表機，或從那裡存成 PDF。不論你在 app 裡用哪個主題，頁面都會乾淨地排在白底上，排版原樣保留。

它跟其他匯出一樣是在你的裝置上產生的，所以不會為了做它上傳任何東西。要一次處理多則筆記，把它們選起來匯出成 HTML：每則筆記會得到一頁可列印的頁面。統計裡的「醫師 PDF」是為此另外做的健康報告，需要 Pro。

到「設定 > 匯入與匯出 > 匯出」匯出「加密完整備份（.pnbackupz）」。它會用你的助憶詞金鑰加密所有東西：筆記、日誌、保險庫項目、任務、圖片、音訊和檔案，所以放在雲端硬碟或隨身碟都安全，而且只要有助憶詞，在任何裝置上都還原得回來。

它用當初建立它的助憶詞開啟，所以請在旁邊再留一份「PrivacyNotes 備份（.zip）」，以防你哪天換用新的助憶詞：內容一樣，還原得進任何保險庫，而且在磁碟上是可讀的，所以請放在你信任的地方。「加密備份（.pnbackup）」收的是文字與中繼資料，而不是圖片與檔案；「文字備份（.json）」和 HTML 封存則是為了可攜性而非還原而設計的格式。

既然所有東西都會同步，為什麼還要留本機備份？因為同步不是備份：它會忠實地把刪除也一併傳播出去，包括一台被入侵的伺服器丟棄資料、而你的裝置隨後照著同步。放在你自己磁碟上的副本，是唯一一份任何伺服器事件都碰不到的。在大量匯入之前、離開之前，以及照著一個你維持得了的節奏，做匯出。

打開設定 > 匯入與匯出 > 還原，選你手上的格式。「完整備份（.zip）」會帶回整份匯出：筆記、日記、保險庫項目、待辦、圖片、音訊和檔案。「加密備份（.pnbackup、.pnbackupz）」兩種加密匯出都收。檔案是在你的裝置上讀取和解密的，而且所有方案都能免費還原。

所有東西都會以新項目的形式進來，已經有的不會被覆蓋，所以同一個檔案還原兩次，每則筆記就會有兩份。兩種加密格式都只能在建立它們的那個帳號裡打開，因為它們是用該帳號的助憶詞金鑰加密的；.zip 則進得了任何保險庫（該做哪種備份）。

網頁版把你的筆記放在瀏覽器自己的儲存空間，所以清除 PrivacyNotes 的網站資料會抹掉本機副本並把你登出。已經同步過的一切都安全：用你的 12 字助憶詞登入，它就回來了。還沒同步的則會消失，因為我們從來沒有那份副本。

所以請做兩件事。清除任何東西之前，先確認頁尾寫著「已同步」；還有把助憶詞放進密碼管理員，因為被清空的瀏覽器不會客氣地再問你一次。桌面版和行動版完全不受影響：它們有自己的儲存空間，瀏覽器的清理永遠碰不到。

不會。Android 版應用程式會把自己的資料排除在手機的雲端備份之外，所以沒有任何一份會進到 Google 雲端硬碟。原因是金鑰，不是筆記：在你選了信任此裝置的機器上，你的 12 個助憶詞會留在那台裝置上，讓你保持登入，而端對端加密帳號的金鑰，不該放進雲端備份。

所以新手機是從空的開始：裝上應用程式，用你的 12 個助憶詞登入，同步過的東西就會回來。從沒同步過的只活在舊手機上，所以先確認頁尾寫著「已同步」，或是從「設定 > 匯入與匯出 > 匯出」帶一份「PrivacyNotes 備份（.zip）」過去（該做哪種備份）。

初次設定時的手機對手機直接轉移是另一回事：有些手機在那時會把應用程式資料搬過去，而 Android 沒有給應用程式可靠的拒絕方式。那份複本不會離開你自己的兩台裝置，所以搬完之後把舊手機清空。

所有你同步的東西，都以加密後的大小計算：筆記文字、圖片、音訊錄音與檔案附件。「設定 > 儲存空間」下方的橫條顯示總量；每篇筆記各自的佔用量則列在它的筆記選項裡，標為「使用空間」。丟進垃圾桶的筆記，在垃圾桶清空前仍然會計入。

想快速釋出空間，開啟「檔案」，按「大小」排序，然後刪掉最大的那些項目：幾乎每個帳號裡，附件的體積都遠遠壓過文字。接著清空垃圾桶：「垃圾桶」檢視會顯示「清空」能釋出多少空間。光是文字幾乎永遠不會塞爆額度；就連免費的 50 MB，也裝得下好幾萬篇純文字筆記。

你的空間其實已經釋出了。刪除同步出去的那一刻，那些位元組就不再算進你的配額，伺服器和這台裝置都一樣。如果進度條還顯示舊數字，按旁邊的重新整理圖示：它會從伺服器重新計算，並排除所有已經排入刪除佇列的東西。離線過的裝置會一直顯示自己最後那次的計算，直到它追上進度。

app 裡說的「幾天」講的是那個加密檔案本身，不是你的配額，而且這段等待是刻意的。從儲存空間裡刪掉一個檔案是不可逆的，沒有垃圾桶能把它撈回來。還沒同步完的裝置對你的筆記只有不完整的認識，可能會刪掉另一則筆記還在顯示的圖片。所以檔案至少會等 24 小時，而且只有完成一次乾淨同步的裝置才會真的移除它。這份耐心不花你任何東西，因為空間在你刪除的那天就已經還給你了。

會。兩個設定預設都是開啟的，因為我們珍惜我們的使用者：我們希望你省下儲存空間，也守住你的隱私。節省空間會把大圖縮到 2048 像素以內，並以 85% 品質存成 JPEG，螢幕能顯示的細節都保留下來。移除位置資料會在儲存圖片之前，清掉相機寫進照片裡的 EXIF 中繼資料，包括 GPS 位置。兩者都套用到 app 裡的每一張圖片：貼進筆記的、加成檔案的、匯入的都一樣。

兩者都可以在 設定 > 圖片 關閉，那裡還有第三個開關，會把聯絡人照片維持在 512 像素。設定只影響新的圖片；不是圖片的檔案會原封不動地儲存。HEIC 和 TIFF 圖片會轉成 JPEG，因為只有 Safari 顯示得出來。你還原的備份會逐位元組寫回。

任何檔案類型都可以：圖片、PDF、音訊、壓縮檔，丟什麼都行。每個檔案上傳前都會在你的裝置上加密，和筆記文字完全一樣；「檔案」檢視則把所有附件集中在同一個地方。

單檔上限在免費方案是 5 MB，Pro 是 50 MB。檔案會計入你的同步儲存空間總量（免費 50 MB，Pro 500 MB，透過儲存空間加購最多可擴充到 5.5 GB）；「設定 > 儲存空間」裡的儲存空間橫條隨時顯示你的使用狀況。

錯誤訊息會告訴你撞到的是哪一道上限。單檔方面：免費 5 MB、Pro 50 MB、任何儲存空間加購則是 100 MB。總量方面：所有你同步的東西都必須裝進你帳號的儲存空間（免費 50 MB、Pro 500 MB，加購後更多），所以額度滿了，就算檔案很小，上傳一樣會失敗。任何檔案類型都接受。

查看「檔案」檢視裡，或「設定 > 儲存空間」下的儲存空間橫條，然後挑最划算的解法：釋出空間、升級，或把檔案縮小（手機照片原檔往往好幾 MB，壓縮過的 JPEG 只是其中的一小部分）。上傳也需要連線：離線時檔案不會排隊等候。

垃圾桶不是封存區：預設情況下，裡面的東西會在 30 天後被永久刪除。開關就在「垃圾桶」檢視本身，標示為「30 天後自動刪除」；如果你想永遠保留垃圾桶內容，就在那裡把它關掉，這項設定會同步到你所有的裝置。清理是在應用程式開啟時、於你的裝置上執行的，因為伺服器看不出哪些加密筆記被丟進了垃圾桶。

永久刪除就是真的消失：沒有伺服器副本，也沒有還原的途徑。如果你把垃圾桶當成「說不定哪天會用到」的堆放區，請在第 30 天之前關閉自動刪除，或還原筆記。在那之前，丟進垃圾桶的筆記仍然會計入你的儲存空間；同一個檢視裡的「清空」會立即釋出那些空間。

可以，需要 Pro。打開筆記的「...」選單選「筆記歷史」，就能瀏覽並還原最多 20 個先前的版本。還原不會弄丟東西：目前的內文會先存成一個版本，所以你可以來回切換。版本跟筆記本身一樣是加密的，我們同樣讀不到。

快照最多一分鐘拍一次，所以相隔幾秒的兩次編輯會共用同一個版本。筆記歷史是唯一經過伺服器的 Pro 功能，因此示範版改為保留自己的本機副本。每個方案另外都有垃圾桶，會把刪掉的筆記留 30 天。

保險庫是專門存放結構化機密的區域：帶使用者名稱與密碼的登入資訊、信用卡與簽帳金融卡，還有 SSH 金鑰。項目有正式的欄位而不是自由文字，登入資訊會顯示網站圖示，而且一切都和你其他的資料一樣端對端加密。

那些原本散落在各篇筆記裡的少數憑證，在這裡有了整齊又受保護的家。再搭配應用程式鎖定與 PIN 碼保護，就能為最敏感的項目多設一道關卡。Bitwarden 匯入的內容會自動歸到這裡。

可以。保險庫的登入項目有一個「2FA 驗證碼」欄位，接受 base32 密鑰，也接受整條 otpauth:// 連結，而從 Bitwarden 匯入時既有的金鑰也會一起過來。金鑰在每個方案都會加密儲存並同步，免費方案也包含在內。Pro 會把它變成帶倒數的即時輪替驗證碼，你就不必在旁邊再開第二個 app。

把密碼和它的一次性驗證碼放在同一個保險庫裡，等於一台解鎖的裝置同時握有兩個要素，這跟每一款內建驗證碼的密碼管理員做的取捨完全一樣。對多數帳號來說便利會勝出，尤其前面還有 app 鎖或 PIN 的時候。如果電子郵件或銀行你寧可把兩個要素分開，就把那些驗證碼放到別處，其餘的交給保險庫。

想寫多少就寫多少，一般筆記根本不會遇到大小問題。當單篇筆記變得非常大，筆記下方會出現一則小提示，並分三個階段升級：大約 50,000 字時，它提醒筆記越來越長，在較慢的裝置上可能會卡頓；大約 75,000 字時轉為琥珀色，表示編輯可能開始不順；大約 100,000 字時會建議拆分筆記，因為已接近同步上限。這些只是指引，不是硬性限制，不會阻止你繼續寫。

那個同步上限是唯一真正的天花板。單篇筆記加密後最多可容納約 1 MB 的文字，粗略換算是一般英文約 120,000 個單字，用非拉丁文字書寫或格式很多時會更少。超過上限的筆記仍能運作，也安全地留在你當初書寫的裝置上，但那一篇不會再同步到其他裝置（你會看到「同步失敗」的通知）。其餘筆記不受影響：一篇過大的筆記永遠不會擋住其他任何東西。

解法很簡單：把特別長的筆記拆成幾篇小的。內容一樣，同步順暢，編輯器也保持流暢。每篇筆記下方的即時字數統計讓你隨時掌握大小。

先匯出，再刪除，兩者都是自助的。「設定 > 匯入與匯出 > 匯出」涵蓋了每一條離開的路：「PrivacyNotes 備份（.zip）」給你一份完整的副本，可攜的 Markdown 與 HTML 給你的下一個筆記應用程式，而 Bitwarden 相容格式的「保險庫匯出（.json）」則給你的下一個密碼管理器。匯出都在你的裝置上產生。

接著到「設定 > 帳號 > 刪除帳號與資料…」：輸入 DELETE，你已同步的筆記、檔案、裝置、設定，連同帳號本身，就會被永久移除，沒有任何保留期（詳情）。使用中的儲存空間加購必須先到「設定 > 儲存空間」取消。只用助憶詞的帳號不會留下任何需要清除的東西，因為我們從來就不知道你是誰。沒有誘導性設計，也沒有挽回信：你的資料是你的，就連在離開的路上也一樣。

主要是靠盡量少握有東西。用助憶詞註冊，檔案上就沒有姓名、電子郵件或身分可供索取：你的資料是一組隨機公鑰底下的密文，存放在瑞士蘇黎世。用 Google、Apple 或 GitHub 登入，則剛好存在一個識別資訊：那組登入分享的電子郵件，並與那把金鑰相連。Pro 的帳務細節留在登記商家（merchant of record）Paddle 那裡，不在我們手上。

每一項權利都是自助且即時的，不需要填任何申請表：查閱與可攜性是「設定 > 匯入與匯出」（以開放格式完整匯出），刪除是「設定 > 帳號 > 刪除帳號與資料…」且沒有保留期，更正則是編輯你的筆記。正式版本，包括任何應用程式本身做不到的事該如何聯絡我們，都寫在隱私政策裡。

會，而且這跟廣告有關。我們在其他網站購買版位，也付費給創作者，所以需要知道哪些真的帶得來人。浪費掉的廣告費終究還是由產品承擔，因此我們只用能回答這個問題的最小方式來衡量。

行銷網站只以總數計算造訪次數，以及你是從哪個連結來的：沒有 Cookie、沒有訪客記錄、沒有第三方指令碼。如果你建立帳戶，帳戶會從一份公開清單中儲存兩個短字：你是從哪個連結來的（如果有的話），以及你是怎麼安裝這個應用程式的，例如「android-play」。

這兩個字都只在建立帳戶時寫入一次，之後不會更新，並且會隨帳戶一起刪除。關於你的來訪，我們不會保留其他任何東西。如果你在註冊前關掉分頁，或是瀏覽器把連結去掉了，我們就完全不會記錄。應用程式本身不會衡量任何關於你的事：打開網路分頁看看就知道。

你不會失去任何東西。因為應用程式是本機優先，完整的資料集本來就在你的裝置上；匯出成 Markdown、JSON 或 HTML 也完全可以離線進行。

加密程式碼同樣是開放原始碼，就算哪天我們的伺服器一夜消失，這個格式依然能被獨立解讀。

免費版就是完整產品，不是試吃品：端對端加密的筆記、任務、日誌與保險庫、離線使用、匯入與匯出，最多可在 2 部裝置上使用，附 50 MB 同步儲存空間。

Pro 是一次買斷，加上無上限裝置、500 MB 同步儲存空間（可擴充）、筆記歷史、更大的檔案附件、筆記鎖定與 PIN 碼保護、進階健康追蹤、Zen 模式，以及全部佈景主題。

因為這個服務刻意做得非常便宜就能營運。應用程式是本機優先，筆記是小小的加密資料塊，伺服器做的幾乎只有儲存它們，並在你的裝置之間轉送。沒有分析管線，沒有燒運算資源的 AI 功能，也沒有客服部門。

唯一會隨時間成長的成本是儲存空間，定價也對應這一點：超出內含 500 MB 的部分，是小額的年費加購。一次性的成本收一次錢，經常性的成本按期收。這套模式只需要自給自足，而它確實做得到。

能。Pro 綁的是你的帳號，不是裝置、平台或商店。買一次，之後在任何地方用同一組助憶詞（或同一個 Google、Apple 或 GitHub 帳號）登入，Pro 就會在那裡生效。

連還不存在的平台也算：新的應用程式推出時，你既有的 Pro 會直接跟過去，不另外收費。

答案是兩個帳號，開第二個不用花錢：各自都能免費拿到 2 台裝置和 50 MB。一個帳號就是一組 12 字助憶詞，而握有那組助憶詞的人就握有裡面的一切：每一則筆記、每一筆保險庫項目，在每一台裝置上。讓每個人擁有自己私密筆記的，正是分開的帳號。Pro 是按帳號購買的。

若只是要交出某一樣東西，就寄一則焚毀筆記，而不是給出助憶詞。若共用的家庭帳號真的就是你要的，那也行得通：把助憶詞放在密碼管理員的共用項目裡，並把任何曾經拿過它的人，都當成已經看過裡面的一切。

你可以在工作上用，很多人也這麼做。它從設計上就是一個人的工具：自己的帳號、自己的助憶詞、自己買的 Pro，團隊裡的每個人各自保管自己的金鑰。沒有共用工作區、沒有管理後台，也沒有集中帳單。

在把它定為標準之前，先把這一點秤一秤。零知識加密意味著筆記屬於寫下它的人，這正是記者、律師或做顧問的人想要的；也正因如此，需要金鑰託管或稽核紀錄的組織，會把那些放在專為此打造的系統上。對一個人執業的專業人士來說，這是最強的位置：沒有人讀得到的東西，也沒有人會被迫交出來。

先等一分鐘，然後重新載入應用程式。結帳後應用程式會輪詢約 20 秒並自行解鎖，而重新載入會在啟動時重新檢查 Pro 狀態。如果款項已經入帳、開通卻慢了半拍，就會出現橫幅寫著「已收到款項，但 Pro 開通比平常慢」，這個狀態幾乎在所有情況下都會自行化解。在商店版本裡，驗證失敗的購買會在你重新啟動應用程式時重試，而始終無法開通的購買，商店會在 3 天內自動退款。

還是鎖著？這幾乎永遠是帳號不符：Pro 附著在購買當下登入的那個帳號上，所以換一組助憶詞，或用 Google、Apple 或 GitHub 登入而不是你的助憶詞保險庫，都是不同的帳號。在當初購買的那部裝置上，比對「設定 > ID & Sync」裡的帳號 ID。如果真的卡住了，請回報，並附上那組帳號 ID：它能辨識這筆購買，卻不會透露你筆記的任何內容。

Pro 內含 500 MB 加密同步儲存空間。需要更多的話，加購方案往上疊：1 GB 每年 $4.80、2 GB $8.40、5 GB $18，總量最高 5.5 GB。加購是整個產品裡唯一的經常性消費，因為儲存空間是唯一一項你每多用一個月、我們就要多付一個月錢的東西。

一切都在「設定 > 儲存空間」裡管理：換成更大的方案（只需按比例支付差額），或隨時取消，已付費期間結束前空間都還是你的。無論如何，Pro 本身永遠屬於你。

「設定 > 儲存空間」就是控制面板。升級到更大的方案會立即生效，而在你確定之前，確認畫面會顯示今天實際按比例收取的金額；續約日期不會變動。「取消儲存空間」會讓你多出來的空間保留到你已經付費的期間結束為止。想換成較小的方案，就先取消目前這個，等期間結束後再購買小的。

如果到期後你的資料仍裝得進剩下的上限，那就到此為止；如果裝不下，任何東西都不會被刪除，而是進入 90 天超額處理流程。續約失敗會顯示一個帶「更新卡片」連結的橫幅，讓你到 Paddle 修正付款。

從應用程式外面取消也行，這就是你登不進去時的答案。Paddle 是我們的登記商家，直接向你收費：用收據信裡的「管理訂閱」連結，或是 paddle.net 的客服對話。商店版本也是同樣的道理，所以要到那家商店自己的訂閱設定裡取消。

會。Pro 和儲存空間附著在你的帳號上，不是平台或商店。在網頁版購買，你登入的每一個應用程式都是 Pro，包括商店版本；在商店版本裡購買，網頁版與桌面版也以同樣的方式解鎖。登入本身就是還原，因為權益跟著帳號走。商店版本另外在「設定 > 方案」裡有一個還原購買項目按鈕，會向 Apple 或 Google 詢問你擁有什麼，重新安裝後再次解鎖。

唯一的差別在於由誰向你收費。網頁版的購買透過 Paddle 進行，並在應用程式的「設定 > 儲存空間」裡管理。在商店版本裡進行的購買（App Store 現在，Google Play 要等該應用程式推出後）則由該商店收費：經常性的儲存空間在商店的訂閱設定裡取消，退款也依照商店的流程。無論哪一種，都是同一個帳號、到處都是同樣的 Pro，連還不存在的平台也算。

30 天內，不問理由。如果 Pro 不適合你，在購買後 30 天內申請即可全額退款，款項退回原付款方式。歐盟顧客另外保有法定的 14 天撤回權。

付款是由我們的登記商家（merchant of record）Paddle 處理的，所以退款也由 Paddle 直接受理：回覆你的購買收據電子郵件，或前往 paddle.net。完整政策請見服務條款。

比你想的少。結帳流程經由登記商家（merchant of record）Paddle 進行：你的姓名、卡號與帳單地址會交給 Paddle 處理付款與稅務，完全不會經過我們的伺服器。

送到我們手上的，是一則確認你帳號的公鑰已成為 Pro 的通知，外加訂單金額。帳務關係，包括你在結帳時填的收據電子郵件，都留在 Paddle 那裡。因此即使成了付費顧客，只用助憶詞的帳號對我們來說仍是化名的：我們知道你付了款，但不知道你是誰。

可以，用兩個常見工具就行。收據方面，使用電子郵件別名：Apple 的「隱藏我的電子郵件」、DuckDuckGo Email Protection、SimpleLogin、Firefox Relay 或 addy.io 都能轉寄到你真正的收件匣而不暴露它。付款方面，使用遮罩卡：美國的 privacy.com 能產生虛擬卡，填什麼名字都能用；其他地區許多銀行與服務（例如 Revolut）也提供做同樣事情的一次性虛擬卡。

結帳時，Paddle 會要求電子郵件、付款方式和國家（部分地區再加郵遞區號）來計算稅額。別名收收據，遮罩卡掛的是你隨意填的名字，稅務地點只能把你縮小到一個地區，僅此而已。不過別名要維持有效：收據信箱是你的購買證明，也是退款的聯絡管道。

再搭配助憶詞帳號，就沒有任何一方握有全貌：你的銀行看到一筆儲值，Paddle 看到一個別名和一張遮罩卡，而我們只看到某個公鑰變成了 Pro。

有網頁版、macOS、Windows、Linux、iOS 和 Android。每個應用程式都出自同一套核心、採用同樣的端對端加密，並透過同一個帳號同步。下載區隨時提供最新版本。

原生應用程式需要 macOS 13 以上、Windows 10 以上、iOS 15 以上、Android 7.0 以上，或是具備 webkit2gtk 4.1 的 Linux 發行版（Ubuntu 22.04 以上、Debian 12 以上或同等版本）。低於這些版本就無法安裝或啟動，請改用網頁版。

網頁版是正規成員，不是備胎：它在本機保留你資料的完整副本，離線也能運作，所以任何現代瀏覽器永遠是一條進得去的路。

我們釋出的每一個組建都有簽章，而你的作業系統在執行任何東西之前都會檢查那個簽章。macOS 組建由 Apple 簽章並公證。Windows 安裝檔帶著 Authenticode 簽章，你可以在內容 > 數位簽章裡讀到。Android 的 APK 用我們自己的金鑰簽章，所以 Android 會拒絕任何不是來自我們的更新。iPhone 和 iPad 版由 Apple 簽章，也只能透過 App Store 安裝。桌面版 app 同樣會擋掉沒有用我們金鑰簽章的更新。

只從 PrivacyNotes.app，或從列有每個版本的 GitHub 發行頁下載。真正算數的檢查是簽章，而且由你的系統代勞：簽章是拿一把根本不在我們網站上的金鑰去核對的，所以被換掉的檔案過不了那一關，不管旁邊的網頁寫了什麼。

常常只要幾天。小的需求和 bug 回報通常會進到下一個版本，而我們幾乎每週都發佈新版本，而不是一年幾次。Changelog 就是證據：每一則都有日期，用白話寫成，說明改了什麼。讀一個月份的內容，你就會清楚知道在把任何東西交給這個 App 之前，可以對我們有什麼期待。

這個速度來自工作的分配方式。加密核心、同步協定和登入流程，早在 App 還沒有名字之前，就是由人在正職之餘寫出來的，而密碼學核心至今仍是這樣維護；任何自動化的東西都碰不到它。那個基礎在 2026 年春天穩固之後，我們才在固定的規範下開始使用 AI 寫程式工具：先是翻譯，接著是說明文章，然後是介面功能和非關鍵的 bug 修正，它們擅長揪出原本要花上好幾週的罕見邊角案例，也擅長寫出讓多位開發者遵守同一套標準的測試腳本。所以就算只有一個人提的需求，也值得做，而不是排在清單最上面那幾項後面等。

凡是碰到加密、同步或登入的部分，都留在經驗豐富的人手裡，每一行都在發佈前讀過，而且那些程式碼是公開的，你可以自己讀，不必只是相信我們。關於團隊和我們的工作方式，關於我們頁面有更多說明。

App 本身沒有任何 AI 功能，也絕不會把你的筆記送到任何地方（詳情）。這個承諾獨立成立，而且不會改變。

用 Obtainium 安裝就會。Obtainium 會讀取我們的發行版本，並在每個新版本推出時提供給你，我們在 Android 上推薦這條路正是為此。直接從我們網站取得的 APK 則是由你說了算才更新，因為 Android 只會自動更新來自商店的應用程式。

網站版 APK 改以通知你的方式處理。應用程式會檢查是否有更新的版本，並顯示「有可用更新」提示與「下載」按鈕。點下載，再開啟下載好的檔案，直接覆蓋舊版本安裝，你的筆記與設定都不受影響。這項檢查只詢問是否存在更新的版本，從不碰你的筆記，筆記全程保持加密。

Obtainium 是一款免費的開源 Android 應用程式，直接從各應用程式的發行頁面安裝它們。它是唯一能自行保持最新的途徑，因此現在是我們建議在 Android 上安裝 PrivacyNotes 的方式。已經有了嗎?點一下徽章，它就會幫你加入 PrivacyNotes。

還沒有嗎?先安裝 Obtainium，新增一個應用程式，然後貼上這段網址：

Obtainium 會讀取我們的發行版本，挑出 APK，並在每個新版本推出時安裝。全程都不需要 Google 帳號。

Obtainium 不是我們的應用程式，而且 Android 仍會要求你確認每一次安裝，所以更新是一則通知加上一次點按，不會無聲進行。它給你的 APK 與我們下載頁面提供的是同一個組建，以同一把金鑰簽署，所以如果你先前已自行側載安裝，Obtainium 會直接接手那個安裝：不必解除安裝，也不必重新登入。少了它，應用程式只能在程式內告訴你有新版本可用。

想讓應用程式自行保持最新，就選 Obtainium；不想為此多跑一個應用程式，就選直接下載的 APK。Google Play 尚未上線，所以今天要挑的就是這兩者。兩者給你的是同一個檔案，以同一把金鑰簽署，因此你隨時可以雙向切換：Obtainium 會接手你先前側載的 APK，網站版 APK 也能覆蓋 Obtainium 安裝的版本。

之後想改主意也不麻煩。任何必須先解除安裝的切換，動手前請先確認應用程式顯示「已同步」，並備妥你的 12 個單字或另一台裝置的登入 QR code，因為解除安裝會清掉本機那一份。

英文、德文、法文、義大利文、西班牙文、荷蘭文、波蘭文、捷克文、加泰隆尼亞文、土耳其文、瑞典文、日文、韓文、繁體中文、阿拉伯文，以及歐洲與巴西兩種變體的葡萄牙文。應用程式預設跟隨系統語言，也可以在各裝置的「設定 > 語言」裡明確指定一種。

翻譯對所有人免費，不是 Pro 專屬福利。更多語言已在規劃中；如果還沒有你的語言，請到 GitHub 或 Reddit 告訴我們。

英文是我們自己寫的，其他語言則由機器依照專為該語言撰寫的風格指南翻譯：合適的語氣、每個介面用語的正確譯法，以及每個版本都會跑的自動檢查，確保沒有漏掉的文字，也沒有整段留著英文。翻譯每個方案都有，從來不是 Pro 才有的加值。

任何一種語言你都能幫忙改得更好。如果某個句子在你的語言裡讀起來彆扭，請回報翻譯：你的語言、出現的畫面，以及原本應該怎麼寫。修正會在下一個版本推出。