Aiuto e FAQ

Sì. La demo su try.privacynotes.app è l'app completa con contenuti di esempio: nessuna registrazione, nessuna email, e niente di ciò che scrivi viene salvato. Gira interamente nel tuo browser e non invia nulla ai nostri server.

Chiudere la scheda cancella tutto, ed è proprio questo il punto. Quando vuoi tenere le tue note, crea una cassaforte vera su use.privacynotes.app. I contenuti della demo non vengono trasferiti, quindi copia prima ciò che vuoi conservare.

No. Un nuovo account è una frase di recupero di 12 parole appena generata, nient'altro. Niente email, niente nome utente, niente numero di telefono, nessun passaggio di verifica. Se accedi con la frase, non potremmo scriverti nemmeno volendo: non sappiamo mai chi sei.

Preferisci un percorso familiare? Funziona anche l'accesso con Google, Apple o GitHub. Quella strada ci rivela per forza l'email legata al tuo account presso il provider, ma le tue note restano comunque cifrate end-to-end, e sotto il cofano ottieni comunque una frase.

Apri Impostazioni > Import & Export e scegli la tua origine. Ci sono importatori dedicati per Apple Notes, Obsidian, Standard Notes, Google Keep, Simplenote, Samsung Notes e Bitwarden (credenziali, carte e note sicure finiscono nella Cassaforte), più un importatore Markdown generico per qualsiasi cartella di file .md.

Le importazioni girano interamente sul tuo dispositivo: i file esportati vengono letti, cifrati e salvati in locale, nulla viene caricato per l'elaborazione. Ogni nota importata riceve un tag con la sua origine, così in seguito puoi rivederle tutte insieme, e le checklist di Google Keep diventano perfino vere liste di attività.

Sì. Scrivi in Markdown e la formattazione appare in tempo reale: # titoli, **grassetto**, elenchi, - [ ] caselle attività, citazioni e riquadri. Le note si esportano anche in Markdown pulito, quindi ciò che scrivi resta portabile.

Puoi anche collegare le note tra loro: digita [[ e un completamento automatico propone le tue note esistenti. Un note-link apre la sua destinazione con un clic, e il pannello struttura più la ricerca nella nota tengono navigabili i documenti lunghi.

I formati Markdown standard prendono vita mentre digiti: titoli, enfasi, barrato ed evidenziazione, elenchi e liste di attività, citazioni, divisori, codice inline e blocchi di codice con evidenziazione della sintassi, formule matematiche (KaTeX) e note-link tra le note con completamento automatico.

Tabelle, riquadri, evidenziazioni, colore del testo, immagini e allegati stanno nella barra di formattazione e nel suo menu Inserisci. Tutto si converte in Markdown e viceversa: "Mostra markdown" sotto ogni nota rivela il sorgente grezzo, e le esportazioni sono file .md puliti, quindi nulla di ciò che scrivi resta imprigionato in un formato proprietario.

# Planning
## This week
### Monday

**bold**, *italic*, ~~done~~,
==marked== and `inline code`

- [x] Derive keys on the device
- [ ] Trust a server

> [!info] Zero-knowledge
> The server stores only ciphertext.

> [!warning] No resets
> A lost phrase cannot be recovered.

| App | Can read your notes |
| --- | --- |
| PrivacyNotes | No |
| Typical cloud notes | Yes |

```js
// encrypted before it leaves
const keys = deriveKeys(phrase);
```

// encrypted before it leaves
const keys = deriveKeys(phrase);

$e^{i\pi} + 1 = 0$

> Privacy is a feature, not a setting.

Ideas live in [[Second brain]]

Qualsiasi riga che scrivi come - [ ] in una nota diventa un'attività, e la vista Attività nella barra laterale le raccoglie tutte in un unico posto. Spuntare lì un'attività aggiorna la nota in cui si trova, e aprire un'attività ti porta a quella nota. Non c'è un database di attività separato da mantenere: le attività sono semplicemente righe nelle tue note, cifrate come tutto il resto.

Il campo di aggiunta rapida in cima ad Attività si accoda a una nota chiamata Quick Tasks (creata per te al primo utilizzo), così catturare un promemoria al volo richiede un solo tasto, non una decisione su dove archiviarlo. La stessa vista offre tre layout (Ibrida, Aggregata, Elenco), un interruttore per le attività completate e la ricerca tra le attività, e il pulsante Nuova nella vista Tutti può avviare direttamente una nota di attività.

Diario è una vista dedicata alle voci datate: un tocco crea la voce di oggi, e il pulsante calendario accanto recupera un giorno recente che ti sei perso. Una voce è una nota normale più i tracker opzionali: umore su una scala da 1 a 10 con 24 etichette emotive, sonno, attività, farmaci, energia, concentrazione e altro. "Configura i tracker" dentro qualsiasi voce attiva o disattiva quelli integrati, e Pro aggiunge fino a 10 tracker personalizzati (scale, numeri, sì/no).

Le Statistiche (in Impostazioni, o l'icona delle statistiche nella barra in basso) trasformano le voci in andamenti sotto la scheda Benessere: umore nel tempo, grafici di sonno e attività, aderenza ai farmaci. Le esportazioni vengono generate sul tuo dispositivo: "Scarica JSON" è gratis, e Pro aggiunge un "PDF per il medico" da portare agli appuntamenti, un prompt per IA pronto da copiare per il chatbot che preferisci, approfondimenti sui tuoi schemi e un riepilogo della settimana. I dati dei tracker vivono dentro la voce cifrata, quindi il server non può leggerne nulla.

Premi ? in qualsiasi punto dell'app per il prontuario integrato, disponibile anche in Impostazioni > Info e aiuto. Le scorciatoie coprono navigazione, azioni sulle note, formattazione e viste - e su Windows e Linux ogni Cmd si legge come Ctrl e Option come Alt.

Niente di leggibile. Note, titoli, tag e allegati vengono cifrati sul tuo dispositivo prima di sincronizzarsi. Il server conserva testo cifrato che non può decifrare, e dalla nostra parte non esiste alcuna chiave che possa cambiarlo.

Ciò che possiamo vedere è il minimo per far funzionare il servizio: quanto spazio cifrato occupi, quanti dispositivi hai collegato, e i timestamp di sync. Se accedi con una frase invece che con Google o Apple, non conosciamo nemmeno il tuo indirizzo email.

All'inizio sembra il contrario, ma una singola frase di recupero è la costruzione più solida. Con nome utente e password, il nome utente non è un segreto (compare in ogni archivio di dati violati), quindi tutta la sicurezza poggia sulla password - e le password scelte dalle persone si fermano in media a 30 o 40 bit scarsi di entropia. La tua frase di 12 parole sono 128 bit garantiti, generati dal tuo dispositivo, mai scelti da un essere umano e mai già usati su un altro sito.

Da noi, inoltre, non c'è nulla da sottrarre. Un login con password significa che il server conserva almeno un hash della password, che può trapelare, essere craccato o rubato con il phishing. La tua frase non lascia mai il tuo dispositivo: deriva le tue chiavi di cifratura in locale, e il server vede sempre e solo dati cifrati. Non c'è alcun hash da rubare né un flusso di reset password da sfruttare.

Se digitare 12 parole ti sembra scomodo: puoi salvare la frase nel tuo password manager con un tocco (Impostazioni > Sicurezza > La tua frase), e l'accesso diventa come qualsiasi altro login. Preferisci la via familiare? Funziona anche l'accesso con Google o Apple, e sotto il cofano ottieni comunque una frase.

Sì, di proposito. Non tutti si difendono dalle stesse minacce, quindi il modello di account è una scala, non un dogma unico. Su ogni gradino le tue note restano cifrate end-to-end; ciò che cambia è chi custodisce la chiave e cosa sappiamo di te.

L'estremo comodo: accedi con Google, Apple o GitHub e scegli "Mantieni tutto semplice e comodo" quando ti viene proposto. Custodiamo noi la tua frase di recupero, cifrata a riposo sul nostro server: ogni dispositivo accede con il solo account del provider e non c'è nulla da salvare o da perdere. Il prezzo onesto: conosciamo l'email dietro il tuo account del provider, e un server completamente compromesso potrebbe in linea di principio esporre la chiave custodita. Se la tua minaccia realistica è perdere le tue credenziali, non un attacco mirato, è uno scambio sensato.

Il mezzo: accedi con un provider ma scegli "Massima sicurezza e privacy". La tua frase non tocca mai i nostri server e la cifratura è interamente zero-knowledge; un nuovo dispositivo richiede la frase o una scansione QR da un dispositivo già connesso. Per forza di cose conosciamo ancora la tua email del provider, ma non potremmo leggere una sola nota, nemmeno sotto costrizione.

L'estremo privato: salta del tutto i provider e usa solo la frase di 12 parole. Niente email, niente nome, niente identità - e abbinato a un acquisto Pro anonimo, nemmeno pagare lascia il tuo nome da qualche parte. In cambio, la custodia della chiave è tutta tua: se perdi la frase e non ti resta nessun dispositivo connesso, nessuno può aiutarti.

Non sei vincolato al gradino che hai scelto. In Impostazioni > Sicurezza > La tua frase trovi i due modi affiancati con quello che ciascuno costa, e puoi spostarti in entrambe le direzioni quando vuoi. Passare all’autocustodia cancella la nostra copia e prima ti chiede di ridigitare tre delle tue dodici parole, perché chi ci clicca è proprio chi non le ha mai scritte. Tornare indietro ricarica la frase e richiede una scelta esplicita. Entrambe le direzioni sono firmate con la chiave del tuo account, quindi una sessione rubata non può cambiare la tua modalità. E ogni gradino accetta i livelli locali sopra: blocco con PIN, sblocco biometrico e protezione per nota.

Sì, 12 parole bastano. Una frase BIP-39 di 12 parole codifica 128 bit di entropia. Forzare 128 bit non è un problema del tipo "serve un computer più grande", ma del tipo "serve più energia di quanta ne produca l'umanità". Non esiste un attacco realistico che rompa 128 bit ma fallisca a 256.

Il confronto con Bitcoin mostra proprio perché 24 parole sono soprattutto marketing: le chiavi Bitcoin vivono sulla curva secp256k1, che di suo offre solo circa 128 bit di sicurezza. Una frase di 24 parole immette 256 bit di entropia in una serratura che si apre comunque con circa 128 bit di lavoro. È anche il motivo per cui molti grandi wallet restano su 12 parole di default.

PrivacyNotes punta allo stesso livello di sicurezza a 128 bit da un capo all'altro: la tua frase passa per una funzione di derivazione della chiave, e la cifratura che protegge (XChaCha20-Poly1305) è tarata di conseguenza. Passare a 24 parole raddoppierebbe ciò che annoti e digiti senza alcun guadagno pratico di sicurezza, quindi non abbiamo in programma di offrirle.

I punti deboli onesti di qualsiasi frase di recupero sono il phishing e il posto dove tieni il foglio, non la sua lunghezza. Proteggi la frase in sé e 12 parole sopravvivranno a tutti noi.

Risposta breve: sì. La tua frase è la chiave, quindi chiunque la possieda può accedere, esattamente come chiunque abbia la chiave di casa tua può aprire la tua porta. È così per scelta: è l'unica chiave maestra delle tue note, e davanti non c'è nulla di più debole. La vera domanda quindi non è se possedere la frase dia accesso (lo dà), ma se qualcuno possa indovinarla - e lì la risposta è no, con nessun computer esistente o prevedibile.

Ecco la scala. Una frase di 12 parole è una tra 2^128 possibilità: circa 340 sestilioni, un numero di 39 cifre (3,4 x 10^38). Le probabilità di indovinare la tua al primo colpo sono 1 su 340 sestilioni - più improbabile che vincere quattro volte di fila un jackpot della lotteria da 1 su 300 milioni. Trattarla come una ricerca invece che come un colpo di fortuna non aiuta: anche a un miliardo di miliardi di tentativi al secondo (10^18, ben oltre qualsiasi hardware reale, Stati inclusi), scorrerle tutte richiederebbe circa 10.000 miliardi di anni, quasi 800 volte l'età attuale dell'universo. E questa è la versione di fantasia, perché ogni tentativo reale deve attraversare una derivazione della chiave volutamente lenta, e ogni attacco online deve passare dai nostri server - il che rallenta il tentativo vero di molti altri ordini di grandezza. Il metodo non è nemmeno una novità: la stessa costruzione a 128 bit protegge i wallet Bitcoin da oltre un decennio, e nessuno ne ha mai indovinato uno.

Viene naturale immaginare la frase come una password, da rinforzare con maiuscole, numeri e simboli. Una frase di recupero non funziona così, e non dovresti mai provare a costruirne o modificarne una a mano. Il tuo dispositivo genera 128 bit di casualità crittograficamente sicura e li codifica in 12 parole da una lista pubblica fissa di 2048 parole: quella casualità è tutta la forza. L'ultima parola porta perfino un checksum integrato, quindi una frase digitata male o inventata viene respinta all'istante. L'ordine delle parole conta, maiuscole e minuscole no (le normalizziamo all'accesso), e aggiungere simboli renderebbe la frase solo invalida. Digita le parole esattamente come ti sono state consegnate.

Perché è un compromesso deliberato, non una svista. La 2FA che conosci - un codice via SMS o un'app di autenticazione - esiste per puntellare password deboli scelte dalle persone, e si appoggia a un segreto condiviso e a un percorso di recupero custoditi su un server. È esattamente la superficie d'attacco che il modello a frase elimina: il tuo dispositivo dimostra di possedere la chiave firmando una sfida, quindi i nostri server ricevono sempre e solo una chiave pubblica e una firma - mai la frase, mai un hash di password. Avvitarci sopra un codice reintrodurrebbe la macchina lato server che questo design evita apposta, senza aggiungere nulla contro i tentativi di indovinare, perché 128 bit chiudono già quella porta.

L'unico secondo fattore che aggiungerebbe davvero qualcosa è uno resistente al phishing, come una chiave di sicurezza hardware o una passkey, perché i rischi residui veri non sono i tentativi di indovinare, ma phishing, malware e una frase rubata o sbirciata. Su un dispositivo lasciato sbloccato, il blocco app (PIN) e lo sblocco biometrico sono la protezione locale.

Oltre a questo, la frase è la chiave, quindi mettila al sicuro il giorno stesso in cui crei l'account: salvala in un password manager affidabile, oppure stampala o scrivila e conserva quella copia in un posto sicuro. E non incollarla mai da nessuna parte se non nell'app stessa.

Sì, la lista BIP-39 standard (inglese): 2048 parole, esattamente la stessa lista usata dai wallet Bitcoin. Generiamo le frasi con @scure/bip39, una libreria open source sottoposta ad audit. Nessuna lista fatta in casa e nessuna crittografia artigianale.

La lista è pensata per la scrittura a mano: le prime quattro lettere di ogni parola sono uniche, quindi una parola sbavata o abbreviata resta inequivocabile, e le parole visivamente simili sono state escluse di proposito.

Essendo la lista standard, puoi verificare la tua frase con qualsiasi riferimento BIP-39 pubblico, e il nostro livello di cifratura è pubblicato come open core, quindi puoi controllare l'implementazione da solo.

No. La ricerca interroga un indice full-text costruito e conservato sul tuo dispositivo. Le ricerche non lo lasciano mai, i risultati compaiono anche senza alcuna connessione, e nulla di ciò che cerchi viene mai trasmesso.

Non è una scelta di policy che potremmo ribaltare in silenzio: la impone l'architettura. Il server custodisce solo testo cifrato, quindi dalla nostra parte non c'è nulla di leggibile da indicizzare o esplorare. Un server che non può leggere le tue note non può nemmeno cercarci dentro.

No. Non ci sono funzioni di IA nell'app, nessuna elaborazione IA in background e nessun addestramento di modelli sui tuoi contenuti. Le tue note vengono cifrate prima di lasciare il tuo dispositivo - sui nostri server non c'è quindi nulla di leggibile da dare in pasto a qualcosa.

Se un giorno costruissimo una funzione in quella direzione, dovrebbe girare interamente sul tuo dispositivo ed essere rigorosamente opt-in. Mandare note in chiaro a un modello cloud romperebbe la promessa zero-knowledge, quindi è fuori discussione.

Una burn note ti permette di condividere una nota in forma autodistruggente con chi non usa PrivacyNotes. L'app cifra il contenuto con una chiave usa e getta e ti consegna un link. La chiave viaggia nel frammento del link, che i browser non inviano mai ai server - il nostro server conserva quindi testo cifrato che non può leggere.

Alla prima apertura del link, il server consegna il testo cifrato e lo elimina nello stesso passaggio: una lettura, poi sparisce. I link mai aperti scadono da soli dopo 24 ore. In ogni caso, non resta nulla in giro.

"Sola lettura" (nel menu delle opzioni della nota, Pro) blocca una nota contro le modifiche, così un documento finito non può essere rovinato per sbaglio; non nasconde nulla. "Proteggi" (stesso menu, Pro) nasconde titolo e contenuto di una nota dietro il tuo PIN o lo sblocco biometrico, per le cose che preferiresti non avere in vista su uno schermo che a volte altri guardano.

Entrambe sono barriere di comodità sul tuo dispositivo, non una cifratura in più. I contrassegni viaggiano dentro i dati cifrati della nota, e la nota non viene deliberatamente ri-cifrata con il tuo PIN: così un PIN dimenticato non può mai distruggere i dati. Significa anche che chiunque possieda la tua frase di recupero potrebbe accedere da un nuovo dispositivo, impostare un nuovo PIN e leggere tutto. La frase resta il vero confine di sicurezza - proteggi prima quella, e usa queste barriere per la privacy sullo schermo.

Non rimani mai chiuso fuori. La schermata di blocco offre sempre un'alternativa: "Sblocca con il PIN" oppure "Accedi con la frase di recupero". La biometria è una barriera locale, non una chiave di cifratura, quindi le tue note restano intatte in entrambi i casi.

Poi sistema la barriera. La registrazione è per dispositivo, quindi un telefono nuovo, un profilo browser pulito o una reinstallazione richiedono una nuova registrazione: Impostazioni > Sicurezza > "Blocco biometrico", disattiva, poi di nuovo "Attiva lo sblocco biometrico". Serve anche "Considera attendibile questo dispositivo" (le sessioni non attendibili si azzerano alla chiusura della scheda) e un hardware con un autenticatore di piattaforma (Touch ID, Face ID, Windows Hello). Se un password manager come Bitwarden o 1Password compare al posto della richiesta di sistema, chiudilo e riprova, oppure disattiva la sua acquisizione delle passkey per il sito - l'app richiede l'autenticatore integrato, ma alcuni manager si intromettono comunque.

Le parti che ti proteggono lo sono già. Il codice di cifratura, lo schema del database e il modello delle minacce sono pubblicati come open core: chiunque può verificare come vengono protette le tue note, invece di doverci credere sulla parola.

Le app arrivano dopo. Quando le app native saranno uscite su tutte le piattaforme, apriremo il codice dei client (web, desktop e mobile). L'unico pezzo che resta chiuso è il backend di sync, e non custodisce mai altro che dati cifrati che non possiamo leggere. Tenerlo privato non ti costa nulla in privacy, ma impedisce a chiunque di clonare l'intero servizio spacciando il nostro lavoro per suo. Aperto dove protegge te, chiuso dove protegge noi.

Se sei ancora connesso su un dispositivo qualsiasi: sì, puoi recuperarla da solo. Apri Impostazioni > Sicurezza > La tua frase e salvala subito nel tuo password manager.

Se non hai più né un dispositivo connesso né la frase: no, e non può nessuno. La tua frase non raggiunge mai i nostri server, quindi non c'è nulla da reimpostare e nessun ticket di supporto che possa aiutare. Non è una regola che potremmo piegare - è il significato stesso della cifratura end-to-end. Qualsiasi servizio capace di ripristinare i tuoi dati cifrati dopo una perdita totale sta custodendo le tue chiavi.

La prevenzione costa dieci secondi: salva la frase in un password manager il giorno in cui crei l'account.

Sotto il cofano hai comunque una frase di 12 parole, e la frase da sola ti fa accedere su qualsiasi dispositivo - senza Google né Apple. Apri Impostazioni > Sicurezza > La tua frase e salvala nel tuo password manager.

Fallo una volta, e perdere l'account del provider non ti costa nulla: accedi semplicemente con la frase al suo posto.

Considera la cassaforte come bruciata. Una frase non può essere cambiata né ruotata, perché la frase è la chiave sotto cui è cifrato tutto - quindi la soluzione è spostarsi in una cassaforte nuova. Per prima cosa, nel vecchio account, esporta tutto: Impostazioni > Import & Export > Esporta > "Backup di PrivacyNotes (.zip)".

Disconnettiti, crea una nuova cassaforte (12 parole nuove) e reimporta l'esportazione da Impostazioni > Import & Export > Ripristina > "Backup completo (.zip)". Poi elimina il vecchio account da qualsiasi dispositivo ancora connesso: Impostazioni > ID & Sync > "Elimina account e dati...". Questo rimuove i suoi dati sincronizzati e chiude fuori chiunque possieda la vecchia frase. Se hai effettuato l'accesso con Google o Apple, elimina prima il vecchio account, poi accedi di nuovo con il provider per avviare la cassaforte nuova.

Due costi onesti: un pacchetto di archiviazione attivo va disdetto prima dell'eliminazione, e Pro è legato all'account su cui è stato acquistato - non si trasferisce alla nuova cassaforte, e oltre la consueta finestra di 30 giorni questo non è un caso rimborsabile. La prevenzione, in confronto, costa poco: tieni la frase in un password manager e in nessun altro posto.

Da qualsiasi dispositivo connesso, apri Impostazioni > Account > "Dispositivi registrati" e rimuovi quello perso. La prossima volta che quel dispositivo va online viene disconnesso e i suoi dati locali vengono cancellati, entro circa un minuto dal suo utilizzo successivo. Resta elencato sotto "Rimossi di recente" per 72 ore, così puoi confermare che sia sparito.

I limiti onesti: un dispositivo che non si riconnette mai conserva quanto già memorizzato finché non lo fa, ed è per questo che il blocco app (PIN o biometria) più il blocco schermo del sistema operativo contano su qualsiasi cosa portatile. E la rimozione non è un cambio di chiave - chiunque possieda davvero le tue 12 parole può accedere di nuovo comunque. Se sospetti che sia trapelata la frase stessa, segui invece la guida per la frase compromessa.

No. Il PIN è un blocco di comodità contro gli occhi indiscreti sul tuo stesso dispositivo, non una chiave di cifratura. Le tue note sono cifrate con chiavi derivate dalla tua frase di recupero, e la frase concede sempre l'accesso completo, senza alcun PIN.

È una scelta di progettazione deliberata: legare la cifratura a un PIN di 4 cifre significherebbe che un PIN dimenticato distrugge i dati. Qui non succede mai.

Nell'app: Impostazioni > ID & Sync, poi "Elimina account e dati". Questo rimuove per sempre dal server le tue note sincronizzate, i file, i dispositivi, le impostazioni e l'account stesso. Non c'è alcun periodo di conservazione né un backup che potremmo ripristinare dopo - quindi esporta prima tutto ciò che vuoi tenere (Impostazioni > Import & Export).

Due dettagli: un abbonamento di archiviazione attivo va disdetto prima dell'eliminazione (uno già programmato per terminare non blocca), e siccome un account a frase non ha mai contenuto un'email o un nome, non esiste alcun profilo o lista marketing da ripulire. Cancellare i dati locali su un dispositivo è un'azione separata e non tocca il tuo account.

Tutto ciò che ti aspetteresti, ogni cosa cifrata sul tuo dispositivo prima della sync: note, attività, pagine di diario, la tua cassaforte e i file cifrati al suo interno. Anche le impostazioni ti seguono - tag preferiti, preferenze di ordinamento e vista, tema colore, il tuo PIN (come hash con salt, mai il PIN in sé), blocco app, configurazione di tracker e farmaci, e svuotamento automatico del cestino. Configuri una volta, ogni dispositivo si adegua.

Alcune cose restano di proposito locali al dispositivo: modalità chiara o scura (ogni dispositivo segue la propria impostazione di sistema), sblocco biometrico (legato all'hardware di ciascun dispositivo) e lo stato di sblocco (alla chiusura l'app si blocca sempre di nuovo). Il server conserva sempre e solo blob cifrati e non può leggerne nulla.

Sì. L'app è local-first: le tue note vivono in un database sul tuo dispositivo, quindi leggere, scrivere e cercare funzionano senza alcuna connessione. Le modifiche si sincronizzano da sole appena torni online.

Nulla viene sovrascritto in silenzio. Se entrambi i dispositivi hanno modificato la stessa nota mentre erano separati (per esempio uno era offline), l'app rileva la collisione alla sync successiva e mostra una finestra di conflitto: tieni la versione di questo dispositivo, tieni l'altra, oppure tienile entrambe come note separate.

Nell'uso quotidiano la vedrai di rado. Online le modifiche si sincronizzano in pochi secondi, e la finestra compare solo quando due versioni della stessa nota sono davvero andate ognuna per la propria strada.

Impostazioni > Account elenca ogni dispositivo registrato. Rimuovi quello che stai dismettendo: lo slot si libera subito (utile nel piano gratuito da 2 dispositivi), e il dispositivo rimosso viene disconnesso al suo prossimo tentativo di sync. Resta visibile per 72 ore sotto "Rimossi di recente", così puoi confermare che sia sparito.

Un avvertimento onesto: la rimozione da sola non è un confine di sicurezza, perché chiunque possieda la tua frase di recupero può accedere di nuovo. Se un dispositivo è stato perso o rubato, è la frase che va protetta - e il blocco app (PIN o biometria) è ciò che impedisce a un dispositivo ritrovato di essere una porta spalancata.

Gli account gratuiti si sincronizzano su un massimo di 2 dispositivi, e questa finestra compare quando un terzo prova a registrarsi. Rimuovi un dispositivo che non usi più direttamente nella finestra, oppure da un dispositivo esistente in Impostazioni > Account (come funziona la rimozione). Lo slot si libera subito, e il dispositivo rimosso resta visibile sotto "Rimossi di recente" per 72 ore. Pro elimina del tutto il limite.

Una particolarità utile da sapere: affinché più browser su uno stesso computer non consumino più slot, i dispositivi vengono raggruppati usando hash rispettosi della privacy di segnali generici della macchina, calcolati sul tuo dispositivo con un segreto specifico dell'account. Un grosso aggiornamento del browser, o browser blindati come Brave o Tor che rendono casuali quei segnali, possono far finire la stessa macchina in un nuovo slot per un po'. Non rimani mai chiuso fuori - rimuovi la voce obsoleta e vai avanti.

Non viene mai eliminato nulla. Quando le nuove modifiche smettono di starci, la sync te lo dice: "Spazio pieno. Alcune note non sono state sincronizzate." I dati esistenti continuano a sincronizzarsi, la nuova crescita no. Se rimani oltre il limite, parte un conto alla rovescia di 90 giorni, mostrato come banner color ambra. Leggere, modificare per ridurre le dimensioni, eliminare ed esportare continuano a funzionare per tutto il tempo.

Dopo 90 giorni oltre il limite, la sync va in pausa: il banner diventa rosso ("Sincronizzazione in pausa. Hai superato il limite di spazio da oltre 90 giorni."). L'app continua a funzionare pienamente su ogni dispositivo; le modifiche restano semplicemente locali finché non torni sotto il limite. Il recupero è immediato e autonomo: libera spazio - svuotare il cestino conta - oppure aggiungi spazio in Impostazioni > Archiviazione, e la sync riprende da sola. È il deliberato contrario dei servizi che eliminano automaticamente i dati oltre la quota.

Prima di tutto sul tuo dispositivo - è quella la copia con cui lavori davvero. La copia di sync vive su server a Zurigo, in Svizzera.

Poiché tutto viene cifrato prima di lasciare il tuo dispositivo, la posizione del server è un bonus più che una promessa portante: i dati sincronizzati sarebbero illeggibili ovunque si trovassero.

Puoi esportare tutto in qualsiasi momento, generato interamente sul tuo dispositivo: file Markdown in uno zip con gli allegati inclusi, un backup JSON completo, o HTML autonomo - per singola nota o per l'intero account.

Funziona anche l'importazione: porta dentro note da Obsidian, Apple Notes, Google Keep, Standard Notes, Simplenote e Samsung Notes. Il lock-in non fa parte del modello di business.

Per una rete di sicurezza completa: "Backup di PrivacyNotes (.zip)" in Impostazioni > Import & Export > Esporta. Contiene tutto - note, diari, cassaforte, attività, immagini, audio, file - e si ripristina interamente dalla scheda Ripristina, in qualsiasi cassaforte. È leggibile sul tuo disco, quindi conservalo in un posto di cui ti fidi: un disco cifrato, non un'unità condivisa.

"Backup cifrato (.pnbackup)" è lo scambio opposto: puoi parcheggiarlo ovunque in sicurezza perché è illeggibile senza la tua frase, ma copre solo testo e metadati (niente immagini o file) e si ripristina solo nello stesso account che l'ha creato - il che lo rende inutile se un giorno passi a una nuova frase. "Backup di testo (.json)" e l'archivio HTML sono formati di portabilità più che formati di ripristino, e l'"Esportazione cassaforte (.json)" è testo in chiaro compatibile con Bitwarden per i password manager.

Perché tenere backup locali, se tutto si sincronizza? Perché la sync non è un backup: propaga fedelmente le eliminazioni, incluso, nel caso peggiore, un server compromesso che elimina dati che i tuoi dispositivi poi rispecchiano. Un backup completo periodico sul tuo disco è l'unica copia che nessun evento del server può toccare. Esporta prima delle importazioni grosse, prima di andartene, e con una regolarità che riuscirai davvero a mantenere.

Tutto ciò che sincronizzi, alla sua dimensione cifrata: testo delle note, immagini, registrazioni audio e file allegati. La barra in Impostazioni > Archiviazione mostra il totale; l'ingombro di ogni singola nota è indicato nelle sue opzioni come "Spazio utilizzato". Le note nel cestino contano ancora finché il cestino non viene svuotato.

Per liberare spazio in fretta, apri File, ordina per Dimensione ed elimina gli elementi più grandi - gli allegati surclassano il testo in quasi ogni account. Poi svuota il cestino: la vista Cestino mostra quanto spazio libererà "Svuota". Il solo testo non riempie quasi mai una quota; perfino i 50 MB gratuiti contengono decine di migliaia di note semplici.

Qualsiasi tipo di file: immagini, PDF, audio, archivi, qualunque cosa trascini dentro. Ogni file viene cifrato sul tuo dispositivo prima del caricamento, esattamente come il testo delle note, e la vista File raccoglie tutti gli allegati in un unico posto.

Il limite per file è 5 MB nel piano gratuito e 50 MB con Pro. I file vengono conteggiati nel tuo spazio di sync totale (50 MB gratis, 500 MB con Pro, espandibile a 5,5 GB con i pacchetti di archiviazione), e la barra dello spazio in Impostazioni > Archiviazione ti mostra sempre a che punto sei.

Si applicano due limiti, e l'errore ti dice quale hai raggiunto. Per file: 5 MB nel piano gratuito, 50 MB con Pro, 100 MB con un qualsiasi pacchetto di archiviazione. In totale: tutto ciò che sincronizzi deve stare nello spazio del tuo account (50 MB gratis, 500 MB con Pro, di più con i pacchetti), quindi una quota piena fa fallire i caricamenti anche quando il file in sé è piccolo. È accettato qualsiasi tipo di file - non c'è alcuna restrizione di formato.

Controlla la barra dello spazio nella vista File o in Impostazioni > Archiviazione, poi scegli la soluzione più economica: libera spazio, passa a un piano superiore, oppure riduci il file (le foto del telefono sono spesso originali da diversi MB; un JPEG compresso è una frazione della dimensione). Anche i caricamenti hanno bisogno di una connessione: i file non si mettono in coda mentre sei offline.

Il cestino non è un archivio: per impostazione predefinita, tutto ciò che vi si trova viene eliminato definitivamente dopo 30 giorni. L'interruttore sta nella vista Cestino stessa, con l'etichetta "Eliminazione automatica dopo 30 giorni" - disattivalo lì se vuoi tenere il cestino per sempre, e l'impostazione si sincronizza su tutti i tuoi dispositivi. La pulizia gira sul tuo dispositivo all'apertura dell'app, perché il server non può vedere quali note cifrate sono nel cestino.

Eliminato definitivamente significa perso: nessuna copia sul server e nessuna via di recupero. Se usi il cestino come un mucchio di "forse un giorno", disattiva l'eliminazione automatica o ripristina le note prima del 30° giorno. Fino ad allora, le note nel cestino contano ancora per il tuo spazio - "Svuota" nella stessa vista libera quello spazio all'istante.

La Cassaforte è una sezione dedicata ai segreti strutturati: credenziali con nome utente e password, carte di credito e di debito, e chiavi SSH. Le voci hanno campi veri invece di testo libero, le credenziali mostrano l'icona del sito, e tutto è cifrato end-to-end come il resto dei tuoi dati.

Dà una casa ordinata e protetta a quella manciata di credenziali che altrimenti finisce sparsa tra le note. Abbinala al blocco app e alla protezione PIN per una seconda barriera davanti alle voci più sensibili. Un'importazione da Bitwarden arriva qui in automatico.

Scrivi quanto vuoi - per le note normali la dimensione non è mai un problema. Quando una singola nota cresce molto, sotto compare un piccolo avviso che sale di tono in tre passi: verso le 50.000 parole segnala che la nota si sta allungando e potrebbe rallentare sui dispositivi più lenti; verso le 75.000 diventa color ambra, la digitazione può iniziare a scattare; e verso le 100.000 suggerisce di dividere la nota perché ti stai avvicinando al limite di sync. Sono indicazioni, non blocchi rigidi - nulla ti impedisce di continuare.

Quel limite di sync è l'unico vero tetto. Una singola nota può contenere circa 1 MB di testo una volta cifrata - molto approssimativamente 120.000 parole di inglese comune, meno con una scrittura non latina o tanta formattazione. Una nota oltre quel punto continua a funzionare e resta al sicuro sul dispositivo dove l'hai scritta, ma quella singola nota non si sincronizzerà più sugli altri dispositivi (vedrai un avviso di "sync non riuscita"). Il resto delle tue note non è toccato: una nota fuori misura non blocca mai nient'altro.

Il rimedio è semplice: dividi una nota lunghissima in alcune più piccole. Il contenuto è identico, la sync fila liscia e l'editor resta veloce. Un conteggio parole in tempo reale sotto ogni nota ti fa tenere d'occhio la dimensione mentre scrivi. E se stavi per testare dove sta il muro: ora non serve più.

Prima esporta, poi elimina - entrambi in autonomia. Impostazioni > Import & Export > Esporta copre ogni via d'uscita: "Backup di PrivacyNotes (.zip)" per una copia completa, Markdown e HTML portabili per la tua prossima app di note, ed "Esportazione cassaforte (.json)" in formato compatibile con Bitwarden per il tuo prossimo password manager. Le esportazioni vengono generate sul tuo dispositivo.

Poi Impostazioni > ID & Sync > "Elimina account e dati...": digita DELETE, e le tue note sincronizzate, i file, i dispositivi, le impostazioni e l'account stesso vengono rimossi per sempre senza alcun periodo di conservazione (dettagli). Un pacchetto di archiviazione attivo va disdetto prima, in Impostazioni > Archiviazione. Un account di sola frase non lascia nulla da ripulire, perché non abbiamo mai saputo chi fossi. Niente dark pattern e niente email per riconquistarti - i tuoi dati sono tuoi, anche mentre te ne vai.

Soprattutto conservando il meno possibile. Registrati con una frase e non c'è alcun nome, email o identità in archivio da richiedere: i tuoi dati sono testo cifrato sotto una chiave pubblica casuale, ospitati a Zurigo, in Svizzera. Accedi con Google o Apple ed esiste esattamente un identificatore - l'email che il tuo provider condivide, collegata a quella chiave. I dati di fatturazione per Pro stanno presso Paddle, il merchant of record, non da noi.

Ogni diritto è autonomo e immediato, senza bisogno di alcun modulo di richiesta: accesso e portabilità sono in Impostazioni > Import & Export (esportazione completa in formati aperti), la cancellazione è in Impostazioni > ID & Sync > "Elimina account e dati..." senza alcun periodo di conservazione, e la rettifica è modificare le tue note. La versione formale, incluso come contattarci per qualsiasi cosa l'app non possa fare da sé, sta nell'informativa sulla privacy.

Non perdi nulla. L'intero archivio è già sul tuo dispositivo perché l'app è local-first, e l'esportazione in Markdown, JSON o HTML funziona completamente offline.

Il livello di cifratura è inoltre pubblicato come open core: il formato resta leggibile in modo indipendente anche in un mondo in cui i nostri server sparissero da un giorno all'altro.

Il gratuito è il prodotto completo, non un assaggio: note, attività, diario e cassaforte cifrati end-to-end, uso offline, importazione ed esportazione - su un massimo di 2 dispositivi con 50 MB di spazio di sync.

Pro è un acquisto una tantum che aggiunge dispositivi illimitati, 500 MB di spazio di sync (espandibile), cronologia versioni delle note, allegati più grandi, blocco note e protezione PIN, monitoraggio benessere avanzato, modalità Zen e tutti i temi colore.

Perché il servizio è volutamente economico da far girare. L'app è local-first e le note sono piccoli blob cifrati: il server non fa molto più che conservarli e passarli tra i tuoi dispositivi. Nessuna pipeline di analytics, nessuna funzione IA che brucia potenza di calcolo, nessun reparto di assistenza.

L'unico costo che cresce col tempo è lo spazio, ed è prezzato di conseguenza: lo spazio oltre i 500 MB inclusi è un piccolo pacchetto annuale. I costi una tantum si pagano una volta, i costi ricorrenti in modo ricorrente. Il modello deve solo sostenersi da sé, e lo fa.

Sì. Pro è legato al tuo account, non a un dispositivo, una piattaforma o uno store. Compralo una volta, accedi con la stessa frase (o lo stesso login Google, Apple o GitHub) ovunque, e Pro è attivo anche lì.

Comprese le piattaforme che ancora non esistono: quando esce una nuova app, il tuo Pro esistente arriva senza costi aggiuntivi.

Dagli un minuto, poi ricarica l'app. Dopo il checkout l'app controlla per circa 20 secondi e si sblocca da sola, e una ricarica ricontrolla lo stato di Pro all'avvio. Se il pagamento è arrivato ma l'attivazione è in ritardo, un banner dice "Pagamento ricevuto, ma l'attivazione di Pro sta richiedendo più tempo del solito" - questo stato si risolve da sé in quasi tutti i casi. Nelle build da store, un acquisto che non riesce a validarsi riprova quando riavvii l'app, e un acquisto che non si attiva mai viene rimborsato automaticamente dallo store entro 3 giorni.

Ancora bloccato? Quasi sempre è una mancata corrispondenza di account: Pro si lega all'account connesso al momento dell'acquisto, quindi una frase diversa - o un accesso con provider invece della tua cassaforte a frase - è un account diverso. Confronta l'ID dell'account in Impostazioni > ID & Sync sul dispositivo che l'ha comprato. Se è davvero bloccato, segnalalo e includi quell'ID dell'account: identifica l'acquisto e non rivela nulla delle tue note.

Pro include 500 MB di spazio di sync cifrato. Se te ne serve di più, i pacchetti si sommano sopra: 1 GB a $4,80 l'anno, 2 GB a $8,40, o 5 GB a $18, fino a 5,5 GB in totale. I pacchetti sono l'unico acquisto ricorrente del prodotto, perché lo spazio è l'unica cosa che ci costa denaro ogni mese in cui lo usi.

Si gestisce tutto in Impostazioni > Archiviazione: passa a un pacchetto più grande (paghi solo la differenza pro rata) oppure disdici quando vuoi e tieni lo spazio fino alla fine del periodo pagato. Pro, in ogni caso, resta tuo per sempre.

Impostazioni > Archiviazione è il pannello di controllo. Il passaggio a un pacchetto più grande si applica subito, e la conferma mostra l'importo esatto pro rata addebitato oggi prima che tu confermi; la data di rinnovo non si sposta. "Annulla lo spazio" mantiene il tuo spazio extra fino alla fine del periodo che hai già pagato. Il passaggio a un pacchetto più piccolo non è ancora disponibile - la via provvisoria è disdire, poi comprare il pacchetto più piccolo alla fine del periodo.

Se dopo la scadenza i tuoi dati stanno ancora nel limite rimanente, finisce lì; altrimenti non viene eliminato nulla e comincia il ciclo di 90 giorni oltre la quota. Un rinnovo non riuscito mostra un banner con un link "Aggiorna carta" per sistemare il pagamento in Paddle. Se ti sei abbonato all'interno di una build da store, è lo store a fatturarti, quindi la disdetta avviene nelle impostazioni di abbonamento dello store stesso.

Sì. Pro e lo spazio si legano al tuo account, non a una piattaforma o a uno store. Compra sul web e ogni app in cui accedi è Pro, comprese le build da store; compra dentro una build da store e le app web e desktop si sbloccano allo stesso modo. Non c'è alcun pulsante "ripristina acquisti" perché accedere è il ripristino - il diritto segue l'account.

L'unica differenza è chi ti fattura. Gli acquisti web passano da Paddle e si gestiscono nell'app in Impostazioni > Archiviazione. Gli acquisti fatti dentro una build da store (Google Play, o l'App Store una volta uscita l'app iOS) sono fatturati da quello store: lo spazio ricorrente si disdice nelle impostazioni di abbonamento dello store, e i rimborsi seguono la procedura dello store. In ogni caso è lo stesso account e lo stesso Pro ovunque - comprese le piattaforme che ancora non esistono.

30 giorni, senza domande. Se Pro non fa per te, chiedi il rimborso completo entro 30 giorni dall'acquisto e tornerà sul metodo di pagamento originale. I clienti nell'UE mantengono in più il diritto di recesso legale di 14 giorni.

I pagamenti sono gestiti da Paddle, il nostro merchant of record, quindi i rimborsi li gestisce direttamente Paddle: rispondi all'email di ricevuta del tuo acquisto o visita paddle.net. La politica completa è nei termini di servizio.

Meno di quanto immagini. Il checkout passa per Paddle, il merchant of record: il tuo nome, il numero di carta e l'indirizzo di fatturazione vanno a Paddle per pagamento e tasse e non toccano mai i nostri server.

A noi arriva la conferma che la chiave pubblica del tuo account ora è Pro, più l'importo dell'ordine. Il rapporto di fatturazione, inclusa l'email di ricevuta inserita al checkout, resta presso Paddle. Un account di sola frase resta quindi pseudonimo per noi anche da cliente pagante: sappiamo che hai pagato, non chi sei.

Sì, con due strumenti standard. Per la ricevuta usa un alias email: Apple Hide My Email, DuckDuckGo Email Protection, SimpleLogin, Firefox Relay o addy.io inoltrano tutti alla tua casella vera senza esporla. Per il pagamento usa una carta mascherata: privacy.com negli Stati Uniti genera carte virtuali che funzionano con qualsiasi nome digiti, e molte banche e servizi altrove (per esempio Revolut) offrono carte virtuali usa e getta che fanno lo stesso lavoro.

Al checkout Paddle chiede un'email, un metodo di pagamento e un paese (più un codice postale in alcune regioni) per calcolare le tasse. L'alias riceve la ricevuta, la carta mascherata porta il nome che le hai dato, e la posizione fiscale ti colloca al massimo in una regione, niente di più. Tieni però vivo l'alias: l'email di ricevuta è la tua prova d'acquisto e il tuo canale per un rimborso.

Combinato con un account a frase, alla fine nessuna singola parte possiede il quadro completo: la tua banca vede una ricarica della carta, Paddle vede un alias e una carta mascherata, e noi vediamo solo che una chiave pubblica è diventata Pro.

Web, macOS, Windows, Linux e Android oggi, iOS in arrivo. Ogni app nasce dallo stesso nucleo con la stessa cifratura end-to-end e si sincronizza tramite lo stesso account. La sezione download ha sempre le build più recenti.

L'app web è un cittadino di prima classe, non una ruota di scorta: tiene una copia locale completa dei tuoi dati e funziona offline - qualsiasi browser moderno è quindi sempre una via d'accesso.

Se l'hai presa dal Google Play Store: sì, si aggiorna da sola come le altre app. Se l'hai scaricata direttamente dal nostro sito, il telefono non la aggiornerà in automatico - è semplicemente il modo in cui Android tratta le app che non arrivano dal Play Store.

In compenso l'app controlla le nuove versioni e mostra un messaggio "Nuova versione disponibile" quando ce n'è una pronta. Toccalo e l'aggiornamento si installa sopra la vecchia versione, con tutte le tue note e impostazioni al loro posto. Il controllo cerca solo una versione più recente, non tocca mai le tue note, che restano cifrate per tutto il tempo.

Sì, ma non installando una sopra l'altra. Le due build sono firmate con chiavi diverse (Play gestisce la propria firma; la chiave dell'APK diretto è solo nostra), e Android si rifiuta di aggiornare un'app la cui firma è cambiata, quindi l'installazione fallisce con un errore del tipo "App non installata". Passare da una all'altra significa: verifica che l'app mostri "Synced", disinstalla la build attuale, installa l'altra, accedi di nuovo.

La disinstallazione cancella i dati locali dell'app - ecco perché il controllo della sync viene prima. Dopo l'accesso, tutto torna dalla sync. Tieni pronte le tue 12 parole o un QR di accesso da un altro dispositivo prima di disinstallare, non dopo. Le build sono per il resto identiche; differiscono solo per come si aggiornano e per come viene fatturato Pro.

Inglese, tedesco, francese, italiano, spagnolo, olandese, polacco, ceco, catalano, giapponese, coreano, cinese tradizionale e portoghese, nelle varianti europea e brasiliana. L'app segue di default la lingua di sistema, oppure ne fissi una esplicitamente in Impostazioni > Lingua su ciascun dispositivo.

Le traduzioni sono gratuite per tutti, non un vantaggio Pro. Altre lingue sono in programma; se manca la tua, faccelo sapere su GitHub o Reddit.