Privacidade nas aplicações de diário: o teu caderno digital é mesmo privado?

O teu diário é, provavelmente, a coisa mais privada que tens. Guarda os pensamentos que não dizes em voz alta – os receios, as dúvidas, as ideias por formar, o trabalho silencioso de pôr em palavras emoções difíceis que, segundo a investigação publicada na Perspectives on Psychological Science, produz benefícios reais para a saúde mental.

Mas há uma pergunta desconfortável à espera: o teu diário digital é, de facto, privado?

Investigámos as práticas de privacidade das ferramentas de diário mais populares para te ajudar a escolher com tudo em cima da mesa.

Por que razão a privacidade pesa mais num diário do que em quase tudo o resto

A questão não é abstrata nem se esgota nos princípios de proteção de dados. A sensação de haver um público pode alterar aquilo que uma pessoa decide registar; além disso, um diário pode conter informação cuja exposição provoque danos pessoais, sociais, jurídicos ou de segurança.

A revisão de James Pennebaker descreve protocolos de escrita expressiva que muitas vezes decorreram num contexto confidencial, mas não estabelece a privacidade ou a ausência de autocensura como ingrediente ativo universal. Outros estudos sobre revelação pessoal sugerem que a privacidade percebida pode influenciar aquilo que contamos; aplicar essa ideia a um diário privado é razoável, embora continue a ser uma inferência.

O nosso guia sobre diário e saúde mental explora a evidência e os seus limites. Foram propostos vários mecanismos — organização cognitiva, exposição, regulação emocional, inibição e processos sociais — sem se demonstrar um único caminho indispensável.

Um diário não precisa de conter tudo para ser útil. O seu modelo de privacidade deve acompanhar a sensibilidade daquilo que decides guardar.

O que significa, em rigor, “encriptação ponta a ponta”

Vais encontrar este termo em todo o lado. Em linguagem simples, eis o que está em causa.

Com encriptação ponta a ponta (E2EE): o conteúdo é cifrado antes de chegar ao fornecedor de sincronização, que não deve guardar a chave necessária para o decifrar. Se apenas o armazenamento for comprometido, deverá surgir texto cifrado e não o conteúdo do diário. A criação, guarda, partilha e recuperação das chaves variam entre aplicações, e a E2EE não elimina riscos nos dispositivos, contas, metadados, exportações ou cópias de segurança.

Sem encriptação ponta a ponta: a encriptação em trânsito e em repouso continua a proteger os dados em situações específicas. No entanto, o serviço costuma controlar as chaves necessárias para processar o conteúdo; os seus sistemas podem, por isso, decifrá-lo de acordo com controlos de acesso, políticas e obrigações legais.

A E2EE limita de forma substancial o acesso do fornecedor. Dizer sem reservas que «só tu» podes ler exige, ainda assim, verificar dispositivos, chaves, partilhas, cópias de segurança, metadados e recuperação.

Como se comparam as aplicações principais

Day One – privacidade forte por defeito

O Day One fez da privacidade uma marca da casa. A encriptação ponta a ponta está ativada por defeito desde setembro de 2019 para todos os utilizadores Premium.

O que fazem bem:

• Encriptação AES-GCM-256 (de grau militar) aplicada antes de os dados saírem do aparelho.
• A chave mestra nunca toca nos servidores do Day One.
• O Day One afirma, preto no branco, que é “impossível aos funcionários acederem aos dados do diário” com encriptação ativa.
• Sem publicidade, sem venda de dados – a receita vem das assinaturas Premium e dos diários impressos.
• Mesmo perante pedidos judiciais, não conseguem desencriptar o conteúdo.

O que convém ter em conta:

• A chave de encriptação fica guardada no iCloud ou no Google Drive por defeito (podes optar por guardá-la tu manualmente).
• Alguns metadados (dados da conta e do dispositivo) não são encriptados.
• O plano gratuito é limitado, empurrando a maioria dos utilizadores para os planos pagos: Silver a 49,99 $/ano ou Gold a 74,99 $/ano. Não existe faturação mensal.

No fim de contas: o Day One é, hoje, o padrão-ouro de privacidade entre as aplicações de diário mais conhecidas.

Journey – privacidade forte, mas com botão a accionar

O Journey oferece encriptação ponta a ponta através da função Journey Cloud Sync, em RSA e AES.

O que fazem bem:

• Encriptação ponta a ponta com uma palavra-passe definida por ti.
• Ao usares a sincronização pelo Google Drive, as entradas ficam no teu próprio Google Drive – os servidores do Journey não as guardam.
• A arquitetura de encriptação recorre a chaves assimétricas: a chave pública cifra as entradas antes de saírem do aparelho e só a privada as desencripta.
• Suporte multiplataforma (iOS, Android, web, computador).

O que convém ter em conta:

• A E2EE não está ativa por defeito – tens de aderir manualmente ao Journey Cloud Sync.
• Se ficares pela sincronização normal do Google Drive sem E2EE, as entradas são tão privadas quanto a tua conta Google.
• Ficheiros multimédia (fotografias, áudio, vídeo) passam brevemente pela nuvem para processamento antes da encriptação – os originais são destruídos depois, mas há uma janela curta.
• Se perderes a palavra-passe, as entradas desaparecem para sempre – o Journey não as recupera.
• Alguns metadados (datas das entradas, nome do drive) ficam de fora da encriptação.

No fim de contas: o Journey oferece privacidade sólida, mas precisas de a activar tu e de perceber bem os limites.

Notion – não foi pensado para diário privado

O Notion é uma excelente ferramenta de produtividade, e muita gente usa-o para manter um diário (temos um guia completo de configuração). Sucede que o seu modelo de privacidade não foi pensado para escrita pessoal sensível.

O que fazem bem:

• Dados encriptados em repouso (AES-256) e em trânsito (TLS 1.2).
• Infraestrutura certificada SOC 2 alojada na AWS.
• A propriedade dos dados é clara: o conteúdo é teu.
• O Notion afirma não usar dados de clientes para treinar modelos de IA.

O que preocupa quando o uso é diário pessoal:

• Sem encriptação ponta a ponta. O Notion fica com as chaves dos teus dados.
• A documentação de apoio do Notion confirma que os funcionários podem aceder a conteúdo dos utilizadores para resolução de problemas.
• Se recorreres às funções de IA do Notion, os teus dados são partilhados com parceiros (OpenAI, Anthropic) para processamento.
• Uma fuga de dados poderia expor entradas legíveis.

No fim de contas: para tarefas e notas, o Notion é ótimo. Para escrita íntima diária, pensa duas vezes antes de o adoptares como o teu caderno principal.

Apple Journal – boa privacidade por defeito no ecossistema Apple

A aplicação Journal da Apple beneficia do ecossistema de privacidade da casa e sincroniza agora entre iPhone, iPad e Mac.

O que fazem bem:

• Processamento no próprio aparelho para sugestões.
• Os dados do Journal guardados no iCloud têm encriptação ponta a ponta, tanto com a proteção padrão como com a avançada.
• O historial e a reputação da Apple em matéria de privacidade.

O que convém ter em conta:

• O modelo de dispositivos de confiança e recuperação da conta continua a importar: se perderes todos os dispositivos e métodos de recuperação, os dados E2EE podem tornar-se irrecuperáveis.
• O Journal permite imprimir, exportar e fazer cópias das entradas, mas o fluxo de trabalho continua preso às aplicações e sistemas operativos da Apple.
• Não há cliente para Android, Windows ou web.

No fim de contas: proteção sólida por defeito para quem vive no ecossistema Apple, mas não é uma escolha multiplataforma fora dos seus dispositivos.

O dilema entre IA e privacidade

É a tensão emergente nas aplicações de diário em 2026. As funções de IA – análise do estado de espírito, deteção de padrões, conversas orientadas – precisam de ler texto em claro. A encriptação ponta a ponta, por definição, impede o servidor de o fazer.

As aplicações estão a responder a isto de três maneiras.

1. Desativar funções incompatíveis. A pesquisa ou a IA ficam indisponíveis com E2EE porque o servidor não recebe conteúdo legível.

2. Processar texto legível num servidor. A aplicação desencripta ou envia entradas selecionadas para uma função de IA, com regras próprias de consentimento e retenção. Durante essa operação, o processador pode receber texto legível.

3. Analisar no aparelho. Modelos locais podem trabalhar com texto legível sem enviar a entrada original para um servidor de IA; a segurança do dispositivo e eventuais exportações continuam, porém, a contar.

Há uma aplicação recente que traça essa fronteira de forma explícita. O OpponentBook mantém o conteúdo das notas em armazenamento que já é teu e não envia nada para lado nenhum até carregares num botão de IA – nesse momento, as notas relevantes seguem para um serviço externo, que as processa, e uma única definição desliga a funcionalidade por completo.

A troca não desaparece; torna-se apenas visível e passa a decidir-se a cada utilização, o que já é mais do que a maioria das aplicações oferece.

Se as funções de IA contam para ti, faz a pergunta directa: a IA corre no meu aparelho ou processa as entradas no servidor da empresa? A resposta decide se a privacidade fica intacta.

Para que olhar na hora de escolher

Aqui ficam os pontos a verificar.

Inegociável para escrita íntima:

• Encriptação ponta a ponta (activa, e não só disponível).
• Documentação clara de que os funcionários não chegam ao conteúdo.
• Modelo de receita que não depende dos teus dados (assinatura, não publicidade).

Importante, mas não decisivo:

• Opções de exportação (se saíres da aplicação, levas o teu material?).
• Onde ficam guardadas as chaves de encriptação (no aparelho ou na nuvem).
• Que metadados ficam de fora da encriptação.

Perguntas a fazer:

• Se a empresa for vendida, o que acontece às minhas entradas?
• A justiça pode forçar a empresa a desencriptar o que escrevi?
• Os ficheiros multimédia (fotografias, áudio) seguem o mesmo padrão de encriptação que o texto?

A opção do papel

Convém recordar: um caderno de papel na gaveta trancada continua a ser uma das formas mais privadas de manter um diário. Sem servidores, sem chaves para gerir, sem termos de utilização. A nossa comparação entre papel e aplicações cobre todas as diferenças.

A desvantagem, claro está, é que um caderno de papel pode ser fisicamente encontrado e lido, não tem cópia de segurança e não se pesquisa. Mas em privacidade pura? O papel ainda é difícil de bater.

A nossa recomendação

Se a privacidade é a tua prioridade máxima: escolhe uma aplicação em que a E2EE esteja realmente ativa e cujo modelo de recuperação compreendas. Day One e Apple Journal têm boas predefinições; o Journey também pode ser uma opção forte depois de ativares o Cloud Sync cifrado.

Se queres escolher o armazenamento e inspecionar o código: o OwnJournal guarda as entradas diretamente no teu Google Drive, Dropbox, Nextcloud ou iCloud, não nos próprios servidores. A E2EE é opcional: ativa-a se quiseres que o fornecedor da nuvem receba texto cifrado em vez de entradas legíveis. O código completo está publicado sob AGPL-3.0 e pode ser inspecionado; isso não substitui uma auditoria independente nem prova, por si só, que a aplicação distribuída corresponde exatamente ao repositório. Está disponível na web, em Android, iOS e computador.

Se usas o Notion como diário: convém saberes que as entradas não têm encriptação ponta a ponta. Evita escrever ali o que não quererias que um funcionário do Notion lesse, em teoria. Para reflexões diárias chega à maioria das pessoas – mas, para processamento emocional profundo, pondera uma aplicação dedicada.

Se estás em dúvida: começa por duas perguntas: que dano causaria uma exposição e de quem te queres proteger? A resposta pode apontar para E2EE, um dispositivo bloqueado, recuperação de conta mais segura, cópias cifradas, um caderno em papel ou uma combinação.

Abre amanhã, antes do café, as definições da tua aplicação de diário e verifica se a encriptação ponta a ponta está ligada. Se não estiver, liga-a. E se a opção nem sequer existir, talvez valha a pena perguntar se a aplicação que estás a usar é, de facto, privada o bastante para a escrita mais honesta que ainda tens para te fazer.

Perguntas frequentes

Que aplicações de diário têm encriptação ponta a ponta?

O Day One ativa a E2EE por defeito. A Apple inclui os dados do Journal entre os protegidos com E2EE tanto na proteção padrão como na avançada. O OwnJournal oferece E2EE opcional sobre o armazenamento escolhido pelo utilizador; no Journey, é preciso ativá-la através do Cloud Sync. O Notion e a maioria das aplicações de notas genéricas não oferecem E2EE para o conteúdo do diário.

Os funcionários das aplicações conseguem ler o que escrevo?

Depende da aplicação e da configuração. Uma E2EE bem implementada impede o fornecedor de sincronização de guardar a chave do conteúdo, mas não protege todas as cópias nem todas as vias de acesso: contam também os dispositivos, credenciais partilhadas, exportações, cópias de segurança, metadados e recuperação. Sem E2EE, o fornecedor pode ter capacidade técnica para aceder ao conteúdo, sujeito aos seus controlos e políticas.

O Notion é suficientemente privado para servir de diário?

O Notion encripta dados em repouso e em trânsito, mas não oferece encriptação ponta a ponta. Ou seja, mantém as chaves para desencriptar o teu conteúdo e os funcionários podem aceder-lhe para resolver problemas. Para um diário casual chega à maioria das pessoas; para escrita íntima, uma aplicação dedicada com encriptação ponta a ponta é mais segura.

A encriptação afeta funções como IA ou pesquisa?

Sim. A encriptação ponta a ponta significa que o servidor não consegue ler o que escreves, o que limita funções no servidor, como análise por IA e pesquisa na nuvem. Algumas aplicações contornam isto com processamento no próprio aparelho. É uma troca real – mais privacidade implica que algumas funções deixam de estar disponíveis ou funcionam de outra forma.

O que acontece às minhas entradas se a empresa for atacada?

A E2EE pode manter cifrado o conteúdo sincronizado se o ataque comprometer o armazenamento sem obter uma chave ou um dispositivo desbloqueado. Não torna inofensiva qualquer fuga: dispositivos, credenciais, recuperação, metadados, exportações e cópias de segurança continuam a abrir outras vias. Sem E2EE, podem ficar expostos o texto legível ou as chaves necessárias para o decifrar.