الخصوصية الجذرية: مستويان، وعد واحد

معظم التطبيقات المجانية الموجودة على هاتفك ليست مجانية.

تُقدَّم لك مقابل بياناتك.

إنها مقايضة.

وهي شفافة من حيث المبدأ، وفي حالات كثيرة مقايضة تستحق العناء — لا فضيحة في إتمامها.

وكثير من تطبيقات التمويل الشخصي تعمل بالطريقة نفسها.

تمنحك أداة تتبّع مجانية أو شبه مجانية، وفي المقابل تُجمّع بيانات إنفاقك لإنتاج تقارير سوقية، وتوصيات مخصّصة، واقتراحات إعلانية، وملفات تعريف سلوكية، وشراكات تجارية.

وهنا أيضًا، من حيث المبدأ، هذا خيار مشروع للمزوّد.

وأنت في لحظة واحدة تقبل شروط الخدمة وتمضي.

اختار Cashfulness مسارًا آخر.

ليس حكمًا على التطبيقات الأخرى — فكلٌّ يبني نموذجه، وكثيرون يفعلون ذلك بنزاهة — بل لأننا نعتقد أن التمويل الشخصي يستحق معاملة مختلفة.

إنه مجال يكفيه ما فيه من ضباب، ومجرد إدراك أن أحدًا ما (ولو نظريًا) يستطيع النظر إلى أرقامك يُفرغ المنتج من معناه.

الهدوء الذي نتحدث عنه، إن لم تكن البيانات في أمان، وعدٌ أجوف.

لهذا بنينا Cashfulness حول خيار تقني محدّد، مكتوب في أساسات الشيفرة، يعمل على مستويين.

المستوى الأول يحمي المستندات التي تُدخلها إلى Cashfulness — بتشفير جذري من طرف إلى طرف.

المستوى الثاني يحمي هويتك وبياناتك المحاسبية — بإخفاء الهوية إلى أقصى حد.

يستجيب المستويان لحاجتين مختلفتين ويستخدمان أدوات مختلفة. ويستحق كلٌّ منهما شرحًا على حدة.

لماذا يلزم الاتصال (وماذا يعني ذلك للخصوصية)

مقدّمة تقنية، قبل الدخول في المستويين.

يعمل Cashfulness فقط عندما يكون جهازك متصلًا بالإنترنت.

على الهاتف أو على سطح المكتب، يجب أن يتمكن التطبيق من التحدث إلى قاعدة بيانات بعيدة تعيش على خوادمنا (بنية تحتية أوروبية).

لماذا هذا الخيار؟ لأن بياناتك المحاسبية يجب أن تبقى متزامنة بين الأجهزة المختلفة التي تستخدمها.

إذا أضفت معاملة من الهاتف في استراحة الغداء، فأنت تريد أن تراها مساءً من الحاسوب المحمول. والعكس كذلك.

بلا نقطة حقيقة مركزية ستتباعد البيانات بين الأجهزة بصورة منهجية، وستجد نفسك أمام نسختين متضاربتين من محاسبتك — كابوس صغير يُبطل كل معنى القيد المزدوج.

إذن نعم، محاسبتك تمرّ عبر خادم بعيد.

هذا ليس تنازلًا عن الخصوصية: إنه القيد التقني اللازم كي نمنحك محاسبة تعمل فعلًا على أكثر من جهاز.

يصبح السؤال المهم: كيف نحمي خصوصيتك في ظل هذا القيد؟

الجواب في المستويين اللذين أرويهما لك الآن.

المستوى 1 — تشفير جذري من طرف إلى طرف للمستندات

عندما تبدأ استخدام Cashfulness، ستريد عاجلًا أو آجلًا أن تُدخل إلى التطبيق مستنداتك: كشوف الحساب البنكية، وعقود الرهن العقاري أو الإيجار، وفواتير الكهرباء والغاز، ووثائق التأمين، وشهادات الاستثمار، وكشوف الصناديق، والإيصالات الضريبية المهمة.

تحتوي هذه المستندات على كل شيء: اسمك الكامل، والعنوان، والرقم الضريبي، ورقم الحساب المصرفي IBAN، والمبالغ، والأطراف المقابلة، وتفاصيل حياتك.

إنها المستوى الأشد حساسية على الإطلاق.

من أجلها اخترنا الخيار الأشدّ تشدّدًا الممكن: تشفير جذري من طرف إلى طرف.

المصطلح التقني هو التشفير من طرف إلى طرف، أو E2EE.

ولفهم ما هو دون تعقيدات تقنية، تخيّل أنك تريد إرسال رسالة عبر شركة توصيل.

أمامك خياران.

الخيار 1، النموذج المعتاد.

تكتب الرسالة بنصّ ظاهر، وتضعها في مظروف، وتسلّمها للمُوصِّل.

يستطيع المُوصِّل — إن أراد — أن يفتح المظروف، ويقرأ الرسالة، ويدوّن ملاحظات، ثم يعيد إغلاقه ويسلّمه.

أنت تثق بأنه لن يفعل لأنه وعد بألّا يفعل، وربما لأن هناك قوانين تمنعه وتمنحك بعض الضمانات.

لكنه ماديًا يستطيع.

الخيار 2، التشفير من طرف إلى طرف.

تكتب الرسالة، وتُغلقها في صندوق معدني لا يُفتح إلا بمفتاح بعينه.

المفتاح عندك. عندك وحدك.

تسلّم الصندوق للمُوصِّل. ينقله ويحفظه.

وحتى لو أخذه إلى بيته، لن يستطيع فتحه، لأنه لا يملك المفتاح.

وعندما تحتاج الرسالة، تفتح أنت الصندوق بمفتاحك، وتقرأ.

التشفير من طرف إلى طرف للمستندات في Cashfulness هو الصندوق المعدني في الخيار 2.

عندما ترفع مستندًا في التطبيق، يُشفّره جهازك قبل إرساله إلى الخادم. يصل إلى الخادم مشفّرًا ويبقى مشفّرًا.

بالنسبة إلى الخادم، كل مستند من مستنداتك كتلة ضجيج رقمي.

مفتاح فك التشفير يوجد على جهازك وحده، مشتقًّا من كلمة مرورك الشخصية ومن كلمات الاسترداد الـ24 (ما يُعرف بعبارة الاسترداد، وهي المعيار الأمتن المتاح اليوم لتوليد المفاتيح التشفيرية الشخصية وحمايتها).

ماذا يعني ذلك عمليًا:

• خادم Cashfulness لا يستطيع قراءة مستنداتك. لا نحن الذين بنينا التطبيق، ولا من يدير البنية التحتية، ولا مهاجم محتمل في المستقبل.
• لو اختُرق Cashfulness غدًا وسُرقت كل المستندات الموجودة على الخوادم، لرأى المهاجم ضجيجًا. غير قابل للاستعمال.
• وحتى سلطة تطلب مستنداتك رسميًا ستتلقّى ضجيجًا. لا نستطيع تسليمها، لأنها ليست لدينا بنصّ ظاهر.

للأمر وجه آخر، ونريد أن نكون صادقين بشأنه.

إذا فقدت كلمة مرورك وفقدت أيضًا كلمات الاسترداد الـ24، تصبح مستنداتك غير قابلة للقراءة حتى بالنسبة إليك.

إلى الأبد.

لا نستطيع استعادتها، لأننا تقنيًا لا نستطيع قراءة ما شفّرته. لا يوجد «استرجاع كلمة مرور عبر البريد» يعيد إليك المستندات، لأنه لا يوجد أحد على الطرف الآخر يستطيع ذلك.

المفتاح لك وحدك.

هذا يعني الحرية — أنت الوحيد القادر على الوصول — والمسؤولية — أنت الوحيد الذي يمكن أن يفقد الوصول.

إنه خيار فلسفي. نفضّل أن نمنحك التحكم الكامل، حتى لو تضمّن ذلك عبء حفظ بيانات اعتمادك، على أن نحتفظ بنسخة «احتياطية» منها على خادمنا. تلك النسخة قد تصبح، عاجلًا أو آجلًا، نقطة اختراق.

أما مفتاح لا يوجد إلا على هاتفك، فلا.

المستوى 2 — إخفاء الهوية إلى أقصى حد لشخصك ولبياناتك المحاسبية

المستوى الثاني مختلف، ويغطي كل ما تبقّى: مَن أنت وماذا تفعل داخل التطبيق من حيث الأرقام.

لهذه البيانات اخترنا استراتيجية أخرى، لأن المشكلة ذات طبيعة مختلفة.

المستندات «صناديق» ذات محتوى حساس، ومن المنطقي تشفيرها بالكامل.

أما البيانات المحاسبية فهي بنية حيّة: أرقام وحسابات وفئات وحركات تحتاجها كل يوم، وعليها يبني Cashfulness مؤشرات الصحة المالية التي يعرضها لك.

تشفيرها بالطريقة نفسها التي نشفّر بها المستندات سيجعل التطبيق بطيئًا للغاية وغير قابل للاستعمال في حالات كثيرة.

جوابنا ليس التشفير المطلق. إنه إخفاء الهوية إلى أقصى حد.

عمليًا يعني ذلك أمرين.

Cashfulness لا يريد حتى أن يعرف اسمك.

عند التسجيل، لا نطلب منك الاسم واللقب.

نطلب منك اسمًا مستعارًا — ما تشاء أنت، وقد يكون من محض الخيال.

نطلب منك بريدًا إلكترونيًا للتواصل التقني (استعادة الوصول، رسائل الخدمة)، وكلمة مرور.

انتهى.

لا رقم ضريبي، ولا تاريخ ميلاد، ولا عنوان، ولا رقم هاتف، ولا ربط بحسابك المصرفي، ولا تحقق من الهوية.

في نظر Cashfulness، أنت اسم مستعار مع بريد إلكتروني. لا أكثر.

مساحاتك المحاسبية يصعب فك رموزها على من ليس أنت.

يدعوك التطبيق إلى تفصيل الإيرادات والمصروفات في حسابات وحسابات فرعية محدّدة. أسماء تلك الحسابات، ووسوم حركاتك، ودرجة التفصيل التي تصف بها حياتك المالية — كلها تقرّرها أنت، بالمفردات الأنفع لك.

لا يطلب منك Cashfulness أبدًا إدخال بيانات شخصية داخل أسماء الحسابات: لا رقم ضريبي، ولا IBAN في العناوين، ولا أسماء أشخاص. الأسماء تشغيلية (مثلًا: «الراتب»، «الحساب الجاري الرئيسي»، «رهن المنزل»، «مصروفات السيارة»، «إيجارات محصّلة»): تصف وظيفة، لا تصفك أنت.

مجتمعين، هذان العاملان — اسم مستعار لا يكشف من أنت، وأسماء حسابات تصف ماذا لا مَن — يجعلان محاسبتك صعبة الفهم ومستحيلة الربط بك لأي أحد غيرك.

النتيجة الملموسة هي هذه: حتى لو استطاع أحد (مهاجم، أو موظف غير أمين، أو سلطة) أن ينظر إلى قاعدة البيانات على الخادم، فسيرى اسمًا مستعارًا معه شجرة حسابات وأرصدة وحركات.

لن يعرف من هو صاحب ذلك الاسم المستعار.

ولن يجد سبيلًا لربط تلك الأرقام بالشخص الحقيقي خلف الشاشة.

سيرى محاسبة بلا سيرة.

بعض النصائح العملية لتبقى مجهول الهوية فعلًا

إخفاء الهوية ليس وعدًا منا وحدنا: هو أيضًا لفتة صغيرة منك.

إذا أردت أن تكون محاسبتك غير مفهومة لأي أحد سواك، ننصحك بأن:

• تُسمّي الحسابات بالوظيفة لا بالشخص. «حساب بنكي»، «الراتب»، «رهن المنزل»، «حساب مشترك» تعمل جيدًا. أما «حساب فلان الفلاني» أو IBAN كاملًا في العنوان فيفتحان ثغرة بلا داعٍ.
• تترك أوصاف المعاملات عامة بطبيعتها. هي كذلك أصلًا بحكم طبيعتها: «فطور في المقهى»، «عشاء في المطعم»، «تعبئة وقود»، «تسوّق السوبرماركت». لن يفهم أحد سواك إن كان ذلك العشاء في المطعم في ميلانو مع عميل أو في لوكا مع أختك.
• تستخدم بريدًا إلكترونيًا باسم مستعار للتسجيل، إن أردت الذهاب إلى أقصى مدى. بريدك يخدم الدخول وإيصال رسائل الخدمة فحسب: لا أحد يُلزمك باستخدام بريد «رسمي» من نوع name.surname@domain.com. يكفي بريد باسم مستعار من نوع fajr.allayl@protonmail.com أو أي بريد آخر يناسبك.

الدفع أيضًا مجهول (بالنسبة إلينا)

نقطة لا يتوقعها القارئ عادةً، وتستحق أن تُقال بوضوح.

لاشتراكات Cashfulness لا نطلب منك بطاقة ائتمان، ولا IBAN، ولا بيانات فوترة بشكل مباشر. يمرّ الدفع عبر المتجر الذي نزّلت منه التطبيق: App Store (Apple) أو Google Play (Google) لنسخ الهاتف، وStripe للمدفوعات من الموقع الإلكتروني.

هذه الجهات الثالثة هي التي ترى اسمك وعنوانك وبطاقتك أو IBAN — لأنها تقنيًا هي التي تُحصّل. وإليها، في العادة، يعود إصدار الفواتير أو الإيصالات الضريبية لاشتراكك (وفق قواعد بلدك).

أما Cashfulness، على الطرف الآخر من ذلك الأنبوب، فيتلقّى صافي التحصيل فقط ومعرّفًا مبهمًا للاشتراك (شيئًا من قبيل sub_abc123).

لا نرى أبدًا: اسم العميل، ولا الرقم الضريبي، ولا بطاقة الائتمان، ولا IBAN.

ولا نُصدر فواتير أو إيصالات ضريبية للمستخدمين النهائيين.

بعبارة أخرى: حتى على الجبهة التجارية، يكفينا أن نعرف عنك أن هناك اشتراكًا نشطًا مرتبطًا باسم مستعار معيّن وبريد إلكتروني باسم مستعار. سيرة العميل تبقى على الطرف الآخر، لدى المتجر، وهناك تظل.

الخيارات الصعبة المترتبة على ذلك

جمع هذين المستويين معًا ليس ميزة مجانية.

إنه خيار يُغلق أبوابًا بصورة بنيوية، ويستحق أن نكون صريحين بشأن تلك الأبواب، لأن هنا يظهر ثمن الاتساق.

لا تحليلات سلوكية دقيقة لكل ملف تعريفي.

لا نستطيع ربط النشاط داخل التطبيق بهويات حقيقية، لأن الهويات الحقيقية ليست لدينا.

تطوير المنتج أعمى قليلًا تجاه الأنماط الفردية. نعتمد أكثر بكثير على الملاحظات المباشرة، وعلى الاختبارات في النسخة التجريبية، وعلى المقابلات النوعية.

الأمر ينجح، لكنه أقل تلقائية.

لا توصيات تجارية مخصّصة.

لا نقول لك «مستخدمون آخرون مثلك اشتروا كذا» انطلاقًا من ملفك. ولا ندفع إليك منتجات شركاء برعاية إعلانية بناءً على أرقامك. نموذج التنميط التجاري الذي يقتات عليه كثير من التطبيقات المجانية غير موجود في Cashfulness.

أما ما نفعله فعلًا — ونحرص على قوله بوضوح — فهو مسارات لتحسين وضعك المالي: إشارات إلى المواضع التي تدل أرقامك على إمكانية الادخار فيها، وإلى تكوين الثروة الذي يستحق وقفة تأمل، وإلى أشهر التغطية التي قد تنمو بتعديلات صغيرة.

هي إشارات تعليمية، مبنية على بياناتك، و — عندما تقتضي طبيعة البيانات ذلك — محسوبة على جهازك، على نسخة محلية مفكوكة التشفير.

توضيح مهم: لا يقدّم Cashfulness نصائح استثمارية مخصّصة. ذلك مجال المستشارين الماليين المقيّدين في السجل المختص، ولأسباب وجيهة: إنه نشاط منظَّم يتطلب كفاءات ومسؤولية وعلاقة ائتمانية تختلف عن العلاقة بينك وبين تطبيق. يساعدك Cashfulness على أن ترى بوضوح، لا على اختيار الصندوق الذي ستشتريه الأسبوع القادم.

الإشعارات والنشرة البريدية: فقط إن أردتها أنت، ولا شيء افتراضيًا.

كوننا نكره التنميط التجاري لا يعني أننا منصة خرساء.

يستطيع Cashfulness أن يرسل إليك أشياء مفيدة — وحين أقول «مفيدة» أعني لك أنت حقًا، لا لطرف ثالث: تنبيهات إذا كانت ميزانية على وشك التجاوز، واقتراحات عن المواضع التي تقول أرقامك إنك قد تدّخر فيها، ونشرة بريدية دورية قصيرة فيها تأملات تعليمية عن التمويل الشخصي وعن تحديثات المنتج.

كل ذلك باشتراك اختياري: تفعّله أنت عند التسجيل أو بعده، متى شئت، وتعطّله متى شئت.

لا خانة مؤشَّرة مسبقًا. بريدك — ولو كان باسم مستعار — يخدمنا فقط في إيصال ما طلبته، لا في مطاردتك برسائل لم تُردها.

ذكاء اصطناعي ملتزم بدقّة بمستويَي الخصوصية.

وظائف الذكاء الاصطناعي التي يطوّرها Cashfulness أو سيطوّرها تحترم التمييز الذي وصفناه أعلاه.

على المستندات (كشوف الحساب، العقود، الفواتير، وثائق التأمين) تجري معالجات الذكاء الاصطناعي التي تتطلب قراءة المحتوى على جهازك، على نسخة محلية مفكوكة التشفير. الخادم لا يرى محتوى تلك المستندات أبدًا.

وعلى البيانات المحاسبية (الأرصدة، الحركات، فئات اسمك المستعار) تعمل أي معالجات على الخادم على أرقام مجرّدة من الهوية المدنية — «المحاسبة بلا سيرة» التي تحدثت عنها قبل قليل. يستطيع الذكاء الاصطناعي أن يساعدك على قراءة أنماط مفيدة (مثلًا، أن ينبّهك إلى مصروف خارج المعتاد بالنسبة إليك، أو أن يقترح أين تقتطع)، لكن دون أن يقدر أبدًا على ربط تلك الأرقام باسم ولقب حقيقيين.

ما لن نفعله هو بناء نموذج ذكاء اصطناعي يربط مَن أنت بحياتك المالية — لأن «مَن أنت»، في Cashfulness، ليس لدينا.

لا بيع لبيانات مجمّعة يمكن ردّها إلى أشخاص.

لا نستطيع بيع «مجموعات بيانات لإنفاق الإيطاليين حسب الفئة العمرية ومحل الإقامة» للبنوك أو معاهد البحث أو وكالات الإعلان. البيانات المدنية وبيانات الإقامة ليست لدينا.

كان ذلك ليكون قناة دخل معتبرة. لقد أزلناه عمدًا من نموذج العمل.

النتيجة التجارية لهذه الخيارات واضحة: كي نصمد نعيش على الاشتراكات المباشرة من المستخدمين فقط.

طبقة Free بالحد الأدنى، واشتراك Base، واشتراك Top.

لا إعلانات، ولا بيع بيانات، ولا شراكة تتطلب الوصول إلى بيانات المستخدمين.

إنه نموذج أضيق من المعتاد في السوق، لكنه نزيه، وهو الوحيد الذي يجعل Cashfulness قادرًا على الوفاء بالوعد الذي يقطعه في أول شاشة من التهيئة.

نتيجة نحبّها في هذا النموذج: كل مستخدم يختار أن يدفع مقابل Cashfulness هو مستخدم يريد المنتج فعلًا.

لا وجود لديناميكية «المنتج مجاني لأنك أنت المنتج».

أنت العميل، والمنتج هو ما تدفع مقابله.

الشراكات أيضًا تحترم هذه القاعدة

هناك سؤال سيُطرح علينا عاجلًا أو آجلًا — ويستحق الاستباق.

لو فتح Cashfulness مستقبلًا التكامل مع خدمات مالية أخرى (مقارنات تعرفة، وسطاء تأمين، مديري استثمار)، هل يبقى مستويا الحماية هذان قائمين؟

نعم، ونصوغ القاعدة هكذا: إذا دمج Cashfulness شريكًا خارجيًا، فسينطلق الاتصال بالشريك دائمًا من جهازك، بطلب محدّد منك، لبند محدّد.

لا تجميع على الخادم أبدًا.

لا تلقائية أبدًا.

ولا شيء أبدًا دون لفتة واعية منك.

أضرب مثالًا ملموسًا، وإن كان مستقبليًا وافتراضيًا.

لنفترض أنك رفعت إلى Cashfulness فاتورة الكهرباء وتريد أن تعرف إن كان في السوق عرض أفضل.

في تطبيق معتاد، سيرسل النظام تلقائيًا إلى الشريك بيانات الفاتورة (وربما بيانات سياق أخرى)، ويتلقّى الرد، ويعرضه عليك.

أما في نموذج Cashfulness، فسترى زرًا «تحقّق مع [الشريك]» على تلك الفاتورة بعينها.

وحين تضغطه، يُنزّل هاتفك الفاتورة من أرشيف Cashfulness ويفك تشفيرها محليًا — ولنتذكّر: المستندات المرفوعة مشفّرة من طرف إلى طرف وجهازك وحده يملك المفتاح لقراءتها بنصّ ظاهر — ثم يستخرج البيانات الضرورية للتحقق فقط (الاستهلاك، الشريحة، المزوّد الحالي)، ويرسلها مباشرةً إلى الشريك دون المرور بخادمنا، ويعرض عليك الرد.

خادم Cashfulness، حتى في هذا السيناريو، لم يرَ شيئًا.

لا المستند، ولا الأرقام، ولا هويتك.

هذا ليس تنازلًا متأخرًا للخصوصية.

إنه الطريقة التي نعتقد أن الشراكات يجب أن تعمل بها في التمويل الشخصي.

بناؤها تقنيًا أكثر إزعاجًا — يتطلب حزم تطوير على الجهاز، ومصادقة دقيقة، وإدارة بيانات اعتماد على الهاتف — لكنه السبيل الوحيد المتسق مع وعد العلامة.

أما الشراكات التي ستطلب من Cashfulness وصولًا مجمّعًا على الخادم إلى البيانات، فستتلقّى رفضًا مهذّبًا.

الوعد، في جملة واحدة

هذا هو الوعد، ملخّصًا في جملة نودّ أن تبقى:

لا يعرف Cashfulness من أنت، ولا يقرأ مستنداتك، ولا يفهم أرقامك. أنت وحدك تملك كل المفاتيح.

ثلاثة أفعال مختلفة لثلاثة مستويات مختلفة.

لا يعرف من أنت: لأنك لا تخبره. ستستخدم اسمًا مستعارًا، وسيكفيك ذلك.

لا يقرأ مستنداتك: لأنها مشفّرة بمفتاح تملكه أنت وحدك.

لا يفهم أرقامك: لأنها بلا سياقك محاسبة بلا سيرة.

كل ما تبقّى من المنتج يستند إلى هذه الجملة.

مؤشرات الصحة المالية، والتمييز بين الأصول+ والأصول−، والقيد المزدوج غير المرئي، والطقس الأسبوعي للعشر دقائق — وكلها أمور نتحدث عنها في مقالات أخرى من هذه المدونة — لا تعمل حقًا إلا إذا كان فوقها سقف من الخصوصية يجعلها لك فعلًا، لا في لغة التسويق فحسب.

إن كان هذا ما تبحث عنه، فأنت في المكان الصحيح.

ننتظرك في قائمة انتظار النسخة التجريبية على cashfulness.com/beta.

أما إذا كنت تفضّل تطبيقًا يحلّل سلوكك ليقدّم لك نصائح أفضل مقابل جزء من خصوصيتك، فهذا خيار مشروع — لا عيب فيه — لكننا لن نكون ذلك المكان.

لا بأس بذلك.

Cashfulness مصمَّم للأشخاص الذين يجب أن تبقى أرقام بيتهم في بيتهم، وهو يعلم تمامًا أنه خيار بين خيارات.

— Vittorio