Повечето безплатни приложения на телефона ти всъщност не са безплатни.
Предлагат ти ги в замяна на твоите данни.
Това е размяна.
Принципно е прозрачна, и в много случаи е и размяна, която си струва да се направи — няма нищо скандално в това.
Много приложения за лични финанси работят по същия начин.
Дават ти безплатен или почти безплатен инструмент за проследяване, а в замяна агрегират данните ти за разходите, за да произвеждат пазарни доклади, персонализирани препоръки, рекламни предложения, профилиране, търговски партньорства.
И тук, принципно, е законен избор на доставчика.
Ти за миг приемаш условията за ползване и продължаваш.
Cashfulness направи различен избор.
Не за да съдим другите приложения — всеки изгражда собствен модел, и мнозина го правят честно —, а защото вярваме, че личните финанси заслужават различно отношение.
Това е област, в която мъглата вече е достатъчна, и в която самото съзнание, че някой (макар и само теоретично) може да гледа твоите числа, отнема самия смисъл на продукта.
Спокойствието, за което говорим, ако данните не са сигурни, е празно обещание.
Затова изградихме Cashfulness около точен технически избор, вписан в самите основи на кода, който работи на две нива.
Първото ниво защитава документите, които внасяш в Cashfulness — с радикално криптиране от край до край.
Второто ниво защитава твоята самоличност и твоите счетоводни данни — с максимална анонимизация.
Двете нива отговарят на различни нужди и използват различни инструменти. Струва си да ги обясним поотделно.
Защо е нужна връзка (и какво означава това за поверителността)
Едно техническо предисловие, преди да навлезем в двете нива.
Cashfulness работи само ако устройството ти е онлайн.
На мобилно устройство или на компютър, приложението трябва да може да говори с отдалечена база данни, която живее на нашите сървъри (европейска инфраструктура).
Защо този избор? Защото счетоводните ти данни трябва да останат синхронизирани между различните устройства, които използваш.
Ако добавиш транзакция от смартфона по време на обедната почивка, искаш да я видиш отново вечерта от лаптопа. Ако направиш обратното, същото.
Без централна точка на истина данните биха се разминавали системно между клиентите, и би се озовал/а с две несъответстващи копия на счетоводството си — малък кошмар, който обезсмисля цялата двустранна счетоводна логика.
Така че да, счетоводството ти преминава през отдалечен сървър.
Това не е отказ от поверителност: това е техническото условие, необходимо, за да ти дадем счетоводство, което наистина работи на няколко устройства.
Интересният въпрос става: как защитаваме поверителността ти при това условие?
Отговорът е в двете нива, които сега ти описвам.
Ниво 1 — Радикално криптиране от край до край за документите
Когато започнеш да използваш Cashfulness, рано или късно ще поискаш да внесеш в приложението своите документи: банкови извлечения, договори за ипотека или наем, сметки за ток и газ, застрахователни полици, удостоверения за инвестиции, отчети на фондове, важни данъчни разписки.
Тези документи съдържат всичко: пълното ти име, адрес, ЕГН, IBAN, суми, контрагенти, подробности от живота ти.
Това е най-чувствителното ниво от всички.
За тях направихме най-строгия възможен избор: радикално криптиране от край до край.
Техническият термин е криптиране от край до край, или E2EE.
За да разбереш какво е това без технически термини, представи си, че искаш да изпратиш писмо чрез куриер.
Имаш два избора.
Избор 1, стандартен модел.
Пишеш писмото открито, слагаш го в плик, даваш го на куриера.
Куриерът — ако иска — може да отвори плика, да прочете писмото, да си води бележки, а после отново да го затвори и да го достави.
Ти вярваш, че няма да го направи, защото е обещал, че няма да го направи, може би защото има закони, които му го забраняват и ти дават известна гаранция.
Но физически, може.
Избор 2, криптиране от край до край.
Пишеш писмото и го затваряш в метална кутия, която се отваря само с определен ключ.
Ключът е у теб. Само у теб.
Даваш кутията на куриера. Куриерът я превозва и я съхранява.
Дори ако я вземе и я занесе у дома си, не би могъл да я отвори, защото няма ключ.
Когато ти потрябва писмото, ти самата отваряш кутията със своя ключ и четеш.
Криптирането от край до край на документите в Cashfulness е металната кутия от Избор 2.
Когато качиш документ в приложението, твоето устройство го криптира, преди да го изпрати на сървъра. На сървъра пристига и остава криптиран.
За сървъра всеки твой документ е блок цифров шум.
Ключът за декриптирането съществува само на твоето устройство, изведен от твоята лична парола и твоите 24 думи за възстановяване (така наречената seed phrase, най-солидният стандарт, наличен днес, за генериране и защита на лични криптографски ключове).
Какво означава това на практика:
- Сървърът на Cashfulness не може да прочете документите ти. Нито ние, които изградихме приложението, нито тези, които управляват инфраструктурата, нито евентуален бъдещ нападател.
- Ако утре Cashfulness бъде компрометиран и всички документи на сървърите бъдат откраднати, нападателят би видял шум. Неизползваемо.
- Дори орган на властта, който официално поиска документите ти, би получил шум. Не можем да ги предадем, защото не ги имаме в четлив вид.
Има и обратна страна на монетата, и искаме да сме честни за това.
Ако загубиш паролата си и заедно с нея загубиш и 24-те думи за възстановяване, документите ти стават нечетими дори за теб.
Завинаги.
Не можем да ги възстановим, защото технически не можем да прочетем това, което си криптирал/а. Няма „възстановяване на парола по имейл“, което да ти върне документите, защото от другата страна няма никой, който да може да го направи.
Ключът е само твой.
Това означава свобода — само ти можеш да имаш достъп — и отговорност — само ти можеш да загубиш достъпа.
Това е философски избор. Предпочитаме да ти дадем пълен контрол, дори това да включва тежестта да пазиш собствените си идентификационни данни, отколкото да пазим „резервно“ копие на нашия сървър. Това копие рано или късно би могло да се превърне в точка на компрометиране.
Ключ, който съществува само на твоя телефон — не.
Ниво 2 — Максимална анонимизация на самоличността и счетоводните данни
Второто ниво е различно и обхваща всичко останало: кой си и какво правиш вътре в приложението по отношение на числата.
За тези данни избрахме друга стратегия, защото проблемът е от различно естество.
Документите са „кутии“ с чувствително съдържание, и има смисъл да се криптират изцяло.
Счетоводните данни, напротив, са жива структура: числа, сметки, категории, движения, от които се нуждаеш всеки ден и върху които Cashfulness изгражда показателите за финансово здраве, които ти показва.
Да ги криптираме по същия начин като документите би направило приложението изключително бавно и в много случаи неизползваемо.
Нашият отговор не е абсолютното криптиране. Той е максималната анонимизация.
На практика това означава две неща.
Cashfulness дори не иска да знае как се казваш.
Когато се регистрираш, не те питаме за име и фамилия.
Питаме те за прякор — какъвто искаш, може да е и напълно измислен.
Питаме те за имейл за технически контакти (възстановяване на достъпа, служебни съобщения) и парола.
Това е всичко.
Никакво ЕГН, никаква дата на раждане, никакъв адрес, никакъв телефонен номер, никаква връзка с банковата ти сметка, никаква проверка на самоличността.
За Cashfulness ти си прякор с имейл. Нищо повече.
Твоите счетоводни пространства са трудни за разчитане от всеки, който не си ти.
Приложението те приканва да разпределиш приходите и разходите в конкретни сметки и подсметки. Имената, които даваш на тези сметки, етикетите на движенията си, степента на детайлност, с която описваш финансовия си живот — за тях решаваш ти, с речника, който е най-полезен за теб.
Cashfulness никога не те кара да въвеждаш лични данни в имената на сметките: никакво ЕГН, никакъв IBAN в заглавията, никакво собствено име. Имената са функционални (например: „Заплата“, „Основна разплащателна сметка“, „Ипотека за жилище“, „Разходи за кола“, „Получени наеми“): описват функция, не теб.
Комбинирани, тези два фактора — прякор, който не разкрива кой си, и имена на сметки, които описват какво, а не кой — правят счетоводството ти трудно за разбиране и невъзможно за свързване с теб за всеки, който не си самият/самата ти.
Конкретният резултат е следният: дори някой (нападател, нечестен служител, орган на властта) да можеше да погледне базата данни от страна на сървъра, би видял определен прякор с план на сметките, салда и движения.
Не би знаел кой е този прякор.
Не би имал начин да свърже тези числа с реалния човек зад екрана.
Би видял счетоводство без биография.
Няколко практически съвета, за да останеш наистина анонимен/на
Анонимността не е само наше обещание: тя е и твой малък жест.
Ако искаш счетоводството ти да е неразбираемо за всеки, който не си ти, ти препоръчваме:
- Наименувай сметките по функция, не по лице. „Банкова сметка“, „Заплата“, „Ипотека за жилище“, „Съвместна сметка“ работят добре. „Сметка на Иван Иванов“ или изписан цял IBAN в заглавието отварят излишна пролука.
- Оставяй описанията на транзакциите естествено общи. По своята природа те вече са такива: „закуска в кафенето“, „вечеря в ресторант“, „зареждане с гориво“, „пазаруване в супермаркета“. Никой освен теб не би могъл да разбере дали онази вечеря в ресторант е била в София с клиент или в Пловдив със сестра ти.
- Използвай псевдонимен имейл за регистрацията, ако искаш да доведеш това до крайност. Твоят имейл служи само за вход и за доставка на служебни съобщения: никой не те задължава да използваш „официален“ от типа
ime.familia@domain.bg. Напълно подходящ е псевдоним от типаaurora.di.notte@protonmail.comили всеки друг, който ти е удобен.
Дори плащането е анонимно (за нас)
Една подробност, която читателят обикновено не очаква, и си струва да се каже ясно.
За абонаментите за Cashfulness не те питаме директно за кредитна карта, IBAN или данни за фактуриране. Плащането преминава през магазина, от който си свалил/а приложението: App Store (Apple) или Google Play (Google) за мобилните версии, Stripe за плащанията от уебсайта.
Тези трети страни виждат името ти, адреса, картата или IBAN — защото технически те инкасират сумата. На тях, като правило, се пада и издаването на фактури или касови бележки за твоя абонамент (според правилата на твоята държава).
Cashfulness, от другата страна на тази тръба, получава само нетното постъпление и непрозрачен идентификатор на абонамента (нещо като sub_abc123).
Никога не виждаме: име на клиент, ЕГН, кредитна карта, IBAN.
Не издаваме фактури или касови бележки на крайните потребители.
С други думи: и от търговска гледна точка, за теб ни е достатъчно да знаем, че съществува активен абонамент, свързан с определен прякор и определен псевдонимен имейл. Биографията на клиента остава от другата страна, при магазина, и там си остава.
Трудните избори, които произтичат от това
Съчетаването на тези две нива не е безплатна функция.
Това е избор, който структурно затваря някои врати, и за тези врати си струва да сме ясни, защото именно тук се вижда цената на последователността.
Никакви подробни поведенчески анализи по профил.
Не можем да свързваме дейността вътре в приложението с реални самоличности, защото реалните самоличности не ги притежаваме.
Развитието на продукта е малко по-„сляпо“ за индивидуалните модели. Разчитаме много повече на директна обратна връзка, бета тестове, качествени интервюта.
Работи, но е по-малко автоматично.
Никакви персонализирани търговски препоръки.
Не ти казваме „други потребители като теб са купили X“ въз основа на профила ти. Не ти натрапваме продукти на спонсорирани партньори, опирайки се на числата ти. Моделът на търговско профилиране, който е хлябът на толкова много безплатни приложения, в Cashfulness го няма.
Това, което вместо това правим — и държим да го кажем ясно — са пътища за подобряване на финансовото ти положение: указания къде числата ти подсказват, че би могъл/могла да спестяваш, къде композицията на имуществото заслужава размисъл, къде месеците на покритие биха могли да нараснат с малки корекции.
Това са образователни указания, изградени върху твоите данни, и — когато естеството на данните го изисква — изчислявани на твоето устройство, върху локално декриптирано копие.
Едно важно уточнение: Cashfulness не дава персонализирани инвестиционни съвети. Това е територия на финансовите консултанти, вписани в съответния регистър, и то по основателни причини: това е регулирана дейност, която изисква компетентност, отговорност и доверителна връзка, различна от тази между теб и едно приложение. Cashfulness ти помага да виждаш ясно, а не да избираш фонда, който ще купиш следващата седмица.
Известия и бюлетин: само ако ги искаш ти, никога по подразбиране.
Фактът, че сме алергични към търговското профилиране, не означава, че сме няма платформа.
Cashfulness може да ти изпраща полезни неща — и когато казвам „полезни“, наистина имам предвид за теб, не за трети страни: сигнал, ако даден бюджет наближава превишаване, предложения къде числата ти показват, че би могъл/могла да спестиш, кратък периодичен бюлетин с образователни размисли за личните финанси и новостите на продукта.
Всичко това е opt-in: активираш го ти при регистрацията или по-късно, когато поискаш, и го деактивираш, когато поискаш.
Никое квадратче не е предварително отметнато по подразбиране. Твоят имейл — дори псевдонимен — ни служи само да доставяме това, което си поискал/а, а не за да те преследваме със съобщения, които не си искал/а.
AI, строго съобразен с двете нива на поверителност.
Функционалностите на изкуствен интелект, които Cashfulness разработва или ще разработи, спазват разграничението, което описахме по-горе.
При документите (извлечения, договори, сметки, полици) обработките с AI, които изискват четене на съдържанието, се извършват на твоето устройство, върху локално декриптирано копие. Сървърът никога не вижда съдържанието на тези документи.
При счетоводните данни (салда, движения, категории на твоя прякор) евентуалните обработки на страна сървър работят върху числа без гражданска самоличност — „счетоводството без биография“, за което говорих преди малко. AI може да ти помогне да разчетеш полезни модели (например, да ти сигнализира разход извън обичайния ти мащаб, или да предложи къде да намалиш), но без никога да може да свърже тези числа с реално име и фамилия.
Това, което няма да направим, е да изградим модел на AI, който да свързва кой си с финансовия ти живот — защото „кой си“, в Cashfulness, не го притежаваме.
Никаква продажба на агрегирани данни, свързваеми с лица.
Не можем да продаваме „набори от данни за разходите по възрастова група и местожителство“ на банки, изследователски институти, рекламни агенции. Гражданските данни и данните за местожителство не ги притежаваме.
Това би бил значителен канал за приходи. Съзнателно го изключихме от бизнес модела.
Търговската последица от тези избори е ясна: за да се издържаме, живеем единствено от преки абонаменти на потребителите.
Минимално безплатно ниво, абонамент Premium, абонамент Ultra.
Никаква реклама, никаква продажба на данни, никакво партньорство, което да изисква достъп до данните на потребителите.
Това е модел, по-строг от стандарта на пазара, но е честен, и е единственият, който позволява на Cashfulness да спази обещанието, което дава на първия екран на онбординга.
Последица, която харесваме в този модел: всеки потребител, който избере да плаща за Cashfulness, е потребител, който наистина иска продукта.
Няма динамика, при която „продуктът е безплатен, защото ти си продуктът“.
Ти си клиентът, и продуктът е това, за което плащаш.
Дори партньорствата спазват това правило
Има един въпрос, който рано или късно ще ни бъде зададен — и си струва да го изпреварим.
Ако в бъдеще Cashfulness се отвори за интеграции с други финансови услуги (сравнители на тарифи, застрахователни брокери, управители на инвестиции), тези две нива на защита биха ли останали в сила?
Да, и формулираме правилото така: ако Cashfulness интегрира външен партньор, повикването към партньора винаги ще започва от твоето устройство, по твое конкретно искане, за конкретен запис.
Никога агрегирано от страна на сървъра.
Никога автоматично.
Никога без твоя съзнателен жест.
Ще дам конкретен пример, колкото и бъдещ и хипотетичен да е той.
Да предположим, че си качил/а в Cashfulness сметката си за ток и искаш да разбереш дали има по-добра оферта на пазара.
В стандартно приложение системата автоматично би изпратила на партньора данните от сметката (и може би други контекстни данни), би получила отговора и би ти го показала.
В модела на Cashfulness, вместо това, ще видиш бутон „провери с [партньор]“ върху конкретно тази сметка.
Когато го натиснеш, твоят телефон изтегля сметката от архива на Cashfulness, декриптира я локално — защото нека си спомним: качените документи са криптирани от край до край и само твоето устройство има ключа, за да ги прочете в четлив вид —, извлича само нужните за проверката данни (консумация, тарифна зона, настоящ доставчик), изпраща ги директно на партньора, без да минават през нашия сървър, и ти показва отговора.
Сървърът на Cashfulness, дори в този сценарий, не е видял нищо.
Нито документа, нито числата, нито твоята самоличност.
Това не е закъсняла отстъпка към поверителността.
Това е начинът, по който смятаме, че партньорствата трябва да работят в личните финанси.
По-неудобно е за изграждане технически — изисква SDK от страна на устройството, фина автентикация, управление на идентификационни данни на телефона —, но е единственият начин, съгласуван с обещанието на марката.
Партньорствата, които поискат от Cashfulness агрегиран достъп до данни от страна на сървъра, любезно ще получат отказ.
Обещанието, в едно изречение
Ето обещанието, обобщено в изречение, за което бихме искали да остане:
Cashfulness не знае кой си, не чете документите ти, не разбира числата ти. Само ти имаш всички ключове.
Три различни глагола за три различни нива.
Не знае кой си: защото не му го казваш. Ще използваш прякор, и той ще ти е достатъчен.
Не чете документите ти: защото са криптирани с ключ, който притежаваш само ти.
Не разбира числата ти: защото без твоя контекст те са счетоводство без биография.
Целият останал продукт се опира на това изречение.
Показателите за финансово здраве, разграничението между Актив+ и Актив-, невидимото двустранно счетоводство, седмичният ритуал от десет минути — все неща, за които говорим в другите статии на този блог — работят наистина само ако над тях има таван на поверителността, който ги прави наистина твои, не само на езика на маркетинга.
Ако това търсиш, ти си на правилното място.
Очакваме те в бета списъка на чакащите на cashfulness.com/beta.
Ако пък предпочиташ приложение, което анализира поведението ти, за да те съветва по-добре в замяна на част от поверителността ти, това е законен избор — няма нищо лошо в него —, но ние няма да бъдем това място.
Добре е и така.
Cashfulness е замислен за хората, за които домашните числа трябва да останат вкъщи, и знае много добре, че е избор сред други.
— Vittorio