Većina besplatnih aplikacija koje imaš na telefonu zapravo nisu besplatne.
Nude ti ih u zamjenu za tvoje podatke.
To je razmjena.
U principu je transparentna, i u mnogim slučajevima je razmjena koja se isplati — u tome nema nikakvog skandala.
I mnoge aplikacije za lične finansije funkcionišu tako.
Daju ti besplatan ili gotovo besplatan alat za praćenje, a zauzvrat agregiraju tvoje podatke o potrošnji da bi proizveli tržišne izvještaje, personalizirane preporuke, reklamne prijedloge, profilisanje, komercijalna partnerstva.
I ovdje je to, u principu, legitiman izbor dobavljača.
Ti u trenu prihvatiš uslove korištenja i nastaviš dalje.
Cashfulness je napravio drugačiji izbor.
Ne da bismo osuđivali druge aplikacije — svako gradi svoj model, i mnogi to rade pošteno — nego zato što vjerujemo da lične finansije zaslužuju drugačiji tretman.
To je oblast gdje je magle već dovoljno, i gdje sama svijest da bi neko (makar teoretski) mogao gledati tvoje brojke oduzima smisao samom proizvodu.
Mir o kojem govorimo, ako podaci nisu sigurni, prazno je obećanje.
Zato smo izgradili Cashfulness oko precizne tehničke odluke, upisane u same temelje koda, koja funkcioniše na dva nivoa.
Prvi nivo štiti dokumente koje unosiš u Cashfulness — s radikalnom end-to-end enkripcijom (end-to-end encryption).
Drugi nivo štiti tvoj identitet i tvoje knjigovodstvene podatke — s maksimalnom anonimizacijom.
Ova dva nivoa odgovaraju na različite potrebe i koriste različite alate. Vrijedi ih objasniti jedan po jedan.
Zašto je potrebna veza (i šta to znači za privatnost)
Jedna tehnička napomena, prije nego uđemo u ta dva nivoa.
Cashfulness funkcioniše samo ako je tvoj uređaj online.
Mobilno ili desktop, aplikacija mora moći razgovarati s udaljenom bazom podataka koja živi na našim serverima (evropska infrastruktura).
Zašto ovaj izbor? Zato što tvoji knjigovodstveni podaci moraju ostati sinhronizovani između različitih uređaja koje koristiš.
Ako dodaš transakciju sa telefona na pauzi za ručak, želiš je ponovo vidjeti uveče na laptopu. Ako uradiš obrnuto, isto važi.
Bez centralizovane tačke istine, podaci bi sistematski divergirali između klijenata, i završio bi sa dvije nekonzistentne kopije svog knjigovodstva — mala noćna mora koja poništava cijeli smisao dvojnog knjigovodstva.
Dakle da, tvoje knjigovodstvo prolazi kroz udaljeni server.
To nije odricanje od privatnosti: to je tehnički uslov neophodan da bi ti se pružilo knjigovodstvo koje zaista funkcioniše na više uređaja.
Zanimljivo pitanje postaje: kako štitimo tvoju privatnost s obzirom na ovo ograničenje?
Odgovor leži u dva nivoa o kojima ti sada pričam.
Nivo 1 — Radikalna end-to-end enkripcija za dokumente
Kad počneš koristiti Cashfulness, prije ili kasnije poželjećeš unijeti u aplikaciju svoje dokumente: izvode iz banke, ugovore o hipoteci ili najmu, račune za struju i gas, polise osiguranja, potvrde o investicijama, izvještaje fondova, važne poreske priznanice.
Ovi dokumenti sadrže svašta: tvoje puno ime, adresu, poreski broj, IBAN, iznose, druge strane, detalje iz života.
To je najosjetljiviji nivo od svih.
Za njih smo napravili najstroži mogući izbor: radikalnu end-to-end enkripciju.
Tehnički termin je end-to-end enkripcija, ili E2EE.
Da bismo razumjeli šta je to bez tehničkih detalja, zamisli da želiš poslati pismo preko kurira.
Imaš dva izbora.
Izbor 1, standardni model.
Napišeš pismo otvoreno, staviš ga u kovertu, daš je kuriru.
Kurir — ako želi — može otvoriti kovertu, pročitati pismo, zabilježiti nešto, pa je ponovo zatvoriti i isporučiti.
Ti vjeruješ da to neće uraditi jer je obećao da neće, možda zato što postoje zakoni koji mu to zabranjuju i daju ti neku garanciju.
Ali fizički, može.
Izbor 2, end-to-end enkripcija.
Napišeš pismo, zatvoriš ga u metalnu kutiju koja se otvara samo posebnim ključem.
Ključ imaš samo ti. Samo ti.
Daš kutiju kuriru. Kurir je transportuje i skladišti.
Čak i da je uzme i odnese kući, ne bi je mogao otvoriti, jer nema ključ.
Kad ti zatreba pismo, ti sam otvoriš kutiju svojim ključem i pročitaš.
End-to-end enkripcija dokumenata u Cashfulnessu je metalna kutija iz Izbora 2.
Kad učitaš dokument u aplikaciju, tvoj uređaj ga enkriptuje prije nego što ga pošalje serveru. Na server stiže i ostaje enkriptovan.
Za server je svaki tvoj dokument blok digitalnog šuma.
Ključ za dešifrovanje postoji samo na tvom uređaju, izveden iz tvoje lične lozinke i tvojih 24 riječi za oporavak (takozvana seed phrase, danas najsolidniji standard za generisanje i zaštitu ličnih kriptografskih ključeva).
Šta to znači u praksi:
- Server Cashfulnessa ne može čitati tvoje dokumente. Ni mi koji smo napravili aplikaciju, ni oni koji upravljaju infrastrukturom, ni eventualni budući napadač.
- Ako bi sutra Cashfulness bio kompromitovan i svi dokumenti na serverima ukradeni, napadač bi vidio šum. Neupotrebljivo.
- Čak bi i vlast koja bi zvanično zatražila tvoje dokumente dobila šum. Ne možemo ih dati, jer ih nemamo u čitljivom obliku.
Postoji i druga strana medalje, i želimo biti iskreni o tome.
Ako izgubiš svoju lozinku i izgubiš i 24 riječi za oporavak, tvoji dokumenti postaju nečitljivi čak i za tebe.
Zauvijek.
Ne možemo ih vratiti, jer tehnički ne možemo pročitati ono što si enkriptovao. Ne postoji „oporavak lozinke putem e-maila“ koji bi ti vratio dokumente, jer ne postoji niko s druge strane ko bi to mogao uraditi.
Ključ je samo tvoj.
To znači slobodu — samo ti možeš pristupiti — i odgovornost — samo ti možeš izgubiti pristup.
To je filozofski izbor. Radije ti dajemo potpunu kontrolu, čak i ako to uključuje teret čuvanja tvojih vjerodajnica, nego da čuvamo „sigurnosnu“ kopiju na našem serveru. Ta kopija bi, prije ili kasnije, mogla postati tačka kompromitacije.
Ključ koji postoji samo na tvom telefonu — ne.
Nivo 2 — Maksimalna anonimizacija identiteta i knjigovodstvenih podataka
Drugi nivo je drugačiji, i pokriva sve ostalo: ko si i šta radiš unutar aplikacije u smislu brojki.
Za ove podatke smo odabrali drugu strategiju, jer je problem drugačije prirode.
Dokumenti su „kutije“ sa osjetljivim sadržajem, i ima smisla ih potpuno enkriptovati.
Knjigovodstveni podaci su, naprotiv, živa struktura: brojke, računi, kategorije, transakcije koje ti trebaju svaki dan, i na kojima Cashfulness gradi metrike finansijskog zdravlja koje ti prikazuje.
Enkriptovati ih na isti način kao dokumente učinilo bi aplikaciju izuzetno sporom i u mnogim slučajevima neupotrebljivom.
Naš odgovor nije apsolutna enkripcija. To je maksimalna anonimizacija.
U praksi to znači dvije stvari.
Cashfulness ne želi ni znati kako se zoveš.
Kad se registruješ, ne tražimo ime i prezime.
Tražimo nadimak (nickname) — koji god želiš, može biti i potpuno izmišljen.
Tražimo e-mail za tehnički kontakt (oporavak pristupa, servisna obavještenja), i lozinku.
Stop.
Nikakav poreski broj, nikakav datum rođenja, nikakva adresa, nikakav broj telefona, nikakva veza s tvojim bankovnim računom, nikakva provjera identiteta.
Za Cashfulness, ti si nadimak s e-mailom. Ništa više.
Tvoje knjigovodstvene prostore je teško dešifrovati za bilo koga ko nisi ti.
Aplikacija te poziva da razdvojiš prihode i rashode u specifične račune i podračune. Nazive koje daš tim računima, oznake svojih transakcija, nivo detaljnosti kojim opisuješ svoj finansijski život — sve to biraš ti, rječnikom koji ti je najkorisniji.
Cashfulness te nikad ne traži da unosiš lične podatke u nazive računa: nikakav poreski broj, nikakav IBAN u naslovima, nikakva vlastita imena. Nazivi su funkcionalni (na primjer: „Plata“, „Glavni tekući račun“, „Stambeni kredit“, „Troškovi auta“, „Naplaćene kirije“): opisuju funkciju, ne tebe.
Kombinovani, ova dva faktora — nadimak koji ne otkriva ko si, i nazivi računa koji opisuju šta, a ne ko — čine tvoje knjigovodstvo teškim za razumjeti i nemogućim za povezati s tobom za bilo koga osim tebe samog.
Konkretan rezultat je ovaj: čak i ako bi neko (napadač, nepošten zaposlenik, vlast) mogao gledati bazu podataka na serveru, vidio bi određeni nadimak s planom računa, saldima i transakcijama.
Ne bi znao ko je taj nadimak.
Ne bi imao način da poveže te brojke sa stvarnom osobom iza ekrana.
Vidio bi knjigovodstvo bez biografije.
Nekoliko praktičnih savjeta da ostaneš zaista anoniman
Anonimnost nije samo naše obećanje: to je i tvoj mali gest.
Ako želiš da tvoje knjigovodstvo bude nerazumljivo bilo kome osim tebi, savjetujemo ti da:
- Nazivaš račune po funkciji, ne po osobi. „Bankovni račun“, „Plata“, „Stambeni kredit“, „Zajednički račun“ funkcionišu dobro. „Račun Marka Markovića“ ili IBAN ispisan u naslovu otvaraju nepotreban procjep.
- Ostaviš opise transakcija prirodno generičnim. Po prirodi već i jesu: „doručak u kafiću“, „večera u restoranu“, „sipanje goriva“, „kupovina u supermarketu“. Niko osim tebe ne bi znao da li je ta večera u restoranu bila u Sarajevu s klijentom ili u Mostaru sa sestrom.
- Koristiš pseudonimni e-mail za registraciju, ako želiš to dovesti do krajnosti. Tvoj e-mail služi samo za prijavu i za dostavu servisnih obavještenja: niko te ne tjera da koristiš „službeni“ tipa
ime.prezime@domen.ba. Sasvim je u redu pseudonimni tipaaurora.od.noci@protonmail.comili bilo koji drugi koji ti odgovara.
Čak je i plaćanje anonimno (za nas)
Poenta koju čitalac obično ne očekuje, a vrijedi je jasno reći.
Za pretplate na Cashfulness ne tražimo direktno kreditnu karticu, IBAN, niti podatke za fakturisanje. Plaćanje ide kroz prodavnicu iz koje si preuzeo aplikaciju: App Store (Apple) ili Google Play (Google) za mobilne verzije, Stripe za plaćanja s web stranice.
Upravo ove treće strane vide tvoje ime, adresu, kreditnu karticu ili IBAN — jer tehnički su oni ti koji naplaćuju. Njima, po pravilu, pripada izdavanje faktura ili poreskih priznanica za tvoju pretplatu (prema pravilima tvoje zemlje).
Cashfulness, s druge strane te cijevi, prima samo neto uplatu i neprozirni identifikator pretplate (nešto poput sub_abc123).
Nikad ne vidimo: ime klijenta, poreski broj, kreditnu karticu, IBAN.
Ne izdajemo fakture niti poreske priznanice krajnjim korisnicima.
Drugim riječima: čak i na komercijalnom frontu, o tebi nam je dovoljno znati da postoji aktivna pretplata vezana za određeni nadimak i određeni pseudonimni e-mail. Biografija klijenta ostaje s druge strane, kod prodavnice, i tamo i ostaje.
Teški izbori koji iz toga proizlaze
Spajanje ova dva nivoa nije besplatna funkcija.
To je izbor koji strukturno zatvara neka vrata, i o tim vratima vrijedi biti eksplicitan, jer se upravo tu vidi cijena dosljednosti.
Nema granularne analitike ponašanja po profilu.
Ne možemo povezati aktivnost unutar aplikacije sa stvarnim identitetima, jer stvarne identitete nemamo.
Razvoj proizvoda je malo slijeplji po pitanju individualnih obrazaca. Mnogo više se oslanjamo na direktne povratne informacije, beta testove, kvalitativne intervjue.
Funkcioniše, ali je manje automatski.
Nema personalizovanih komercijalnih preporuka.
Ne kažemo ti „drugi korisnici poput tebe su kupili X“ na osnovu tvog profila. Ne guramo ti proizvode sponzorisanih partnera na osnovu tvojih brojki. Model komercijalnog profilisanja, koji je hljeb mnogih besplatnih aplikacija, u Cashfulnessu ne postoji.
Ono što, s druge strane, radimo — i stalo nam je da to jasno kažemo — jesu putevi poboljšanja tvoje finansijske situacije: naznake gdje tvoje brojke sugerišu da bi se moglo štedjeti, gdje sastav imovine zaslužuje razmišljanje, gdje bi mjeseci pokrivenosti mogli rasti uz male prilagodbe.
To su edukativne naznake, izgrađene na tvojim podacima, i — kad priroda podataka to zahtijeva — izračunate na tvom uređaju, na lokalnoj dešifrovanoj kopiji.
Jedno važno pojašnjenje: Cashfulness ne daje personalizovane investicijske savjete. To je teritorija licenciranih finansijskih savjetnika, i s dobrim razlogom: to je regulisana djelatnost koja zahtijeva stručnost, odgovornost i fiducijarni odnos drugačiji od onog između tebe i aplikacije. Cashfulness ti pomaže da vidiš jasno, ne da izabereš koji fond kupiti sljedeće sedmice.
Obavještenja i newsletter: samo ako ih ti želiš, nikad podrazumijevano.
Činjenica da smo alergični na komercijalno profilisanje ne znači da smo nijema platforma.
Cashfulness ti može slati korisne stvari — a kad kažem „korisne“ mislim zaista za tebe, ne za treće strane: upozorenja ako budžet uskoro pređe limit, prijedloge gdje tvoje brojke govore da bi mogao uštedjeti, kratak periodičan newsletter s edukativnim razmišljanjima o ličnim finansijama i ažuriranjima proizvoda.
Sve ovo je opt-in: ti to aktiviraš tokom registracije ili kasnije, kad želiš, i deaktiviraš kad želiš.
Nijedno polje nije unaprijed označeno. Tvoj e-mail — čak i ako je pseudonimni — nama služi samo da dostavimo ono što si tražio, ne da te progonimo porukama koje nisi htio.
AI strogo usklađen s dva nivoa privatnosti.
Funkcionalnosti vještačke inteligencije koje Cashfulness razvija ili će razviti poštuju razliku koju smo opisali iznad.
Na dokumentima (izvodi, ugovori, računi, polise), AI obrade koje zahtijevaju čitanje sadržaja odvijaju se na tvom uređaju, na lokalnoj dešifrovanoj kopiji. Server nikad ne vidi sadržaj tih dokumenata.
Na knjigovodstvenim podacima (salda, transakcije, kategorije tvog nadimka), eventualne server-side obrade rade na brojkama bez ličnog identiteta — „knjigovodstvo bez biografije“ o kojem sam govorio ranije. AI ti može pomoći da uočiš korisne obrasce (na primjer, da ti ukaže na trošak van uobičajenog raspona, ili predloži gdje smanjiti), ali bez mogućnosti da te brojke ikad poveže sa stvarnim imenom i prezimenom.
Ono što nećemo uraditi jeste izgraditi AI model koji povezuje ko si s tvojim finansijskim životom — jer „ko si“, u Cashfulnessu, mi to nemamo.
Nema prodaje agregiranih podataka koji se mogu povezati s osobama.
Ne možemo prodati „skup podataka o potrošnji stanovništva po dobnoj skupini i mjestu prebivališta“ bankama, istraživačkim institutima, reklamnim agencijama. Podatke o dobi i prebivalištu nemamo.
To bi bio značajan izvor prihoda. Namjerno smo ga izbacili iz poslovnog modela.
Komercijalna posljedica ovih izbora je jasna: da bismo se održali, živimo isključivo od direktnih pretplata korisnika.
Minimalni besplatni nivo, pretplata Base, pretplata Top.
Nikakve reklame, nikakva prodaja podataka, nikakvo partnerstvo koje zahtijeva pristup podacima korisnika.
To je uži model od tržišnog standarda, ali je pošten, i jedini je koji Cashfulnessu omogućava da održi obećanje koje daje na prvom ekranu onboardinga.
Jedna posljedica ovog modela koja nam se sviđa: svaki korisnik koji odluči platiti za Cashfulness zaista želi proizvod.
Nema dinamike po kojoj „proizvod je besplatan jer si ti proizvod“.
Ti si klijent, a proizvod je ono što plaćaš.
I partnerstva poštuju ovo pravilo
Postoji pitanje koje će nam prije ili kasnije biti postavljeno — i vrijedi ga unaprijed razjasniti.
Ako bi u budućnosti Cashfulness otvorio integracije s drugim finansijskim uslugama (uporedne platforme tarifa, brokeri osiguranja, upravitelji investicija), bi li ova dva nivoa zaštite ostala na snazi?
Da, i pravilo formulišemo ovako: ako Cashfulness integriše vanjskog partnera, poziv partneru uvijek će polaziti s tvog uređaja, na tvoj specifičan zahtjev, za jednu specifičnu stavku.
Nikad agregirano na serveru.
Nikad automatski.
Nikad bez tvog svjesnog gesta.
Da navedem konkretan primjer, koliko god budući i hipotetičan.
Pretpostavimo da si učitao u Cashfulness svoj račun za struju i želiš znati postoji li bolja ponuda na tržištu.
U standardnoj aplikaciji, sistem bi automatski poslao partneru podatke iz računa (i možda druge kontekstne podatke), primio odgovor, i prikazao ti ga.
U Cashfulness modelu, umjesto toga, vidjećeš dugme „provjeri kod [partner]“ na tom konkretnom računu.
Kad ga pritisneš, tvoj telefon preuzima račun iz Cashfulness arhive, dešifruje ga lokalno — jer da se podsjetimo: učitani dokumenti su enkriptovani end-to-end i samo tvoj uređaj ima ključ da ih pročita u čitljivom obliku — izdvaja samo podatke potrebne za provjeru (potrošnja, tarifni razred, trenutni dobavljač), šalje ih direktno partneru bez prolaska kroz naš server, i prikazuje ti odgovor.
Server Cashfulnessa, čak i u ovom scenariju, nije vidio ništa.
Ni dokument, ni brojke, ni tvoj identitet.
Ovo nije zakasnjela ustupka privatnosti.
Ovo je način na koji mislimo da partnerstva treba da funkcionišu u ličnim finansijama.
Neugodnije je tehnički izgraditi — zahtijeva SDK na strani uređaja, finu autentifikaciju, upravljanje vjerodajnicama na telefonu — ali je jedini način dosljedan obećanju brenda.
Partnerstva koja od Cashfulnessa zatraže agregirani pristup podacima na serveru dobiće ljubazno „ne“.
Obećanje, u jednoj rečenici
Ovo je obećanje, sažeto u rečenici za koju bismo željeli da ostane:
Cashfulness ne zna ko si, ne čita tvoje dokumente, ne razumije tvoje brojke. Samo ti imaš sve ključeve.
Tri različita glagola za tri različita nivoa.
Ne zna ko si: jer mu to ne kažeš. Koristićeš nadimak, i to će ti biti dovoljno.
Ne čita tvoje dokumente: jer su enkriptovani ključem koji posjeduješ samo ti.
Ne razumije tvoje brojke: jer bez tvog konteksta oni su knjigovodstvo bez biografije.
Sav ostatak proizvoda oslanja se na ovu rečenicu.
Metrike finansijskog zdravlja, razlika između Aktive+ i Aktive-, nevidljivo dvojno knjigovodstvo, sedmični ritual od deset minuta — sve stvari o kojima govorimo u drugim člancima ovog bloga — zaista funkcionišu samo ako iznad njih postoji krov privatnosti koji ih čini zaista tvojima, ne samo u marketinškom jeziku.
Ako je to ono što tražiš, na pravom si mjestu.
Čekamo te na listi čekanja za betu na cashfulness.com/beta.
Ako, s druge strane, preferiraš aplikaciju koja ti analizira ponašanje da bi ti bolje savjetovala u zamjenu za dio tvoje privatnosti, to je legitiman izbor — u tome nema ničeg lošeg — ali to nećemo biti mi.
U redu je i tako.
Cashfulness je zamišljen za ljude kojima brojke od kuće moraju ostati kod kuće, i vrlo dobro zna da je izbor među drugima.
— Vittorio