Většina bezplatných aplikací, které máš v telefonu, není zadarmo.
Dostáváš je výměnou za svá data.
Je to směna.
V zásadě je transparentní a v mnoha případech je to i směna, která se vyplatí — není na tom nic skandálního.
Takhle funguje i spousta aplikací pro osobní finance.
Dají ti nástroj na sledování výdajů zdarma nebo skoro zdarma a na oplátku agregují tvá data o útratách, aby z nich vyráběly tržní reporty, personalizovaná doporučení, reklamní tipy, profilování, obchodní partnerství.
I tady jde v zásadě o legitimní volbu poskytovatele.
Ty během okamžiku odsouhlasíš podmínky služby a jedeš dál.
Cashfulness se rozhodl jinak.
Ne proto, abychom soudili ostatní aplikace — každý si staví vlastní model a mnozí to dělají poctivě — ale protože věříme, že osobní finance si zaslouží jiné zacházení.
Je to oblast, kde je mlhy už tak dost a kde vědomí, že se někdo (byť jen teoreticky) může dívat na tvá čísla, bere produktu jeho samotný smysl.
Klid, o kterém mluvíme, je vyprázdněný slib, pokud data nejsou v bezpečí.
Proto jsme Cashfulness postavili kolem přesné technické volby, zapsané do základů kódu, která funguje na dvou úrovních.
První úroveň chrání dokumenty, které si do Cashfulness přineseš — radikálním koncovým šifrováním.
Druhá úroveň chrání tvou identitu a tvá účetní data — maximální anonymizací.
Obě úrovně odpovídají na různé potřeby a používají různé nástroje. Stojí za to vysvětlit je jednu po druhé.
Proč je potřeba připojení (a co to znamená pro soukromí)
Technická poznámka na úvod, než se pustíme do obou úrovní.
Cashfulness funguje jen tehdy, když je tvé zařízení online.
Na mobilu i na počítači musí aplikace umět mluvit se vzdálenou databází, která žije na našich serverech (evropská infrastruktura).
Proč tahle volba? Protože tvá účetní data musí zůstat synchronizovaná mezi různými zařízeními, která používáš.
Když přidáš transakci z telefonu o polední pauze, chceš ji večer vidět z notebooku. Když to uděláš naopak, totéž.
Bez centralizovaného bodu pravdy by se data mezi klienty systematicky rozcházela a skončil bys se dvěma nekonzistentními kopiemi svého účetnictví — malá noční můra, která maří celý smysl podvojného účetnictví.
Takže ano, tvé účetnictví prochází vzdáleným serverem.
Není to rezignace na soukromí: je to nutná technická podmínka, abychom ti dali účetnictví, které opravdu funguje na více zařízeních.
Zajímavá otázka pak zní: jak chráníme tvé soukromí při této podmínce?
Odpověď je ve dvou úrovních, o kterých ti teď povím.
Úroveň 1 — Radikální koncové šifrování pro dokumenty
Až začneš Cashfulness používat, dřív nebo později si do aplikace budeš chtít přinést své dokumenty: výpisy z banky, hypoteční nebo nájemní smlouvy, faktury za elektřinu a plyn, pojistky, potvrzení o investicích, výkazy fondů, důležité daňové doklady.
Tyhle dokumenty obsahují všechno možné: tvé celé jméno, adresu, rodné číslo, IBAN, částky, protistrany, detaily ze života.
Jsou tou vůbec nejcitlivější úrovní.
Pro ně jsme zvolili tu nejpřísnější možnou cestu: radikální koncové šifrování.
Odborný termín zní koncové šifrování, neboli šifrování end-to-end, E2EE.
Abys pochopil, co to je, bez technikálií, představ si, že chceš poslat dopis kurýrem.
Máš dvě možnosti.
Možnost 1, standardní model.
Napíšeš dopis načisto, vložíš ho do obálky, dáš ho kurýrovi.
Kurýr může — pokud chce — obálku otevřít, dopis přečíst, udělat si poznámky a pak ji zase zavřít a doručit.
Ty věříš, že to neudělá, protože slíbil, že to neudělá, možná protože existují zákony, které mu to zakazují a dávají ti jistou záruku.
Ale fyzicky může.
Možnost 2, koncové šifrování.
Napíšeš dopis a zavřeš ho do kovové schránky, která se otevře jen konkrétním klíčem.
Klíč máš ty. Jenom ty.
Schránku dáš kurýrovi. Kurýr ji převeze a uloží.
I kdyby si ji vzal domů, nedokázal by ji otevřít, protože nemá klíč.
Když dopis potřebuješ, schránku si sám otevřeš svým klíčem a čteš.
Koncové šifrování dokumentů v Cashfulness je kovová schránka z Možnosti 2.
Když do aplikace nahraješ dokument, tvé zařízení ho zašifruje ještě před odesláním na server. Na server dorazí a zůstane zašifrovaný.
Pro server je každý tvůj dokument blokem digitálního šumu.
Klíč k jeho dešifrování sídlí jen na tvém zařízení, odvozený z tvého osobního hesla a tvých 24 obnovovacích slov (takzvané seed phrase, nejpevnějšího dnes dostupného standardu pro tvorbu a ochranu osobních kryptografických klíčů).
Co to znamená v praxi:
- Server Cashfulness nemůže tvé dokumenty číst. Ani my, kdo jsme aplikaci postavili, ani ti, kdo spravují infrastrukturu, ani případný budoucí útočník.
- Kdyby byl Cashfulness zítra napaden a všechny dokumenty na serverech ukradeny, útočník by viděl šum. Nepoužitelný.
- I úřad, který by o tvé dokumenty formálně požádal, by dostal šum. Nemůžeme je vydat, protože je nemáme v čitelné podobě.
Má to i druhou stranu mince a chceme v tom být upřímní.
Když ztratíš heslo a ztratíš i 24 obnovovacích slov, tvé dokumenty se stanou nečitelnými i pro tebe.
Navždy.
Nemůžeme je obnovit, protože technicky nedokážeme přečíst to, co jsi zašifroval. Neexistuje žádné „obnovení hesla e-mailem“, které by ti dokumenty vrátilo, protože na druhé straně není nikdo, kdo by to mohl udělat.
Klíč je jen tvůj.
To znamená svobodu — jsi jediný, kdo má přístup — a odpovědnost — jsi jediný, kdo o něj může přijít.
Je to filozofická volba. Raději ti dáme plnou kontrolu, i když to zahrnuje břemeno opatrovat své přihlašovací údaje, než abychom si jejich „záložní“ kopii drželi na svém serveru. Ta kopie by se dřív nebo později mohla stát bodem kompromitace.
Klíč, který existuje jen v tvém telefonu, ne.
Úroveň 2 — Maximální anonymizace pro identitu a účetní data
Druhá úroveň je jiná a pokrývá všechno ostatní: kdo jsi a co v aplikaci děláš v číslech.
Pro tato data jsme zvolili jinou strategii, protože problém je jiné povahy.
Dokumenty jsou „schránky“ s citlivým obsahem a dává smysl šifrovat je celé.
Účetní data jsou naopak živá struktura: čísla, účty, kategorie, pohyby, které potřebuješ každý den a na kterých Cashfulness staví metriky finančního zdraví, které ti ukazuje.
Šifrovat je stejně jako dokumenty by aplikaci udělalo strašně pomalou a v mnoha případech nepoužitelnou.
Naše odpověď není absolutní šifrování. Je to maximální anonymizace.
V praxi to znamená dvě věci.
Cashfulness nechce ani vědět, jak se jmenuješ.
Když se registruješ, nechceme po tobě jméno a příjmení.
Chceme přezdívku — jakou chceš ty, klidně čistě vymyšlenou.
Chceme e-mail pro technický kontakt (obnovení přístupu, servisní zprávy) a heslo.
Tečka.
Žádné rodné číslo, žádné datum narození, žádná adresa, žádné telefonní číslo, žádné propojení s bankovním účtem, žádné ověření totožnosti.
Pro Cashfulness jsi přezdívka s e-mailem. Nic víc.
Tvé účetní prostory jsou pro kohokoli jiného než tebe těžko rozluštitelné.
Aplikace tě vybízí členit příjmy a výdaje do konkrétních účtů a podúčtů. Jména, která těm účtům dáš, štítky svých pohybů, míru podrobnosti, s jakou popisuješ svůj finanční život — o tom rozhoduješ ty, slovníkem, který je ti nejužitečnější.
Cashfulness po tobě nikdy nechce, abys do názvů účtů psal osobní údaje: žádné rodné číslo, žádný IBAN v názvech, žádná vlastní jména. Názvy jsou provozní (například: „Mzda“, „Hlavní běžný účet“, „Hypotéka na dům“, „Výdaje na auto“, „Vybrané nájmy“): popisují funkci, ne tebe.
Dohromady tyto dva faktory — přezdívka, která neprozrazuje, kdo jsi, a názvy účtů, které popisují co, a ne kdo — dělají tvé účetnictví těžko srozumitelným a nemožným spojit s tebou pro kohokoli, kdo nejsi ty sám.
Konkrétní výsledek je tento: i kdyby se někdo (útočník, nepoctivý zaměstnanec, úřad) mohl podívat do databáze na straně serveru, viděl by jakousi přezdívku s účtovou osnovou, zůstatky a pohyby.
Nevěděl by, kdo ta přezdívka je.
Neměl by jak ta čísla svázat se skutečným člověkem za obrazovkou.
Viděl by účetnictví bez životopisu.
Pár praktických tipů, jak zůstat opravdu anonymní
Anonymita není jen náš slib: je to i malé gesto z tvé strany.
Pokud chceš, aby tvé účetnictví bylo nesrozumitelné pro kohokoli, kdo nejsi ty, doporučujeme:
- Pojmenovávat účty podle funkce, ne podle osoby. „Bankovní účet“, „Mzda“, „Hypotéka na dům“, „Společný účet“ fungují dobře. „Účet Jan Novák“ nebo celý IBAN v názvu otevírají zbytečnou skulinu.
- Nechat popisy transakcí přirozeně obecné. Ze své podstaty už takové jsou: „snídaně v kavárně“, „večeře v restauraci“, „tankování“, „nákup v supermarketu“. Nikdo kromě tebe by nepoznal, jestli ta večeře v restauraci byla v Miláně s klientem, nebo v Lucce s tvou sestrou.
- Použít k registraci pseudonymní e-mail, pokud to chceš dotáhnout do extrému. Tvůj e-mail slouží jen k přihlášení a k doručování servisních zpráv: nikdo tě nenutí používat „oficiální“ typu
jmeno.prijmeni@domena.cz. Klidně poslouží pseudonymní typuaurora.di.notte@protonmail.comnebo jakýkoli jiný, který ti vyhovuje.
I platba je anonymní (pro nás)
Bod, který čtenář obvykle nečeká a který stojí za to říct jasně.
K předplatnému Cashfulness po tobě přímo nechceme platební kartu, IBAN ani fakturační údaje. Platba prochází obchodem, ze kterého sis aplikaci stáhl: App Store (Apple) nebo Google Play (Google) u mobilních verzí, Stripe u plateb z webu.
Právě tyto třetí strany vidí tvé jméno, adresu, kartu nebo IBAN — protože technicky inkasují ony. Jim také zpravidla přísluší vystavování faktur nebo daňových dokladů za tvé předplatné (podle pravidel tvé země).
Cashfulness na druhém konci té trubky dostává jen čistý výnos a neprůhledný identifikátor předplatného (něco jako sub_abc123).
Nikdy nevidíme: jméno zákazníka, rodné číslo, platební kartu, IBAN.
Koncovým uživatelům nevystavujeme faktury ani daňové doklady.
Jinými slovy: i na obchodní frontě nám o tobě stačí vědět, že existuje aktivní předplatné navázané na jistou přezdívku a jistý pseudonymní e-mail. Životopis zákazníka je na druhé straně, u obchodu, a tam zůstává.
Těžké volby, které z toho plynou
Poskládat tyto dvě úrovně dohromady není funkce zadarmo.
Je to volba, která strukturálně zavírá některé dveře, a o těch dveřích stojí za to mluvit otevřeně, protože právě tady je vidět cena důslednosti.
Žádná podrobná analytika chování podle profilu.
Nemůžeme korelovat aktivitu v aplikaci se skutečnými identitami, protože skutečné identity nemáme.
Vývoj produktu je vůči individuálním vzorcům o něco slepější. Mnohem víc se spoléháme na přímou zpětnou vazbu, beta testy, kvalitativní rozhovory.
Funguje to, ale je to méně automatické.
Žádná personalizovaná obchodní doporučení.
Neříkáme ti „jiní uživatelé jako ty koupili X“ na základě tvého profilu. Necpeme ti produkty sponzorovaných partnerů podle tvých čísel. Model obchodního profilování, který je chlebem tolika bezplatných aplikací, v Cashfulness není.
Co naopak děláme — a záleží nám na tom říct to jasně — jsou cesty ke zlepšení tvé finanční situace: náznaky, kde tvá čísla napovídají, že by se dalo ušetřit, kde si složení majetku zaslouží zamyšlení, kde by měsíce krytí mohly růst drobnými úpravami.
Jsou to vzdělávací podněty, postavené na tvých datech, a — když to povaha dat vyžaduje — spočítané na tvém zařízení, na lokální dešifrované kopii.
Jedno důležité upřesnění: Cashfulness nedává personalizované investiční rady. To je území finančních poradců zapsaných v příslušném registru, a z dobrých důvodů: jde o regulovanou činnost, která vyžaduje kompetence, odpovědnost a jiný vztah důvěry, než jaký je mezi tebou a aplikací. Cashfulness ti pomáhá vidět jasně, ne vybrat fond, který koupíš příští týden.
Oznámení a newsletter: jen když je chceš ty, nikdy jako výchozí nastavení.
To, že jsme alergičtí na obchodní profilování, neznamená, že jsme němá platforma.
Cashfulness ti může posílat užitečné věci — a když říkám „užitečné“, myslím opravdu pro tebe, ne pro třetí strany: upozornění, když se rozpočet chystá přetéct, tipy, kde tvá čísla vyprávějí, že bys mohl ušetřit, krátký pravidelný newsletter se vzdělávacími úvahami o osobních financích a o novinkách produktu.
Tohle všechno je opt-in: zapínáš to ty při registraci nebo později, kdy chceš, a vypínáš, kdy chceš.
Žádné políčko není předem zaškrtnuté. Tvůj e-mail — byť pseudonymní — nám slouží jen k doručení toho, co sis vyžádal, ne k tomu, abychom tě honili zprávami, které jsi nechtěl.
AI přísně v souladu s oběma úrovněmi soukromí.
Funkce umělé inteligence, které Cashfulness vyvíjí nebo vyvíjet bude, respektují rozlišení, které jsme popsali výše.
U dokumentů (výpisy, smlouvy, faktury, pojistky) probíhají AI zpracování, která vyžadují čtení obsahu, na tvém zařízení, na lokální dešifrované kopii. Server obsah těch dokumentů nikdy nevidí.
U účetních dat (zůstatky, pohyby, kategorie tvé přezdívky) běží případná zpracování na straně serveru nad čísly zbavenými osobní identity — nad tím „účetnictvím bez životopisu“, o kterém jsem mluvil dřív. AI ti může pomoci číst užitečné vzorce (například upozornit na výdaj vymykající se tvému obvyklému, nebo navrhnout, kde škrtat), ale nikdy nemůže ta čísla svázat se skutečným jménem a příjmením.
Co dělat nebudeme: stavět AI model, který by svazoval kdo jsi s tvým finančním životem — protože to „kdo jsi“ v Cashfulness nemáme.
Žádný prodej agregovaných dat dohledatelných k osobám.
Nemůžeme prodávat „datové sady výdajů podle věkové skupiny a bydliště“ bankám, výzkumným ústavům, reklamním agenturám. Osobní a adresní údaje nemáme.
Byl by to významný kanál příjmů. Záměrně jsme ho z obchodního modelu vyřadili.
Obchodní důsledek těchto voleb je jasný: abychom se uživili, žijeme jen z přímých předplatných od uživatelů.
Minimální bezplatná úroveň, předplatné Premium, předplatné Ultra.
Žádná reklama, žádný prodej dat, žádné partnerství, které by vyžadovalo přístup k datům uživatelů.
Je to užší model než tržní standard, ale je poctivý a je jediný, který Cashfulness dovoluje dodržet slib, jejž dává na první obrazovce onboardingu.
Jeden důsledek, který se nám na tomto modelu líbí: každý uživatel, který se rozhodne za Cashfulness platit, je uživatel, který produkt opravdu chce.
Neexistuje ta dynamika, kdy „produkt je zdarma, protože produkt jsi ty“.
Ty jsi zákazník a produkt je to, za co platíš.
I partnerství respektují toto pravidlo
Je tu otázka, kterou dřív nebo později dostaneme — a kterou stojí za to předjímat.
Kdyby se Cashfulness v budoucnu otevřel integracím s dalšími finančními službami (srovnávače tarifů, pojišťovací makléři, správci investic), zůstaly by tyto dvě úrovně ochrany stát?
Ano, a pravidlo formulujeme takhle: pokud Cashfulness integruje externího partnera, volání na partnera vždy vyjde z tvého zařízení, na tvou konkrétní žádost, kvůli jedné konkrétní položce.
Nikdy agregovaně na straně serveru.
Nikdy automaticky.
Nikdy bez tvého vědomého gesta.
Dám konkrétní příklad, jakkoli budoucí a hypotetický.
Řekněme, že sis do Cashfulness nahrál fakturu za elektřinu a chceš vědět, jestli je na trhu lepší nabídka.
Ve standardní aplikaci by systém partnerovi automaticky poslal data z faktury (a možná i další kontextová data), dostal odpověď a ukázal ti ji.
V modelu Cashfulness naopak u té konkrétní faktury uvidíš tlačítko „ověřit s [partnerem]“.
Když ho stiskneš, tvůj telefon si fakturu stáhne z archivu Cashfulness, lokálně ji dešifruje — protože pamatujme: nahrané dokumenty jsou šifrované end-to-end a jen tvé zařízení má klíč, aby je přečetlo načisto — vytáhne jen data nutná pro ověření (spotřebu, tarifní pásmo, současného dodavatele), pošle je přímo partnerovi, aniž by procházela naším serverem, a ukáže ti odpověď.
Server Cashfulness ani v tomto scénáři neviděl nic.
Ani dokument, ani čísla, ani tvou identitu.
Tohle není opožděný ústupek soukromí.
Je to způsob, jakým si myslíme, že partnerství v osobních financích fungovat mají.
Technicky se to staví nepohodlněji — vyžaduje to SDK na straně zařízení, jemnou autentizaci, správu přihlašovacích údajů v telefonu — ale je to jediný způsob konzistentní se slibem značky.
Partnerství, která by po Cashfulness chtěla agregovaný serverový přístup k datům, dostanou zdvořilé ne.
Slib, v jedné větě
Tohle je ten slib, shrnutý do jedné věty, o které bychom si přáli, aby zůstala:
Cashfulness neví, kdo jsi, nečte tvé dokumenty, nerozumí tvým číslům. Jen ty máš všechny klíče.
Tři různá slovesa pro tři různé úrovně.
Neví, kdo jsi: protože mu to neříkáš. Budeš používat přezdívku a ta ti bude stačit.
Nečte tvé dokumenty: protože jsou zašifrované klíčem, který vlastníš jen ty.
Nerozumí tvým číslům: protože bez tvého kontextu jsou účetnictvím bez životopisu.
Všechno ostatní v produktu se o tuhle větu opírá.
Metriky finančního zdraví, rozlišení mezi Aktivy+ a Aktivy-, neviditelné podvojné účetnictví, týdenní desetiminutový rituál — samé věci, o kterých mluvíme v ostatních článcích tohoto blogu — doopravdy fungují jen tehdy, když je nad nimi strop soukromí, který je dělá skutečně tvými, ne jen v jazyce marketingu.
Pokud hledáš právě tohle, jsi na správném místě.
Čekáme na tebe na čekací listině bety na cashfulness.com/beta.
Pokud naopak dáváš přednost aplikaci, která analyzuje tvé chování, aby ti lépe radila výměnou za část tvého soukromí, je to legitimní volba — není na tom nic špatného — ale tím místem nebudeme my.
A to je v pořádku.
Cashfulness je dělaný pro lidi, pro které čísla z domácnosti musí zůstat doma, a moc dobře ví, že je jednou volbou mezi jinými.
— Vittorio