De fleste gratisapps, du har på telefonen, er ikke gratis.
De tilbydes dig i bytte for dine data.
Det er en byttehandel.
Den er gennemsigtig i princippet, og i mange tilfælde er det også en byttehandel, der er værd at gøre — der er ingen skandale i det.
Mange apps til privatøkonomi fungerer også sådan.
De giver dig et sporingsredskab gratis eller næsten gratis, og til gengæld samler de dine forbrugsdata for at producere markedsrapporter, personlige anbefalinger, reklameforslag, profilering, kommercielle partnerskaber.
Også her er det i princippet et legitimt valg fra udbyderen.
Du accepterer brugsvilkårene på et øjeblik og går videre.
Cashfulness har truffet et andet valg.
Ikke for at dømme de andre apps — enhver bygger sin egen model, og mange gør det ærligt — men fordi vi tror, at privatøkonomien fortjener en anden behandling.
Det er et område, hvor tågen allerede er tæt nok, og hvor bevidstheden om, at nogen (om så bare teoretisk) kan kigge på dine tal, fjerner selve meningen med produktet.
Roen, vi taler om, er et udhulet løfte, hvis dataene ikke er i sikkerhed.
Derfor har vi bygget Cashfulness omkring et præcist teknisk valg, skrevet ind i kodens fundament, som virker på to niveauer.
Det første niveau beskytter dokumenterne, du tager med ind i Cashfulness — med radikal end-to-end-kryptering.
Det andet niveau beskytter din identitet og dine regnskabsdata — med maksimal anonymisering.
De to niveauer svarer på forskellige behov og bruger forskellige redskaber. Det er værd at forklare dem ét ad gangen.
Hvorfor der skal forbindelse til (og hvad det betyder for privatlivet)
En teknisk forudsætning, før vi går ind i de to niveauer.
Cashfulness virker kun, hvis din enhed er online.
På mobil eller desktop skal appen kunne tale med en fjern database, der lever på vores servere (europæisk infrastruktur).
Hvorfor det valg? Fordi dine regnskabsdata skal forblive synkroniserede mellem de forskellige enheder, du bruger.
Tilføjer du en transaktion fra smartphonen i frokostpausen, vil du gense den om aftenen fra den bærbare. Gør du det omvendte, det samme.
Uden et centraliseret sandhedspunkt ville dataene systematisk glide fra hinanden mellem klienterne, og du ville stå med to inkonsistente kopier af dit regnskab — et lille mareridt, der ophæver hele meningen med det dobbelte bogholderi.
Så ja, dit regnskab passerer en fjern server.
Det er ikke et afkald på privatlivet: det er den nødvendige tekniske betingelse for at give dig et regnskab, der virkelig fungerer på flere enheder.
Det interessante spørgsmål bliver: hvordan beskytter vi dit privatliv givet den betingelse?
Svaret ligger i de to niveauer, jeg fortæller om nu.
Niveau 1 — Radikal end-to-end-kryptering til dokumenterne
Når du begynder at bruge Cashfulness, vil du før eller siden tage dine dokumenter med ind i appen: kontoudtog fra banken, boliglåns- eller lejekontrakter, el- og gasregninger, forsikringspolicer, investeringsbeviser, fondsopgørelser, vigtige kvitteringer til skatten.
De dokumenter indeholder alt muligt: dit fulde navn, adresse, CPR-nummer, IBAN, beløb, modparter, detaljer fra dit liv.
De er det allermest følsomme niveau.
For dem har vi truffet det strammest mulige valg: radikal end-to-end-kryptering.
Fagudtrykket er end-to-end-kryptering, eller E2EE.
For at forstå, hvad det er, uden teknikaliteter, så forestil dig, at du vil sende et brev med et bud.
Du har to valg.
Valg 1, standardmodellen.
Du skriver brevet i klartekst, lægger det i en kuvert, giver det til buddet.
Buddet kan — hvis det vil — åbne kuverten, læse brevet, tage notater, og så lukke den igen og aflevere.
Du stoler på, at det ikke gør det, fordi det har lovet at lade være, måske fordi der findes love, der forbyder det og giver dig en vis garanti.
Men rent fysisk kan det.
Valg 2, end-to-end-kryptering.
Du skriver brevet og lukker det inde i en metalkasse, der kun kan åbnes med en bestemt nøgle.
Nøglen har du. Kun du.
Du giver kassen til buddet. Buddet transporterer den og arkiverer den.
Selv hvis det tog den med sig hjem, kunne det ikke åbne den, for det har ikke nøglen.
Når du skal bruge brevet, åbner du selv kassen med din nøgle og læser.
End-to-end-krypteringen af dokumenterne i Cashfulness er metalkassen fra Valg 2.
Når du uploader et dokument i appen, krypterer din enhed det, før det sendes til serveren. På serveren ankommer det og forbliver krypteret.
For serveren er hvert af dine dokumenter en blok digital støj.
Nøglen til at dekryptere det findes kun på din enhed, afledt af din personlige adgangskode og dine 24 gendannelsesord (den såkaldte seed phrase, den mest solide standard, der i dag findes til at generere og beskytte personlige kryptografiske nøgler).
Hvad det betyder, i praksis:
- Cashfulness' server kan ikke læse dine dokumenter. Ikke os, der har bygget appen, ikke dem, der driver infrastrukturen, ikke en eventuel fremtidig angriber.
- Hvis Cashfulness i morgen blev brudt op, og alle dokumenterne på serverne blev stjålet, ville angriberen se støj. Ubrugelig.
- Selv en myndighed, der formelt bad om dine dokumenter, ville modtage støj. Vi kan ikke udlevere dem, for vi har dem ikke i klartekst.
Der er en bagside af medaljen, og den vil vi være ærlige om.
Mister du din adgangskode og mister du også de 24 gendannelsesord, bliver dine dokumenter ulæselige, også for dig.
For altid.
Vi kan ikke gendanne dem, for teknisk set kan vi ikke læse det, du har krypteret. Der findes ingen »nulstil adgangskode via e-mail«, der giver dig dokumenterne tilbage, for der er ingen på den anden side, der kan gøre det.
Nøglen er kun din.
Det betyder frihed — du er den eneste, der kan få adgang — og ansvar — du er den eneste, der kan miste den.
Det er et filosofisk valg. Vi foretrækker at give dig hele kontrollen, selv om det inkluderer byrden ved at passe på dine loginoplysninger, frem for at holde en »sikkerhedskopi« af dem på vores server. Den kopi kunne før eller siden blive et punkt for kompromittering.
En nøgle, der kun findes på din telefon, ikke.
Niveau 2 — Maksimal anonymisering til identitet og regnskabsdata
Det andet niveau er anderledes og dækker alt det andet: hvem du er, og hvad du gør i appen i tal.
Til de data har vi valgt en anden strategi, for problemet er af en anden natur.
Dokumenterne er »kasser« med følsomt indhold, og det giver mening at kryptere dem i deres helhed.
Regnskabsdataene er derimod en levende struktur: tal, konti, kategorier, bevægelser, du skal bruge hver dag, og som Cashfulness bygger de finansielle sundhedsmål, den viser dig, på.
At kryptere dem på samme måde som dokumenterne ville gøre appen ekstremt langsom og i mange tilfælde ubrugelig.
Vores svar er ikke absolut kryptering. Det er maksimal anonymisering.
I praksis betyder det to ting.
Cashfulness vil ikke engang vide, hvad du hedder.
Når du registrerer dig, beder vi ikke om for- og efternavn.
Vi beder om et kaldenavn — det, du selv vil, det må gerne være rent opdigtet.
Vi beder om en e-mail til teknisk kontakt (gendannelse af adgang, servicemeddelelser), og en adgangskode.
Punktum.
Intet CPR-nummer, ingen fødselsdato, ingen adresse, intet telefonnummer, ingen kobling til din bankkonto, ingen identitetskontrol.
For Cashfulness er du et kaldenavn med en e-mail. Ikke mere.
Dine regnskabsrum er svære at tyde for den, der ikke er dig.
Appen inviterer dig til at inddele indtægter og udgifter i specifikke konti og underkonti. Navnene, du giver de konti, etiketterne på dine bevægelser, detaljeringsgraden, du beskriver dit økonomiske liv med — bestemmer du, med det ordforråd, der er mest nyttigt for dig.
Cashfulness beder dig aldrig om at lægge personoplysninger ind i kontonavnene: intet CPR-nummer, ingen IBAN i overskrifterne, ingen egennavne. Navnene er operative (for eksempel: »Løn«, »Primær bankkonto«, »Boliglån«, »Biludgifter«, »Indkrævede lejeindtægter«): de beskriver en funktion, ikke dig.
Tilsammen gør de to faktorer — et kaldenavn, der ikke afslører, hvem du er, og kontonavne, der beskriver hvad og ikke hvem — dit regnskab svært at forstå og umuligt at koble til dig for enhver, der ikke er dig selv.
Det konkrete resultat er dette: selv hvis nogen (en angriber, en uærlig ansat, en myndighed) kunne kigge på databasen på serversiden, ville de se et vist kaldenavn med en kontoplan, saldi og bevægelser.
De ville ikke vide, hvem det kaldenavn er.
De ville ikke have nogen måde at knytte de tal til den virkelige person bag skærmen.
De ville se et regnskab uden biografi.
Et par praktiske råd til at forblive virkelig anonym
Anonymiteten er ikke kun vores løfte: den er også en lille gestus fra dig.
Vil du have, at dit regnskab skal være uforståeligt for enhver, der ikke er dig, anbefaler vi at:
- Navngive kontiene efter funktion, ikke efter person. »Bankkonto«, »Løn«, »Boliglån«, »Fælleskonto« fungerer fint. »Konto Jens Jensen« eller et fuldt IBAN i overskriften åbner en unødvendig sprække.
- Lade transaktionsbeskrivelserne være naturligt generiske. Af natur er de det allerede: »morgenmad på caféen«, »middag på restaurant«, »tanke bilen«, »indkøb i supermarkedet«. Ingen uden for dig ville kunne vide, om den restaurantmiddag var i Milano med en kunde eller i Lucca med din søster.
- Bruge en pseudonym e-mail til registreringen, hvis du vil trække det til det yderste. Din e-mail bruges kun til login og til at levere servicemeddelelser: ingen tvinger dig til at bruge en »officiel« af typen
navn.efternavn@domæne.dk. En pseudonym af typenaurora.di.notte@protonmail.comeller enhver anden, der passer dig, er helt fin.
Også betalingen er anonym (for os)
Et punkt, læseren i reglen ikke forventer, og som er værd at sige klart.
Til abonnementerne på Cashfulness beder vi dig ikke direkte om kreditkort, IBAN eller faktureringsoplysninger. Betalingen går gennem butikken, du har hentet appen fra: App Store (Apple) eller Google Play (Google) for mobilversionerne, Stripe for betalinger fra hjemmesiden.
Det er disse tredjeparter, der ser dit navn, adresse, kreditkort eller IBAN — for teknisk set er det dem, der opkræver. Det er i reglen dem, der skal udstede fakturaer eller kvitteringer for dit abonnement (efter reglerne i dit land).
Cashfulness, på den anden side af det rør, modtager kun nettoindtægten og en uigennemsigtig identifikator for abonnementet (noget i retning af sub_abc123).
Vi ser aldrig: kundenavn, CPR-nummer, kreditkort, IBAN.
Vi udsteder ikke fakturaer eller kvitteringer til slutbrugere.
Med andre ord: også på den kommercielle front er det nok for os at vide, at der findes et aktivt abonnement knyttet til et vist kaldenavn og en vis pseudonym e-mail. Kundens biografi ligger på den anden side, hos butikken, og der bliver den.
De svære valg, der følger af dette
At sætte de to niveauer sammen er ikke en gratis funktion.
Det er et valg, der lukker nogle døre strukturelt, og om de døre er det værd at være eksplicit, for det er her, konsekvensens pris viser sig.
Ingen finkornet adfærdsanalyse pr. profil.
Vi kan ikke korrelere aktiviteten i appen med virkelige identiteter, for de virkelige identiteter har vi ikke.
Produktudviklingen er lidt mere blind for individuelle mønstre. Vi støtter os langt mere til direkte feedback, betatests, kvalitative interviews.
Det virker, men det er mindre automatisk.
Ingen personlige kommercielle anbefalinger.
Vi siger ikke »andre brugere som dig har købt X« ud fra din profil. Vi skubber ikke produkter fra sponsorerede partnere på dig baseret på dine tal. Modellen med kommerciel profilering, der er levebrødet for mange gratisapps, findes ikke i Cashfulness.
Det, vi derimod gør — og det ligger os på sinde at sige klart — er veje til at forbedre din økonomiske situation: fingerpeg om, hvor dine tal antyder, at der kunne spares, hvor formuens sammensætning fortjener en overvejelse, hvor dækningsmånederne kunne vokse med små justeringer.
Det er pædagogiske fingerpeg, bygget på dine data, og — når dataenes natur kræver det — beregnet på din enhed, på en lokal dekrypteret kopi.
En vigtig præcisering: Cashfulness giver ikke personlige investeringsråd. Det er territorium for finansielle rådgivere, der er opført i det dertil hørende register, og af gode grunde: det er en reguleret aktivitet, der kræver kompetencer, ansvar og et tillidsforhold af en anden art end det mellem dig og en app. Cashfulness hjælper dig med at se klart, ikke med at vælge den fond, du skal købe i næste uge.
Notifikationer og nyhedsbrev: kun hvis du vil, aldrig som standard.
At vi er allergiske over for kommerciel profilering, betyder ikke, at vi er en stum platform.
Cashfulness kan sende dig nyttige ting — og når jeg siger »nyttige«, mener jeg virkelig for dig, ikke for tredjeparter: advarsler, hvis et budget er ved at skride, forslag om, hvor dine tal fortæller, at du kunne spare, et kort periodisk nyhedsbrev med pædagogiske refleksioner om privatøkonomi og om produktets nyheder.
Alt dette er opt-in: du slår det til ved registreringen eller senere, når du vil, og slår det fra, når du vil.
Ingen boks er krydset af på forhånd. Din e-mail — selv en pseudonym — skal vi kun bruge til at levere det, du har bedt om, ikke til at jagte dig med beskeder, du ikke har ønsket.
AI strengt i overensstemmelse med de to privatlivsniveauer.
De funktioner med kunstig intelligens, som Cashfulness udvikler eller vil udvikle, respekterer den skelnen, vi har beskrevet ovenfor.
På dokumenterne (kontoudtog, kontrakter, regninger, policer) sker de AI-behandlinger, der kræver at læse indholdet, på din enhed, på en lokal dekrypteret kopi. Serveren ser aldrig indholdet af de dokumenter.
På regnskabsdataene (saldi, bevægelser, kategorier for dit kaldenavn) kører eventuelle behandlinger på serversiden på tal uden personidentitet — det »regnskab uden biografi«, jeg talte om før. AI'en kan hjælpe dig med at læse nyttige mønstre (for eksempel gøre opmærksom på en udgift langt uden for det sædvanlige, eller foreslå, hvor der kan skæres), men uden nogensinde at kunne knytte de tal til et virkeligt navn.
Det, vi ikke vil gøre, er at bygge en AI-model, der knytter hvem du er til dit økonomiske liv — for »hvem du er« har vi ikke i Cashfulness.
Intet salg af aggregerede data, der kan føres tilbage til personer.
Vi kan ikke sælge »datasæt over forbrug fordelt på aldersgruppe og bopæl« til banker, forskningsinstitutter, reklamebureauer. Person- og bopælsdataene har vi ikke.
Det ville have været en betydelig indtægtskanal. Vi har bevidst fjernet den fra forretningsmodellen.
Den kommercielle konsekvens af disse valg er klar: for at bære os selv lever vi kun af direkte abonnementer fra brugerne.
Minimal gratisversion, Premium-abonnement, Ultra-abonnement.
Ingen reklamer, intet datasalg, intet partnerskab, der kræver adgang til brugernes data.
Det er en smallere model end markedets standard, men den er ærlig, og den er den eneste, der lader Cashfulness holde det løfte, den giver på onboardingens første skærm.
En konsekvens, vi godt kan lide ved denne model: hver bruger, der vælger at betale for Cashfulness, er en bruger, der virkelig vil have produktet.
Der findes ikke den dynamik, hvor »produktet er gratis, fordi produktet er dig«.
Du er kunden, og produktet er det, du betaler for.
Også partnerskaberne respekterer denne regel
Der er et spørgsmål, vi før eller siden vil få — og som det er værd at foregribe.
Hvis Cashfulness i fremtiden åbnede for integrationer med andre finansielle tjenester (prissammenlignere, forsikringsmæglere, investeringsforvaltere), ville disse to beskyttelsesniveauer så stå ved magt?
Ja, og reglen formulerer vi sådan: hvis Cashfulness integrerer en ekstern partner, vil kaldet til partneren altid gå fra din enhed, på din specifikke anmodning, for én bestemt post.
Aldrig aggregeret på serversiden.
Aldrig automatisk.
Aldrig uden din bevidste handling.
Lad mig give et konkret eksempel, hvor fremtidigt og hypotetisk det end er.
Antag, at du har uploadet din elregning i Cashfulness og vil vide, om der findes et bedre tilbud på markedet.
I en standardapp ville systemet automatisk sende partneren regningens data (og måske andre kontekstdata), modtage svaret og vise dig det.
I Cashfulness-modellen vil du derimod se en knap »tjek med [partner]« på netop den regning.
Når du trykker på den, henter din telefon regningen fra Cashfulness-arkivet, dekrypterer den lokalt — for husk: de uploadede dokumenter er end-to-end-krypterede, og kun din enhed har nøglen til at læse dem i klartekst — udtrækker kun de data, der er nødvendige for tjekket (forbrug, tarif, nuværende leverandør), sender dem direkte til partneren uden at passere vores server og viser dig svaret.
Cashfulness' server har heller ikke i dette scenarie set noget.
Hverken dokumentet, tallene eller din identitet.
Dette er ikke en sen indrømmelse til privatlivet.
Det er den måde, vi mener, at partnerskaber bør fungere på i privatøkonomien.
Det er mere besværligt at bygge teknisk — det kræver SDK på enhedssiden, finkornet autentificering, håndtering af loginoplysninger på telefonen — men det er den eneste måde, der er i overensstemmelse med brandløftet.
De partnerskaber, der beder Cashfulness om aggregeret serveradgang til dataene, vil høfligt få et nej.
Løftet, i én sætning
Dette er løftet, sammenfattet i én sætning, vi gerne vil have, bliver hængende:
Cashfulness ved ikke, hvem du er, læser ikke dine dokumenter, forstår ikke dine tal. Kun du har alle nøglerne.
Tre forskellige udsagnsord for tre forskellige niveauer.
Ved ikke, hvem du er: for du fortæller det ikke. Du bruger et kaldenavn, og det er nok.
Læser ikke dine dokumenter: for de er krypteret med en nøgle, som kun du ejer.
Forstår ikke dine tal: for uden din kontekst er de et regnskab uden biografi.
Alt det andet i produktet hviler på den sætning.
De finansielle sundhedsmål, skellet mellem Aktiver+ og Aktiver-, det usynlige dobbelte bogholderi, det ugentlige timinuttersritual — alt sammen ting, vi taler om i de andre artikler på denne blog — fungerer for alvor kun, hvis der over dem findes et privatlivsloft, der gør dem dine for alvor, ikke kun i marketingens sprog.
Er det dét, du søger, er du det rette sted.
Vi venter på dig på betaventelisten på cashfulness.com/beta.
Foretrækker du derimod en app, der analyserer din adfærd for at rådgive dig bedre i bytte for en del af dit privatliv, er det et legitimt valg — der er ikke noget galt i det — men det sted bliver ikke os.
Og det er helt fint.
Cashfulness er lavet til de mennesker, for hvem hjemmets tal skal blive hjemme, og ved udmærket, at den er ét valg blandt andre.
— Vittorio