Enamik su telefonis olevaid tasuta rakendusi ei ole tegelikult tasuta.
Neid pakutakse sulle su andmete vastu.
See on vahetuskaup.
Põhimõtteliselt on see läbipaistev ja paljudel juhtudel ka vahetus, mida tasub teha — selles pole midagi skandaalset.
Ka paljud isikliku rahanduse rakendused töötavad nii.
Sulle antakse tasuta või peaaegu tasuta jälgimistööriist, ja vastutasuks koondatakse su kulutusandmed, et toota turuaruandeid, personaalseid soovitusi, reklaamipakkumisi, profileerimist, ärilisi partnerlusi.
Ka siin on see põhimõtteliselt teenusepakkuja seaduslik valik.
Sina nõustud hetkega kasutustingimustega ja lähed edasi.
Cashfulness on teinud teistsuguse valiku.
Mitte selleks, et mõista hukka teisi rakendusi — igaüks ehitab oma mudeli ja paljud teevad seda ausalt —, vaid sellepärast, et me usume, et isiklik rahandus väärib teistsugust kohtlemist.
See on valdkond, kus udu on juba niigi palju, ja kus juba teadmine, et keegi (kasvõi teoreetiliselt) võiks su numbreid vaadata, võtab tootelt endalt mõtte.
Rahu, millest me räägime, on tühi lubadus, kui andmed pole turvalised.
Seetõttu oleme Cashfulnessi ehitanud täpse tehnilise otsuse ümber, mis on kirjutatud koodi vundamenti ja mis toimib kahel tasandil.
Esimene tasand kaitseb dokumente, mida sa Cashfulnessi tood — radikaalse otspunktist-otspunktini krüpteerimisega (end-to-end encryption).
Teine tasand kaitseb su identiteeti ja su raamatupidamisandmeid — maksimaalse anonümiseerimisega.
Need kaks tasandit vastavad erinevatele vajadustele ja kasutavad erinevaid vahendeid. Tasub need ükshaaval lahti seletada.
Miks on vaja ühendust (ja mida see privaatsusele tähendab)
Üks tehniline eeldus enne kahe tasandi juurde asumist.
Cashfulness töötab ainult siis, kui su seade on veebis.
Mobiilis või lauaarvutis peab rakendus suutma suhelda meie serverites (Euroopa infrastruktuur) asuva kaugandmebaasiga.
Miks selline valik? Sellepärast, et su raamatupidamisandmed peavad jääma sünkroonseks su erinevate seadmete vahel.
Kui lisad tehingu telefoniga lõunapausil, tahad seda õhtul sülearvutist uuesti näha. Kui teed vastupidi, kehtib sama.
Ilma tsentraalse tõepunktita hakkaksid andmed klientide vahel süstemaatiliselt lahknema, ja sul oleks kaks vastuolulist koopiat oma raamatupidamisest — väike õudusunenägu, mis nurjab kogu kahekordse kirjendamise mõtte.
Nii et jah, su raamatupidamine liigub kaugserverisse.
See ei ole privaatsusest loobumine: see on tehniline tingimus, mis on vajalik, et anda sulle raamatupidamine, mis tõesti töötab mitmes seadmes.
Huvitav küsimus on: kuidas me kaitseme su privaatsust selle piirangu juures?
Vastus peitub kahes tasandis, millest ma sulle nüüd räägin.
Tase 1 — radikaalne otspunktist-otspunktini krüpteerimine dokumentidele
Kui hakkad Cashfulnessi kasutama, tahad varem või hiljem tuua rakendusse oma dokumendid: pangaväljavõtted, hüpoteegi- või üürilepingud, elektri- ja gaasiarved, kindlustuspoliisid, investeeringute tõendid, fondide aruanded, olulised maksukviitungid.
Need dokumendid sisaldavad kõike: su täisnime, aadressi, isikukoodi, IBAN-i, summasid, vastaspooli, elu detaile.
See on kõige tundlikum tase.
Nende jaoks tegime kõige rangema võimaliku valiku: radikaalne otspunktist-otspunktini krüpteerimine.
Tehniline termin on otspunktist-otspunktini krüpteerimine, ehk E2EE.
Et mõista, mis see on ilma tehnikata, kujuta ette, et tahad saata kirja kulleriga.
Sul on kaks valikut.
Valik 1, standardmudel.
Kirjutad kirja avalikult, paned ümbrikusse, annad kullerile.
Kuller — kui tahab — võib ümbriku avada, kirja läbi lugeda, märkmeid teha, ja seejärel uuesti kinni pitseerida ning kohale toimetada.
Sina usud, et ta seda ei tee, sest ta on lubanud seda mitte teha, võib-olla sellepärast, et seadused keelavad tal seda ja annavad sulle mingi garantii.
Aga füüsiliselt ta saab.
Valik 2, otspunktist-otspunktini krüpteerimine.
Kirjutad kirja, paned selle metallkasti, mis avaneb ainult ühe kindla võtmega.
Võti on ainult sinul. Ainult sinul.
Annad kasti kullerile. Kuller veab ja hoiab seda.
Isegi kui ta selle endaga koju viiks, ei saaks ta seda avada, sest tal pole võtit.
Kui sul kirja vaja läheb, avad kasti ise oma võtmega ja loed.
Cashfulnessi dokumentide otspunktist-otspunktini krüpteerimine on Valiku 2 metallkast.
Kui laadid dokumendi rakendusse, krüpteerib su seade selle enne serverisse saatmist. Serverisse jõuab see ja jääb krüpteerituks.
Serveri jaoks on iga su dokument tükk digitaalset müra.
Dekrüpteerimisvõti on olemas ainult su seadmes, tuletatud su isiklikust paroolist ja su 24 taastesõnast (nn seed phrase, tänapäeval kõige kindlam standard isiklike krüptovõtmete loomiseks ja kaitsmiseks).
Mida see praktikas tähendab:
- Cashfulnessi server ei saa su dokumente lugeda. Ei meie, kes rakenduse ehitasime, ei need, kes infrastruktuuri haldavad, ega ka võimalik tulevane ründaja.
- Kui Cashfulness homme rünnatakse ja kõik serveris olevad dokumendid varastatakse, näeks ründaja müra. Kasutuskõlbmatu.
- Isegi ametivõim, kes ametlikult su dokumente nõuaks, saaks müra. Me ei saa neid anda, sest meil pole neid loetaval kujul.
On ka mündi teine pool ja me tahame selles osas aus olla.
Kui kaotad oma parooli ja kaotad ka 24 taastesõna, muutuvad su dokumendid loetamatuks isegi sulle endale.
Igaveseks.
Me ei saa neid taastada, sest tehniliselt ei saa me lugeda seda, mida sina oled krüpteerinud. Ei ole olemas „parooli taastamist e-posti teel“, mis su dokumendid tagasi annaks, sest teisel pool pole kedagi, kes seda teha saaks.
Võti on ainult sinu.
See tähendab vabadust — ainult sina saad ligi pääseda — ja vastutust — ainult sina saad ligipääsu kaotada.
See on filosoofiline valik. Me eelistame anda sulle täieliku kontrolli, isegi kui see tähendab, et sina pead oma volituste eest hoolt kandma, selle asemel et hoida meie serveris „varukoopiat“. See koopia võiks varem või hiljem muutuda haavatavuse punktiks.
Võti, mis on olemas ainult su telefonis — ei muutu.
Tase 2 — maksimaalne anonümiseerimine identiteedile ja raamatupidamisandmetele
Teine tasand on erinev ja katab kõik muu: kes sa oled ja mida sa rakenduses numbrite mõttes teed.
Nende andmete jaoks valisime teise strateegia, sest probleem on teistsuguse iseloomuga.
Dokumendid on „kastid“ tundliku sisuga ja on mõistlik need täielikult krüpteerida.
Raamatupidamisandmed on aga elav struktuur: numbrid, kontod, kategooriad, tehingud, mida vajad iga päev ja mille peale Cashfulness ehitab sulle näidatavad finantstervise mõõdikud.
Nende krüpteerimine samamoodi kui dokumentide teeks rakenduse äärmiselt aeglaseks ja paljudel juhtudel kasutuskõlbmatuks.
Meie vastus ei ole absoluutne krüpteerimine. See on maksimaalne anonümiseerimine.
Praktikas tähendab see kahte asja.
Cashfulness ei taha isegi teada, mis su nimi on.
Kui registreerud, ei küsi me su ees- ega perekonnanime.
Küsime hüüdnime — mida iganes sina soovid, see võib olla ka puhtalt väljamõeldud.
Küsime e-posti tehniliseks kontaktiks (ligipääsu taastamine, teenindusteated) ja parooli.
Stopp.
Mitte mingit isikukoodi, sünniaega, aadressi, telefoninumbrit, seost su pangakontoga, isikutuvastust.
Cashfulnessi jaoks oled sa hüüdnimi koos e-postiga. Rohkem mitte midagi.
Su raamatupidamisruume on kellelgi peale sinu raske dešifreerida.
Rakendus kutsub sind sissetulekuid ja väljaminekuid liigendama konkreetsete kontode ja alamkontode kaudu. Nimed, mille sa neile kontodele annad, su tehingute sildid, granulaarsus, millega oma finantselu kirjeldad — kõik selle otsustad sina, sõnavaraga, mis sulle kõige kasulikum on.
Cashfulness ei palu sul kunagi lisada isikuandmeid konto nimedesse: mitte isikukoodi, mitte IBAN-i pealkirja, mitte pärisnimesid. Nimed on funktsionaalsed (näiteks: „Palk“, „Peamine arvelduskonto“, „Kodulaen“, „Autokulud“, „Laekunud üürid“): need kirjeldavad funktsiooni, mitte sind.
Kombineerituna muudavad need kaks tegurit — hüüdnimi, mis ei paljasta, kes sa oled, ja kontonimed, mis kirjeldavad mida, mitte keda — su raamatupidamise kõigile peale sinu enda raskesti mõistetavaks ja sinuga sidumatuks.
Konkreetne tulemus on selline: isegi kui keegi (ründaja, ebaaus töötaja, ametivõim) saaks serveripoolset andmebaasi vaadata, näeks ta teatud hüüdnime koos kontoplaani, saldode ja tehingutega.
Ta ei teaks, kes see hüüdnimi on.
Tal poleks võimalust siduda neid numbreid ekraani taga oleva päris inimesega.
Ta näeks raamatupidamist ilma elulooluta.
Mõned praktilised nõuanded, kuidas tõeliselt anonüümseks jääda
Anonüümsus pole ainult meie lubadus: see on ka sinu väike samm.
Kui tahad, et su raamatupidamine oleks arusaamatu kõigile peale sinu, soovitame sul:
- Nimetada kontosid funktsiooni, mitte inimese järgi. „Pangakonto“, „Palk“, „Kodulaen“, „Ühiskonto“ toimivad hästi. „Jaan Tamme konto“ või IBAN täies pikkuses pealkirjas avab tarbetu pilu.
- Jätta tehingute kirjeldused loomulikult üldiseks. Loomu poolest on need niigi: „hommikusöök kohvikus“, „õhtusöök restoranis“, „tankimine“, „ostud toidupoes“. Keegi peale sinu ei saaks aru, kas see restoraniõhtusöök oli Tallinnas kliendiga või Tartus õega.
- Kasutada registreerimiseks pseudonüümset e-posti, kui tahad seda äärmuseni viia. Su e-post on ainult sisselogimiseks ja teenindusteadete edastamiseks: keegi ei sunni sind kasutama „ametlikku“ tüüpi
eesnimi.perenimi@domeen.ee. Sobib täiesti pseudonüümne, tüüpiohtu.udu@protonmail.comvõi mis iganes muu, mis sulle sobib.
Ka maksmine on anonüümne (meie jaoks)
Punkt, mida lugeja tavaliselt ei oota, ja mida tasub selgelt öelda.
Cashfulnessi tellimuste eest ei küsi me sinult otse krediitkaarti, IBAN-i ega arveldusandmeid. Makse käib läbi poe, kust rakenduse alla laadisid: App Store (Apple) või Google Play (Google) mobiiliversioonide jaoks, Stripe veebisaidilt tehtavate maksete jaoks.
Just need kolmandad osapooled näevad su nime, aadressi, krediitkaarti või IBAN-i — sest tehniliselt on nemad need, kes raha koguvad. Neile kuulub üldjuhul ka su tellimuse eest arvete või maksukviitungite väljastamine (vastavalt su riigi reeglitele).
Cashfulness saab selle toru teisest otsast ainult netolaekumise ja tellimuse läbipaistmatu identifikaatori (midagi sellist nagu sub_abc123).
Me ei näe kunagi: kliendi nime, isikukoodi, krediitkaarti, IBAN-i.
Me ei väljasta lõppkasutajatele arveid ega maksukviitungeid.
Teisisõnu: ka äripoole pealt on meile sinust piisav teada, et olemas on aktiivne tellimus, mis on seotud teatud hüüdnime ja teatud pseudonüümse e-postiga. Kliendi elulugu jääb toru teise otsa, poe juurde, ja jääbki sinna.
Rasked valikud, mis sellest tulenevad
Nende kahe tasandi kokkupanek ei ole tasuta funktsioon.
See on valik, mis sulgeb struktuurselt teatud uksed, ja neist ustest tasub avameelselt rääkida, sest just siin on näha järjepidevuse hind.
Ei mingit granulaarset käitumisanalüütikat profiili kaupa.
Me ei saa siduda rakenduses toimuvat tegevust päris identiteetidega, sest meil pole päris identiteete.
Toote arendus on individuaalsete mustrite osas natuke pimedam. Toetume palju rohkem otsestele tagasisidetele, beetatestidele, kvalitatiivsetele intervjuudele.
See toimib, aga on vähem automaatne.
Ei mingeid personaalseid ärilisi soovitusi.
Me ei ütle sulle „teised sinusugused kasutajad ostsid X“ su profiili põhjal. Me ei suru sulle sponsoreeritud partnerite tooteid su numbrite põhjal peale. Äriline profileerimismudel, mis on paljude tasuta rakenduste leib, Cashfulnessis puudub.
Seevastu see, mida me teeme — ja millest tahame selgelt rääkida — on su finantsolukorra parandamise teekonnad: vihjed, kus su numbrid viitavad, et võiksid säästa, kus varade koosseis väärib mõtlemist, kus katteperioodi kuud võiksid väikeste kohandustega kasvada.
Need on hariduslikud vihjed, mis on ehitatud su enda andmete peale ja — kui andmete iseloom seda nõuab — arvutatud su seadmes, kohaliku dekrüpteeritud koopia pealt.
Üks oluline täpsustus: Cashfulness ei anna personaalseid investeerimisnõuandeid. See on litsentseeritud finantsnõustajate territoorium ja heal põhjusel: see on reguleeritud tegevus, mis nõuab pädevust, vastutust ja usaldussuhet, mis erineb sinu ja rakenduse omast. Cashfulness aitab sul selgelt näha, mitte valida, millist fondi järgmisel nädalal osta.
Teavitused ja uudiskiri: ainult siis, kui sina tahad, mitte kunagi vaikimisi.
See, et me oleme ärilise profileerimise suhtes allergilised, ei tähenda, et oleksime tumm platvorm.
Cashfulness võib sulle saata kasulikke asju — ja kui ma ütlen „kasulik“, pean silmas tõesti sinu, mitte kolmandate osapoolte jaoks: hoiatusi, kui eelarve on ületamas piiri, vihjeid, kus su numbrid räägivad, et võiksid säästa, lühikest perioodilist uudiskirja hariduslike mõtiskustega isikliku rahanduse ja toote uuenduste kohta.
Kõik see on opt-in: sina lülitad selle sisse registreerimisel või hiljem, millal iganes tahad, ja lülitad välja, millal iganes tahad.
Ükski kastike pole vaikimisi märgitud. Su e-post — isegi kui see on pseudonüümne — teenib meid ainult selleks, et saata sulle see, mida sa palusid, mitte selleks, et jälitada sind sõnumitega, mida sa ei tahtnud.
AI, mis järgib rangelt kahte privaatsustaset.
Tehisintellekti funktsioonid, mida Cashfulness arendab või hakkab arendama, austavad eespool kirjeldatud eristust.
Dokumentide puhul (pangaväljavõtted, lepingud, arved, poliisid) toimuvad AI töötlused, mis nõuavad sisu lugemist, su seadmes, kohaliku dekrüpteeritud koopia pealt. Server ei näe nende dokumentide sisu kunagi.
Raamatupidamisandmete puhul (su hüüdnime saldod, tehingud, kategooriad) töötavad võimalikud serveripoolsed töötlused numbritel, millel puudub isikuidentiteet — sellest juba varem räägitud „raamatupidamine ilma elulooluta“. AI võib aidata sul kasulikke mustreid näha (näiteks tähelepanu juhtida sinu tavapärasest väljast jäävale kulule või soovitada, kus kärpida), aga ilma et ta neid numbreid kunagi päris nime ja perekonnanimega siduks.
Mida me ei tee, on ehitada AI mudelit, mis seob kes sa oled su finantseluga — sest „kes sa oled“ — Cashfulnessil seda pole.
Ei mingit isikutega seostatava koondandmete müüki.
Me ei saa müüa „kulutuste andmestikku vanuserühmade ja elukoha järgi“ pankadele, uurimisinstituutidele, reklaamiagentuuridele. Vanuse ja elukoha andmeid meil pole.
See oleks olnud märkimisväärne tuluallikas. Oleme selle teadlikult ärimudelist välja jätnud.
Nende valikute äriline tagajärg on selge: enda ülalpidamiseks elame ainult kasutajate otsestest tellimustest.
Minimaalne tasuta tase, tellimus Base, tellimus Top.
Mitte mingit reklaami, mitte mingit andmemüüki, mitte mingit partnerlust, mis nõuaks juurdepääsu kasutajate andmetele.
See on kitsam mudel kui turustandard, aga see on aus, ja see on ainus, mis lubab Cashfulnessil pidada lubadust, mille ta annab kasutuselevõtu esimesel ekraanil.
Üks tagajärg, mis meile sellest mudelist meeldib: iga kasutaja, kes valib Cashfulnessi eest maksmise, tahab tõeliselt seda toodet.
Ei ole dünaamikat, kus „toode on tasuta, sest sina oled toode“.
Sina oled klient, ja toode on see, mille eest sa maksad.
Ka partnerlused järgivad seda reeglit
On üks küsimus, mis meile varem või hiljem esitatakse — ja mida tasub ette näha.
Kui Cashfulness avaks tulevikus integratsioonid teiste finantsteenustega (tariifivõrdlejad, kindlustusmaaklerid, investeeringute haldajad), kas need kaks kaitsetaset jääksid kehtima?
Jah, ja reegli sõnastame nii: kui Cashfulness integreerib välise partneri, algab partnerile suunatud kõne alati su seadmest, sinu konkreetsel soovil, ühe konkreetse kirje jaoks.
Mitte kunagi serveripoolselt koondatuna.
Mitte kunagi automaatselt.
Mitte kunagi ilma su teadliku sammuta.
Toon konkreetse näite, olgugi tulevikuline ja hüpoteetiline.
Oletame, et oled Cashfulnessi laadinud oma elektriarve ja tahad teada, kas turul on parem pakkumine.
Standardses rakenduses saadaks süsteem partnerile automaatselt arve andmed (ja võib-olla ka muid kontekstiandmeid), saaks vastuse ja näitaks seda sulle.
Cashfulnessi mudelis näed selle konkreetse arve juures hoopis nuppu „kontrolli [partneriga]“.
Kui sa sellele vajutad, laadib su telefon arve Cashfulnessi arhiivist alla ja dekrüpteerib selle kohapeal — meenutagem: üleslaaditud dokumendid on otspunktist-otspunktini krüpteeritud ja ainult su seadmel on võti nende loetavaks lugemiseks —, eraldab ainult kontrolliks vajalikud andmed (tarbimine, tariifiklass, praegune tarnija), saadab need otse partnerile ilma meie serverit läbimata, ja näitab sulle vastust.
Cashfulnessi server ei näinud isegi selles stsenaariumis midagi.
Ei dokumenti, ei numbreid, ega su identiteeti.
See ei ole hilinenud järeleandmine privaatsusele.
See on viis, kuidas me arvame, et partnerlused peaksid isiklikus rahanduses toimima.
Seda on tehniliselt tülikam ehitada — see nõuab seadmepoolset SDK-d, täpset autentimist, volituste haldamist telefonis —, aga see on ainus viis, mis on kooskõlas brändi lubadusega.
Partnerlused, mis küsivad Cashfulnessilt koondatud serveripoolset andmejuurdepääsu, saavad viisaka „ei“.
Lubadus, ühes lauses
See on lubadus, kokku võetud lauses, mille sooviksime jääda kestma:
Cashfulness ei tea, kes sa oled, ei loe su dokumente, ei mõista su numbreid. Ainult sinul on kõik võtmed.
Kolm eri tegusõna kolme eri taseme jaoks.
Ei tea, kes sa oled: sest sa ei ütle seda talle. Kasutad hüüdnime ja sellest piisab.
Ei loe su dokumente: sest need on krüpteeritud võtmega, mis on olemas ainult sinul.
Ei mõista su numbreid: sest ilma su kontekstita on need raamatupidamine ilma elulooluta.
Kogu ülejäänud toode toetub sellele lausele.
Finantstervise mõõdikud, vahe Vara+ ja Vara- vahel, nähtamatu kahekordne kirjendamine, iganädalane kümneminutiline rituaal — kõik, millest me selle blogi teistes artiklites räägime — toimivad tõeliselt ainult siis, kui nende kohal on privaatsuse lagi, mis teeb need tõeliselt sinu omaks, mitte ainult turunduskeeles.
Kui see on see, mida otsid, oled õiges kohas.
Ootame sind beeta ootenimekirjas aadressil cashfulness.com/beta.
Kui sa aga eelistad rakendust, mis analüüsib su käitumist, et sulle paremini nõu anda, osa su privaatsusest vastu — see on legitiimne valik, selles pole midagi halba —, aga see pole meie.
Sobib ka nii.
Cashfulness on mõeldud inimestele, kelle jaoks kodused numbrid peavad jääma koju, ja teab väga hästi, et ta on üks valik teiste seas.
— Vittorio