La plupart des applications gratuites que vous avez sur votre téléphone ne sont pas gratuites.
On vous les offre en échange de vos données.
C'est un troc.
C'est transparent sur le principe, et dans bien des cas c'est même un troc qui vaut la peine d'être fait — il n'y a aucun scandale à le faire.
Beaucoup d'applications de finances personnelles fonctionnent ainsi, elles aussi.
Elles vous donnent un outil de suivi gratuit ou presque gratuit, et en échange elles agrègent vos données de dépenses pour produire des études de marché, des recommandations personnalisées, des suggestions publicitaires, du profilage, des partenariats commerciaux.
Là encore, sur le principe, c'est un choix légitime du fournisseur.
Vous, en un instant, vous acceptez les conditions de service et vous continuez.
Cashfulness a fait un choix différent.
Non pas pour juger les autres applications — chacun construit son modèle, et beaucoup le font honnêtement — mais parce que nous croyons que les finances personnelles méritent un traitement différent.
C'est un domaine où le brouillard est déjà bien assez épais, et où la conscience que quelqu'un puisse (même en théorie) regarder vos chiffres retire au produit son sens même.
Le calme dont nous parlons, si les données ne sont pas en sécurité, est une promesse vidée de sa substance.
C'est pourquoi nous avons construit Cashfulness autour d'un choix technique précis, inscrit dans les fondations du code, qui fonctionne sur deux niveaux.
Le premier niveau protège les documents que vous emportez dans Cashfulness — avec un chiffrement de bout en bout radical.
Le second niveau protège votre identité et vos données comptables — avec une anonymisation maximale.
Les deux niveaux répondent à des besoins différents et utilisent des outils différents. Il vaut la peine de les expliquer l'un après l'autre.
Pourquoi une connexion est nécessaire (et ce que cela signifie pour la confidentialité)
Une remarque technique, avant d'entrer dans les deux niveaux.
Cashfulness ne fonctionne que si votre appareil est en ligne.
Sur mobile comme sur ordinateur, l'application doit pouvoir parler à une base de données distante qui vit sur nos serveurs (infrastructure européenne).
Pourquoi ce choix ? Parce que vos données comptables doivent rester synchronisées entre les différents appareils que vous utilisez.
Si vous ajoutez une transaction depuis votre smartphone pendant la pause déjeuner, vous voulez la revoir le soir depuis votre portable. Et inversement.
Sans un point de vérité centralisé, les données divergeraient systématiquement entre les clients, et vous vous retrouveriez avec deux copies incohérentes de votre comptabilité — un petit cauchemar qui réduit à néant tout le sens de la partie double.
Donc oui, votre comptabilité transite par un serveur distant.
Ce n'est pas un renoncement à la confidentialité : c'est la contrainte technique nécessaire pour vous donner une comptabilité qui fonctionne vraiment sur plusieurs appareils.
La question intéressante devient : comment protégeons-nous votre confidentialité compte tenu de cette contrainte ?
La réponse tient dans les deux niveaux que je vous décris maintenant.
Niveau 1 — Chiffrement de bout en bout radical pour les documents
Quand vous commencez à utiliser Cashfulness, tôt ou tard vous voudrez emporter dans l'application vos documents : relevés bancaires, contrats de crédit immobilier ou de location, factures d'électricité et de gaz, contrats d'assurance, attestations de placements, relevés de fonds, justificatifs fiscaux importants.
Ces documents contiennent de tout : votre nom complet, votre adresse, votre numéro fiscal, votre IBAN, des montants, des contreparties, des détails de votre vie.
C'est le niveau le plus sensible dans l'absolu.
Pour eux, nous avons fait le choix le plus strict possible : le chiffrement de bout en bout radical.
Le terme technique est chiffrement de bout en bout, ou E2EE.
Pour comprendre ce que c'est sans jargon, imaginez que vous vouliez envoyer une lettre par coursier.
Vous avez deux possibilités.
Possibilité 1, le modèle standard.
Vous écrivez la lettre en clair, vous la mettez dans une enveloppe, vous la donnez au coursier.
Le coursier — s'il le veut — peut ouvrir l'enveloppe, lire la lettre, prendre des notes, puis la refermer et la livrer.
Vous faites confiance au fait qu'il ne le fera pas parce qu'il a promis de ne pas le faire, peut-être parce qu'il existe des lois qui le lui interdisent et vous donnent quelques garanties.
Mais matériellement, il le peut.
Possibilité 2, le chiffrement de bout en bout.
Vous écrivez la lettre, vous l'enfermez dans une boîte en métal qui ne s'ouvre qu'avec une clé précise.
Cette clé, c'est vous qui l'avez. Vous seul.
Vous donnez la boîte au coursier. Le coursier la transporte et l'archive.
Même s'il la prenait et l'emportait chez lui, il ne pourrait pas l'ouvrir, parce qu'il n'a pas la clé.
Quand vous avez besoin de la lettre, c'est vous qui rouvrez la boîte avec votre clé, et vous lisez.
Le chiffrement de bout en bout des documents dans Cashfulness, c'est la boîte en métal de la Possibilité 2.
Quand vous chargez un document dans l'application, votre appareil le chiffre avant de l'envoyer au serveur. Il arrive chiffré sur le serveur et il y reste chiffré.
Pour le serveur, chacun de vos documents est un bloc de bruit numérique.
La clé qui permet de le déchiffrer réside uniquement sur votre appareil, dérivée de votre mot de passe personnel et de vos 24 mots de récupération (la fameuse seed phrase, le standard le plus solide aujourd'hui disponible pour générer et protéger des clés cryptographiques personnelles).
Ce que cela signifie, en pratique :
- Le serveur de Cashfulness ne peut pas lire vos documents. Ni nous qui avons construit l'application, ni ceux qui gèrent l'infrastructure, ni un éventuel attaquant futur.
- Si demain Cashfulness était compromise et que tous les documents sur les serveurs étaient volés, l'attaquant verrait du bruit. Inutilisable.
- Même une autorité qui demanderait formellement vos documents recevrait du bruit. Nous ne pouvons pas les donner, parce que nous ne les avons pas en clair.
Il y a un revers à la médaille, et nous voulons être honnêtes là-dessus.
Si vous perdez votre mot de passe et que vous perdez aussi vos 24 mots de récupération, vos documents deviennent illisibles, y compris pour vous.
Pour toujours.
Nous ne pouvons pas les récupérer, parce que techniquement nous ne pouvons pas lire ce que vous avez chiffré. Il n'existe pas de « récupération du mot de passe par e-mail » qui vous rende vos documents, parce qu'il n'y a personne de l'autre côté qui puisse le faire.
La clé n'appartient qu'à vous.
Cela signifie de la liberté — vous êtes le seul à pouvoir y accéder — et de la responsabilité — vous êtes le seul à pouvoir en perdre l'accès.
C'est un choix de philosophie. Nous préférons vous donner le contrôle entier, même si cela inclut le poids de garder vos identifiants, plutôt que d'en conserver une copie « de sécurité » sur notre serveur. Cette copie, tôt ou tard, pourrait devenir un point de compromission.
Une clé qui n'existe que sur votre téléphone, non.
Niveau 2 — Anonymisation maximale pour l'identité et les données comptables
Le second niveau est différent, et il couvre tout le reste : qui vous êtes et ce que vous faites dans l'application en termes de chiffres.
Pour ces données, nous avons choisi une autre stratégie, parce que le problème est de nature différente.
Les documents sont des « boîtes » au contenu sensible, et il est logique de les chiffrer intégralement.
Les données comptables, en revanche, sont une structure vivante : des chiffres, des comptes, des catégories, des mouvements dont vous avez besoin chaque jour, et sur lesquels Cashfulness construit les indicateurs de santé financière qu'il vous montre.
Les chiffrer de la même manière que les documents rendrait l'application extrêmement lente et, dans bien des cas, inutilisable.
Notre réponse n'est pas le chiffrement absolu. C'est l'anonymisation maximale.
En pratique, cela signifie deux choses.
Cashfulness ne veut même pas savoir comment vous vous appelez.
Quand vous vous inscrivez, nous ne vous demandons ni nom ni prénom.
Nous vous demandons un pseudo — celui que vous voulez, il peut être de pure fantaisie.
Nous vous demandons une adresse e-mail pour les contacts techniques (récupération d'accès, communications de service), et un mot de passe.
C'est tout.
Pas de numéro fiscal, pas de date de naissance, pas d'adresse, pas de numéro de téléphone, aucune connexion à votre compte bancaire, aucune vérification d'identité.
Pour Cashfulness, vous êtes un pseudo avec une adresse e-mail. Rien de plus.
Vos espaces comptables sont difficiles à déchiffrer pour qui n'est pas vous.
L'application vous invite à articuler vos revenus et vos dépenses dans des comptes et sous-comptes spécifiques. Les noms que vous donnez à ces comptes, les libellés de vos mouvements, le niveau de granularité avec lequel vous décrivez votre vie financière — c'est vous qui les décidez, avec le vocabulaire qui vous est le plus utile.
Cashfulness ne vous demande jamais d'inscrire des données personnelles dans les noms des comptes : pas de numéro fiscal, pas d'IBAN dans les intitulés, pas de noms propres. Les noms sont opérationnels (par exemple : « Salaire », « Compte courant principal », « Crédit immobilier », « Dépenses voiture », « Loyers encaissés ») : ils décrivent une fonction, pas vous.
Combinés, ces deux facteurs — un pseudo qui ne révèle pas qui vous êtes, et des noms de comptes qui décrivent quoi et non qui — rendent votre comptabilité difficile à comprendre et impossible à rattacher à vous pour quiconque n'est pas vous.
Le résultat concret est celui-ci : même si quelqu'un (un attaquant, un employé malhonnête, une autorité) pouvait regarder la base de données côté serveur, il verrait un certain pseudo avec un plan comptable, des soldes et des mouvements.
Il ne saurait pas qui est ce pseudo.
Il n'aurait aucun moyen de relier ces chiffres à la personne réelle derrière l'écran.
Il verrait une comptabilité sans biographie.
Quelques conseils pratiques pour rester vraiment anonyme
L'anonymat n'est pas seulement une promesse de notre part : c'est aussi un petit geste de la vôtre.
Si vous voulez que votre comptabilité soit incompréhensible pour quiconque n'est pas vous, nous vous conseillons de :
- Nommer les comptes par fonction, pas par personne. « Compte bancaire », « Salaire », « Crédit immobilier », « Compte joint » fonctionnent bien. « Compte de Mario Rossi » ou un IBAN complet dans l'intitulé ouvrent une brèche inutile.
- Laisser les descriptions des transactions naturellement génériques. Par nature, elles le sont déjà : « petit-déjeuner au café », « dîner au restaurant », « plein d'essence », « courses au supermarché ». Personne d'autre que vous ne comprendrait si ce dîner au restaurant était à Milan avec un client ou à Lucca avec votre sœur.
- Utiliser une adresse e-mail pseudonyme pour l'inscription, si vous voulez pousser la chose à l'extrême. Votre adresse ne sert qu'à la connexion et à vous remettre les communications de service : personne ne vous oblige à en utiliser une « officielle » du type
prenom.nom@domaine.com. Une adresse pseudonyme du typeaurore.de.nuit@protonmail.com, ou n'importe quelle autre qui vous arrange, convient parfaitement.
Le paiement aussi est anonyme (pour nous)
Un point auquel le lecteur ne s'attend généralement pas, et qu'il vaut la peine de dire clairement.
Pour les abonnements à Cashfulness, nous ne vous demandons ni carte bancaire, ni IBAN, ni données de facturation directement. Le paiement passe par la boutique depuis laquelle vous avez téléchargé l'application : App Store (Apple) ou Google Play (Google) pour les versions mobiles, Stripe pour les paiements depuis le site web.
Ce sont ces tiers qui voient votre nom, votre adresse, votre carte bancaire ou votre IBAN — parce que techniquement, ce sont eux qui encaissent. C'est à eux qu'il revient, en principe, d'émettre les factures ou les justificatifs fiscaux de votre abonnement (selon les règles de votre pays).
Cashfulness, de l'autre côté de ce tuyau, ne reçoit que l'encaissement net et un identifiant opaque de l'abonnement (quelque chose comme sub_abc123).
Nous ne voyons jamais : nom du client, numéro fiscal, carte bancaire, IBAN.
Nous n'émettons ni factures ni justificatifs fiscaux aux utilisateurs finaux.
Autrement dit : même sur le plan commercial, il nous suffit de savoir qu'il existe un abonnement actif lié à un certain pseudo et à une certaine adresse e-mail pseudonyme. La biographie du client se trouve de l'autre côté, chez la boutique, et elle y reste.
Les choix difficiles qui en découlent
Mettre ces deux niveaux ensemble n'est pas une fonctionnalité gratuite.
C'est un choix qui ferme certaines portes de manière structurelle, et sur ces portes il vaut la peine d'être explicite, parce que c'est là que se voit le prix de la cohérence.
Pas d'analytics comportementales granulaires par profil.
Nous ne pouvons pas corréler l'activité dans l'application à des identités réelles, parce que ces identités réelles, nous ne les avons pas.
Le développement du produit est un peu plus aveugle sur les schémas individuels. Nous nous en remettons bien davantage aux retours directs, aux tests en bêta, aux entretiens qualitatifs.
Cela fonctionne, mais c'est moins automatique.
Pas de recommandations commerciales personnalisées.
Nous ne vous disons pas « d'autres utilisateurs comme vous ont acheté X » à partir de votre profil. Nous ne vous poussons pas des produits de partenaires sponsorisés en nous fondant sur vos chiffres. Le modèle de profilage commercial qui est le pain quotidien de tant d'applications gratuites, chez Cashfulness il n'existe pas.
Ce que nous faisons en revanche — et nous tenons à le dire clairement — ce sont des parcours d'amélioration de votre situation financière : des indications sur les endroits où vos chiffres suggèrent qu'il serait possible d'économiser, où la composition de votre patrimoine mérite une réflexion, où les mois de couverture pourraient augmenter avec de petits ajustements.
Ce sont des indications éducatives, construites sur vos données, et — quand la nature des données l'exige — calculées sur votre appareil, sur une copie déchiffrée en local.
Une précision importante : Cashfulness ne donne pas de conseils d'investissement personnalisés. C'est le territoire des conseillers financiers inscrits au registre professionnel prévu à cet effet, et pour de bonnes raisons : c'est une activité réglementée qui demande des compétences, des responsabilités et une relation de confiance différente de celle qui existe entre vous et une application. Cashfulness vous aide à voir clair, pas à choisir le fonds à acheter la semaine prochaine.
Notifications et newsletter : seulement si vous les voulez, jamais par défaut.
Le fait que nous soyons allergiques au profilage commercial ne signifie pas que nous soyons une plateforme muette.
Cashfulness peut vous envoyer des choses utiles — et quand je dis « utiles », j'entends vraiment pour vous, pas pour des tiers : une alerte si un budget est sur le point d'être dépassé, des suggestions sur les endroits où vos chiffres racontent que vous pourriez économiser, une brève newsletter périodique avec des réflexions éducatives sur les finances personnelles et sur les mises à jour du produit.
Tout cela est en opt-in : c'est vous qui l'activez au moment de l'inscription ou plus tard, quand vous voulez, et vous le désactivez quand vous voulez.
Aucune case n'est cochée d'avance. Votre adresse e-mail — même pseudonyme — ne nous sert qu'à vous remettre ce que vous avez demandé, pas à vous poursuivre avec des messages que vous n'avez pas voulus.
Une IA rigoureusement conforme aux deux niveaux de confidentialité.
Les fonctionnalités d'intelligence artificielle que Cashfulness développe ou développera respectent la distinction que nous avons décrite plus haut.
Sur les documents (relevés bancaires, contrats, factures, contrats d'assurance), les traitements d'IA qui exigent d'en lire le contenu se font sur votre appareil, sur une copie déchiffrée en local. Le serveur ne voit jamais le contenu de ces documents.
Sur les données comptables (soldes, mouvements, catégories de votre pseudo), les éventuels traitements côté serveur tournent sur des chiffres dépourvus d'identité civile — la « comptabilité sans biographie » dont je parlais plus haut. L'IA peut vous aider à lire des schémas utiles (par exemple, vous signaler une dépense hors norme par rapport à votre habitude, ou suggérer où couper), mais sans jamais pouvoir relier ces chiffres à un nom et un prénom réels.
Ce que nous ne ferons pas, c'est construire un modèle d'IA qui relie le qui vous êtes à votre vie financière — parce que le « qui vous êtes », chez Cashfulness, nous ne l'avons pas.
Pas de vente de données agrégées rattachables à des personnes.
Nous ne pouvons pas vendre des « jeux de données de dépenses par tranche d'âge et lieu de résidence » à des banques, à des instituts de recherche, à des agences publicitaires. Les données d'état civil et de résidence, nous ne les avons pas.
Cela aurait été un canal de revenus significatif. Nous l'avons délibérément éliminé du modèle économique.
La conséquence commerciale de ces choix est claire : pour nous financer, nous vivons uniquement des abonnements directs des utilisateurs.
Niveau Free minimal, abonnement Base, abonnement Top.
Pas de publicité, pas de vente de données, aucun partenariat qui exige l'accès aux données des utilisateurs.
C'est un modèle plus strict que le standard du marché, mais il est honnête, et c'est le seul qui permette à Cashfulness de tenir la promesse qu'il fait dès le premier écran de l'onboarding.
Une conséquence de ce modèle qui nous plaît : chaque utilisateur qui choisit de payer pour Cashfulness est un utilisateur qui veut vraiment le produit.
Il n'y a pas la dynamique où « le produit est gratuit parce que c'est vous le produit ».
Vous êtes le client, et le produit est ce que vous payez.
Les partenariats aussi respectent cette règle
Il y a une question qui nous sera posée tôt ou tard — et qu'il vaut la peine d'anticiper.
Si Cashfulness ouvrait à l'avenir des intégrations avec d'autres services financiers (comparateurs de tarifs, courtiers en assurance, gestionnaires de placements), ces deux niveaux de protection tiendraient-ils toujours ?
Oui, et nous formulons la règle ainsi : si Cashfulness intègre un partenaire externe, l'appel au partenaire partira toujours de votre appareil, sur votre demande explicite, pour un élément précis.
Jamais agrégé côté serveur.
Jamais automatique.
Jamais sans votre geste conscient.
Prenons un exemple concret, aussi futur et hypothétique soit-il.
Supposons que vous ayez chargé dans Cashfulness votre facture d'électricité et que vous vouliez savoir s'il existe une meilleure offre sur le marché.
Dans une application standard, le système enverrait automatiquement au partenaire les données de la facture (et peut-être d'autres données de contexte), recevrait la réponse, et vous la montrerait.
Dans le modèle Cashfulness, en revanche, vous verrez un bouton « vérifier avec [partenaire] » sur cette facture précise.
Quand vous l'actionnez, votre téléphone télécharge la facture depuis l'archive Cashfulness, la déchiffre en local — parce que rappelons-le : les documents chargés sont chiffrés de bout en bout et seul votre appareil a la clé pour les lire en clair — il en extrait les seules données nécessaires à la vérification (consommation, tranche horaire, fournisseur actuel), les envoie directement au partenaire sans passer par notre serveur, et vous montre la réponse.
Le serveur de Cashfulness, même dans ce scénario, n'a rien vu.
Ni le document, ni les chiffres, ni votre identité.
Ce n'est pas une concession tardive à la confidentialité.
C'est la manière dont nous pensons que les partenariats doivent fonctionner en finances personnelles.
C'est plus inconfortable à construire techniquement — cela demande un SDK côté appareil, une authentification fine, une gestion d'identifiants sur le téléphone — mais c'est la seule manière cohérente avec la promesse de la marque.
Les partenariats qui demanderont à Cashfulness un accès agrégé côté serveur aux données recevront courtoisement un non.
La promesse, en une phrase
Voici la promesse, résumée en une phrase que nous aimerions voir rester :
Cashfulness ne sait pas qui vous êtes, ne lit pas vos documents, ne comprend pas vos chiffres. Vous seul avez toutes les clés.
Trois verbes différents pour trois niveaux différents.
Il ne sait pas qui vous êtes : parce que vous ne le lui dites pas. Vous utiliserez un pseudo, et cela suffira.
Il ne lit pas vos documents : parce qu'ils sont chiffrés avec une clé que vous êtes le seul à posséder.
Il ne comprend pas vos chiffres : parce que, sans votre contexte, ils forment une comptabilité sans biographie.
Tout le reste du produit s'appuie sur cette phrase.
Les indicateurs de santé financière, la distinction entre Actif+ et Actif−, la partie double invisible, le rituel hebdomadaire des dix minutes — toutes choses dont nous parlons dans les autres articles de ce blog — ne fonctionnent vraiment que s'il y a, au-dessus d'elles, un plafond de confidentialité qui les rend vraiment vôtres, et pas seulement dans le langage du marketing.
Si c'est ce que vous cherchez, vous êtes au bon endroit.
Nous vous attendons sur la liste d'attente bêta sur cashfulness.com/beta.
Si en revanche vous préférez une application qui analyse vos comportements pour mieux vous conseiller en échange d'une partie de votre vie privée, c'est un choix légitime — il n'y a rien de mal à cela — mais ce ne sera pas nous, cet endroit-là.
C'est très bien ainsi.
Cashfulness est pensé pour les personnes dont les chiffres de la maison doivent rester à la maison, et il sait parfaitement qu'il est un choix parmi d'autres.
— Vittorio