פרטיות רדיקלית: שתי שכבות, הבטחה אחת

רוב האפליקציות החינמיות שיש לך בטלפון הן לא באמת חינמיות.

הן ניתנות לך בתמורה לנתונים שלך.

זו עסקת חליפין.

היא שקופה מבחינה עקרונית, ובמקרים רבים היא גם עסקה ששווה לעשות — אין בכך שום שערורייה.

גם הרבה אפליקציות פיננסים אישיים עובדות ככה.

הן נותנות לך כלי מעקב חינמי או כמעט חינמי, ובתמורה מרכזות את נתוני ההוצאות שלך כדי להפיק דוחות שוק, המלצות מותאמות אישית, הצעות פרסום, פרופיילינג, שותפויות מסחריות.

גם כאן, מבחינה עקרונית, זו בחירה לגיטימית של הספק.

אתה מאשר בן רגע את תנאי השירות וממשיך הלאה.

Cashfulness בחרה דרך אחרת.

לא כדי לשפוט אפליקציות אחרות — כל אחד בונה את המודל שלו, ורבים עושים זאת ביושר — אלא משום שאנחנו מאמינים שהפיננסים האישיים ראויים ליחס שונה.

זהו תחום שבו יש כבר מספיק ערפל, ושבו המודעות לכך שמישהו (אפילו באופן תיאורטי) יכול לראות את המספרים שלך מרוקנת מתוכן את המשמעות של המוצר עצמו.

השלווה שאנחנו מדברים עליה, אם הנתונים לא בטוחים, היא הבטחה ריקה.

בגלל זה בנינו את Cashfulness סביב בחירה טכנית מדויקת, כתובה ביסודות הקוד, שפועלת בשתי שכבות.

השכבה הראשונה מגנה על המסמכים שאתה מכניס ל-Cashfulness — עם הצפנה מקצה לקצה רדיקלית.

השכבה השנייה מגנה על הזהות שלך ועל הנתונים החשבונאיים שלך — עם אנונימיזציה מקסימלית.

שתי השכבות עונות על צרכים שונים ומשתמשות בכלים שונים. שווה להסביר אותן אחת אחרי השנייה.

למה צריך חיבור (ומה זה אומר לגבי הפרטיות)

הנחת יסוד טכנית, לפני שנכנסים לשתי השכבות.

Cashfulness פועלת רק אם המכשיר שלך מחובר לרשת.

בין אם זה נייד או מחשב שולחני, האפליקציה חייבת להיות מסוגלת לתקשר עם מסד נתונים מרוחק שנמצא על השרתים שלנו (תשתית אירופית).

למה הבחירה הזו? כי הנתונים החשבונאיים שלך חייבים להישאר מסונכרנים בין המכשירים השונים שאתה משתמש בהם.

אם אתה מוסיף תנועה מהסמארטפון בהפסקת הצהריים, תרצה לראות אותה שוב בערב מהמחשב הנייד. וגם ההפך.

בלי נקודת אמת מרכזית, הנתונים היו מתפצלים באופן שיטתי בין הלקוחות השונים, ואתה היית נשאר עם שני עותקים לא עקביים של הנהלת החשבונות שלך — סיוט קטן שמאיין את כל המשמעות של הנהלת החשבונות הכפולה.

אז כן, הנהלת החשבונות שלך עוברת דרך שרת מרוחק.

זה לא ויתור על פרטיות: זה האילוץ הטכני הדרוש כדי לתת לך הנהלת חשבונות שבאמת עובדת על כמה מכשירים.

השאלה המעניינת הופכת להיות: איך אנחנו מגנים על הפרטיות שלך בהינתן האילוץ הזה?

התשובה נמצאת בשתי השכבות שאני מתאר עכשיו.

שכבה 1 — הצפנה מקצה לקצה רדיקלית למסמכים

כשאתה מתחיל להשתמש ב-Cashfulness, במוקדם או במאוחר תרצה להכניס לאפליקציה את המסמכים שלך: תדפיסי בנק, חוזי משכנתה או שכירות, חשבונות חשמל וגז, פוליסות ביטוח, אישורי השקעות, דוחות קרנות, קבלות מס חשובות.

המסמכים האלה מכילים הכול: השם המלא שלך, כתובת, מספר זהות, IBAN, סכומים, צדדים נגדיים, פרטי חיים.

זו השכבה הרגישה ביותר מכל.

בשבילם עשינו את הבחירה הכי מחמירה שאפשר: הצפנה מקצה לקצה רדיקלית.

המונח הטכני הוא הצפנה מקצה לקצה (end-to-end encryption), או E2EE.

כדי להבין מה זה בלי מונחים טכניים, דמיין שאתה רוצה לשלוח מכתב דרך שליח.

יש לך שתי אפשרויות.

אפשרות 1, מודל סטנדרטי.

אתה כותב את המכתב בגלוי, שם אותו במעטפה, ונותן אותו לשליח.

השליח — אם ירצה — יכול לפתוח את המעטפה, לקרוא את המכתב, לרשום הערות, ואז לסגור אותה מחדש ולמסור אותה.

אתה סומך על כך שהוא לא יעשה זאת כי הוא הבטיח שלא יעשה זאת, אולי גם כי יש חוקים שאוסרים עליו ונותנים לך איזושהי ערבות.

אבל מבחינה חומרית, הוא יכול.

אפשרות 2, הצפנה מקצה לקצה.

אתה כותב את המכתב, וסוגר אותו בקופסת מתכת שנפתחת רק עם מפתח ספציפי.

המפתח נמצא אצלך. רק אצלך.

אתה נותן את הקופסה לשליח. השליח מוביל אותה ומאחסן אותה.

גם אם הוא ייקח אותה ויביא אותה הביתה, הוא לא יוכל לפתוח אותה, כי אין לו את המפתח.

כשתזדקק למכתב, אתה זה שיפתח שוב את הקופסה עם המפתח שלך, ותקרא.

ההצפנה מקצה לקצה של המסמכים ב-Cashfulness היא קופסת המתכת של אפשרות 2.

כשאתה מעלה מסמך לאפליקציה, המכשיר שלך מצפין אותו לפני שהוא נשלח לשרת. הוא מגיע לשרת ונשאר מוצפן.

מבחינת השרת, כל מסמך שלך הוא בלוק של רעש דיגיטלי.

המפתח לפענוח נמצא רק על המכשיר שלך, נגזר מהסיסמה האישית שלך ומ24 מילות השחזור שלך (מה שנקרא seed phrase, הסטנדרט החזק ביותר הקיים כיום ליצירה ולהגנה על מפתחות קריפטוגרפיים אישיים).

מה זה אומר, בפועל:

• השרת של Cashfulness לא יכול לקרוא את המסמכים שלך. לא אנחנו שבנינו את האפליקציה, לא מי שמנהל את התשתית, לא תוקף עתידי אפשרי.
• אם מחר Cashfulness תיפרץ וכל המסמכים על השרתים ייגנבו, התוקף יראה רעש. חסר שימוש.
• אפילו רשות שתבקש רשמית את המסמכים שלך תקבל רעש. אנחנו לא יכולים לתת אותם, כי אין לנו אותם בגלוי.

יש צד שני למטבע, ואנחנו רוצים להיות כנים לגבי זה.

אם תאבד את הסיסמה שלך ותאבד גם את 24 מילות השחזור, המסמכים שלך יהפכו לבלתי קריאים גם עבורך.

לתמיד.

אנחנו לא יכולים לשחזר אותם, כי מבחינה טכנית אנחנו לא יכולים לקרוא את מה שהצפנת. אין "איפוס סיסמה באימייל" שיחזיר לך את המסמכים, כי אין אף אחד בצד השני שיכול לעשות את זה.

המפתח שייך רק לך.

זה אומר חופש — רק אתה יכול לגשת — ואחריות — רק אתה יכול לאבד את הגישה.

זו בחירה פילוסופית. אנחנו מעדיפים לתת לך שליטה מלאה, גם אם זה כולל את הנטל של שמירה על הפרטים שלך, במקום לשמור עותק "גיבוי" על השרת שלנו. העותק הזה, במוקדם או במאוחר, עלול להפוך לנקודת פריצה.

מפתח שקיים רק בטלפון שלך, לא.

שכבה 2 — אנונימיזציה מקסימלית לזהות ולנתונים חשבונאיים

השכבה השנייה שונה, ומכסה את כל השאר: מי אתה ומה אתה עושה בתוך האפליקציה במונחים של מספרים.

לנתונים האלה בחרנו אסטרטגיה אחרת, כי הבעיה בעלת אופי שונה.

המסמכים הם "קופסאות" עם תוכן רגיש, והגיוני להצפין אותם במלואם.

הנתונים החשבונאיים, לעומת זאת, הם מבנה חי: מספרים, חשבונות, קטגוריות, תנועות שאתה צריך כל יום, ועליהם Cashfulness בונה את מדדי הבריאות הפיננסית שהיא מציגה לך.

להצפין אותם באותה צורה כמו את המסמכים היה הופך את האפליקציה לאיטית מאוד, ובמקרים רבים לבלתי שמישה.

התשובה שלנו היא לא הצפנה מוחלטת. זו אנונימיזציה מקסימלית.

בפועל זה אומר שני דברים.

Cashfulness אפילו לא רוצה לדעת איך קוראים לך.

כשאתה נרשם, אנחנו לא שואלים אותך שם פרטי ושם משפחה.

אנחנו מבקשים כינוי (nickname) — מה שבא לך, יכול להיות גם דמיוני לחלוטין.

אנחנו מבקשים אימייל לצורכי קשר טכני (שחזור גישה, תקשורת שירותית), וסיסמה.

זהו.

בלי מספר זהות, בלי תאריך לידה, בלי כתובת, בלי מספר טלפון, בלי קישור לחשבון הבנק שלך, בלי אימות זהות.

עבור Cashfulness, אתה כינוי עם אימייל. לא יותר מזה.

המרחבים החשבונאיים שלך קשים לפענוח עבור מי שאינו אתה.

האפליקציה מזמינה אותך לפרט הכנסות והוצאות לחשבונות ותת-חשבונות ספציפיים. השמות שאתה נותן לחשבונות האלה, התוויות של התנועות שלך, רמת הפירוט שבה אתה מתאר את חיי הכספים שלך — אתה מחליט עליהם, עם אוצר המילים השימושי לך ביותר.

Cashfulness אף פעם לא מבקשת ממך להכניס נתונים אישיים לתוך שמות החשבונות: בלי מספר זהות, בלי IBAN בכותרות, בלי שמות פרטיים. השמות פונקציונליים (למשל: "משכורת", "חשבון עו״ש עיקרי", "משכנתה", "הוצאות רכב", "שכירות שהתקבלה"): הם מתארים פונקציה, לא אותך.

יחד, שני הגורמים האלה — כינוי שלא חושף מי אתה, ושמות חשבונות שמתארים מה, לא מי — הופכים את הנהלת החשבונות שלך קשה להבנה ובלתי אפשרית לקשר אליך עבור כל מי שאינו אתה עצמך.

התוצאה הקונקרטית היא כזו: גם אם מישהו (תוקף, עובד לא ישר, רשות כלשהי) יוכל להביט במסד הנתונים בצד השרת, הוא יראה כינוי מסוים עם תרשים חשבונות, יתרות ותנועות.

הוא לא יידע מי הכינוי הזה.

לא תהיה לו דרך לקשר את המספרים האלה לאדם האמיתי מאחורי המסך.

הוא יראה הנהלת חשבונות ללא ביוגרפיה.

כמה עצות מעשיות כדי להישאר אנונימי באמת

האנונימיות היא לא רק הבטחה שלנו: זה גם מחווה קטנה שלך.

אם אתה רוצה שהנהלת החשבונות שלך תהיה בלתי מובנת לכל מי שאינו אתה, אנחנו ממליצים לך:

• לקרוא לחשבונות לפי פונקציה, לא לפי אדם. "חשבון בנק", "משכורת", "משכנתה", "חשבון משותף" עובדים טוב. "חשבון של דני כהן" או IBAN מלא בכותרת פותחים פתח מיותר.
• להשאיר את תיאורי התנועות כלליים באופן טבעי. מטבעם הם כבר כלליים: "ארוחת בוקר בבית קפה", "ארוחת ערב במסעדה", "תדלוק רכב", "קניות בסופרמרקט". אף אחד חוץ ממך לא יבין אם ארוחת הערב במסעדה הייתה בתל אביב עם לקוח או בחיפה עם אחותך.
• להשתמש באימייל בדוי להרשמה, אם תרצה לקחת את זה עד הקצה. האימייל שלך משמש רק להתחברות ולמסירת תקשורת שירותית: אף אחד לא מחייב אותך להשתמש בכתובת "רשמית" מהסוג firstname.lastname@domain.co.il. כתובת בדויה מהסוג aurora.balayla@protonmail.com או כל אחת אחרת שנוחה לך עובדת מצוין.

גם התשלום אנונימי (בשבילנו)

יש נקודה אחת שהקורא בדרך כלל לא מצפה לה, וכדאי לומר אותה בבירור.

עבור המנוי ל-Cashfulness אנחנו לא מבקשים כרטיס אשראי, IBAN, או פרטי חיוב ישירות ממך. התשלום עובר דרך החנות שממנה הורדת את האפליקציה: App Store (Apple) או Google Play (Google) לגרסאות הנייד, Stripe לתשלומים מהאתר.

אלה הצדדים השלישיים שרואים את השם, הכתובת, כרטיס האשראי או ה-IBAN שלך — כי מבחינה טכנית הם אלה שגובים את התשלום. בדרך כלל, עליהם מוטלת הנפקת החשבוניות או קבלות המס עבור המנוי שלך (לפי הכללים של המדינה שלך).

Cashfulness, בצד השני של הצינור, מקבלת רק את התקבול נטו ומזהה אטום של המנוי (משהו כמו sub_abc123).

אנחנו אף פעם לא רואים: שם לקוח, מספר זהות, כרטיס אשראי, IBAN.

אנחנו לא מנפיקים חשבוניות או קבלות מס למשתמשי הקצה.

במילים אחרות: גם בצד המסחרי, כל מה שאנחנו צריכים לדעת עליך זה שקיים מנוי פעיל שמקושר לכינוי מסוים ולאימייל בדוי מסוים. הביוגרפיה של הלקוח נמצאת בצד השני, אצל החנות, ונשארת שם.

הבחירות הקשות שנובעות מכך

לחבר בין שתי השכבות האלה זו לא פיצ׳ר בחינם.

זו בחירה שסוגרת כמה דלתות באופן מבני, ועל הדלתות האלה כדאי להיות מפורשים, כי כאן רואים את המחיר של העקביות.

אין אנליטיקה של התנהגות ברמת פירוט לכל פרופיל.

אנחנו לא יכולים לקשר בין הפעילות בתוך האפליקציה לבין זהויות אמיתיות, כי אין לנו את הזהויות האמיתיות.

הפיתוח של המוצר קצת יותר "עיוור" לגבי דפוסים אישיים. אנחנו נשענים הרבה יותר על משוב ישיר, בדיקות בטא וראיונות איכותניים.

זה עובד, אבל פחות אוטומטי.

אין המלצות מסחריות מותאמות אישית.

אנחנו לא אומרים לך "משתמשים אחרים כמוך קנו X" על סמך הפרופיל שלך. אנחנו לא דוחפים אליך מוצרים של שותפים ממומנים על סמך המספרים שלך. מודל הפרופיילינג המסחרי שהוא לחם חוקם של הרבה אפליקציות חינמיות, ב-Cashfulness הוא לא קיים.

מה שכן אנחנו עושים — וחשוב לנו לומר את זה בבירור — הם מסלולי שיפור למצב הפיננסי שלך: כיוונים למקומות שבהם המספרים שלך מרמזים שאפשר לחסוך, מקומות שבהם הרכב הנכסים שלך ראוי למחשבה מחודשת, מקומות שבהם חודשי הכיסוי שלך יכולים לגדול בעזרת התאמות קטנות.

אלה כיוונים חינוכיים, בנויים על הנתונים שלך, ו — כשאופי הנתונים דורש זאת — מחושבים על המכשיר שלך, על עותק מפוענח מקומי.

הבהרה חשובה: Cashfulness לא נותנת ייעוץ השקעות מותאם אישית. זה תחום של יועצים פיננסים מוסמכים, ומסיבה טובה: זו פעילות מוסדרת שדורשת מומחיות, אחריות ומערכת יחסים של אמון שונה מזו שבינך לבין אפליקציה. Cashfulness עוזרת לך לראות בבהירות, לא לבחור את הקרן שתקנה בשבוע הבא.

התראות וניוזלטר: רק אם אתה רוצה, אף פעם כברירת מחדל.

העובדה שאנחנו אלרגיים לפרופיילינג מסחרי לא אומרת שאנחנו פלטפורמה שקטה.

Cashfulness יכולה לשלוח לך דברים שימושיים — וכשאני אומר "שימושיים" אני מתכוון באמת בשבילך, לא בשביל צדדים שלישיים: התראה אם תקציב עומד לחרוג, הצעות למקומות שבהם המספרים שלך מספרים שאתה יכול לחסוך, ניוזלטר קצר ותקופתי עם מחשבות חינוכיות על פיננסים אישיים ועדכוני מוצר.

כל זה opt-in: אתה מפעיל את זה בהרשמה או אחר כך, מתי שתרצה, ומכבה מתי שתרצה.

אין תיבת סימון שכבר מסומנת כברירת מחדל. האימייל שלך — גם אם הוא בדוי — משמש אותנו רק כדי למסור מה שביקשת, לא כדי לרדוף אחריך עם הודעות שלא ביקשת.

בינה מלאכותית שמצייתת בקפדנות לשתי שכבות הפרטיות.

יכולות הבינה המלאכותית ש-Cashfulness מפתחת או תפתח מכבדות את ההבחנה שתיארנו למעלה.

על המסמכים (תדפיסי בנק, חוזים, חשבונות, פוליסות), עיבודי בינה מלאכותית שדורשים קריאה של התוכן שלהם מתבצעים על המכשיר שלך, על עותק מפוענח מקומי. השרת אף פעם לא רואה את התוכן של המסמכים האלה.

על הנתונים החשבונאיים (יתרות, תנועות, קטגוריות של הכינוי שלך), עיבודים אפשריים בצד השרת פועלים על מספרים חסרי זהות אישית — "הנהלת החשבונות ללא ביוגרפיה" שדיברתי עליה קודם. הבינה המלאכותית יכולה לעזור לך לקרוא דפוסים שימושיים (לדוגמה, להתריע על הוצאה חריגה ביחס להרגלים שלך, או להציע איפה לחתוך), אבל בלי יכולת לקשר את המספרים האלה לשם ולשם משפחה אמיתיים.

מה שלא נעשה זה לבנות מודל בינה מלאכותית שמקשר בין מי אתה לבין חיי הכספים שלך — כי את ה"מי אתה", ב-Cashfulness, אין לנו.

אין מכירה של נתונים מצטברים שניתן לייחס לאנשים.

אנחנו לא יכולים למכור "אוסף נתוני הוצאות של ישראלים לפי קבוצת גיל ומקום מגורים" לבנקים, מוסדות מחקר, סוכנויות פרסום. אין לנו את נתוני הזהות ומקום המגורים האלה.

זה היה יכול להיות ערוץ הכנסה משמעותי. הסרנו אותו בכוונה מהמודל העסקי.

התוצאה המסחרית של הבחירות האלה ברורה: כדי להתקיים אנחנו חיים רק ממנויים ישירים מהמשתמשים.

שכבת חינם מינימלית, מנוי Premium, מנוי Ultra.

בלי פרסומות, בלי מכירת נתונים, בלי שותפות שדורשת גישה לנתוני משתמשים.

זה מודל צר יותר מהסטנדרט של השוק, אבל הוא כן, והוא היחיד שמאפשר ל-Cashfulness לעמוד בהבטחה שהיא נותנת במסך הראשון של ההרשמה.

תוצאה שאנחנו אוהבים במודל הזה: כל משתמש שבוחר לשלם עבור Cashfulness הוא משתמש שבאמת רוצה את המוצר.

אין את הדינמיקה שבה "המוצר חינם כי אתה המוצר".

אתה הלקוח, והמוצר הוא מה שאתה משלם עליו.

גם השותפויות מצייתות לכלל הזה

יש שאלה שבמוקדם או במאוחר יישאלו אותנו — וכדאי להקדים אותה.

אם בעתיד Cashfulness תיפתח לאינטגרציות עם שירותים פיננסים נוספים (משווי תעריפים, מתווכי ביטוח, מנהלי השקעות), האם שתי שכבות ההגנה האלה יישארו על כנן?

כן, והכלל שאנחנו מנסחים הוא כזה: אם Cashfulness משלבת שותף חיצוני, הקריאה לשותף תמיד תתחיל מהמכשיר שלך, לפי בקשה ספציפית שלך, עבור פריט ספציפי.

אף פעם לא באיסוף בצד השרת.

אף פעם לא אוטומטית.

אף פעם בלי המחווה המודעת שלך.

הנה דוגמה קונקרטית, אף שהיא עדיין עתידית והיפותטית.

נניח שהעלית ל-Cashfulness את חשבון החשמל שלך ורוצה לדעת אם יש הצעה טובה יותר בשוק.

באפליקציה סטנדרטית, המערכת הייתה שולחת אוטומטית לשותף את נתוני החשבון (ואולי נתוני הקשר נוספים), הייתה מקבלת את התשובה, ומציגה אותה לך.

במודל של Cashfulness, לעומת זאת, תראה כפתור "בדוק מול [שותף]" על החשבון הספציפי הזה.

כשתלחץ עליו, הטלפון שלך יוריד את החשבון מהארכיון של Cashfulness, יפענח אותו מקומית — כי נזכיר: המסמכים שהועלו מוצפנים מקצה לקצה ורק המכשיר שלך מחזיק את המפתח לקרוא אותם בגלוי — יחלץ רק את הנתונים הדרושים לבדיקה (צריכה, מדרגת תעריף, ספק נוכחי), יישלח אותם ישירות לשותף בלי לעבור דרך השרת שלנו, ויציג לך את התשובה.

השרת של Cashfulness, גם בתרחיש הזה, לא ראה כלום.

לא את המסמך, לא את המספרים, לא את הזהות שלך.

זו לא ויתור מאוחר לפרטיות.

זו הדרך שבה אנחנו חושבים ששותפויות צריכות לעבוד בפיננסים אישיים.

זה יותר מסובך לבנות מבחינה טכנית — דורש SDK בצד המכשיר, אימות מדויק, ניהול פרטי גישה על הטלפון — אבל זו הדרך היחידה שעקבית עם ההבטחה של המותג.

שותפויות שיבקשו מ-Cashfulness גישה מצטברת בצד השרת לנתונים יקבלו בנימוס תשובה שלילית.

ההבטחה, במשפט אחד

זו ההבטחה, מסוכמת במשפט אחד שהיינו רוצים שיישאר:

Cashfulness לא יודעת מי אתה, לא קוראת את המסמכים שלך, לא מבינה את המספרים שלך. רק לך יש את כל המפתחות.

שלושה פעלים שונים לשלוש שכבות שונות.

לא יודעת מי אתה: כי אתה לא אומר לה. תשתמש בכינוי, וזה יספיק לך.

לא קוראת את המסמכים שלך: כי הם מוצפנים במפתח שרק אתה מחזיק בו.

לא מבינה את המספרים שלך: כי בלי ההקשר שלך הם הנהלת חשבונות ללא ביוגרפיה.

כל שאר המוצר נשען על המשפט הזה.

מדדי הבריאות הפיננסית, ההבחנה בין נכס+ לנכס-, הנהלת החשבונות הכפולה הבלתי נראית, הטקס השבועי של עשר הדקות — כל הדברים שאנחנו מדברים עליהם במאמרים האחרים בבלוג הזה — עובדים באמת רק אם מעליהם יש תקרה של פרטיות שהופכת אותם לשלך באמת, לא רק בשפת השיווק.

אם זה מה שאתה מחפש, הגעת למקום הנכון.

אנחנו מחכים לך ברשימת ההמתנה לבטא ב-cashfulness.com/beta.

אם לעומת זאת אתה מעדיף אפליקציה שמנתחת את ההתנהגויות שלך כדי לייעץ לך טוב יותר בתמורה לחלק מהפרטיות שלך, זו בחירה לגיטימית — אין בזה שום רע — אבל אנחנו לא נהיה המקום הזה.

זה בסדר גמור.

Cashfulness נועדה עבור אנשים שהמספרים של הבית שלהם צריכים להישאר בבית, והיא יודעת היטב שהיא בחירה אחת מבין אחרות.

— ויטוריו