Većina besplatnih aplikacija na tvom telefonu zapravo nije besplatna.
Nude ti ih u zamjenu za tvoje podatke.
To je razmjena.
Načelno je transparentna, i u mnogo je slučajeva riječ o razmjeni koju se isplati sklopiti — nema u tome ničeg skandaloznog.
Tako funkcioniraju i mnoge aplikacije za osobne financije.
Daju ti besplatan ili gotovo besplatan alat za praćenje, a zauzvrat agregiraju tvoje podatke o potrošnji kako bi proizveli tržišna izvješća, personalizirane preporuke, oglasne prijedloge, profiliranje, komercijalna partnerstva.
I to je, načelno, legitiman izbor pružatelja usluge.
Ti u trenu prihvatiš uvjete korištenja i nastaviš dalje.
Cashfulness je odabrao drukčiji put.
Ne zato da bismo sudili drugim aplikacijama — svatko gradi svoj model, i mnogi to rade pošteno — nego zato što vjerujemo da osobne financije zaslužuju drukčiji tretman.
To je područje gdje magle ionako ima dovoljno, i gdje sama svijest da bi netko (makar samo teoretski) mogao gledati tvoje brojke oduzima sam smisao proizvoda.
Mir o kojem govorimo, ako podaci nisu sigurni, prazno je obećanje.
Zato smo Cashfulness izgradili oko preciznog tehničkog izbora, upisanog u same temelje koda, koji djeluje na dvije razine.
Prva razina štiti dokumente koje unosiš u Cashfulness — radikalnom end-to-end enkripcijom (E2EE, enkripcija od kraja do kraja).
Druga razina štiti tvoj identitet i tvoje knjigovodstvene podatke — maksimalnom anonimizacijom.
Dvije razine odgovaraju na različite potrebe i koriste različite alate. Vrijedi ih objasniti jednu po jednu.
Zašto je potrebna veza (i što to znači za privatnost)
Jedna tehnička napomena, prije nego uđemo u dvije razine.
Cashfulness radi samo ako je tvoj uređaj online.
Na mobitelu ili na računalu, aplikacija mora moći razgovarati s udaljenom bazom podataka koja živi na našim poslužiteljima (europska infrastruktura).
Zašto taj izbor? Zato što tvoji knjigovodstveni podaci moraju ostati sinkronizirani među raznim uređajima koje koristiš.
Ako dodaš transakciju sa smartphonea za vrijeme pauze za ručak, želiš je navečer ponovno vidjeti na laptopu. I obrnuto, isto tako.
Bez centralne točke istine podaci bi se sustavno razilazili među klijentima, i završio bi s dvije nedosljedne kopije svojeg knjigovodstva — mala noćna mora koja poništava sav smisao dvojnog knjigovodstva.
Dakle da, tvoje knjigovodstvo prolazi kroz udaljeni poslužitelj.
To nije odricanje od privatnosti: to je tehnički uvjet nužan da bismo ti dali knjigovodstvo koje stvarno funkcionira na više uređaja.
Zanimljivo pitanje postaje: kako štitimo tvoju privatnost s obzirom na taj uvjet?
Odgovor je u dvije razine koje ti sada opisujem.
Razina 1 — Radikalna end-to-end enkripcija za dokumente
Kad počneš koristiti Cashfulness, prije ili kasnije poželjet ćeš u aplikaciju unijeti svoje dokumente: bankovne izvatke, ugovore o kreditu ili najmu, račune za struju i plin, police osiguranja, potvrde o ulaganjima, izvještaje fondova, važne fiskalne priznanice.
Ti dokumenti sadrže sve: tvoje puno ime, adresu, OIB, IBAN, iznose, druge ugovorne strane, pojedinosti tvog života.
To je najosjetljivija razina od svih.
Za njih smo napravili najstroži mogući izbor: radikalnu end-to-end enkripciju.
Tehnički naziv je end-to-end enkripcija, ili E2EE.
Da bi shvatio/la o čemu je riječ bez stručnih izraza, zamisli da želiš poslati pismo preko dostavljača.
Imaš dva izbora.
Izbor 1, standardni model.
Napišeš pismo otvoreno, staviš ga u kuvertu, daš dostavljaču.
Dostavljač — ako želi — može otvoriti kuvertu, pročitati pismo, zabilježiti nešto, pa je opet zatvoriti i uručiti.
Ti vjeruješ da to neće učiniti jer je obećao da neće, možda i zato što postoje zakoni koji mu to zabranjuju i daju ti neku garanciju.
Ali materijalno, može.
Izbor 2, end-to-end enkripcija.
Napišeš pismo, zatvoriš ga u metalnu kutiju koja se otvara samo određenim ključem.
Ključ imaš ti. Samo ti.
Kutiju daš dostavljaču. Dostavljač je prevozi i pohranjuje.
Čak i kad bi je uzeo i odnio kući, ne bi je mogao otvoriti, jer nema ključ.
Kad ti zatreba pismo, ti sam/a otvoriš kutiju svojim ključem, i pročitaš.
End-to-end enkripcija dokumenata u Cashfulnessu jest metalna kutija iz Izbora 2.
Kad učitaš dokument u aplikaciju, tvoj ga uređaj šifrira prije nego što ga pošalje poslužitelju. Na poslužitelj stiže i ostaje šifriran.
Za poslužitelj, svaki tvoj dokument je blok digitalnog šuma.
Ključ za dešifriranje postoji samo na tvom uređaju, izveden iz tvoje osobne lozinke i tvojih 24 riječi za oporavak (takozvana seed phrase, danas najsolidniji standard za generiranje i zaštitu osobnih kriptografskih ključeva).
Što to znači u praksi:
- Poslužitelj Cashfulnessa ne može pročitati tvoje dokumente. Ne mi koji smo izgradili aplikaciju, ne oni koji upravljaju infrastrukturom, ne eventualni budući napadač.
- Ako bi sutra netko provalio u Cashfulness i ukrao sve dokumente na poslužiteljima, napadač bi vidio šum. Neupotrebljivo.
- Čak bi i tijelo vlasti koje bi formalno zatražilo tvoje dokumente dobilo šum. Ne možemo ih dati, jer ih nemamo u čitljivom obliku.
Postoji i druga strana medalje, i o njoj želimo biti iskreni.
Ako izgubiš svoju lozinku i uz to izgubiš i 24 riječi za oporavak, tvoji dokumenti postaju nečitljivi čak i tebi.
Zauvijek.
Ne možemo ih vratiti, jer tehnički ne možemo pročitati ono što si šifrirao/la. Ne postoji „vraćanje lozinke putem e-maila” koje bi ti vratilo dokumente, jer s druge strane nema nikoga tko bi to mogao učiniti.
Ključ je samo tvoj.
To znači slobodu — samo ti možeš pristupiti — i odgovornost — samo ti možeš izgubiti pristup.
To je filozofski izbor. Radije ti dajemo potpunu kontrolu, iako to uključuje teret čuvanja vlastitih vjerodajnica, nego da čuvamo „sigurnosnu” kopiju na našem poslužitelju. Ta bi kopija, prije ili kasnije, mogla postati točka kompromitiranja.
Ključ koji postoji samo na tvom telefonu — ne.
Razina 2 — Maksimalna anonimizacija identiteta i knjigovodstvenih podataka
Druga razina je drukčija, i pokriva sve ostalo: tko si i što radiš unutar aplikacije u smislu brojki.
Za te podatke odabrali smo drugu strategiju, jer je problem drukčije naravi.
Dokumenti su „kutije” s osjetljivim sadržajem, i ima smisla šifrirati ih u cijelosti.
Knjigovodstveni podaci su, naprotiv, živa struktura: brojke, konti, kategorije, promet koji ti trebaju svaki dan, i na kojima Cashfulness gradi pokazatelje financijskog zdravlja koje ti prikazuje.
Šifrirati ih na isti način kao dokumente učinilo bi aplikaciju sporom i u mnogim slučajevima neupotrebljivom.
Naš odgovor nije apsolutna enkripcija. To je maksimalna anonimizacija.
U praksi to znači dvije stvari.
Cashfulness ne želi ni znati kako se zoveš.
Kad se registriraš, ne tražimo ime i prezime.
Tražimo nadimak — kakav god želiš, može biti i posve izmišljen.
Tražimo e-mail za tehničke kontakte (oporavak pristupa, servisne obavijesti), i lozinku.
To je sve.
Nikakav OIB, nikakav datum rođenja, nikakva adresa, nikakav broj telefona, nikakva veza s tvojim bankovnim računom, nikakva provjera identiteta.
Za Cashfulness, ti si nadimak s e-mailom. Ništa više.
Tvoje knjigovodstvene prostore teško je dešifrirati bilo kome tko nisi ti.
Aplikacija te poziva da prihode i rashode razvrstaš u konkretne konte i podkonte. Imena koja daješ tim kontima, oznake svojih transakcija, razinu detalja kojom opisuješ svoj financijski život — o tome odlučuješ ti, rječnikom koji je tebi najkorisniji.
Cashfulness te nikad ne traži da u nazive konta upišeš osobne podatke: nikakav OIB, nikakav IBAN u naslovima, nikakvo vlastito ime. Nazivi su funkcionalni (na primjer: „Plaća”, „Glavni tekući račun”, „Stambeni kredit”, „Troškovi automobila”, „Naplaćene najamnine”): opisuju funkciju, ne tebe.
Kombinirano, ova dva čimbenika — nadimak koji ne otkriva tko si, i nazivi konta koji opisuju što, a ne tko — čine tvoje knjigovodstvo teško razumljivim i nemogućim za povezati s tobom za bilo koga tko nisi ti sam/a.
Konkretan rezultat je ovo: čak i kad bi netko (napadač, nepošten zaposlenik, tijelo vlasti) mogao zaviriti u bazu podataka na strani poslužitelja, vidio bi određeni nadimak s kontnim planom, saldima i prometom.
Ne bi znao tko je taj nadimak.
Ne bi imao način povezati te brojke sa stvarnom osobom iza ekrana.
Vidio bi knjigovodstvo bez biografije.
Nekoliko praktičnih savjeta da stvarno ostaneš anoniman/anonimna
Anonimnost nije samo naše obećanje: to je i mali tvoj gest.
Ako želiš da tvoje knjigovodstvo bude nerazumljivo svima osim tebi, savjetujemo ti:
- Nazivaj konte prema funkciji, ne prema osobi. „Bankovni račun”, „Plaća”, „Stambeni kredit”, „Zajednički račun” dobro funkcioniraju. „Račun Ivana Horvata” ili puni IBAN u naslovu otvaraju nepotreban procjep.
- Ostavi opise transakcija prirodno općenitima. Po svojoj su prirodi već takvi: „doručak u kafiću”, „večera u restoranu”, „gorivo za auto”, „kupovina u dućanu”. Nitko osim tebe ne bi mogao znati je li ta večera u restoranu bila u Zagrebu s klijentom ili u Splitu sa sestrom.
- Koristi pseudonimni e-mail za registraciju, ako to želiš dovesti do krajnosti. Tvoj e-mail služi samo za prijavu i za dostavu servisnih obavijesti: nitko te ne obvezuje da koristiš „službeni” u obliku
ime.prezime@domena.hr. Sasvim je u redu pseudonim tipaaurora.di.notte@protonmail.comili bilo koji drugi koji ti odgovara.
Anonimno je (za nas) i plaćanje
Jedna stvar koju čitatelj obično ne očekuje, a vrijedi je jasno reći.
Za pretplate na Cashfulness ne tražimo od tebe izravno kreditnu karticu, IBAN ni podatke za naplatu. Plaćanje prolazi kroz trgovinu iz koje si preuzeo/la aplikaciju: App Store (Apple) ili Google Play (Google) za mobilne verzije, Stripe za plaćanja s web stranice.
Te treće strane vide tvoje ime, adresu, karticu ili IBAN — jer tehnički oni naplaćuju. Njima, u pravilu, pripada i izdavanje računa ili fiskalnih priznanica za tvoju pretplatu (prema pravilima tvoje zemlje).
Cashfulness, s druge strane te cijevi, prima samo neto uplatu i neproziran identifikator pretplate (nešto poput sub_abc123).
Nikad ne vidimo: ime klijenta, OIB, kreditnu karticu, IBAN.
Ne izdajemo račune ni fiskalne priznanice krajnjim korisnicima.
Drugim riječima: i na komercijalnom planu, o tebi nam je dovoljno znati da postoji aktivna pretplata vezana uz određeni nadimak i određeni pseudonimni e-mail. Biografija klijenta ostaje s druge strane, kod trgovine, i tamo ostaje.
Teški izbori koji iz toga proizlaze
Spajanje ovih dviju razina nije besplatna značajka.
To je izbor koji strukturno zatvara neka vrata, i o tim vratima vrijedi biti jasan, jer se tu vidi cijena dosljednosti.
Nikakve detaljne analitike ponašanja po profilu.
Ne možemo povezati aktivnost unutar aplikacije sa stvarnim identitetima, jer stvarne identitete nemamo.
Razvoj proizvoda je pomalo slijep za individualne obrasce. Mnogo se više oslanjamo na izravne povratne informacije, beta testiranja, kvalitativne intervjue.
Funkcionira, ali je manje automatski.
Nikakve personalizirane komercijalne preporuke.
Ne govorimo ti „drugi korisnici poput tebe kupili su X” na temelju tvog profila. Ne guramo ti proizvode sponzoriranih partnera oslanjajući se na tvoje brojke. Model komercijalnog profiliranja koji je kruh mnogih besplatnih aplikacija, u Cashfulnessu ne postoji.
Ono što, naprotiv, radimo — i stalo nam je to jasno reći — jesu putevi poboljšanja tvoje financijske situacije: naznake gdje tvoje brojke sugeriraju da bi se moglo štedjeti, gdje sastav imovine zaslužuje razmišljanje, gdje bi se mjeseci pokrivenosti mogli povećati malim prilagodbama.
To su obrazovne naznake, izgrađene na tvojim podacima, i — kad narav podataka to zahtijeva — izračunane na tvom uređaju, na lokalnoj dešifriranoj kopiji.
Jedno važno pojašnjenje: Cashfulness ne daje personalizirane investicijske savjete. To je područje financijskih savjetnika upisanih u odgovarajući registar, i to s dobrim razlogom: riječ je o reguliranoj djelatnosti koja zahtijeva stručnost, odgovornost i odnos povjerenja drukčiji od onoga između tebe i aplikacije. Cashfulness ti pomaže da vidiš jasno, a ne da odabereš fond koji ćeš kupiti idući tjedan.
Obavijesti i newsletter: samo ako to ti želiš, nikad po zadanome.
To što smo alergični na komercijalno profiliranje ne znači da smo nijema platforma.
Cashfulness ti može slati korisne stvari — a kad kažem „korisne”, mislim doista za tebe, ne za treće strane: upozorenje ako proračun prijeti prekoračenjem, prijedloge gdje tvoje brojke pokazuju da bi mogao/mogla uštedjeti, kratak povremeni newsletter s obrazovnim razmišljanjima o osobnim financijama i novostima proizvoda.
Sve je to opt-in: aktiviraš to ti prilikom registracije ili kasnije, kad želiš, i deaktiviraš kad želiš.
Nijedna kućica nije unaprijed označena po zadanome. Tvoj e-mail — čak i pseudonimni — nama služi samo za dostavu onoga što si tražio/la, ne za progon porukama koje nisi želio/la.
AI strogo usklađen s dvije razine privatnosti.
Funkcionalnosti umjetne inteligencije koje Cashfulness razvija ili će razviti poštuju razliku koju smo opisali gore.
Na dokumentima (izvaci, ugovori, računi, police) obrada AI-jem koja zahtijeva čitanje sadržaja odvija se na tvom uređaju, na lokalnoj dešifriranoj kopiji. Poslužitelj nikad ne vidi sadržaj tih dokumenata.
Na knjigovodstvenim podacima (saldima, prometu, kategorijama tvog nadimka) eventualne obrade na strani poslužitelja odvijaju se na brojkama bez matičnog identiteta — „knjigovodstvu bez biografije” o kojem sam prije govorio. AI ti može pomoći uočiti korisne obrasce (na primjer, upozoriti te na trošak izvan tvog uobičajenog raspona, ili predložiti gdje uštedjeti), ali bez ikad moći povezati te brojke sa stvarnim imenom i prezimenom.
Ono što nećemo napraviti jest izgraditi model umjetne inteligencije koji povezuje tko si s tvojim financijskim životom — jer „tko si”, u Cashfulnessu, mi nemamo.
Nikakva prodaja agregiranih podataka koji se mogu povezati s osobama.
Ne možemo prodavati „skupove podataka o potrošnji po dobnim skupinama i mjestu stanovanja” bankama, istraživačkim institutima, oglašivačkim agencijama. Matične i podatke o prebivalištu nemamo.
Bio bi to značajan izvor prihoda. Namjerno smo ga isključili iz poslovnog modela.
Komercijalna posljedica tih izbora jasna je: kako bismo se održali, živimo isključivo od izravnih pretplata korisnika.
Minimalna besplatna razina, pretplata Premium, pretplata Ultra.
Nikakvog oglašavanja, nikakve prodaje podataka, nikakvog partnerstva koje zahtijeva pristup podacima korisnika.
Riječ je o modelu strožem od tržišnog standarda, ali je pošten, i jedini je koji omogućuje Cashfulnessu da održi obećanje koje daje na prvom ekranu onboardinga.
Jedna posljedica koja nam se sviđa u tom modelu: svaki korisnik koji odluči platiti Cashfulness jest korisnik koji doista želi proizvod.
Nema dinamike po kojoj je „proizvod besplatan jer si ti proizvod”.
Ti si klijent, i proizvod je ono za što plaćaš.
I partnerstva poštuju ovo pravilo
Postoji pitanje koje će nam prije ili kasnije netko postaviti — i vrijedi ga unaprijed razjasniti.
Ako bi se Cashfulness u budućnosti otvorio integracijama s drugim financijskim uslugama (usporediteljima tarifa, brokerima osiguranja, upraviteljima ulaganja), bi li te dvije razine zaštite ostale na snazi?
Da, i pravilo formuliramo ovako: ako Cashfulness integrira vanjskog partnera, poziv prema partneru uvijek će krenuti s tvog uređaja, na tvoj konkretan zahtjev, za konkretnu stavku.
Nikad agregirano na strani poslužitelja.
Nikad automatski.
Nikad bez tvog svjesnog gesta.
Navest ću konkretan primjer, koliko god bio budući i hipotetski.
Pretpostavimo da si u Cashfulness učitao/la svoj račun za struju i želiš znati postoji li bolja ponuda na tržištu.
U standardnoj aplikaciji, sustav bi automatski poslao partneru podatke iz računa (a možda i druge kontekstualne podatke), primio odgovor, i pokazao ti ga.
U Cashfulness modelu, umjesto toga, vidjet ćeš gumb „provjeri kod [partner]” na tom konkretnom računu.
Kad ga pritisneš, tvoj telefon preuzima račun iz Cashfulness arhive, lokalno ga dešifrira — jer podsjetimo se: učitani dokumenti su šifrirani od kraja do kraja i samo tvoj uređaj ima ključ da ih pročita u čitljivom obliku — izvlači samo podatke potrebne za provjeru (potrošnja, tarifni razred, trenutni dobavljač), šalje ih izravno partneru bez prolaska preko našeg poslužitelja, i pokazuje ti odgovor.
Poslužitelj Cashfulnessa, čak i u tom scenariju, nije vidio ništa.
Ni dokument, ni brojke, ni tvoj identitet.
Ovo nije zakasnjelo ustupanje privatnosti.
Ovo je način na koji vjerujemo da partnerstva trebaju funkcionirati u osobnim financijama.
Nezgodnije je izgraditi to tehnički — zahtijeva SDK na strani uređaja, finu autentifikaciju, upravljanje vjerodajnicama na telefonu — ali je jedini način dosljedan obećanju brenda.
Partnerstva koja od Cashfulnessa zatraže agregirani pristup podacima na strani poslužitelja pristojno će dobiti ne.
Obećanje, u jednoj rečenici
Ovo je obećanje, sažeto u rečenici za koju bismo htjeli da ostane:
Cashfulness ne zna tko si, ne čita tvoje dokumente, ne razumije tvoje brojke. Samo ti imaš sve ključeve.
Tri različita glagola za tri različite razine.
Ne zna tko si: jer mu to ne kažeš. Koristit ćeš nadimak, i to će ti biti dovoljno.
Ne čita tvoje dokumente: jer su šifrirani ključem koji posjeduješ samo ti.
Ne razumije tvoje brojke: jer bez tvog konteksta oni su knjigovodstvo bez biografije.
Sav ostatak proizvoda oslanja se na ovu rečenicu.
Pokazatelji financijskog zdravlja, razlika između Aktivum+ i Aktivum-, nevidljivo dvojno knjigovodstvo, tjedni ritual od deset minuta — sve stvari o kojima govorimo u drugim člancima ovog bloga — doista funkcioniraju samo ako iznad njih postoji strop privatnosti koji ih čini doista tvojima, a ne samo u jeziku marketinga.
Ako to tražiš, na pravom si mjestu.
Čekamo te na beta listi čekanja na cashfulness.com/beta.
Ako pak preferiraš aplikaciju koja analizira tvoje ponašanje kako bi ti dala bolje savjete u zamjenu za dio tvoje privatnosti, to je legitiman izbor — nema u tome ničega lošeg — ali mi nećemo biti to mjesto.
U redu je i tako.
Cashfulness je zamišljen za ljude kojima brojke iz kuće moraju ostati u kući, i vrlo dobro zna da je jedan izbor među mnogima.
— Vittorio