あなたのスマートフォンに入っている無料アプリのほとんどは、無料ではありません。
あなたのデータと引き換えに提供されています。
物々交換です。
原理としては透明な取引で、多くの場合、する価値のある交換でもあります——それ自体に何のスキャンダルもありません。
多くの家計アプリも同じ仕組みで動いています。
無料か、ほぼ無料の記録ツールを提供し、その代わりにあなたの支出データを集約して、市場レポート、パーソナライズされたおすすめ、広告の提案、プロファイリング、商業的な提携に使います。
これも原理としては、提供者の正当な選択です。
あなたは一瞬で利用規約に同意し、先へ進みます。
Cashfulness は別の選択をしました。
他のアプリを裁くためではありません——それぞれが自分のモデルを築き、多くは誠実にやっています——けれど、パーソナルファイナンスは別の扱いに値すると信じているからです。
ここはもともと霧の多い領域で、誰かが（理屈の上でだけでも）自分の数字を覗けるかもしれないという意識は、製品の意味そのものを奪ってしまいます。
私たちが語る「静けさ」は、データが安全でなければ、中身のない約束です。
だからこそ Cashfulness は、コードの土台に書き込まれたひとつの明確な技術的選択を中心に築かれています。それは二つの層で働きます。
第一の層は、Cashfulness に持ち込む書類を守ります——徹底したエンドツーエンド暗号化で。
第二の層は、あなたの身元と帳簿のデータを守ります——最大限の匿名化で。
二つの層は違う必要に応え、違う道具を使います。ひとつずつ説明する価値があります。
なぜ接続が必要なのか（そしてプライバシーにとって何を意味するのか）
二つの層に入る前に、技術的な前置きをひとつ。
Cashfulness は端末がオンラインのときにだけ動きます。
モバイルでもデスクトップでも、アプリは私たちのサーバー（欧州のインフラ）にあるリモートのデータベースと話せなければなりません。
なぜこの選択なのか。あなたの帳簿のデータが、使っている複数の端末のあいだで同期されていなければならないからです。
昼休みにスマートフォンから取引を追加したら、夜にはノートパソコンから見直したい。逆でも同じです。
中央にひとつの「真実の場所」がなければ、データはクライアント間で必ず食い違い、帳簿の一貫しない二つの写しを抱えることになります——複式簿記の意味をすべて無にする、小さな悪夢です。
だから、そうです。あなたの帳簿はリモートのサーバーを通ります。
これはプライバシーの放棄ではありません。複数の端末で本当に機能する帳簿を届けるために必要な、技術的な制約です。
面白い問いはこうなります。この制約のもとで、あなたのプライバシーをどう守るのか。
答えが、これから話す二つの層にあります。
第一の層——書類のための徹底したエンドツーエンド暗号化
Cashfulness を使い始めると、遅かれ早かれ自分の書類をアプリに持ち込みたくなるはずです。銀行の取引明細、住宅ローンや賃貸の契約書、電気やガスの請求書、保険証券、投資の証明書、ファンドの運用報告書、大切な領収書。
これらの書類には何でも入っています。あなたのフルネーム、住所、納税者番号、口座番号、金額、相手先、暮らしの細部。
もっとも扱いに気をつかうべき層です。
そのために私たちは、可能なかぎり厳格な選択をしました。徹底したエンドツーエンド暗号化です。
技術用語ではエンドツーエンド暗号化、E2EE と呼ばれます。
専門用語なしで理解するために、配送業者に手紙を送る場面を想像してみてください。
選択肢は二つあります。
選択肢1、標準モデル。
手紙をそのまま書き、封筒に入れ、配送業者に渡します。
配送業者は——その気になれば——封筒を開け、手紙を読み、メモを取り、封をし直して届けることができます。
あなたは、しないと約束したから、あるいはそれを禁じる法律が多少の保証をくれるから、しないだろうと信じます。
けれど物理的には、できます。
選択肢2、エンドツーエンド暗号化。
手紙を書き、特定の鍵でしか開かない金属の箱に閉じ込めます。
鍵はあなたが持っています。あなただけが。
箱を配送業者に渡します。配送業者は運び、保管します。
たとえ箱を自分の家に持ち帰っても、鍵がないので開けられません。
手紙が必要になったら、あなたが自分の鍵で箱を開けて読みます。
Cashfulness の書類のエンドツーエンド暗号化は、選択肢2の金属の箱です。
アプリに書類をアップロードするとき、あなたの端末がサーバーに送る前に暗号化します。サーバーには暗号化されたまま届き、暗号化されたまま保管されます。
サーバーにとって、あなたの書類はどれもデジタルなノイズの塊です。
復号する鍵はあなたの端末にだけあり、あなたの個人パスワードと24個のリカバリーワード（いわゆるシードフレーズ。個人の暗号鍵を生成し守るために今日ある、もっとも堅牢な標準）から導かれます。
実際に何を意味するか。
- Cashfulness のサーバーはあなたの書類を読めません。アプリを作った私たちも、インフラを管理する人も、将来の攻撃者も。
- 明日 Cashfulness が侵害され、サーバー上のすべての書類が盗まれても、攻撃者に見えるのはノイズです。使いものになりません。
- 正式にあなたの書類を求めてくる当局があっても、受け取るのはノイズです。渡せません。平文では持っていないからです。
裏側もあり、そこには正直でありたいと思います。
パスワードを失い、24個のリカバリーワードも失えば、あなたの書類はあなた自身にも読めなくなります。
永遠に。
私たちには復元できません。あなたが暗号化したものを、技術的に読めないからです。書類を返してくれる「メールでのパスワード再発行」はありません。向こう側に、それができる誰かがいないからです。
鍵はあなただけのものです。
これは自由を意味し——アクセスできるのはあなただけ——同時に責任を意味します——アクセスを失いうるのもあなただけです。
これは哲学の選択です。認証情報を自分で守る重みを含めてでも、あなたに完全なコントロールを渡すほうを選びます。「万一のための」写しを私たちのサーバーに置くのではなく。その写しは、いつか侵害の入口になりかねません。
あなたの電話にしか存在しない鍵は、なりません。
第二の層——身元と帳簿データのための最大限の匿名化
第二の層は性質が違い、それ以外のすべてを覆います。あなたが誰か、そして数字の面でアプリの中で何をしているか。
これらのデータには別の戦略を選びました。問題の性質が違うからです。
書類は中身の繊細な「箱」であり、丸ごと暗号化するのが理にかなっています。
帳簿のデータはむしろ生きた構造です。数字、勘定、カテゴリー、毎日必要な動き。その上に Cashfulness は、あなたに見せるお金の健康の指標を組み立てます。
書類と同じやり方で暗号化すれば、アプリは極端に遅くなり、多くの場合使いものにならなくなります。
私たちの答えは絶対的な暗号化ではありません。最大限の匿名化です。
実際には二つのことを意味します。
Cashfulness は、あなたの名前を知りたいとさえ思いません。
登録のとき、姓名を尋ねません。
尋ねるのはニックネームです——好きなもので構いません。完全な創作でも。
技術的な連絡（アクセスの回復、サービスのお知らせ）のためのメールアドレスと、パスワードを尋ねます。
それだけです。
納税者番号なし、生年月日なし、住所なし、電話番号なし、銀行口座との連携なし、本人確認なし。
Cashfulness にとって、あなたはメールアドレスを持つニックネームです。それ以上ではありません。
あなたの帳簿の空間は、あなた以外には読み解きにくいものです。
アプリは、収入と支出を具体的な勘定と補助勘定に分けるよう促します。勘定につける名前、動きにつけるラベル、自分のお金の暮らしを描く細かさの度合い——それらはあなたが、自分にいちばん役立つ語彙で決めます。
Cashfulness は勘定の名前に個人データを入れるよう求めることは決してありません。納税者番号なし、見出しに口座番号なし、固有名なし。名前は実務的なものです（たとえば「給与」「メイン口座」「住宅ローン」「車の費用」「家賃収入」）。機能を描くのであって、あなたを描くのではありません。
この二つの要素——あなたが誰かを明かさないニックネームと、誰かではなく何かを描く勘定名——が組み合わさると、あなたの帳簿は、あなた以外の誰にとっても理解しにくく、あなたに結びつけることが不可能になります。
具体的な結果はこうです。誰か（攻撃者、不誠実な従業員、当局）がサーバー側のデータベースを覗けたとしても、見えるのは、ある勘定体系と残高と動きを持つ、あるニックネームです。
そのニックネームが誰なのかは分かりません。
その数字を画面の向こうの実在の人物に結びつける手段がありません。
見えるのは、経歴のない帳簿です。
本当に匿名でいるための実際のヒント
匿名性は私たちの約束だけではありません。あなたの小さな所作でもあります。
自分の帳簿を、あなた以外の誰にも分からないものにしたいなら、次をおすすめします。
- 勘定は人ではなく機能で名づける。「銀行口座」「給与」「住宅ローン」「共同口座」でうまくいきます。「Mario Rossi の口座」や見出しに書いた口座番号の全桁は、無用な隙間を開けます。
- 取引の説明は自然に一般的なままにしておく。もともとそうなっています。「カフェで朝食」「レストランで夕食」「車の給油」「スーパーで買い物」。そのレストランの夕食がミラノでの顧客との会食だったのか、ルッカでの妹との食事だったのか、あなた以外の誰にも分かりません。
- 登録には仮名のメールアドレスを使う、極限まで突き詰めたいなら。メールアドレスはログインとサービスのお知らせの受け取りにだけ使われます。
nome.cognome@dominio.itのような「正式な」ものを使う義務は誰にもありません。aurora.di.notte@protonmail.comのような仮名でも、他のどんなものでも構いません。
支払いも（私たちにとっては）匿名です
読者がふつう予想しない点で、はっきり言っておく価値があります。
Cashfulness のサブスクリプションでは、クレジットカードも口座番号も請求先情報も、直接には尋ねません。支払いはアプリをダウンロードしたストアを経由します。モバイル版なら App Store（Apple）か Google Play（Google）、ウェブサイトからの支払いなら Stripe です。
あなたの名前、住所、クレジットカードや口座番号を見るのは、これらの第三者です——技術的に代金を受け取るのは彼らだからです。サブスクリプションの請求書や領収書の発行も、通常は彼らの役目です（あなたの国のルールに従って）。
その管の反対側で Cashfulness が受け取るのは、手取りの入金と、サブスクリプションの不透明な識別子（sub_abc123 のようなもの）だけです。
顧客名、納税者番号、クレジットカード、口座番号——私たちは決して見ません。
エンドユーザーに請求書や領収書を発行することもありません。
言い換えれば、商業の面でも、私たちに必要なのは、あるニックネームとある仮名のメールアドレスに紐づいた有効なサブスクリプションが存在すること、それだけです。顧客の経歴は管の向こう側、ストアのもとにあり、そこにとどまります。
そこから生まれる難しい選択
この二つの層を組み合わせることは、タダで手に入る機能ではありません。
いくつかの扉を構造的に閉ざす選択であり、その扉について明確でありたいと思います。一貫性の代償が見えるのは、ここだからです。
プロフィール単位の細かな行動分析はありません。
アプリ内の活動を実在の身元と結びつけることができません。実在の身元を持っていないからです。
製品の開発は、個人のパターンについて少し目隠しされています。私たちは直接のフィードバック、ベータテスト、定性的なインタビューにずっと多く頼ります。
機能しますが、自動的ではありません。
パーソナライズされた商業的レコメンドはありません。
あなたのプロフィールから*「あなたに似た他のユーザーは X を買いました」*とは言いません。あなたの数字をもとにスポンサー提携先の商品を押しつけることもありません。多くの無料アプリの糧である商業プロファイリングのモデルは、Cashfulness にはありません。
その代わりに私たちがすること——そしてはっきり言っておきたいこと——は、あなたのお金の状況を良くしていく道筋です。あなたの数字がどこで節約の余地を示しているか、資産の構成のどこが一考に値するか、小さな調整でカバー月数がどこで伸びうるか。
これらは教育的な示唆であり、あなたのデータの上に組み立てられ——データの性質が求めるときは——あなたの端末の上で、ローカルに復号された写しに対して計算されます。
大切な注意をひとつ。Cashfulness はパーソナライズされた投資アドバイスをしません。それは正規の登録を受けたファイナンシャルアドバイザーの領分であり、正当な理由があります。規制された業務であり、専門性と責任と、あなたとアプリのあいだのものとは違う信頼関係を要するからです。Cashfulness ははっきり見えるようにするのを助けます。来週買うファンドを選ぶのを助けるのではありません。
通知とニュースレター：あなたが望むときだけ、決してデフォルトでは。
商業プロファイリングにアレルギーがあるからといって、口をきかないプラットフォームだというわけではありません。
Cashfulness は役に立つものを送れます——「役に立つ」とは本当にあなたのためであって、第三者のためではありません。予算が超過しそうなときのアラート、あなたの数字が節約の余地を語っている場所のヒント、パーソナルファイナンスについての教育的な考察と製品のアップデートを載せた短い定期ニュースレター。
これらはすべてオプトインです。登録のときでも後からでも、望むときにあなたが有効にし、望むときに無効にします。
デフォルトでチェック済みの欄はひとつもありません。あなたのメールアドレスは——仮名でも——あなたが求めたものを届けるためにだけ使われます。望んでいないメッセージで追いかけるためではありません。
AI は二つのプライバシーの層に厳密に従います。
Cashfulness が開発する、あるいはこれから開発する AI 機能は、上で述べた区別を尊重します。
書類（取引明細、契約書、請求書、保険証券）については、中身を読む必要のある AI 処理はあなたの端末の上で、ローカルに復号された写しに対して行われます。サーバーはそれらの書類の中身を決して見ません。
帳簿のデータ（あなたのニックネームの残高、動き、カテゴリー）については、サーバー側の処理があるとしても、それは身元情報を持たない数字の上で走ります——先ほど話した「経歴のない帳簿」です。AI は役立つパターンを読むのを助けられます（たとえば、いつもの水準から外れた支出を知らせたり、削れる場所を提案したり）。けれど、その数字を実在の姓名に結びつけることは決してできません。
私たちがしないのは、あなたが誰かをあなたのお金の暮らしに結びつける AI モデルを作ることです——「あなたが誰か」を、Cashfulness は持っていないからです。
個人に遡れる集約データの販売はありません。
「年齢層と居住地別のイタリア人の支出データセット」を銀行や研究機関や広告代理店に売ることはできません。個人情報も居住地情報も持っていないからです。
大きな収入源になりえたはずです。私たちはそれを、意図してビジネスモデルから消しました。
これらの選択の商業的な帰結は明快です。私たちを支えるのはユーザーからの直接のサブスクリプションだけです。
最小限の無料プラン、Premium プラン、Ultra プラン。
広告なし、データ販売なし、ユーザーデータへのアクセスを求める提携なし。
市場の標準よりも窮屈なモデルですが、誠実であり、Cashfulness がオンボーディングの最初の画面でする約束を守れる、唯一のモデルです。
このモデルの気に入っている帰結がひとつあります。Cashfulness にお金を払うことを選ぶユーザーは、ひとり残らず、本当にこの製品を望んでいるユーザーです。
「製品が無料なのは、あなたが製品だから」という力学がありません。
あなたは顧客であり、製品はあなたが対価を払うものです。
提携もこのルールに従います
遅かれ早かれ聞かれるはずの問いがあります——先回りして答える価値があります。
将来 Cashfulness が他の金融サービス（料金比較サイト、保険ブローカー、投資の運用会社）との連携を開いたら、この二つの保護の層は立ったままなのか？
はい。ルールはこう定式化します。Cashfulness が外部パートナーを統合するなら、パートナーへの呼び出しは常にあなたの端末から、あなたの明示的な求めに応じて、特定の項目について発せられます。
サーバー側での集約は決してありません。
自動では決してありません。
あなたの意識的な所作なしには決してありません。
具体的な例を挙げます。未来の、仮の話ですが。
あなたが Cashfulness に電気の請求書をアップロードしていて、市場にもっと良いプランがないか知りたいとします。
標準的なアプリなら、システムが請求書のデータ（そしておそらく他の文脈データも）を自動的にパートナーへ送り、返事を受け取り、あなたに見せるでしょう。
Cashfulness のモデルでは、その特定の請求書の上に*「[パートナー]で確認する」*というボタンが見えます。
押すと、あなたの電話が Cashfulness のアーカイブから請求書をダウンロードし、ローカルで復号し——思い出してください。アップロードされた書類はエンドツーエンドで暗号化されていて、平文で読む鍵はあなたの端末だけが持っています——確認に必要なデータだけ（使用量、料金区分、現在の供給会社）を抽出し、私たちのサーバーを経由せずパートナーへ直接送り、返事をあなたに見せます。
このシナリオでも、Cashfulness のサーバーは何も見ていません。
書類も、数字も、あなたの身元も。
これは後づけのプライバシーへの譲歩ではありません。
パーソナルファイナンスにおいて提携はこう機能すべきだと、私たちが考える形です。
技術的には作るのがずっと面倒です——端末側の SDK、細やかな認証、電話上での認証情報の管理が要ります——けれど、ブランドの約束と一貫する唯一の道です。
サーバー側での集約データアクセスを Cashfulness に求める提携は、丁重にお断りすることになります。
約束を、一文で
これが約束です。残ってほしい一文に要約します。
Cashfulness はあなたが誰かを知らず、あなたの書類を読めず、あなたの数字を理解できません。すべての鍵を持つのは、あなただけです。
三つの層に、三つの違う動詞。
誰かを知らない。あなたが教えないからです。ニックネームを使い、それで足ります。
書類を読めない。あなただけが持つ鍵で暗号化されているからです。
数字を理解できない。あなたの文脈がなければ、それは経歴のない帳簿だからです。
製品の残りすべてが、この一文の上に載っています。
お金の健康の指標、資産+ と資産− の区別、見えない複式簿記、週に十分の習慣——このブログの他の記事で話していることすべて——が本当に機能するのは、その上に、マーケティングの言葉の中だけでなく本当にあなたのものにするプライバシーの天井があるときだけです。
それを探しているなら、あなたは正しい場所にいます。
cashfulness.com/beta のベータ順番待ちでお待ちしています。
もしプライバシーの一部と引き換えに、行動を分析してより良い提案をしてくれるアプリのほうが良いなら、それは正当な選択です——何も悪いことはありません——けれど、その場所は私たちではありません。
それでいいのです。
Cashfulness は、家の数字は家にとどまるべきだと考える人のために作られていて、自分が数ある選択肢のひとつであることをよく知っています。
— Vittorio