Kebanyakan aplikasi percuma yang ada pada telefon anda sebenarnya tidak percuma.
Ia ditawarkan kepada anda sebagai pertukaran dengan data anda.
Ini adalah satu pertukaran.
Pada dasarnya ia telus, dan dalam banyak kes ia juga satu pertukaran yang berbaloi — tiada apa-apa yang memalukan dalam melakukannya.
Banyak aplikasi kewangan peribadi juga berfungsi begitu.
Mereka memberi anda alat penjejakan percuma atau hampir percuma, dan sebagai balasan mereka mengumpulkan data perbelanjaan anda untuk menghasilkan laporan pasaran, cadangan yang diperibadikan, cadangan iklan, pemprofilan, perkongsian komersial.
Di sini juga, pada dasarnya, ia adalah pilihan yang sah bagi penyedia.
Anda dalam sekelip mata menerima terma perkhidmatan dan meneruskan.
Cashfulness membuat pilihan yang berbeza.
Bukan untuk menghakimi aplikasi lain — setiap satu membina modelnya sendiri, dan ramai yang melakukannya dengan jujur — tetapi kerana kami percaya kewangan peribadi wajar mendapat layanan yang berbeza.
Ia adalah bidang di mana kekaburan sudah cukup banyak, dan di mana kesedaran bahawa seseorang (walaupun secara teori sahaja) boleh melihat angka anda menghilangkan makna produk itu sendiri.
Ketenangan yang kami bicarakan, jika data tidak selamat, adalah janji yang kosong.
Sebab itulah kami membina Cashfulness di sekeliling satu pilihan teknikal yang tepat, tertulis dalam asas kod, yang berfungsi pada dua tahap.
Tahap pertama melindungi dokumen yang anda bawa masuk ke dalam Cashfulness — dengan penyulitan hujung ke hujung (end-to-end encryption, E2EE) yang radikal.
Tahap kedua melindungi identiti anda dan data perakaunan anda — dengan penyahenalpastian maksimum.
Kedua-dua tahap ini menjawab keperluan yang berbeza dan menggunakan alat yang berbeza. Wajar dijelaskan satu demi satu.
Mengapa perlu sambungan (dan apa maknanya untuk privasi)
Satu penjelasan teknikal, sebelum kita masuk kepada dua tahap tersebut.
Cashfulness hanya berfungsi jika peranti anda dalam talian.
Sama ada mudah alih atau desktop, aplikasi perlu dapat berhubung dengan pangkalan data jauh yang berada pada pelayan kami (infrastruktur Eropah).
Mengapa pilihan ini? Kerana data perakaunan anda mesti kekal segerak antara pelbagai peranti yang anda gunakan.
Jika anda menambah transaksi dari telefon pintar semasa rehat makan tengah hari, anda mahu melihatnya semula pada waktu malam dari komputer riba. Jika anda melakukan sebaliknya, sama juga.
Tanpa satu titik kebenaran yang berpusat, data akan menyimpang secara sistematik antara klien, dan anda akan berakhir dengan dua salinan perakaunan anda yang tidak konsisten — mimpi ngeri kecil yang menghapuskan seluruh makna perakaunan bergu.
Jadi ya, perakaunan anda melalui pelayan jauh.
Ini bukan pengorbanan privasi: ia adalah kekangan teknikal yang diperlukan untuk memberi anda perakaunan yang benar-benar berfungsi merentasi pelbagai peranti.
Soalan yang menarik menjadi: bagaimana kami melindungi privasi anda memandangkan kekangan ini?
Jawapannya terletak pada dua tahap yang akan saya jelaskan sekarang.
Tahap 1 — Penyulitan hujung ke hujung radikal untuk dokumen
Apabila anda mula menggunakan Cashfulness, lambat-laun anda akan mahu membawa masuk ke dalam aplikasi dokumen anda: penyata bank, kontrak pinjaman perumahan atau sewa, bil elektrik dan gas, polisi insurans, sijil pelaburan, penyata dana, resit cukai penting.
Dokumen-dokumen ini mengandungi segalanya: nama penuh anda, alamat, nombor cukai, IBAN, jumlah, pihak lawan, butiran kehidupan.
Ia adalah tahap yang paling sensitif daripada semua.
Untuknya kami membuat pilihan yang paling ketat: penyulitan hujung ke hujung radikal.
Istilah teknikalnya ialah penyulitan hujung ke hujung, atau E2EE.
Untuk memahami apa itu tanpa istilah teknikal, bayangkan anda mahu menghantar sepucuk surat melalui kurier.
Anda ada dua pilihan.
Pilihan 1, model standard.
Anda menulis surat secara terbuka, memasukkannya ke dalam sampul, dan menyerahkannya kepada kurier.
Kurier itu — jika dia mahu — boleh membuka sampul, membaca surat, membuat catatan, kemudian menutupnya semula dan menghantarnya.
Anda percaya dia tidak akan berbuat demikian kerana dia telah berjanji untuk tidak berbuat begitu, mungkin kerana ada undang-undang yang melarangnya dan memberi anda sedikit jaminan.
Tetapi secara fizikal, dia boleh.
Pilihan 2, penyulitan hujung ke hujung.
Anda menulis surat, dan menguncinya dalam kotak logam yang hanya boleh dibuka dengan kunci tertentu.
Kunci itu ada pada anda. Hanya anda.
Anda serahkan kotak itu kepada kurier. Kurier itu mengangkut dan menyimpannya.
Walaupun dia mengambil kotak itu dan membawanya pulang, dia tidak akan dapat membukanya, kerana dia tidak mempunyai kunci itu.
Apabila anda memerlukan surat itu, andalah yang membuka semula kotak dengan kunci anda, dan membacanya.
Penyulitan hujung ke hujung bagi dokumen dalam Cashfulness ialah kotak logam bagi Pilihan 2.
Apabila anda memuat naik dokumen ke dalam aplikasi, peranti anda sendiri menyulitkannya sebelum menghantarnya ke pelayan. Ia tiba di pelayan dan kekal tersulit.
Bagi pelayan, setiap dokumen anda adalah blok bunyi digital.
Kunci untuk menyahsulitnya wujud hanya pada peranti anda, diterbitkan daripada kata laluan peribadi anda dan 24 perkataan pemulihan anda (dikenali sebagai seed phrase, piawaian paling kukuh yang ada hari ini untuk menjana dan melindungi kunci kriptografi peribadi).
Apa maknanya secara praktikal:
- Pelayan Cashfulness tidak boleh membaca dokumen anda. Bukan kami yang membina aplikasi ini, bukan mereka yang mengurus infrastruktur, bukan mana-mana penyerang pada masa hadapan.
- Jika esok Cashfulness digodam dan semua dokumen pada pelayan dicuri, penyerang hanya akan melihat bunyi. Tidak berguna.
- Malah pihak berkuasa yang meminta dokumen anda secara rasmi akan menerima bunyi. Kami tidak dapat memberikannya, kerana kami tidak memilikinya dalam bentuk boleh baca.
Ada satu sisi lain kepada perkara ini, dan kami mahu jujur mengenainya.
Jika anda kehilangan kata laluan anda dan juga kehilangan 24 perkataan pemulihan anda, dokumen anda menjadi tidak boleh dibaca walaupun oleh anda sendiri.
Selama-lamanya.
Kami tidak dapat memulihkannya, kerana dari segi teknikal kami tidak dapat membaca apa yang telah anda sulitkan. Tiada "set semula kata laluan melalui e-mel" yang boleh mengembalikan dokumen anda, kerana tiada sesiapa di pihak yang lain yang boleh melakukannya.
Kunci itu milik anda sahaja.
Ini bermakna kebebasan — hanya anda yang boleh mengakses — dan tanggungjawab — hanya anda yang boleh kehilangan akses itu.
Ini adalah satu pilihan falsafah. Kami lebih suka memberi anda kawalan penuh, walaupun ini termasuk beban menjaga kelayakan anda, daripada menyimpan satu salinan "sandaran" pada pelayan kami. Salinan itu, lambat-laun, boleh menjadi titik pencerobohan.
Kunci yang wujud hanya pada telefon anda, tidak.
Tahap 2 — Penyahenalpastian maksimum untuk identiti dan data perakaunan
Tahap kedua adalah berbeza, dan meliputi segala-galanya yang lain: siapa anda dan apa yang anda lakukan di dalam aplikasi dari segi angka.
Untuk data ini kami memilih strategi yang lain, kerana masalahnya bersifat berbeza.
Dokumen adalah "kotak" dengan kandungan sensitif, dan adalah munasabah untuk menyulitkannya secara keseluruhan.
Data perakaunan pula adalah struktur yang hidup: angka, akaun, kategori, pergerakan yang anda perlukan setiap hari, dan di atasnya Cashfulness membina metrik kesihatan kewangan yang ditunjukkan kepada anda.
Menyulitkannya dengan cara yang sama seperti dokumen akan menjadikan aplikasi ini sangat perlahan dan dalam banyak kes tidak boleh digunakan.
Jawapan kami bukanlah penyulitan mutlak. Ia adalah penyahenalpastian maksimum.
Secara praktikal ini bermakna dua perkara.
Cashfulness tidak mahu tahu langsung apa nama anda.
Apabila anda mendaftar, kami tidak meminta nama pertama dan nama keluarga anda.
Kami meminta nama panggilan — apa sahaja yang anda mahu, malah boleh sepenuhnya rekaan.
Kami meminta e-mel untuk hubungan teknikal (pemulihan akses, komunikasi perkhidmatan), dan kata laluan.
Itu sahaja.
Tiada nombor cukai, tiada tarikh lahir, tiada alamat, tiada nombor telefon, tiada pautan ke akaun bank anda, tiada pengesahan identiti.
Bagi Cashfulness, anda adalah nama panggilan dengan e-mel. Tiada apa-apa lagi.
Ruang perakaunan anda sukar untuk difahami oleh sesiapa yang bukan anda.
Aplikasi ini menjemput anda untuk menyusun pendapatan dan perbelanjaan ke dalam akaun dan subakaun tertentu. Nama yang anda berikan kepada akaun-akaun tersebut, label pergerakan anda, tahap perincian yang anda gunakan untuk menerangkan kehidupan kewangan anda — semua ini anda yang tentukan, dengan perbendaharaan kata yang paling berguna bagi anda.
Cashfulness tidak pernah meminta anda memasukkan data peribadi ke dalam nama akaun: tiada nombor cukai, tiada IBAN dalam tajuk, tiada nama sebenar. Nama-nama itu bersifat fungsian (contohnya: "Gaji", "Akaun semasa utama", "Pinjaman rumah", "Perbelanjaan kereta", "Sewa diterima"): ia menggambarkan satu fungsi, bukan diri anda.
Digabungkan, dua faktor ini — nama panggilan yang tidak mendedahkan siapa anda, dan nama akaun yang menggambarkan apa, bukan siapa — menjadikan perakaunan anda sukar difahami dan mustahil dikaitkan dengan anda bagi sesiapa yang bukan diri anda sendiri.
Hasil konkritnya adalah begini: walaupun seseorang (penyerang, pekerja yang tidak jujur, pihak berkuasa) dapat melihat pangkalan data di pihak pelayan, mereka hanya akan melihat satu nama panggilan tertentu dengan carta akaun, baki dan pergerakan.
Mereka tidak akan tahu siapa nama panggilan itu.
Mereka tidak akan mempunyai cara untuk mengaitkan angka-angka itu dengan individu sebenar di sebalik skrin.
Mereka akan melihat perakaunan tanpa biografi.
Beberapa cadangan praktikal untuk kekal benar-benar tanpa nama
Ketiadaan nama bukan sekadar janji kami: ia juga sedikit usaha daripada anda.
Jika anda mahu perakaunan anda tidak dapat difahami oleh sesiapa yang bukan anda, kami cadangkan anda:
- Namakan akaun mengikut fungsi, bukan mengikut individu. "Akaun bank", "Gaji", "Pinjaman rumah", "Akaun bersama" berfungsi dengan baik. "Akaun Ahmad Bin Ali" atau IBAN penuh dalam tajuk membuka celah yang tidak perlu.
- Biarkan penerangan transaksi kekal umum secara semula jadi. Pada dasarnya ia sudah begitu: "sarapan di kafe", "makan malam di restoran", "isi minyak kereta", "belanja pasar raya". Tiada sesiapa selain anda akan tahu sama ada makan malam di restoran itu berlaku di Kuala Lumpur bersama pelanggan atau di Melaka bersama adik anda.
- Gunakan e-mel samaran untuk pendaftaran, jika anda mahu melangkah lebih jauh lagi. E-mel anda hanya diperlukan untuk log masuk dan menyampaikan komunikasi perkhidmatan: tiada sesiapa memaksa anda menggunakan e-mel "rasmi" jenis
nama.keluarga@domain.com. E-mel samaran sepertiaurora.malam@protonmail.comatau apa sahaja yang anda selesa dengannya adalah amat sesuai.
Pembayaran juga tanpa nama (bagi kami)
Satu perkara yang biasanya tidak dijangka pembaca, dan wajar dinyatakan dengan jelas.
Untuk langganan Cashfulness kami tidak meminta kad kredit, IBAN, atau data pengebilan secara langsung. Pembayaran melalui kedai yang anda gunakan untuk memuat turun aplikasi: App Store (Apple) atau Google Play (Google) untuk versi mudah alih, Stripe untuk pembayaran daripada laman web.
Pihak ketigalah yang melihat nama, alamat, kad kredit atau IBAN anda — kerana secara teknikal merekalah yang mengutip bayaran. Merekalah, secara amnya, yang bertanggungjawab untuk mengeluarkan invois atau resit cukai untuk langganan anda (mengikut peraturan negara anda).
Cashfulness, di hujung saluran itu, hanya menerima hasil bersih dan pengecam legap bagi langganan itu (sesuatu seperti sub_abc123).
Kami tidak pernah melihat: nama pelanggan, nombor cukai, kad kredit, IBAN.
Kami tidak mengeluarkan invois atau resit cukai kepada pengguna akhir.
Dalam erti kata lain: walaupun dari segi komersial, kami hanya perlu tahu bahawa terdapat langganan aktif yang berkaitan dengan nama panggilan tertentu dan e-mel samaran tertentu. Biografi pelanggan berada di pihak yang lain, di kedai itu, dan kekal di sana.
Pilihan sukar yang timbul daripada ini
Menggabungkan kedua-dua tahap ini bukanlah ciri percuma.
Ia adalah pilihan yang menutup beberapa pintu secara struktural, dan berkenaan pintu-pintu ini wajarlah kami jelas, kerana di sinilah kita nampak harga bagi keteguhan pendirian.
Tiada analitik tingkah laku yang terperinci mengikut profil.
Kami tidak boleh mengaitkan aktiviti dalam aplikasi dengan identiti sebenar, kerana identiti sebenar tidak kami miliki.
Pembangunan produk agak lebih "buta" terhadap corak individu. Kami bergantung lebih banyak kepada maklum balas langsung, ujian beta, dan temu bual kualitatif.
Ia berfungsi, tetapi kurang automatik.
Tiada cadangan komersial yang diperibadikan.
Kami tidak memberitahu anda "pengguna lain seperti anda telah membeli X" berdasarkan profil anda. Kami tidak mendesak anda dengan produk rakan kongsi tajaan berdasarkan angka anda. Model pemprofilan komersial yang menjadi nadi kepada begitu banyak aplikasi percuma, tiada dalam Cashfulness.
Apa yang kami lakukan sebaliknya — dan kami ingin menyatakannya dengan jelas — ialah panduan bagi memperbaiki keadaan kewangan anda: petunjuk mengenai di mana angka anda menunjukkan yang anda boleh menjimatkan, di mana komposisi kekayaan anda wajar difikirkan semula, di mana bulan perlindungan anda boleh bertambah dengan pelarasan kecil.
Ini adalah petunjuk pendidikan, dibina berdasarkan data anda, dan — apabila sifat data itu memerlukannya — dikira pada peranti anda sendiri, ke atas salinan yang dinyahsulitkan secara tempatan.
Satu penjelasan penting: Cashfulness tidak memberikan nasihat pelaburan yang diperibadikan. Itu adalah bidang penasihat kewangan yang berdaftar dengan badan berkenaan, dan atas sebab yang baik: ia adalah aktiviti terkawal yang memerlukan kepakaran, tanggungjawab, dan hubungan kepercayaan yang berbeza daripada antara anda dan sebuah aplikasi. Cashfulness membantu anda melihat dengan jelas, bukan memilih dana untuk dibeli minggu depan.
Pemberitahuan dan surat berita: hanya jika anda mahukannya, tidak pernah secara lalai.
Hakikat bahawa kami tidak gemar pemprofilan komersial tidak bermakna kami adalah platform yang bisu.
Cashfulness boleh menghantar perkara-perkara berguna kepada anda — dan apabila saya kata "berguna" saya maksudkan benar-benar untuk anda, bukan untuk pihak ketiga: amaran jika sesuatu belanjawan hampir melebihi had, cadangan mengenai di mana angka anda menunjukkan anda boleh berjimat, surat berita berkala yang ringkas dengan renungan pendidikan mengenai kewangan peribadi dan pembaharuan produk.
Semua ini adalah opt-in: anda yang mengaktifkannya semasa pendaftaran atau kemudian, bila-bila masa yang anda mahu, dan anda yang menyahaktifkannya bila-bila masa yang anda mahu.
Tiada kotak yang telah ditanda secara lalai. E-mel anda — walaupun samaran — hanya diperlukan oleh kami untuk menyampaikan apa yang anda minta, bukan untuk mengejar anda dengan mesej yang anda tidak mahu.
AI yang mematuhi sepenuhnya kedua-dua tahap privasi.
Ciri-ciri kecerdasan buatan yang Cashfulness sedang atau akan bangunkan menghormati pembezaan yang telah kami terangkan di atas.
Pada dokumen (penyata bank, kontrak, bil, polisi) pemprosesan AI yang memerlukan pembacaan kandungannya berlaku pada peranti anda sendiri, ke atas salinan yang dinyahsulitkan secara tempatan. Pelayan tidak pernah melihat kandungan dokumen-dokumen tersebut.
Pada data perakaunan (baki, pergerakan, kategori nama panggilan anda) sebarang pemprosesan pihak pelayan berjalan pada angka yang tiada identiti peribadi — "perakaunan tanpa biografi" yang saya sebutkan tadi. AI boleh membantu anda membaca corak yang berguna (contohnya, memberitahu anda mengenai perbelanjaan yang luar biasa berbanding kebiasaan anda, atau mencadangkan di mana untuk memotong), tetapi tanpa dapat sesekali mengaitkan angka-angka itu dengan nama sebenar.
Apa yang tidak akan kami lakukan ialah membina model AI yang mengaitkan siapa anda dengan kehidupan kewangan anda — kerana "siapa anda", dalam Cashfulness, tidak kami miliki.
Tiada penjualan data agregat yang boleh dikaitkan dengan individu.
Kami tidak boleh menjual "set data perbelanjaan mengikut kumpulan umur dan tempat tinggal" kepada bank, institusi penyelidikan, agensi pengiklanan. Data peribadi dan kediaman tidak kami miliki.
Ia sepatutnya menjadi saluran pendapatan yang besar. Kami sengaja menghapuskannya daripada model perniagaan kami.
Kesan komersial daripada pilihan-pilihan ini adalah jelas: untuk terus bertahan kami hidup semata-mata daripada langganan langsung daripada pengguna.
Tahap percuma yang minimum, langganan Premium, langganan Ultra.
Tiada iklan, tiada penjualan data, tiada perkongsian yang memerlukan akses kepada data pengguna.
Ia adalah model yang lebih terhad berbanding piawaian pasaran, tetapi ia jujur, dan ia satu-satunya model yang membolehkan Cashfulness menepati janji yang dibuat pada skrin pertama proses pendaftaran.
Satu kesan yang kami suka daripada model ini: setiap pengguna yang memilih untuk membayar untuk Cashfulness adalah pengguna yang benar-benar mahukan produk itu.
Tiada dinamik di mana "produk itu percuma kerana anda adalah produknya".
Anda adalah pelanggan, dan produk itu ialah apa yang anda bayar.
Perkongsian juga menghormati peraturan ini
Ada satu soalan yang lambat-laun akan diajukan kepada kami — dan wajar dijawab lebih awal.
Jika pada masa hadapan Cashfulness membuka diri kepada integrasi dengan perkhidmatan kewangan lain (pembanding tarif, broker insurans, pengurus pelaburan), adakah kedua-dua tahap perlindungan ini akan kekal berdiri?
Ya, dan peraturan itu kami rumuskan begini: jika Cashfulness mengintegrasikan rakan kongsi luaran, panggilan kepada rakan kongsi itu akan sentiasa bermula daripada peranti anda sendiri, atas permintaan khusus anda, untuk satu item tertentu.
Tidak pernah diagregatkan di pihak pelayan.
Tidak pernah secara automatik.
Tidak pernah tanpa tindakan sedar anda.
Saya berikan satu contoh konkrit, walaupun ia masih di masa hadapan dan bersifat hipotesis.
Katakan anda telah memuat naik bil elektrik anda ke Cashfulness dan mahu tahu sama ada terdapat tawaran yang lebih baik di pasaran.
Dalam aplikasi standard, sistem akan menghantar secara automatik data bil itu (dan mungkin data konteks lain) kepada rakan kongsi, menerima jawapan, dan menunjukkannya kepada anda.
Dalam model Cashfulness pula, anda akan melihat butang "semak dengan [rakan kongsi]" pada bil tertentu itu.
Apabila anda menekannya, telefon anda memuat turun bil itu daripada arkib Cashfulness, menyahsulitnya secara tempatan — kerana ingat: dokumen yang dimuat naik disulitkan hujung ke hujung dan hanya peranti anda mempunyai kunci untuk membacanya dalam bentuk terbuka — mengekstrak hanya data yang diperlukan untuk semakan (penggunaan, kategori tarif, pembekal semasa), menghantarnya terus kepada rakan kongsi tanpa melalui pelayan kami, dan menunjukkan jawapan kepada anda.
Pelayan Cashfulness, dalam senario ini juga, tidak melihat apa-apa.
Bukan dokumen itu, bukan angka-angka itu, bukan identiti anda.
Ini bukanlah satu kelonggaran privasi yang lewat.
Ini adalah cara yang kami percaya perkongsian sepatutnya berfungsi dalam kewangan peribadi.
Ia lebih sukar untuk dibina dari segi teknikal — memerlukan SDK di pihak peranti, pengesahan yang lebih halus, pengurusan kelayakan pada telefon — tetapi ia satu-satunya cara yang konsisten dengan janji jenama.
Perkongsian yang meminta Cashfulness memberikan akses agregat pihak pelayan kepada data akan menerima jawapan tidak dengan sopan.
Janji itu, dalam satu ayat
Inilah janji itu, dirumuskan dalam satu ayat yang kami harap kekal:
Cashfulness tidak tahu siapa anda, tidak membaca dokumen anda, tidak memahami angka anda. Hanya anda yang memiliki semua kunci.
Tiga kata kerja berbeza untuk tiga tahap yang berbeza.
Tidak tahu siapa anda: kerana anda tidak memberitahunya. Anda akan menggunakan nama panggilan, dan itu sudah cukup untuk anda.
Tidak membaca dokumen anda: kerana ia disulitkan dengan kunci yang hanya anda miliki.
Tidak memahami angka anda: kerana tanpa konteks anda, ia hanyalah perakaunan tanpa biografi.
Segala-galanya lagi dalam produk ini bersandar pada ayat ini.
Metrik kesihatan kewangan, perbezaan antara Aset+ dan Aset-, perakaunan bergu yang tidak kelihatan, ritual mingguan sepuluh minit — semua perkara yang kami bicarakan dalam artikel-artikel lain blog ini — hanya benar-benar berfungsi jika di atasnya terdapat siling privasi yang menjadikannya benar-benar milik anda, bukan sekadar dalam bahasa pemasaran.
Jika itulah yang anda cari, anda berada di tempat yang tepat.
Kami menunggu anda dalam senarai tunggu beta di cashfulness.com/beta.
Jika sebaliknya anda lebih suka aplikasi yang menganalisis tingkah laku anda untuk memberi nasihat yang lebih baik sebagai pertukaran dengan sebahagian daripada privasi anda, itu adalah pilihan yang sah — tiada yang salah dengannya — tetapi kami bukanlah tempat itu.
Tidak mengapa.
Cashfulness dicipta untuk mereka yang angka rumah mereka perlu kekal di dalam rumah, dan ia sedar sepenuhnya bahawa ia adalah satu pilihan antara pilihan-pilihan lain.
— Vittorio