De fleste gratisappene du har på telefonen, er ikke gratis.
De tilbys deg i bytte mot dataene dine.
Det er en byttehandel.
Den er gjennomsiktig i prinsippet, og i mange tilfeller er det også en byttehandel verdt å gjøre — det er ingen skandale i det.
Mange apper for privatøkonomi fungerer også slik.
De gir deg et sporingsverktøy gratis eller nesten gratis, og i bytte samler de forbruksdataene dine for å lage markedsrapporter, personlige anbefalinger, reklameforslag, profilering, kommersielle partnerskap.
Også her er det i prinsippet et legitimt valg fra leverandøren.
Du godtar bruksvilkårene på et øyeblikk og går videre.
Cashfulness har gjort et annet valg.
Ikke for å dømme de andre appene — hver bygger sin egen modell, og mange gjør det ærlig — men fordi vi tror privatøkonomien fortjener en annen behandling.
Det er et område der tåken allerede er tett nok, og der bevisstheten om at noen (om så bare teoretisk) kan se på tallene dine, tar bort selve meningen med produktet.
Roen vi snakker om, er et tomt løfte hvis dataene ikke er trygge.
Derfor har vi bygd Cashfulness rundt et presist teknisk valg, skrevet inn i kodens fundament, som fungerer på to nivåer.
Det første nivået beskytter dokumentene du tar med inn i Cashfulness — med radikal ende-til-ende-kryptering.
Det andre nivået beskytter identiteten din og regnskapsdataene dine — med maksimal anonymisering.
De to nivåene svarer på ulike behov og bruker ulike verktøy. Det er verdt å forklare dem ett om gangen.
Hvorfor det trengs tilkobling (og hva det betyr for personvernet)
En teknisk forutsetning, før vi går inn i de to nivåene.
Cashfulness fungerer bare hvis enheten din er på nett.
På mobil eller desktop må appen kunne snakke med en ekstern database som lever på våre servere (europeisk infrastruktur).
Hvorfor dette valget? Fordi regnskapsdataene dine må holde seg synkronisert mellom de ulike enhetene du bruker.
Legger du inn en transaksjon fra smarttelefonen i lunsjpausen, vil du se den igjen om kvelden fra den bærbare. Gjør du det motsatte, det samme.
Uten et sentralisert sannhetspunkt ville dataene systematisk sprike mellom klientene, og du ville sitte med to inkonsistente kopier av regnskapet ditt — et lite mareritt som opphever hele poenget med dobbelt bokføring.
Så ja, regnskapet ditt passerer en ekstern server.
Det er ikke å gi avkall på personvernet: det er den nødvendige tekniske forutsetningen for å gi deg et regnskap som virkelig fungerer på flere enheter.
Det interessante spørsmålet blir: hvordan beskytter vi personvernet ditt gitt denne forutsetningen?
Svaret ligger i de to nivåene jeg forteller om nå.
Nivå 1 — Radikal ende-til-ende-kryptering for dokumentene
Når du begynner å bruke Cashfulness, vil du før eller senere ta med dokumentene dine inn i appen: kontoutskrifter fra banken, boliglåns- eller leiekontrakter, strøm- og gassregninger, forsikringspoliser, investeringsbevis, fondsrapporter, viktige kvitteringer for skatten.
Disse dokumentene inneholder alt mulig: fullt navn, adresse, fødselsnummer, IBAN, beløp, motparter, detaljer fra livet ditt.
De er det aller mest sensitive nivået.
For dem har vi gjort det strengeste valget som finnes: radikal ende-til-ende-kryptering.
Fagbegrepet er ende-til-ende-kryptering, eller E2EE.
For å forstå hva det er uten fagsjargong, forestill deg at du vil sende et brev med et bud.
Du har to valg.
Valg 1, standardmodellen.
Du skriver brevet i klartekst, legger det i en konvolutt, gir det til budet.
Budet kan — om det vil — åpne konvolutten, lese brevet, ta notater, og så lukke den igjen og levere.
Du stoler på at det ikke gjør det fordi det har lovet å la være, kanskje fordi det finnes lover som forbyr det og gir deg en viss garanti.
Men rent fysisk kan det.
Valg 2, ende-til-ende-kryptering.
Du skriver brevet og låser det inn i en metallboks som bare kan åpnes med en bestemt nøkkel.
Nøkkelen har du. Bare du.
Du gir boksen til budet. Budet frakter den og arkiverer den.
Selv om det tok den med seg hjem, kunne det ikke åpne den, for det har ikke nøkkelen.
Når du trenger brevet, åpner du selv boksen med din nøkkel, og leser.
Ende-til-ende-krypteringen av dokumentene i Cashfulness er metallboksen i Valg 2.
Når du laster opp et dokument i appen, krypterer enheten din det før det sendes til serveren. På serveren kommer det fram og forblir kryptert.
For serveren er hvert av dokumentene dine en blokk digital støy.
Nøkkelen for å dekryptere det finnes bare på enheten din, avledet av ditt personlige passord og dine 24 gjenopprettingsord (den såkalte seed phrase, den mest solide standarden som finnes i dag for å generere og beskytte personlige kryptografiske nøkler).
Hva det betyr, i praksis:
- Cashfulness-serveren kan ikke lese dokumentene dine. Ikke vi som har bygd appen, ikke de som drifter infrastrukturen, ikke en eventuell framtidig angriper.
- Hvis Cashfulness i morgen ble brutt opp og alle dokumentene på serverne stjålet, ville angriperen se støy. Ubrukelig.
- Selv en myndighet som formelt ba om dokumentene dine, ville få støy. Vi kan ikke gi dem, for vi har dem ikke i klartekst.
Det finnes en bakside av medaljen, og den vil vi være ærlige om.
Mister du passordet ditt og mister også de 24 gjenopprettingsordene, blir dokumentene dine uleselige også for deg.
For alltid.
Vi kan ikke hente dem tilbake, for teknisk sett kan vi ikke lese det du har kryptert. Det finnes ingen «tilbakestill passord via e-post» som gir deg dokumentene igjen, for det er ingen på den andre siden som kan gjøre det.
Nøkkelen er bare din.
Det betyr frihet — du er den eneste som har tilgang — og ansvar — du er den eneste som kan miste den.
Det er et filosofisk valg. Vi foretrekker å gi deg hele kontrollen, selv om det inkluderer byrden av å ta vare på legitimasjonen din, framfor å ha en «sikkerhetskopi» av den på vår server. Den kopien kunne før eller senere bli et kompromitteringspunkt.
En nøkkel som bare finnes på telefonen din, ikke.
Nivå 2 — Maksimal anonymisering for identitet og regnskapsdata
Det andre nivået er annerledes, og dekker alt det andre: hvem du er og hva du gjør i appen i tall.
For disse dataene har vi valgt en annen strategi, for problemet er av en annen natur.
Dokumentene er «bokser» med sensitivt innhold, og det gir mening å kryptere dem i sin helhet.
Regnskapsdataene er derimot en levende struktur: tall, kontoer, kategorier, bevegelser du trenger hver dag, og som Cashfulness bygger de finansielle helsemålene den viser deg, på.
Å kryptere dem på samme måte som dokumentene ville gjøre appen svært treg og i mange tilfeller ubrukelig.
Vårt svar er ikke absolutt kryptering. Det er maksimal anonymisering.
I praksis betyr det to ting.
Cashfulness vil ikke engang vite hva du heter.
Når du registrerer deg, ber vi ikke om fornavn og etternavn.
Vi ber om et kallenavn — det du selv vil, det kan gjerne være rent oppdiktet.
Vi ber om en e-post for teknisk kontakt (gjenoppretting av tilgang, tjenestemeldinger), og et passord.
Ferdig.
Ikke noe fødselsnummer, ingen fødselsdato, ingen adresse, ikke noe telefonnummer, ingen kobling til bankkontoen din, ingen identitetsverifisering.
For Cashfulness er du et kallenavn med en e-post. Ikke noe mer.
Regnskapsrommene dine er vanskelige å tyde for alle som ikke er deg.
Appen inviterer deg til å dele inn inntekter og utgifter i konkrete kontoer og underkontoer. Navnene du gir de kontoene, etikettene på bevegelsene dine, detaljnivået du beskriver ditt økonomiske liv med — bestemmer du, med det vokabularet som er mest nyttig for deg.
Cashfulness ber deg aldri om å legge personopplysninger inn i kontonavnene: ikke noe fødselsnummer, ingen IBAN i titlene, ingen egennavn. Navnene er operative (for eksempel: «Lønn», «Hovedbrukskonto», «Boliglån», «Bilutgifter», «Innkrevde leier»): de beskriver en funksjon, ikke deg.
Sammen gjør disse to faktorene — et kallenavn som ikke røper hvem du er, og kontonavn som beskriver hva og ikke hvem — regnskapet ditt vanskelig å forstå og umulig å knytte til deg for alle som ikke er deg selv.
Det konkrete resultatet er dette: selv om noen (en angriper, en uærlig ansatt, en myndighet) kunne se på databasen på serversiden, ville de se et visst kallenavn med en kontoplan, saldoer og bevegelser.
De ville ikke vite hvem det kallenavnet er.
De ville ikke ha noen måte å knytte de tallene til den virkelige personen bak skjermen.
De ville se et regnskap uten biografi.
Noen praktiske råd for å forbli virkelig anonym
Anonymiteten er ikke bare vårt løfte: den er også en liten gest fra deg.
Vil du at regnskapet ditt skal være uforståelig for alle som ikke er deg, anbefaler vi å:
- Navngi kontoene etter funksjon, ikke etter person. «Bankkonto», «Lønn», «Boliglån», «Felleskonto» fungerer godt. «Konto Ola Nordmann» eller et fullt IBAN i tittelen åpner en unødvendig sprekk.
- La transaksjonsbeskrivelsene være naturlig generiske. Av natur er de det allerede: «frokost på kafé», «middag på restaurant», «fylle bensin», «matbutikk». Ingen andre enn deg ville skjønne om den restaurantmiddagen var i Milano med en kunde eller i Lucca med søsteren din.
- Bruk en pseudonym e-post ved registreringen, hvis du vil dra det til det ytterste. E-posten din trengs bare til innlogging og for å levere tjenestemeldinger: ingen tvinger deg til å bruke en «offisiell» av typen
navn.etternavn@domene.no. En pseudonym av typenaurora.di.notte@protonmail.comeller hva som helst annet som passer deg, fungerer utmerket.
Også betalingen er anonym (for oss)
Et punkt leseren vanligvis ikke venter seg, og som er verdt å si tydelig.
For abonnementene på Cashfulness ber vi deg ikke direkte om kredittkort, IBAN eller fakturaopplysninger. Betalingen går gjennom butikken du lastet ned appen fra: App Store (Apple) eller Google Play (Google) for mobilversjonene, Stripe for betalinger fra nettstedet.
Det er disse tredjepartene som ser navn, adresse, kredittkort eller IBAN — for teknisk sett er det de som krever inn. Det er som regel de som skal utstede fakturaer eller kvitteringer for abonnementet ditt (etter reglene i ditt land).
Cashfulness, på den andre siden av det røret, mottar bare nettoinntekten og en ugjennomsiktig identifikator for abonnementet (noe sånt som sub_abc123).
Vi ser aldri: kundenavn, fødselsnummer, kredittkort, IBAN.
Vi utsteder ikke fakturaer eller kvitteringer til sluttbrukere.
Med andre ord: også på den kommersielle fronten holder det for oss å vite at det finnes et aktivt abonnement knyttet til et visst kallenavn og en viss pseudonym e-post. Kundens biografi ligger på den andre siden, hos butikken, og der blir den.
De vanskelige valgene som følger av dette
Å sette sammen disse to nivåene er ikke en gratis funksjon.
Det er et valg som lukker noen dører strukturelt, og om disse dørene er det verdt å være tydelig, for det er her prisen for konsekvensen viser seg.
Ingen finmasket atferdsanalyse per profil.
Vi kan ikke koble aktiviteten i appen til virkelige identiteter, for de virkelige identitetene har vi ikke.
Produktutviklingen er litt mer blind for individuelle mønstre. Vi støtter oss mye mer på direkte tilbakemeldinger, betatester, kvalitative intervjuer.
Det fungerer, men det er mindre automatisk.
Ingen personlige kommersielle anbefalinger.
Vi sier ikke «andre brukere som deg har kjøpt X» ut fra profilen din. Vi dytter ikke produkter fra sponsede partnere på deg basert på tallene dine. Modellen med kommersiell profilering som er levebrødet til mange gratisapper, finnes ikke i Cashfulness.
Det vi derimot gjør — og det er vi opptatt av å si tydelig — er veier til å forbedre din økonomiske situasjon: pekere på hvor tallene dine antyder at det går an å spare, hvor formuens sammensetning fortjener en refleksjon, hvor dekningsmånedene kunne vokse med små justeringer.
Det er pedagogiske pekere, bygd på dine data, og — når dataenes natur krever det — beregnet på enheten din, på en lokal dekryptert kopi.
En viktig presisering: Cashfulness gir ikke personlige investeringsråd. Det er territoriet til finansrådgivere oppført i det aktuelle registeret, og av gode grunner: det er en regulert virksomhet som krever kompetanse, ansvar og et tillitsforhold av en annen art enn det mellom deg og en app. Cashfulness hjelper deg å se klart, ikke å velge fondet du skal kjøpe neste uke.
Varsler og nyhetsbrev: bare hvis du vil, aldri som standard.
At vi er allergiske mot kommersiell profilering, betyr ikke at vi er en stum plattform.
Cashfulness kan sende deg nyttige ting — og når jeg sier «nyttige», mener jeg virkelig for deg, ikke for tredjeparter: varsler hvis et budsjett er i ferd med å sprekke, forslag om hvor tallene dine forteller at du kunne spare, et kort periodisk nyhetsbrev med pedagogiske refleksjoner om privatøkonomi og om produktets nyheter.
Alt dette er opt-in: du aktiverer det ved registreringen eller senere, når du vil, og slår det av når du vil.
Ingen boks er krysset av på forhånd. E-posten din — selv en pseudonym — trenger vi bare for å levere det du har bedt om, ikke for å jage deg med meldinger du ikke har ønsket.
AI strengt i samsvar med de to personvernnivåene.
Funksjonene for kunstig intelligens som Cashfulness utvikler eller vil utvikle, respekterer skillet vi har beskrevet over.
På dokumentene (kontoutskrifter, kontrakter, regninger, poliser) skjer AI-behandlinger som krever å lese innholdet, på enheten din, på en lokal dekryptert kopi. Serveren ser aldri innholdet i de dokumentene.
På regnskapsdataene (saldoer, bevegelser, kategorier for kallenavnet ditt) kjører eventuelle behandlinger på serversiden på tall uten personidentitet — «regnskapet uten biografi» jeg snakket om tidligere. AI-en kan hjelpe deg å lese nyttige mønstre (for eksempel varsle om en utgift langt utenfor det vanlige, eller foreslå hvor du kan kutte), men uten noensinne å kunne knytte de tallene til et virkelig navn.
Det vi ikke kommer til å gjøre, er å bygge en AI-modell som knytter hvem du er til ditt økonomiske liv — for «hvem du er» har vi ikke i Cashfulness.
Ingen salg av aggregerte data som kan føres tilbake til personer.
Vi kan ikke selge «datasett over forbruk fordelt på aldersgruppe og bosted» til banker, forskningsinstitutter, reklamebyråer. Person- og bostedsdataene har vi ikke.
Det ville vært en betydelig inntektskanal. Vi har bevisst fjernet den fra forretningsmodellen.
Den kommersielle konsekvensen av disse valgene er klar: for å bære oss lever vi kun av direkte abonnementer fra brukerne.
Minimal gratisversjon, Premium-abonnement, Ultra-abonnement.
Ingen reklame, intet datasalg, ingen partnerskap som krever tilgang til brukernes data.
Det er en smalere modell enn markedets standard, men den er ærlig, og det er den eneste som lar Cashfulness holde løftet det gir på første skjerm i onboardingen.
En konsekvens vi liker ved denne modellen: hver bruker som velger å betale for Cashfulness, er en bruker som virkelig vil ha produktet.
Det finnes ikke den dynamikken der «produktet er gratis fordi produktet er deg».
Du er kunden, og produktet er det du betaler for.
Også partnerskapene respekterer denne regelen
Det finnes et spørsmål vi før eller senere vil få — og som det er verdt å foregripe.
Hvis Cashfulness i framtiden åpnet for integrasjoner med andre finanstjenester (prissammenlignere, forsikringsmeglere, investeringsforvaltere), ville disse to beskyttelsesnivåene bli stående?
Ja, og regelen formulerer vi slik: hvis Cashfulness integrerer en ekstern partner, vil kallet til partneren alltid gå fra din enhet, på din spesifikke forespørsel, for én bestemt post.
Aldri aggregert på serversiden.
Aldri automatisk.
Aldri uten din bevisste handling.
La meg gi et konkret eksempel, om enn framtidig og hypotetisk.
Anta at du har lastet opp strømregningen din i Cashfulness og vil vite om det finnes et bedre tilbud i markedet.
I en standardapp ville systemet automatisk sende partneren regningens data (og kanskje andre kontekstdata), motta svaret, og vise deg det.
I Cashfulness-modellen vil du derimot se en knapp «sjekk med [partner]» på akkurat den regningen.
Når du trykker på den, laster telefonen din ned regningen fra Cashfulness-arkivet, dekrypterer den lokalt — for husk: de opplastede dokumentene er ende-til-ende-krypterte, og bare din enhet har nøkkelen til å lese dem i klartekst — trekker ut kun de dataene som trengs for sjekken (forbruk, prissone, nåværende leverandør), sender dem direkte til partneren uten å gå via vår server, og viser deg svaret.
Cashfulness-serveren har heller ikke i dette scenarioet sett noe.
Verken dokumentet, tallene eller identiteten din.
Dette er ikke en sen innrømmelse til personvernet.
Det er slik vi mener partnerskap bør fungere i privatøkonomien.
Det er mer upraktisk å bygge teknisk — det krever SDK på enhetssiden, finkornet autentisering, håndtering av legitimasjon på telefonen — men det er den eneste måten som er i samsvar med merkeløftet.
Partnerskapene som ber Cashfulness om aggregert servertilgang til dataene, vil høflig få et nei.
Løftet, i én setning
Dette er løftet, oppsummert i én setning vi gjerne vil at skal bli sittende:
Cashfulness vet ikke hvem du er, leser ikke dokumentene dine, forstår ikke tallene dine. Bare du har alle nøklene.
Tre ulike verb for tre ulike nivåer.
Vet ikke hvem du er: for du forteller det ikke. Du bruker et kallenavn, og det holder.
Leser ikke dokumentene dine: for de er kryptert med en nøkkel som bare du eier.
Forstår ikke tallene dine: for uten din kontekst er de et regnskap uten biografi.
Alt det andre i produktet hviler på denne setningen.
De finansielle helsemålene, skillet mellom Eiendeler+ og Eiendeler-, den usynlige doble bokføringen, det ukentlige timinuttersritualet — alt sammen ting vi snakker om i de andre artiklene på denne bloggen — fungerer virkelig bare hvis det over dem finnes et personverntak som gjør dem dine på ordentlig, ikke bare i markedsføringens språk.
Er det dette du leter etter, er du på rett sted.
Vi venter på deg på betaventelisten på cashfulness.com/beta.
Foretrekker du derimot en app som analyserer atferden din for å gi deg bedre råd i bytte mot en del av personvernet ditt, er det et legitimt valg — det er ikke noe galt i det — men det stedet blir ikke oss.
Og det er greit.
Cashfulness er laget for menneskene som mener at husets tall skal bli i huset, og vet godt at det er ett valg blant flere.
— Vittorio