Большинство бесплатных приложений на вашем телефоне на самом деле не бесплатны.
Их предлагают вам в обмен на ваши данные.
Это обмен.
В принципе, обмен прозрачный, а во многих случаях — ещё и оправданный: в этом самом по себе нет ничего скандального.
Многие приложения для личных финансов работают точно так же.
Они дают вам бесплатный или почти бесплатный инструмент учёта, а взамен агрегируют данные о ваших расходах, чтобы делать рыночные отчёты, персонализированные рекомендации, рекламные предложения, профилирование, коммерческие партнёрства.
И это тоже, в принципе, законный выбор поставщика.
Вы за секунду соглашаетесь с условиями обслуживания и идёте дальше.
Cashfulness сделал другой выбор.
Не для того, чтобы осуждать другие приложения — каждый строит свою модель, и многие делают это честно, — а потому, что мы верим: личные финансы заслуживают иного отношения.
Это область, где и без того достаточно тумана, а само осознание того, что кто-то (пусть даже теоретически) может смотреть на ваши цифры, лишает продукт смысла.
Тот покой, о котором мы говорим, если данные не защищены, — пустое обещание.
Именно поэтому мы построили Cashfulness вокруг чёткого технического решения, встроенного в саму основу кода, которое работает на двух уровнях.
Первый уровень защищает документы, которые вы приносите в Cashfulness, — с помощью радикального сквозного шифрования.
Второй уровень защищает вашу личность и ваши бухгалтерские данные — с помощью максимальной анонимизации.
Эти два уровня отвечают на разные потребности и используют разные инструменты. Стоит разобрать их по отдельности.
Почему нужно подключение к сети (и что это значит для приватности)
Прежде чем перейти к двум уровням — техническая предпосылка.
Cashfulness работает только когда ваше устройство онлайн.
Мобильное или настольное — приложению нужно уметь общаться с удалённой базой данных, которая находится на наших серверах (европейская инфраструктура).
Почему именно такой выбор? Потому что ваши бухгалтерские данные должны оставаться синхронизированными между разными устройствами, которыми вы пользуетесь.
Если вы добавили транзакцию со смартфона во время обеденного перерыва, вы захотите увидеть её вечером на ноутбуке. И наоборот — то же самое.
Без единой централизованной точки истины данные систематически расходились бы между клиентами, и вы бы получили две несогласованные копии своей бухгалтерии — маленький кошмар, сводящий на нет весь смысл двойной записи.
Так что да, ваша бухгалтерия проходит через удалённый сервер.
Это не отказ от приватности — это технический компромисс, необходимый, чтобы дать вам бухгалтерию, которая действительно работает на нескольких устройствах.
Интересный вопрос звучит иначе: как мы защищаем вашу приватность при этом ограничении?
Ответ — в двух уровнях, о которых сейчас расскажем.
Уровень 1 — радикальное сквозное шифрование документов
Когда вы начинаете пользоваться Cashfulness, рано или поздно вы захотите загрузить в приложение свои документы: банковские выписки, договоры ипотеки или аренды, счета за электричество и газ, страховые полисы, инвестиционные сертификаты, отчёты фондов, важные налоговые квитанции.
В этих документах есть всё: ваше полное имя, адрес, налоговый номер, номер счёта, суммы, контрагенты, детали жизни.
Это самый чувствительный уровень из всех.
Для него мы сделали самый строгий из возможных выборов: радикальное сквозное шифрование.
Технический термин — сквозное шифрование (End-to-End Encryption), или E2EE.
Чтобы понять, что это без технических деталей, представьте, что вы хотите отправить письмо через курьера.
У вас есть два варианта.
Вариант 1, стандартная модель.
Вы пишете письмо открытым текстом, кладёте его в конверт, отдаёте курьеру.
Курьер — если захочет — может вскрыть конверт, прочитать письмо, сделать пометки, а затем снова заклеить и доставить.
Вы доверяете, что он этого не сделает, потому что он пообещал не делать этого, а может быть, потому что есть законы, которые это запрещают и дают вам какую-то гарантию.
Но физически он может.
Вариант 2, сквозное шифрование.
Вы пишете письмо и запираете его в металлическую шкатулку, которая открывается только особым ключом.
Ключ есть у вас. Только у вас.
Вы отдаёте шкатулку курьеру. Курьер её перевозит и хранит.
Даже если он заберёт её к себе домой, открыть не сможет — у него нет ключа.
Когда письмо вам понадобится, вы сами откроете шкатулку своим ключом и прочтёте.
Сквозное шифрование документов в Cashfulness — это металлическая шкатулка из варианта 2.
Когда вы загружаете документ в приложение, ваше устройство шифрует его перед отправкой на сервер. На сервер он приходит уже зашифрованным и остаётся зашифрованным.
Для сервера каждый ваш документ — это блок цифрового шума.
Ключ для расшифровки хранится только на вашем устройстве и выводится из вашего личного пароля и ваших 24 слов восстановления (так называемой seed-фразы — сегодня самого надёжного стандарта для генерации и защиты личных криптографических ключей).
Что это значит на практике:
- Сервер Cashfulness не может читать ваши документы. Ни мы, создавшие приложение, ни те, кто управляет инфраструктурой, ни потенциальный будущий злоумышленник.
- Если завтра Cashfulness будет взломан и все документы на серверах будут украдены, злоумышленник увидит шум. Бесполезный.
- Даже орган власти, официально запросивший ваши документы, получит шум. Мы не сможем их предоставить, потому что не располагаем ими в открытом виде.
Есть и обратная сторона медали, и в этом мы хотим быть честными.
Если вы потеряете пароль и одновременно потеряете 24 слова восстановления, ваши документы станут нечитаемыми даже для вас самих.
Навсегда.
Мы не можем их восстановить, потому что технически не можем прочитать то, что вы зашифровали. Не существует «восстановления пароля по почте», которое вернуло бы вам документы, потому что на другой стороне нет никого, кто мог бы это сделать.
Ключ принадлежит только вам.
Это означает свободу — только вы можете получить доступ, — и ответственность — только вы можете этот доступ потерять.
Это философский выбор. Мы предпочитаем дать вам полный контроль, даже если это включает бремя хранения ваших учётных данных, чем держать «резервную» копию на нашем сервере. Такая копия рано или поздно может стать точкой уязвимости.
Ключ, который существует только на вашем телефоне, — нет.
Уровень 2 — максимальная анонимизация личности и бухгалтерских данных
Второй уровень имеет другую природу и охватывает всё остальное: кто вы и что вы делаете внутри приложения с точки зрения цифр.
Для этих данных мы выбрали другую стратегию, потому что и проблема другой природы.
Документы — это «шкатулки» с чувствительным содержимым, и есть смысл шифровать их целиком.
Бухгалтерские данные, напротив, — это живая структура: цифры, счета, категории, движения, которые нужны вам каждый день и на которых Cashfulness строит показатели финансового здоровья, которые вам показывает.
Шифровать их так же, как документы, сделало бы приложение очень медленным и во многих случаях непригодным для использования.
Наш ответ — не абсолютное шифрование, а максимальная анонимизация.
На практике это значит две вещи.
Cashfulness даже не хочет знать, как вас зовут.
При регистрации мы не спрашиваем ни имя, ни фамилию.
Мы спрашиваем никнейм — какой захотите, пусть даже полностью вымышленный.
Мы спрашиваем электронную почту для технических контактов (восстановление доступа, служебные сообщения) и пароль.
Всё.
Никакого налогового номера, никакой даты рождения, никакого адреса, никакого номера телефона, никакой привязки к вашему банковскому счёту, никакой проверки личности.
Для Cashfulness вы — никнейм с электронной почтой. Ничего больше.
Ваши бухгалтерские пространства трудно расшифровать тому, кто не вы.
Приложение предлагает вам разбивать доходы и расходы по конкретным счетам и подсчётам. Названия, которые вы даёте этим счетам, метки ваших операций, степень детализации, с которой вы описываете свою финансовую жизнь, — всё это решаете вы сами, используя тот словарь, который вам удобнее.
Cashfulness никогда не просит вас вводить личные данные в названия счетов: никакого налогового номера, никакого номера счёта в заголовке, никаких собственных имён. Названия функциональны (например: «Зарплата», «Основной счёт», «Ипотека», «Расходы на машину», «Доход от аренды»): они описывают функцию, а не вас.
Вместе эти два фактора — никнейм, не раскрывающий, кто вы, и названия счетов, описывающие что, а не кого, — делают вашу бухгалтерию трудной для понимания и невозможной для привязки к вам для кого угодно, кроме вас самих.
Конкретный результат таков: даже если кто-то (злоумышленник, нечестный сотрудник, орган власти) сможет заглянуть в базу данных на стороне сервера, он увидит определённый никнейм с планом счетов, остатками и движениями.
Он не узнает, кто этот никнейм.
У него не будет способа связать эти цифры с реальным человеком за экраном.
Он увидит бухгалтерию без биографии.
Несколько практических советов, как остаться по-настоящему анонимным
Анонимность — не только наше обещание, но и ваш маленький жест.
Если вы хотите, чтобы ваша бухгалтерия оставалась непонятной для всех, кроме вас, мы советуем:
- Называть счета по функции, а не по человеку. «Банковский счёт», «Зарплата», «Ипотека», «Совместный счёт» — хорошие варианты. «Счёт Ивана Иванова» или полный номер счёта в заголовке открывают ненужную лазейку.
- Оставлять описания транзакций естественно общими. По своей природе они уже такие: «завтрак в кафе», «ужин в ресторане», «заправка машины», «покупки в супермаркете». Никто, кроме вас, не поймёт, был ли этот ужин в ресторане деловым в Милане или семейным в Лукке с сестрой.
- Использовать псевдонимную почту при регистрации, если хотите довести это до предела. Ваша почта нужна только для входа и получения служебных сообщений: никто не обязывает вас использовать «официальную» вроде
имя.фамилия@домен.ru. Прекрасно подойдёт псевдоним вродеaurora.di.notte@protonmail.comили любой другой, какой вам удобен.
Даже платёж анонимен (для нас)
Момент, которого читатель обычно не ожидает, и который стоит проговорить прямо.
Для подписок на Cashfulness мы не спрашиваем напрямую кредитную карту, номер счёта или платёжные реквизиты. Платёж проходит через магазин, из которого вы скачали приложение: App Store (Apple) или Google Play (Google) для мобильных версий, Stripe для платежей с сайта.
Именно эти третьи стороны видят ваше имя, адрес, кредитную карту или номер счёта — потому что технически именно они принимают платёж. Именно на них, как правило, лежит обязанность выставлять счета или налоговые квитанции за вашу подписку (по правилам вашей страны).
С другой стороны этой трубы Cashfulness получает только чистую сумму поступления и непрозрачный идентификатор подписки (что-то вроде sub_abc123).
Мы никогда не видим: имя клиента, налоговый номер, кредитную карту, номер счёта.
Мы не выставляем счета или налоговые квитанции конечным пользователям.
Другими словами, даже с коммерческой стороны нам достаточно знать, что существует активная подписка, привязанная к определённому никнейму и определённой псевдонимной почте. Биография клиента остаётся на другой стороне трубы, у магазина, и там она и остаётся.
Трудные решения, которые из этого вытекают
Совместить эти два уровня — не бесплатная функция.
Это выбор, который структурно закрывает некоторые двери, и о них стоит сказать прямо, потому что именно здесь видна цена последовательности.
Никакой детальной поведенческой аналитики по профилю.
Мы не можем связать активность внутри приложения с реальными личностями, потому что у нас нет реальных личностей.
Разработка продукта немного более «слепа» в отношении индивидуальных паттернов. Мы гораздо больше полагаемся на прямую обратную связь, бета-тесты, качественные интервью.
Это работает, но менее автоматически.
Никаких персонализированных коммерческих рекомендаций.
Мы не говорим вам «другие пользователи, похожие на вас, купили X», исходя из вашего профиля. Мы не навязываем товары спонсорских партнёров на основе ваших цифр. Модели коммерческого профилирования, на которой держится хлеб многих бесплатных приложений, в Cashfulness нет.
Зато мы делаем — и хотим сказать об этом ясно — пути улучшения вашей финансовой ситуации: указания на то, где ваши цифры подсказывают возможность экономии, где структура активов заслуживает размышления, где количество месяцев запаса может вырасти при небольших корректировках.
Это образовательные подсказки, построенные на ваших собственных данных и — когда природа данных этого требует — вычисляемые на вашем устройстве, на локально расшифрованной копии.
Одно важное уточнение: Cashfulness не даёт персонализированных инвестиционных советов. Это территория зарегистрированных финансовых консультантов, и не без причины: это регулируемая деятельность, требующая компетенций, ответственности и доверительных отношений иного рода, чем между вами и приложением. Cashfulness помогает вам ясно видеть картину, а не выбирать фонд для покупки на следующей неделе.
Уведомления и рассылка: только если вы этого хотите, никогда по умолчанию.
То, что у нас аллергия на коммерческое профилирование, не значит, что мы немая платформа.
Cashfulness может присылать вам полезные вещи — и под «полезными» я имею в виду действительно для вас, а не для третьих лиц: предупреждения о том, что бюджет вот-вот будет превышен, подсказки о том, где ваши цифры показывают возможность экономии, короткую периодическую рассылку с образовательными размышлениями о личных финансах и обновлениями продукта.
Всё это — опциональное подключение: вы включаете это при регистрации или позже, когда захотите, и отключаете, когда захотите.
Ни одна галочка не установлена по умолчанию. Ваша почта — даже псевдонимная — служит нам только для доставки того, о чём вы попросили, а не для того, чтобы преследовать вас сообщениями, которых вы не хотели.
ИИ строго соблюдает оба уровня приватности.
Функции искусственного интеллекта, которые Cashfulness разрабатывает или разработает в будущем, соблюдают описанное выше разделение.
По документам (выписки, договоры, счета, полисы) обработки ИИ, требующие чтения содержимого, происходят на вашем устройстве, на локально расшифрованной копии. Сервер никогда не видит содержимое этих документов.
По бухгалтерским данным (остатки, движения, категории вашего никнейма) возможная обработка на стороне сервера работает с цифрами, лишёнными идентификационных данных, — та самая «бухгалтерия без биографии», о которой мы говорили выше. ИИ может помочь вам заметить полезные паттерны (например, сообщить о расходе, выходящем за обычные рамки, или подсказать, где можно сократить траты), но никогда не сможет связать эти цифры с реальным именем и фамилией.
Чего мы не будем делать — так это строить модель ИИ, которая связывает то, кто вы есть, с вашей финансовой жизнью, потому что «кто вы есть» у Cashfulness просто нет.
Никакой продажи агрегированных данных, которые можно привязать к людям.
Мы не можем продавать банкам, исследовательским институтам, рекламным агентствам «набор данных о расходах жителей страны по возрастным группам и месту жительства». У нас нет ни личных данных, ни данных о месте жительства.
Это мог бы быть значительный источник дохода. Мы намеренно исключили его из бизнес-модели.
Коммерческое следствие этих решений очевидно: чтобы существовать, мы живём только за счёт прямых подписок пользователей.
Минимальный бесплатный уровень, подписка Premium, подписка Ultra.
Никакой рекламы, никакой продажи данных, никаких партнёрств, требующих доступа к данным пользователей.
Это более узкая модель, чем стандарт рынка, но она честная и единственная, что позволяет Cashfulness сдержать обещание, данное на первом экране онбординга.
Одно следствие этой модели нам особенно нравится: каждый пользователь, который решает платить за Cashfulness, — это пользователь, который действительно хочет этот продукт.
Здесь нет механики, при которой «продукт бесплатный, потому что продукт — это вы».
Вы — клиент, а продукт — это то, за что вы платите.
Партнёрства тоже подчиняются этому правилу
Есть вопрос, который рано или поздно нам зададут, и на него стоит ответить заранее.
Если в будущем Cashfulness откроется для интеграций с другими финансовыми сервисами (сравнение тарифов, страховые брокеры, управляющие инвестициями), останутся ли эти два уровня защиты в силе?
Да, и мы формулируем правило так: если Cashfulness интегрирует внешнего партнёра, обращение к партнёру всегда будет исходить с вашего устройства, по вашему конкретному запросу, по конкретному пункту.
Никогда — агрегированно на стороне сервера.
Никогда — автоматически.
Никогда — без вашего осознанного действия.
Приведу конкретный пример, хотя и будущий, гипотетический.
Предположим, вы загрузили в Cashfulness счёт за электричество и хотите узнать, есть ли на рынке предложение получше.
В стандартном приложении система автоматически отправила бы партнёру данные счёта (а возможно, и другие контекстные данные), получила бы ответ и показала бы его вам.
В модели Cashfulness вы, напротив, увидите на этом конкретном счёте кнопку «проверить у [партнёр]».
Когда вы её нажмёте, ваш телефон скачает счёт из архива Cashfulness, расшифрует его локально — напомним: загруженные документы зашифрованы сквозным шифрованием, и только ваше устройство обладает ключом, чтобы прочитать их в открытом виде, — извлечёт только данные, необходимые для проверки (потребление, тариф, текущий поставщик), отправит их напрямую партнёру, минуя наш сервер, и покажет вам ответ.
Сервер Cashfulness даже в этом сценарии ничего не увидел.
Ни документа, ни цифр, ни вашей личности.
Это не запоздалая уступка приватности.
Это то, как, по нашему мнению, должны работать партнёрства в личных финансах.
Технически это сложнее в реализации — требует SDK на стороне устройства, точной аутентификации, управления учётными данными на телефоне, — но это единственный способ, согласующийся с обещанием бренда.
Партнёрства, которые попросят у Cashfulness агрегированный доступ к данным на стороне сервера, вежливо получат отказ.
Обещание в одной фразе
Вот это обещание, сведённое в одну фразу, которую нам хотелось бы, чтобы вы запомнили:
Cashfulness не знает, кто вы, не читает ваши документы, не понимает ваши цифры. Все ключи есть только у вас.
Три разных глагола для трёх разных уровней.
Не знает, кто вы: потому что вы ему этого не говорите. Вы будете использовать никнейм, и этого будет достаточно.
Не читает ваши документы: потому что они зашифрованы ключом, который есть только у вас.
Не понимает ваши цифры: потому что без вашего контекста это бухгалтерия без биографии.
На этой фразе строится всё остальное в продукте.
Показатели финансового здоровья, различие между Активами+ и Активами−, невидимая двойная запись, еженедельный ритуал из десяти минут — всё, о чём мы говорим в других статьях этого блога, — по-настоящему работает только тогда, когда над этим есть потолок приватности, делающий их действительно вашими, а не только на языке маркетинга.
Если вы ищете именно это, вы попали по адресу.
Ждём вас в списке ожидания бета-версии на cashfulness.com/beta.
Если же вы предпочитаете приложение, которое анализирует ваше поведение, чтобы давать лучшие советы, в обмен на часть вашей приватности, — это законный выбор, в этом нет ничего плохого, — но мы не будем этим местом.
И это нормально.
Cashfulness создан для людей, для которых цифры их дома должны оставаться дома, и он прекрасно знает, что он лишь один из вариантов среди прочих.
— Vittorio