Väčšina bezplatných aplikácií, ktoré máš v telefóne, v skutočnosti nie je zadarmo.
Dávajú ti ich výmenou za tvoje dáta.
Je to výmenný obchod.
V princípe je transparentný a v mnohých prípadoch je to aj výmena, ktorú sa oplatí urobiť — nie je v tom nič škandalózne.
Aj veľa aplikácií na osobné financie funguje takto.
Dajú ti bezplatný alebo takmer bezplatný nástroj na sledovanie výdavkov a výmenou zhromažďujú tvoje výdavkové dáta, aby z nich vyrobili trhové správy, personalizované odporúčania, reklamné návrhy, profilovanie, obchodné partnerstvá.
Aj tu je to v princípe legitímna voľba poskytovateľa.
Ty v okamihu prijmeš podmienky služby a pokračuješ ďalej.
Cashfulness sa rozhodla inak.
Nie preto, aby sme súdili iné aplikácie — každý si stavia svoj vlastný model a mnohí to robia čestne — ale preto, že veríme, že osobné financie si zaslúžia iné zaobchádzanie.
Je to oblasť, kde je hmly už aj tak dosť, a kde vedomie, že niekto (hoci len teoreticky) môže vidieť tvoje čísla, berie samotný zmysel produktu.
Pokoj, o ktorom hovoríme, je bez bezpečných dát prázdnym sľubom.
Preto sme Cashfulness postavili okolo presnej technickej voľby, zapísanej v základoch kódu, ktorá funguje na dvoch úrovniach.
Prvá úroveň chráni dokumenty, ktoré vkladáš do Cashfulness — s radikálnym koncovým šifrovaním.
Druhá úroveň chráni tvoju identitu a tvoje účtovné dáta — s maximálnou anonymizáciou.
Obe úrovne odpovedajú na rôzne potreby a používajú rôzne nástroje. Oplatí sa ich vysvetliť jednu po druhej.
Prečo je potrebné pripojenie (a čo to znamená pre súkromie)
Technická premisa, skôr než sa dostaneme k obom úrovniam.
Cashfulness funguje len ak je tvoje zariadenie online.
Mobil alebo počítač, aplikácia musí vedieť komunikovať so vzdialenou databázou, ktorá beží na našich serveroch (európska infraštruktúra).
Prečo táto voľba? Pretože tvoje účtovné dáta musia zostať synchronizované medzi rôznymi zariadeniami, ktoré používaš.
Ak pridáš transakciu zo smartfónu cez obedňajšiu prestávku, chceš si ju večer pozrieť aj na notebooku. A naopak tiež.
Bez centralizovaného bodu pravdy by sa dáta systematicky rozchádzali medzi klientmi a ostal by ti s dvomi nekonzistentnými kópiami tvojho účtovníctva — malá nočná mora, ktorá zmarí celý zmysel podvojného účtovníctva.
Takže áno, tvoje účtovníctvo prechádza cez vzdialený server.
Nie je to vzdanie sa súkromia: je to technické obmedzenie potrebné na to, aby ti dalo účtovníctvo, ktoré naozaj funguje na viacerých zariadeniach.
Zaujímavá otázka sa stáva: ako chránime tvoje súkromie pri tomto obmedzení?
Odpoveď je v dvoch úrovniach, ktoré ti teraz popíšem.
Úroveň 1 — Radikálne koncové šifrovanie pre dokumenty
Keď začneš používať Cashfulness, skôr či neskôr budeš chcieť do aplikácie vložiť svoje dokumenty: bankové výpisy, hypotekárne alebo nájomné zmluvy, účty za elektrinu a plyn, poistné zmluvy, investičné certifikáty, výkazy fondov, dôležité daňové doklady.
Tieto dokumenty obsahujú všetko: tvoje celé meno, adresu, rodné číslo, IBAN, sumy, protistrany, detaily zo života.
Sú absolútne najcitlivejšou úrovňou.
Pre ne sme urobili najprísnejšiu možnú voľbu: radikálne koncové šifrovanie.
Technický termín je koncové šifrovanie (end-to-end encryption), alebo E2EE.
Aby si to pochopil bez technických výrazov, predstav si, že chceš poslať list cez kuriéra.
Máš dve možnosti.
Možnosť 1, štandardný model.
Napíšeš list nešifrovaný, dáš ho do obálky, odovzdáš kuriérovi.
Kuriér — ak chce — môže obálku otvoriť, prečítať list, urobiť si poznámky, potom ho znova zatvoriť a doručiť.
Ty veríš, že to neurobí, pretože sľúbil, že to neurobí, možno aj preto, že existujú zákony, ktoré mu to zakazujú a dávajú ti nejakú záruku.
Ale materiálne to môže urobiť.
Možnosť 2, koncové šifrovanie.
Napíšeš list, zatvoríš ho do kovovej škatule, ktorá sa otvára len konkrétnym kľúčom.
Kľúč máš ty. Iba ty.
Škatuľu dáš kuriérovi. Kuriér ju prevezie a uskladní.
Aj keby ju vzal a odniesol domov, nemohol by ju otvoriť, pretože nemá kľúč.
Keď list potrebuješ, ty sám znova otvoríš škatuľu svojím kľúčom a prečítaš si ho.
Koncové šifrovanie dokumentov v Cashfulness je presne táto kovová škatuľa z Možnosti 2.
Keď nahráš dokument do aplikácie, tvoje zariadenie ho zašifruje ešte pred odoslaním na server. Na server dorazí a zostáva zašifrovaný.
Pre server je každý tvoj dokument blok digitálneho šumu.
Kľúč na jeho dešifrovanie existuje iba na tvojom zariadení, odvodený z tvojho osobného hesla a z tvojej 24-slovnej obnovovacej frázy (takzvaná seed phrase, dnes najsilnejší dostupný štandard na vytváranie a ochranu osobných kryptografických kľúčov).
Čo to v praxi znamená:
- Server Cashfulness nedokáže čítať tvoje dokumenty. Ani my, ktorí sme aplikáciu postavili, ani ten, kto spravuje infraštruktúru, ani prípadný budúci útočník.
- Ak by Cashfulness bola zajtra napadnutá a všetky dokumenty na serveroch ukradnuté, útočník by videl šum. Nepoužiteľný.
- Aj úrad, ktorý by formálne požiadal o tvoje dokumenty, by dostal šum. Nemôžeme ich poskytnúť, pretože ich sami nemáme v otvorenej podobe.
Je v tom aj druhá strana mince, a chceme byť k tomu úprimní.
Ak stratíš svoje heslo a stratíš aj svoju 24-slovnú obnovovaciu frázu, tvoje dokumenty sa stanú nečitateľnými aj pre teba samého.
Navždy.
Nemôžeme ich obnoviť, pretože technicky nedokážeme prečítať to, čo si zašifroval. Neexistuje žiadny „reset hesla cez e-mail“, ktorý by ti dokumenty vrátil, pretože na druhej strane nie je nikto, kto by to mohol urobiť.
Kľúč patrí len tebe.
To znamená slobodu — jediný, kto sa vie dostať k obsahu, si ty — a zodpovednosť — jediný, kto môže o prístup prísť, si tiež ty.
Je to filozofická voľba. Radšej ti dáme úplnú kontrolu, aj keď to zahŕňa bremeno strážiť si svoje prihlasovacie údaje, než aby sme si nechali „bezpečnostnú“ kópiu na našom serveri. Tá kópia by sa skôr či neskôr mohla stať bodom prieniku.
Kľúč, ktorý existuje iba v tvojom telefóne, sa tým nikdy nestane.
Úroveň 2 — Maximálna anonymizácia identity a účtovných dát
Druhá úroveň je iná a pokrýva všetko ostatné: kto si a čo v aplikácii robíš v podobe čísel.
Pre tieto dáta sme zvolili inú stratégiu, pretože povaha problému je iná.
Dokumenty sú „škatule“ s citlivým obsahom a má zmysel ich celé zašifrovať.
Účtovné dáta sú naopak živá štruktúra: čísla, účty, kategórie, pohyby, ktoré potrebuješ každý deň a na ktorých Cashfulness stavia metriky finančného zdravia, ktoré ti zobrazuje.
Šifrovať ich rovnakým spôsobom ako dokumenty by aplikáciu urobilo extrémne pomalou a v mnohých prípadoch nepoužiteľnou.
Naša odpoveď nie je absolútne šifrovanie. Je to maximálna anonymizácia.
V praxi to znamená dve veci.
Cashfulness ani nechce vedieť, ako sa voláš.
Keď sa registruješ, nepýtame sa ťa na meno a priezvisko.
Pýtame sa na prezývku (nickname) — akú chceš, môže byť aj celkom vymyslená.
Pýtame sa na e-mail pre technický kontakt (obnova prístupu, servisná komunikácia) a na heslo.
A to je všetko.
Žiadne rodné číslo, žiadny dátum narodenia, žiadna adresa, žiadne telefónne číslo, žiadne prepojenie na tvoj bankový účet, žiadne overenie totožnosti.
Pre Cashfulness si prezývka s e-mailom. Nič viac.
Tvoje účtovné priestory sú pre nikoho okrem teba ťažko rozlúštiteľné.
Aplikácia ťa vyzýva, aby si príjmy a výdavky rozčlenil do konkrétnych účtov a podúčtov. Názvy, ktoré tým účtom dáš, popisky svojich transakcií, úroveň podrobnosti, akou opisuješ svoj finančný život — o tom rozhoduješ ty, so slovníkom, ktorý je pre teba najužitočnejší.
Cashfulness ťa nikdy nežiada, aby si do názvov účtov vkladal osobné údaje: žiadne rodné číslo, žiadny IBAN v nadpisoch, žiadne vlastné mená. Názvy sú funkčné (napríklad: „Výplata“, „Hlavný bežný účet“, „Hypotéka“, „Náklady na auto“, „Prijaté nájomné“): opisujú funkciu, nie teba.
Spolu tieto dva faktory — prezývka, ktorá neprezradí, kto si, a názvy účtov, ktoré opisujú čo, nie kto — robia tvoje účtovníctvo ťažko pochopiteľným a nemožné spojiť s tebou pre kohokoľvek okrem teba samého.
Konkrétny výsledok je tento: aj keby sa niekto (útočník, nečestný zamestnanec, úrad) pozrel na databázu na strane servera, videl by len istú prezývku s účtovou osnovou, zostatkami a pohybmi.
Nevedel by, kto tá prezývka je.
Nemal by spôsob, ako tie čísla spojiť so skutočnou osobou za obrazovkou.
Videl by účtovníctvo bez biografie.
Pár praktických rád, ako zostať naozaj anonymný
Anonymita nie je len náš sľub: je to aj tvoje malé gesto.
Ak chceš, aby bolo tvoje účtovníctvo nezrozumiteľné pre kohokoľvek okrem teba, odporúčame ti:
- Pomenúvaj účty podľa funkcie, nie podľa osoby. „Bankový účet“, „Výplata“, „Hypotéka“, „Spoločný účet“ fungujú dobre. „Účet Jána Nováka“ alebo IBAN vypísaný celý v nadpise otvárajú zbytočnú škáru.
- Nechaj popisy transakcií prirodzene všeobecné. Svojou povahou už také sú: „raňajky v kaviarni“, „večera v reštaurácii“, „tankovanie“, „nákup v supermarkete“. Nikto okrem teba by nepochopil, či tá večera v reštaurácii bola v Bratislave s klientom alebo v Košiciach so sestrou.
- Použi na registráciu pseudonymný e-mail, ak to chceš dotiahnuť do extrému. Tvoj e-mail slúži len na prihlásenie a doručovanie servisnej komunikácie: nikto ťa nenúti používať „oficiálny“ v tvare
meno.priezvisko@domena.sk. Celkom dobre poslúži pseudonymný v tvareaurora.z.noci@protonmail.comalebo akýkoľvek iný, ktorý ti vyhovuje.
Aj platba je anonymná (pre nás)
Bod, ktorý čitateľ zvyčajne nečaká a stojí za to povedať jasne.
Za predplatné Cashfulness od teba nežiadame priamo kreditnú kartu, IBAN ani fakturačné údaje. Platba prechádza cez obchod, z ktorého si si aplikáciu stiahol: App Store (Apple) alebo Google Play (Google) pre mobilné verzie, Stripe pre platby z webu.
Práve tieto tretie strany vidia tvoje meno, adresu, kreditnú kartu alebo IBAN — pretože technicky práve ony inkasujú platbu. Zvyčajne im tiež prináleží vystavenie faktúr alebo daňových dokladov za tvoje predplatné (podľa pravidiel tvojej krajiny).
Cashfulness na druhom konci tejto rúry dostáva iba čistý výnos a nepriehľadný identifikátor predplatného (niečo ako sub_abc123).
Nikdy nevidíme: meno zákazníka, rodné číslo, kreditnú kartu, IBAN.
Nevystavujeme faktúry ani daňové doklady koncovým používateľom.
Inými slovami: aj na obchodnej strane nám o tebe stačí vedieť, že existuje aktívne predplatné spojené s určitou prezývkou a určitým pseudonymným e-mailom. Biografia zákazníka je na druhej strane, u obchodu, a tam aj zostáva.
Ťažké rozhodnutia, ktoré z toho vyplývajú
Spojenie oboch týchto úrovní nie je zadarmo dostupná vlastnosť.
Je to voľba, ktorá štrukturálne zatvára niektoré dvere, a o týchto dverách sa oplatí hovoriť otvorene, pretože práve tu je vidieť cenu konzistentnosti.
Žiadna podrobná behaviorálna analytika podľa profilu.
Nemôžeme spájať aktivitu v aplikácii so skutočnými identitami, pretože skutočné identity nemáme.
Vývoj produktu je trochu „slepší“ voči individuálnym vzorcom. Oveľa viac sa spoliehame na priamu spätnú väzbu, beta testy a kvalitatívne rozhovory.
Funguje to, ale je to menej automatické.
Žiadne personalizované obchodné odporúčania.
Nehovoríme ti „iní používatelia ako ty kúpili X“ na základe tvojho profilu. Netlačíme ti produkty sponzorovaných partnerov na základe tvojich čísel. Model obchodného profilovania, ktorý je chlebom mnohých bezplatných aplikácií, v Cashfulness neexistuje.
Čo naopak robíme — a záleží nám na tom, aby sme to povedali jasne — sú cesty na zlepšenie tvojej finančnej situácie: náznaky, kde tvoje čísla naznačujú, že by sa dalo šetriť, kde zloženie majetku stojí za zamyslenie, kde by sa mesiace pokrytia mohli s malými úpravami zvýšiť.
Sú to vzdelávacie odporúčania, postavené na tvojich dátach, a — keď si to povaha dát vyžaduje — vypočítané priamo na tvojom zariadení, na lokálne dešifrovanej kópii.
Dôležitá poznámka: Cashfulness nedáva personalizované investičné rady. To je územie registrovaných finančných poradcov, a to z dobrého dôvodu: je to regulovaná činnosť, ktorá vyžaduje odbornosť, zodpovednosť a iný vzťah dôvery, než aký je medzi tebou a aplikáciou. Cashfulness ti pomáha vidieť jasne, nie vybrať fond, ktorý si kúpiš budúci týždeň.
Notifikácie a newsletter: len ak ich chceš ty, nikdy ako predvolené.
To, že sme alergickí na obchodné profilovanie, neznamená, že sme nemá platforma.
Cashfulness ti môže posielať užitočné veci — a keď hovorím „užitočné“, myslím tým naozaj pre teba, nie pre tretie strany: upozornenie, ak sa blíži prekročenie rozpočtu, tipy, kde ti tvoje čísla hovoria, že by si mohol ušetriť, krátky pravidelný newsletter s edukatívnymi úvahami o osobných financiách a s novinkami o produkte.
Toto všetko je opt-in: aktivuješ si to sám pri registrácii alebo neskôr, keď chceš, a vypneš, keď chceš.
Žiadne políčko nie je predvolene zaškrtnuté. Tvoj e-mail — aj keď pseudonymný — nám slúži iba na doručovanie toho, o čo si požiadal, nie na to, aby sme ťa naháňali správami, ktoré si nechcel.
AI dôsledne v súlade s oboma úrovňami súkromia.
Funkcie umelej inteligencie, ktoré Cashfulness vyvíja alebo bude vyvíjať, rešpektujú rozdiel, ktorý sme opísali vyššie.
Pri dokumentoch (bankové výpisy, zmluvy, účty, poistky) prebieha AI spracovanie, ktoré vyžaduje čítanie ich obsahu, na tvojom zariadení, na lokálne dešifrovanej kópii. Server nikdy nevidí obsah týchto dokumentov.
Pri účtovných dátach (zostatky, pohyby, kategórie tvojej prezývky) prípadné spracovanie na strane servera beží nad číslami bez osobnej identity — to „účtovníctvo bez biografie“, o ktorom som hovoril skôr. AI ti môže pomôcť čítať užitočné vzorce (napríklad ťa upozorniť na výdavok, ktorý vybočuje z tvojho zvyčajného správania, alebo navrhnúť, kde ušetriť), ale nikdy nemôže tie čísla spojiť so skutočným menom a priezviskom.
Čo neurobíme, je postaviť AI model, ktorý by spájal kto si s tvojím finančným životom — pretože „kto si“, v Cashfulness, nemáme.
Žiadny predaj agregovaných dát priraditeľných k osobám.
Nemôžeme predať „súbor výdavkov Slovákov podľa vekovej skupiny a bydliska“ bankám, výskumným inštitúciám, reklamným agentúram. Nemáme tie osobné a bytové údaje.
Mohol to byť významný zdroj príjmu. Zámerne sme ho z obchodného modelu vylúčili.
Obchodný dôsledok týchto rozhodnutí je jasný: aby sme sa udržali, žijeme len z priameho predplatného od používateľov.
Minimálna bezplatná úroveň, predplatné Premium, predplatné Ultra.
Žiadna reklama, žiadny predaj dát, žiadne partnerstvo, ktoré by vyžadovalo prístup k dátam používateľov.
Je to užší model ako trhový štandard, ale je čestný a je jediný, ktorý umožňuje Cashfulness dodržať sľub, ktorý dáva na prvej obrazovke onboardingu.
Dôsledok tohto modelu, ktorý sa nám páči: každý používateľ, ktorý sa rozhodne za Cashfulness platiť, je používateľ, ktorý produkt naozaj chce.
Neexistuje tu dynamika, kde „produkt je zadarmo, pretože produktom si ty“.
Ty si zákazník a produkt je to, za čo platíš.
Aj partnerstvá dodržiavajú toto pravidlo
Je jedna otázka, ktorú sa nás skôr či neskôr niekto opýta — a oplatí sa ju predbehnúť.
Ak by sa Cashfulness v budúcnosti otvorila integráciám s ďalšími finančnými službami (porovnávače taríf, poisťovací makléri, správcovia investícií), zostali by tieto dve úrovne ochrany v platnosti?
Áno, a pravidlo formulujeme takto: ak Cashfulness integruje externého partnera, volanie k partnerovi bude vždy vychádzať z tvojho zariadenia, na tvoju konkrétnu žiadosť, pre konkrétnu položku.
Nikdy nie agregovane na strane servera.
Nikdy nie automaticky.
Nikdy bez tvojho vedomého gesta.
Uvediem konkrétny príklad, hoci ešte budúci a hypotetický.
Predstav si, že si do Cashfulness nahral účet za elektrinu a chceš vedieť, či na trhu nie je lepšia ponuka.
V štandardnej aplikácii by systém automaticky poslal partnerovi dáta z účtu (a možno aj ďalšie kontextové dáta), dostal by odpoveď a zobrazil by ti ju.
V modeli Cashfulness naopak uvidíš na tomto konkrétnom účte tlačidlo „overiť s [partner]“.
Keď ho stlačíš, tvoj telefón stiahne účet z archívu Cashfulness, lokálne ho dešifruje — pretože nezabúdajme: nahrané dokumenty sú šifrované koncovo a iba tvoje zariadenie má kľúč, ktorým ich možno čítať v otvorenej podobe — extrahuje len dáta potrebné na overenie (spotreba, tarifné pásmo, súčasný dodávateľ), pošle ich priamo partnerovi bez toho, aby prešli cez náš server, a zobrazí ti odpoveď.
Server Cashfulness aj v tomto scenári nevidel nič.
Ani dokument, ani čísla, ani tvoju identitu.
Toto nie je oneskorená koncesia súkromiu.
Je to spôsob, akým si myslíme, že by mali fungovať partnerstvá v osobných financiách.
Je to technicky náročnejšie postaviť — vyžaduje si to SDK na strane zariadenia, jemnú autentifikáciu, správu poverení v telefóne — ale je to jediný spôsob, ktorý je v súlade so sľubom značky.
Partnerstvá, ktoré by od Cashfulness žiadali agregovaný prístup na strane servera k dátam, dostanú zdvorilo odmietavú odpoveď.
Sľub, v jednej vete
Toto je sľub, zhrnutý v jednej vete, ktorá by chcela zostať:
Cashfulness nevie, kto si, nečíta tvoje dokumenty, nerozumie tvojim číslam. Iba ty máš všetky kľúče.
Tri rôzne slovesá pre tri rôzne úrovne.
Nevie, kto si: pretože jej to nepovieš. Použiješ prezývku a to ti bude stačiť.
Nečíta tvoje dokumenty: pretože sú zašifrované kľúčom, ktorý máš len ty.
Nerozumie tvojim číslam: pretože bez tvojho kontextu sú to len účtovníctvo bez biografie.
Celý zvyšok produktu sa opiera o túto vetu.
Metriky finančného zdravia, rozlíšenie medzi Aktívum+ a Aktívum-, neviditeľné podvojné účtovníctvo, týždenný desaťminútový rituál — všetko, o čom hovoríme v ostatných článkoch tohto blogu — funguje naozaj len vtedy, ak nad tým je strop súkromia, ktorý ich robí naozaj tvojimi, nielen v jazyku marketingu.
Ak práve toto hľadáš, si na správnom mieste.
Čakáme na teba na zozname čakateľov na beta na cashfulness.com/beta.
Ak naopak uprednostňuješ aplikáciu, ktorá analyzuje tvoje správanie, aby ti lepšie poradila výmenou za časť tvojho súkromia, je to legitímna voľba — nič zlé na tom nie je — ale my tým miestom nebudeme.
Je to tak v poriadku.
Cashfulness je stvorená pre ľudí, ktorých domáce čísla musia zostať doma, a veľmi dobre vie, že je len jednou z viacerých možností.
— Vittorio