Večina brezplačnih aplikacij na tvojem telefonu v resnici ni brezplačna.
Ponujajo ti jih v zameno za tvoje podatke.
To je menjava.
Načeloma je pregledna, in v mnogih primerih je tudi menjava, ki se jo splača skleniti — v tem ni nič škandaloznega.
Tako delujejo tudi številne aplikacije za osebne finance.
Dajo ti brezplačno ali skoraj brezplačno orodje za sledenje, v zameno pa združujejo tvoje podatke o porabi, da izdelajo tržna poročila, personalizirana priporočila, oglasne predloge, profiliranje, poslovna partnerstva.
Tudi to je, načeloma, legitimna izbira ponudnika.
Ti v trenutku sprejmeš pogoje uporabe in nadaljuješ.
Cashfulness je izbral drugačno pot.
Ne zato, da bi sodili druge aplikacije — vsak gradi svoj model, in mnogi to počnejo pošteno —, temveč zato, ker verjamemo, da si osebne finance zaslužijo drugačno obravnavo.
To je področje, kjer je megle že itak dovolj, in kjer sama zavest, da bi nekdo (čeprav le teoretično) lahko gledal tvoje številke, izniči sam smisel izdelka.
Mir, o katerem govorimo, je, če podatki niso varni, prazna obljuba.
Zato smo Cashfulness zgradili okrog natančne tehnične odločitve, zapisane v temelje kode, ki deluje na dveh ravneh.
Prva raven ščiti dokumente, ki jih prineseš v Cashfulness — z radikalnim šifriranjem od konca do konca.
Druga raven ščiti tvojo identiteto in tvoje knjigovodske podatke — z maksimalno anonimizacijo.
Ravni odgovarjata na različne potrebe in uporabljata različna orodja. Vredno ju je razložiti eno za drugo.
Zakaj je potrebna povezava (in kaj to pomeni za zasebnost)
Tehnična predpostavka, preden se lotimo obeh ravni.
Cashfulness deluje samo, če je tvoja naprava povezana z internetom.
Na mobilni napravi ali namizju mora aplikacija znati govoriti z oddaljeno zbirko podatkov, ki živi na naših strežnikih (evropska infrastruktura).
Zakaj ta izbira? Ker morajo tvoji knjigovodski podatki ostati usklajeni med različnimi napravami, ki jih uporabljaš.
Če dodaš transakcijo iz pametnega telefona med malico, jo želiš zvečer ponovno videti na prenosniku. Če narediš obratno, enako.
Brez centralne točke resnice bi se podatki sistematično razhajali med odjemalci, in znašel bi se z dvema neusklajenima kopijama svojega knjigovodstva — majhna nočna mora, ki izniči ves smisel dvostavnega knjigovodstva.
Torej da, tvoje knjigovodstvo poteka prek oddaljenega strežnika.
To ni odpoved zasebnosti: je tehnična nujnost, potrebna, da ti damo knjigovodstvo, ki resnično deluje na več napravah.
Zanimivo vprašanje postane: kako varujemo tvojo zasebnost glede na to omejitev?
Odgovor je v dveh ravneh, ki ti jih zdaj opisujem.
Raven 1 — Radikalno šifriranje od konca do konca za dokumente
Ko začneš uporabljati Cashfulness, boš prej ali slej v aplikacijo želel/-a prinesti svoje dokumente: bančne izpiske, pogodbe o hipoteki ali najemu, položnice za elektriko in plin, zavarovalne police, potrdila o naložbah, poročila skladov, pomembne davčne račune.
Ti dokumenti vsebujejo vse: tvoje polno ime, naslov, davčno številko, IBAN, zneske, sopogodbenike, podrobnosti tvojega življenja.
To je najbolj občutljiva raven od vseh.
Zanje smo naredili najstrožjo možno izbiro: radikalno šifriranje od konca do konca.
Strokovni izraz je šifriranje od konca do konca, ali E2EE.
Da bi razumel/-a, kaj to je, brez strokovnih izrazov, si predstavljaj, da želiš poslati pismo po kurirju.
Imaš dve možnosti.
Možnost 1, standardni model.
Pismo napišeš na čisto, ga daš v kuverto, izročiš kurirju.
Kurir — če želi — lahko odpre kuverto, prebere pismo, si zapiše opombe, nato pa jo znova zapre in dostavi.
Ti zaupaš, da tega ne bo storil, ker je obljubil, da ne bo, morda tudi zato, ker obstajajo zakoni, ki mu to prepovedujejo in ti dajejo neko jamstvo.
A materialno lahko.
Možnost 2, šifriranje od konca do konca.
Pismo napišeš in ga zapreš v kovinsko škatlo, ki se odpre le z določenim ključem.
Ključ imaš ti. Samo ti.
Škatlo izročiš kurirju. Kurir jo prepelje in shrani.
Tudi če bi jo vzel in odnesel domov, je ne bi mogel odpreti, ker nima ključa.
Ko potrebuješ pismo, škatlo znova odpreš sam/-a s svojim ključem in prebereš.
Šifriranje dokumentov od konca do konca v Cashfulnessu je kovinska škatla iz Možnosti 2.
Ko naložiš dokument v aplikacijo, ga tvoja naprava šifrira, preden ga pošlje strežniku. Na strežnik prispe in ostane šifriran.
Za strežnik je vsak tvoj dokument blok digitalnega šuma.
Ključ za dešifriranje obstaja samo na tvoji napravi in izhaja iz tvojega osebnega gesla ter tvojih 24 besed za obnovitev (t. i. seed phrase, danes najtrdnejši standard za generiranje in varovanje osebnih kriptografskih ključev).
Kaj to pomeni v praksi:
- Strežnik Cashfulnessa ne more prebrati tvojih dokumentov. Ne mi, ki smo zgradili aplikacijo, ne tisti, ki upravljajo infrastrukturo, ne morebitni prihodnji napadalec.
- Če bi jutri nekdo vdrl v Cashfulness in ukradel vse dokumente na strežnikih, bi napadalec videl šum. Neuporabno.
- Tudi organ oblasti, ki bi uradno zahteval tvoje dokumente, bi prejel šum. Ne moremo jih izročiti, ker jih nimamo v berljivi obliki.
Obstaja tudi druga plat kovanca, in o njej želimo biti iskreni.
Če izgubiš svoje geslo in zraven izgubiš še 24 besed za obnovitev, tvoji dokumenti postanejo neberljivi tudi zate.
Za vedno.
Ne moremo jih obnoviti, ker tehnično ne moremo prebrati tega, kar si šifriral/-a. Ne obstaja „obnovitev gesla po e-pošti“, ki bi ti vrnila dokumente, ker na drugi strani ni nikogar, ki bi to lahko storil.
Ključ je samo tvoj.
To pomeni svobodo — samo ti lahko dostopaš — in odgovornost — samo ti lahko izgubiš dostop.
To je filozofska izbira. Raje ti damo popoln nadzor, čeprav to vključuje breme varovanja lastnih poverilnic, kot da bi na svojem strežniku hranili „varnostno“ kopijo. Ta kopija bi prej ali slej lahko postala točka ranljivosti.
Ključ, ki obstaja samo na tvojem telefonu, ne bi.
Raven 2 — Maksimalna anonimizacija identitete in knjigovodskih podatkov
Druga raven je drugačna in pokriva vse ostalo: kdo si in kaj počneš v aplikaciji v smislu številk.
Za te podatke smo izbrali drugačno strategijo, ker je težava druge narave.
Dokumenti so „škatle“ z občutljivo vsebino, in smiselno jih je šifrirati v celoti.
Knjigovodski podatki so nasprotno živa struktura: številke, konti, kategorije, gibanja, ki jih potrebuješ vsak dan in na katerih Cashfulness gradi kazalnike finančnega zdravja, ki ti jih prikazuje.
Šifriranje na enak način kot dokumente bi aplikacijo naredilo zelo počasno in v mnogih primerih neuporabno.
Naš odgovor ni absolutno šifriranje. Je maksimalna anonimizacija.
V praksi to pomeni dve stvari.
Cashfulness sploh noče vedeti, kako ti je ime.
Ko se registriraš, te ne prosimo za ime in priimek.
Prosimo te za vzdevek — kakršnega koli želiš, lahko je tudi povsem izmišljen.
Prosimo te za e-pošto za tehnične stike (obnovitev dostopa, servisna sporočila) in geslo.
To je vse.
Nič davčne številke, nič datuma rojstva, nič naslova, nič telefonske številke, nič povezave z bančnim računom, nič preverjanja identitete.
Za Cashfulness si vzdevek z e-pošto. Nič več.
Tvoje knjigovodske prostore je težko razvozlati komur koli, ki nisi ti.
Aplikacija te vabi, da prihodke in odhodke razčleniš v konkretne konte in podkonte. Imena, ki jih daš tem kontom, oznake svojih gibanj, stopnjo podrobnosti, s katero opisuješ svoje finančno življenje — o tem odločaš ti, z besediščem, ki ti je najbolj koristno.
Cashfulness te nikoli ne prosi, da v imena kontov vpišeš osebne podatke: nič davčne številke, nič IBAN-a v naslovih, nič lastnih imen. Imena so operativna (na primer: „Plača“, „Glavni transakcijski račun“, „Stanovanjski kredit“, „Stroški avta“, „Prejete najemnine“): opisujejo funkcijo, ne tebe.
Skupaj ta dva dejavnika — vzdevek, ki ne razkriva, kdo si, in imena kontov, ki opisujejo kaj, ne kdo — tvoje knjigovodstvo naredijo težko razumljivo in nemogoče povezati s tabo za vsakogar, ki ni ti sam/-a.
Konkreten rezultat je tale: tudi če bi nekdo (napadalec, nepošten zaposleni, organ oblasti) lahko pogledal v zbirko podatkov na strani strežnika, bi videl neki vzdevek s kontnim načrtom, saldi in gibanji.
Ne bi vedel, kdo je ta vzdevek.
Ne bi imel načina, kako te številke povezati z resnično osebo za zaslonom.
Videl bi knjigovodstvo brez biografije.
Nekaj praktičnih nasvetov, da ostaneš resnično anonimen/-na
Anonimnost ni samo naša obljuba: je tudi tvoja majhna gesta.
Če želiš, da tvoje knjigovodstvo ostane nerazumljivo vsakomur, ki ni ti, ti priporočamo:
- Konte poimenuj po funkciji, ne po osebi. „Bančni račun“, „Plača“, „Stanovanjski kredit“, „Skupni račun“ delujejo dobro. „Račun Janeza Novaka“ ali izpisan IBAN v naslovu odpirata nepotrebno špranjo.
- Opise transakcij pusti naravno splošne. Po naravi so že take: „zajtrk v kavarni“, „večerja v restavraciji“, „gorivo za avto“, „nakup v trgovini“. Nihče razen tebe ne bi vedel, ali je bila tista večerja v restavraciji v Ljubljani s stranko ali v Mariboru s sestro.
- Za registracijo uporabi psevdonimno e-pošto, če želiš to potegniti do skrajnosti. Tvoja e-pošta služi samo za prijavo in za dostavo servisnih sporočil: nihče te ne obvezuje, da uporabiš „uradno“ v obliki
ime.priimek@domena.si. Povsem v redu je psevdonim, na primeraurora.di.notte@protonmail.com, ali karkoli drugega, kar ti ustreza.
Anonimno je (za nas) tudi plačilo
Ena stvar, ki je bralec navadno ne pričakuje, in jo je vredno povedati jasno.
Za naročnino na Cashfulness te ne prosimo neposredno za kreditno kartico, IBAN ali podatke za obračun. Plačilo poteka prek trgovine, iz katere si prenesel/-la aplikacijo: App Store (Apple) ali Google Play (Google) za mobilne različice, Stripe za plačila s spletne strani.
Te tretje strani vidijo tvoje ime, naslov, kartico ali IBAN — ker tehnično prav one poberejo plačilo. Njim, praviloma, pripada tudi izdaja računov ali davčnih potrdil za tvojo naročnino (po pravilih tvoje države).
Cashfulness, na drugi strani te cevi, prejme samo neto priliv in nepregleden identifikator naročnine (nekaj podobnega sub_abc123).
Nikoli ne vidimo: imena stranke, davčne številke, kreditne kartice, IBAN-a.
Končnim uporabnikom ne izdajamo računov ali davčnih potrdil.
Z drugimi besedami: tudi na poslovni fronti nam o tebi zadošča vedeti, da obstaja aktivna naročnina, vezana na določen vzdevek in določeno psevdonimno e-pošto. Biografija stranke ostane na drugi strani, pri trgovini, in tam tudi ostane.
Težke odločitve, ki iz tega izhajajo
Združitev teh dveh ravni ni brezplačna funkcija.
Je izbira, ki strukturno zapira nekatera vrata, in o teh vratih se splača biti jasen, ker se prav tu vidi cena doslednosti.
Nič podrobnih vedenjskih analitik po profilu.
Ne moremo povezati dejavnosti znotraj aplikacije z resničnimi identitetami, ker resničnih identitet nimamo.
Razvoj izdelka je nekoliko slepejši za individualne vzorce. Precej bolj se opiramo na neposredne povratne informacije, beta teste, kvalitativne intervjuje.
Deluje, a je manj samodejno.
Nič personaliziranih poslovnih priporočil.
Ne rečemo ti „drugi uporabniki, podobni tebi, so kupili X“ na podlagi tvojega profila. Ne vsiljujemo ti izdelkov sponzoriranih partnerjev na podlagi tvojih številk. Model poslovnega profiliranja, ki je kruh mnogih brezplačnih aplikacij, v Cashfulnessu ne obstaja.
Kar pa počnemo — in za to nam je mar, da to jasno povemo — so poti izboljšanja tvojega finančnega položaja: nakazila, kje tvoje številke nakazujejo, da bi lahko privarčeval/-a, kje si sestava premoženja zasluži razmislek, kje bi se meseci pokritosti lahko povečali z majhnimi prilagoditvami.
To so izobraževalna nakazila, zgrajena na tvojih podatkih, in — kadar narava podatkov to zahteva — izračunana na tvoji napravi, na lokalni dešifrirani kopiji.
Pomembno pojasnilo: Cashfulness ne daje personaliziranih investicijskih nasvetov. To je področje finančnih svetovalcev, vpisanih v ustrezen register, in to iz dobrih razlogov: gre za regulirano dejavnost, ki zahteva strokovno znanje, odgovornost in zaupno razmerje, drugačno od tistega med tabo in aplikacijo. Cashfulness ti pomaga videti jasno, ne pa izbrati sklad, ki ga boš kupil/-a naslednji teden.
Obvestila in glasilo: samo če to želiš ti, nikoli privzeto.
To, da smo alergični na poslovno profiliranje, ne pomeni, da smo nema platforma.
Cashfulness ti lahko pošlje koristne stvari — in ko rečem „koristne“, mislim resnično zate, ne za tretje strani: opozorilo, če proračun kmalu preseže mejo, predloge, kje tvoje številke kažejo, da bi lahko privarčeval/-a, kratko občasno glasilo z izobraževalnimi razmisleki o osebnih financah in novostmi izdelka.
Vse to je opt-in: vklopiš ga ti, ob registraciji ali kasneje, kadar želiš, in izklopiš, kadar želiš.
Nobeno polje ni že privzeto obkljukano. Tvoja e-pošta — čeprav psevdonimna — nam služi samo za dostavo tega, kar si zahteval/-a, ne za zasledovanje s sporočili, ki jih nisi želel/-a.
UI strogo skladen z obema ravnema zasebnosti.
Funkcionalnosti umetne inteligence, ki jih Cashfulness razvija ali jih bo razvil, spoštujejo razliko, ki smo jo opisali zgoraj.
Pri dokumentih (izpiski, pogodbe, položnice, police) se obdelave UI, ki zahtevajo branje vsebine, izvajajo na tvoji napravi, na lokalni dešifrirani kopiji. Strežnik nikoli ne vidi vsebine teh dokumentov.
Pri knjigovodskih podatkih (saldih, gibanjih, kategorijah tvojega vzdevka) morebitne obdelave na strani strežnika tečejo na številkah brez matične identitete — „knjigovodstvu brez biografije“, o katerem sem govoril prej. UI ti lahko pomaga zaznati koristne vzorce (na primer, opozori te na strošek, ki izstopa iz tvojega običajnega vzorca, ali predlaga, kje krčiti), a nikoli ne more teh številk povezati z resničnim imenom in priimkom.
Česar ne bomo storili, je zgraditi model UI, ki bi kdo si povezal s tvojim finančnim življenjem — ker „kdo si“, v Cashfulnessu, nimamo.
Nič prodaje agregiranih podatkov, ki bi jih bilo mogoče povezati z osebami.
Ne moremo prodajati „naborov podatkov o porabi po starostnih skupinah in kraju bivanja“ bankam, raziskovalnim inštitutom, oglaševalskim agencijam. Osebnih in bivalnih podatkov nimamo.
To bi bil pomemben vir prihodkov. Namerno smo ga izločili iz poslovnega modela.
Poslovna posledica teh odločitev je jasna: da se vzdržujemo, živimo izključno od neposrednih naročnin uporabnikov.
Minimalna brezplačna raven, naročnina Premium, naročnina Ultra.
Nič oglaševanja, nič prodaje podatkov, nič partnerstev, ki bi zahtevala dostop do podatkov uporabnikov.
Gre za model, ki je strožji od tržnega standarda, a je pošten in edini, ki Cashfulnessu omogoča, da izpolni obljubo, ki jo da na prvem zaslonu uvajanja.
Posledica, ki nam je pri tem modelu všeč: vsak uporabnik, ki se odloči plačati za Cashfulness, je uporabnik, ki resnično želi izdelek.
Ni dinamike, po kateri je „izdelek brezplačen, ker si izdelek ti“.
Ti si stranka, izdelek pa je tisto, za kar plačaš.
Tudi partnerstva spoštujejo to pravilo
Obstaja vprašanje, ki nam ga bo prej ali slej nekdo zastavil — in ga je vredno predvideti.
Če bi se Cashfulness v prihodnosti odprl integracijam z drugimi finančnimi storitvami (primerjalniki tarif, zavarovalniškimi posredniki, upravitelji naložb), bi ti dve ravni zaščite ostali v veljavi?
Da, in pravilo formuliramo takole: če Cashfulness integrira zunanjega partnerja, bo klic partnerju vedno sprožila tvoja naprava, na tvojo konkretno zahtevo, za določeno postavko.
Nikoli združeno na strani strežnika.
Nikoli samodejno.
Nikoli brez tvoje zavestne geste.
Naj navedem konkreten primer, čeprav gre za prihodnjo in hipotetično stvar.
Recimo, da si v Cashfulness naložil/-a svoj račun za elektriko in želiš vedeti, ali obstaja boljša ponudba na trgu.
V standardni aplikaciji bi sistem samodejno poslal partnerju podatke iz računa (in morda še druge kontekstne podatke), prejel odgovor in ti ga prikazal.
V modelu Cashfulness pa boš na tem konkretnem računu videl/-a gumb „preveri pri [partner]“.
Ko ga pritisneš, tvoj telefon prenese račun iz arhiva Cashfulness, ga lokalno dešifrira — spomnimo se namreč: naloženi dokumenti so šifrirani od konca do konca in samo tvoja naprava ima ključ, da jih prebere v berljivi obliki —, izloči le podatke, potrebne za preverjanje (poraba, tarifni razred, trenutni dobavitelj), jih pošlje neposredno partnerju, ne da bi šli prek našega strežnika, in ti prikaže odgovor.
Strežnik Cashfulnessa tudi v tem scenariju ni videl ničesar.
Ne dokumenta, ne številk, ne tvoje identitete.
To ni zapoznela koncesija zasebnosti.
To je način, kako po našem mnenju partnerstva morajo delovati v osebnih financah.
Tehnično je bolj nerodno zgraditi — zahteva SDK na strani naprave, natančno avtentikacijo, upravljanje poverilnic na telefonu —, a je edini način, ki je skladen z obljubo blagovne znamke.
Partnerstva, ki bodo od Cashfulnessa zahtevala združen dostop do podatkov na strani strežnika, bodo vljudno prejela ne.
Obljuba, v enem stavku
To je obljuba, strnjena v stavek, za katerega bi si želeli, da ostane:
Cashfulness ne ve, kdo si, ne bere tvojih dokumentov, ne razume tvojih številk. Samo ti imaš vse ključe.
Trije različni glagoli za tri različne ravni.
Ne ve, kdo si: ker mu tega ne poveš. Uporabljal/-a boš vzdevek, in to ti bo zadostovalo.
Ne bere tvojih dokumentov: ker so šifrirani s ključem, ki ga imaš samo ti.
Ne razume tvojih številk: ker so brez tvojega konteksta knjigovodstvo brez biografije.
Vsi ostali deli izdelka se opirajo na ta stavek.
Kazalniki finančnega zdravja, razlika med Aktivum+ in Aktivum-, nevidno dvostavno knjigovodstvo, tedenski ritual desetih minut — vse stvari, o katerih govorimo v drugih člankih tega bloga — resnično delujejo le, če nad njimi obstaja strop zasebnosti, ki jih naredi resnično tvoje, ne le v jeziku trženja.
Če to iščeš, si na pravem mestu.
Čakamo te na beta čakalni listi na cashfulness.com/beta.
Če pa raje želiš aplikacijo, ki analizira tvoje vedenje, da bi ti bolje svetovala v zameno za del tvoje zasebnosti, je to legitimna izbira — v tem ni nič slabega —, a mi ne bomo to mesto.
V redu je tudi tako.
Cashfulness je zasnovan za ljudi, pri katerih morajo domače številke ostati doma, in se zelo dobro zaveda, da je ena izbira med drugimi.
— Vittorio