Shumica e aplikacioneve falas që ke në telefon nuk janë falas.
Të ofrohen në këmbim të të dhënave të tua.
Është një shkëmbim.
Është transparent në parim, dhe në shumë raste është edhe një shkëmbim që ia vlen ta bësh — nuk ka asnjë skandal ta pranosh.
Edhe shumë aplikacione financash personale funksionojnë kështu.
Të japin një mjet gjurmimi falas ose pothuajse falas, dhe në këmbim mbledhin të dhënat e shpenzimeve të tua për të prodhuar raporte tregu, rekomandime të personalizuara, sugjerime reklamash, profilizim, partneritete tregtare.
Edhe këtu, në parim, është një zgjedhje legjitime e ofruesit.
Ti në një çast pranon kushtet e shërbimit dhe vazhdon.
Cashfulness ka bërë një zgjedhje tjetër.
Jo për të gjykuar aplikacionet e tjera — secili ndërton modelin e vet, dhe shumë e bëjnë me ndershmëri — por sepse besojmë se financat personale meritojnë një trajtim tjetër.
Është një fushë ku mjegulla është tashmë e mjaftueshme, dhe ku vetëdija se dikush (qoftë edhe në teori) mund të shohë numrat e tu ia heq vetë kuptimin produktit.
Qetësia për të cilën flasim, nëse të dhënat nuk janë të sigurta, është një premtim i zbrazët.
Për këtë e ndërtuam Cashfulness rreth një zgjedhjeje të saktë teknike, të shkruar në themelet e kodit, që funksionon në dy nivele.
Niveli i parë mbron dokumentet që sjell brenda Cashfulness — me enkriptim fund-e-fund (end-to-end encryption, E2EE) radikal.
Niveli i dytë mbron identitetin tënd dhe të dhënat kontabël — me anonimizim maksimal.
Të dy nivelet i përgjigjen nevojave të ndryshme dhe përdorin mjete të ndryshme. Ia vlen t'i shpjegojmë një nga një.
Pse duhet lidhje (dhe çfarë do të thotë kjo për privatësinë)
Një premisë teknike, para se të hyjmë në dy nivelet.
Cashfulness funksionon vetëm nëse pajisja jote është online.
Në celular apo desktop, aplikacioni duhet të mund të komunikojë me një bazë të dhënash të largët që jeton në serverët tanë (infrastrukturë evropiane).
Pse kjo zgjedhje? Sepse të dhënat e tua kontabël duhet të mbeten të sinkronizuara mes pajisjeve të ndryshme që përdor.
Nëse shton një transaksion nga smartphone gjatë pushimit të drekës, do të duash ta shohësh mbrëma nga laptopi. Nëse bën të kundërtën, njësoj.
Pa një pikë të vetme reference qendrore, të dhënat do të divergonin sistematikisht mes klientëve, dhe do të përfundoje me dy kopje jokonsistente të kontabilitetit tënd — një makth i vogël që zhbën tërë kuptimin e kontabilitetit me hyrje të dyfishtë.
Pra po, kontabiliteti yt kalon nëpër një server të largët.
Nuk është heqje dorë nga privatësia: është kufizimi teknik i domosdoshëm për të të dhënë një kontabilitet që funksionon vërtet në disa pajisje.
Pyetja interesante bëhet: si mbrojmë privatësinë tënde përballë këtij kufizimi?
Përgjigjja qëndron te dy nivelet që po të tregoj tani.
Niveli 1 — Enkriptim fund-e-fund radikal për dokumentet
Kur fillon të përdorësh Cashfulness, herët a vonë do të duash të sjellësh brenda aplikacionit dokumentet e tua: nxjerrje llogarie bankare, kontrata kredie shtëpie apo qiraje, fatura drite dhe gazi, polica sigurimi, certifikata investimesh, pasqyra fondesh, fatura tatimore të rëndësishme.
Këto dokumente përmbajnë gjithçka: emrin tënd të plotë, adresën, numrin e identifikimit, IBAN-in, shuma, palët kontraktuese, detaje të jetës tënde.
Është niveli më i ndjeshëm nga të gjithë.
Për to bëmë zgjedhjen më të rreptë të mundshme: enkriptim fund-e-fund radikal.
Termi teknik është enkriptim fund-e-fund, ose E2EE.
Për ta kuptuar pa terma teknikë, imagjino se do të dërgosh një letër me korrier.
Ke dy zgjedhje.
Zgjedhja 1, modeli standard.
Shkruan letrën haptas, e vë në zarf, ia jep korrierit.
Korrieri — nëse do — mund ta hapë zarfin, ta lexojë letrën, të marrë shënime, dhe pastaj ta rimbyllë e ta dorëzojë.
Ti beson se nuk do ta bëjë sepse ka premtuar që s'do ta bëjë, ndoshta sepse ka ligje që ia ndalojnë dhe të japin ndonjë garanci.
Por materialisht, mundet.
Zgjedhja 2, enkriptimi fund-e-fund.
Shkruan letrën, e mbyll në një kuti metalike që hapet vetëm me një çelës të caktuar.
Çelësin e ke ti. Vetëm ti.
Ia jep kutinë korrierit. Korrieri e transporton dhe e ruan.
Edhe sikur ta merrte dhe ta çonte në shtëpi, s'do të mund ta hapte, sepse s'ka çelësin.
Kur të duhet letra, ti vetë e hap kutinë me çelësin tënd, dhe lexon.
Enkriptimi fund-e-fund i dokumenteve në Cashfulness është kutia metalike e Zgjedhjes 2.
Kur ngarkon një dokument në aplikacion, vetë pajisja jote e enkripton para se ta dërgojë te serveri. Te serveri arrin i enkriptuar dhe mbetet i enkriptuar.
Për serverin, çdo dokument yti është një bllok zhurme dixhitale.
Çelësi për ta dekriptuar ekziston vetëm në pajisjen tënde, i nxjerrë nga fjalëkalimi yt personal dhe 24 fjalët e rikuperimit (e ashtuquajtura seed phrase, standardi më i qëndrueshëm i disponueshëm sot për të gjeneruar dhe mbrojtur çelësa kriptografikë personalë).
Çfarë do të thotë kjo në praktikë:
- Serveri i Cashfulness nuk mund t'i lexojë dokumentet e tua. As ne që ndërtuam aplikacionin, as ata që administrojnë infrastrukturën, as ndonjë sulmues i mundshëm i së ardhmes.
- Nëse nesër Cashfulness do të shkelej dhe të gjitha dokumentet në serverë do të vidheshin, sulmuesi do të shihte zhurmë. Të papërdorshme.
- Edhe një autoritet që kërkon zyrtarisht dokumentet e tua do të merrte zhurmë. Nuk mund t'ia japim, sepse s'i kemi në formë të lexueshme.
Ka një anë tjetër të medaljes, dhe duam të jemi të sinqertë për këtë.
Nëse humb fjalëkalimin tënd dhe humb edhe 24 fjalët e rikuperimit, dokumentet e tua bëhen të palexueshme edhe për ty.
Përgjithmonë.
Nuk mund t'i rikuperojmë, sepse teknikisht nuk mund të lexojmë çfarë ke enkriptuar. Nuk ka „rivendosje fjalëkalimi me email“ që t'i kthejë dokumentet, sepse nuk ka njeri në anën tjetër që ta bëjë këtë.
Çelësi është vetëm yti.
Kjo do të thotë liri — je i vetmi që mund të aksesosh — dhe përgjegjësi — je i vetmi që mund ta humbë aksesin.
Është një zgjedhje filozofie. Preferojmë të të japim kontrollin e plotë, edhe pse kjo përfshin barrën për të ruajtur kredencialet e tua, sesa të mbajmë një kopje „sigurie“ në serverin tonë. Ajo kopje, herët a vonë, mund të bëhej pikë komprometimi.
Një çelës që ekziston vetëm në telefonin tënd, jo.
Niveli 2 — Anonimizim maksimal për identitetin dhe të dhënat kontabël
Niveli i dytë është i ndryshëm, dhe mbulon gjithçka tjetër: kush je dhe çfarë bën brenda aplikacionit në terma numrash.
Për këto të dhëna zgjodhëm një strategji tjetër, sepse problemi është i natyrës tjetër.
Dokumentet janë „kuti“ me përmbajtje të ndjeshme, dhe ka kuptim t'i enkriptosh tërësisht.
Të dhënat kontabël, përkundrazi, janë një strukturë e gjallë: numra, llogari, kategori, lëvizje që të duhen çdo ditë, dhe mbi to Cashfulness ndërton treguesit e shëndetit financiar që të shfaq.
T'i enkriptonim njësoj si dokumentet do ta bënte aplikacionin jashtëzakonisht të ngadaltë dhe në shumë raste të papërdorshëm.
Përgjigjja jonë nuk është enkriptimi absolut. Është anonimizimi maksimal.
Në praktikë kjo do të thotë dy gjëra.
Cashfulness as nuk do të dijë si të quajnë.
Kur regjistrohesh, nuk të kërkojmë emër e mbiemër.
Të kërkojmë një nickname — çfarëdo që të duash ti, mund të jetë edhe thjesht fantazi.
Të kërkojmë një email për kontakte teknike (rikuperim aksesi, komunikime shërbimi), dhe një fjalëkalim.
Kaq.
Asnjë numër identifikimi, asnjë datëlindje, asnjë adresë, asnjë numër telefoni, asnjë lidhje me llogarinë tënde bankare, asnjë verifikim identiteti.
Për Cashfulness, je një nickname me një email. Asgjë më shumë.
Hapësirat e tua kontabël janë të vështira për t'u deshifruar nga kushdo që nuk je ti.
Aplikacioni të fton të organizosh të ardhurat dhe shpenzimet në llogari dhe nënllogari specifike. Emrat që u jep atyre llogarive, etiketat e lëvizjeve të tua, niveli i detajimit me të cilin përshkruan jetën tënde financiare — i vendos ti, me fjalorin që të shërben më shumë.
Cashfulness s'të kërkon kurrë të vësh të dhëna personale brenda emrave të llogarive: asnjë numër identifikimi, asnjë IBAN në titujt, asnjë emër vetjak. Emrat janë funksionalë (për shembull: „Rroga“, „Llogaria kryesore rrjedhëse“, „Kredia e shtëpisë“, „Shpenzimet e makinës“, „Qiratë e arkëtuara“): përshkruajnë një funksion, jo ty.
Të kombinuara, këto dy faktorë — një nickname që s'zbulon kush je, dhe emra llogarish që përshkruajnë çfarë, jo kush — e bëjnë kontabilitetin tënd të vështirë për t'u kuptuar dhe të pamundur për t'u lidhur me ty për këdo që s'je ti vetë.
Rezultati konkret është ky: edhe nëse dikush (një sulmues, një punonjës i pandershëm, një autoritet) do të mund të shihte bazën e të dhënave nga ana e serverit, do të shihte një nickname të caktuar me një plan llogarish, gjendje dhe lëvizje.
Nuk do të dijë kush është ai nickname.
Nuk do të ketë mënyrë ta lidhë ato numra me personin real pas ekranit.
Do të shihte një kontabilitet pa biografi.
Disa këshilla praktike për të mbetur vërtet anonim
Anonimiteti s'është vetëm premtimi ynë: është edhe një gjest i vogël yti.
Nëse do që kontabiliteti yt të jetë i pakuptueshëm për këdo që s'je ti, të këshillojmë:
- Emërto llogaritë sipas funksionit, jo sipas personit. „Llogaria e bankës“, „Rroga“, „Kredia e shtëpisë“, „Llogaria e përbashkët“ funksionojnë mirë. Një „Llogaria e Agron Krasniqit“ ose një IBAN i plotë në titull hapin një çarje të panevojshme.
- Lëri përshkrimet e transaksioneve natyrshëm të përgjithshme. Nga natyra e tyre janë tashmë kështu: „mëngjes në kafene“, „darkë në restorant“, „mbushje karburanti“, „pazar supermarketi“. Askush veç teje nuk do të kuptonte nëse ajo darka në restorant ishte në Tiranë me një klient apo në Shkodër me motrën tënde.
- Përdor një email pseudonim për regjistrimin, nëse do ta shtysh deri në ekstrem. Emaili yt shërben vetëm për hyrjen dhe për të marrë komunikime shërbimi: askush s'të detyron të përdorësh një „zyrtar“ të tipit
emri.mbiemri@domain.al. Është plotësisht në rregull një pseudonim i tipitaurora.e.nates@protonmail.comose çfarëdo tjetër që të përshtatet.
Edhe pagesa është anonime (për ne)
Një pikë që lexuesi zakonisht nuk e pret, dhe që ia vlen ta themi qartë.
Për abonimet e Cashfulness s'të kërkojmë direkt kartë krediti, IBAN, apo të dhëna faturimi. Pagesa kalon nëpër dyqanin nga ku ke shkarkuar aplikacionin: App Store (Apple) apo Google Play (Google) për versionet mobile, Stripe për pagesat nga faqja e internetit.
Janë këto palë të treta që shohin emrin tënd, adresën, kartën e kreditit apo IBAN-in — sepse teknikisht ata janë që arkëtojnë. Atyre u takon, si rregull, edhe lëshimi i faturave apo kuponëve tatimorë për abonimin tënd (sipas rregullave të vendit tënd).
Cashfulness, në anën tjetër të asaj tubi, merr vetëm arkëtimin neto dhe një identifikues të errët të abonimit (diçka si sub_abc123).
S'shohim kurrë: emrin e klientit, numrin e identifikimit, kartën e kreditit, IBAN-in.
S'lëshojmë fatura apo kuponë tatimorë për përdoruesit fundorë.
Me fjalë të tjera: edhe në frontin tregtar, na mjafton të dimë se ekziston një abonim aktiv i lidhur me një nickname të caktuar dhe një email pseudonim të caktuar. Biografia e klientit qëndron në anën tjetër, te dyqani, dhe atje mbetet.
Zgjedhjet e vështira që rrjedhin nga kjo
Të bashkosh këto dy nivele nuk është veçori falas.
Është një zgjedhje që mbyll disa dyer në mënyrë strukturore, dhe për këto dyer ia vlen të jemi eksplicitë, sepse këtu shihet çmimi i qëndrueshmërisë.
Asnjë analitikë e detajuar sjelljeje sipas profilit.
S'mund të korrelojmë aktivitetin brenda aplikacionit me identitete reale, sepse identitetet reale nuk i kemi.
Zhvillimi i produktit është pak më i verbër ndaj modeleve individuale. Mbështetemi shumë më tepër te feedback-u i drejtpërdrejtë, testet beta, intervistat cilësore.
Funksionon, por është më pak automatik.
Asnjë rekomandim tregtar i personalizuar.
S'të themi „përdorues të tjerë si ti kanë blerë X“ nisur nga profili yt. S'të shtyjmë produkte partnerësh të sponsorizuar bazuar te numrat e tu. Modeli i profilizimit tregtar, buka e shumë aplikacioneve falas, në Cashfulness nuk ekziston.
Ajo që bëjmë përkundrazi — dhe duam ta themi qartë — janë rrugë përmirësimi të situatës tënde financiare: tregues se ku numrat e tu sugjerojnë se mund të kursesh, ku përbërja e pasurisë meriton një mendim, ku muajt e mbulimit mund të rriteshin me rregullime të vogla.
Janë tregues edukativë, ndërtuar mbi të dhënat e tua, dhe — kur natyra e të dhënave e kërkon — të llogaritur në pajisjen tënde, mbi një kopje të dekriptuar lokalisht.
Një sqarim i rëndësishëm: Cashfulness s'jep këshilla investimi të personalizuara. Ai është territor i këshilltarëve financiarë të regjistruar në regjistrin përkatës, dhe me arsye të mira: është aktivitet i rregulluar që kërkon ekspertizë, përgjegjësi dhe një marrëdhënie besimi ndryshe nga ajo mes teje dhe një aplikacioni. Cashfulness të ndihmon të shohësh qartë, jo të zgjedhësh fondin që do të blesh javën tjetër.
Njoftime dhe buletin: vetëm nëse i do ti, kurrë si parazgjedhje.
Fakti që jemi alergjikë ndaj profilizimit tregtar s'do të thotë se jemi një platformë e heshtur.
Cashfulness mund të të dërgojë gjëra të dobishme — dhe kur them „të dobishme“ e kam fjalën vërtet për ty, jo për palë të treta: alarme nëse një buxhet po del jashtë limitit, sugjerime se ku numrat e tu tregojnë se mund të kursesh, një buletin i shkurtër periodik me reflektime edukative mbi financat personale dhe risi të produktit.
E gjithë kjo është opt-in: e aktivizon ti gjatë regjistrimit ose më vonë, kur do, dhe e çaktivizon kur do.
Asnjë kuti nuk është e shënuar tashmë si parazgjedhje. Emaili yt — edhe pse pseudonim — na shërben vetëm për të dorëzuar atë që kërkove, jo për të të ndjekur me mesazhe që s'i ke dashur.
AI rreptësisht në përputhje me dy nivelet e privatësisë.
Funksionalitetet e inteligjencës artificiale që Cashfulness zhvillon apo do të zhvillojë respektojnë dallimin që përshkruam më sipër.
Te dokumentet (nxjerrje llogarie, kontrata, fatura, polica) përpunimet AI që kërkojnë të lexojnë përmbajtjen ndodhin në pajisjen tënde, mbi një kopje të dekriptuar lokalisht. Serveri s'e sheh kurrë përmbajtjen e atyre dokumenteve.
Te të dhënat kontabël (gjendjet, lëvizjet, kategoritë e nickname-it tënd) përpunimet eventuale në anën e serverit funksionojnë mbi numra pa identitet civil — „kontabiliteti pa biografi“ për të cilin flisja më parë. AI mund të të ndihmojë të lexosh modele të dobishme (për shembull, të të sinjalizojë një shpenzim jashtë shkallës krahasuar me zakonin tënd, apo të sugjerojë ku të prish), por pa mundur kurrë t'i lidhë ato numra me një emër e mbiemër real.
Ajo që nuk do të bëjmë është të ndërtojmë një model AI që lidh kush je me jetën tënde financiare — sepse „kush je“, në Cashfulness, s'e kemi.
Asnjë shitje të dhënash të agreguara që lidhen me persona.
S'mund të shesim „bashkësi të dhënash shpenzimesh sipas grupmoshës dhe vendbanimit“ te bankat, institutet kërkimore, agjencitë reklamuese. Të dhënat civile dhe të vendbanimit s'i kemi.
Do të kishte qenë një kanal i konsiderueshëm të ardhurash. E hoqëm qëllimisht nga modeli i biznesit.
Pasoja tregtare e këtyre zgjedhjeve është e qartë: për t'u mbajtur jetojmë vetëm nga abonimet e drejtpërdrejta të përdoruesve.
Nivel falas minimal, abonim Premium, abonim Ultra.
Asnjë reklamë, asnjë shitje të dhënash, asnjë partneritet që kërkon akses te të dhënat e përdoruesve.
Është një model më i ngushtë se standardi i tregut, por është i ndershëm, dhe është i vetmi që lejon Cashfulness të mbajë premtimin që bën në ekranin e parë të onboardingut.
Një pasojë që na pëlqen e këtij modeli: çdo përdorues që zgjedh të paguajë për Cashfulness është një përdorues që vërtet do produktin.
S'ka dinamikën ku „produkti është falas sepse ti je produkti“.
Ti je klienti, dhe produkti është ajo për të cilën paguan.
Edhe partneritetet respektojnë këtë rregull
Ka një pyetje që herët a vonë do të na bëhet — dhe që ia vlen ta paraprijmë.
Nëse në të ardhmen Cashfulness do të hapej ndaj integrimeve me shërbime të tjera financiare (krahasues tarifash, ndërmjetës sigurimesh, menaxherë investimesh), a do të mbeteshin këto dy nivele mbrojtjeje?
Po, dhe rregullin e formulojmë kështu: nëse Cashfulness integron një partner të jashtëm, thirrja drejt partnerit do të nisë gjithmonë nga pajisja jote, me kërkesën tënde specifike, për një zë të caktuar.
Kurrë e agreguar nga ana e serverit.
Kurrë automatike.
Kurrë pa gjestin tënd të vetëdijshëm.
Po jap një shembull konkret, sado i ardhshëm dhe hipotetik.
Supozo se ke ngarkuar në Cashfulness faturën tënde të dritës dhe do të dish nëse ka ofertë më të mirë në treg.
Në një aplikacion standard, sistemi do t'i dërgonte automatikisht partnerit të dhënat e faturës (dhe ndoshta të dhëna të tjera konteksti), do të merrte përgjigjen, dhe do ta shfaqte.
Në modelin Cashfulness, përkundrazi, do të shohësh një buton „verifiko me [partner]“ në atë faturë specifike.
Kur e shtyp, telefoni yt shkarkon faturën nga arkivi i Cashfulness, e dekripton lokalisht — sepse le ta mbajmë mend: dokumentet e ngarkuara janë të enkriptuara fund-e-fund dhe vetëm pajisja jote ka çelësin për t'i lexuar hapur — nxjerr vetëm të dhënat e nevojshme për verifikimin (konsumi, shkalla, furnizuesi aktual), i dërgon direkt partnerit pa kaluar nga serveri ynë, dhe të shfaq përgjigjen.
Serveri i Cashfulness, edhe në këtë skenar, s'ka parë asgjë.
As dokumentin, as numrat, as identitetin tënd.
Kjo nuk është një lëshim i vonuar ndaj privatësisë.
Është mënyra si mendojmë se duhet të funksionojnë partneritetet në financat personale.
Është më e vështirë të ndërtohet teknikisht — kërkon SDK nga ana e pajisjes, autentikim të hollë, menaxhim kredencialesh në telefon — por është mënyra e vetme koherente me premtimin e markës.
Partneritetet që do t'i kërkojnë Cashfulness akses të agreguar nga ana e serverit te të dhënat do të marrin me mirësjellje një jo.
Premtimi, në një fjali
Ky është premtimi, i përmbledhur në një fjali që do të donim të mbetej:
Cashfulness nuk di kush je, nuk lexon dokumentet e tua, nuk kupton numrat e tu. Vetëm ti i ke të gjithë çelësat.
Tri folje të ndryshme për tri nivele të ndryshme.
Nuk di kush je: sepse s'ia thua. Do të përdorësh një nickname, dhe kaq të mjafton.
Nuk lexon dokumentet e tua: sepse janë të enkriptuara me një çelës që ke vetëm ti.
Nuk kupton numrat e tu: sepse pa kontekstin tënd janë një kontabilitet pa biografi.
Gjithë pjesa tjetër e produktit mbështetet mbi këtë fjali.
Treguesit e shëndetit financiar, dallimi mes Aktiveve+ dhe Aktiveve-, kontabiliteti i padukshëm me hyrje të dyfishtë, rituali javor dhjetëminutësh — të gjitha gjëra për të cilat flasim në artikujt e tjerë të këtij blogu — funksionojnë vërtet vetëm nëse sipër tyre ka një tavan privatësie që i bën vërtet të tuat, jo vetëm në gjuhën e marketingut.
Nëse kjo është ajo që kërkon, je në vendin e duhur.
Të presim në listën e pritjes së betas te cashfulness.com/beta.
Nëse përkundrazi preferon një aplikacion që analizon sjelljet e tua për të të këshilluar më mirë në këmbim të një pjese të privatësisë tënde, është një zgjedhje legjitime — s'ka asgjë të keqe — por s'do të jemi ne ai vend.
S'ka gjë.
Cashfulness është menduar për njerëzit për të cilët numrat e shtëpisë duhet të mbeten brenda shtëpisë, dhe e di shumë mirë se është një zgjedhje mes të tjerash.
— Vittorio