Већина бесплатних апликација које имаш на телефону нису бесплатне.
Нуде ти их у замену за твоје податке.
То је размена.
У начелу је транспарентна, а у многим случајевима је то и размена која се исплати — нема ту никаквог скандала.
Тако функционишу и многе апликације за личне финансије.
Дају ти алат за праћење трошкова бесплатно или скоро бесплатно, а заузврат прикупљају твоје податке о потрошњи да би произвели тржишне извештаје, персонализоване препоруке, рекламне предлоге, профилисање, комерцијална партнерства.
И ту је, у начелу, легитиман избор пружаоца услуге.
Ти за трен прихваташ услове коришћења и настављаш даље.
Cashfulness је направио другачији избор.
Не да бисмо осуђивали друге апликације — свако гради свој модел, и многи то раде поштено — већ зато што верујемо да личне финансије заслужују другачији третман.
То је подручје у коме је магла већ довољно густа, и где сама свест да неко (макар и теоретски) може погледати твоје бројеве одузима смисао самом производу.
Мир о коме говоримо, ако подаци нису безбедни, је празно обећање.
Зато смо изградили Cashfulness око прецизног техничког избора, уписаног у темеље кода, који функционише на два нивоа.
Први ниво штити документа која уносиш у Cashfulness — радикалним шифровањем с краја на крај (end-to-end encryption, E2EE).
Други ниво штити твој идентитет и твоје књиговодствене податке — максималном анонимизацијом.
Ова два нивоа одговарају различитим потребама и користе различите алате. Вреди их објаснити један по један.
Зашто је потребна веза (и шта то значи за приватност)
Једна техничка премиса, пре него што уђемо у два нивоа.
Cashfulness функционише само ако је твој уређај на мрежи.
На мобилном или рачунару, апликација мора моћи да комуницира са удаљеном базом података која живи на нашим серверима (европска инфраструктура).
Зашто овај избор? Зато што твоји књиговодствени подаци морају остати синхронизовани између различитих уређаја које користиш.
Ако додаш трансакцију са паметног телефона у паузи за ручак, желиш да је увече поново видиш са лаптопа. Ако урадиш обрнуто, исто важи.
Без једне централне тачке истине, подаци би системски одступали између клијената, и завршио би са две неусклађене копије свог књиговодства — мала ноћна мора која поништава сав смисао двојног књиговодства.
Дакле да, твоје књиговодство пролази кроз удаљени сервер.
То није одрицање од приватности: то је технички услов неопходан да ти дамо књиговодство које стварно функционише на више уређаја.
Занимљиво питање постаје: како штитимо твоју приватност с обзиром на овај услов?
Одговор лежи у два нивоа која ти сада описујем.
Ниво 1 — Радикално шифровање с краја на крај за документа
Кад почнеш да користиш Cashfulness, пре или касније ћеш пожелети да унесеш у апликацију своја документа: изводе из банке, уговоре о стамбеном кредиту или закупу, рачуне за струју и гас, полисе осигурања, потврде о инвестицијама, извештаје фондова, важне пореске рачуне.
Ова документа садрже све: твоје пуно име, адресу, ЈМБГ, IBAN, износе, друге уговорне стране, детаље твог живота.
То је најосетљивији ниво од свих.
За њих смо направили најстрожи могући избор: радикално шифровање с краја на крај.
Технички термин је шифровање с краја на крај, или E2EE.
Да би без стручних термина разумео шта је то, замисли да желиш да пошаљеш писмо преко курира.
Имаш два избора.
Избор 1, стандардни модел.
Напишеш писмо отворено, ставиш га у коверту, даш је куриру.
Курир — ако жели — може отворити коверту, прочитати писмо, направити белешке, а онда је поново затворити и доставити.
Ти верујеш да то неће учинити зато што је обећао да неће, можда зато што постоје закони који му то забрањују и дају ти неку гаранцију.
Али физички, може.
Избор 2, шифровање с краја на крај.
Напишеш писмо, закључаш га у металну кутију која се отвара само одређеним кључем.
Кључ имаш ти. Само ти.
Даш кутију куриру. Курир је превози и чува.
Чак и да је однесе кући, не би могао да је отвори, јер нема кључ.
Кад ти затреба писмо, ти сам отвориш кутију својим кључем, и читаш.
Шифровање с краја на крај докумената у Cashfulness је метална кутија из Избора 2.
Кад отпремиш документ у апликацију, твој уређај га шифрује пре него што га пошаље на сервер. На сервер стиже шифровано и остаје шифровано.
За сервер је свако твоје документо блок дигиталне буке.
Кључ за дешифровање постоји само на твом уређају, изведен из твоје личне лозинке и твојих 24 речи за опоравак (тзв. seed phrase, најсолиднији стандард који данас постоји за генерисање и заштиту личних криптографских кључева).
Шта то значи у пракси:
- Сервер Cashfulness не може да прочита твоја документа. Ни ми који смо изградили апликацију, ни они који управљају инфраструктуром, ни евентуални будући нападач.
- Ако сутра Cashfulness буде хакован и сва документа на серверима украдена, нападач би видео буку. Неупотребљиво.
- Чак би и власт која формално затражи твоја документа добила буку. Не можемо да их дамо, јер их немамо у читљивом облику.
Постоји и друга страна медаље, и о томе желимо да будемо искрени.
Ако изгубиш своју лозинку и изгубиш и 24 речи за опоравак, твоја документа постају нечитљива чак и за тебе.
Заувек.
Не можемо их вратити, јер технички не можемо прочитати оно што си шифровао. Не постоји „ресетовање лозинке путем имејла“ које би ти вратило документа, јер нема никог на другој страни ко би то могао да уради.
Кључ је само твој.
То значи слободу — само ти можеш приступити — и одговорност — само ти можеш изгубити приступ.
То је филозофски избор. Радије ти дајемо потпуну контролу, иако то укључује терет чувања твојих креденцијала, него да држимо „резервну“ копију на нашем серверу. Та копија би, пре или касније, могла постати тачка компромитације.
Кључ који постоји само на твом телефону, не.
Ниво 2 — Максимална анонимизација идентитета и књиговодствених података
Други ниво је другачији, и покрива све остало: ко си и шта радиш унутар апликације у смислу бројева.
За ове податке смо изабрали другачију стратегију, јер је проблем другачије природе.
Документа су „кутије“ са осетљивим садржајем, и има смисла шифровати их у целини.
Књиговодствени подаци, насупрот томе, су жива структура: бројеви, налози, категорије, промете који су ти потребни сваки дан, и на којима Cashfulness гради показатеље финансијског здравља које ти приказује.
Кад бисмо их шифровали на исти начин као документа, апликација би постала изузетно спора и у многим случајевима неупотребљива.
Наш одговор није апсолутно шифровање. То је максимална анонимизација.
У пракси то значи две ствари.
Cashfulness не жели ни да зна како се зовеш.
Кад се региструјеш, не тражимо ти име и презиме.
Тражимо ти надимак — какав год желиш, може бити и чиста измишљотина.
Тражимо ти имејл за техничке контакте (опоравак приступа, сервисна обавештења), и лозинку.
То је све.
Никакав ЈМБГ, никакав датум рођења, никаква адреса, никакав број телефона, никакво повезивање са твојим банковним рачуном, никаква верификација идентитета.
За Cashfulness, ти си надимак с имејлом. Ништа више.
Твоји књиговодствени простори су тешки за дешифровање за свакога ко ниси ти.
Апликација те позива да приходе и расходе организујеш у специфичне налоге и подналоге. Имена која даш тим налозима, ознаке твојих промета, ниво детаљности с којим описујеш свој финансијски живот — то одлучујеш ти, речником који ти је најкориснији.
Cashfulness те никад не тражи да у имена налога стављаш личне податке: никакав ЈМБГ, никакав IBAN у насловима, никакво властито име. Имена су функционална (на пример: „Плата“, „Главни текући рачун“, „Стамбени кредит“, „Трошкови аута“, „Наплаћене кирије“): описују функцију, а не тебе.
Комбиновано, ова два фактора — надимак који не открива ко си, и имена налога која описују шта, а не ко — чине твоје књиговодство тешким за разумевање и немогућим за повезивање с тобом за свакога ко ниси ти сам.
Конкретан резултат је овај: чак и ако би неко (нападач, непоштен запослени, власт) могао да погледа базу података на страни сервера, видео би одређени надимак с контним планом, стањима и прометима.
Не би знао ко је тај надимак.
Не би имао начин да те бројеве повеже са стварном особом иза екрана.
Видео би књиговодство без биографије.
Неколико практичних савета да заиста останеш анониман
Анонимност није само наше обећање: то је и мали твој гест.
Ако желиш да твоје књиговодство буде неразумљиво свакоме ко ниси ти, саветујемо ти да:
- Налоге називаш по функцији, не по особи. „Рачун у банци“, „Плата“, „Стамбени кредит“, „Заједнички рачун“ добро функционишу. „Рачун Марка Марковића“ или пун IBAN у наслову отварају непотребан процеп.
- Оставиш описе трансакција природно уопштене. По својој природи то већ и јесу: „доручак у кафићу“, „вечера у ресторану“, „сипање горива“, „куповина у супермаркету“. Нико осим тебе не би знао да ли је та вечера у ресторану била у Београду с клијентом или у Нишу са сестром.
- Користиш псеудонимни имејл за регистрацију, ако желиш то да доведеш до крајности. Твој имејл служи само за пријаву и за достављање сервисних обавештења: нико те не приморава да користиш „званичан“ имејл типа
ime.prezime@domen.rs. Сасвим је у реду псеудонимни попутaurora.od.noci@protonmail.comили било који други који ти одговара.
И плаћање је анонимно (за нас)
Једна ствар коју читалац обично не очекује, а вреди је јасно рећи.
За претплате на Cashfulness не тражимо ти директно кредитну картицу, IBAN, ни податке за фактурисање. Плаћање пролази кроз продавницу из које си преузео апликацију: App Store (Apple) или Google Play (Google) за мобилне верзије, Stripe за плаћања са сајта.
Ове треће стране виде твоје име, адресу, картицу или IBAN — јер технички управо они наплаћују. Њима, по правилу, припада и издавање рачуна или пореских потврда за твоју претплату (по правилима твоје земље).
Cashfulness, на другом крају те цеви, прима само нето приход и непрозирни идентификатор претплате (нешто попут sub_abc123).
Никад не видимо: име клијента, ЈМБГ, кредитну картицу, IBAN.
Не издајемо рачуне ни пореске потврде крајњим корисницима.
Другим речима: чак и на комерцијалном фронту, довољно нам је да знамо да постоји активна претплата везана за одређени надимак и одређени псеудонимни имејл. Биографија клијента остаје на другој страни, код продавнице, и тамо остаје.
Тешки избори који из тога следе
Спајање ова два нивоа није бесплатна функција.
То је избор који структурно затвара нека врата, и о тим вратима вреди бити експлицитан, јер се управо ту види цена доследности.
Никакве детаљне аналитике понашања по профилу.
Не можемо повезати активност унутар апликације са стварним идентитетима, јер стварне идентитете немамо.
Развој производа је зато нешто слепљи за индивидуалне обрасце. Много више се ослањамо на директне повратне информације, бета тестове, квалитативне интервјуе.
Функционише, али је мање аутоматско.
Никакве персонализоване комерцијалне препоруке.
Не кажемо ти „други корисници као ти купили су X“ на основу твог профила. Не гурамо ти производе спонзорисаних партнера на основу твојих бројева. Модел комерцијалног профилисања, који је хлеб толиких бесплатних апликација, у Cashfulness не постоји.
Оно што, насупрот томе, радимо — и стало нам је да то јасно кажемо — јесу путеви побољшања твоје финансијске ситуације: назнаке о томе где твоји бројеви сугеришу да би могао уштедети, где састав имовине заслужује размишљање, где би месеци покривености могли расти уз мала прилагођавања.
То су едукативне назнаке, изграђене на твојим подацима, и — кад природа података то захтева — израчунате на твом уређају, на локално дешифрованој копији.
Једно важно појашњење: Cashfulness не даје персонализоване инвестиционе савете. То је територија финансијских саветника уписаних у одговарајући регистар, и то с добрим разлогом: то је регулисана делатност која захтева стручност, одговорност и однос поверења другачији од оног између тебе и апликације. Cashfulness ти помаже да видиш јасно, а не да изабереш фонд који ћеш купити следеће недеље.
Обавештења и билтен: само ако их желиш ти, никад по подразумеваном подешавању.
То што смо алергични на комерцијално профилисање не значи да смо нема платформа.
Cashfulness ти може слати корисне ствари — а кад кажем „корисне“ мислим стварно за тебе, не за треће стране: упозорења ако буџет прети да пређе лимит, предлоге о томе где твоји бројеви говоре да би могао уштедети, кратак периодичан билтен с едукативним размишљањима о личним финансијама и новостима производа.
Све је то опт-ин: активираш ти сам приликом регистрације или касније, кад желиш, и деактивираш кад желиш.
Ниједно поље није унапред обележено. Твој имејл — макар и псеудониман — служи нам само да доставимо оно што си затражио, а не да те јуримо порукама које ниси желео.
AI строго усклађен с два нивоа приватности.
Функционалности вештачке интелигенције које Cashfulness развија или ће развити поштују разлику коју смо описали изнад.
На документима (изводи, уговори, рачуни, полисе) AI обраде које захтевају читање садржаја одвијају се на твом уређају, на локално дешифрованој копији. Сервер никад не види садржај тих докумената.
На књиговодственим подацима (стања, промете, категорије твог надимка) евентуалне обраде на страни сервера раде на бројевима без личног идентитета — на „књиговодству без биографије“ о коме сам малопре говорио. AI ти може помоћи да прочиташ корисне обрасце (на пример, да ти означи трошак ван уобичајеног обима у односу на твоју навику, или предложи где да смањиш), али без могућности да те бројеве икада повеже са стварним именом и презименом.
Оно што нећемо радити је да изградимо AI модел који повезује ко си с твојим финансијским животом — јер „ко си“, у Cashfulness, немамо.
Никаква продаја агрегираних података који се могу свести на особе.
Не можемо продавати „скупове података о потрошњи по старосној групи и месту становања“ банкама, истраживачким институтима, рекламним агенцијама. Личне и адресне податке немамо.
То би био значајан канал прихода. Намерно смо га уклонили из пословног модела.
Комерцијална последица ових избора је јасна: да бисмо опстали живимо искључиво од директних претплата корисника.
Минималан бесплатан ниво, претплата Premium, претплата Ultra.
Никаквих реклама, никакве продаје података, никаквог партнерства које би захтевало приступ подацима корисника.
То је ужи модел од тржишног стандарда, али је поштен, и то је једини који Cashfulness-у омогућава да одржи обећање које даје на првом екрану онбординга.
Једна последица која нам се допада у овом моделу: сваки корисник који одабере да плаћа за Cashfulness је корисник који стварно жели производ.
Не постоји динамика по којој је „производ бесплатан зато што си ти производ“.
Ти си клијент, а производ је оно за шта плаћаш.
И партнерства поштују ово правило
Постоји питање које ће нам, пре или касније, бити постављено — а вреди га предупредити.
Ако би се у будућности Cashfulness отворио ка интеграцијама с другим финансијским услугама (упоређивачима тарифа, брокерима осигурања, управљачима инвестицијама), да ли би ова два нивоа заштите остала на снази?
Да, а правило формулишемо овако: ако Cashfulness интегрише спољног партнера, позив партнеру ће увек кренути с твог уређаја, на твој конкретан захтев, за конкретну ставку.
Никад агрегирано на страни сервера.
Никад аутоматски.
Никад без твог свесног геста.
Дајем конкретан пример, колико год он још увек будући и хипотетички.
Претпоставимо да си учитао у Cashfulness свој рачун за струју и желиш да знаш да ли постоји боља понуда на тржишту.
У стандардној апликацији, систем би аутоматски послао партнеру податке из рачуна (и можда друге контекстуалне податке), примио одговор, и приказао ти га.
У Cashfulness моделу, насупрот томе, видећеш дугме „провери код [партнера]“ на том конкретном рачуну.
Кад га притиснеш, твој телефон преузима рачун из Cashfulness архиве, дешифрује га локално — јер запамтимо: отпремљена документа су шифрована с краја на крај и само твој уређај има кључ да их прочита у отвореном облику — извлачи само податке неопходне за проверу (потрошња, тарифна зона, тренутни добављач), шаље их директно партнеру не пролазећи кроз наш сервер, и приказује ти одговор.
Сервер Cashfulness, и у овом сценарију, није видео ништа.
Ни документ, ни бројеве, ни твој идентитет.
Ово није закаснела уступка приватности.
Ово је начин на који сматрамо да партнерства треба да функционишу у личним финансијама.
Технички је незгодније то изградити — захтева SDK на страни уређаја, финију аутентификацију, управљање креденцијалима на телефону — али је то једини начин доследан обећању бренда.
Партнерства која би од Cashfulness затражила агрегирани приступ подацима на страни сервера учтиво ће добити не.
Обећање, у једној реченици
Ово је обећање, сажето у једној реченици коју бисмо желели да остане:
Cashfulness не зна ко си, не чита твоја документа, не разуме твоје бројеве. Само ти имаш све кључеве.
Три различита глагола за три различита нивоа.
Не зна ко си: јер му то не кажеш. Користићеш надимак, и то ће ти бити довољно.
Не чита твоја документа: јер су шифрована кључем који поседујеш само ти.
Не разуме твоје бројеве: јер су без твог контекста књиговодство без биографије.
Сав остатак производа ослања се на ову реченицу.
Показатељи финансијског здравља, разлика између Активе+ и Активе-, невидљиво двојно књиговодство, недељни ритуал од десет минута — све то о чему говоримо у другим чланцима овог блога — стварно функционише само ако изнад тога постоји плафон приватности који их чини стварно твојим, а не само у језику маркетинга.
Ако је то оно што тражиш, на правом си месту.
Чекамо те на листи чекања за бету на cashfulness.com/beta.
Ако пак преферираш апликацију која анализира твоја понашања да би те боље саветовала у замену за део твоје приватности, то је легитиман избор — нема ту ништа лоше — али то место нећемо бити ми.
У реду је тако.
Cashfulness је осмишљен за људе за које бројеви куће морају остати унутар куће, и врло добро зна да је избор међу другима.
— Vittorio