La mayoría de las apps gratuitas que tienes en el móvil no son gratuitas.
Te las ofrecen a cambio de tus datos.
Es un trueque.
Es transparente en principio, y en muchos casos es incluso un trueque que vale la pena hacer — no hay ningún escándalo en ello.
También muchas apps de finanzas personales funcionan así.
Te dan una herramienta de seguimiento gratuita o casi gratuita, y a cambio agregan tus datos de gasto para producir informes de mercado, recomendaciones personalizadas, sugerencias publicitarias, perfilado, acuerdos comerciales.
También aquí, en principio, es una elección legítima por parte del proveedor.
Tú, en un instante, aceptas los términos del servicio y sigues adelante.
Cashfulness ha tomado una decisión distinta.
No para juzgar a las demás apps — cada uno construye su propio modelo, y muchos lo hacen honestamente — sino porque creemos que las finanzas personales merecen un trato diferente.
Es un terreno donde ya hay bastante niebla, y donde saber que alguien (aunque sea en teoría) podría mirar tus números le quita al producto su sentido mismo.
La calma de la que hablamos, si los datos no están a salvo, es una promesa vacía.
Por eso hemos construido Cashfulness en torno a una decisión técnica precisa, escrita en los cimientos del código, que funciona en dos niveles.
El primer nivel protege los documentos que llevas dentro de Cashfulness — con cifrado de extremo a extremo radical.
El segundo nivel protege tu identidad y tus datos contables — con anonimización máxima.
Los dos niveles responden a necesidades distintas y usan herramientas distintas. Vale la pena explicarlos uno por uno.
Por qué hace falta conexión (y qué significa para la privacidad)
Una premisa técnica, antes de entrar en los dos niveles.
Cashfulness funciona solo si tu dispositivo está en línea.
En móvil o en escritorio, la app necesita poder hablar con una base de datos remota que vive en nuestros servidores (infraestructura europea).
¿Por qué esta decisión? Porque tus datos contables tienen que permanecer sincronizados entre los distintos dispositivos que usas.
Si añades una transacción desde el móvil en la pausa de la comida, quieres volver a verla por la noche en el portátil. Y al revés, igual.
Sin un punto de verdad centralizado los datos divergirían sistemáticamente entre los clientes, y te encontrarías con dos copias incoherentes de tu contabilidad — una pequeña pesadilla que echa por tierra todo el sentido de la partida doble.
Así que sí: tu contabilidad transita por un servidor remoto.
No es una renuncia a la privacidad: es la restricción técnica necesaria para darte una contabilidad que funcione de verdad en varios dispositivos.
La pregunta interesante pasa a ser: ¿cómo protegemos tu privacidad dada esta restricción?
La respuesta está en los dos niveles que te cuento ahora.
Nivel 1 — Cifrado de extremo a extremo radical para los documentos
Cuando empiezas a usar Cashfulness, tarde o temprano querrás llevar a la app tus documentos: extractos bancarios, contratos de hipoteca o de alquiler, facturas de luz y gas, pólizas de seguros, certificados de inversiones, informes de fondos, recibos fiscales importantes.
Estos documentos lo contienen todo: tu nombre completo, dirección, número de identificación fiscal, IBAN, importes, contrapartes, detalles de tu vida.
Son el nivel más sensible de todos.
Para ellos hemos tomado la decisión más estricta posible: cifrado de extremo a extremo radical.
El término técnico es cifrado de extremo a extremo, o E2EE.
Para entender qué es sin tecnicismos, imagina que quieres enviar una carta por mensajería.
Tienes dos opciones.
Opción 1, modelo estándar.
Escribes la carta en claro, la metes en un sobre, se la das al mensajero.
El mensajero — si quiere — puede abrir el sobre, leer la carta, tomar notas, y luego volver a cerrarlo y entregarlo.
Confías en que no lo hará porque ha prometido no hacerlo, quizá porque hay leyes que se lo prohíben y te dan alguna garantía.
Pero materialmente, puede.
Opción 2, cifrado de extremo a extremo.
Escribes la carta y la cierras en una caja de metal que solo se abre con una llave concreta.
La llave la tienes tú. Solo tú.
Le das la caja al mensajero. El mensajero la transporta y la guarda.
Aunque la cogiera y se la llevara a su casa, no podría abrirla, porque no tiene la llave.
Cuando necesitas la carta, abres tú la caja con tu llave, y lees.
El cifrado de extremo a extremo de los documentos en Cashfulness es la caja de metal de la Opción 2.
Cuando subes un documento a la app, tu dispositivo lo cifra antes de enviarlo al servidor. Al servidor llega cifrado y cifrado se queda.
Para el servidor, cada uno de tus documentos es un bloque de ruido digital.
La clave para descifrarlo reside solo en tu dispositivo, derivada de tu contraseña personal y de tus 24 palabras de recuperación (la llamada seed phrase, el estándar más sólido disponible hoy para generar y proteger claves criptográficas personales).
Qué significa, en la práctica:
- El servidor de Cashfulness no puede leer tus documentos. Ni nosotros, que hemos construido la app, ni quien gestiona la infraestructura, ni un posible atacante futuro.
- Si mañana Cashfulness sufriera una brecha y robaran todos los documentos de los servidores, el atacante vería ruido. Inservible.
- Incluso una autoridad que pidiera formalmente tus documentos recibiría ruido. No podemos entregarlos, porque no los tenemos en claro.
Hay un reverso de la moneda, y queremos ser honestos al respecto.
Si pierdes tu contraseña y pierdes también las 24 palabras de recuperación, tus documentos se vuelven ilegibles incluso para ti.
Para siempre.
No podemos recuperarlos, porque técnicamente no podemos leer lo que has cifrado. No existe una "recuperación de contraseña por correo" que te devuelva los documentos, porque no hay nadie al otro lado que pueda hacerlo.
La clave es solo tuya.
Esto significa libertad — eres el único que puede acceder — y responsabilidad — eres el único que puede perder el acceso.
Es una elección filosófica. Preferimos darte el control entero, aunque eso incluya el peso de custodiar tus credenciales, antes que guardar una copia "de seguridad" en nuestro servidor. Esa copia, tarde o temprano, podría convertirse en un punto de compromiso.
Una clave que existe solo en tu móvil, no.
Nivel 2 — Anonimización máxima para la identidad y los datos contables
El segundo nivel es distinto, y cubre todo lo demás: quién eres y qué haces dentro de la app en términos de números.
Para estos datos hemos elegido otra estrategia, porque el problema es de otra naturaleza.
Los documentos son "cajas" con contenido sensible, y tiene sentido cifrarlas por completo.
Los datos contables, en cambio, son una estructura viva: números, cuentas, categorías, movimientos que necesitas cada día, y sobre los que Cashfulness construye las métricas de salud financiera que te muestra.
Cifrarlos de la misma manera que los documentos haría la app lentísima y, en muchos casos, inutilizable.
Nuestra respuesta no es el cifrado absoluto. Es la anonimización máxima.
En la práctica significa dos cosas.
Cashfulness ni siquiera quiere saber cómo te llamas.
Cuando te registras, no te pedimos nombre y apellidos.
Te pedimos un nickname — el que quieras, puede ser incluso de pura fantasía.
Te pedimos un correo electrónico para los contactos técnicos (recuperación de acceso, comunicaciones de servicio) y una contraseña.
Punto.
Ni identificación fiscal, ni fecha de nacimiento, ni dirección, ni número de teléfono, ni vinculación con tu cuenta bancaria, ni verificación de identidad.
Para Cashfulness eres un nickname con un correo. Nada más.
Tus espacios contables son difíciles de descifrar para quien no seas tú.
La app te invita a articular ingresos y gastos en cuentas y subcuentas específicas. Los nombres que das a esas cuentas, las etiquetas de tus movimientos, el nivel de detalle con el que describes tu vida financiera — los decides tú, con el vocabulario que te resulte más útil.
Cashfulness nunca te pide introducir datos personales dentro de los nombres de las cuentas: nada de identificación fiscal, nada de IBAN en los encabezados, nada de nombres propios. Los nombres son operativos (por ejemplo: "Salario", "Cuenta corriente principal", "Hipoteca de la vivienda", "Gastos del coche", "Alquileres cobrados"): describen una función, no a ti.
Combinados, estos dos factores — un nickname que no revela quién eres, y nombres de cuentas que describen qué y no quién — hacen que tu contabilidad sea difícil de entender e imposible de vincular contigo para cualquiera que no seas tú mismo.
El resultado concreto es este: aunque alguien (un atacante, un empleado deshonesto, una autoridad) pudiera mirar la base de datos del lado del servidor, vería un cierto nickname con un plan de cuentas, unos saldos y unos movimientos.
No sabría quién es ese nickname.
No tendría manera de ligar esos números a la persona real que hay detrás de la pantalla.
Vería una contabilidad sin biografía.
Algunos consejos prácticos para ser de verdad anónimo
El anonimato no es solo una promesa nuestra: es también un pequeño gesto tuyo.
Si quieres que tu contabilidad sea incomprensible para cualquiera que no seas tú, te aconsejamos:
- Nombrar las cuentas por función, no por persona. "Cuenta bancaria", "Salario", "Hipoteca de la vivienda", "Cuenta conjunta" funcionan bien. "Cuenta de Mario Rossi" o un IBAN completo en el encabezado abren una rendija innecesaria.
- Dejar que las descripciones de las transacciones sean naturalmente genéricas. Por su naturaleza ya lo son: "desayuno en el bar", "cena en el restaurante", "repostaje del coche", "compra del supermercado". Nadie fuera de ti entendería si aquella cena en el restaurante fue en Milán con un cliente o en Lucca con tu hermana.
- Usar un correo seudónimo para el registro, si quieres llevarlo al extremo. Tu correo sirve solo para el acceso y para entregarte comunicaciones de servicio: nadie te obliga a usar uno "oficial" del tipo
nombre.apellido@dominio.com. Va perfectamente uno seudónimo del tipoaurora.de.noche@protonmail.como cualquier otro que te venga bien.
El pago también es anónimo (para nosotros)
Un punto que el lector normalmente no espera, y que vale la pena decir con claridad.
Para las suscripciones a Cashfulness no te pedimos tarjeta de crédito, IBAN ni datos de facturación directamente. El pago pasa por la tienda desde la que has descargado la app: App Store (Apple) o Google Play (Google) para las versiones móviles, Stripe para los pagos desde la web.
Son estos terceros los que ven tu nombre, dirección, tarjeta de crédito o IBAN — porque técnicamente son ellos quienes cobran. Es a ellos, por regla general, a quienes corresponde emitir facturas o recibos fiscales por tu suscripción (con las normas de tu país).
Cashfulness, al otro lado de esa tubería, recibe solo el cobro neto y un identificador opaco de la suscripción (algo del tipo sub_abc123).
Nunca vemos: nombre del cliente, identificación fiscal, tarjeta de crédito, IBAN.
No emitimos facturas ni recibos fiscales a los usuarios finales.
En otras palabras: también en el frente comercial, de ti nos basta con saber que existe una suscripción activa ligada a un cierto nickname y a un cierto correo seudónimo. La biografía del cliente está al otro lado, en la tienda, y allí se queda.
Las decisiones difíciles que se derivan de ello
Juntar estos dos niveles no es una funcionalidad gratuita.
Es una decisión que cierra algunas puertas de manera estructural, y sobre esas puertas vale la pena ser explícitos, porque es aquí donde se ve el precio de la coherencia.
Nada de analítica de comportamiento granular por perfil.
No podemos correlacionar la actividad dentro de la app con identidades reales, porque las identidades reales no las tenemos.
El desarrollo del producto es un poco más ciego sobre los patrones individuales. Nos apoyamos mucho más en los comentarios directos, en las pruebas en beta, en las entrevistas cualitativas.
Funciona, pero es menos automático.
Nada de recomendaciones comerciales personalizadas.
No te decimos "otros usuarios como tú han comprado X" a partir de tu perfil. No te empujamos productos de socios patrocinados basándonos en tus números. El modelo de perfilado comercial que es el pan de cada día de tantas apps gratuitas, en Cashfulness no existe.
Lo que sí hacemos — y nos importa decirlo con claridad — son itinerarios de mejora de tu situación financiera: indicaciones sobre dónde tus números sugieren que se podría ahorrar, dónde la composición del patrimonio merece una reflexión, dónde los meses de cobertura podrían crecer con pequeños ajustes.
Son indicaciones educativas, construidas sobre tus datos, y — cuando la naturaleza de los datos lo exige — calculadas en tu dispositivo, sobre una copia descifrada local.
Una precisión importante: Cashfulness no da consejos de inversión personalizados. Ese es territorio de los asesores financieros inscritos en el registro correspondiente, y por buenas razones: es una actividad regulada que requiere competencias, responsabilidad y una relación fiduciaria distinta de la que hay entre tú y una app. Cashfulness te ayuda a ver claro, no a elegir el fondo que comprar la semana que viene.
Notificaciones y newsletter: solo si tú las quieres, nunca por defecto.
Que seamos alérgicos al perfilado comercial no significa que seamos una plataforma muda.
Cashfulness te puede mandar cosas útiles — y cuando digo "útiles" me refiero de verdad a ti, no a terceros: un aviso si un presupuesto está a punto de desbordarse, sugerencias sobre dónde tus números cuentan que podrías ahorrar, una breve newsletter periódica con reflexiones educativas sobre finanzas personales y sobre las novedades del producto.
Todo esto es opt-in: lo activas tú al registrarte o después, cuando quieras, y lo desactivas cuando quieras.
Ninguna casilla está ya marcada por defecto. Tu correo — aunque sea seudónimo — nos sirve solo para entregarte lo que has pedido, no para perseguirte con mensajes que no has querido.
IA rigurosamente conforme a los dos niveles de privacidad.
Las funcionalidades de inteligencia artificial que Cashfulness desarrolla o desarrollará respetan la distinción que hemos descrito arriba.
Sobre los documentos (extractos bancarios, contratos, facturas, pólizas) los procesamientos de IA que exigen leer su contenido ocurren en tu dispositivo, sobre una copia descifrada local. El servidor nunca ve el contenido de esos documentos.
Sobre los datos contables (saldos, movimientos, categorías de tu nickname) los eventuales procesamientos del lado del servidor corren sobre números carentes de identidad personal — la "contabilidad sin biografía" de la que hablaba antes. La IA puede ayudarte a leer patrones útiles (por ejemplo, señalarte un gasto fuera de escala respecto a lo habitual en ti, o sugerir dónde recortar), pero sin poder ligar nunca esos números a un nombre y unos apellidos reales.
Lo que no haremos es construir un modelo de IA que ligue el quién eres a tu vida financiera — porque el "quién eres", en Cashfulness, no lo tenemos.
Nada de venta de datos agregados atribuibles a personas.
No podemos vender "conjuntos de datos de gasto de los italianos por franja de edad y residencia" a bancos, institutos de investigación, agencias de publicidad. Los datos personales y de residencia no los tenemos.
Habría sido un canal de ingresos significativo. Lo hemos eliminado deliberadamente del modelo de negocio.
La consecuencia comercial de estas decisiones es clara: para sostenernos vivimos solo de suscripciones directas de los usuarios.
Nivel Free mínimo, suscripción Base, suscripción Top.
Nada de publicidad, nada de venta de datos, ninguna alianza que exija acceso a los datos de los usuarios.
Es un modelo más estricto que el estándar del mercado, pero es honesto, y es el único que permite a Cashfulness mantener la promesa que hace en la primera pantalla del onboarding.
Una consecuencia de este modelo que nos gusta: cada usuario que elige pagar por Cashfulness es un usuario que quiere de verdad el producto.
No existe la dinámica según la cual "el producto es gratis porque tú eres el producto".
Eres el cliente, y el producto es lo que pagas.
Las alianzas también respetan esta regla
Hay una pregunta que tarde o temprano nos harán — y que vale la pena anticipar.
Si en el futuro Cashfulness se abriera a integraciones con otros servicios financieros (comparadores de tarifas, corredores de seguros, gestores de inversiones), ¿estos dos niveles de protección seguirían en pie?
Sí, y la regla la formulamos así: si Cashfulness integra un socio externo, la llamada al socio partirá siempre de tu dispositivo, a petición específica tuya, para un elemento concreto.
Nunca agregada del lado del servidor.
Nunca automática.
Nunca sin tu gesto consciente.
Pongo un ejemplo concreto, por más futuro e hipotético que sea.
Supongamos que has subido a Cashfulness tu factura de la luz y quieres saber si hay una oferta mejor en el mercado.
En una app estándar, el sistema enviaría automáticamente al socio los datos de la factura (y quizá otros datos de contexto), recibiría la respuesta y te la mostraría.
En el modelo Cashfulness, en cambio, verás un botón "verificar con [partner]" sobre esa factura concreta.
Cuando lo pulsas, tu móvil descarga la factura del archivo de Cashfulness y la descifra localmente — porque recordemos: los documentos subidos están cifrados de extremo a extremo y solo tu dispositivo tiene la clave para leerlos en claro — extrae únicamente los datos necesarios para la verificación (consumo, tramo, proveedor actual), los envía directamente al socio sin pasar por nuestro servidor, y te muestra la respuesta.
El servidor de Cashfulness, incluso en este escenario, no ha visto nada.
Ni el documento, ni los números, ni tu identidad.
Esta no es una concesión tardía a la privacidad.
Es el modo en que pensamos que las alianzas deberían funcionar en las finanzas personales.
Es más incómodo de construir técnicamente — requiere SDK del lado del dispositivo, autenticación fina, gestión de credenciales en el móvil — pero es el único modo coherente con la promesa de marca.
Las alianzas que le pidan a Cashfulness un acceso agregado del lado del servidor a los datos recibirán cortésmente un no.
La promesa, en una frase
Esta es la promesa, resumida en una frase que nos gustaría que quedara:
Cashfulness no sabe quién eres, no lee tus documentos, no entiende tus números. Solo tú tienes todas las claves.
Tres verbos distintos para tres niveles distintos.
No sabe quién eres: porque no se lo dices. Usarás un nickname, y con eso te bastará.
No lee tus documentos: porque están cifrados con una clave que posees solo tú.
No entiende tus números: porque sin tu contexto son una contabilidad sin biografía.
Todo el resto del producto se apoya en esta frase.
Las métricas de salud financiera, la distinción entre Activos+ y Activos−, la partida doble invisible, el ritual semanal de los diez minutos — todas cosas de las que hablamos en los demás artículos de este blog — funcionan de verdad solo si por encima de ellas hay un techo de privacidad que las hace tuyas de verdad, y no solo en el lenguaje del marketing.
Si es eso lo que buscas, estás en el lugar adecuado.
Te esperamos en la lista de espera de la beta en cashfulness.com/beta.
Si en cambio prefieres una app que te analice los comportamientos para aconsejarte mejor a cambio de parte de tu privacidad, es una elección legítima — no hay nada de malo en ello — pero no seremos nosotros ese lugar.
Está bien así.
Cashfulness está pensado para las personas para las que los números de casa deben quedarse en casa, y sabe perfectamente que es una elección entre otras.
— Vittorio