A telefonodon lévő ingyenes alkalmazások többsége nem ingyenes.
Az adataidért cserébe kapod őket.
Ez egy csere.
Elvben átlátható, és sok esetben olyan csere, amit érdemes is megkötni — nincs benne semmi botrányos.
Sok magánpénzügyi alkalmazás is így működik.
Adnak egy ingyenes vagy majdnem ingyenes költéskövető eszközt, cserébe pedig összesítik a költési adataidat, hogy piaci jelentéseket, személyre szabott ajánlásokat, hirdetési javaslatokat, profilozást, kereskedelmi partnerségeket építsenek belőlük.
Elvben ez is a szolgáltató jogos döntése.
Te egy pillanat alatt elfogadod a felhasználási feltételeket, és mész tovább.
A Cashfulness másként döntött.
Nem azért, hogy ítélkezzünk a többi alkalmazás felett — mindenki a maga modelljét építi, és sokan becsületesen teszik —, hanem mert hisszük, hogy a magánpénzügy más bánásmódot érdemel.
Ez egy olyan terület, ahol a köd amúgy is épp elég, és ahol már a tudat, hogy valaki (akár csak elméletben) belenézhet a számaidba, kiüresíti a termék értelmét.
A nyugalom, amiről beszélünk, üres ígéret, ha az adatok nincsenek biztonságban.
Ezért építettük a Cashfulnesst egy pontos technikai döntés köré, amely a kód alapjaiba van írva, és két szinten működik.
Az első szint a dokumentumokat védi, amiket a Cashfulnessbe hozol — radikális végponttól végpontig terjedő titkosítással.
A második szint az azonosságodat és a könyvelési adataidat védi — maximális anonimizálással.
A két szint más-más igényre felel, és más-más eszközöket használ. Érdemes egyenként elmagyarázni őket.
Miért kell kapcsolat (és mit jelent ez az adatvédelemre nézve)
Egy technikai előrebocsátás, mielőtt belemennénk a két szintbe.
A Cashfulness csak akkor működik, ha az eszközöd online van.
Mobilon vagy asztali gépen, az alkalmazásnak beszélnie kell tudnia egy távoli adatbázissal, amely a szervereinken él (európai infrastruktúra).
Miért ez a döntés? Mert a könyvelési adataidnak szinkronban kell maradniuk a különböző eszközök között, amiket használsz.
Ha ebédszünetben az okostelefonról rögzítesz egy tranzakciót, este a laptopról is látni akarod. Fordítva ugyanígy.
Központi igazságforrás nélkül az adatok rendszeresen széttartanának a kliensek között, és a könyvelésed két össze nem illő példányával találnád magad — egy kis rémálom, amely a kettős könyvvitel egész értelmét lenullázza.
Tehát igen, a könyvelésed átmegy egy távoli szerveren.
Ez nem lemondás az adatvédelemről: ez az a technikai kényszer, amely nélkül nincs több eszközön valóban működő könyvelés.
Az érdekes kérdés ez lesz: hogyan védjük az adataidat e kényszer mellett?
A válasz a két szintben van, amiket most elmesélek.
1. szint — Radikális végpontok közötti titkosítás a dokumentumoknak
Amikor elkezded használni a Cashfulnesst, előbb-utóbb be akarod majd hozni az alkalmazásba a dokumentumaidat: banki kivonatokat, hitel- vagy bérleti szerződéseket, áram- és gázszámlákat, biztosítási kötvényeket, befektetési igazolásokat, alapok elszámolásait, fontos adóbizonylatokat.
Ezek a dokumentumok mindent tartalmaznak: a teljes nevedet, címedet, adóazonosítódat, IBAN-odat, összegeket, ügyfeleket, életed részleteit.
Ez a legérzékenyebb szint az összes közül.
Számukra a lehető legszigorúbb megoldást választottuk: radikális végpontok közötti titkosítást.
A szakkifejezés a végpontok közötti titkosítás, vagyis E2EE.
Hogy szakzsargon nélkül megértsd, mi ez, képzeld el, hogy futárral akarsz levelet küldeni.
Két lehetőséged van.
1. lehetőség, a szokásos modell.
Megírod a levelet olvashatóan, borítékba teszed, odaadod a futárnak.
A futár — ha akarja — felnyithatja a borítékot, elolvashatja a levelet, jegyzetelhet, aztán visszazárja és kézbesíti.
Te abban bízol, hogy nem teszi meg, mert megígérte, hogy nem teszi, és talán mert törvények is tiltják neki, és adnak valamennyi garanciát.
De fizikailag megteheti.
2. lehetőség, végpontok közötti titkosítás.
Megírod a levelet, és bezárod egy fémdobozba, amely csak egy meghatározott kulccsal nyílik.
A kulcs nálad van. Csak nálad.
A dobozt odaadod a futárnak. A futár szállítja és tárolja.
Még ha el is vinné magával haza, nem tudná kinyitni, mert nincs kulcsa.
Amikor kell a levél, te nyitod ki a dobozt a saját kulcsoddal, és elolvasod.
A dokumentumok végpontok közötti titkosítása a Cashfulnessben a 2. lehetőség fémdoboza.
Amikor feltöltesz egy dokumentumot az alkalmazásba, a saját eszközöd titkosítja, mielőtt a szerverre küldené. A szerverre titkosítva érkezik, és úgy is marad.
A szerver számára minden dokumentumod egy tömb digitális zaj.
A kulcs, amely visszafejti, csak a te eszközödön létezik, a személyes jelszavadból és a 24 helyreállítási szavadból származtatva (az úgynevezett seed phrase, a személyes kriptográfiai kulcsok előállítására és védelmére ma elérhető legszilárdabb szabvány).
Mit jelent ez a gyakorlatban:
- A Cashfulness szervere nem tudja elolvasni a dokumentumaidat. Sem mi, akik az alkalmazást építettük, sem az infrastruktúra üzemeltetői, sem egy esetleges jövőbeli támadó.
- Ha holnap a Cashfulnesst feltörnék, és a szervereken lévő összes dokumentumot ellopnák, a támadó zajt látna. Használhatatlant.
- Még egy hatóság is, amely hivatalosan kérné a dokumentumaidat, zajt kapna. Nem tudjuk odaadni őket, mert olvasható formában nincsenek nálunk.
Van ennek egy másik oldala is, és erről őszinték akarunk lenni.
Ha elveszíted a jelszavadat, és elveszíted a 24 helyreállítási szót is, a dokumentumaid a te számodra is olvashatatlanná válnak.
Örökre.
Nem tudjuk visszaszerezni őket, mert technikailag nem tudjuk elolvasni, amit titkosítottál. Nincs olyan „jelszó-visszaállítás e-mailben”, amely visszaadná a dokumentumokat, mert nincs senki a másik oldalon, aki ezt megtehetné.
A kulcs csak a tiéd.
Ez szabadságot jelent — egyedül te férhetsz hozzá — és felelősséget — egyedül te veszítheted el a hozzáférést.
Ez filozófiai döntés. Inkább adjuk oda a teljes irányítást, még ha ez a hitelesítő adataid őrzésének terhét is magában hordozza, mint hogy „biztonsági” másolatot tartsunk belőle a szerverünkön. Az a másolat előbb-utóbb a kompromittálódás pontjává válhatna.
Egy kulcs, amely csak a telefonodon létezik, nem.
2. szint — Maximális anonimizálás az azonosságnak és a könyvelési adatoknak
A második szint más, és minden egyebet lefed: azt, hogy ki vagy, és hogy számokban mit csinálsz az alkalmazásban.
Ezekhez az adatokhoz más stratégiát választottunk, mert a probléma más természetű.
A dokumentumok érzékeny tartalmú „dobozok”, és van értelme egészben titkosítani őket.
A könyvelési adatok viszont élő szerkezet: számok, számlák, kategóriák, mozgások, amikre minden nap szükséged van, és amelyekre a Cashfulness a neked mutatott pénzügyi egészségmutatókat építi.
Ha ugyanúgy titkosítanánk őket, mint a dokumentumokat, az alkalmazás rettenetesen lassú és sok esetben használhatatlan lenne.
A válaszunk nem az abszolút titkosítás. Hanem a maximális anonimizálás.
A gyakorlatban ez két dolgot jelent.
A Cashfulness még azt sem akarja tudni, hogy hívnak.
Amikor regisztrálsz, nem kérünk vezeték- és keresztnevet.
Egy becenevet kérünk — amilyet csak akarsz, akár tiszta kitaláció is lehet.
Kérünk egy e-mail-címet a technikai kapcsolattartáshoz (hozzáférés helyreállítása, szolgáltatási közlemények), és egy jelszót.
Ennyi.
Semmi adóazonosító, semmi születési dátum, semmi lakcím, semmi telefonszám, semmi összekötés a bankszámláddal, semmi személyazonosítás.
A Cashfulness számára egy becenév vagy egy e-mail-címmel. Semmi több.
A könyvelési tereidet a rajtad kívül állók nehezen fejthetik meg.
Az alkalmazás arra hív, hogy a bevételeket és kiadásokat konkrét számlákra és alszámlákra tagold. A neveket, amiket ezeknek a számláknak adsz, a mozgásaid címkéit, a részletességet, amivel a pénzügyi életedet leírod — te döntöd el, a számodra leghasznosabb szókinccsel.
A Cashfulness sosem kér arra, hogy személyes adatot írj a számlanevekbe: semmi adóazonosító, semmi IBAN a megnevezésekben, semmi tulajdonnév. A nevek működés szerintiek (például: „Fizetés”, „Fő folyószámla”, „Lakáshitel”, „Autós kiadások”, „Beszedett bérleti díjak”): egy funkciót írnak le, nem téged.
Együtt ez a két tényező — egy becenév, amely nem árulja el, ki vagy, és számlanevek, amelyek azt írják le, mi, nem azt, hogy ki — a könyvelésedet nehezen érthetővé és hozzád visszavezethetetlenné teszi bárki számára, aki nem te magad vagy.
A kézzelfogható eredmény ez: még ha valaki (egy támadó, egy tisztességtelen alkalmazott, egy hatóság) bele is nézhetne a szerveroldali adatbázisba, egy bizonyos becenevet látna egy számlatükörrel, egyenlegekkel és mozgásokkal.
Nem tudná, ki az a becenév.
Nem lenne módja azokat a számokat a képernyő mögötti valós személyhez kötni.
Egy életrajz nélküli könyvelést látna.
Néhány gyakorlati tanács, hogy tényleg névtelen maradj
A névtelenség nem csak a mi ígéretünk: egy kis gesztus a te részedről is.
Ha azt akarod, hogy a könyvelésed érthetetlen legyen bárkinek, aki nem te vagy, azt tanácsoljuk:
- Nevezd a számlákat funkció, ne személy szerint. A „Bankszámla”, „Fizetés”, „Lakáshitel”, „Közös számla” jól működik. A „Kovács János számlája” vagy egy teljes IBAN a megnevezésben felesleges rést nyit.
- Hagyd a tranzakciók leírásait természetesen általánosnak. Természetüknél fogva már azok: „reggeli a kávézóban”, „vacsora az étteremben”, „tankolás”, „nagybevásárlás”. Rajtad kívül senki sem tudná megmondani, hogy az az éttermi vacsora Milánóban volt egy ügyféllel, vagy Luccában a nővéreddel.
- Használj álneves e-mail-címet a regisztrációhoz, ha a végletekig akarod vinni. Az e-mail-címed csak a bejelentkezéshez és a szolgáltatási közlemények kézbesítéséhez kell: senki sem kötelez, hogy „hivatalosat” használj,
nev.vezeteknev@domain.huformában. Tökéletes egy álneves is, mondjukaurora.di.notte@protonmail.com, vagy bármi más, ami kényelmes.
A fizetés is névtelen (számunkra)
Egy pont, amire az olvasó általában nem számít, és amit érdemes világosan kimondani.
A Cashfulness-előfizetésekhez nem kérünk közvetlenül bankkártyát, IBAN-t vagy számlázási adatokat. A fizetés azon az áruházon megy át, ahonnan az alkalmazást letöltötted: App Store (Apple) vagy Google Play (Google) a mobil verzióknál, Stripe a webhelyről indított fizetéseknél.
Ezek a harmadik felek látják a nevedet, címedet, bankkártyádat vagy IBAN-odat — mert technikailag ők szedik be a pénzt. Rendes körülmények között őket illeti a számlák vagy nyugták kiállítása is az előfizetésedről (az országod szabályai szerint).
A Cashfulness a cső túlsó végén csak a nettó bevételt és az előfizetés egy átlátszatlan azonosítóját kapja (valami olyasmit, mint sub_abc123).
Sosem látjuk: az ügyfél nevét, adóazonosítóját, bankkártyáját, IBAN-ját.
Nem állítunk ki számlát vagy nyugtát a végfelhasználóknak.
Más szóval: kereskedelmi fronton is elég annyit tudnunk rólad, hogy létezik egy aktív előfizetés, amely egy bizonyos becenévhez és egy bizonyos álneves e-mail-címhez tartozik. Az ügyfél életrajza a cső túloldalán, az áruháznál van, és ott is marad.
A nehéz döntések, amelyek ebből következnek
E két szint összerakása nem ingyenes funkció.
Olyan döntés, amely szerkezetileg zár be bizonyos ajtókat, és ezekről az ajtókról érdemes nyíltan beszélni, mert itt látszik a következetesség ára.
Semmi részletes, profilhoz kötött viselkedéselemzés.
Nem tudjuk az alkalmazáson belüli tevékenységet valós azonosságokkal összekapcsolni, mert a valós azonosságok nincsenek nálunk.
A termékfejlesztés kicsit vakabb az egyéni mintázatokra. Sokkal inkább a közvetlen visszajelzésekre, a béta-tesztekre, a minőségi interjúkra támaszkodunk.
Működik, de kevésbé automatikus.
Semmi személyre szabott kereskedelmi ajánlás.
Nem mondjuk neked, hogy „a hozzád hasonló felhasználók X-et vették” a profilod alapján. Nem tolunk rád szponzorált partnerek termékeit a számaidra építve. A kereskedelmi profilozás modellje, amely sok ingyenes alkalmazás kenyere, a Cashfulnessben nincs.
Amit viszont csinálunk — és fontos, hogy világosan kimondjuk — azok a pénzügyi helyzeted javítását célzó útmutatók: jelzések arról, hol sugallják a számaid, hogy lehetne spórolni, hol érdemel átgondolást a vagyon összetétele, hol nőhetnének a fedezeti hónapok kis kiigazításokkal.
Ezek oktató jellegű útmutatások, a te adataidra építve, és — amikor az adatok természete megkívánja — a te eszközödön, egy helyi, visszafejtett másolaton számolva.
Egy fontos pontosítás: a Cashfulness nem ad személyre szabott befektetési tanácsot. Az a megfelelő névjegyzékbe bejegyzett pénzügyi tanácsadók területe, és jó okkal: szabályozott tevékenység, amely szaktudást, felelősséget és az app–felhasználó viszonytól eltérő bizalmi kapcsolatot kíván. A Cashfulness abban segít, hogy tisztán láss, nem abban, hogy melyik alapot vedd meg jövő héten.
Értesítések és hírlevél: csak ha te akarod, sosem alapból.
Az, hogy allergiásak vagyunk a kereskedelmi profilozásra, nem jelenti, hogy néma platform lennénk.
A Cashfulness küldhet neked hasznos dolgokat — és amikor azt mondom, „hasznos”, tényleg a te számodra értem, nem harmadik feleknek: riasztást, ha egy keret túllépés felé tart, javaslatokat arról, hol mesélik a számaid, hogy spórolhatnál, egy rövid, időszakos hírlevelet a magánpénzügyekről szóló oktató gondolatokkal és a termék újdonságaival.
Mindez opt-in: te kapcsolod be regisztrációkor vagy később, amikor akarod, és akkor kapcsolod ki, amikor akarod.
Egyetlen jelölőnégyzet sincs előre kipipálva. Az e-mail-címed — még ha álneves is — csak arra kell nekünk, hogy kézbesítsük, amit kértél, nem arra, hogy nem kért üzenetekkel üldözzünk.
Az AI szigorúan a két adatvédelmi szinthez igazodik.
A mesterséges intelligencia funkciók, amelyeket a Cashfulness fejleszt vagy fejleszteni fog, tiszteletben tartják a fent leírt megkülönböztetést.
A dokumentumokon (kivonatok, szerződések, számlák, kötvények) azok az AI-feldolgozások, amelyekhez a tartalmukat kell olvasni, a te eszközödön futnak, egy helyi, visszafejtett másolaton. A szerver sosem látja azoknak a dokumentumoknak a tartalmát.
A könyvelési adatokon (a beceneved egyenlegei, mozgásai, kategóriái) az esetleges szerveroldali feldolgozások személyazonosság nélküli számokon futnak — az „életrajz nélküli könyvelésen”, amiről az előbb beszéltem. Az AI segíthet hasznos mintázatokat kiolvasni (például jelezheti a szokásodhoz képest kirívó kiadást, vagy javasolhatja, hol vágj vissza), de sosem tudja azokat a számokat valódi névhez kötni.
Amit nem fogunk megtenni: olyan AI-modellt építeni, amely a ki vagy-ot a pénzügyi életedhez köti — mert a „ki vagy” a Cashfulnessben nincs nálunk.
Semmi személyekhez visszavezethető összesített adat eladása.
Nem tudunk „korcsoport és lakóhely szerinti költési adathalmazokat” eladni bankoknak, kutatóintézeteknek, hirdetési ügynökségeknek. A személyes és lakcímadatok nincsenek nálunk.
Jelentős bevételi csatorna lett volna. Szándékosan kiiktattuk az üzleti modellből.
E döntések kereskedelmi következménye világos: a fennmaradáshoz kizárólag a felhasználók közvetlen előfizetéseiből élünk.
Minimális ingyenes szint, Premium-előfizetés, Ultra-előfizetés.
Semmi hirdetés, semmi adateladás, semmi olyan partnerség, amely hozzáférést kívánna a felhasználók adataihoz.
Szűkebb modell, mint a piaci szokvány, de becsületes, és az egyetlen, amellyel a Cashfulness betarthatja az ígéretet, amit az onboarding első képernyőjén tesz.
Egy következmény, amit szeretünk ebben a modellben: minden felhasználó, aki úgy dönt, hogy fizet a Cashfulnessért, olyan felhasználó, aki tényleg akarja a terméket.
Nincs az a dinamika, hogy „a termék ingyenes, mert a termék te vagy”.
Te vagy az ügyfél, és a termék az, amiért fizetsz.
A partnerségek is ehhez a szabályhoz igazodnak
Van egy kérdés, amit előbb-utóbb feltesznek majd nekünk — és amit érdemes megelőlegezni.
Ha a jövőben a Cashfulness megnyílna más pénzügyi szolgáltatások integrációi felé (tarifa-összehasonlítók, biztosítási brókerek, vagyonkezelők), állva maradna ez a két védelmi szint?
Igen, és a szabályt így fogalmazzuk meg: ha a Cashfulness külső partnert integrál, a partner felé irányuló hívás mindig a te eszközödről indul, a te kifejezett kérésedre, egy konkrét tételre.
Soha nem szerveroldali összesítésben.
Soha nem automatikusan.
Soha a te tudatos gesztusod nélkül.
Mondok egy kézzelfogható példát, bármennyire jövőbeli és feltételes.
Tegyük fel, hogy feltöltötted a Cashfulnessbe az áramszámládat, és tudni akarod, van-e jobb ajánlat a piacon.
Egy szokásos alkalmazásban a rendszer automatikusan elküldené a partnernek a számla adatait (és talán további kontextusadatokat), megkapná a választ, és megmutatná neked.
A Cashfulness-modellben viszont egy „ellenőrzés a [partner] segítségével” gombot fogsz látni azon a konkrét számlán.
Amikor megnyomod, a telefonod letölti a számlát a Cashfulness-archívumból, helyben visszafejti — mert ne feledjük: a feltöltött dokumentumok végponttól végpontig titkosítottak, és csak a te eszközödnek van kulcsa olvasható formában megnyitni őket —, kinyeri a csak az ellenőrzéshez szükséges adatokat (fogyasztás, tarifasáv, jelenlegi szolgáltató), közvetlenül a partnernek küldi, a mi szerverünk megkerülésével, és megmutatja a választ.
A Cashfulness szervere ebben a forgatókönyvben sem látott semmit.
Sem a dokumentumot, sem a számokat, sem az azonosságodat.
Ez nem megkésett engedmény az adatvédelemnek.
Ez az, ahogy szerintünk a partnerségeknek működniük kell a magánpénzügyekben.
Technikailag kényelmetlenebb megépíteni — eszközoldali SDK-t, finom hitelesítést, telefonon tárolt hitelesítő adatokat kíván —, de ez az egyetlen mód, amely összefér a márka ígéretével.
Azok a partnerségek, amelyek szerveroldali, összesített adathozzáférést kérnének a Cashfulnesstől, udvarias nemet fognak kapni.
Az ígéret, egy mondatban
Ez az ígéret, egyetlen mondatba sűrítve, amit szeretnénk, ha megmaradna:
A Cashfulness nem tudja, ki vagy, nem olvassa a dokumentumaidat, nem érti a számaidat. Az összes kulcs csak nálad van.
Három különböző ige, három különböző szintre.
Nem tudja, ki vagy: mert nem mondod meg neki. Becenevet fogsz használni, és annyi elég is lesz.
Nem olvassa a dokumentumaidat: mert olyan kulccsal vannak titkosítva, amelyet csak te birtokolsz.
Nem érti a számaidat: mert a te kontextusod nélkül életrajz nélküli könyvelést jelentenek.
A termék minden más része erre a mondatra támaszkodik.
A pénzügyi egészségmutatók, az Eszköz+ és Eszköz- megkülönböztetése, a láthatatlan kettős könyvvitel, a heti tízperces szertartás — csupa olyan dolog, amiről a blog többi cikkében beszélünk — igazán csak akkor működik, ha felettük ott az adatvédelem mennyezete, amely valóban a tiéddé teszi őket, nem csak a marketing nyelvén.
Ha ezt keresed, jó helyen jársz.
Várunk a béta-várólistán: cashfulness.com/beta.
Ha viszont olyan alkalmazást szeretnél, amely a viselkedésedet elemzi, hogy jobban tanácsot adjon a magánszférád egy részéért cserébe, az jogos választás — nincs benne semmi rossz —, de az a hely nem mi leszünk.
Így van rendjén.
A Cashfulness azoknak készült, akiknek a házuk számai a házon belül kell hogy maradjanak, és pontosan tudja, hogy egy választás a többi közül.
— Vittorio