Radicale privacy: twee niveaus, één belofte

De meeste gratis apps op je telefoon zijn niet gratis.

Je krijgt ze in ruil voor je gegevens.

Het is een ruil.

In principe is die transparant, en in veel gevallen ook een ruil die de moeite waard is — er is niets schandaligs aan om die te aanvaarden.

Ook veel apps voor persoonlijke financiën werken zo.

Ze geven je een gratis of bijna gratis trackingtool, en in ruil daarvoor bundelen ze je uitgavengegevens om marktrapporten, gepersonaliseerde aanbevelingen, advertentiesuggesties, profilering en commerciële partnerships te bouwen.

Ook hier is het, in principe, een legitieme keuze van de aanbieder.

Jij aanvaardt in een oogwenk de gebruiksvoorwaarden en gaat verder.

Cashfulness heeft een andere keuze gemaakt.

Niet om andere apps te veroordelen — iedereen bouwt zijn eigen model, en velen doen dat eerlijk — maar omdat we geloven dat persoonlijke financiën een andere behandeling verdienen.

Het is een domein waar de mist al dicht genoeg is, en waar het besef dat iemand (al was het maar theoretisch) naar je cijfers kan kijken, de betekenis van het product zelf wegneemt.

De rust waarover we het hebben, is een lege belofte als de gegevens niet veilig zijn.

Daarom hebben we Cashfulness gebouwd rond een precieze technische keuze, verankerd in de fundamenten van de code, die op twee niveaus werkt.

Het eerste niveau beschermt de documenten die je in Cashfulness meebrengt — met radicale end-to-end-versleuteling (end-to-end encryption, E2EE).

Het tweede niveau beschermt je identiteit en je boekhoudkundige gegevens — met maximale anonimisering.

De twee niveaus beantwoorden aan verschillende behoeften en gebruiken verschillende middelen. Het is de moeite waard ze een voor een uit te leggen.

Waarom er verbinding nodig is (en wat dat betekent voor je privacy)

Een technische inleiding, voor we de twee niveaus induiken.

Cashfulness werkt alleen als je toestel online is.

Op mobiel of desktop moet de app kunnen praten met een externe database die op onze servers draait (Europese infrastructuur).

Waarom die keuze? Omdat je boekhoudkundige gegevens gesynchroniseerd moeten blijven tussen de verschillende toestellen die je gebruikt.

Als je tijdens de middagpauze een transactie toevoegt vanaf je smartphone, wil je die 's avonds op je laptop terugzien. Omgekeerd geldt hetzelfde.

Zonder een centraal referentiepunt zouden de gegevens systematisch uiteenlopen tussen de clients, en zou je met twee tegenstrijdige kopieën van je boekhouding blijven zitten — een kleine nachtmerrie die de hele zin van dubbel boekhouden ongedaan maakt.

Dus ja, je boekhouding gaat via een externe server.

Dat is geen verzaking aan privacy: het is de technische randvoorwaarde die nodig is om je een boekhouding te geven die echt werkt op meerdere toestellen.

De interessante vraag wordt: hoe beschermen we je privacy gegeven die randvoorwaarde?

Het antwoord zit in de twee niveaus die ik je nu uitleg.

Niveau 1 — Radicale end-to-end-versleuteling voor documenten

Wanneer je Cashfulness begint te gebruiken, wil je vroeg of laat je documenten in de app meebrengen: bankafschriften, hypotheek- of huurcontracten, energie- en gasfacturen, verzekeringspolissen, beleggingscertificaten, fondsrapporten, belangrijke fiscale bewijsstukken.

Die documenten bevatten alles: je volledige naam, adres, rijksregisternummer, IBAN, bedragen, tegenpartijen, details van je leven.

Het is het gevoeligste niveau van allemaal.

Daarvoor hebben we de strengst mogelijke keuze gemaakt: radicale end-to-end-versleuteling.

De technische term is end-to-end-versleuteling, of E2EE.

Om zonder vaktaal te begrijpen wat dat is, stel je voor dat je een brief wilt versturen via een koerier.

Je hebt twee keuzes.

Keuze 1, het standaardmodel.

Je schrijft de brief onversleuteld, stopt hem in een enveloppe, geeft hem aan de koerier.

De koerier kan — als hij wil — de enveloppe openen, de brief lezen, notities nemen, en hem daarna weer dichtplakken en afleveren.

Jij vertrouwt erop dat hij dat niet doet omdat hij beloofd heeft dat niet te doen, misschien omdat er wetten zijn die het hem verbieden en je een zekere garantie geven.

Maar fysiek kan hij het wel.

Keuze 2, end-to-end-versleuteling.

Je schrijft de brief en sluit hem op in een metalen kist die alleen opengaat met een specifieke sleutel.

De sleutel heb jij. Alleen jij.

Je geeft de kist aan de koerier. De koerier vervoert en bewaart hem.

Zelfs als hij de kist zou meenemen naar huis, zou hij hem niet kunnen openen, omdat hij de sleutel niet heeft.

Wanneer je de brief nodig hebt, open jij de kist zelf met je sleutel, en lees je hem.

De end-to-end-versleuteling van documenten in Cashfulness is de metalen kist van Keuze 2.

Wanneer je een document uploadt naar de app, versleutelt je eigen toestel het voordat het naar de server wordt gestuurd. Op de server komt het versleuteld aan en blijft het versleuteld.

Voor de server is elk document van jou een blok digitale ruis.

De sleutel om het te ontcijferen bestaat alleen op je toestel, afgeleid van je persoonlijke wachtwoord en je 24 herstelwoorden (de zogenaamde seed phrase, de solidste standaard die er vandaag bestaat om persoonlijke cryptografische sleutels te genereren en te beschermen).

Wat betekent dat in de praktijk:

• De server van Cashfulness kan je documenten niet lezen. Niet wij die de app gebouwd hebben, niet wie de infrastructuur beheert, niet een eventuele toekomstige aanvaller.
• Als Cashfulness morgen gehackt zou worden en alle documenten op de servers gestolen, zou de aanvaller ruis zien. Onbruikbaar.
• Zelfs een autoriteit die formeel je documenten opvraagt, zou ruis krijgen. We kunnen ze niet geven, omdat we ze niet in leesbare vorm hebben.

Er is een keerzijde, en daar willen we eerlijk over zijn.

Als je je wachtwoord verliest én ook je 24 herstelwoorden, worden je documenten onleesbaar, ook voor jou.

Voorgoed.

We kunnen ze niet terughalen, omdat we technisch niet kunnen lezen wat je versleuteld hebt. Er bestaat geen “wachtwoord herstellen via e-mail” dat je je documenten teruggeeft, omdat er niemand aan de andere kant is die dat zou kunnen doen.

De sleutel is alleen van jou.

Dat betekent vrijheid — jij bent de enige die toegang heeft — en verantwoordelijkheid — jij bent de enige die de toegang kan verliezen.

Het is een filosofische keuze. We geven liever de volle controle aan jou, ook al brengt dat de last mee om je gegevens te bewaren, dan een “veiligheidskopie” op onze server te houden. Die kopie zou vroeg of laat een compromitteringspunt kunnen worden.

Een sleutel die alleen op je telefoon bestaat, niet.

Niveau 2 — Maximale anonimisering voor identiteit en boekhoudkundige gegevens

Het tweede niveau is anders, en dekt al de rest: wie je bent en wat je in de app doet in termen van cijfers.

Voor deze gegevens hebben we een andere strategie gekozen, omdat het probleem van andere aard is.

Documenten zijn “dozen” met gevoelige inhoud, en het is zinvol ze integraal te versleutelen.

Boekhoudkundige gegevens daarentegen zijn een levende structuur: cijfers, rekeningen, categorieën, verrichtingen die je elke dag nodig hebt, en waarop Cashfulness de financiële-gezondheidsindicatoren bouwt die je te zien krijgt.

Ze op dezelfde manier versleutelen als documenten zou de app doodtraag maken en in veel gevallen onbruikbaar.

Ons antwoord is niet absolute versleuteling. Het is maximale anonimisering.

In de praktijk betekent dat twee dingen.

Cashfulness wil zelfs niet weten hoe je heet.

Wanneer je je registreert, vragen we je geen voor- en achternaam.

We vragen je een nickname — wat je zelf wil, mag ook pure fantasie zijn.

We vragen een e-mailadres voor technisch contact (toegang herstellen, servicemededelingen), en een wachtwoord.

Meer niet.

Geen rijksregisternummer, geen geboortedatum, geen adres, geen telefoonnummer, geen koppeling met je bankrekening, geen identiteitsverificatie.

Voor Cashfulness ben je een nickname met een e-mailadres. Meer niet.

Je boekhoudkundige ruimtes zijn moeilijk te ontcijferen voor wie jij niet is.

De app nodigt je uit om inkomsten en uitgaven te structureren in specifieke rekeningen en subrekeningen. De namen die je aan die rekeningen geeft, de labels van je verrichtingen, het detailniveau waarmee je je financiële leven beschrijft — jij beslist dat, met het vocabularium dat voor jou het nuttigst is.

Cashfulness vraagt je nooit om persoonlijke gegevens in rekeningnamen te zetten: geen rijksregisternummer, geen IBAN in de titels, geen eigennamen. De namen zijn functioneel (bijvoorbeeld: “Loon”, “Hoofdrekening”, “Woonlening”, “Autokosten”, “Ontvangen huur”): ze beschrijven een functie, niet jou.

Samen zorgen die twee factoren — een nickname die niet onthult wie je bent, en rekeningnamen die wat beschrijven en niet wie — ervoor dat je boekhouding moeilijk te begrijpen en onmogelijk aan jou te koppelen is voor wie dan ook die jij niet zelf bent.

Het concrete resultaat is dit: zelfs als iemand (een aanvaller, een oneerlijke medewerker, een autoriteit) de database aan serverzijde zou kunnen bekijken, zou die een bepaalde nickname zien met een rekeningschema, saldi en verrichtingen.

Hij zou niet weten wie die nickname is.

Hij zou geen manier hebben om die cijfers te koppelen aan de echte persoon achter het scherm.

Hij zou een boekhouding zonder biografie zien.

Enkele praktische tips om echt anoniem te blijven

Anonimiteit is niet alleen onze belofte: het is ook een klein gebaar van jouw kant.

Als je wil dat je boekhouding onbegrijpelijk is voor wie jij niet is, raden we je aan:

• Noem je rekeningen naar functie, niet naar persoon. “Bankrekening”, “Loon”, “Woonlening”, “Gezamenlijke rekening” werken goed. “Rekening Jan Peeters” of een volledig IBAN in de titel opent een nutteloos gat.
• Laat de omschrijvingen van transacties op natuurlijke wijze generiek. Van nature zijn ze dat al: “ontbijt in het café”, “avondeten in het restaurant”, “tanken”, “boodschappen supermarkt”. Niemand buiten jou zou weten of dat avondeten in het restaurant in Antwerpen was met een klant of in Gent met je zus.
• Gebruik een pseudoniem e-mailadres voor de registratie, als je het tot het uiterste wil drijven. Je e-mailadres dient enkel om in te loggen en om servicemededelingen te bezorgen: niemand verplicht je een “officieel” adres te gebruiken zoals voornaam.achternaam@domein.be. Een pseudoniem adres zoals aurora.van.de.nacht@protonmail.com of wat jou het beste uitkomt, voldoet uitstekend.

Ook de betaling is anoniem (voor ons)

Een punt dat de lezer doorgaans niet verwacht, en dat het waard is duidelijk te zeggen.

Voor abonnementen op Cashfulness vragen we je niet rechtstreeks om je kredietkaart, IBAN of facturatiegegevens. De betaling loopt via de winkel waarvan je de app gedownload hebt: App Store (Apple) of Google Play (Google) voor de mobiele versies, Stripe voor betalingen vanaf de website.

Het zijn die derde partijen die je naam, adres, kredietkaart of IBAN zien — want technisch gezien zijn zij het die het geld innen. Zij zijn het doorgaans ook die facturen of fiscale ontvangstbewijzen voor je abonnement uitreiken (volgens de regels van jouw land).

Cashfulness ontvangt, aan de andere kant van die buis, enkel de netto-opbrengst en een ondoorzichtige identificatie van het abonnement (iets als sub_abc123).

We zien nooit: klantnaam, rijksregisternummer, kredietkaart, IBAN.

We reiken geen facturen of fiscale ontvangstbewijzen uit aan eindgebruikers.

Met andere woorden: ook op commercieel vlak volstaat het ons te weten dat er een actief abonnement bestaat, gekoppeld aan een bepaalde nickname en een bepaald pseudoniem e-mailadres. De biografie van de klant blijft aan de andere kant, bij de winkel, en blijft daar.

De moeilijke keuzes die daaruit voortvloeien

Deze twee niveaus combineren is geen gratis feature.

Het is een keuze die structureel enkele deuren sluit, en over die deuren loont het de moeite expliciet te zijn, want daar zie je de prijs van consequentie.

Geen gedetailleerde gedragsanalytics per profiel.

We kunnen activiteit in de app niet koppelen aan echte identiteiten, omdat we die echte identiteiten niet hebben.

De productontwikkeling is daardoor wat blinder voor individuele patronen. We steunen veel meer op rechtstreekse feedback, bètatests, kwalitatieve interviews.

Het werkt, maar is minder automatisch.

Geen gepersonaliseerde commerciële aanbevelingen.

We vertellen je niet “andere gebruikers zoals jij hebben X gekocht” op basis van je profiel. We duwen je geen producten van gesponsorde partners op basis van je cijfers. Het model van commerciële profilering, het verdienmodel van zoveel gratis apps, bestaat niet in Cashfulness.

Wat we wél doen — en dat willen we duidelijk zeggen — zijn trajecten om je financiële situatie te verbeteren: aanwijzingen over waar je cijfers suggereren dat je zou kunnen besparen, waar de samenstelling van je vermogen een gedachte waard is, waar de dekkingsmaanden zouden kunnen groeien met kleine aanpassingen.

Dat zijn educatieve aanwijzingen, gebouwd op jouw gegevens, en — wanneer de aard van de gegevens dat vereist — berekend op je eigen toestel, op een lokaal ontcijferde kopie.

Een belangrijke verduidelijking: Cashfulness geeft geen gepersonaliseerd beleggingsadvies. Dat is het terrein van erkende financiële adviseurs, en met goede reden: het is een gereglementeerde activiteit die expertise, verantwoordelijkheid en een vertrouwensrelatie vereist die anders is dan die tussen jou en een app. Cashfulness helpt je om helder te zien, niet om het fonds te kiezen dat je volgende week koopt.

Meldingen en nieuwsbrief: alleen als jij ze wil, nooit standaard.

Het feit dat we allergisch zijn voor commerciële profilering betekent niet dat we een stom platform zijn.

Cashfulness kan je nuttige dingen sturen — en met “nuttig” bedoel ik echt voor jou, niet voor derden: waarschuwingen als een budget dreigt te overschrijden, suggesties over waar je cijfers zeggen dat je zou kunnen besparen, een korte periodieke nieuwsbrief met educatieve reflecties over persoonlijke financiën en productnieuws.

Dat alles is opt-in: jij zet het aan bij registratie of later, wanneer je wil, en zet het uit wanneer je wil.

Geen enkel vakje staat standaard aangevinkt. Je e-mailadres — ook al is het pseudoniem — dient ons enkel om af te leveren wat je gevraagd hebt, niet om je achterna te zitten met berichten die je niet wou.

AI die strikt de twee privacyniveaus respecteert.

De functies voor kunstmatige intelligentie die Cashfulness ontwikkelt of zal ontwikkelen, respecteren het onderscheid dat we hierboven beschreven hebben.

Voor documenten (bankafschriften, contracten, facturen, polissen) gebeuren AI-verwerkingen die de inhoud moeten lezen op je eigen toestel, op een lokaal ontcijferde kopie. De server ziet nooit de inhoud van die documenten.

Voor boekhoudkundige gegevens (saldi, verrichtingen, categorieën van je nickname) draaien eventuele verwerkingen aan serverzijde op cijfers zonder persoonlijke identiteit — de “boekhouding zonder biografie” waarover ik het eerder had. AI kan je helpen nuttige patronen te lezen (bijvoorbeeld je wijzen op een uitgave die uit de toon valt, of voorstellen waar je kan besparen), maar zonder ooit die cijfers aan een echte naam te kunnen koppelen.

Wat we niet zullen doen, is een AI-model bouwen dat wie je bent koppelt aan je financiële leven — omdat “wie je bent”, in Cashfulness, niet iets is wat we hebben.

Geen verkoop van geaggregeerde gegevens die naar personen herleidbaar zijn.

We kunnen geen “datasets van uitgaven per leeftijdsgroep en woonplaats” verkopen aan banken, onderzoeksinstellingen, reclamebureaus. De identiteits- en woongegevens hebben we niet.

Het zou een aanzienlijk inkomstenkanaal geweest zijn. We hebben het bewust uit het businessmodel geschrapt.

Het commerciële gevolg van deze keuzes is duidelijk: om te overleven leven we enkel van rechtstreekse abonnementen van gebruikers.

Minimale gratis laag, Premium-abonnement, Ultra-abonnement.

Geen reclame, geen verkoop van gegevens, geen partnership die toegang tot gebruikersgegevens zou vereisen.

Het is een strenger model dan de marktstandaard, maar het is eerlijk, en het is het enige dat Cashfulness toelaat de belofte na te komen die het op het eerste scherm van de onboarding doet.

Een gevolg dat we graag hebben aan dit model: elke gebruiker die kiest om voor Cashfulness te betalen, is een gebruiker die het product echt wil.

Er is geen dynamiek waarbij “het product gratis is omdat jij het product bent”.

Jij bent de klant, en het product is waarvoor je betaalt.

Ook partnerships respecteren deze regel

Er is een vraag die vroeg of laat aan ons gesteld zal worden — en die het waard is te anticiperen.

Als Cashfulness in de toekomst zou openstaan voor integraties met andere financiële diensten (tariefvergelijkers, verzekeringsmakelaars, beleggingsbeheerders), zouden deze twee beschermingsniveaus dan overeind blijven?

Ja, en de regel formuleren we zo: als Cashfulness een externe partner integreert, vertrekt de oproep naar de partner altijd vanaf jouw eigen toestel, op jouw specifiek verzoek, voor een specifiek item.

Nooit geaggregeerd aan serverzijde.

Nooit automatisch.

Nooit zonder jouw bewuste gebaar.

Ik geef een concreet voorbeeld, hoe toekomstig en hypothetisch ook.

Stel dat je je elektriciteitsfactuur in Cashfulness hebt geladen en wil weten of er een betere aanbieding op de markt is.

In een standaardapp zou het systeem automatisch de factuurgegevens (en misschien andere contextgegevens) naar de partner sturen, het antwoord ontvangen, en het je tonen.

In het Cashfulness-model zie je in plaats daarvan een knop “controleer bij [partner]” op die specifieke factuur.

Wanneer je erop drukt, downloadt je telefoon de factuur uit het Cashfulness-archief en ontcijfert die lokaal — want vergeet niet: geüploade documenten zijn end-to-end versleuteld en enkel jouw toestel heeft de sleutel om ze in leesbare vorm te lezen — haalt enkel de gegevens nodig voor de controle eruit (verbruik, tariefzone, huidige leverancier), stuurt die rechtstreeks naar de partner zonder via onze server te passeren, en toont je het antwoord.

De server van Cashfulness heeft, ook in dit scenario, niets gezien.

Noch het document, noch de cijfers, noch je identiteit.

Dit is geen laattijdige toegeving aan privacy.

Het is hoe wij denken dat partnerships zouden moeten werken in persoonlijke financiën.

Het is technisch lastiger om te bouwen — het vereist een SDK aan toestelzijde, fijnmazige authenticatie, beheer van gegevens op de telefoon — maar het is de enige manier die consistent is met de merkbelofte.

Partnerships die van Cashfulness geaggregeerde toegang aan serverzijde tot de gegevens zouden vragen, krijgen beleefd een nee.

De belofte, in één zin

Dit is de belofte, samengevat in één zin die we graag zouden willen dat blijft hangen:

Cashfulness weet niet wie je bent, leest je documenten niet, begrijpt je cijfers niet. Enkel jij hebt alle sleutels.

Drie verschillende werkwoorden voor drie verschillende niveaus.

Weet niet wie je bent: omdat je het niet vertelt. Je gebruikt een nickname, en dat volstaat.

Leest je documenten niet: omdat ze versleuteld zijn met een sleutel die enkel jij bezit.

Begrijpt je cijfers niet: omdat ze zonder jouw context een boekhouding zonder biografie zijn.

De rest van het product steunt volledig op deze zin.

De financiële-gezondheidsindicatoren, het onderscheid tussen Activa+ en Activa-, het onzichtbare dubbel boekhouden, het wekelijkse ritueel van tien minuten — allemaal dingen waarover we het hebben in de andere artikels van deze blog — werken echt alleen als daarboven een privacyplafond staat dat ze werkelijk van jou maakt, niet enkel in de taal van marketing.

Als dat is wat je zoekt, zit je op de juiste plaats.

We wachten op je op de bètawachtlijst op cashfulness.com/beta.

Als je liever een app hebt die je gedrag analyseert om je beter te adviseren in ruil voor een deel van je privacy, is dat een legitieme keuze — er is niets mis mee — maar dat zullen wij niet zijn.

Dat is oké.

Cashfulness is bedoeld voor mensen voor wie de cijfers van thuis binnenshuis moeten blijven, en weet heel goed dat het een keuze is tussen andere keuzes.

— Vittorio