Radicale privacy: twee niveaus, één enkele belofte

De meeste gratis apps op je telefoon zijn niet gratis.

Ze worden je aangeboden in ruil voor je gegevens.

Het is een ruilhandel.

In principe is die transparant, en in veel gevallen is het ook een ruil die de moeite waard is — er is niets schandaligs aan.

Ook veel apps voor persoonlijke financiën werken zo.

Ze geven je een gratis of bijna gratis registratie-instrument, en in ruil daarvoor aggregeren ze je uitgavengegevens om marktrapporten, gepersonaliseerde aanbevelingen, advertentietips, profilering en commerciële samenwerkingen te produceren.

Ook hier is dat in principe een legitieme keuze van de aanbieder.

Jij accepteert in een oogwenk de gebruiksvoorwaarden en gaat verder.

Cashfulness heeft een andere keuze gemaakt.

Niet om de andere apps te veroordelen — iedereen bouwt zijn eigen model, en velen doen dat eerlijk — maar omdat wij vinden dat de persoonlijke financiën een andere behandeling verdienen.

Het is een gebied waar de mist al dik genoeg is, en waar het besef dat iemand (ook al is het maar in theorie) naar je cijfers kan kijken de betekenis van het product zelf wegneemt.

De kalmte waarover we spreken is een uitgeholde belofte als de gegevens niet veilig zijn.

Daarom hebben we Cashfulness gebouwd rond een precieze technische keuze, vastgelegd in het fundament van de code, die op twee niveaus werkt.

Het eerste niveau beschermt de documenten die je in Cashfulness meebrengt — met radicale end-to-end-versleuteling.

Het tweede niveau beschermt je identiteit en je boekhoudgegevens — met maximale anonimisering.

De twee niveaus beantwoorden aan verschillende behoeften en gebruiken verschillende middelen. Het is de moeite waard ze één voor één uit te leggen.

Waarom er verbinding nodig is (en wat dat voor privacy betekent)

Eerst een technische opmerking vooraf, voordat we de twee niveaus in gaan.

Cashfulness werkt alleen als je apparaat online is.

Mobiel of desktop, de app moet kunnen praten met een externe database die op onze servers leeft (Europese infrastructuur).

Waarom die keuze? Omdat je boekhoudgegevens gesynchroniseerd moeten blijven tussen de verschillende apparaten die je gebruikt.

Voeg je in de lunchpauze een transactie toe vanaf je smartphone, dan wil je die 's avonds terugzien op je laptop. Doe je het andersom, dan geldt hetzelfde.

Zonder één centraal punt van waarheid zouden de gegevens stelselmatig uit elkaar lopen tussen de clients, en zou je met twee tegenstrijdige kopieën van je boekhouding zitten — een kleine nachtmerrie die de hele zin van het dubbel boekhouden tenietdoet.

Dus ja, je boekhouding gaat over een externe server.

Dat is geen opgeven van je privacy: het is de technische voorwaarde die nodig is om je een boekhouding te geven die echt op meerdere apparaten werkt.

De interessante vraag wordt daarmee: hoe beschermen we je privacy gegeven die voorwaarde?

Het antwoord ligt in de twee niveaus die ik nu beschrijf.

Niveau 1 — Radicale end-to-end-versleuteling voor de documenten

Wanneer je Cashfulness gaat gebruiken, wil je vroeg of laat je documenten in de app meebrengen: bankafschriften, hypotheek- of huurcontracten, energierekeningen, verzekeringspolissen, beleggingscertificaten, fondsoverzichten, belangrijke fiscale bewijsstukken.

In die documenten staat van alles: je volledige naam, je adres, je burgerservicenummer, je IBAN, bedragen, tegenpartijen, details uit je leven.

Ze vormen veruit het gevoeligste niveau.

Voor die documenten hebben we de strengst mogelijke keuze gemaakt: radicale end-to-end-versleuteling.

De technische term is end-to-end-versleuteling, of E2EE.

Om zonder jargon te begrijpen wat dat is, stel je voor dat je een brief wilt versturen via een koerier.

Je hebt twee mogelijkheden.

Mogelijkheid 1, het standaardmodel.

Je schrijft de brief in gewone tekst, stopt hem in een envelop en geeft hem aan de koerier.

De koerier kan — als hij dat wil — de envelop openen, de brief lezen, aantekeningen maken, hem dan weer dichtplakken en bezorgen.

Jij vertrouwt erop dat hij dat niet doet omdat hij beloofd heeft het niet te doen, misschien omdat er wetten zijn die het hem verbieden en je enige waarborg geven.

Maar feitelijk kan hij het.

Mogelijkheid 2, end-to-end-versleuteling.

Je schrijft de brief en sluit hem op in een metalen kist die alleen met een specifieke sleutel opengaat.

Die sleutel heb jij. Alleen jij.

Je geeft de kist aan de koerier. De koerier vervoert hem en slaat hem op.

Zelfs als hij hem meenam naar huis, zou hij hem niet kunnen openen, want hij heeft de sleutel niet.

Wanneer je de brief nodig hebt, open jij de kist met je eigen sleutel, en je leest.

De end-to-end-versleuteling van de documenten in Cashfulness is de metalen kist van Mogelijkheid 2.

Wanneer je een document in de app uploadt, versleutelt je eigen apparaat het voordat het naar de server gaat. Op de server komt het versleuteld aan en blijft het versleuteld.

Voor de server is elk document van jou een blok digitale ruis.

De sleutel om het te ontcijferen ligt alleen op jouw apparaat, afgeleid van je persoonlijke wachtwoord en je 24 herstelwoorden (de zogeheten seed phrase, vandaag de stevigste standaard om persoonlijke cryptografische sleutels te genereren en te beschermen).

Wat dat in de praktijk betekent:

• De server van Cashfulness kan je documenten niet lezen. Wij die de app hebben gebouwd niet, wie de infrastructuur beheert niet, en een eventuele toekomstige aanvaller niet.
• Als Cashfulness morgen zou worden gekraakt en alle documenten op de servers zouden worden gestolen, zou de aanvaller ruis zien. Onbruikbaar.
• Ook een autoriteit die formeel om je documenten zou vragen, zou ruis ontvangen. Wij kunnen ze niet geven, omdat we ze niet in leesbare vorm hebben.

Er is een keerzijde, en daar willen we eerlijk over zijn.

Als je je wachtwoord kwijtraakt en ook je 24 herstelwoorden kwijtraakt, worden je documenten ook voor jou onleesbaar.

Voorgoed.

Wij kunnen ze niet terughalen, want technisch gezien kunnen we niet lezen wat jij hebt versleuteld. Er is geen "wachtwoord herstellen via e-mail" die je de documenten teruggeeft, want er is niemand aan de andere kant die dat kan doen.

De sleutel is alleen van jou.

Dat betekent vrijheid — jij bent de enige die erbij kan — en verantwoordelijkheid — jij bent de enige die de toegang kan kwijtraken.

Het is een filosofische keuze. We geven je liever de volledige zeggenschap, ook als daar het gewicht bij hoort van het bewaren van je eigen inloggegevens, dan dat we er een "veiligheidskopie" van op onze server houden. Die kopie zou vroeg of laat een zwakke plek kunnen worden.

Een sleutel die alleen op jouw telefoon bestaat, niet.

Niveau 2 — Maximale anonimisering voor identiteit en boekhoudgegevens

Het tweede niveau is anders, en het dekt al het overige: wie je bent en wat je in de app doet in termen van cijfers.

Voor die gegevens hebben we een andere strategie gekozen, omdat het probleem van een andere aard is.

Documenten zijn "kisten" met gevoelige inhoud, en het is logisch om ze in hun geheel te versleutelen.

Boekhoudgegevens zijn daarentegen een levende structuur: getallen, rekeningen, categorieën, mutaties die je elke dag nodig hebt, en waarop Cashfulness de maatstaven van financiële gezondheid bouwt die het je laat zien.

Ze op dezelfde manier versleutelen als de documenten zou de app loodzwaar maken en in veel gevallen onbruikbaar.

Ons antwoord is niet absolute versleuteling. Het is maximale anonimisering.

In de praktijk betekent dat twee dingen.

Cashfulness wil niet eens weten hoe je heet.

Als je je registreert, vragen we niet om je voor- en achternaam.

We vragen je om een bijnaam — wat jij maar wilt, hij mag ook volledig verzonnen zijn.

We vragen je om een e-mailadres voor technisch contact (toegangsherstel, dienstmededelingen), en om een wachtwoord.

Meer niet.

Geen burgerservicenummer, geen geboortedatum, geen adres, geen telefoonnummer, geen koppeling met je bankrekening, geen identiteitscontrole.

Voor Cashfulness ben je een bijnaam met een e-mailadres. Niets meer.

Je boekhoudruimtes zijn moeilijk te ontcijferen voor wie jij niet bent.

De app nodigt je uit om inkomsten en uitgaven te verdelen over specifieke rekeningen en subrekeningen. De namen die je aan die rekeningen geeft, de labels van je mutaties, de mate van detail waarmee je je financiële leven beschrijft — dat bepaal jij, met het vocabulaire dat jou het beste van pas komt.

Cashfulness vraagt je nooit om persoonsgegevens in de namen van je rekeningen te zetten: geen burgerservicenummer, geen IBAN in de omschrijving, geen eigennamen. De namen zijn functioneel (bijvoorbeeld: "Salaris", "Hoofdbetaalrekening", "Hypotheek woning", "Autokosten", "Ontvangen huur"): ze beschrijven een functie, niet jou.

Samen maken deze twee factoren — een bijnaam die niet verraadt wie je bent, en rekeningnamen die wat beschrijven en niet wie — je boekhouding moeilijk te begrijpen en onmogelijk aan jou te koppelen voor iedereen die jijzelf niet bent.

Het concrete resultaat is dit: zelfs als iemand (een aanvaller, een oneerlijke medewerker, een autoriteit) in de database aan de serverkant zou kunnen kijken, zou hij een zekere bijnaam zien met een rekeningschema, wat saldi en wat mutaties.

Hij zou niet weten wie die bijnaam is.

Hij zou geen manier hebben om die cijfers te verbinden aan de echte persoon achter het scherm.

Hij zou een boekhouding zonder biografie zien.

Een paar praktische tips om echt anoniem te blijven

Anonimiteit is niet alleen een belofte van ons: het is ook een klein gebaar van jou.

Wil je dat je boekhouding onbegrijpelijk is voor iedereen die jij niet bent, dan raden we je aan om:

• Rekeningen naar hun functie te noemen, niet naar personen. "Bankrekening", "Salaris", "Hypotheek woning", "Gezamenlijke rekening" werken goed. "Rekening Mario Rossi" of een volledig IBAN in de omschrijving zetten een onnodige kier open.
• De omschrijvingen van je transacties rustig algemeen te laten. Van nature zijn ze dat al: "ontbijt in het café", "diner in een restaurant", "tanken", "boodschappen bij de supermarkt". Niemand buiten jou zou begrijpen of dat diner in Milaan met een klant was of in Lucca met je zus.
• Een pseudoniem e-mailadres voor de registratie te gebruiken, als je het tot het uiterste wilt drijven. Je e-mailadres dient alleen om in te loggen en om dienstmededelingen te bezorgen: niemand verplicht je een "officieel" adres van het type voornaam.achternaam@domein.nl te gebruiken. Een pseudoniem adres van het type aurora.in.de.nacht@protonmail.com of welk ander adres dan ook dat je uitkomt, is prima.

Ook de betaling is anoniem (voor ons)

Een punt dat de lezer meestal niet verwacht, en dat het waard is duidelijk te zeggen.

Voor abonnementen op Cashfulness vragen we je niet rechtstreeks om een creditcard, een IBAN of factuurgegevens. De betaling loopt via de store waaruit je de app hebt gedownload: de App Store (Apple) of Google Play (Google) voor de mobiele versies, Stripe voor betalingen via de website.

Het zijn die derde partijen die je naam, adres, creditcard of IBAN zien — want technisch gezien zijn zij het die het geld innen. Aan hen komt in de regel ook het uitgeven van facturen of fiscale bonnen voor je abonnement toe (volgens de regels van jouw land).

Cashfulness, aan de andere kant van die buis, ontvangt alleen de netto-inkomsten en een ondoorzichtige identificatiecode van het abonnement (zoiets als sub_abc123).

Wij zien nooit: klantnaam, burgerservicenummer, creditcard, IBAN.

Wij geven geen facturen of fiscale bonnen uit aan eindgebruikers.

Met andere woorden: ook op commercieel vlak is het voor ons genoeg om te weten dat er een actief abonnement bestaat dat gekoppeld is aan een zekere bijnaam en een zeker pseudoniem e-mailadres. De biografie van de klant zit aan de andere kant, bij de store, en daar blijft ze.

De moeilijke keuzes die hieruit volgen

Deze twee niveaus samenbrengen is geen gratis functie.

Het is een keuze die structureel een paar deuren dichtdoet, en over die deuren is het de moeite waard expliciet te zijn, want juist daar zie je de prijs van consequent zijn.

Geen fijnmazige gedragsanalyses per profiel.

Wij kunnen de activiteit binnen de app niet koppelen aan echte identiteiten, want die echte identiteiten hebben we niet.

De productontwikkeling is daardoor wat blinder voor individuele patronen. We vertrouwen veel meer op directe terugkoppeling, op tests in bèta, op kwalitatieve interviews.

Dat werkt, maar het is minder automatisch.

Geen gepersonaliseerde commerciële aanbevelingen.

We zeggen je niet "andere gebruikers zoals jij kochten X" op basis van je profiel. We duwen je geen producten van gesponsorde partners aan op basis van je cijfers. Het model van commerciële profilering dat voor veel gratis apps het dagelijks brood is, bestaat in Cashfulness niet.

Wat we wel doen — en dat willen we duidelijk zeggen — zijn routes om je financiële situatie te verbeteren: aanwijzingen over waar je cijfers suggereren dat er bespaard zou kunnen worden, waar de samenstelling van je vermogen een overweging verdient, waar de dekking in maanden met kleine bijstellingen zou kunnen groeien.

Het zijn educatieve aanwijzingen, gebouwd op je eigen gegevens, en — wanneer de aard van de gegevens dat vereist — berekend op je eigen apparaat, op een lokaal ontcijferde kopie.

Een belangrijke precisering: Cashfulness geeft geen gepersonaliseerd beleggingsadvies. Dat is het terrein van financieel adviseurs die in het daarvoor bestemde register zijn ingeschreven, en met goede reden: het is een gereguleerde activiteit die kennis, aansprakelijkheid en een andere vertrouwensrelatie vraagt dan die tussen jou en een app. Cashfulness helpt je helder te zien, niet om te kiezen welk fonds je volgende week koopt.

Meldingen en nieuwsbrief: alleen als jij ze wilt, nooit standaard.

Dat we allergisch zijn voor commerciële profilering betekent niet dat we een stom platform zijn.

Cashfulness kan je nuttige dingen sturen — en met "nuttig" bedoel ik echt nuttig voor jou, niet voor derden: een waarschuwing als een budget dreigt te worden overschreden, tips over waar je cijfers vertellen dat je zou kunnen besparen, een korte periodieke nieuwsbrief met educatieve overwegingen over persoonlijke financiën en over updates van het product.

Dat alles is opt-in: jij zet het aan bij de registratie of daarna, wanneer je wilt, en je zet het uit wanneer je wilt.

Geen enkel vakje staat standaard aangevinkt. Je e-mailadres — ook al is het pseudoniem — dient ons alleen om te bezorgen wat je hebt gevraagd, niet om je achterna te zitten met berichten die je niet gewild hebt.

AI die strikt de twee privacyniveaus volgt.

De kunstmatige-intelligentiefuncties die Cashfulness ontwikkelt of zal ontwikkelen, respecteren het onderscheid dat we hierboven hebben beschreven.

Bij de documenten (bankafschriften, contracten, rekeningen, polissen) gebeuren de AI-bewerkingen die de inhoud moeten lezen op je eigen apparaat, op een lokaal ontcijferde kopie. De server ziet de inhoud van die documenten nooit.

Bij de boekhoudgegevens (saldi, mutaties, categorieën van je bijnaam) draaien eventuele bewerkingen aan de serverkant op cijfers zonder persoonsidentiteit — de "boekhouding zonder biografie" waar ik het eerder over had. De AI kan je helpen nuttige patronen te lezen (je bijvoorbeeld wijzen op een uitgave die buiten je gebruikelijke bereik valt, of voorstellen waar je zou kunnen snijden), maar zonder die cijfers ooit aan een echte voor- en achternaam te kunnen koppelen.

Wat we niet zullen doen, is een AI-model bouwen dat het wie je bent aan je financiële leven koppelt — want dat "wie je bent" hebben we in Cashfulness niet.

Geen verkoop van geaggregeerde gegevens die tot personen herleidbaar zijn.

Wij kunnen geen "datasets van uitgaven van Italianen per leeftijdsgroep en woonplaats" verkopen aan banken, onderzoeksinstellingen of reclamebureaus. Persoons- en woongegevens hebben we niet.

Dat had een aanzienlijke inkomstenbron kunnen zijn. We hebben die bewust uit het bedrijfsmodel geschrapt.

Het commerciële gevolg van deze keuzes is duidelijk: om onszelf te bedruipen leven we alleen van directe abonnementen van gebruikers.

Een minimale Free-laag, een Base-abonnement, een Top-abonnement.

Geen reclame, geen gegevensverkoop, geen samenwerking die toegang tot gebruikersgegevens vereist.

Het is een strakker model dan het marktstandaardmodel, maar het is eerlijk, en het is het enige dat Cashfulness in staat stelt de belofte na te komen die het op het eerste scherm van de onboarding doet.

Een gevolg van dit model dat ons bevalt: elke gebruiker die ervoor kiest om voor Cashfulness te betalen, is een gebruiker die het product echt wil.

Er is niet die dynamiek waarbij "het product gratis is omdat jij het product bent".

Jij bent de klant, en het product is waar je voor betaalt.

Ook de samenwerkingen volgen deze regel

Er is een vraag die ons vroeg of laat gesteld zal worden — en die het waard is voor te zijn.

Als Cashfulness in de toekomst zou openstaan voor integraties met andere financiële diensten (tariefvergelijkers, verzekeringsmakelaars, vermogensbeheerders), zouden die twee beschermingsniveaus dan overeind blijven?

Ja, en we formuleren de regel zo: als Cashfulness een externe partner integreert, vertrekt de aanroep naar die partner altijd vanaf jouw apparaat, op jouw specifieke verzoek, voor één specifieke post.

Nooit geaggregeerd aan de serverkant.

Nooit automatisch.

Nooit zonder jouw bewuste handeling.

Ik geef een concreet voorbeeld, hoe toekomstig en hypothetisch ook.

Stel dat je je energierekening in Cashfulness hebt geüpload en wilt weten of er een beter aanbod op de markt is.

In een gewone app zou het systeem de gegevens van de rekening (en misschien nog wat contextgegevens) automatisch naar de partner sturen, het antwoord ontvangen en het je tonen.

In het model van Cashfulness zie je daarentegen een knop "controleer bij [partner]" bij die specifieke rekening.

Wanneer je erop drukt, haalt je telefoon de rekening uit het archief van Cashfulness en ontcijfert die lokaal — want laten we niet vergeten: geüploade documenten zijn end-to-end versleuteld en alleen jouw apparaat heeft de sleutel om ze leesbaar te maken — haalt er alleen de gegevens uit die voor de controle nodig zijn (verbruik, tariefgroep, huidige leverancier), stuurt die rechtstreeks naar de partner zonder langs onze server te gaan, en toont je het antwoord.

De server van Cashfulness heeft ook in dat scenario niets gezien.

Niet het document, niet de cijfers, niet je identiteit.

Dit is geen late toegeving aan de privacy.

Het is de manier waarop wij vinden dat samenwerkingen in de persoonlijke financiën zouden moeten werken.

Het is technisch lastiger te bouwen — het vraagt om SDK's op het apparaat, om fijnmazige authenticatie, om het beheren van inloggegevens op de telefoon — maar het is de enige manier die strookt met de belofte van het merk.

Samenwerkingen die Cashfulness om geaggregeerde toegang tot de gegevens aan de serverkant vragen, krijgen een vriendelijk nee.

De belofte, in één zin

Dit is de belofte, samengevat in één zin die we graag zouden zien blijven staan:

Cashfulness weet niet wie je bent, leest je documenten niet, begrijpt je cijfers niet. Alleen jij hebt alle sleutels.

Drie verschillende werkwoorden voor drie verschillende niveaus.

Weet niet wie je bent: omdat je het niet vertelt. Je gebruikt een bijnaam, en daar heb je genoeg aan.

Leest je documenten niet: omdat ze versleuteld zijn met een sleutel die alleen jij bezit.

Begrijpt je cijfers niet: omdat ze zonder jouw context een boekhouding zonder biografie zijn.

De rest van het product rust op deze zin.

De maatstaven van financiële gezondheid, het onderscheid tussen Activa+ en Activa−, het onzichtbare dubbel boekhouden, het wekelijkse ritueel van tien minuten — allemaal dingen waarover we het in de andere artikelen van dit blog hebben — werken alleen echt als er daarboven een privacyplafond zit dat ze werkelijk van jou maakt, en niet alleen in de taal van de marketing.

Als dat is wat je zoekt, ben je op de juiste plek.

We verwachten je op de bètawachtlijst op cashfulness.com/beta.

Geef je daarentegen de voorkeur aan een app die je gedrag analyseert om je beter te kunnen adviseren in ruil voor een deel van je privacy, dan is dat een legitieme keuze — daar is niets mis mee — maar wij zullen die plek niet zijn.

Dat is prima zo.

Cashfulness is bedoeld voor mensen voor wie de cijfers van het huis binnenshuis moeten blijven, en het weet heel goed dat het één keuze is tussen andere.

— Vittorio