Większość darmowych aplikacji, które masz w telefonie, wcale nie jest darmowa.
Dostajesz je w zamian za swoje dane.
To wymiana barterowa.
Co do zasady jest przejrzysta i w wielu przypadkach naprawdę warto na nią przystać — nie ma w tym żadnego skandalu.
Wiele aplikacji do finansów osobistych działa dokładnie tak samo.
Dają Ci darmowe albo prawie darmowe narzędzie do śledzenia wydatków, a w zamian agregują dane o Twoich zakupach, żeby tworzyć raporty rynkowe, spersonalizowane rekomendacje, podpowiedzi reklamowe, profile użytkowników i partnerstwa handlowe.
Tutaj również, co do zasady, jest to prawomocny wybór dostawcy.
Ty w jednej chwili akceptujesz regulamin i idziesz dalej.
Cashfulness wybrał inaczej.
Nie po to, żeby oceniać inne aplikacje — każdy buduje własny model i wielu robi to uczciwie — ale dlatego, że naszym zdaniem finanse osobiste zasługują na inne traktowanie.
To obszar, w którym mgły jest już wystarczająco dużo, a świadomość, że ktoś (choćby tylko teoretycznie) może zaglądać w Twoje liczby, odbiera produktowi cały sens.
Spokój, o którym mówimy, staje się pustą obietnicą, jeśli dane nie są bezpieczne.
Dlatego zbudowaliśmy Cashfulness wokół konkretnej decyzji technicznej, wpisanej w fundamenty kodu, która działa na dwóch poziomach.
Pierwszy poziom chroni dokumenty, które wnosisz do Cashfulness — dzięki radykalnemu szyfrowaniu end-to-end.
Drugi poziom chroni Twoją tożsamość i Twoje dane księgowe — dzięki maksymalnej anonimizacji.
Oba poziomy odpowiadają na inne potrzeby i korzystają z innych narzędzi. Warto omówić je po kolei.
Dlaczego potrzebne jest połączenie (i co to znaczy dla prywatności)
Zanim przejdziemy do obu poziomów, jedna techniczna uwaga wstępna.
Cashfulness działa tylko wtedy, gdy Twoje urządzenie jest online.
Na telefonie czy na komputerze aplikacja musi móc rozmawiać ze zdalną bazą danych, która żyje na naszych serwerach (infrastruktura europejska).
Skąd taki wybór? Stąd, że Twoje dane księgowe muszą pozostać zsynchronizowane między urządzeniami, których używasz.
Jeśli w przerwie na lunch dodasz transakcję ze smartfona, chcesz ją wieczorem zobaczyć na laptopie. I odwrotnie.
Bez scentralizowanego punktu prawdy dane systematycznie rozjeżdżałyby się między klientami i skończyłbyś z dwiema niespójnymi kopiami własnej księgowości — to mały koszmar, który niweczy cały sens podwójnego zapisu.
Więc tak: Twoja księgowość przechodzi przez zdalny serwer.
To nie jest rezygnacja z prywatności — to techniczny warunek konieczny, żeby dać Ci księgowość, która naprawdę działa na wielu urządzeniach.
Ciekawe pytanie brzmi więc: jak chronimy Twoją prywatność przy takim ograniczeniu?
Odpowiedź kryje się w dwóch poziomach, które teraz opiszę.
Poziom 1 — Radykalne szyfrowanie end-to-end dla dokumentów
Kiedy zaczniesz korzystać z Cashfulness, prędzej czy później zechcesz wnieść do aplikacji swoje dokumenty: wyciągi bankowe, umowy kredytu hipotecznego albo najmu, rachunki za prąd i gaz, polisy ubezpieczeniowe, potwierdzenia inwestycji, sprawozdania funduszy, ważne dokumenty podatkowe.
W tych dokumentach jest wszystko: Twoje imię i nazwisko, adres, numer identyfikacji podatkowej, IBAN, kwoty, kontrahenci, szczegóły z życia.
To najbardziej wrażliwy poziom ze wszystkich.
Dla niego wybraliśmy rozwiązanie najbardziej rygorystyczne z możliwych: radykalne szyfrowanie end-to-end.
Termin techniczny brzmi szyfrowanie end-to-end, w skrócie E2EE.
Żeby zrozumieć, o co chodzi, bez technicznego żargonu, wyobraź sobie, że chcesz wysłać list kurierem.
Masz dwie możliwości.
Możliwość 1, model standardowy.
Piszesz list otwartym tekstem, wkładasz go do koperty, oddajesz kurierowi.
Kurier — jeśli zechce — może otworzyć kopertę, przeczytać list, zrobić notatki, a potem zakleić go z powrotem i dostarczyć.
Ufasz, że tego nie zrobi, bo obiecał, że nie zrobi, a być może dlatego, że zabraniają mu tego przepisy, które dają Ci pewne gwarancje.
Ale fizycznie — może.
Możliwość 2, szyfrowanie end-to-end.
Piszesz list i zamykasz go w metalowej skrzynce, którą otwiera tylko jeden konkretny klucz.
Klucz masz Ty. Tylko Ty.
Oddajesz skrzynkę kurierowi. Kurier ją przewozi i przechowuje.
Nawet gdyby ją wziął i zabrał do siebie, nie mógłby jej otworzyć, bo nie ma klucza.
Kiedy potrzebujesz listu, sam otwierasz skrzynkę swoim kluczem i czytasz.
Szyfrowanie end-to-end dokumentów w Cashfulness to metalowa skrzynka z Możliwości 2.
Kiedy wgrywasz dokument do aplikacji, Twoje urządzenie szyfruje go, zanim wyśle na serwer. Na serwer trafia zaszyfrowany i taki pozostaje.
Dla serwera każdy Twój dokument to blok cyfrowego szumu.
Klucz do odszyfrowania mieszka wyłącznie na Twoim urządzeniu i powstaje z Twojego osobistego hasła oraz 24 słów odzyskiwania (tak zwanej seed phrase — dziś najsolidniejszego dostępnego standardu generowania i ochrony osobistych kluczy kryptograficznych).
Co to oznacza w praktyce:
- Serwer Cashfulness nie może przeczytać Twoich dokumentów. Ani my, którzy zbudowaliśmy aplikację, ani ci, którzy zarządzają infrastrukturą, ani ewentualny przyszły napastnik.
- Gdyby jutro ktoś włamał się do Cashfulness i wykradł wszystkie dokumenty z serwerów, zobaczyłby szum. Bezużyteczny.
- Nawet organ, który formalnie zażądałby Twoich dokumentów, dostałby szum. Nie możemy ich wydać, bo nie mamy ich w postaci jawnej.
Jest i druga strona medalu i chcemy być wobec Ciebie uczciwi.
Jeśli zgubisz hasło i stracisz też 24 słowa odzyskiwania, Twoje dokumenty staną się nieczytelne również dla Ciebie.
Na zawsze.
Nie odzyskamy ich, bo technicznie nie umiemy przeczytać tego, co zaszyfrowałeś. Nie ma żadnego „przypomnienia hasła przez e-mail”, które oddałoby Ci dokumenty, bo po drugiej stronie nie ma nikogo, kto mógłby to zrobić.
Klucz należy wyłącznie do Ciebie.
To oznacza wolność — tylko Ty masz dostęp — i odpowiedzialność: tylko Ty możesz ten dostęp stracić.
To wybór filozoficzny. Wolimy dać Ci pełną kontrolę, nawet jeśli w komplecie idzie z nią ciężar pilnowania własnych danych logowania, niż trzymać ich kopię „na wszelki wypadek” na naszym serwerze. Taka kopia prędzej czy później mogłaby stać się punktem kompromitacji.
Klucz, który istnieje wyłącznie w Twoim telefonie — nie.
Poziom 2 — Maksymalna anonimizacja tożsamości i danych księgowych
Drugi poziom jest inny i obejmuje całą resztę: kim jesteś i co robisz w aplikacji, jeśli chodzi o liczby.
Dla tych danych wybraliśmy inną strategię, bo problem ma inną naturę.
Dokumenty to „skrzynki” z wrażliwą zawartością i sensowne jest zaszyfrowanie ich w całości.
Dane księgowe są za to żywą strukturą: liczby, konta, kategorie, ruchy, których potrzebujesz codziennie i na których Cashfulness buduje pokazywane Ci wskaźniki kondycji finansowej.
Szyfrowanie ich tak samo jak dokumentów uczyniłoby aplikację potwornie wolną, a w wielu przypadkach po prostu bezużyteczną.
Naszą odpowiedzią nie jest absolutne szyfrowanie. Jest nią maksymalna anonimizacja.
W praktyce oznacza to dwie rzeczy.
Cashfulness nie chce nawet wiedzieć, jak się nazywasz.
Przy rejestracji nie pytamy Cię o imię i nazwisko.
Pytamy o pseudonim — dowolny, jaki wybierzesz, może być całkowicie zmyślony.
Prosimy o adres e-mail do kontaktów technicznych (odzyskiwanie dostępu, komunikaty serwisowe) i o hasło.
Koniec.
Żadnego numeru identyfikacji podatkowej, żadnej daty urodzenia, żadnego adresu, żadnego numeru telefonu, żadnego połączenia z Twoim kontem bankowym, żadnej weryfikacji tożsamości.
Dla Cashfulness jesteś pseudonimem z adresem e-mail. Niczym więcej.
Twoje przestrzenie księgowe są trudne do rozszyfrowania dla kogoś, kto nie jest Tobą.
Aplikacja zachęca, żebyś rozpisał przychody i wydatki na konkretne konta i podkonta. Nazwy tych kont, etykiety ruchów, poziom szczegółowości, z jakim opisujesz swoje życie finansowe — o tym wszystkim decydujesz Ty, słownictwem, które jest dla Ciebie najwygodniejsze.
Cashfulness nigdy nie prosi, żebyś wpisywał dane osobowe w nazwy kont: żadnego numeru identyfikacji podatkowej, żadnego IBAN-u w nagłówkach, żadnych imion i nazwisk. Nazwy są operacyjne (na przykład: „Wynagrodzenie”, „Główne konto bieżące”, „Kredyt na dom”, „Wydatki na samochód”, „Czynsze otrzymane”): opisują funkcję, a nie Ciebie.
W połączeniu te dwa czynniki — pseudonim, który nie zdradza, kim jesteś, oraz nazwy kont, które opisują co, a nie kto — sprawiają, że Twoja księgowość jest trudna do zrozumienia i niemożliwa do powiązania z Tobą dla nikogo poza Tobą samym.
Konkretny efekt wygląda tak: nawet gdyby ktoś (napastnik, nieuczciwy pracownik, urząd) mógł zajrzeć do bazy danych po stronie serwera, zobaczyłby jakiś pseudonim z planem kont, saldami i ruchami.
Nie wiedziałby, kim jest ten pseudonim.
Nie miałby jak powiązać tych liczb z prawdziwą osobą po drugiej stronie ekranu.
Zobaczyłby księgowość bez biografii.
Kilka praktycznych wskazówek, żeby naprawdę zostać anonimowym
Anonimowość to nie tylko nasza obietnica — to również drobny gest z Twojej strony.
Jeśli chcesz, żeby Twoja księgowość była niezrozumiała dla każdego poza Tobą, radzimy:
- Nazywaj konta według funkcji, nie według osoby. „Konto bankowe”, „Wynagrodzenie”, „Kredyt na dom”, „Konto wspólne” sprawdzają się doskonale. „Konto Jana Kowalskiego” albo pełny IBAN w nagłówku otwierają niepotrzebną szczelinę.
- Zostaw opisy transakcji naturalnie ogólnymi. Z natury już takie są: „śniadanie w kawiarni”, „kolacja w restauracji”, „tankowanie”, „zakupy w markecie”. Nikt poza Tobą nie domyśli się, czy ta kolacja w restauracji odbyła się w Warszawie z klientem, czy w Krakowie z Twoją siostrą.
- Użyj do rejestracji pseudonimowego adresu e-mail, jeśli chcesz posunąć rzecz do końca. Twój adres służy tylko do logowania i do dostarczania komunikatów serwisowych: nikt Cię nie zmusza do używania „oficjalnego” w rodzaju
imie.nazwisko@domena.pl. Świetnie sprawdzi się pseudonim w styluaurora.nocna@protonmail.comalbo jakikolwiek inny, który Ci pasuje.
Płatność też jest anonimowa (dla nas)
Punkt, którego czytelnik zwykle się nie spodziewa, a który warto powiedzieć wprost.
Za abonamenty Cashfulness nie prosimy Cię bezpośrednio o kartę kredytową, IBAN ani dane do faktury. Płatność przechodzi przez sklep, z którego pobrałeś aplikację: App Store (Apple) lub Google Play (Google) w wersjach mobilnych, Stripe przy płatnościach ze strony internetowej.
To te podmioty trzecie widzą Twoje imię i nazwisko, adres, kartę kredytową albo IBAN — bo technicznie to one przyjmują pieniądze. I do nich zwykle należy wystawienie faktury lub paragonu za Twój abonament (zgodnie z przepisami Twojego kraju).
Cashfulness po drugiej stronie tej rury dostaje wyłącznie wpływ netto oraz nieprzejrzysty identyfikator abonamentu (coś w rodzaju sub_abc123).
Nigdy nie widzimy: nazwiska klienta, numeru identyfikacji podatkowej, karty kredytowej, IBAN-u.
Nie wystawiamy użytkownikom końcowym faktur ani paragonów.
Innymi słowy: również po stronie handlowej wystarczy nam wiedza, że istnieje aktywny abonament powiązany z jakimś pseudonimem i jakimś pseudonimowym adresem e-mail. Biografia klienta zostaje po drugiej stronie, w sklepie, i tam pozostaje.
Trudne wybory, które z tego wynikają
Połączenie tych dwóch poziomów nie jest darmową funkcją.
To decyzja, która strukturalnie zamyka pewne drzwi, i o tych drzwiach warto powiedzieć wprost, bo to właśnie tu widać cenę spójności.
Żadnej szczegółowej analityki zachowań per profil.
Nie możemy zestawiać aktywności w aplikacji z prawdziwymi tożsamościami, bo prawdziwych tożsamości nie mamy.
Rozwój produktu jest przez to trochę bardziej ślepy na wzorce indywidualne. Znacznie mocniej opieramy się na bezpośrednich opiniach, testach w becie i wywiadach jakościowych.
Działa, ale mniej automatycznie.
Żadnych spersonalizowanych rekomendacji handlowych.
Nie mówimy Ci „inni użytkownicy tacy jak Ty kupili X” na podstawie Twojego profilu. Nie podsuwamy Ci produktów sponsorowanych partnerów w oparciu o Twoje liczby. Modelu profilowania handlowego, który jest chlebem powszednim wielu darmowych aplikacji, w Cashfulness nie ma.
To, co natomiast robimy — i zależy nam, żeby powiedzieć to jasno — to ścieżki poprawy Twojej sytuacji finansowej: wskazówki, gdzie Twoje liczby sugerują możliwość oszczędności, gdzie struktura majątku zasługuje na chwilę namysłu, gdzie liczba miesięcy pokrycia mogłaby wzrosnąć po drobnych korektach.
To wskazówki edukacyjne, zbudowane na Twoich danych i — kiedy wymaga tego charakter danych — wyliczane na Twoim urządzeniu, na lokalnej odszyfrowanej kopii.
Ważne zastrzeżenie: Cashfulness nie udziela spersonalizowanych porad inwestycyjnych. To teren licencjonowanych doradców finansowych, i to z dobrych powodów: działalność regulowana, wymagająca kompetencji, odpowiedzialności i relacji zaufania innej niż ta między Tobą a aplikacją. Cashfulness pomaga Ci widzieć jasno, a nie wybrać fundusz do kupienia w przyszłym tygodniu.
Powiadomienia i newsletter: tylko jeśli sam chcesz, nigdy domyślnie.
To, że mamy alergię na profilowanie handlowe, nie znaczy, że jesteśmy niemą platformą.
Cashfulness może wysyłać Ci rzeczy przydatne — a mówiąc „przydatne”, mam na myśli naprawdę dla Ciebie, nie dla osób trzecich: alert, gdy budżet zbliża się do przekroczenia, podpowiedzi, gdzie Twoje liczby mówią, że mógłbyś oszczędzić, krótki okresowy newsletter z edukacyjnymi refleksjami o finansach osobistych i informacjami o zmianach w produkcie.
Wszystko to działa na zasadzie opt-in: włączasz to sam przy rejestracji albo później, kiedy zechcesz, i wyłączasz, kiedy zechcesz.
Żadne pole nie jest domyślnie zaznaczone. Twój adres e-mail — nawet pseudonimowy — służy nam wyłącznie do dostarczania tego, o co poprosiłeś, a nie do gonienia Cię wiadomościami, których nie chciałeś.
Sztuczna inteligencja rygorystycznie zgodna z oboma poziomami prywatności.
Funkcje sztucznej inteligencji, które Cashfulness rozwija albo będzie rozwijać, respektują opisane wyżej rozróżnienie.
Przy dokumentach (wyciągi, umowy, rachunki, polisy) te operacje AI, które wymagają odczytania zawartości, odbywają się na Twoim urządzeniu, na lokalnej odszyfrowanej kopii. Serwer nigdy nie widzi treści tych dokumentów.
Przy danych księgowych (salda, ruchy, kategorie Twojego pseudonimu) ewentualne operacje po stronie serwera pracują na liczbach pozbawionych danych osobowych — na „księgowości bez biografii”, o której mówiłem wcześniej. AI może pomóc Ci odczytać przydatne wzorce (na przykład zwrócić uwagę na wydatek odstający od Twojej normy albo podpowiedzieć, gdzie przyciąć), ale nigdy nie może powiązać tych liczb z prawdziwym imieniem i nazwiskiem.
Czego nie zrobimy, to nie zbudujemy modelu AI, który wiąże to, kim jesteś, z Twoim życiem finansowym — bo tego „kim jesteś” w Cashfulness po prostu nie mamy.
Żadnej sprzedaży zagregowanych danych dających się przypisać osobom.
Nie możemy sprzedać bankom, instytutom badawczym czy agencjom reklamowym „zbioru danych o wydatkach Polaków według wieku i miejsca zamieszkania”. Danych o wieku i miejscu zamieszkania po prostu nie mamy.
Byłby to znaczący kanał przychodów. Świadomie usunęliśmy go z modelu biznesowego.
Handlowa konsekwencja tych decyzji jest jasna: utrzymujemy się wyłącznie z abonamentów opłacanych bezpośrednio przez użytkowników.
Minimalny darmowy plan, abonament Premium, abonament Ultra.
Żadnych reklam, żadnej sprzedaży danych, żadnego partnerstwa wymagającego dostępu do danych użytkowników.
To model węższy niż rynkowy standard, ale uczciwy — i jedyny, który pozwala Cashfulness dotrzymać obietnicy złożonej na pierwszym ekranie po instalacji.
Konsekwencja tego modelu, która nam się podoba: każdy użytkownik, który decyduje się płacić za Cashfulness, to użytkownik, który naprawdę chce tego produktu.
Nie ma tu mechaniki, w której „produkt jest darmowy, bo produktem jesteś Ty”.
Jesteś klientem, a produktem jest to, za co płacisz.
Partnerstwa też podlegają tej regule
Jest pytanie, które prędzej czy później nam zadadzą — i warto je uprzedzić.
Gdyby Cashfulness otworzył się w przyszłości na integracje z innymi usługami finansowymi (porównywarki taryf, brokerzy ubezpieczeniowi, zarządzający inwestycjami), czy te dwa poziomy ochrony nadal by się utrzymały?
Tak, a regułę formułujemy tak: jeśli Cashfulness integruje zewnętrznego partnera, wywołanie do partnera zawsze wychodzi z Twojego urządzenia, na Twoją wyraźną prośbę, dla konkretnej pozycji.
Nigdy zbiorczo po stronie serwera.
Nigdy automatycznie.
Nigdy bez Twojego świadomego gestu.
Podam konkretny przykład, choć na razie przyszły i hipotetyczny.
Załóżmy, że wgrałeś do Cashfulness rachunek za prąd i chcesz sprawdzić, czy na rynku jest lepsza oferta.
W standardowej aplikacji system automatycznie wysłałby partnerowi dane z rachunku (a może i inne dane kontekstowe), odebrałby odpowiedź i pokazał Ci ją.
W modelu Cashfulness zobaczysz przy tym konkretnym rachunku przycisk „sprawdź u [partnera]”.
Kiedy go naciśniesz, Twój telefon pobierze rachunek z archiwum Cashfulness i odszyfruje go lokalnie — bo pamiętajmy: wgrane dokumenty są szyfrowane end-to-end i tylko Twoje urządzenie ma klucz do odczytania ich w postaci jawnej — wyciągnie wyłącznie dane niezbędne do sprawdzenia (zużycie, taryfa, obecny dostawca), wyśle je bezpośrednio do partnera z pominięciem naszego serwera i pokaże Ci odpowiedź.
Serwer Cashfulness również w tym scenariuszu nie zobaczył niczego.
Ani dokumentu, ani liczb, ani Twojej tożsamości.
To nie jest spóźnione ustępstwo na rzecz prywatności.
To sposób, w jaki naszym zdaniem partnerstwa w finansach osobistych powinny działać.
Technicznie buduje się to trudniej — wymaga SDK po stronie urządzenia, precyzyjnego uwierzytelniania, zarządzania danymi dostępowymi w telefonie — ale to jedyny sposób spójny z obietnicą marki.
Partnerstwa, które poproszą Cashfulness o zbiorczy dostęp do danych po stronie serwera, dostaną uprzejmą odmowę.
Obietnica w jednym zdaniu
Oto obietnica, streszczona w jednym zdaniu, które chcielibyśmy zostawić:
Cashfulness nie wie, kim jesteś, nie czyta Twoich dokumentów, nie rozumie Twoich liczb. Wszystkie klucze masz tylko Ty.
Trzy różne czasowniki dla trzech różnych poziomów.
Nie wie, kim jesteś: bo mu tego nie mówisz. Użyjesz pseudonimu i tyle wystarczy.
Nie czyta Twoich dokumentów: bo są zaszyfrowane kluczem, który masz tylko Ty.
Nie rozumie Twoich liczb: bo bez Twojego kontekstu są księgowością bez biografii.
Cała reszta produktu opiera się na tym zdaniu.
Wskaźniki kondycji finansowej, rozróżnienie na Aktywa+ i Aktywa-, niewidoczny podwójny zapis, cotygodniowy dziesięciominutowy rytuał — wszystko to, o czym piszemy w innych artykułach tego bloga — działa naprawdę tylko wtedy, gdy nad tym wszystkim rozpięty jest sufit prywatności, który czyni je faktycznie Twoimi, a nie tylko w języku marketingu.
Jeśli tego właśnie szukasz, jesteś we właściwym miejscu.
Czekamy na Ciebie na liście oczekujących na betę: cashfulness.com/beta.
A jeśli wolisz aplikację, która analizuje Twoje zachowania, żeby lepiej Ci doradzać w zamian za część Twojej prywatności, to prawomocny wybór — nie ma w tym nic złego — ale tym miejscem nie będziemy my.
I to jest w porządku.
Cashfulness powstał dla ludzi, dla których domowe liczby mają zostać w domu, i doskonale wie, że jest jednym z wielu możliwych wyborów.
— Vittorio