A maior parte das apps gratuitas que tens no telemóvel não são gratuitas.
Oferecem-tas em troca dos teus dados.
É uma troca.
É transparente em princípio e, em muitos casos, é até uma troca que vale a pena fazer — não há escândalo nenhum em fazê-la.
Muitas apps de finanças pessoais funcionam assim, também.
Dão-te uma ferramenta de acompanhamento gratuita ou quase gratuita e, em troca, agregam os teus dados de despesa para produzir relatórios de mercado, recomendações personalizadas, sugestões publicitárias, perfilagem, parcerias comerciais.
Também aqui, em princípio, é uma escolha legítima do fornecedor.
Tu, num instante, aceitas os termos do serviço e segues em frente.
O Cashfulness fez uma escolha diferente.
Não para julgar as outras apps — cada um constrói o seu modelo, e muitos fazem-no honestamente — mas porque acreditamos que as finanças pessoais merecem um tratamento diferente.
É uma área onde já há nevoeiro que chegue, e onde a consciência de que alguém (mesmo que só em teoria) possa olhar para os teus números tira o próprio sentido ao produto.
A calma de que falamos, se os dados não estiverem seguros, é uma promessa vazia.
Por isso construímos o Cashfulness à volta de uma escolha técnica precisa, escrita nos alicerces do código, que funciona em dois níveis.
O primeiro nível protege os documentos que levas para dentro do Cashfulness — com cifragem de ponta a ponta radical.
O segundo nível protege a tua identidade e os teus dados contabilísticos — com anonimização máxima.
Os dois níveis respondem a necessidades diferentes e usam ferramentas diferentes. Vale a pena explicá-los um de cada vez.
Porque é preciso ligação (e o que isso significa para a privacidade)
Uma nota técnica, antes de entrarmos nos dois níveis.
O Cashfulness funciona só se o teu dispositivo estiver online.
Móvel ou computador, a app tem de poder falar com uma base de dados remota que vive nos nossos servidores (infraestrutura europeia).
Porquê esta escolha? Porque os teus dados contabilísticos têm de ficar sincronizados entre os vários dispositivos que usas.
Se adicionas uma transação a partir do telemóvel na pausa do almoço, queres revê-la à noite no portátil. Se fizeres o inverso, o mesmo.
Sem um ponto de verdade centralizado, os dados divergiriam sistematicamente entre os clientes, e acabarias com duas cópias incoerentes da tua contabilidade — um pequeno pesadelo que deita por terra todo o sentido das partidas dobradas.
Portanto sim, a tua contabilidade passa por um servidor remoto.
Não é uma renúncia à privacidade: é a condição técnica necessária para te dar uma contabilidade que funciona mesmo em vários dispositivos.
A pergunta interessante passa a ser: como protegemos a tua privacidade dada esta condição?
A resposta está nos dois níveis que te conto agora.
Nível 1 — Cifragem de ponta a ponta radical para os documentos
Quando começas a usar o Cashfulness, mais cedo ou mais tarde vais querer levar para dentro da app os teus documentos: extratos bancários, contratos de crédito à habitação ou de arrendamento, faturas da luz e do gás, apólices de seguro, certificados de investimentos, relatórios de fundos, recibos fiscais importantes.
Estes documentos contêm de tudo: o teu nome por extenso, morada, número de contribuinte, IBAN, montantes, contrapartes, detalhes de vida.
São o nível mais sensível que existe.
Para eles fizemos a escolha mais restritiva possível: cifragem de ponta a ponta radical.
O termo técnico é cifragem de ponta a ponta, ou E2EE.
Para perceberes o que é sem tecnicismos, imagina que queres enviar uma carta através de um estafeta.
Tens duas opções.
Opção 1, modelo padrão.
Escreves a carta às claras, metes num envelope, dás o envelope ao estafeta.
O estafeta — se quiser — pode abrir o envelope, ler a carta, tomar notas, e depois voltar a fechá-lo e entregá-lo.
Tu confias que não o fará porque prometeu não o fazer, talvez porque há leis que lho proíbem e te dão alguma garantia.
Mas, materialmente, pode.
Opção 2, cifragem de ponta a ponta.
Escreves a carta e fechas-la numa caixa de metal que só abre com uma chave específica.
A chave tem-la tu. Só tu.
Dás a caixa ao estafeta. O estafeta transporta-a e arquiva-a.
Mesmo que a levasse para sua casa, não a conseguiria abrir, porque não tem a chave.
Quando precisas da carta, és tu que voltas a abrir a caixa com a tua chave, e lês.
A cifragem de ponta a ponta dos documentos no Cashfulness é a caixa de metal da Opção 2.
Quando carregas um documento na app, o teu dispositivo cifra-o antes de o enviar ao servidor. Ao servidor chega cifrado e cifrado fica.
Para o servidor, cada um dos teus documentos é um bloco de ruído digital.
A chave para o decifrar reside apenas no teu dispositivo, derivada da tua palavra-passe pessoal e das tuas 24 palavras de recuperação (a chamada seed phrase, o padrão mais sólido hoje disponível para gerar e proteger chaves criptográficas pessoais).
O que isto significa, na prática:
- O servidor do Cashfulness não pode ler os teus documentos. Nem nós, que construímos a app, nem quem gere a infraestrutura, nem um eventual atacante futuro.
- Se amanhã o Cashfulness fosse violado e todos os documentos nos servidores fossem roubados, o atacante veria ruído. Inutilizável.
- Até uma autoridade que pedisse formalmente os teus documentos receberia ruído. Não os podemos entregar, porque não os temos às claras.
Há um reverso da medalha, e queremos ser honestos quanto a isso.
Se perderes a tua palavra-passe e perderes também as 24 palavras de recuperação, os teus documentos tornam-se ilegíveis mesmo para ti.
Para sempre.
Não os podemos recuperar, porque tecnicamente não podemos ler aquilo que cifraste. Não há uma "recuperação de palavra-passe por e-mail" que te devolva os documentos, porque não há ninguém do outro lado que o possa fazer.
A chave é só tua.
Isto significa liberdade — és o único que pode aceder — e responsabilidade — és o único que pode perder o acesso.
É uma escolha de filosofia. Preferimos dar-te o controlo inteiro, mesmo que isso inclua o peso de guardares as tuas credenciais, a ficarmos com uma cópia "de segurança" no nosso servidor. Essa cópia, mais cedo ou mais tarde, podia tornar-se um ponto de compromisso.
Uma chave que existe apenas no teu telemóvel, não.
Nível 2 — Anonimização máxima para identidade e dados contabilísticos
O segundo nível é diferente e cobre todo o resto: quem és e o que fazes dentro da app em termos de números.
Para estes dados escolhemos outra estratégia, porque o problema é de natureza diferente.
Os documentos são "caixas" com conteúdo sensível, e faz sentido cifrá-las por inteiro.
Já os dados contabilísticos são uma estrutura viva: números, contas, categorias, movimentos de que precisas todos os dias, e sobre os quais o Cashfulness constrói as métricas de saúde financeira que te mostra.
Cifrá-los da mesma maneira que os documentos tornaria a app lentíssima e, em muitos casos, inutilizável.
A nossa resposta não é a cifragem absoluta. É a anonimização máxima.
Na prática, significa duas coisas.
O Cashfulness nem sequer quer saber como te chamas.
Quando te registas, não te pedimos nome e apelido.
Pedimos-te uma alcunha — o nickname que tu quiseres, pode até ser de pura fantasia.
Pedimos-te um e-mail para os contactos técnicos (recuperação de acesso, comunicações de serviço) e uma palavra-passe.
Fim.
Sem número de contribuinte, sem data de nascimento, sem morada, sem número de telefone, sem ligação à tua conta bancária, sem verificação de identidade.
Para o Cashfulness, és uma alcunha com um e-mail. Nada mais.
Os teus espaços contabilísticos são difíceis de decifrar para quem não és tu.
A app convida-te a articular receitas e despesas em contas e subcontas específicas. Os nomes que dás a essas contas, as etiquetas dos teus movimentos, o nível de detalhe com que descreves a tua vida financeira — decides tu, com o vocabulário que te for mais útil.
O Cashfulness nunca te pede que introduzas dados pessoais dentro dos nomes das contas: sem número de contribuinte, sem IBAN nos títulos, sem nomes próprios. Os nomes são operacionais (por exemplo: "Salário", "Conta à ordem principal", "Crédito da casa", "Despesas do carro", "Rendas recebidas"): descrevem uma função, não a ti.
Combinados, estes dois fatores — uma alcunha que não revela quem és e nomes de contas que descrevem o quê e não quem — tornam a tua contabilidade difícil de perceber e impossível de ligar a ti para quem quer que não sejas tu.
O resultado concreto é este: mesmo que alguém (um atacante, um funcionário desonesto, uma autoridade) pudesse olhar para a base de dados do lado do servidor, veria uma certa alcunha com um plano de contas, uns saldos e uns movimentos.
Não saberia quem é essa alcunha.
Não teria maneira de ligar esses números à pessoa real que está atrás do ecrã.
Veria uma contabilidade sem biografia.
Alguns conselhos práticos para seres mesmo anónimo
O anonimato não é só uma promessa nossa: é também um pequeno gesto teu.
Se queres que a tua contabilidade seja incompreensível para quem não sejas tu, aconselhamos-te a:
- Dar nomes às contas por função, não por pessoa. "Conta do banco", "Salário", "Crédito da casa", "Conta conjunta" funcionam bem. "Conta Mario Rossi" ou um IBAN por extenso no título abrem uma brecha inútil.
- Deixar as descrições das transações naturalmente genéricas. Por natureza já o são: "pequeno-almoço no café", "jantar no restaurante", "abastecimento do carro", "compras no supermercado". Ninguém fora de ti perceberia se aquele jantar no restaurante foi em Milão com um cliente ou em Lucca com a tua irmã.
- Usar um e-mail pseudónimo no registo, se quiseres levar a coisa ao extremo. O teu e-mail serve apenas para iniciar sessão e para te fazer chegar comunicações de serviço: ninguém te obriga a usar um "oficial" do tipo
nome.apelido@dominio.com. Serve perfeitamente um pseudónimo do tipoaurora.da.noite@protonmail.comou qualquer outro que te dê jeito.
O pagamento também é anónimo (para nós)
Um ponto que o leitor normalmente não espera, e que vale a pena dizer com clareza.
Para as subscrições do Cashfulness não te pedimos cartão de crédito, IBAN ou dados de faturação diretamente. O pagamento passa pela loja a partir da qual descarregaste a app: App Store (Apple) ou Google Play (Google) para as versões móveis, Stripe para os pagamentos a partir do site.
São esses terceiros que veem o teu nome, morada, cartão de crédito ou IBAN — porque tecnicamente são eles que recebem o dinheiro. É a eles que compete, em regra, a emissão de faturas ou recibos fiscais pela tua subscrição (com as regras do teu país).
O Cashfulness, do outro lado desse tubo, recebe apenas o valor líquido e um identificador opaco da subscrição (algo do tipo sub_abc123).
Nunca vemos: nome do cliente, número de contribuinte, cartão de crédito, IBAN.
Não emitimos faturas nem recibos fiscais aos utilizadores finais.
Por outras palavras: também na frente comercial, de ti basta-nos saber que existe uma subscrição ativa ligada a uma certa alcunha e a um certo e-mail pseudónimo. A biografia do cliente fica do outro lado, na loja, e é lá que fica.
As escolhas difíceis que daqui decorrem
Juntar estes dois níveis não é uma funcionalidade grátis.
É uma escolha que fecha algumas portas de forma estrutural, e sobre essas portas vale a pena sermos explícitos, porque é aqui que se vê o preço da coerência.
Sem análise de comportamento granular por perfil.
Não podemos correlacionar a atividade dentro da app com identidades reais, porque as identidades reais não as temos.
O desenvolvimento do produto fica um pouco mais cego quanto aos padrões individuais. Apoiamo-nos muito mais no feedback direto, nos testes em beta, nas entrevistas qualitativas.
Funciona, mas é menos automático.
Sem recomendações comerciais personalizadas.
Não te dizemos "outros utilizadores como tu compraram X" a partir do teu perfil. Não te empurramos produtos de parceiros patrocinados com base nos teus números. O modelo de perfilagem comercial que é o pão de tantas apps gratuitas, no Cashfulness não existe.
O que fazemos — e fazemos questão de o dizer com clareza — são percursos de melhoria da tua situação financeira: indicações sobre onde os teus números sugerem que se poderia poupar, onde a composição do património merece uma reflexão, onde os meses de cobertura poderiam crescer com pequenos ajustes.
São indicações educativas, construídas sobre os teus dados e — quando a natureza dos dados o exige — calculadas no teu dispositivo, sobre uma cópia decifrada local.
Uma precisão importante: o Cashfulness não dá conselhos de investimento personalizados. Isso é território dos consultores financeiros registados junto da entidade competente, e por boas razões: é uma atividade regulada que exige competências, responsabilidade e uma relação de confiança diferente da que existe entre ti e uma app. O Cashfulness ajuda-te a ver claro, não a escolher o fundo que vais comprar para a semana.
Notificações e newsletter: só se as quiseres, nunca por defeito.
O facto de sermos alérgicos à perfilagem comercial não significa que sejamos uma plataforma muda.
O Cashfulness pode enviar-te coisas úteis — e quando digo "úteis" quero mesmo dizer para ti, não para terceiros: alertas se um orçamento estiver prestes a ser ultrapassado, sugestões sobre onde os teus números dizem que poderias poupar, uma breve newsletter periódica com reflexões educativas sobre finanças pessoais e sobre as atualizações do produto.
Tudo isto é opt-in: ativa-lo tu no momento do registo ou depois, quando quiseres, e desativa-lo quando quiseres.
Nenhuma caixa está assinalada por defeito. O teu e-mail — mesmo que pseudónimo — serve-nos apenas para te fazer chegar aquilo que pediste, não para te perseguir com mensagens que não quiseste.
IA rigorosamente conforme aos dois níveis de privacidade.
As funcionalidades de inteligência artificial que o Cashfulness desenvolve ou virá a desenvolver respeitam a distinção que descrevemos acima.
Sobre os documentos (extratos, contratos, faturas, apólices), os processamentos de IA que exigem ler o seu conteúdo acontecem no teu dispositivo, sobre uma cópia decifrada local. O servidor nunca vê o conteúdo desses documentos.
Sobre os dados contabilísticos (saldos, movimentos, categorias da tua alcunha), eventuais processamentos do lado do servidor correm sobre números sem identidade civil — a "contabilidade sem biografia" de que falava atrás. A IA pode ajudar-te a ler padrões úteis (por exemplo, assinalar-te uma despesa fora de escala em relação ao teu habitual, ou sugerir onde cortar), mas sem nunca poder ligar esses números a um nome e apelido reais.
O que não vamos fazer é construir um modelo de IA que ligue o quem és à tua vida financeira — porque o "quem és", no Cashfulness, não o temos.
Sem venda de dados agregados atribuíveis a pessoas.
Não podemos vender "conjuntos de dados de despesas dos italianos por faixa etária e residência" a bancos, institutos de investigação, agências de publicidade. Os dados de identificação e de residência não os temos.
Teria sido um canal de receita significativo. Eliminámo-lo deliberadamente do modelo de negócio.
A consequência comercial destas escolhas é clara: para nos sustentarmos, vivemos apenas de subscrições diretas dos utilizadores.
Nível Free mínimo, subscrição Base, subscrição Top.
Nenhuma publicidade, nenhuma venda de dados, nenhuma parceria que exija acesso aos dados dos utilizadores.
É um modelo mais restritivo do que o padrão do mercado, mas é honesto, e é o único que permite ao Cashfulness manter a promessa que faz no primeiro ecrã do onboarding.
Uma consequência deste modelo de que gostamos: cada utilizador que escolhe pagar pelo Cashfulness é um utilizador que quer mesmo o produto.
Não existe a dinâmica segundo a qual "o produto é grátis porque o produto és tu".
És o cliente, e o produto é aquilo que pagas.
Também as parcerias respeitam esta regra
Há uma pergunta que mais cedo ou mais tarde nos será feita — e que vale a pena antecipar.
Se no futuro o Cashfulness abrisse a integrações com outros serviços financeiros (comparadores de tarifários, corretores de seguros, gestores de investimentos), estes dois níveis de proteção manter-se-iam de pé?
Sim, e a regra formulamo-la assim: se o Cashfulness integrar um parceiro externo, a chamada ao parceiro partirá sempre do teu dispositivo, a teu pedido específico, para um item específico.
Nunca agregada do lado do servidor.
Nunca automática.
Nunca sem o teu gesto consciente.
Dou um exemplo concreto, ainda que futuro e hipotético.
Suponhamos que carregaste no Cashfulness a tua fatura da luz e queres saber se há uma oferta melhor no mercado.
Numa app padrão, o sistema enviaria automaticamente ao parceiro os dados da fatura (e talvez outros dados de contexto), receberia a resposta e mostrar-ta-ia.
No modelo Cashfulness, pelo contrário, vais ver um botão "verificar com [parceiro]" nessa fatura específica.
Quando o carregas, o teu telemóvel descarrega a fatura do arquivo do Cashfulness e decifra-a localmente — porque, recordemos: os documentos carregados estão cifrados de ponta a ponta e só o teu dispositivo tem a chave para os ler às claras — extrai apenas os dados necessários para a verificação (consumo, escalão, fornecedor atual), envia-os diretamente ao parceiro sem passar pelo nosso servidor, e mostra-te a resposta.
O servidor do Cashfulness, mesmo neste cenário, não viu nada.
Nem o documento, nem os números, nem a tua identidade.
Isto não é uma concessão tardia à privacidade.
É o modo como pensamos que as parcerias devem funcionar em finanças pessoais.
É mais incómodo de construir tecnicamente — exige SDK do lado do dispositivo, autenticação fina, gestão de credenciais no telemóvel — mas é a única forma coerente com a promessa da marca.
As parcerias que pedirem ao Cashfulness um acesso agregado do lado do servidor aos dados receberão, com toda a cortesia, um não.
A promessa, numa frase
Esta é a promessa, resumida numa frase que gostaríamos que ficasse:
O Cashfulness não sabe quem és, não lê os teus documentos, não percebe os teus números. Só tu tens todas as chaves.
Três verbos diferentes para três níveis diferentes.
Não sabe quem és: porque não lho dizes. Vais usar uma alcunha, e isso chega.
Não lê os teus documentos: porque estão cifrados com uma chave que só tu possuis.
Não percebe os teus números: porque, sem o teu contexto, são uma contabilidade sem biografia.
Todo o resto do produto assenta nesta frase.
As métricas de saúde financeira, a distinção entre Ativo+ e Ativo-, as partidas dobradas invisíveis, o ritual semanal dos dez minutos — todas coisas de que falamos nos outros artigos deste blogue — só funcionam mesmo se por cima delas houver um teto de privacidade que as torne tuas a sério, e não só na linguagem do marketing.
Se é isso que procuras, estás no sítio certo.
Esperamos por ti na lista de espera da beta em cashfulness.com/beta.
Se, pelo contrário, preferes uma app que te analisa os comportamentos para te aconselhar melhor em troca de parte da tua privacidade, é uma escolha legítima — não há nada de mal nisso — mas não seremos nós esse sítio.
Está bem assim.
O Cashfulness foi pensado para as pessoas para quem os números de casa devem ficar em casa, e sabe muito bem que é uma escolha entre outras.
— Vittorio