De flesta gratisappar du har i telefonen är inte gratis.
De erbjuds dig i utbyte mot dina data.
Det är en bytesaffär.
Den är transparent i princip, och i många fall är den också en affär värd att göra — det finns ingen skandal i det.
Många appar för privatekonomi fungerar också så.
De ger dig ett spårningsverktyg gratis eller nästan gratis, och i utbyte samlar de dina utgiftsdata för att ta fram marknadsrapporter, personliga rekommendationer, reklamförslag, profilering, kommersiella partnerskap.
Även här är det i princip ett legitimt val från leverantören.
Du godkänner användarvillkoren på ett ögonblick och går vidare.
Cashfulness har gjort ett annat val.
Inte för att döma de andra apparna — var och en bygger sin egen modell, och många gör det hederligt — utan för att vi tror att privatekonomin förtjänar en annan behandling.
Det är ett område där dimman redan är tät nog, och där vetskapen att någon (om så bara i teorin) kan titta på dina siffror tar bort själva meningen med produkten.
Lugnet vi talar om är ett urholkat löfte om dina data inte är trygga.
Därför har vi byggt Cashfulness kring ett precist tekniskt val, skrivet i kodens grundvalar, som fungerar på två nivåer.
Den första nivån skyddar dokumenten du tar med in i Cashfulness — med radikal end-to-end-kryptering.
Den andra nivån skyddar din identitet och dina bokföringsdata — med maximal anonymisering.
De två nivåerna svarar på olika behov och använder olika verktyg. Det är värt att förklara dem en i taget.
Varför det behövs uppkoppling (och vad det betyder för integriteten)
En teknisk förutsättning, innan vi går in på de två nivåerna.
Cashfulness fungerar bara om din enhet är online.
På mobil eller dator måste appen kunna tala med en fjärrdatabas som lever på våra servrar (europeisk infrastruktur).
Varför det här valet? För att dina bokföringsdata måste hållas synkroniserade mellan de olika enheter du använder.
Lägger du in en transaktion från mobilen i lunchpausen vill du se den igen på kvällen från den bärbara. Gör du tvärtom, samma sak.
Utan en centraliserad sanningspunkt skulle data systematiskt glida isär mellan klienterna, och du skulle stå med två inkonsekventa kopior av din bokföring — en liten mardröm som omintetgör hela poängen med dubbel bokföring.
Så ja, din bokföring passerar en fjärrserver.
Det är inte att ge upp integriteten: det är den nödvändiga tekniska förutsättningen för att ge dig en bokföring som verkligen fungerar på flera enheter.
Den intressanta frågan blir: hur skyddar vi din integritet givet den förutsättningen?
Svaret ligger i de två nivåer jag berättar om nu.
Nivå 1 — Radikal end-to-end-kryptering för dokumenten
När du börjar använda Cashfulness vill du förr eller senare ta med dina dokument in i appen: kontoutdrag från banken, bolåne- eller hyreskontrakt, el- och gasräkningar, försäkringsbrev, investeringsbevis, fondrapporter, viktiga kvitton för skatten.
De dokumenten innehåller allt möjligt: ditt fullständiga namn, adress, personnummer, IBAN, belopp, motparter, detaljer ur ditt liv.
De är den allra känsligaste nivån.
För dem har vi gjort det striktaste tänkbara valet: radikal end-to-end-kryptering.
Fackbegreppet är end-to-end-kryptering, eller E2EE.
För att förstå vad det är utan teknikaliteter, föreställ dig att du vill skicka ett brev med ett bud.
Du har två val.
Val 1, standardmodellen.
Du skriver brevet i klartext, lägger det i ett kuvert, ger det till budet.
Budet kan — om det vill — öppna kuvertet, läsa brevet, göra anteckningar, och sedan försluta det igen och lämna fram det.
Du litar på att det inte gör det eftersom det lovat att låta bli, kanske för att det finns lagar som förbjuder det och ger dig en viss garanti.
Men rent fysiskt kan det.
Val 2, end-to-end-kryptering.
Du skriver brevet och låser in det i en metallåda som bara öppnas med en specifik nyckel.
Nyckeln har du. Bara du.
Du ger lådan till budet. Budet transporterar den och arkiverar den.
Även om det tog den med sig hem skulle det inte kunna öppna den, för det har inte nyckeln.
När du behöver brevet öppnar du själv lådan med din nyckel, och läser.
End-to-end-krypteringen av dokumenten i Cashfulness är metallådan i Val 2.
När du laddar upp ett dokument i appen krypterar din enhet det innan det skickas till servern. På servern anländer det och förblir krypterat.
För servern är varje dokument du har ett block av digitalt brus.
Nyckeln för att dekryptera det finns bara på din enhet, härledd ur ditt personliga lösenord och dina 24 återställningsord (den så kallade seed phrase, den mest solida standard som i dag finns för att generera och skydda personliga kryptografiska nycklar).
Vad det betyder, i praktiken:
- Cashfulness server kan inte läsa dina dokument. Inte vi som byggt appen, inte de som sköter infrastrukturen, inte en eventuell framtida angripare.
- Om Cashfulness i morgon bröts upp och alla dokument på servrarna stals, skulle angriparen se brus. Oanvändbart.
- Även en myndighet som formellt begärde dina dokument skulle få brus. Vi kan inte lämna ut dem, för vi har dem inte i klartext.
Det finns en baksida av myntet, och om den vill vi vara ärliga.
Tappar du ditt lösenord och tappar också de 24 återställningsorden, blir dina dokument oläsbara även för dig.
För alltid.
Vi kan inte återställa dem, för tekniskt sett kan vi inte läsa det du har krypterat. Det finns ingen ”lösenordsåterställning via e-post” som ger dig dokumenten tillbaka, för det finns ingen på andra sidan som kan göra det.
Nyckeln är bara din.
Det betyder frihet — du är den enda som kan komma åt — och ansvar — du är den enda som kan förlora åtkomsten.
Det är ett filosofiskt val. Vi föredrar att ge dig hela kontrollen, även om det inkluderar bördan att vårda dina inloggningsuppgifter, framför att hålla en ”säkerhetskopia” av dem på vår server. Den kopian skulle förr eller senare kunna bli en punkt för intrång.
En nyckel som bara finns i din telefon, inte.
Nivå 2 — Maximal anonymisering för identitet och bokföringsdata
Den andra nivån är annorlunda, och täcker allt det övriga: vem du är och vad du gör i appen i siffror.
För de här uppgifterna har vi valt en annan strategi, för problemet är av annan natur.
Dokumenten är ”lådor” med känsligt innehåll, och det är rimligt att kryptera dem i sin helhet.
Bokföringsdata är däremot en levande struktur: siffror, konton, kategorier, rörelser du behöver varje dag, och på vilka Cashfulness bygger de finansiella hälsomått den visar dig.
Att kryptera dem på samma sätt som dokumenten skulle göra appen oerhört långsam och i många fall oanvändbar.
Vårt svar är inte absolut kryptering. Det är maximal anonymisering.
I praktiken betyder det två saker.
Cashfulness vill inte ens veta vad du heter.
När du registrerar dig ber vi inte om för- och efternamn.
Vi ber om ett smeknamn — vilket du vill, det kan gärna vara rent påhittat.
Vi ber om en e-post för tekniska kontakter (återställning av åtkomst, tjänstemeddelanden), och ett lösenord.
Punkt.
Inget personnummer, inget födelsedatum, ingen adress, inget telefonnummer, ingen koppling till ditt bankkonto, ingen identitetskontroll.
För Cashfulness är du ett smeknamn med en e-post. Inget mer.
Dina bokföringsutrymmen är svåra att tyda för den som inte är du.
Appen bjuder in dig att dela upp inkomster och utgifter i specifika konton och underkonton. Namnen du ger de kontona, etiketterna på dina rörelser, detaljnivån du beskriver ditt ekonomiska liv med — bestämmer du, med det ordförråd som är mest användbart för dig.
Cashfulness ber dig aldrig lägga personuppgifter i kontonamnen: inget personnummer, ingen IBAN i rubrikerna, inga egennamn. Namnen är operativa (till exempel: ”Lön”, ”Huvudkonto”, ”Bolån”, ”Bilutgifter”, ”Inkasserade hyror”): de beskriver en funktion, inte dig.
Tillsammans gör de här två faktorerna — ett smeknamn som inte avslöjar vem du är, och kontonamn som beskriver vad och inte vem — din bokföring svår att förstå och omöjlig att koppla till dig för alla som inte är du själv.
Det konkreta resultatet är detta: även om någon (en angripare, en oärlig anställd, en myndighet) kunde titta på databasen på serversidan, skulle den se ett visst smeknamn med en kontoplan, saldon och rörelser.
Den skulle inte veta vem det smeknamnet är.
Den skulle inte ha något sätt att knyta de siffrorna till den verkliga personen bakom skärmen.
Den skulle se en bokföring utan biografi.
Några praktiska tips för att förbli verkligt anonym
Anonymiteten är inte bara vårt löfte: den är också en liten gest från dig.
Vill du att din bokföring ska vara obegriplig för alla som inte är du, rekommenderar vi att:
- Namnge kontona efter funktion, inte efter person. ”Bankkonto”, ”Lön”, ”Bolån”, ”Gemensamt konto” fungerar bra. ”Konto Sven Svensson” eller ett fullständigt IBAN i rubriken öppnar en onödig springa.
- Låta transaktionsbeskrivningarna vara naturligt generiska. Till sin natur är de det redan: ”frukost på kaféet”, ”middag på restaurang”, ”tanka bilen”, ”mataffär”. Ingen utom du skulle förstå om den där restaurangmiddagen var i Milano med en kund eller i Lucca med din syster.
- Använda en pseudonym e-post vid registreringen, om du vill dra det till sin spets. Din e-post behövs bara för inloggning och för att leverera tjänstemeddelanden: ingen tvingar dig att använda en ”officiell” av typen
namn.efternamn@doman.se. En pseudonym av typenaurora.di.notte@protonmail.comeller vilken annan som passar dig fungerar utmärkt.
Även betalningen är anonym (för oss)
En punkt som läsaren i regel inte väntar sig, och som är värd att säga tydligt.
För prenumerationerna på Cashfulness ber vi dig inte direkt om kreditkort, IBAN eller faktureringsuppgifter. Betalningen går genom butiken du laddade ned appen från: App Store (Apple) eller Google Play (Google) för mobilversionerna, Stripe för betalningar från webbplatsen.
Det är dessa tredje parter som ser ditt namn, adress, kreditkort eller IBAN — för tekniskt sett är det de som tar emot pengarna. Det är i regel de som ska ställa ut fakturor eller kvitton för din prenumeration (enligt reglerna i ditt land).
Cashfulness, på andra sidan av det röret, tar bara emot nettointäkten och en ogenomskinlig identifierare för prenumerationen (något i stil med sub_abc123).
Vi ser aldrig: kundnamn, personnummer, kreditkort, IBAN.
Vi ställer inte ut fakturor eller kvitton till slutanvändare.
Med andra ord: också på den kommersiella fronten räcker det för oss att veta att det finns en aktiv prenumeration knuten till ett visst smeknamn och en viss pseudonym e-post. Kundens biografi finns på andra sidan, hos butiken, och där stannar den.
De svåra valen som följer av detta
Att sätta ihop de här två nivåerna är ingen gratis funktion.
Det är ett val som stänger vissa dörrar strukturellt, och om de dörrarna är det värt att vara tydlig, för det är här konsekvensens pris syns.
Ingen finkornig beteendeanalys per profil.
Vi kan inte korrelera aktiviteten i appen med verkliga identiteter, för de verkliga identiteterna har vi inte.
Produktutvecklingen är lite blindare för individuella mönster. Vi förlitar oss mycket mer på direkt återkoppling, betatester, kvalitativa intervjuer.
Det fungerar, men det är mindre automatiskt.
Inga personliga kommersiella rekommendationer.
Vi säger inte ”andra användare som du har köpt X” utifrån din profil. Vi trycker inte på dig produkter från sponsrade partner baserat på dina siffror. Modellen med kommersiell profilering som är brödfödan för många gratisappar finns inte i Cashfulness.
Det vi däremot gör — och det är vi måna om att säga tydligt — är vägar för att förbättra din ekonomiska situation: pekare på var dina siffror antyder att det går att spara, var förmögenhetens sammansättning förtjänar en eftertanke, var täckningsmånaderna kunde växa med små justeringar.
Det är pedagogiska pekare, byggda på dina data, och — när uppgifternas natur kräver det — beräknade på din enhet, på en lokal dekrypterad kopia.
Ett viktigt förtydligande: Cashfulness ger inga personliga investeringsråd. Det är territorium för finansiella rådgivare inskrivna i det avsedda registret, och av goda skäl: det är en reglerad verksamhet som kräver kompetens, ansvar och en förtroenderelation av annat slag än den mellan dig och en app. Cashfulness hjälper dig att se klart, inte att välja fonden du ska köpa nästa vecka.
Aviseringar och nyhetsbrev: bara om du vill, aldrig som standard.
Att vi är allergiska mot kommersiell profilering betyder inte att vi är en stum plattform.
Cashfulness kan skicka dig nyttiga saker — och när jag säger ”nyttiga” menar jag verkligen för dig, inte för tredje part: larm om en budget håller på att spricka, förslag om var dina siffror berättar att du kunde spara, ett kort periodiskt nyhetsbrev med pedagogiska reflektioner om privatekonomi och om produktens nyheter.
Allt detta är opt-in: du aktiverar det vid registreringen eller senare, när du vill, och stänger av det när du vill.
Ingen ruta är förkryssad. Din e-post — även en pseudonym — behöver vi bara för att leverera det du bett om, inte för att jaga dig med meddelanden du inte velat ha.
AI strikt i linje med de två integritetsnivåerna.
De AI-funktioner som Cashfulness utvecklar eller kommer att utveckla respekterar den distinktion vi beskrivit ovan.
På dokumenten (kontoutdrag, kontrakt, räkningar, försäkringsbrev) sker de AI-bearbetningar som kräver att innehållet läses, på din enhet, på en lokal dekrypterad kopia. Servern ser aldrig innehållet i de dokumenten.
På bokföringsdata (saldon, rörelser, kategorier för ditt smeknamn) körs eventuella bearbetningar på serversidan på siffror utan personidentitet — den ”bokföring utan biografi” jag talade om tidigare. AI:n kan hjälpa dig läsa nyttiga mönster (till exempel flagga en utgift långt utanför det vanliga, eller föreslå var du kan skära), men utan att någonsin kunna knyta de siffrorna till ett verkligt namn.
Det vi inte kommer att göra är att bygga en AI-modell som knyter vem du är till ditt ekonomiska liv — för ”vem du är” har vi inte i Cashfulness.
Ingen försäljning av aggregerade data som kan härledas till personer.
Vi kan inte sälja ”datamängder över utgifter per åldersgrupp och bostadsort” till banker, forskningsinstitut, reklambyråer. Person- och bostadsuppgifterna har vi inte.
Det hade varit en betydande intäktskanal. Vi har medvetet tagit bort den ur affärsmodellen.
Den kommersiella konsekvensen av dessa val är tydlig: för att bära oss lever vi enbart på direkta prenumerationer från användarna.
Minimal gratisnivå, Premium-prenumeration, Ultra-prenumeration.
Ingen reklam, ingen dataförsäljning, inget partnerskap som kräver åtkomst till användarnas data.
Det är en smalare modell än marknadens standard, men den är hederlig, och den är den enda som låter Cashfulness hålla löftet den ger på onboardingens första skärm.
En konsekvens vi gillar med den här modellen: varje användare som väljer att betala för Cashfulness är en användare som verkligen vill ha produkten.
Det finns ingen dynamik där ”produkten är gratis för att produkten är du”.
Du är kunden, och produkten är det du betalar för.
Även partnerskapen respekterar den här regeln
Det finns en fråga vi förr eller senare kommer att få — och som det är värt att föregripa.
Om Cashfulness i framtiden öppnade för integrationer med andra finanstjänster (prisjämförare, försäkringsförmedlare, investeringsförvaltare), skulle de här två skyddsnivåerna stå kvar?
Ja, och regeln formulerar vi så här: om Cashfulness integrerar en extern partner kommer anropet till partnern alltid att gå från din enhet, på din specifika begäran, för en specifik post.
Aldrig aggregerat på serversidan.
Aldrig automatiskt.
Aldrig utan din medvetna handling.
Låt mig ge ett konkret exempel, hur framtida och hypotetiskt det än är.
Anta att du laddat upp din elräkning i Cashfulness och vill veta om det finns ett bättre erbjudande på marknaden.
I en standardapp skulle systemet automatiskt skicka partnern räkningens data (och kanske andra kontextdata), ta emot svaret, och visa dig det.
I Cashfulness-modellen ser du i stället en knapp ”kontrollera med [partner]” på just den räkningen.
När du trycker på den laddar din telefon ned räkningen från Cashfulness-arkivet, dekrypterar den lokalt — för kom ihåg: de uppladdade dokumenten är end-to-end-krypterade och bara din enhet har nyckeln att läsa dem i klartext — extraherar enbart de data som behövs för kontrollen (förbrukning, prisintervall, nuvarande leverantör), skickar dem direkt till partnern utan att passera vår server, och visar dig svaret.
Cashfulness server har inte heller i det här scenariot sett något.
Varken dokumentet, siffrorna eller din identitet.
Det här är ingen sen eftergift åt integriteten.
Det är så vi menar att partnerskap bör fungera inom privatekonomi.
Det är obekvämare att bygga tekniskt — det kräver SDK på enhetssidan, finkornig autentisering, hantering av inloggningsuppgifter i telefonen — men det är det enda sätt som är förenligt med varumärkeslöftet.
De partnerskap som ber Cashfulness om aggregerad serveråtkomst till data kommer artigt att få ett nej.
Löftet, i en mening
Det här är löftet, sammanfattat i en mening vi gärna vill ska stanna kvar:
Cashfulness vet inte vem du är, läser inte dina dokument, förstår inte dina siffror. Bara du har alla nycklar.
Tre olika verb för tre olika nivåer.
Vet inte vem du är: för du berättar det inte. Du använder ett smeknamn, och det räcker.
Läser inte dina dokument: för de är krypterade med en nyckel som bara du äger.
Förstår inte dina siffror: för utan din kontext är de en bokföring utan biografi.
Allt det övriga i produkten vilar på den meningen.
De finansiella hälsomåtten, distinktionen mellan Tillgångar+ och Tillgångar-, den osynliga dubbla bokföringen, den veckovisa tiominutersritualen — alltihop saker vi talar om i de andra artiklarna på den här bloggen — fungerar på riktigt bara om det ovanför dem finns ett integritetstak som gör dem dina på riktigt, inte bara i marknadsföringens språk.
Är det detta du söker är du på rätt plats.
Vi väntar på dig på betaväntelistan på cashfulness.com/beta.
Föredrar du i stället en app som analyserar dina beteenden för att ge dig bättre råd i utbyte mot en del av din integritet, är det ett legitimt val — det är inget fel i det — men den platsen blir inte vi.
Och det är okej.
Cashfulness är gjord för de människor för vilka hemmets siffror ska stanna hemma, och vet mycket väl att den är ett val bland andra.
— Vittorio