Karamihan sa mga libreng app na nasa telepono mo ay hindi talaga libre.
Inaalok sa iyo ang mga ito kapalit ng data mo.
Isa itong palitan.
Transparent ito sa prinsipyo, at sa maraming kaso ay palitan din itong sulit gawin — walang eskandalo sa pagtanggap nito.
Ganito rin gumagana ang maraming personal finance app.
Bibigyan ka nila ng libre o halos libreng tracking tool, at kapalit, ikinokolekta nila ang data ng gastos mo para gumawa ng market report, personalized na rekomendasyon, mga mungkahi sa advertising, profiling, at commercial partnership.
Dito rin, sa prinsipyo, lehitimong desisyon ito ng provider.
Sa isang iglap, tinatanggap mo ang terms of service at nagpapatuloy ka.
Ibang landas ang tinahak ng Cashfulness.
Hindi para husgahan ang ibang app — bawat isa ay gumagawa ng sariling modelo, at marami ang gumagawa nito nang tapat — kundi dahil naniniwala kami na karapat-dapat ang personal finance sa ibang pagtrato.
Isa itong larangan kung saan sapat na ang kalabuan, at kung saan ang kamalayan na may makakakita (kahit teoretikal lang) sa mga numero mo ay nawawala na ang mismong kahulugan ng produkto.
Ang katahimikan na pinag-uusapan namin, kung hindi ligtas ang data, ay isang walang laman na pangako.
Kaya naman itinayo namin ang Cashfulness sa paligid ng isang eksaktong teknikal na desisyon, nakasulat sa pundasyon ng code, na gumagana sa dalawang antas.
Pinoprotektahan ng unang antas ang mga dokumento na dinadala mo papasok sa Cashfulness — sa pamamagitan ng radikal na end-to-end encryption (E2EE).
Pinoprotektahan ng ikalawang antas ang iyong identity at ang iyong accounting data — sa pamamagitan ng maximum na anonimisasyon.
Sumasagot ang dalawang antas na ito sa magkaibang pangangailangan at gumagamit ng magkaibang tools. Karapat-dapat ipaliwanag ang mga ito isa-isa.
Bakit kailangan ng koneksyon (at ano ang ibig sabihin nito para sa privacy)
Isang teknikal na paunang paliwanag, bago pumasok sa dalawang antas.
Gumagana lang ang Cashfulness kung online ang device mo.
Sa mobile man o desktop, kailangang makipag-usap ng app sa isang remote database na nakatira sa mga server namin (European infrastructure).
Bakit ang desisyong ito? Dahil kailangang manatiling naka-sync ang accounting data mo sa iba't ibang device na ginagamit mo.
Kung magdagdag ka ng transaction mula sa smartphone habang lunch break, gusto mong makita ulit ito sa gabi mula sa laptop. Kung baliktarin mo, ganoon din.
Kung walang iisang sentral na pinagmumulan ng katotohanan, sistematikong maghihiwalay ang data sa mga client, at matatapos kang may dalawang hindi magkatugmang kopya ng accounting mo — isang maliit na bangungot na nagpapawalang-bisa sa buong kahulugan ng double-entry accounting.
Kaya oo, dumadaan ang accounting mo sa isang remote server.
Hindi ito pagsuko sa privacy: ito ang kinakailangang teknikal na hadlang para bigyan ka ng accounting na talagang gumagana sa maraming device.
Ang nakakaintriga na tanong ay nagiging: paano namin pinoprotektahan ang privacy mo dahil sa hadlang na ito?
Nasa dalawang antas ang sagot na sasabihin ko sa iyo ngayon.
Antas 1 — Radikal na end-to-end encryption para sa mga dokumento
Kapag nagsimula ka gamitin ang Cashfulness, sa huli, gugustuhin mong dalhin papasok sa app ang mga dokumento mo: bank statement, kontrata sa housing loan o renta, mga bill sa kuryente at gas, insurance policy, certificate ng investment, ulat ng fund, mahahalagang tax receipt.
Naglalaman ng lahat ang mga dokumentong ito: buong pangalan mo, address, tax ID, IBAN, mga halaga, mga counterparty, mga detalye ng buhay mo.
Ito ang pinakasensitibong antas sa lahat.
Para dito, ginawa namin ang pinaka-mahigpit na desisyon: radikal na end-to-end encryption.
Ang teknikal na terminong ito ay end-to-end encryption, o E2EE.
Para maintindihan kung ano ito nang walang teknikal na termino, isipin mo na gusto mong magpadala ng liham sa pamamagitan ng courier.
May dalawang pagpipilian ka.
Pagpipilian 1, standard na modelo.
Isusulat mo ang liham nang bukas, ilalagay mo sa envelope, ibibigay mo sa courier.
Ang courier — kung gusto niya — ay maaaring buksan ang envelope, basahin ang liham, kumuha ng notes, at pagkatapos ay isara ulit at ihatid ito.
Nagtitiwala ka na hindi niya gagawin dahil nangako siya na hindi niya gagawin, siguro dahil may mga batas na nagbabawal sa kanya at nagbibigay sa iyo ng ilang garantiya.
Pero materyal, kaya niya.
Pagpipilian 2, end-to-end encryption.
Isusulat mo ang liham, at isasara mo sa isang metal na kahon na bubuksan lang gamit ang tiyak na susi.
Nasa iyo ang susi. Sa iyo lang.
Ibibigay mo ang kahon sa courier. Dadalhin at iimbak ito ng courier.
Kahit kunin niya ito at dalhin sa bahay niya, hindi niya ito mabubuksan, dahil wala siyang susi.
Kapag kailangan mo ang liham, ikaw mismo ang magbubukas ng kahon gamit ang susi mo, at babasahin mo.
Ang end-to-end encryption ng mga dokumento sa Cashfulness ay ang metal na kahon ng Pagpipilian 2.
Kapag nag-upload ka ng dokumento sa app, ang sarili mong device ang mag-e-encrypt nito bago ipadala sa server. Sa server, dumarating itong naka-encrypt at nananatiling naka-encrypt.
Para sa server, bawat dokumento mo ay isang blok ng digital noise.
Ang susi para i-decrypt ito ay nasa device mo lang, hango mula sa iyong personal na password at sa iyong 24 recovery word (ang tinatawag na seed phrase, ang pinakamatibay na standard na available ngayon para gumawa at protektahan ng personal cryptographic key).
Ano ang ibig sabihin nito sa praktika:
- Hindi mababasa ng server ng Cashfulness ang mga dokumento mo. Hindi kami na gumawa ng app, hindi ang mga namamahala ng infrastructure, hindi ang posibleng future attacker.
- Kung bukas i-hack ang Cashfulness at manakaw ang lahat ng dokumento sa mga server, makikita lang ng attacker ang noise. Walang silbi.
- Kahit ang isang awtoridad na humingi nang pormal ng dokumento mo ay makakatanggap ng noise. Hindi namin ito maibibigay, dahil wala ito sa amin sa readable na anyo.
May kabilaan sa alahas na ito, at gusto naming maging tapat tungkol dito.
Kung mawawala ang password mo at mawawala rin ang 24 recovery word mo, magiging hindi na mababasa ang mga dokumento mo kahit sa iyo mismo.
Habambuhay.
Hindi namin ito maibabalik, dahil teknikal, hindi namin mababasa ang na-encrypt mo. Walang “password reset via email” na magbabalik sa iyo ng mga dokumento, dahil walang sinuman sa kabilang panig na makakagawa nito.
Sa iyo lang ang susi.
Ang ibig sabihin nito ay kalayaan — ikaw lang ang may access — at responsibilidad — ikaw lang ang makakawala ng access.
Isang pilosopikal na desisyon ito. Mas gusto naming ibigay sa iyo ang buong kontrol, kahit kasama nito ang bigat ng pag-iingat sa credentials mo, kaysa magtago ng isang “backup” na kopya sa server namin. Ang kopyang iyon, sa huli, ay maaaring maging punto ng kompromiso.
Isang susi na nasa telepono mo lang mismo, hindi.
Antas 2 — Maximum na anonimisasyon para sa identity at accounting data
Ibang-iba ang ikalawang antas, at sinasaklaw nito ang lahat ng iba pa: sino ka at ano ang ginagawa mo sa loob ng app sa usapin ng numero.
Para sa data na ito, pumili kami ng ibang estratehiya, dahil ibang klase ang problema.
Ang mga dokumento ay mga “kahon” na may sensitibong laman, at makatuwiran na i-encrypt ang mga ito nang buo.
Ang accounting data naman ay buhay na istruktura: mga numero, account, kategorya, kilos na kailangan mo araw-araw, at kung saan binubuo ng Cashfulness ang financial health metric na ipinapakita sa iyo.
Kung i-eencrypt namin ito nang katulad ng mga dokumento, magiging sobrang bagal ng app at sa maraming kaso ay hindi na magagamit.
Ang sagot namin ay hindi absolute encryption. Maximum na anonimisasyon ito.
Sa praktika, ibig sabihin nito ay dalawang bagay.
Ayaw talaga malaman ng Cashfulness kung ano ang pangalan mo.
Kapag nag-register ka, hindi namin hinihingi ang first name at surname mo.
Hinihingi namin ang isang nickname — kahit ano ang gusto mo, pwede pa itong purong imahinasyon.
Hinihingi namin ang isang email para sa teknikal na contact (recovery ng access, mga service communication), at isang password.
Tapos na.
Walang tax ID, walang petsa ng kapanganakan, walang address, walang telephone number, walang koneksyon sa bank account mo, walang identity verification.
Para sa Cashfulness, ikaw ay isang nickname na may email. Wala nang iba pa.
Mahirap i-decode ng sinumang hindi ikaw ang mga espasyo mo sa accounting.
Inaanyayahan ka ng app na ayusin ang income at expense sa tiyak na account at subaccount. Ang mga pangalan na ibinibigay mo sa mga account na iyon, ang mga label ng mga kilos mo, ang antas ng detalye kung paano mo inilalarawan ang buhay pinansyal mo — desisyon mo lahat iyan, gamit ang vocabulary na pinaka-nakakatulong sa iyo.
Hindi ka kailanman hihilingin ng Cashfulness na maglagay ng personal na data sa mga pangalan ng account: walang tax ID, walang IBAN sa mga titulo, walang tunay na pangalan. Functional ang mga pangalan (halimbawa: “Suweldo”, “Pangunahing current account”, “Housing loan”, “Gastos sa sasakyan”, “Nasingil na renta”): naglalarawan ito ng isang function, hindi ikaw.
Pagsamahin, ang dalawang factor na ito — isang nickname na hindi nagsisiwalat kung sino ka, at mga pangalan ng account na naglalarawan ng ano, hindi ng sino — ginagawang mahirap intindihin at imposibleng ikonekta sa iyo ang accounting mo, para sa sinumang hindi ikaw mismo.
Ito ang konkretong resulta: kahit may makakakita (isang attacker, isang hindi-tapat na empleyado, isang awtoridad) sa database sa panig ng server, isang partikular na nickname lang ang makikita nila kasama ang chart of account, mga balanse, at mga kilos.
Hindi nila malalaman kung sino ang nickname na iyon.
Wala silang paraan para ikonekta ang mga numerong iyon sa tunay na tao sa likod ng screen.
Makakakita sila ng accounting na walang biography.
Ilang praktikal na tip para talagang manatiling anonymous
Hindi lang aming pangako ang anonymity: isang maliit na kilos mo rin ito.
Kung gusto mong maging hindi maintindihan ang accounting mo ng sinumang hindi ikaw, iminumungkahi namin na:
- Pangalanan ang mga account ayon sa function, hindi ayon sa tao. Maganda ang gumana ng “Bank account”, “Suweldo”, “Housing loan”, “Joint account”. Ang “Account ni Juan dela Cruz” o buong IBAN sa titulo ay nagbubukas ng hindi kailangang butas.
- Panatilihing natural na generic ang mga deskripsyon ng transaction. Sa kalikasan nila, ganoon na sila: “almusal sa cafe”, “hapunan sa restaurant”, “pagtangke ng gasolina”, “grocery sa supermarket”. Walang ibang makakaalam kung ang hapunang iyon sa restaurant ay nasa Maynila kasama ang isang kliyente o nasa Cebu kasama ang kapatid mo.
- Gumamit ng pseudonymous na email para sa registration, kung gusto mong itulak ito hanggang sa dulo. Ang email mo ay para lang sa pag-log in at para maghatid ng mga service communication: walang pumipilit sa iyo na gumamit ng “opisyal” na email na tulad ng
pangalan.apelyido@domain.com. Sapat na ang isang pseudonymous na tulad ngaurora.ng.gabi@protonmail.como kahit anong komportable sa iyo.
Anonymous din ang payment (para sa amin)
Isang punto na hindi karaniwang inaasahan ng reader, at karapat-dapat sabihing malinaw.
Para sa mga subscription sa Cashfulness, hindi namin hinihingi direkta ang credit card, IBAN, o billing data. Dumadaan ang payment sa store kung saan mo na-download ang app: App Store (Apple) o Google Play (Google) para sa mga mobile version, Stripe para sa mga payment mula sa website.
Ang mga third party na ito ang nakakakita ng pangalan, address, credit card, o IBAN mo — dahil teknikal, sila ang kumokolekta ng bayad. Sa kanila, karaniwan, napupunta rin ang pagbigay ng invoice o tax receipt para sa subscription mo (ayon sa mga alituntunin ng bansa mo).
Ang Cashfulness, sa kabilang dulo ng pipe na iyon, ay tumatanggap lamang ng net revenue at ng isang opaque na identifier ng subscription (isang bagay tulad ng sub_abc123).
Hindi namin nakikita kailanman: pangalan ng customer, tax ID, credit card, IBAN.
Hindi kami nagbibigay ng invoice o tax receipt sa mga end user.
Sa ibang salita: kahit sa commercial na larangan, sapat na sa amin na malaman na may aktibong subscription na nakakabit sa isang partikular na nickname at isang partikular na pseudonymous na email. Nasa kabilang panig, sa store, ang biography ng customer, at doon nananatili.
Ang mahihirap na desisyon na sumusunod dito
Hindi libreng feature ang pagsasama ng dalawang antas na ito.
Isang desisyon ito na nagsasara ng ilang pinto sa istruktural na paraan, at karapat-dapat na maging explicit tungkol sa mga pintong ito, dahil dito nakikita ang halaga ng consistency.
Walang detalyadong behavior analytics kada profile.
Hindi namin maikokonekta ang aktibidad sa loob ng app sa mga tunay na identity, dahil wala kaming tunay na identity.
Medyo mas bulag ang product development sa individual pattern. Mas umaasa kami sa direktang feedback, beta test, qualitative interview.
Gumagana ito, pero hindi ganoon ka-automatic.
Walang personalized na commercial recommendation.
Hindi namin sinasabi sa iyo na “bumili ng X ang ibang user na tulad mo” base sa profile mo. Hindi namin itinutulak sa iyo ang mga produkto ng sponsored partner base sa numero mo. Ang modelo ng commercial profiling, na siyang kabuhayan ng napakaraming libreng app, ay wala sa Cashfulness.
Ang ginagawa namin sa halip — at gusto naming linawin ito — ay mga daan para mapabuti ang financial situation mo: mga hint kung saan ipinapahiwatig ng numero mo na maaaring makatipid ka, kung saan karapat-dapat pag-isipan ang komposisyon ng kayamanan, kung saan maaaring lumaki ang mga buwan ng coverage sa maliliit na pagbabago.
Mga edukasyunal na hint ito, base sa data mo, at — kapag kinakailangan ng kalikasan ng data — kinakalkula sa sarili mong device, sa isang lokal na na-decrypt na kopya.
Isang mahalagang paglilinaw: hindi nagbibigay ang Cashfulness ng personalized na investment advice. Teritoryo iyon ng mga financial advisor na naka-rehistro sa naaangkop na registry, at may magandang dahilan: isang regulated na aktibidad ito na nangangailangan ng expertise, responsibilidad, at ugnayan ng tiwala na iba sa nasa pagitan mo at ng isang app. Tinutulungan ka ng Cashfulness na makakita nang malinaw, hindi para piliin ang fund na bibilhin mo sa susunod na linggo.
Notification at newsletter: kung gusto mo lang, hindi kailanman by default.
Ang katotohanan na alerdyi kami sa commercial profiling ay hindi nangangahulugang isa kaming pipi na platform.
Puwedeng magpadala ang Cashfulness ng mga kapaki-pakinabang na bagay — at kapag sinabi kong “kapaki-pakinabang”, ibig kong sabihin talagang para sa iyo, hindi para sa third party: alerto kung malapit nang lumampas ang isang budget, mga suhestiyon kung saan sinasabi ng numero mo na makakatipid ka, isang maikling regular na newsletter na may edukasyunal na repleksiyon tungkol sa personal finance at mga update ng produkto.
Lahat ito ay opt-in: ikaw ang mag-a-activate nito sa pagpaparehistro o kalaunan, kailan mo gusto, at ikaw rin ang magde-deactivate kailan mo gusto.
Walang box na naka-check na by default. Ang email mo — kahit pseudonymous — ay kailangan lang namin para maihatid kung ano ang hiniling mo, hindi para habulin ka ng mga mensaheng hindi mo ninais.
AI na mahigpit na sumusunod sa dalawang antas ng privacy.
Ang mga AI feature na dinedevelop o dedevelopin ng Cashfulness ay sumusunod sa distinction na inilarawan namin sa itaas.
Sa mga dokumento (bank statement, kontrata, bill, policy) ang mga AI processing na nangangailangan ng pagbasa ng laman ay nangyayari sa sarili mong device, sa isang lokal na na-decrypt na kopya. Hindi kailanman nakikita ng server ang laman ng mga dokumentong iyon.
Sa accounting data (balanse, kilos, kategorya ng nickname mo) ang mga posibleng server-side na processing ay tumatakbo sa mga numerong walang personal identity — ang “accounting na walang biography” na binanggit ko kanina. Matutulungan ka ng AI na basahin ang mga kapaki-pakinabang na pattern (halimbawa, i-flag sa iyo ang isang gastos na hindi karaniwan kumpara sa nakasanayan mo, o iminumungkahi kung saan puwedeng bawasan), pero kailanman hindi nito maikokonekta ang mga numerong iyon sa isang tunay na buong pangalan.
Ang hindi namin gagawin ay bumuo ng AI model na ikinokonekta ang sino ka sa buhay pinansyal mo — dahil ang “sino ka”, sa Cashfulness, ay wala sa amin.
Walang pagbebenta ng aggregated data na maaaring ma-trace pabalik sa mga tao.
Hindi namin mabebenta ang “dataset ng gastos ayon sa age group at lugar ng tirahan” sa mga bangko, research institute, advertising agency. Wala kaming identity at residential data.
Malaking channel sana ito ng kita. Sinadya namin itong alisin sa business model.
Malinaw ang commercial na epekto ng mga desisyong ito: para mabuhay, umaasa lang kami sa direktang subscription ng mga user.
Minimal na free tier, subscription na Premium, subscription na Ultra.
Walang advertising, walang pagbebenta ng data, walang partnership na mangangailangan ng access sa data ng user.
Mas mahigpit na modelo ito kaysa sa market standard, pero tapat ito, at ito lang ang nagbibigay-daan sa Cashfulness na tuparin ang pangakong ginawa nito sa unang screen ng onboarding.
Isang epekto na gusto namin sa modelong ito: bawat user na pumipiling magbayad para sa Cashfulness ay isang user na talagang gusto ang produkto.
Walang dynamic kung saan “libre ang produkto dahil ikaw ang produkto”.
Ikaw ang customer, at ang produkto ay kung ano ang binabayaran mo.
Sumusunod din ang mga partnership sa rule na ito
May isang tanong na sa huli ay itatanong sa amin — at karapat-dapat itong maunahan.
Kung sa hinaharap ay bumukas ang Cashfulness sa mga integration sa ibang financial service (tariff comparator, insurance broker, investment manager), mananatili ba ang dalawang antas ng proteksyon na ito?
Oo, at itinatakda namin ang rule nang ganito: kung isasama ng Cashfulness ang isang external partner, ang call papunta sa partner ay laging magmumula sa sarili mong device, base sa tiyak na kahilingan mo, para sa isang tiyak na item.
Kailanman hindi aggregated sa panig ng server.
Kailanman hindi automatic.
Kailanman hindi kung wala ang malay mong kilos.
Bibigyan kita ng konkretong halimbawa, kahit gaano ito ka-future at hypothetical.
Ipagpalagay na na-upload mo sa Cashfulness ang bill mo ng kuryente at gusto mong malaman kung may mas magandang alok sa market.
Sa isang standard na app, awtomatikong ipapadala ng system sa partner ang data ng bill (at siguro iba pang context data), tatanggapin ang sagot, at ipapakita ito sa iyo.
Sa Cashfulness model, sa halip, makikita mo ang isang button na “i-verify sa [partner]” sa partikular na bill na iyon.
Kapag pinindot mo ito, ida-download ng telepono mo ang bill mula sa archive ng Cashfulness, ide-decrypt ito nang lokal — dahil tandaan natin: ang mga na-upload na dokumento ay end-to-end encrypted at ang device mo lang ang may susi para basahin ito sa bukas na anyo — kinukuha lang ang data na kailangan para sa verification (consumption, tariff bracket, kasalukuyang provider), ipapadala ito diretso sa partner nang hindi dumadaan sa server namin, at ipapakita sa iyo ang sagot.
Hindi rin nakakita ng anuman ang server ng Cashfulness sa scenario na ito.
Hindi ang dokumento, hindi ang mga numero, hindi ang identity mo.
Hindi ito isang huli na konsesyon sa privacy.
Ito ang paraan na naniniwala kami na dapat gumana ang mga partnership sa personal finance.
Mas mahirap itong itayo nang teknikal — nangangailangan ito ng device-side na SDK, mas pinong authentication, pamamahala ng credential sa telepono — pero ito lang ang paraan na consistent sa pangako ng brand.
Ang mga partnership na hihiling sa Cashfulness ng aggregated na server-side access sa data ay magalang na tatanggapin ng “hindi”.
Ang pangako, sa isang pangungusap
Ito ang pangako, na nabuod sa isang pangungusap na gusto naming manatili:
Hindi alam ng Cashfulness kung sino ka, hindi binabasa ang mga dokumento mo, hindi nauunawaan ang mga numero mo. Ikaw lang ang may lahat ng susi.
Tatlong magkaibang pandiwa para sa tatlong magkaibang antas.
Hindi alam kung sino ka: dahil hindi mo sinasabi sa kanya. Gagamit ka ng nickname, at sapat na iyon para sa iyo.
Hindi binabasa ang mga dokumento mo: dahil naka-encrypt ang mga ito gamit ang susi na sa iyo lang.
Hindi nauunawaan ang mga numero mo: dahil kung wala ang context mo, isang accounting itong walang biography.
Ang lahat ng natitirang bahagi ng produkto ay nakasalalay sa pangungusap na ito.
Ang mga financial health metric, ang distinction sa pagitan ng Asset+ at Asset-, ang invisible na double-entry accounting, ang linggo-linggong ritwal na sampung minuto — lahat ng bagay na pinag-uusapan namin sa ibang artikulo ng blog na ito — talagang gumagana lang kung sa itaas nito ay may isang privacy ceiling na tunay na ginagawang sa iyo ang mga ito, hindi lang sa wika ng marketing.
Kung ito ang hinahanap mo, nasa tamang lugar ka.
Hinihintay ka namin sa beta waitlist sa cashfulness.com/beta.
Kung sa kabilang banda, mas gusto mo ang isang app na nagsusuri ng mga behavior mo para mas mapayuhan ka nang mabuti kapalit ng bahagi ng privacy mo, isang lehitimong desisyon iyon — walang masama roon — pero hindi kami ang magiging lugar na iyon.
Okay lang iyan.
Ginawa ang Cashfulness para sa mga taong dapat manatili sa loob ng bahay ang numero ng bahay nila, at alam na alam nito na isa itong pagpipilian sa gitna ng iba pa.
— Vittorio