Miten budjetointisovellukset myyvät tapahtumatietosi hiljaa eteenpäin

2026-05-19 · 12 minuutin lukuaika · Tutkimus

Toimitusketju

Kun budjetointisovellus mainostaa pankkitilin kytkentää, sinun ja sovelluksen väliin asettuu yleensä kolme yritystä:

• Välittäjä, joka keskustelee pankkisi kanssa (Plaid on hallitseva Yhdysvalloissa; MX, Yodlee ja Finicity kilpailevat)
• Budjetointisovellus itse
• Datan ostajat ketjun loppupäässä — rahoituslaitokset, vaihtoehtoista dataa tutkivat hedge-rahastot, malleja kouluttavat fintech-startupit, luottotuotteiden kumppanit

Datavirta on suoraviivainen: pankkisi → välittäjä → sovellus → ostajat ketjun loppupäässä. Jokainen hyppy on kuvattu tietosuojakäytännössä, jota et lukenut. Välittäjän käytäntö sanoo, että se voi jakaa anonymisoitua dataa sovellukselle. Sovelluksen käytäntö sanoo, että se voi jakaa anonymisoitua dataa kumppaneille. Loppupäätä on vaikein jäljittää.

Mitä "anonymisoitu" käytännössä tarkoittaa

Tietosuojakäytännöt lupaavat säännöllisesti, että jaettu data on "anonymisoitua" — nimesi ja tilinumerosi poistettu. Mutta tapahtumatason dataa, jossa on aikaleimat, summat ja kauppiaiden nimet, on tunnetusti vaikea aidosti anonymisoida. Vuoden 2015 MIT-tutkimus osoitti, että neljä satunnaista luottokorttitapahtumaa riittää tunnistamaan yksiselitteisesti 90 % ihmisistä miljoonien kokoisessa aineistossa, jopa nimien poistamisen jälkeen.

Datan ei tarvitse olla kytketty juuri sinuun ollakseen arvokasta. Koottu tapahtumadata näyttää, että ravintolakulutus on noussut 12 % Austinissa tällä neljänneksellä; että Disney+:n tilausten peruutukset lisääntyvät; että tietyntyyppinen kuluttaja jättää lainansa todennäköisemmin maksamatta. Mikään näistä oivalluksista ei vaadi nimeäsi — mutta kaikki vaativat tapahtumasi.

Miten "ilmaiset" budjetointisovellukset pysyivät ilmaisina

Mint tarjosi kukoistuskaudellaan mainoksia tämän datamyynnin tulovirran rinnalla. Molemmat oli mainittu suoraan tietosuojakäytännössä. Epäsuora sopimus: sinä saat ilmaisen budjettiseurannan, sovellus saa tapahtumatietosi ja myytävän mainospinnan. 14 vuoden ajan tuo sopimus toimi molemmille osapuolille — kunnes Intuit yhdisti toiminnot ja kustannus-hyötysuhde muuttui.

Mintin jälkeiset seuraajat jakoivat mallin kahtia. Osa säilytti datavirran mutta lisäsi sen päälle tilauksen (Monarch, Copilot, Empower). Osa hylkäsi datavirran ja veloitti puhtaan tilauksen (YNAB). Muutama hylkäsi koko arkkitehtuurin ja veloitti kertamaksun (Penno, Buddy, Actual Budget).

Välittäjä on kantava osa

Merkittävin yksittäinen päätös, jonka budjetointisovellus tekee, on se, integroituuko se Plaidiin (tai vastaavaan). Kun integraatio on tehty, tapahtumatietosi virtaa Plaidin infrastruktuurin läpi jokaisella päivityksellä. Plaidin tietosuojakäytäntö on laaja: se voi käyttää käsittelemäänsä dataa "palvelujensa parantamiseen", mikä käytännön mukaan voi sisältää rahoitustuotteiden kehittämisen ja tutkimuksen.

Plaid on nyt 13 miljardin dollarin yritys, viimeksi arvostettu vuonna 2021. Tuota arvostusta eivät oikeuta välityspalvelujen perimät maksut — sen oikeuttaa datavirta. Plaid on joidenkin mittareiden mukaan suurin yhdysvaltalaisen kuluttajien tapahtumadatan haltija suurten pankkien itsensä ulkopuolella.

Mitä voit oikeasti todentaa

Jos budjetointisovelluksen markkinointi väittää "emme myy tietojasi", todenna kolme asiaa:

1. Tietosuojakäytäntö. Etsi ilmauksia kuten "palveluntarjoajat", "kootut oivallukset", "kumppanitutkimus". Nämä eivät ole valheita — ne ovat todellisen virran paljastuksia.
2. Välittäjän käytäntö. Jos sovellus käyttää Plaidia, tietosi virtaavat Plaidin ehtojen mukaan riippumatta siitä, mitä sovelluksen käytäntö sanoo.
3. Applen App Store -tietosuojaseloste. Apple vaatii sovelluksia ilmoittamaan, mitä dataa ne keräävät ja kytkevät käyttäjän henkilöllisyyteen. Tyypillisen pankkiin kytketyn budjetointisovelluksen seloste osoittaa, että tapahtumatietoja kerätään ja ne voidaan kytkeä henkilöllisyyteen.

Arkkitehtoninen vaihtoehto

Ainoa tapa olla varma, ettei mitään tästä tapahdu, on käyttää sovellusta, jolla ei ole lainkaan välittäjäintegraatiota. Se on Pennon takana oleva suunnitteluvalinta: binääri ei sisällä Plaid-SDK:ta, ei MX:ää, ei Yodleeta, ei Finicityä. Ei ole infrastruktuuria, joka voisi lähettää tapahtumatietoja, vaikka haluaisimmekin. Datapolkua ei ole olemassa.

Vaihtokauppa on todellinen: syötät jokaisen tapahtuman itse. Mukavuus on poissa. Vastineeksi saat varmuuden siitä, että arkkitehtuuri vastaa markkinointia.

Mitä oikeasti kannattaa tehdä

Jos haluat jatkaa pankkiin kytketyn budjetointisovelluksen käyttöä, hyvä on — miljoonat tekevät niin, ja datamyynnin riski on todellinen mutta ei yksilölle katastrofaalinen. Voit lieventää sitä:

• Lue sekä sovelluksen että välittäjän tietosuojakäytännöt
• Rajoita, mitkä tilit kytket (älä kytke sijoitustilejä, jos budjetoit vain käyttötililtä)
• Peru pääsy pankin tasolla (useimmat pankit antavat sinun nähdä ja peruuttaa välittäjäyhteydet turvallisuusasetuksissaan)
• Poista budjetointisovelluksen tili, kun lopetat sen käytön — ja todenna se sovelluksen tietojenpoistoasetuksista, älä vain poista sovellusta

Jos olet päättänyt, ettei vaihtokauppa ole sen arvoista, käsin syöttämisen vaihtoehdot ovat olemassa. Ne ovat hitaampia per tapahtuma, mutta poistavat datavirran kokonaan.

Huomio tästä kirjoituksesta

Minulla (Pennon kehittäjällä) on ilmeinen intressi tässä argumentissa. Yritin pitää kirjoituksen asiapohjaisena — jokainen yllä oleva väite on todennettavissa nimettyjen yritysten tietosuojakäytäntöjä vasten. Jos jokin lukee liioitellulta tai epäreilulta, lähetä minulle sähköpostia, niin korjaan sen.