Kebanyakan aplikasi keuangan menulis “kami menghormati privasi Anda” di menu pengaturan yang tidak dibaca siapa pun, di samping kebijakan sepanjang empat ribu kata. Kami ingin memberi penjelasan yang jelas tentang apa yang dilakukan Amunta dengan data Anda, yang kami periksa dari kode aplikasi itu sendiri, bukan dari teks pemasaran.
Bawaannya: tidak ada yang keluar dari ponsel Anda
Buku Amunta — pengeluaran, pemasukan, utang, faktur, anggaran, dan laporan — disimpan di basis data lokal di perangkat Anda. Tidak ada layar pendaftaran, tidak ada kolom email, tidak perlu nomor telepon untuk mulai memakai aplikasi. Anda membukanya, dan aplikasi langsung berjalan.
Amunta tidak memuat pelacak iklan, Google Analytics, atau Facebook SDK. Informasi teknis anonim yang terbatas mungkin dikirim untuk meningkatkan stabilitas; informasi itu tidak berisi jumlah uang, catatan keuangan, kontak, atau foto, dan tidak mengenali Anda sebagai pribadi.
Kunci PIN tersedia jika Anda menginginkannya. Saat Anda mengaturnya, aplikasi menyimpan hash SHA-256 dari PIN, bukan PIN itu sendiri — cara yang sama untuk menyimpan kata sandi di sistem mana pun yang serius soal keamanan. Seandainya seseorang mendapat akses ke data mentah aplikasi, ia tidak akan menemukan PIN Anda tertulis di sebuah file.
Bagian opsional: berbagi buku dengan orang lain
Amunta juga memungkinkan dua orang menghubungkan buku mereka — berguna jika Anda dan pasangan, teman serumah, atau rekan usaha ingin berbagi rekening berjalan tanpa masing-masing memasukkan transaksi yang sama dua kali. Ini sepenuhnya opsional. Aplikasi dasarnya tidak pernah memintanya.
Saat Anda mengaktifkannya, inilah yang terjadi persisnya — karena menurut kami “persis apa yang terjadi” adalah jawaban yang lebih jujur daripada “kami serius soal privasi Anda”.
Menurut jalur pendaftaran A-Link yang kami periksa di kode, ponsel Anda membuat sepasang kunci enkripsi untuk mendapatkan ID jaringan berbentuk SF-XXXXXXX, lalu mengirim permintaan yang berisi kunci publik, mata uang yang Anda pilih, dan penanda jenis aplikasi. Permintaan ini tidak memuat nama, nomor telepon, atau email Anda. Jika Anda menulis nomor telepon atau email di bagian lain aplikasi, data itu tetap di penyimpanan lokal dan tidak masuk ke permintaan pendaftaran.
Apa arti enkripsi di sini?
Saat dua orang terhubung, transaksi bersama disinkronkan di antara ponsel mereka lewat server perantara (relay). Di sinilah ditentukan apakah “terenkripsi ujung ke ujung” berarti sesuatu yang spesifik atau sekadar ungkapan. Di Amunta, artinya spesifik:
- Setiap perangkat punya sepasang kunci. Saat mengirim transaksi ke kontak yang terhubung, kedua kunci publik digabungkan dengan pertukaran kunci X25519 pada kurva eliptik untuk menghasilkan rahasia bersama.
- Rahasia bersama ini dilewatkan melalui HKDF-SHA256 untuk menurunkan kunci enkripsi yang tetap.
- Data transaksi dienkripsi dengan AES-256-GCM sebelum meninggalkan perangkat.
Pada jalur ini, kunci privat dibuat di perangkat, disimpan di penyimpanan aman, dan dipakai secara lokal untuk menghasilkan rahasia bersama. Protokol A-Link tidak mengirimkannya ke server perantara maupun ke pihak lain.
Bagian yang diabaikan sebagian besar klaim “enkripsi”
Di sini kami ingin lebih teliti daripada yang biasanya dilakukan aplikasi. Server perantara yang meneruskan pesan antarperangkat yang terhubung tidak bisa membaca isinya — isinya teks terenkripsi AES-256-GCM, dan server tidak memegang kuncinya. Tetapi server melihat informasi perutean: ID jaringan mana yang mengirim pesan, ke ID mana pesan itu ditujukan, dan kapan dikirim. Ini tidak bisa dihindari di sistem mana pun yang memerlukan server untuk mengantar pesan ke penerima yang tepat — kompromi yang sama yang diterima sistem seperti Signal.
Server perantara juga tidak menyimpan pesan sebagai arsip: muatan terenkripsi disimpan sementara sampai perangkat penerima mengonfirmasi bahwa pesan berhasil diterima dan diproses, lalu dihapus secara permanen. Jika tidak terkirim atau konfirmasi tidak datang, masa berlakunya habis dan otomatis dihapus setelah 24 jam.
Jadi kalimat yang tepat, dalam batas protokol ini, adalah: server perantara bisa melihat ID perutean dan waktu, tetapi tidak memegang kunci yang diperlukan untuk membaca isi transaksi.
Mengapa ini lebih penting daripada kebijakan privasi
Kebijakan privasi adalah janji tentang perilaku, sedangkan pemeriksaan arsitektur menunjukkan apa yang benar-benar dibawa oleh jalur-jalur yang diketahui. Berdasarkan bagian yang kami periksa, permintaan pendaftaran A-Link tidak membawa daftar kontak, pesan yang diteruskan tidak membawa isi transaksi dalam bentuk yang bisa dibaca, dan PIN tidak disimpan sebagai teks biasa.
Ini bukan klaim bahwa perangkat lunak mana pun bebas dari kesalahan atau risiko. Tujuannya memberi gambaran spesifik yang bisa diperiksa, alih-alih jaminan mutlak. Anda juga bisa membaca apa yang benar-benar memerlukan internet dan cara kerja pencadangan terenkripsi.