AvaFin - aplikacja pożyczkowa dla instytucji nadzorowanej przez KNF

W styczniu 2026 r. AvaFin powierzył Order Group budowę natywnej aplikacji mobilnej na iOS i Androida od pustego repozytorium. Aplikacja ma obsłużyć całą drogę klienta w czasie, gdy przepisy o kredycie konsumenckim się zmieniają. Dyrektywa (UE) 2023/2225, czyli CCD2, ma być stosowana od 20 listopada 2026 r. i zmienia informacje przedumowne, ocenę zdolności kredytowej oraz zasady sprzedaży kredytu online. Prace nad polskim projektem ustawy wdrażającej wstrzymano w maju 2026 r., więc w Polsce nadal obowiązuje ustawa o kredycie konsumenckim z 2011 r., a ostateczny kształt polskich przepisów nie jest jeszcze znany. Procesu wniosku nie dało się zaszyć na sztywno w aplikacji wydawanej raz na kilka tygodni. Prace prowadzimy w modelu ciągłego rozwoju, bez daty końca.

AvaFin Holding powstał w 2012 r., a w 2023 r. zmienił nazwę z CreamFinance na AvaFin. Według AvaFin grupa miała w 2024 r. 1,6 mln klientów na pięciu rynkach w Europie i Ameryce Łacińskiej. W Polsce działa od 2013 r., wcześniej pod marką Lendon. Warszawska spółka AvaFin Poland sp. z o.o. jest instytucją pożyczkową w rozumieniu polskiego prawa i podlega nadzorowi KNF. Według stanu na 8 października 2026 r. oferuje chwilówki od 500 do 15 000 zł na 30 dni (pierwsza do 5 000 zł). Pierwsza pożyczka ratalna może wynieść do 30 000 zł na 36 miesięcy.

Rynek też się skonsolidował. Według Związku Przedsiębiorców i Pracodawców (ZPP) liczba aktywnie działających instytucji pożyczkowych spadła po ustawie antylichwiarskiej z ok. 500 do ok. 100, a ok. 80% wniosków o pożyczkę pozabankową jest odrzucanych. Na rynku zostają ci, którzy wygrywają jakością kanału cyfrowego.

Aplikacja prowadzi gościa od kalkulatora i rejestracji, przez wniosek i weryfikację konta, do panelu klienta. Order Group odpowiada za aplikację mobilną i jej integracje, a aplikacja łączy się z systemem centralnym AvaFin. Projekt jest częścią naszych prac w obszarze oprogramowania dla fintechu.

• Natywną aplikację na iOS i Androida budujemy w React Native i Expo: jeden zespół i jeden kod dla obu platform.
• Kalkulator, dostępny dla gościa i zalogowanego klienta, pokazuje kwotę, okres, koszt, RRSO i termin spłaty oraz przyjmuje kody promocyjne. Ceny liczy ten sam silnik cenowy co system centralny, więc kwota w aplikacji jest kwotą z umowy.
• Rejestracja to wieloetapowy kreator z potwierdzeniem numeru telefonu kodem SMS i podpowiedziami adresu.
• Panel klienta pokazuje kwotę do spłaty, termin albo liczbę dni opóźnienia, dostępny limit i historię pożyczek z dokumentami PDF. W panelu klient spłaca pożyczkę, wnioskuje o zwrot nadpłaty i przyjmuje propozycję przedłużenia.
• Samoobsługa zastępuje infolinię: klient zgłasza zmianę numeru telefonu, adresu, zatrudnienia, dochodu albo konta bankowego, a ekran startowy przypomina mu o niedokończonych sprawach.
• Kontakt z obsługą jest dostępny z każdego ekranu, także offline i z ekranu PIN-u aplikacji, a w aplikację wbudowano czat Genesys.
• Powiadomienia push otwierają deep linkiem właściwy ekran.

W wielu aplikacjach pożyczkowych kolejność kroków wniosku jest zapisana w kodzie aplikacji. Każda zmiana procesu, choćby jedno nowe pole wymagane przepisami, oznacza nową wersję, weryfikację w sklepach i czekanie, aż klienci zaktualizują aplikację. W aplikacji AvaFin o kolejności kroków decyduje system centralny. Po każdym kroku aplikacja pobiera aktualny stan i na jego podstawie ustala, co pokazać dalej.

• Dwa przepływy działają na jednym silniku: pierwsza pożyczka po rejestracji i kolejna pożyczka stałego klienta.
• AvaFin zmienia kolejność albo zakres kroków w systemie centralnym, a aplikacja uwzględnia zmianę przy następnym kroku, bez nowej wersji.
• Ekran analizy wniosku regularnie sprawdza status decyzji i przypisuje ją do właściwej pożyczki, nawet u klienta z długą historią.
• Gdy zmiana musi trafić do kodu, wymuszona aktualizacja sterowana progiem wersji w Firebase Remote Config dba o to, żeby klienci dostali nową wersję.

Gdy polskie przepisy wdrażające CCD2 się wyjaśnią, AvaFin będzie mógł dostosować ścieżkę wniosku w systemie centralnym, zamiast czekać na weryfikację nowej wersji w sklepach.

Weryfikacja konta to jeden z kroków, na których aplikacje pożyczkowe tracą wnioskujących. W aplikacji AvaFin klient wybiera jedną z dwóch dróg, a aplikacja pilnuje statusu i prowadzi go dalej także wtedy, gdy coś pójdzie nie tak.

• Kontomatik pozwala zalogować się do bankowości i udostępnić historię rachunku: w rejestracji, we wniosku i przy zmianie konta w profilu.
• Autopay daje drugą drogę, czyli przelew weryfikacyjny, a ta sama bramka obsługuje później spłaty.
• Aplikacja monitoruje status weryfikacji i obsługuje niepowodzenie oraz przekroczenie czasu, więc wniosek nie przepada.
• Ochrona przed nadużyciami przy pierwszym wniosku (RiskIdent DEVICE IDENT) jest już zbudowana, a w październiku 2026 r. trwają jej testy. Identyfikator urządzenia nie zawiera danych osobowych.
• Każda integracja przechodzi przez warstwę mapowania danych, więc zmiana API partnera nie rozlewa się po całej aplikacji.

Aplikacja pożyczkowa korzysta z analityki, atrybucji kampanii i zewnętrznych SDK, a jednocześnie przetwarza dane finansowe klientów. W aplikacji AvaFin żadne narzędzie zewnętrzne nie wysyła danych, zanim klient podejmie decyzję.

• Zgody działają na trzech warstwach: App Tracking Transparency na iOS, platforma Usercentrics dla każdego SDK osobno oraz zgody zapisane w systemie AvaFin.
• Firebase Analytics, Crashlytics i AppsFlyer są wyłączone natywnie od startu aplikacji i włączają się dopiero po odczytaniu decyzji użytkownika.
• Analityka produktowa korzysta z zamkniętego katalogu zdarzeń, bez danych osobowych i bez treści wpisywanych przez klienta.
• Zgody marketingowe są osobne dla e-maila, SMS-ów, telefonu, panelu klienta i powiadomień push.
• Ekran praw z RODO w aplikacji obejmuje dostęp do danych, sprostowanie, ograniczenie przetwarzania, sprzeciw, wycofanie zgód i usunięcie danych.
• Każda gałąź logiki zgód jest pokryta testami.

Klient loguje się raz, a potem wystarcza mu PIN albo biometria. Dodatkowe potwierdzenie pojawia się tylko przy operacjach wrażliwych, a dane klienta nie wyciekają ani przez podgląd otwartych aplikacji, ani przez współdzielony telefon.

• Po zalogowaniu aplikacja korzysta z PIN-u i biometrii, a poświadczenia trzyma wyłącznie w bezpiecznym magazynie telefonu.
• Przed operacją wrażliwą klient ponownie potwierdza tożsamość na bieżącym ekranie.
• Gdy aplikacja przechodzi w tło, zasłania ją ekran prywatności.
• Treści zewnętrzne (płatności, Kontomatik, czat, dokumenty) otwierają się w zabezpieczonym WebView z listą dozwolonych domen i wyłącznie po HTTPS.
• Czat jest izolowany: rozmowa znika, gdy na tym samym urządzeniu loguje się inny klient.
• Komunikaty błędów z backendu nigdy nie trafiają do klienta wprost; aplikacja pokazuje zamiast nich przetłumaczone, bezpieczne teksty, a w trybie offline kontakt z obsługą pozostaje dostępny.
• Klucze i sekrety są poza kodem i trafiają do aplikacji w procesie budowania.

Zespół Order Group pracuje w rytmie krótkich pull requestów, a każde scalenie automatycznie buduje i dystrybuuje wersję testową na obie platformy. Reguły architektury i jakości są spisane w repozytorium, a pilnują ich kontrole przy każdym commicie i pull requeście.

• Stack to Expo, React Native, React 19, TypeScript, Redux Toolkit z RTK Query i Expo Router; włączony jest React Compiler.
• Architektura jest modułowa: 13 modułów domenowych, a modele domenowe są oddzielone od kontraktów API.
• Każdy commit przechodzi formatowanie, lint i kontrolę typów, a każdy pull request uruchamia w CI lint, TypeScript i testy jednostkowe.
• GitHub Actions, Fastlane i EAS po każdym scaleniu wysyłają wersje testowe do Firebase App Distribution i TestFlight, a cotygodniowa kontrola certyfikatów Apple wysyła alert na Slacka.
• 25 dokumentów technicznych w repozytorium sprawia, że wiedza o produkcie nie zależy od pojedynczych osób.
• W dwudniowym etapie QA przed wydaniem powstało ok. 50 zgłoszeń.
• Ten sam model pracy sprawdza się u innego klienta z branży pożyczkowej: aplikację Aasa24 rozwijamy nieprzerwanie od 2023 r.