Oprogramowanie dla fintech i regulowanych pożyczkodawców

U pożyczkodawcy z własnym systemem centralnym klient spotyka się z aplikacją, a nie z systemem centralnym. System centralny ustala ceny (w tym RRSO), podejmuje decyzje kredytowe, prowadzi księgę pożyczek oraz obsługuje windykację i strategię kontaktu, a tożsamość weryfikuje zewnętrzny dostawca. Jesteśmy software house'em dla regulowanych pożyczkodawców i budujemy stronę aplikacyjną dla Aasa Polska (od maja 2023 r.) i AvaFin Poland, obu instytucji pożyczkowych pod nadzorem KNF. Produktowe spojrzenie na tę pracę znajdziesz na stronach o oprogramowaniu do obsługi wniosków pożyczkowych i tworzeniu oprogramowania do zarządzania pożyczkami.

Co obejmuje strona aplikacyjna

• Aplikacja na iOS i Androida w React Native, z kalkulatorem pożyczki, ścieżką wniosku, strefą klienta i kartą, rozwijana na bieżąco.
• Backend aplikacji i panel administratora, w którym zespół Aasa zmienia parametry kalkulatora, dokumenty i komunikaty bez wydania w sklepach z aplikacjami.
• Integracje z systemem centralnym, sprawdzanie rachunku przez open banking, dostawca KYC i wydawca karty.
• Obsługa zgód, analityka i ochrona danych wrażliwych.

W latach 2025-2027 kilka wymagań unijnych i polskich kształtuje to, jak ma działać aplikacja pożyczkowa. Budujemy stronę oprogramowania: każde wymaganie kończy się na ekranie, w zgodzie albo w kroku weryfikacji. Interpretacja prawna tych przepisów i zgodność procesu pożyczkodawcy z nimi zostają przy prawniku pożyczkodawcy.

CCD2, od 20 listopada 2026 r.

Przepisy krajowe wdrażające CCD2, nową dyrektywę o kredycie konsumenckim (dyrektywa (UE) 2023/2225), stosuje się od 20 listopada 2026 r. (art. 48). Na październik 2026 r. Polska nie opublikowała ustawy wdrażającej, a 27 maja 2026 r. rząd wycofał projekt ustawy o kredycie konsumenckim (UC82) z prac Komitetu do Spraw Europejskich. Wymagania, które widać w oprogramowaniu:

• Każda reklama zawiera ostrzeżenie o kosztach (art. 8). Formularz informacyjny ma pozostać czytelny z uwzględnieniem ograniczeń nośnika (art. 10 ust. 6), co rozumiemy jako czytelność na ekranie telefonu.
• Domyślnie zaznaczone pola nie są zgodą (art. 15). Dodatkowy produkt nie może być warunkiem udzielenia pożyczki (art. 14), a kredytu nie udziela się bez wniosku klienta (art. 17).
• Pożyczkodawca dokumentuje ocenę kredytową, a po ocenie zautomatyzowanej konsument może zażądać interwencji człowieka (art. 18).
• Przy zaległościach pożyczkodawca stosuje rozsądną restrukturyzację przed egzekucją, wcześnie wykrywa klientów w trudnej sytuacji finansowej i kieruje ich do doradztwa zadłużeniowego (art. 35 i 36).

Nasz artykuł o CCD2 w ścieżce wniosku pożyczkowego omawia te wymagania krok po kroku.

AMLR, od 10 lipca 2027 r.: co musi udźwignąć integracja KYC

Rozporządzenie w sprawie przeciwdziałania praniu pieniędzy (AMLR, rozporządzenie (UE) 2024/1624) w art. 22 ust. 6 wskazuje dwie drogi weryfikacji tożsamości: dokument tożsamości albo identyfikację elektroniczną na poziomie substancjalnym lub wysokim wraz z kwalifikowanymi usługami zaufania. Przelew weryfikacyjny i logowanie do banku potwierdzają rachunek, a żadne z nich nie jest na tej liście. Integracja KYC, która udźwignie tę zmianę, trzyma metody weryfikacji w konfiguracji backendu, zapisuje każdą próbę i przechowuje dokumentację przez pięć lat. Oczekiwanie, odrzucenie i ręczna weryfikacja mają osobne statusy, a reguły ponowień łatwo zmienić. Nasz artykuł o AMLR i KYC w aplikacjach pożyczkowych opisuje tę zmianę szczegółowo.

Prawo o kredycie konsumenckim i nadzór dziś

Instytucje pożyczkowe w Polsce podlegają nadzorowi KNF od 1 stycznia 2024 r. na mocy ustawy antylichwiarskiej, a liczba aktywnych instytucji spadła z ok. 500 do ok. 100, według PAP. Do wejścia nowej ustawy obowiązuje ustawa z 12 maja 2011 r. o kredycie konsumenckim: ocena zdolności kredytowej przed umową (art. 9), sprawdzenie rejestru zastrzeżeń PESEL przed każdą umową i każdą zmianą zwiększającą zadłużenie (art. 9b) oraz formularz informacyjny na trwałym nośniku (art. 13 i 14).

Usługi finansowe na odległość i dostępność

Dyrektywę (UE) 2023/2673 o usługach finansowych zawieranych na odległość stosuje się od 19 czerwca 2026 r.; przewiduje ona m.in. funkcję odstąpienia od umowy zawartej przez interfejs online. Polska jeszcze jej nie wdrożyła. Europejski akt o dostępności (dyrektywa (UE) 2019/882) obejmuje usługi bankowości konsumenckiej, w tym kredyt konsumencki, od 28 czerwca 2025 r., a w Polsce wdraża go ustawa z 26 kwietnia 2024 r. o zapewnianiu spełniania wymagań dostępności.

AI Act

Według AI Act (rozporządzenie (UE) 2024/1689) systemy AI do oceny zdolności kredytowej osób fizycznych są systemami wysokiego ryzyka, z wyjątkiem systemów do wykrywania oszustw finansowych (załącznik III pkt 5 lit. b). Kontekst znajdziesz w haśle słownika o AI Act.

W AvaFin zgody działają w trzech warstwach: App Tracking Transparency na iOS, platforma zgód obsługująca każdy SDK osobno oraz zgody zapisane w systemie AvaFin. Firebase Analytics, Crashlytics i AppsFlyer są od startu wyłączone natywnie i włączane dopiero po odczytaniu decyzji użytkownika. Uruchamianie Crashlytics i Firebase Analytics dostosowaliśmy do wymagań zespołu prawnego klienta.

Zgody marketingowe są zapisywane osobno dla e-maila, SMS-ów, telefonu, strefy klienta i push. Ekran praw RODO w aplikacji obejmuje dostęp do danych, sprostowanie, ograniczenie przetwarzania, sprzeciw, wycofanie zgód i usunięcie danych. Aasa24 również zarządza zgodami marketingowymi i cookies per kanał, a analitykę uruchamia dopiero po zgodzie. Zobacz hasło słownika o zarządzaniu zgodami.

W Aasa24 dane karty są szyfrowane i odszyfrowywane na urządzeniu w naszym własnym module natywnym, a PIN nigdy nie występuje jawnym tekstem. Numer karty i CVV pojawiają się po wpisaniu PIN-u i znikają po chwili. Ekrany z danymi wrażliwymi są maskowane w analityce i nagraniach sesji, a aplikacja przeszła zewnętrzne testy penetracyjne.

Aplikacja AvaFin zasłania treść ekranem prywatności, gdy przechodzi w tło, i czyści czat, gdy na tym samym urządzeniu loguje się inny klient. Komunikaty z backendu docierają do klienta jako przetłumaczone teksty, a klucze i sekrety są wstrzykiwane podczas budowania.

Rytm pracy

W Aasa24 planowanie odbywa się raz w miesiącu, na początku miesiąca. Product owner po stronie Aasa zleca zadania, a codzienne spotkanie trzyma klienta na bieżąco. W AvaFin planujemy co dwa tygodnie, a klient dzieli z zespołem kanał na Slacku. Dema są regularne i poprzedza je próbne demo. W statusach designu biorą udział projektant, project manager i tech leader, a QA ma własne sesje z klientem.

Jedno źródło prawdy o stanach

W AvaFin matryca stanów wymienia każdy możliwy stan aplikacji z technicznym ID, nazwą, logiką wyświetlania i opisem UX/UI. Tablica blokerów ze statusami, datami i komentarzami pokazuje, co wpływa na termin, a dużą partię designów przygotowujemy z wyprzedzeniem. To ten sam pomysł co 18 stanów pożyczki opisanych na stronie o zarządzaniu pożyczkami, choć te stany opisują pożyczkę, a nie aplikację.

Jak zaczyna się projekt

Zaczyna się od bezpłatnej konsultacji albo warsztatów discovery. Bezpłatne podstawowe discovery to jedno spotkanie. Daje potwierdzony zakres, wycenę oraz podstawowy mockup albo PoC, który pozwala oszacować koszt. Roadmapa, makiety lub klikany prototyp i backlog powstają w rozbudowanym discovery, które jest osobnym, szerszym zakresem.

Wybór firmy od aplikacji fintech dla regulowanego pożyczkodawcy sprowadza się do siedmiu pytań. Przy każdym opisujemy, jak wygląda dobra odpowiedź i gdzie na tej stronie jest nasza.

• Dla jakich nadzorowanych pożyczkodawców pracuje? Dobra odpowiedź podaje ich z nazwy. Nasi to Aasa Polska i AvaFin Poland, obaj pod nadzorem KNF (oprogramowanie dla pożyczkodawców).
• Kto odpowiada za ceny i decyzję kredytową? System centralny pożyczkodawcy, a aplikacja pokazuje wynik (co budujemy).
• Jak zmienia się proces wniosku po starcie? W backendzie, bez czekania na wydanie aplikacji (co budujemy).
• Jak obsługiwane są zgody i SDK analityczne? Analityka jest wyłączona, dopóki użytkownik nie zdecyduje (bezpieczeństwo i zgody).
• Jak wyglądają wydania i code review? Wydania Aasa24 pojawiają się co 3-4 tygodnie, a każdy pull request przechodzi code review (dlaczego pożyczkodawcy budują z nami).
• Do kogo należy kod? Do klienta, na piśmie, w zakresie praw ustalonym w umowie (dlaczego pożyczkodawcy budują z nami).
• Jak zaczyna się projekt? Pierwsza konsultacja i spotkanie w ramach podstawowego discovery są bezpłatne, a po discovery szacujemy koszt, harmonogram i skład zespołu (jak zaczyna się projekt).