Publicado el
9 MIN DE LECTURA
Creación de app para fintech: lo que exigen el BC y las tiendas
Por:
La creación de una app para fintech pasa por tres aprobaciones antes de llegar al cliente: la de la tienda, que exige que la app la publique la empresa que presta el servicio financiero; la del Banco Central, que regula cómo se construye y se prueba el software; y la del propio usuario, que tiene que ser identificado antes de mover dinero.
De las diez páginas brasileñas que leí en septiembre de 2026 para este término, ninguna cita las reglas de App Store y Google Play para apps financieras, y ninguna menciona el cambio de diciembre de 2025 en la norma de ciberseguridad de las instituciones de pago.
En Wama, el tema es de proyecto entregado: en 2025 el estudio hizo el diseño y el desarrollo de la aplicación de Cappta, institución de pago que ofrece captura de pagos y cuenta digital en modelo white label. Este texto es el recorte de la app dentro de la guía completa de sitio web para fintech.
¿Qué cambia en la creación de una app para fintech?
Cambia quién responde por lo que hace la app. En una app de fintech, la institución responde ante el Banco Central por el software que puso en el bolsillo del usuario, incluida la parte que escribió un tercero. El contrato con quien la construye tiene que reflejarlo desde la propuesta.
También cambia el ritmo de publicación. Cada versión nueva es un evento que la institución tiene que controlar dentro del método para construir y mantener un producto digital, porque una falla en una actualización expone el saldo, los documentos y las contraseñas de personas reales. Un flujo claro y los momentos que deciden si el usuario se queda siguen valiendo, solo que dentro de un perímetro regulado.
¿Quién publica una app financiera en las tiendas?
La empresa que presta el servicio, no la agencia. Las directrices de revisión de App Store, en la regla 5.1.1(ix), determinan que las apps de campos altamente regulados, con la banca y los servicios financieros citados por nombre, sean enviadas por la persona jurídica que presta los servicios, y no por un desarrollador individual.
La regla 3.2.1(viii) va más allá para apps de inversión, trading o gestión de dinero: deben ser enviadas por la institución financiera que presta el servicio, con las licencias necesarias en los lugares donde se ofrecen. En Android, la política de servicios financieros de Google Play hace obligatoria la declaración de funciones financieras en Play Console para cualquier app con funcionalidad financiera.
La cuenta de desarrollador es de la fintech
La cuenta en las tiendas nace a nombre de la fintech, y el proveedor entra como miembro invitado. Una app publicada en la cuenta de la agencia es una app que la fintech no controla y que la tienda puede rechazar. Lo mismo vale para el repositorio, la nube y los certificados, tema de quién se queda con el código y las cuentas de la app.
En Wama, esa es la regla de todo lo que entrega el estudio: el proyecto va a la cuenta del cliente, y quien decide cambiar de proveedor se lleva todo, porque ya está a su nombre.
¿Qué exige el Banco Central de quien construye la app?
Exige desarrollo seguro, incluso cuando quien desarrolla es un tercero. La Resolución BCB n.º 85, de 2021, política de ciberseguridad de las instituciones de pago, fue reescrita por la Resolución BCB n.º 538, del 18 de diciembre de 2025, con plazo de adecuación hasta el 1 de marzo de 2026 para quienes ya operaban.
El texto ahora enumera controles mínimos, como autenticación, cifrado, detección de intrusiones, trazabilidad, corrección de vulnerabilidades y seguridad en las integraciones. El art. 3, § 3, dice que rigen en el desarrollo de sistemas. Y el § 6 obliga a la institución a verificar, en lo que corresponda, los sistemas desarrollados por proveedores de servicios terceros. El estudio que escribe la app pasa a ser algo que la fintech tiene que revisar y documentar.
Tres exigencias que entran en el cronograma
El § 7 pide registros de auditoría de punta a punta, con logs y retención segura. El art. 22-A exige una prueba de penetración al menos una vez al año, hecha de forma independiente por un especialista contratado, con correcciones documentadas. Y el art. 12, § 3, pide controles contra vulnerabilidades al liberar nuevas versiones de la aplicación. Como la norma volvió a ajustarse en marzo de 2026, confirma con el área de cumplimiento la versión aplicable a tu tipo de institución.
El registro y la identificación del cliente
El registro de la app es donde la regla de conocer al cliente se convierte en pantalla. La Circular BCB n.º 3.978, de 2020, en el art. 16, exige procedimientos que verifiquen y validen la identidad del cliente, incluso cruzándola con bases públicas y privadas. El art. 18 agrega evaluar la capacidad financiera, como los ingresos o la facturación.
El orden de las decisiones importa: primero el área de cumplimiento define qué recoger y validar, después el diseño define cómo pedirlo. Al revés, ese orden produce pantallas que el equipo jurídico manda rehacer. Una vez aprobado el registro, el camino hasta la primera acción útil decide si la cuenta abierta se convierte en cuenta usada.
Lo que la app tiene que mostrarle al usuario
Su condición de institución de pago. La Resolución BCB n.º 80, de 2021, art. 5, § 4, II, exige que esa condición conste de forma clara en los canales de comunicación y de atención. Para la mayoría de los usuarios, la app es el principal canal de atención. Las exigencias del sitio web están en lo que la norma pide del sitio de la institución.
No toda fintech es una institución autorizada: muchas operan con la licencia de una socia, en white label. En ese caso, quien responde es la institución autorizada. En la lectura de Wama, eso hace probable que la socia le pida a la app evidencias parecidas a las que le pediría a su propio equipo.
Cómo elegir quién va a construir la app de una fintech
Elige a quien acepte ser verificado: trabajar dentro de la política de seguridad del cliente, entregar todo en su cuenta y documentar lo que hizo. La tabla resume qué pedir por escrito.
Qué pedirle al proveedor | Por qué | Base |
|---|---|---|
Cuentas de tienda, nube y repositorio a nombre de la fintech | La tienda exige a la empresa que presta el servicio | Apple 5.1.1(ix) y 3.2.1(viii) |
Práctica de desarrollo seguro aceptada por la política del cliente | La institución verifica lo que desarrollan terceros | Res. BCB 85, art. 3, §§ 3 y 6 |
Logs y registros de auditoría diseñados junto con el producto | Trazabilidad de punta a punta | Res. BCB 85, art. 3, § 7 |
Revisión antes de cada versión publicada | Control de vulnerabilidades en versiones nuevas | Res. BCB 85, art. 12, § 3 |
Una ventana en el cronograma para la prueba de penetración | Prueba anual e independiente | Res. BCB 85, art. 22-A |
Registro validado por cumplimiento antes del diseño | Identificación y calificación del cliente | Circular BCB 3.978, arts. 16 y 18 |
Pregunta también quién responde por el proyecto en el día a día. En Wama, una sola persona lo conduce del briefing a la entrega, y la IA usada en código y automatización pasa por revisión humana antes de llegar al cliente. En un proyecto auditable, saber quién escribió y quién revisó cada parte es la mitad de la documentación. Los demás puntos del contrato están en lo que hay que exigir por escrito a quien construye.
¿Cuánto cuesta y cuánto tiempo toma una app de fintech?
Depende del producto y de lo que viene listo de la institución socia. Una guía de una software house brasileña, de marzo de 2026, estima el MVP de una billetera digital entre US$ 30.000 y US$ 60.000 y de 5 a 8 meses. Una desarrolladora brasileña, en abril de 2025, habla de US$ 60.000 a US$ 300.000 y de 4 a 12 meses.
El rango general de Wama para SaaS y sistemas va de US$ 4.000 a US$ 20.000, y llega a US$ 40.000 según la complejidad, con 50% al inicio y 50% en la entrega. Es una referencia de producto digital, no de app regulada: la prueba de penetración, las integraciones de identificación y la revisión de cada versión se suman encima. Mira lo que mueve el precio de una primera versión.
Errores comunes en la creación de una app para fintech
Publicar en la cuenta de la agencia. La tienda puede rechazarla, y la fintech pierde el control del producto.
Diseñar el registro antes que cumplimiento. Las pantallas vuelven al principio cuando cambia la lista de datos.
Tratar la seguridad como fase final. La norma pide controles durante el desarrollo, no un informe al final.
Olvidar la prueba de penetración en el cronograma. Es anual, independiente y genera correcciones.
Preguntas frecuentes
¿Una agencia puede publicar la app de la fintech en su propia cuenta?
No es el camino seguro. Apple determina que las apps de servicios financieros sean enviadas por la persona jurídica que presta el servicio, y Google Play exige la declaración de funciones financieras. Lo correcto es que la cuenta nazca a nombre de la fintech, con la agencia invitada como miembro para publicar y mantener la app.
¿La Resolución BCB 85 aplica a cualquier fintech?
Aplica a las instituciones de pago autorizadas y también a corredoras y distribuidoras. Una fintech que opera con la licencia de una socia no es la destinataria directa, pero la socia responde por lo que corre en su infraestructura y tiende a exigir controles equivalentes. Confirma el encuadre con el área de cumplimiento.
¿Qué cambió con la Resolución BCB 538?
Publicada en diciembre de 2025, detalló los controles mínimos de ciberseguridad, extendió esos controles al desarrollo de sistemas, incluidos los hechos por terceros, exigió registros de auditoría de punta a punta e hizo obligatoria una prueba de penetración independiente al menos una vez al año.
¿La app tiene que decir que la empresa es una institución de pago?
Sí, cuando es una institución de pago autorizada. La Resolución BCB 80 exige que esa condición conste de forma clara en los canales de comunicación y de atención. Como la app suele ser el principal canal de atención, la información tiene que estar en un lugar fijo y fácil de encontrar.
¿Cuánto tiempo toma desarrollar una app de fintech?
Las guías de mercado publicadas entre 2025 y 2026 hablan de 4 a 12 meses, con el MVP de una billetera digital estimado entre 5 y 8 meses. El plazo crece con el número de integraciones, con la validación del registro por parte de cumplimiento y con la ventana de la prueba de penetración antes del lanzamiento.
Si tu fintech va a sacar una app del papel y quiere el alcance, las cuentas y el proceso de publicación definidos antes de la primera pantalla, habla con Wama y pide una propuesta detallada.
