Bezpieczeństwo i zaufanie
Bezpieczeństwo i zaufanie w Flowtly
Flowtly działa w Google Cloud w regionie europe-west1. Każdy klient dostaje odizolowany schemat bazy danych, a dane są szyfrowane w transmisji i w spoczynku. Ta strona wymienia wdrożone zabezpieczenia i dokumenty, które je opisują.
Skontaktuj się z zespołem bezpieczeństwaPraktyki ISO 27001
Zarządzanie ryzykiem, polityki i kontrole dostosowane do praktyk ISO 27001; bez audytu.
Kryteria SOC 2
Kontrole dostosowane do kryteriów SOC 2 Trust Services; bez audytu.
Brak trenowania AI na Twoich danych
Dane klientów nigdy nie są wykorzystywane do trenowania modeli AI – własnych ani zewnętrznych.
Szyfrowanie domyślnie
TLS na każdym połączeniu, a dane w spoczynku chroni domyślne szyfrowanie Google Cloud.
Bezpieczna infrastruktura chmurowa
Flowtly korzysta z odporności Google Cloud, dodając izolację najemców.
Architektura oparta na Google Cloud
Flowtly działa w Google Cloud: Cloud Run, Cloud SQL i Secret Manager w regionie europe-west1. Centra danych i usługi zarządzane, z których korzysta, mają certyfikaty ISO 27001 i SOC 2, a zasoby statyczne dostarcza CloudFront.
CloudFront dla zasobów statycznych
AWS CloudFront dostarcza wyłącznie zasoby statyczne przez TLS. Dane Twojej przestrzeni roboczej są hostowane w Google Cloud w regionie europe-west1 w Belgii.
Oddzielne schematy baz danych dla klientów
Każdy klient otrzymuje logicznie odseparowany schemat bazy danych, aby wyeliminować mieszanie danych.
Szyfrowanie i ochrona danych
Szyfrowanie, zarządzanie sekretami i kopie zapasowe są zautomatyzowane.
Szyfrowanie w tranzycie i w spoczynku
Połączenia z platformą i między jej komponentami są zabezpieczone TLS. Aplikacja łączy się z bazą danych wyłącznie z zaufanym certyfikatem klienta. Dane w spoczynku w Google Cloud są szyfrowane domyślnymi mechanizmami dostawcy.
Zarządzanie sekretami i kluczami
Hasła i tokeny przechowywane są w sejfach Secret Manager ze szczegółowymi uprawnieniami.
Odporne kopie zapasowe
Codziennie wykonujemy automatyczne, zaszyfrowane kopie zapasowe, a obok nich działa odzyskiwanie do punktu w czasie. Przechowujemy 30 ostatnich kopii, a odtwarzanie z nich jest testowane co kwartał.
Prywatność i zgodność
Działamy zgodnie z zasadą privacy-by-design i zapewniamy wymagane gwarancje prawne.
Zgodność z RODO
Dostęp, korekta, usuwanie i przenoszenie danych dostępne dla wszystkich klientów z UE.
Umowy powierzenia danych
Umowy powierzenia określają odpowiedzialność i wspólną obsługę incydentów. Naruszenie zgłaszamy bez zbędnej zwłoki, nie później niż 48 godzin od jego wykrycia.
Praktyki ISO 27001
Środki bezpieczeństwa oparte na praktykach ISO 27001; bez audytu. Faktycznie wdrożone środki opisuje dokument o środkach technicznych i organizacyjnych.
Kryteria SOC 2
Kontrole operacyjne dostosowane do kryteriów SOC 2 Trust Services; bez audytu.
Dostęp i retencja danych
Pozostajesz wyłącznym właścicielem danych, a retencja jest ściśle ograniczona.
Usunięcie lub zwrot danych po odejściu
Po zakończeniu subskrypcji decydujesz: usuwamy Twoje dane albo zwracamy je w popularnym formacie elektronicznym, a potem usuwamy. Robimy to w ciągu 30 dni od Twojej dyspozycji. Kopie zapasowe z tymi danymi są nadpisywane w zwykłym cyklu rotacji i nigdy nie są przywracane do produkcji.
Twoje dane należą do Ciebie
Flowtly nie sprzedaje ani nie monetyzuje danych klientów. W Twojej przestrzeni roboczej widzą je tylko osoby, którym nadasz dostęp.
Dostęp zespołu Flowtly według najmniejszych uprawnień
Dostęp do infrastruktury mają wyłącznie upoważnione osoby z Flowtly, zobowiązane do poufności, w zakresie najmniejszych uprawnień. Gdy potrzebujesz pomocy w aplikacji, dodajesz pracownika Flowtly do swojej przestrzeni i sam wybierasz jego uprawnienia.
Bezpieczeństwo na poziomie aplikacji
Wbudowane mechanizmy kontrolują tożsamości, role i ścieżki audytu.
SSO, MFA i logowanie odciskiem palca
Logowanie jednokrotne (SSO) przez Google Workspace i Microsoft Entra ID, z automatycznym dodawaniem użytkowników (JIT) i możliwością wymuszenia w organizacji. Uwierzytelnianie wieloskładnikowe aplikacją uwierzytelniającą, z kodami odzyskiwania i zapasowym kodem e-mail, oraz logowanie odciskiem palca w aplikacji mobilnej.
Role i uprawnienia granularne
Przypisuj prawa dostępu per moduł, zespół czy integrację według zasady najmniejszych uprawnień.
Rejestry audytowe i monitoring
Każde kluczowe działanie jest logowane, aby administratorzy mogli prześledzić logowania, zmiany i usunięcia.
Pytania działu zakupów
O co kupujący pytają najczęściej przed podpisaniem umowy, z odpowiedziami opartymi na naszych opublikowanych dokumentach.
Gdzie są Twoje dane
Dane przestrzeni roboczej są hostowane w Google Cloud w regionie europe-west1 w Belgii. Niektórzy podprocesorzy działają poza EOG, przy monitorowaniu błędów, wysyłce e-maili transakcyjnych i funkcjach AI. Lista podprocesorów wymienia każdego z nich i miejsce przetwarzania danych.
Dostęp do API i jego warunki
Osobisty token dostępu działa z uprawnieniami swojego właściciela. Jest ważny 365 dni, chyba że wybierzesz inaczej, i możesz go w każdej chwili unieważnić. Żądania zapisu mają limit na organizację i nie ma osobnego środowiska testowego. Przeczytaj przewodnik po API.
Jak łączą się systemy
Na potrzeby opisu integracji system–system API publikuje dokument OpenAPI 3.1 pod adresem api.flowtly.eu/docs.json. Narzędzia AI łączą się przez serwer MCP pod adresem mcp.flowtly.eu. Dane z polskich banków trafiają przez Kontomatik.
Przeniesienie danych
Klienci, umowy, historia faktur i wyciągi bankowe wczytują się hurtowo, a każde wczytanie najpierw sprawdza przebieg próbny, zanim cokolwiek zostanie zapisane. Co się wczytuje, a co ustawiasz ręcznie.
Bezpieczeństwo i zgodność
Dostęp oparty na rolach na poziomie modułów i danych
Każde uprawnienie należy do modułu, a grupy uprawnień łączą je według ról, z wyjątkami dla poszczególnych osób. Role przeglądającego i menedżera oddzielają odczyt od zmian, a dane wrażliwe mają osobną rolę: warunki wynagrodzenia z umów o pracę wymagają na przykład roli menedżera umów o pracę.
Szyfrowanie w transmisji (TLS) i w spoczynku (domyślne szyfrowanie Google Cloud)
Połączenia z Flowtly Workspace i między jego komponentami są zabezpieczone TLS, a aplikacja łączy się z bazą danych wyłącznie z zaufanym certyfikatem klienta. Dane w spoczynku w Google Cloud są szyfrowane domyślnym szyfrowaniem dostawcy.
Pełna ścieżka audytu
Weryfikowalny zapis tego, kto zmienił co — od stawek, przez faktury, do umów — gotowy do przeglądów zgodności i due diligence.
Architektura tenantowa i codzienne kopie zapasowe
Dane robocze każdej organizacji znajdują się w jej własnej bazie danych, a nie we wspólnej z innymi organizacjami, a dostęp jest ograniczony do tej organizacji. Kopia zapasowa bazy powstaje automatycznie codziennie, przechowywanych jest 30 ostatnich kopii, a obok działa odtwarzanie do wybranego momentu.
Logowanie jednokrotne przez Microsoft Entra ID
Wymagaj, aby każdy członek logował się przez Microsoft Entra ID Twojej organizacji. Gdy logowanie jednokrotne jest wymuszone, nikt nie ustawia ani nie resetuje hasła we Flowtly; logowanie kontem Google pozostaje opcją osobistą.
Uwierzytelnianie wieloskładnikowe, które możesz wymagać od wszystkich
Sześciocyfrowy kod z aplikacji uwierzytelniającej oprócz hasła, dziesięć jednorazowych kodów odzyskiwania, zaufane urządzenia na 30 dni i opcjonalny kod e-mailem. Wymagaj go w całej organizacji, a każdy, kto go jeszcze nie skonfigurował, zostanie przeprowadzony przez konfigurację przy logowaniu.
Dokumenty dla działów zakupów
Każdy dokument z tej listy istnieje i jest podlinkowany. Jeśli chcesz przeprowadzić własną ocenę bezpieczeństwa, zwróć się do zespołu bezpieczeństwa: odpowie na podstawie tych dokumentów.
Środki techniczne i organizacyjne
Środki, które faktycznie wdrażamy, aby chronić Twoje dane, z datą i numerem wersji. Dokument wprost stwierdza też, że Flowtly nie posiada certyfikacji ISO/IEC 27001 ani atestacji SOC 2.
Umowa powierzenia przetwarzania danych osobowych
Nasza umowa zgodna z art. 28 RODO: role stron, zgłaszanie naruszeń i zasady angażowania podmiotów przetwarzających.
Polityka prywatności
Jakie dane osobowe przetwarzamy, w jakim celu, kto je otrzymuje oraz każda zapisana zmiana dokumentu.
Regulamin
Zasady korzystania z platformy Flowtly wraz z historią zmian.
Nota prawna
Nazwa firmy, siedziba, osoby reprezentujące spółkę oraz numery KRS, NIP i REGON.
Podprocesorzy
Wszystkie firmy, które przetwarzają dane osobowe w naszym imieniu. Każdy wpis podaje rolę firmy, jej lokalizację i datę dodania, a lista ma datowany rejestr zmian.
Polityka zgłaszania luk w zabezpieczeniach
Jak zgłosić zespołowi bezpieczeństwa lukę w zabezpieczeniach i o co prosimy, gdy ją naprawiamy.
Odpis z Krajowego Rejestru Sądowego
Każdy może pobrać odpis dla numeru KRS 0001188143 w portalu rejestrów Ministerstwa Sprawiedliwości.
Status usługi i historia incydentów
Automatyczne kontrole monitorowanych komponentów, 90 dni historii i zapisy incydentów na status.flowtly.eu.
Co się dzieje z danymi mojej firmy, jeśli zrezygnuję z subskrypcji?
Czy mogę liczyć na pomoc we wdrożeniu systemu w firmie?
Czy pracownicy Flowtly mogą zobaczyć moje dane?
Czy firma hostingowa ma dostęp do moich danych?
Obawiam się, że moje dane „przechodzą przez AI” — czy mam alternatywy?
Zobacz, jak chronimy Twoje dane
Nasze środki techniczne i organizacyjne oraz umowa powierzenia przetwarzania danych są opublikowane w całości. Zespół bezpieczeństwa przeprowadzi Cię przez każdy z tych dokumentów albo odpowie na to, czego nie obejmują.
Porozmawiaj z zespołem bezpieczeństwaZespół bezpieczeństwa: security@flowtly.eu