Sådan beskyttes dine data

Denne side beskriver de beskyttelser, der omgiver de data, din organisation opbevarer i Flowtly: hvor de er gemt, hvordan en organisation holdes adskilt fra en anden, hvordan de krypteres, hvordan der tages backup, og hvor du finder de dokumenter, der dækker personoplysninger under GDPR. Siden beskriver kun foranstaltninger, der er indført.

Hvor dine data er gemt

Flowtly kører på Google Cloud. Applikationsserverne, databasen, de filer, du uploader, og den kortvarige cache ligger alle i én Google Cloud-region i Belgien, inden for Den Europæiske Union.

Når Flowtly læser teksten i et dokument, du uploader, for eksempel en faktura eller en kvittering, udføres den læsning af Googles AI-tjeneste i samme region.

Hver organisation holdes adskilt

Hver organisation i Flowtly har en database for sig selv til sine arbejdsdata: dens medarbejdere, projekter, klienter, økonomi og dokumenter. Det, der skal fungere på tværs af organisationer, såsom brugerkonti, organisationsmedlemskaber og loginposter, opbevares i en separat fælles database.

Hver anmodning til Flowtly angiver den organisation, den handler i. Før noget læses på dine vegne, kontrollerer Flowtly, at du er medlem af den organisation. Hvis du ikke er det, afvises anmodningen. En anmodning, der ikke angiver nogen organisation, når slet ikke nogen organisations arbejdsdata: Flowtly afviser at åbne en organisations database, den ikke har fået besked på at bruge, i stedet for at falde tilbage på en standarddatabase.

Notifikationer i appen følger samme skel. En notifikation, der er beregnet til én person, kan kun læses af den person, og en, der er beregnet til en organisation, kun af personer, der er logget ind i den organisation. Meddelelser om Flowtly selv vises for alle.

Kryptering

Under transport. Flowtly leveres kun via HTTPS. En anmodning, der ankommer via almindelig HTTP, omdirigeres til HTTPS, før noget udveksles. Bag Flowtly er forbindelsen mellem applikationen og dens database også krypteret, og databasen accepterer den kun fra en klient, der fremviser et betroet certifikat.

I hvile. Databasen, dens backups og dine uploadede filer er gemt på Google Cloud, som som standard krypterer lagrede data.

De nøgler og adgangskoder, Flowtlys egne tjenester bruger, opbevares i et administreret hemmelighedslager og ikke i applikationens kode.

Filer, du uploader

Uploadede filer opbevares i privat lager. Offentlig adgang er blokeret på lagerniveau, så en fil ikke kan gøres offentligt tilgængelig via et link eller en delingsindstilling, hverken ved en fejl eller på anden vis.

Lageret beholder tidligere versioner af en fil. Når du erstatter eller sletter en fil, ødelægges den version, der var der før, ikke med det samme.

Backups

Der tages automatisk backup af databasen hver dag, og de 30 seneste backups opbevares. Ud over de daglige backups registreres hver ændring løbende, hvilket gør det muligt at gendanne databasen til et valgt tidspunkt for nylig og ikke kun til det øjeblik, hvor en backup blev taget.

Databasen er også beskyttet mod sletning: den kan ikke fjernes med en enkelt kommando, ved en fejl, uden at denne beskyttelse først er slået fra med vilje.

Beskyttelse foran Flowtly

Hver anmodning passerer en webapplikationsfirewall, før den når Flowtly.

Automatiserede sonderinger afvises. De scanninger, der gennemsøger internettet efter sårbar software, når aldrig Flowtly.
Usædvanlig trafik overvåges af et adaptivt forsvar mod denial-of-service.
Anmodninger, der ændrer data, er hastighedsbegrænsede pr. adresse. En adresse, der sender for mange på et minut, afvises, og en, der bliver ved, blokeres i et stykke tid.

Gentagne mislykkede login bremses også: efter for mange sætter Flowtly yderligere forsøg på pause i et stykke tid, som Log på beskriver.

Flowtly gemmer aldrig selve din adgangskode, kun en envejs-hash af den. Oven på adgangskoden kan en organisation kræve multifaktorgodkendelse for alle eller lade sine medlemmer logge ind via single sign-on med Google Workspace eller Microsoft. Log på og Multifaktorgodkendelse dækker begge dele.

Hvem kan se hvad i din organisation

Beskyttelserne ovenfor holder andre organisationer ude. Inden for din egen organisation afgøres adgang af roller: hvad hver person kan se og ændre, følger de roller, en administrator giver vedkommende. Rettigheder forklarer, hvordan roller fungerer.

Vigtige handlinger registreres. Revisionssporet viser, hvem der har ændret hvad og hvornår, og hvert login registreres sammen med det netværk, det kom fra. Som standard gemmer Flowtly kun adressens netværksprefix og ikke den fulde adresse; en administrator kan ændre det under "Settings" → "Security", som Sikkerhedsindstillinger beskriver.

Din organisation kan opbevare personoplysninger i Flowtly, såsom oplysninger om medarbejdere, kandidater eller klienter. Vilkårene for, at Flowtly behandler disse data på din organisations vegne, er fastlagt i dokumenter, der er offentliggjort i deres helhed på flowtly.eu:

Databehandleraftalen
De tekniske og organisatoriske foranstaltninger, der ledsager den
Privatlivspolitikken

Siden Sikkerhed på flowtly.eu samler de samme dokumenter til en indkøbs- eller sikkerhedsgennemgang.

Hvis du vil have en konto eller en hel organisation slettet, se Slet din konto og dine data.

Eksempler på brug

Besvarelse af en klients sikkerhedsspørgeskema: Brug denne side til, hvor data er gemt, hvordan organisationer holdes adskilt, og hvordan backups fungerer, og vedlæg den offentliggjorte databehandleraftale og de tekniske og organisatoriske foranstaltninger for de kontraktlige vilkår.
Kontrol af dataplacering til en GDPR-vurdering: Flowtlys database og de filer, du uploader, er gemt i en Google Cloud-region i Belgien, inden for Den Europæiske Union.
Betryggelse af et team om uploadede dokumenter: Kontrakter, lønsedler og fakturaer, der uploades til Flowtly, ligger i privat lager, som ikke kan gøres offentligt.
Forklaring af, hvad en backup dækker: Der tages daglig backup af databasen, og de seneste 30 backups opbevares, og den kan også gendannes til et valgt tidspunkt for nylig.
Skærpelse af login for hele organisationen: Kræv multifaktorgodkendelse eller single sign-on, så en lækket adgangskode alene ikke er nok til at komme ind.