Flowtly – Medidas Técnicas e Organizativas

Esta é uma tradução para português da versão inglesa, disponibilizada por conveniência. A versão em língua inglesa é a vinculativa (ver Secção 1). Versão inglesa · Versão polaca

1. Introdução e âmbito

O presente documento descreve as medidas técnicas e organizativas («MTO») que a Flowtly Prosta Spółka Akcyjna (KRS 0001188143), com sede em Varsóvia, ul. Młynarska 8/12, Polónia, aplica para assegurar um nível de segurança do tratamento de dados pessoais adequado ao risco, em conformidade com o artigo 32.º do RGPD. O presente documento constitui o Anexo 1 ao Acordo de Tratamento de Dados da Flowtly e aplica-se ao tratamento de dados pessoais na Plataforma Flowtly.

O presente documento descreve o estado da segurança da Plataforma tal como registado na data de publicação da versão relevante, com base na configuração da infraestrutura da Plataforma. A Flowtly não alega deter a certificação ISO/IEC 27001 nem um atestado SOC 2 — o presente documento descreve apenas medidas efetivamente aplicadas, e não medidas planeadas ou aspiracionais, e não é o resultado de uma auditoria de segurança independente. A versão em língua inglesa do presente documento é a versão vinculativa; a presente tradução para português, tal como qualquer outra tradução, incluindo a polaca, é disponibilizada por conveniência.

2. Segurança da infraestrutura e do alojamento

A Plataforma está alojada na infraestrutura da Google Cloud Platform (GCP), na região europe-west1 (Bélgica, União Europeia). A base de dados da aplicação (Cloud SQL) é mantida separadamente para cada Organização, o que assegura a separação lógica dos dados de cada Organização ao nível da base de dados (ver Secção 5).

A instância da base de dados funciona numa configuração de zona única, sem réplica de reserva ativa noutra zona de disponibilidade — um compromisso deliberadamente aceite em matéria de custos de infraestrutura. Na prática, isto significa que uma indisponibilidade da zona afeta a disponibilidade da Plataforma, ao passo que — graças às medidas descritas na Secção 6 — não deverá resultar em perda de dados para além do aí descrito.

3. Cifragem de dados

As ligações à Plataforma e a comunicação entre os seus componentes são protegidas por TLS. O acesso da aplicação à base de dados exige autenticação com um certificado de cliente fidedigno (modo de certificado de cliente fidedigno obrigatório). Os dados em repouso armazenados nos serviços da Google Cloud são cifrados através dos mecanismos de cifragem predefinidos desse fornecedor de infraestrutura.

4. Controlo de acessos e gestão de identidades

O acesso à infraestrutura da Plataforma está restrito ao pessoal autorizado da Flowtly — e, na medida necessária à prestação de apoio técnico, ao pessoal autorizado do fornecedor de infraestrutura — segundo o princípio do privilégio mínimo. O acesso à base de dados utiliza autenticação baseada em identidades na nuvem (autenticação IAM da base de dados). As credenciais e os segredos da aplicação são armazenados num gestor de segredos dedicado, e não no código-fonte nem em ficheiros de configuração. Os pipelines de implementação (CI/CD) autenticam-se na infraestrutura em nuvem através da Workload Identity Federation, sem chaves de acesso de longa duração armazenadas fora do fornecedor de identidade.

As palavras-passe das contas de serviço da base de dados estão sujeitas a uma política de palavras-passe obrigatória: comprimento mínimo de 14 caracteres, complexidade obrigatória e proibição de reutilizar qualquer uma das últimas 5 palavras-passe.

5. Separação dos dados das Organizações (multi-inquilino)

Os dados de cada Organização na Plataforma são armazenados numa base de dados separada, dedicada a essa Organização, e não numa base de dados partilhada utilizada por outras Organizações. O acesso da aplicação a uma determinada base de dados está circunscrito a essa Organização.

6. Cópias de segurança e recuperação em caso de desastre

A base de dados da Plataforma está automaticamente protegida por uma cópia de segurança diária, configurada para iniciar a sua janela de execução às 03:00 UTC, e por um mecanismo de recuperação para um momento específico (point-in-time recovery) baseado no registo de transações. São conservadas as 30 cópias de segurança bem-sucedidas mais recentes — na prática, tal pode corresponder a menos de 30 dias de cobertura se alguma cópia de segurança agendada falhar.

O nível de proteção que estas medidas proporcionam na prática: uma eliminação acidental ou uma migração incorreta pode, no caso típico, ser revertida com uma precisão de poucos minutos através da recuperação para um momento específico. No cenário extremo de perda de toda a instância da base de dados, a recuperação é feita a partir da cópia de segurança diária bem-sucedida mais recente, o que, no caso típico, significa uma eventual perda de dados de até 24 horas; trata-se de descrições do comportamento típico do mecanismo face à sua configuração, e não de garantias de perda máxima verificadas na prática. O tempo necessário para restabelecer plenamente o serviço após a perda de uma instância (RTO) ainda não foi medido num exercício real de recuperação — pelo que a Flowtly não indica atualmente um compromisso numérico a este respeito, e não o fará enquanto tal não tiver sido verificado na prática.

7. Gestão de incidentes de segurança

A Flowtly monitoriza a infraestrutura da Plataforma e dispõe de um procedimento de resposta a incidentes de segurança. Caso seja identificada uma violação de dados pessoais, a Flowtly notifica o Responsável pelo Tratamento sem demora injustificada, em conformidade com os prazos e o processo estabelecidos no Acordo de Tratamento de Dados — em qualquer caso, o mais tardar 48 horas após a identificação da violação.

8. Gestão de fornecedores e de Subcontratantes Ulteriores

A Flowtly contrata Subcontratantes Ulteriores que tratam dados pessoais das Organizações apenas nos termos descritos no Acordo de Tratamento de Dados, incluindo um pré-aviso de, pelo menos, 30 dias para novos Subcontratantes Ulteriores e um mecanismo de oposição do Responsável pelo Tratamento. A lista atual de Subcontratantes Ulteriores — incluindo o fornecedor de infraestrutura (Google Cloud), o processamento de pagamentos (Stripe), a integração de dados bancários (Kontomatik), a monitorização de erros (Sentry), o tratamento do conteúdo de documentos para funcionalidades baseadas em IA (Anthropic) e o envio de correio eletrónico transacional (Postmark) — é publicada no Acordo de Tratamento de Dados.

9. Compromisso de não redução e controlo de versões

A Flowtly compromete-se a não reduzir o nível global de segurança do tratamento descrito no presente documento durante a vigência do contrato de acesso à Plataforma; a substituição de uma determinada medida por outra que proporcione um nível de proteção equivalente ou superior não constitui uma redução. Todas as alterações ao presente documento — incluindo qualquer substituição desse tipo — são registadas como uma nova versão datada no histórico de revisões disponível nesta página, pelo que o nível de segurança em vigor em qualquer momento pode sempre ser determinado a partir desse histórico.

O presente documento corresponde à versão publicada em 28 de outubro de 2026.