Безпека і довіра

Безпека і довіра у Flowtly

Flowtly працює в Google Cloud у регіоні europe-west1. Кожен клієнт отримує ізольовану схему бази даних, а дані шифруються під час передавання та зберігання. На цій сторінці перелічено запроваджені заходи й документи, що їх описують.

Поговорити з нашою командою безпеки

Практики ISO 27001

Управління ризиками, політики й контролі, узгоджені з практиками ISO 27001; аудит не проводився.

Критерії SOC 2

Контролі, узгоджені з критеріями Trust Services SOC 2; аудит не проводився.

Без навчання AI на ваших даних

Дані клієнтів ніколи не використовуються для навчання внутрішніх чи сторонніх AI-моделей.

Шифрування за замовчуванням

TLS на кожному з’єднанні, а дані у сховищі захищає стандартне шифрування Google Cloud.

Безпечна хмарна інфраструктура

Flowtly успадковує стійкість Google Cloud і додає ізоляцію орендарів.

Архітектура на Google Cloud

Flowtly працює на Google Cloud: Cloud Run, Cloud SQL і Secret Manager у регіоні europe-west1. Дата-центри та керовані сервіси, які він використовує, мають сертифікації ISO 27001 і SOC 2, а статичні ресурси доставляє CloudFront.

CloudFront для статичних ресурсів

AWS CloudFront доставляє лише статичні ресурси через TLS. Дані вашого робочого простору розміщено в Google Cloud, у регіоні europe-west1 в Бельгії.

Ізольовані схеми баз даних на орендаря

Кожен клієнт отримує логічно ізольовану схему бази даних, щоб запобігти перетинам даних чи випадковому доступу.

Шифрування та захист даних

Шифрування, керування секретами та резервні копії автоматизовані.

Шифрування в транзиті й на зберіганні

З’єднання з платформою та між її компонентами захищені TLS. Застосунок підключається до бази даних лише з довіреним клієнтським сертифікатом. Дані у сховищі Google Cloud шифруються стандартними механізмами провайдера.

Керування секретами та ключами

Облікові дані та API-токени зберігаються у сховищах на базі Secret Manager з детальними контролями доступу.

Стійкі резервні копії

Автоматизовані зашифровані резервні копії створюються щодня, доповнені відновленням на будь-який момент часу, а 30 останніх зберігаються. Відновлення з резервної копії перевіряється щокварталу.

Приватність і комплаєнс

Ми працюємо за принципом privacy by design і надаємо юридичні запобіжники, яких потребують сучасні команди.

Відповідність GDPR

Доступ, виправлення, видалення й переносимість даних доступні для кожного клієнта з ЄС.

Договори про обробку даних

DPA визначають відповідальність і спільне реагування на інциденти. Про порушення повідомляють без зайвої затримки, не пізніше ніж через 48 годин після його виявлення.

Практики ISO 27001

Заходи безпеки побудовані навколо практик ISO 27001; аудит не проводився. Фактично впроваджені заходи описано в наших технічних та організаційних заходах.

Критерії SOC 2

Операційні контролі, узгоджені з критеріями Trust Services SOC 2; аудит не проводився.

Доступ до даних і зберігання

Ви залишаєтеся єдиним власником даних робочого простору, а ретенція суворо контролюється.

Видалення або повернення даних після виходу

Коли підписка закінчується, ви обираєте: ми видаляємо ваші дані або повертаємо їх у поширеному електронному форматі й потім видаляємо. Ми робимо це протягом 30 днів від вашої вказівки. Резервні копії з цими даними перезаписуються у звичайному циклі ротації й ніколи не відновлюються в робочу систему.

Ви володієте своїми даними

Flowtly ніколи не продає і не монетизує дані клієнтів. У вашому робочому просторі їх бачать лише ті, кому ви надали доступ.

Доступ співробітників Flowtly за мінімальними привілеями

Доступ до інфраструктури мають лише уповноважені співробітники Flowtly, зобов’язані зберігати конфіденційність, за принципом найменших привілеїв. Щоб отримати допомогу в застосунку, ви додаєте співробітника Flowtly до свого робочого простору й самі обираєте його права.

Безпека на рівні застосунку

Вбудовані контролі забезпечують керування ідентичностями, ролями та журналами активностей.

SSO, MFA та вхід за відбитком пальця

Єдиний вхід через Microsoft Entra ID, який можна зробити обов’язковим для підтверджених доменів електронної пошти. Єдиний вхід через Google Workspace і автоматичне створення облікових записів (just-in-time) заплановано. Сьогодні перемикач додає під час першого входу через Microsoft лише тих, хто вже має обліковий запис Flowtly. Багатофакторна автентифікація через застосунок-автентифікатор, коди відновлення та резервний код електронною поштою, а також вхід за відбитком пальця в мобільному застосунку.

Рольова модель доступу

Призначайте детальні дозволи по модулях, командах чи інтеграціях, дотримуючись принципу найменших привілеїв.

Журнали аудиту та моніторинг

Усі ключові дії логуються, щоб адміністратори могли переглядати входи, зміни й видалення в контексті.

Запитання відділу закупівель

Що покупці найчастіше запитують перед підписанням, з відповідями на основі наших опублікованих документів.

Де зберігаються ваші дані

Дані робочого простору розміщено в Google Cloud, у регіоні europe-west1 у Бельгії. Деякі субобробники працюють за межами ЄЕЗ: для моніторингу помилок, транзакційних листів і функцій ШІ. Список субобробників називає кожного з них і місце обробки даних.

Доступ до API та його умови

Персональний токен доступу діє з правами свого власника. Він чинний 365 днів, якщо ви не оберете інше, і його можна відкликати будь-коли. Запити на запис обмежено для кожної організації, окремої пісочниці немає. Прочитайте посібник з API.

Як поєднуються системи

Для опису взаємодії систем API публікує документ OpenAPI 3.1 за адресою api.flowtly.eu/docs.json. Інструменти ШІ підключаються через сервер MCP за адресою mcp.flowtly.eu. Дані польських банків надходять через Kontomatik.

Перенесення ваших даних

Клієнти, договори, історія рахунків і банківські виписки завантажуються масово, і кожне завантаження спочатку проходить пробний прогін, перш ніж щось буде записано. Що завантажується, а що ви налаштовуєте вручну.

Безпека та відповідність

Рольовий доступ на рівні модулів і даних

Кожен дозвіл належить до модуля, а групи дозволів об’єднують їх за ролями, з винятками для окремих людей. Ролі переглядача й менеджера розмежовують перегляд і зміни, а чутливі дані мають окрему роль: умови оплати в угодах, наприклад, потребують ролі менеджера угод.

Шифрування під час передачі (TLS) і у сховищі (стандартне шифрування Google Cloud)

З’єднання з Flowtly Workspace і між його компонентами захищені TLS, а застосунок звертається до своєї бази даних лише з довіреним клієнтським сертифікатом. Дані у сховищі Google Cloud шифруються стандартним шифруванням постачальника.

Повна аудиторська стежка

Перевіряючий запис про те, хто змінив що — від ставок до рахунків і контрактів — готовий до перевірок відповідності та due diligence.

Ізоляція даних між тенантами та щоденні бекапи

Робочі дані кожної організації зберігаються в окремій базі даних, а не в спільній з іншими організаціями, і доступ обмежено цією організацією. Базу щодня автоматично резервують, зберігають 30 останніх резервних копій, а також доступне відновлення на вибраний момент часу.

Єдиний вхід через Microsoft Entra ID

Учасники, чия адреса електронної пошти належить до одного з ваших підтверджених доменів, входять через робочий обліковий запис Microsoft. Якщо зробити це обов’язковим, вхід за паролем для цих доменів відхиляється. Хто вже має обліковий запис Flowtly, може приєднатися під час першого входу через Microsoft, якщо ви це дозволите.

Багатофакторний вхід, який можна вимагати від усіх

Шестизначний код із застосунку-автентифікатора на додачу до пароля, десять одноразових кодів відновлення, довірені пристрої на 30 днів і необов’язковий код електронною поштою. Вимагайте його для всієї організації: хто ще не налаштував, пройде налаштування під час входу.

Документи для закупівель

Кожен документ у цьому списку вже існує і має посилання. Для власної перевірки безпеки звертайтеся до команди безпеки: вона відповідає на основі цих документів.

Поширені запитання

Поширені запитання

Не знайшли відповіді? Зв’яжіться з нами.

Що станеться з даними моєї компанії, якщо я скасую підписку?
Вирішуєте ви. Протягом 30 днів після завершення підписки повідомте нам, чи видалити ваші дані, чи повернути їх у поширеному електронному форматі; ми робимо це протягом 30 днів, а після повернення видаляємо дані. Без вказівки ми їх видаляємо. Резервні копії з цими даними перезаписуються у звичайному циклі ротації.
Чи можна розраховувати на підтримку під час впровадження системи?
Так, ми надаємо підтримку під час впровадження Flowtly. Також можемо порадити з вибором і налаштуванням модулів під потреби вашої компанії.
Чи можуть співробітники Flowtly бачити мої дані?
Лише в потрібному обсязі. Уповноважені співробітники Flowtly, зобов’язані зберігати конфіденційність, мають доступ за мінімальними привілеями до інфраструктури, де зберігаються ваші дані. Якщо вам потрібна допомога в застосунку, тимчасово додайте співробітника Flowtly до робочого простору й оберіть рівень доступів.
Чи може хостинг-компанія отримати доступ до моїх даних?
Дані у сховищі шифруються стандартним шифруванням Google Cloud. Персонал Google Cloud має доступ до інфраструктури лише в обсязі, потрібному для технічної підтримки, за принципом найменших привілеїв, а Google Cloud має ті самі обов’язки щодо захисту даних, що й Flowtly, згідно з нашою угодою про обробку даних.
Я хвилююся, що мої дані пройдуть через AI — чи є альтернативи?
Так. Ви можете користуватися інтерфейсом Flowtly без AI-діалогів, а також налаштувати власного LLM-провайдера для шару розмов.

Як ми поводимося з вашими даними

Наші технічні та організаційні заходи й договір про обробку даних опубліковані повністю. Команда безпеки проведе вас по кожному з них або відповість на те, чого вони не охоплюють.

Поговорити з командою безпеки

Команда безпеки: security@flowtly.eu

Як повідомити про вразливість безпеки