Beveiliging & Vertrouwen
Beveiliging & Vertrouwen bij Flowtly
Flowtly draait op Google Cloud in europe-west1. Elke klant krijgt een geïsoleerd databaseschema, en gegevens worden versleuteld tijdens verzending en in rust. Deze pagina somt de genomen maatregelen op en de documenten die ze beschrijven.
Praat met ons beveiligingsteamISO 27001-praktijken
Risicobeheer, beleid en controles afgestemd op ISO 27001-praktijken; niet geaudit.
SOC 2-criteria
Controles afgestemd op de SOC 2 Trust Services-criteria; niet geaudit.
Geen AI-training op je data
Klantdata wordt nooit gebruikt om interne of externe AI-modellen te trainen.
Standaard encryptie
TLS op elke verbinding, en data in rust beschermd door de standaardversleuteling van Google Cloud.
Veilige cloudinfrastructuur
Flowtly maakt gebruik van de veerkracht van Google Cloud en voegt tenant-isolatie toe.
Google Cloud-gebaseerde architectuur
Flowtly draait op Google Cloud: Cloud Run, Cloud SQL en Secret Manager in de regio europe-west1. De datacenters en beheerde services die het gebruikt zijn gecertificeerd voor ISO 27001 en SOC 2, en CloudFront levert statische assets.
CloudFront voor statische assets
AWS CloudFront levert alleen statische assets via TLS. De data in je werkruimte wordt gehost bij Google Cloud in de regio europe-west1 in België.
Geïsoleerde databaseschema’s per tenant
Elke klant ontvangt een logisch geïsoleerd databaseschema om data-overlap of onbedoelde toegang te voorkomen.
Encryptie & gegevensbescherming
Encryptie, geheimenbeheer en back-ups zijn geautomatiseerd.
Encryptie tijdens overdracht & in rust
Verbindingen met het platform en tussen de onderdelen ervan zijn beveiligd met TLS. De applicatie bereikt de database alleen met een vertrouwd clientcertificaat. Data in rust in Google Cloud wordt versleuteld met de standaardmechanismen van de provider.
Geheimen- & sleutelbeheer
Credentials en API-tokens worden opgeslagen in door Secret Manager ondersteunde vaults met gedetailleerde toegangscontroles.
Veerkrachtige back-ups
Geautomatiseerde, versleutelde back-ups draaien dagelijks, aangevuld met herstel naar een willekeurig tijdstip, en de 30 meest recente worden bewaard. Herstel vanuit een back-up wordt elk kwartaal getest.
Privacy & compliance
We opereren met privacy by design en bieden de juridische waarborgen die moderne teams vereisen.
AVG-conform
Workflows voor datatoegang, correctie, verwijdering en overdraagbaarheid zijn beschikbaar voor elke EU-klant.
Gegevensverwerkingsovereenkomsten
Verwerkersovereenkomsten leggen verantwoordelijkheden en de gezamenlijke afhandeling van incidenten vast. Een datalek wordt zonder onredelijke vertraging gemeld, en uiterlijk 48 uur nadat het is vastgesteld.
ISO 27001-praktijken
Beveiligingsmaatregelen opgebouwd rond ISO 27001-praktijken; niet geaudit. Welke maatregelen echt zijn ingevoerd, staat in onze technische en organisatorische maatregelen.
SOC 2-criteria
Operationele controles afgestemd op de SOC 2 Trust Services-criteria; niet geaudit.
Datatoegang & -bewaring
Je blijft de enige eigenaar van je werkruimtedata, en bewaring wordt strikt gecontroleerd.
Verwijdering of teruggave bij vertrek
Als je abonnement eindigt, kies je: we verwijderen je data, of we geven ze terug in een gangbaar elektronisch formaat en verwijderen ze daarna. Dat doen we binnen 30 dagen na je instructie. Back-ups met die data worden in de normale rotatie overschreven en nooit naar productie teruggezet.
Je bent eigenaar van je data
Flowtly verkoopt of monetariseert nooit klantdata. In je werkruimte zien alleen de mensen die je toegang geeft ze.
Toegang door Flowtly volgens minimale rechten
Alleen bevoegde Flowtly-medewerkers met een geheimhoudingsplicht hebben toegang tot de infrastructuur, volgens het principe van minimale rechten. Voor hulp in de app voeg je een Flowtly-medewerker toe aan je werkruimte en kies je zelf de rechten.
Beveiliging op applicatieniveau
Ingebouwde controles houden identiteiten, rollen en activiteitsregistraties volledig beheerd.
SSO, MFA en inloggen met vingerafdruk
Single sign-on via Microsoft Entra ID, die je kunt afdwingen voor je geverifieerde e-maildomeinen. Single sign-on via Google Workspace en just-in-time-provisioning staan gepland. Nu voegt een schakelaar bij de eerste aanmelding via Microsoft alleen mensen toe die al een Flowtly-account hebben. Meervoudige authenticatie met een authenticator-app, herstelcodes en e-mail als terugvaloptie, plus inloggen met vingerafdruk in de mobiele app.
Rolgebaseerde toegangscontroles
Wijs gedetailleerde rechten toe per module, team of integratie om het principe van minimale privileges te volgen.
Audittrails & monitoring
Alle sleutelacties worden geregistreerd zodat beheerders inlogpogingen, wijzigingen en verwijderingen in context kunnen bekijken.
Vragen van inkoop
Wat kopers het vaakst vragen voordat ze tekenen, beantwoord vanuit onze gepubliceerde documenten.
Waar je data staat
Werkruimtedata wordt gehost bij Google Cloud in de regio europe-west1 in België. Sommige subverwerkers werken buiten de EER, voor foutmonitoring, transactionele e-mail en de AI-functies. De lijst van subverwerkers noemt elk ervan en waar het data verwerkt.
API-toegang en de voorwaarden
Een persoonlijk toegangstoken handelt met de rechten van de eigenaar. Het is 365 dagen geldig tenzij je anders kiest, en je kunt het op elk moment intrekken. Schrijfverzoeken zijn per organisatie begrensd, en er is geen aparte sandbox. Lees de API-gids.
Hoe systemen koppelen
Voor een systeem-tot-systeembeschrijving publiceert de API een OpenAPI 3.1-document op api.flowtly.eu/docs.json. AI-tools koppelen via de MCP-server op mcp.flowtly.eu. Data van Poolse banken komt binnen via Kontomatik.
Je data overzetten
Klanten, contracten, factuurhistorie en bankafschriften worden in bulk geladen, en elke lading wordt eerst gecontroleerd met een proefrun voordat er iets wordt weggeschreven. Wat er geladen wordt en wat je met de hand instelt.
Beveiliging & compliance
Rolgebaseerde toegang op module- en dataniveau
Elke machtiging hoort bij een module, en machtigingsgroepen bundelen ze per rol, met uitzonderingen per persoon. Kijker- en beheerdersrollen scheiden inzien van wijzigen, en gevoelige gegevens hebben een eigen rol: de beloningsvoorwaarden in overeenkomsten vereisen bijvoorbeeld de rol overeenkomstenbeheerder.
Versleuteld tijdens overdracht (TLS) en in rust (standaardversleuteling van Google Cloud)
Verbindingen met Flowtly Workspace en tussen de onderdelen ervan zijn beveiligd met TLS, en de applicatie bereikt haar database alleen met een vertrouwd clientcertificaat. Data in rust bij Google Cloud wordt versleuteld met de standaardversleuteling van de provider.
Een volledig audittrail
Een verifieerbaar register van wie wat heeft gewijzigd, van tarieven tot facturen tot overeenkomsten, klaar voor compliancebeoordelingen en due diligence.
Tenant-geïsoleerde dataarchitectuur en dagelijkse back-ups
De werkgegevens van elke organisatie staan in een eigen database, niet in een die met andere organisaties wordt gedeeld, en toegang is beperkt tot die organisatie. De database krijgt elke dag automatisch een back-up; de 30 meest recente back-ups blijven bewaard, aangevuld met herstel naar een gekozen tijdstip.
Single sign-on via Microsoft Entra ID
Leden met een e-mailadres op een van je geverifieerde domeinen loggen in met hun zakelijke Microsoft-account. Maak je het verplicht, dan wordt inloggen met een wachtwoord op die domeinen geweigerd. Wie al een Flowtly-account heeft, kan bij de eerste aanmelding via Microsoft lid worden, als je dat toestaat.
Meervoudige aanmelding die je voor iedereen kunt verplichten
Een zescijferige code uit een authenticator-app naast het wachtwoord, tien eenmalige herstelcodes, vertrouwde apparaten voor 30 dagen en een optionele code per e-mail. Verplicht het voor de hele organisatie en wie het nog niet heeft ingesteld, wordt bij het inloggen door de instelling geleid.
Documenten voor inkoop
Elk document in deze lijst bestaat vandaag en is gelinkt. Voor een eigen beveiligingsbeoordeling kun je het beveiligingsteam benaderen: zij beantwoorden die op basis van deze documenten.
Technische en organisatorische maatregelen
De maatregelen die wij daadwerkelijk treffen om je gegevens te beschermen, gedateerd en van versienummers voorzien. Het document stelt ook duidelijk dat Flowtly geen ISO/IEC 27001-certificering of SOC 2-attestatie heeft.
Verwerkersovereenkomst
Onze overeenkomst op grond van artikel 28 van de AVG: rollen, melding van datalekken en hoe subverwerkers worden ingeschakeld.
Privacybeleid
Welke persoonsgegevens wij verwerken, waarom, wie ze ontvangt en elke vastgelegde herziening.
Gebruiksvoorwaarden
De voorwaarden die gelden voor het Flowtly-platform, met hun herzieningsgeschiedenis.
Juridische informatie
Bedrijfsnaam, statutaire zetel, wie het bedrijf vertegenwoordigt en de nummers van KRS, btw en REGON.
Subverwerkers
Alle bedrijven die namens ons persoonsgegevens verwerken. Elke vermelding geeft de rol, de locatie en de datum van toevoeging, met een gedateerd wijzigingslogboek.
Beleid voor het melden van kwetsbaarheden
Hoe je een beveiligingslek meldt aan het securityteam en wat we van je vragen terwijl we het verhelpen.
Serviceniveaus
Vanaf 24 november 2026: 99,5% beschikbaarheid per maand in elk pakket, wat niet meetelt en de eerste reactie binnen 8 werkuren in Enterprise.
Uittreksel uit het Poolse handelsregister
Iedereen kan een uittreksel voor KRS 0001188143 downloaden via het registerportaal van het Poolse ministerie van Justitie.
Servicestatus en incidentgeschiedenis
Geautomatiseerde controles van de bewaakte onderdelen, 90 dagen geschiedenis en incidentverslagen op status.flowtly.eu.
Wat gebeurt er met mijn bedrijfsgegevens als ik mijn abonnement opzeg?
Kan ik rekenen op ondersteuning tijdens de systeemimplementatie?
Kunnen Flowtly-medewerkers mijn gegevens zien?
Kan het hostingbedrijf toegang krijgen tot mijn gegevens?
Ik maak me zorgen over mijn gegevens die via AI gaan — zijn er alternatieven?
Hoe wij met je gegevens omgaan
Onze technische en organisatorische maatregelen en onze verwerkersovereenkomst zijn volledig gepubliceerd. Het securityteam licht ze toe of beantwoordt wat er niet in staat.
Praat met het securityteamSecurityteam: security@flowtly.eu