Zo worden je gegevens beschermd — Beheer

Deze pagina beschrijft de beveiliging rond de gegevens die je organisatie in Flowtly bewaart: waar ze worden opgeslagen, hoe de ene organisatie van de andere gescheiden blijft, hoe ze worden versleuteld, hoe er een back-up van wordt gemaakt en waar je de documenten vindt die over persoonsgegevens gaan onder de AVG. Er staan alleen maatregelen op die daadwerkelijk zijn getroffen.

Waar je gegevens worden opgeslagen

Flowtly draait op Google Cloud. De applicatieservers, de database, de bestanden die je uploadt en de kortetermijncache staan allemaal in één Google Cloud-regio in België, binnen de Europese Unie.

Wanneer Flowtly de tekst van een document dat je uploadt leest, zoals een factuur of een bon, doet de AI-dienst van Google dat in dezelfde regio.

Elke organisatie staat apart

Elke organisatie in Flowtly heeft een eigen database voor haar werkgegevens: haar mensen, projecten, klanten, financiën en documenten. Wat organisatieoverstijgend moet werken, zoals gebruikersaccounts, lidmaatschappen van organisaties en aanmeldgegevens, staat in een aparte gedeelde database.

Elk verzoek aan Flowtly noemt de organisatie waarin het wordt uitgevoerd. Voordat er iets namens jou wordt gelezen, controleert Flowtly of je lid bent van die organisatie. Zo niet, dan wordt het verzoek geweigerd. Een verzoek dat geen organisatie noemt, krijgt helemaal geen toegang tot de werkgegevens van een organisatie: Flowtly weigert de database van een organisatie te openen die het niet is opgegeven, in plaats van terug te vallen op een standaarddatabase.

Meldingen in de app volgen dezelfde scheiding. Een melding voor één persoon kan alleen door die persoon worden gelezen, en een melding voor een organisatie alleen door mensen die bij die organisatie zijn aangemeld. Berichten over Flowtly zelf worden aan iedereen getoond.

Versleuteling

Tijdens het transport. Flowtly wordt alleen via HTTPS aangeboden. Een verzoek dat via gewoon HTTP binnenkomt, wordt doorgestuurd naar HTTPS voordat er iets wordt uitgewisseld. Achter Flowtly is ook de verbinding tussen de applicatie en de database versleuteld, en de database accepteert die alleen van een client die een vertrouwd certificaat toont.

In rust. De database, de back-ups ervan en je geüploade bestanden worden opgeslagen op Google Cloud, dat opgeslagen gegevens standaard versleutelt.

De sleutels en wachtwoorden die de eigen diensten van Flowtly gebruiken, staan in een beheerde geheimenopslag en niet in de code van de applicatie.

Bestanden die je uploadt

Geüploade bestanden worden in privéopslag bewaard. Openbare toegang is op opslagniveau geblokkeerd, dus een bestand kan niet via een link of een deelinstelling openbaar bereikbaar worden gemaakt, per ongeluk of anderszins.

De opslag bewaart eerdere versies van een bestand. Een bestand vervangen of verwijderen vernietigt de versie die er daarvoor stond niet meteen.

Back-ups

Van de database wordt elke dag automatisch een back-up gemaakt en de 30 meest recente back-ups blijven bewaard. Naast de dagelijkse back-ups wordt elke wijziging doorlopend vastgelegd, waardoor de database kan worden hersteld naar een gekozen recent moment, en niet alleen naar het moment waarop een back-up is gemaakt.

De database is ook beschermd tegen verwijdering: ze kan niet door één enkele opdracht, per ongeluk, worden verwijderd zonder dat die bescherming eerst bewust is uitgeschakeld.

Bescherming vóór Flowtly

Elk verzoek passeert een webapplicatiefirewall voordat het Flowtly bereikt.

Geautomatiseerde sondes worden geweerd. De scans die het internet afspeuren naar kwetsbare software, bereiken Flowtly nooit.
Ongebruikelijk verkeer wordt in de gaten gehouden door een adaptieve verdediging tegen denial-of-service.
Verzoeken die gegevens wijzigen, hebben een limiet per adres. Een adres dat er in een minuut te veel stuurt, wordt geweigerd, en een adres dat blijft doorgaan, wordt een tijdlang geblokkeerd.

Ook herhaalde mislukte aanmeldpogingen worden afgeremd: na te veel pogingen pauzeert Flowtly verdere pogingen een tijdlang, zoals Inloggen beschrijft.

Flowtly slaat je wachtwoord zelf nooit op, alleen een eenrichtingshash ervan. Bovenop het wachtwoord kan een organisatie voor iedereen meervoudige authenticatie verplicht stellen, of haar leden laten aanmelden via single sign-on met Google Workspace of Microsoft. Inloggen en Meervoudige authenticatie behandelen allebei.

Wie wat kan zien binnen je organisatie

De bovenstaande maatregelen houden andere organisaties buiten. Binnen je eigen organisatie wordt toegang bepaald door rollen: wat iedere persoon kan zien en wijzigen, volgt de rollen die een beheerder hem of haar geeft. Rechten legt uit hoe rollen werken.

Belangrijke handelingen worden vastgelegd. Het auditlogboek laat zien wie wat en wanneer heeft gewijzigd, en elke aanmelding wordt vastgelegd met het netwerk waarvandaan ze kwam. Standaard bewaart Flowtly alleen het netwerkvoorvoegsel van het adres, niet het volledige adres; een beheerder kan dat wijzigen onder "Settings" → "Security", zoals Beveiligingsinstellingen beschrijft.

Persoonsgegevens en de AVG

Je organisatie kan persoonsgegevens in Flowtly bewaren, zoals gegevens van medewerkers, kandidaten of klanten. De voorwaarden waaronder Flowtly die gegevens namens je organisatie verwerkt, staan in documenten die volledig zijn gepubliceerd op flowtly.eu:

de Verwerkersovereenkomst
de bijbehorende Technische en organisatorische maatregelen
het Privacybeleid

De pagina Beveiliging op flowtly.eu bundelt dezelfde documenten voor een inkoop- of beveiligingsbeoordeling.

Om een account, of een hele organisatie, te laten verwijderen, zie Je account en gegevens verwijderen.

Voorbeelden van gebruik

Een beveiligingsvragenlijst van een klant beantwoorden: Gebruik deze pagina voor waar gegevens worden opgeslagen, hoe organisaties van elkaar worden gescheiden en hoe back-ups werken, en voeg de gepubliceerde verwerkersovereenkomst en technische en organisatorische maatregelen toe voor de contractuele voorwaarden.
De dataresidentie controleren voor een AVG-beoordeling: De database van Flowtly en de bestanden die je uploadt, staan in een Google Cloud-regio in België, binnen de Europese Unie.
Een team geruststellen over geüploade documenten: Contracten, loonstroken en facturen die naar Flowtly worden geüpload, staan in privéopslag die niet openbaar kan worden gemaakt.
Uitleggen wat een back-up dekt: Van de database wordt dagelijks een back-up gemaakt, de laatste 30 back-ups blijven bewaard, en ze kan ook worden hersteld naar een gekozen recent moment.
De aanmelding voor de hele organisatie aanscherpen: Verplicht meervoudige authenticatie of single sign-on, zodat een uitgelekt wachtwoord alleen niet genoeg is om binnen te komen.