Flowtly – Technische en organisatorische maatregelen

Dit is een Nederlandse vertaling van de Engelse versie, ter informatie verstrekt. De Engelstalige versie is bindend (zie artikel 1). Engelse versie · Poolse versie

1. Inleiding en toepassingsgebied

Dit document beschrijft de technische en organisatorische maatregelen (“TOM’s”) die Flowtly Prosta Spółka Akcyjna (KRS 0001188143), met statutaire zetel te Warschau, ul. Młynarska 8/12, Polen, treft om overeenkomstig artikel 32 AVG een op het risico afgestemd beveiligingsniveau van de verwerking van persoonsgegevens te waarborgen. Dit document vormt bijlage 1 bij de Verwerkersovereenkomst van Flowtly en is van toepassing op de verwerking van persoonsgegevens op het Flowtly-platform.

Dit document beschrijft de stand van de beveiliging van het platform zoals vastgelegd op de publicatiedatum van de betreffende versie, op basis van de infrastructuurconfiguratie van het platform. Flowtly claimt geen ISO/IEC 27001-certificering of SOC 2-attestering — dit document beschrijft uitsluitend maatregelen die daadwerkelijk zijn geïmplementeerd, geen geplande of beoogde maatregelen, en is niet het resultaat van een onafhankelijke beveiligingsaudit. De Engelstalige versie van dit document is bindend; deze Nederlandse vertaling wordt, net als elke andere vertaling, inclusief de Poolse, ter informatie verstrekt.

2. Beveiliging van infrastructuur en hosting

Het platform wordt gehost op de infrastructuur van Google Cloud Platform (GCP), in de regio europe-west1 (België, Europese Unie). De applicatiedatabase (Cloud SQL) wordt voor elke Organisatie afzonderlijk bijgehouden, wat zorgt voor een logische scheiding van de gegevens van elke Organisatie op databaseniveau (zie artikel 5).

De database-instantie draait in een configuratie met één zone, zonder actieve standby-replica in een andere beschikbaarheidszone — een bewust aanvaarde afweging met het oog op infrastructuurkosten. In de praktijk betekent dit dat een storing van de zone gevolgen heeft voor de beschikbaarheid van het platform, terwijl deze — dankzij de in artikel 6 beschreven maatregelen — niet tot gegevensverlies zou moeten leiden dat verder gaat dan daar is beschreven.

3. Versleuteling van gegevens

Verbindingen met het platform en de communicatie tussen de onderdelen ervan zijn beveiligd met TLS. Toegang van de applicatie tot de database vereist authenticatie met een vertrouwd clientcertificaat (afgedwongen modus voor vertrouwde clientcertificaten). Gegevens in rust die in Google Cloud-diensten zijn opgeslagen, worden versleuteld met de standaardversleutelingsmechanismen van die infrastructuuraanbieder.

4. Toegangsbeheer en identiteitsbeheer

Toegang tot de infrastructuur van het platform is beperkt tot gemachtigd personeel van Flowtly — en, voor zover noodzakelijk voor het verlenen van technische ondersteuning, gemachtigd personeel van de infrastructuuraanbieder — op basis van het beginsel van minimale rechten. Toegang tot de database maakt gebruik van authenticatie op basis van cloudidentiteit (IAM-databaseauthenticatie). Applicatiereferenties en geheimen worden opgeslagen in een speciale geheimenbeheerder, niet in broncode of configuratiebestanden. Implementatiepijplijnen (CI/CD) authenticeren zich bij de cloudinfrastructuur met behulp van Workload Identity Federation, zonder langlevende toegangssleutels die buiten de identiteitsprovider zijn opgeslagen.

Wachtwoorden van serviceaccounts van de database zijn onderworpen aan een afgedwongen wachtwoordbeleid: een minimale lengte van 14 tekens, afgedwongen complexiteit en een verbod op hergebruik van een van de laatste 5 wachtwoorden.

5. Scheiding van de gegevens van Organisaties (multi-tenancy)

De gegevens van elke Organisatie op het platform worden opgeslagen in een afzonderlijke database die aan die Organisatie is toegewezen, niet in een gedeelde database die door andere Organisaties wordt gebruikt. Toegang van de applicatie tot een bepaalde database is beperkt tot die Organisatie.

6. Back-ups en herstel na calamiteiten

De database van het platform wordt automatisch beschermd door een dagelijkse back-up, waarvan het uitvoeringsvenster is ingesteld om om 03:00 UTC te beginnen, en door een mechanisme voor herstel naar een bepaald tijdstip op basis van transactielogboeken. De 30 meest recente geslaagde back-ups worden bewaard — in de praktijk kan dit neerkomen op een dekking van minder dan 30 dagen als een geplande back-up mislukt.

Het beschermingsniveau dat deze maatregelen in de praktijk bieden: een onbedoelde verwijdering of een mislukte migratie kan in het typische geval met behulp van herstel naar een bepaald tijdstip op enkele minuten nauwkeurig worden teruggedraaid. In het extreme scenario van verlies van de volledige database-instantie vindt herstel plaats vanaf de meest recente geslaagde dagelijkse back-up, wat in het typische geval een mogelijk gegevensverlies van maximaal 24 uur betekent; dit zijn beschrijvingen van hoe het mechanisme zich gezien de configuratie ervan doorgaans gedraagt, en geen in de praktijk geverifieerde garanties voor het maximale verlies. De tijd die nodig is om de dienstverlening na verlies van een instantie volledig te herstellen (RTO), is nog niet gemeten in een echte hersteloefening — Flowtly vermeldt daarvoor daarom momenteel geen numerieke toezegging, en zal dat niet doen totdat dit in de praktijk is geverifieerd.

7. Beheer van beveiligingsincidenten

Flowtly bewaakt de infrastructuur van het platform en beschikt over een procedure voor de respons op beveiligingsincidenten. Indien een inbreuk in verband met persoonsgegevens wordt vastgesteld, stelt Flowtly de Verwerkingsverantwoordelijke zonder onredelijke vertraging in kennis, overeenkomstig de termijnen en de procedure die in de Verwerkersovereenkomst zijn vastgelegd — in ieder geval uiterlijk 48 uur nadat de inbreuk is vastgesteld.

8. Beheer van leveranciers en Subverwerkers

Flowtly schakelt Subverwerkers die persoonsgegevens van Organisaties verwerken uitsluitend in onder de voorwaarden die in de Verwerkersovereenkomst zijn beschreven, waaronder een kennisgeving ten minste 30 dagen van tevoren voor nieuwe Subverwerkers en een mechanisme voor bezwaar door de Verwerkingsverantwoordelijke. De actuele lijst van Subverwerkers — waaronder de infrastructuuraanbieder (Google Cloud), betalingsverwerking (Stripe), integratie van bankgegevens (Kontomatik), foutmonitoring (Sentry), verwerking van de inhoud van documenten voor op AI gebaseerde functies (Anthropic) en verzending van transactionele e-mail (Postmark) — is gepubliceerd in de Verwerkersovereenkomst.

9. Toezegging tot niet-verlaging en versiebeheer

Flowtly verbindt zich ertoe het algemene beveiligingsniveau van de verwerking zoals beschreven in dit document gedurende de looptijd van de overeenkomst voor de verlening van platformtoegang niet te verlagen; het vervangen van een bepaalde maatregel door een andere die een gelijkwaardig of hoger beschermingsniveau biedt, geldt niet als verlaging. Elke wijziging van dit document — met inbegrip van een dergelijke vervanging — wordt vastgelegd als een nieuwe, gedateerde versie in de revisiegeschiedenis die op deze pagina beschikbaar is, zodat het op enig moment geldende beveiligingsniveau altijd aan de hand van die geschiedenis kan worden vastgesteld.

Dit document is de versie die is gepubliceerd op 28 oktober 2026.