Flowtly – Tekniska och organisatoriska åtgärder

Detta är en svensk översättning av den engelska versionen, som tillhandahålls för enkelhetens skull. Den engelskspråkiga versionen är bindande (se avsnitt 1). Engelsk version · Polsk version

1. Inledning och tillämpningsområde

Detta dokument beskriver de tekniska och organisatoriska åtgärder (”TOM”) som Flowtly Prosta Spółka Akcyjna (KRS 0001188143), med säte i Warszawa, ul. Młynarska 8/12, Polen, vidtar för att säkerställa en säkerhetsnivå vid behandlingen av personuppgifter som är lämplig i förhållande till risken, i enlighet med artikel 32 GDPR. Detta dokument utgör bilaga 1 till Flowtlys personuppgiftsbiträdesavtal och gäller för behandlingen av personuppgifter på plattformen Flowtly.

Detta dokument beskriver plattformens säkerhetsläge såsom det registrerats på publiceringsdagen för den aktuella versionen, på grundval av konfigurationen av plattformens infrastruktur. Flowtly gör inte anspråk på någon ISO/IEC 27001-certifiering eller SOC 2-attestering – detta dokument beskriver endast åtgärder som faktiskt har genomförts, inte planerade eller eftersträvade åtgärder, och är inte resultatet av en oberoende säkerhetsrevision. Den engelskspråkiga versionen av detta dokument är den bindande versionen; denna svenska översättning tillhandahålls, liksom alla översättningar, inklusive den polska, för enkelhetens skull.

2. Säkerhet för infrastruktur och hosting

Plattformen driftas på infrastrukturen Google Cloud Platform (GCP), i regionen europe-west1 (Belgien, Europeiska unionen). Applikationsdatabasen (Cloud SQL) upprätthålls separat för varje Organisation, vilket ger en logisk separation av varje Organisations uppgifter på databasnivå (se avsnitt 5).

Databasinstansen körs i en konfiguration med en enda zon, utan någon aktiv reservreplik i en annan tillgänglighetszon – en medvetet accepterad avvägning med hänsyn till infrastrukturkostnaderna. I praktiken innebär detta att ett avbrott i zonen påverkar plattformens tillgänglighet, medan det – tack vare de åtgärder som beskrivs i avsnitt 6 – inte bör leda till förlust av uppgifter utöver vad som beskrivs där.

3. Kryptering av uppgifter

Anslutningar till plattformen och kommunikationen mellan dess komponenter skyddas med TLS. Applikationens åtkomst till databasen kräver autentisering med ett betrott klientcertifikat (tvingande läge för betrodda klientcertifikat). Lagrade uppgifter i Google Clouds tjänster krypteras med infrastrukturleverantörens standardmekanismer för kryptering.

4. Åtkomstkontroll och identitetshantering

Åtkomsten till plattformens infrastruktur är begränsad till behörig personal hos Flowtly – och, i den mån det är nödvändigt för att tillhandahålla teknisk support, behörig personal hos infrastrukturleverantören – enligt principen om minsta behörighet. Åtkomst till databasen sker med molnbaserad identitetsautentisering (IAM-databasautentisering). Applikationens inloggningsuppgifter och hemligheter lagras i en särskild hemlighetshanterare, inte i källkod eller konfigurationsfiler. Driftsättningsflöden (CI/CD) autentiserar sig mot molninfrastrukturen med Workload Identity Federation, utan långlivade åtkomstnycklar som lagras utanför identitetsleverantören.

Lösenord för databasens tjänstekonton omfattas av en tvingande lösenordspolicy: en minsta längd på 14 tecken, tvingande komplexitetskrav och förbud mot att återanvända något av de 5 senaste lösenorden.

5. Separation av Organisationers uppgifter (multi-tenancy)

Varje Organisations uppgifter på plattformen lagras i en separat databas som är avsedd för den Organisationen, inte i en gemensam databas som används av andra Organisationer. Applikationens åtkomst till en viss databas är begränsad till den Organisationen.

6. Säkerhetskopiering och katastrofåterställning

Plattformens databas skyddas automatiskt genom en daglig säkerhetskopiering, konfigurerad så att dess körningsfönster börjar kl. 03:00 UTC, och genom en mekanism för återställning till en viss tidpunkt (point-in-time recovery) som bygger på transaktionsloggning. De 30 senaste lyckade säkerhetskopiorna sparas – i praktiken kan detta motsvara mindre än 30 dagars täckning om någon schemalagd säkerhetskopiering misslyckas.

Den skyddsnivå som dessa åtgärder ger i praktiken: en oavsiktlig radering eller en felaktig migrering kan i normalfallet återställas med några minuters noggrannhet genom återställning till en viss tidpunkt. I det extrema scenariot att hela databasinstansen går förlorad sker återställningen från den senaste lyckade dagliga säkerhetskopian, vilket i normalfallet innebär en möjlig förlust av uppgifter på upp till 24 timmar; detta är beskrivningar av hur mekanismen normalt beter sig givet dess konfiguration, inte garantier för maximal förlust som har verifierats i praktiken. Den tid som krävs för att fullständigt återställa tjänsten efter förlust av en instans (RTO) har ännu inte mätts i en verklig återställningsövning – Flowtly anger därför för närvarande inget numeriskt åtagande för detta, och kommer inte att göra det förrän det har verifierats i praktiken.

7. Hantering av säkerhetsincidenter

Flowtly övervakar plattformens infrastruktur och har ett förfarande för hantering av säkerhetsincidenter. Om en personuppgiftsincident identifieras underrättar Flowtly den Personuppgiftsansvarige utan onödigt dröjsmål, i enlighet med de tidsfrister och det förfarande som anges i personuppgiftsbiträdesavtalet – under alla omständigheter senast 48 timmar efter att incidenten har identifierats.

8. Hantering av leverantörer och Underbiträden

Flowtly anlitar Underbiträden som behandlar Organisationers personuppgifter endast på de villkor som beskrivs i personuppgiftsbiträdesavtalet, inklusive underrättelse minst 30 dagar i förväg om nya Underbiträden och en mekanism för invändningar från den Personuppgiftsansvarige. Den aktuella förteckningen över Underbiträden – inklusive infrastrukturleverantören (Google Cloud), betalningshantering (Stripe), integration av bankuppgifter (Kontomatik), felövervakning (Sentry), behandling av dokumentinnehåll för AI-baserade funktioner (Anthropic) och utskick av transaktionell e-post (Postmark) – publiceras i personuppgiftsbiträdesavtalet.

9. Åtagande att inte sänka säkerhetsnivån samt versionshantering

Flowtly åtar sig att inte sänka den övergripande säkerhetsnivå för behandlingen som beskrivs i detta dokument under löptiden för avtalet om tillgång till plattformen; att ersätta en viss åtgärd med en annan som ger en likvärdig eller högre skyddsnivå utgör inte en sänkning. Varje ändring av detta dokument – inklusive varje sådant utbyte – registreras som en ny, daterad version i den versionshistorik som finns tillgänglig på denna sida, så att det säkerhetsläge som gällde vid en viss tidpunkt alltid kan fastställas utifrån denna historik.

Detta dokument är den version som publicerades den 28 oktober 2026.