Cómo se protegen tus datos
Esta página describe las protecciones que rodean los datos que tu organización guarda en Flowtly: dónde se almacenan, cómo se mantiene separada una organización de otra, cómo se cifran, cómo se hacen copias de seguridad y dónde encontrar los documentos que cubren los datos personales según el RGPD. Describe únicamente medidas que están en vigor.
Dónde se almacenan tus datos
Flowtly funciona en Google Cloud. Los servidores de aplicación, la base de datos, los archivos que subes y la caché de corta duración están todos en una única región de Google Cloud en Bélgica, dentro de la Unión Europea.
Cuando Flowtly lee el texto de un documento que subes, como una factura o un recibo, esa lectura la realiza el servicio de IA de Google en la misma región.
Cada organización se mantiene separada
Cada organización de Flowtly tiene una base de datos propia para sus datos de trabajo: sus personas, proyectos, clientes, finanzas y documentos. Lo que tiene que funcionar entre organizaciones, como las cuentas de usuario, las pertenencias a organizaciones y los registros de inicio de sesión, se guarda en una base de datos compartida aparte.
Cada solicitud a Flowtly indica la organización en la que actúa. Antes de leer nada en tu nombre, Flowtly comprueba que eres miembro de esa organización. Si no lo eres, la solicitud se rechaza. Una solicitud que no indica ninguna organización no llega a los datos de trabajo de ninguna: Flowtly se niega a abrir la base de datos de una organización que no se le ha indicado usar, en lugar de recurrir a una predeterminada.
Las notificaciones dentro de la aplicación siguen la misma línea. Una notificación dirigida a una persona solo puede leerla esa persona, y una dirigida a una organización solo las personas que han iniciado sesión en esa organización. Los avisos sobre el propio Flowtly se muestran a todos.
Cifrado
En tránsito. Flowtly se sirve únicamente por HTTPS. Una solicitud que llega por HTTP sin cifrar se redirige a HTTPS antes de intercambiar nada. Detrás de Flowtly, la conexión entre la aplicación y su base de datos también está cifrada, y la base de datos solo la acepta de un cliente que presente un certificado de confianza.
En reposo. La base de datos, sus copias de seguridad y los archivos que subes se almacenan en Google Cloud, que cifra de forma predeterminada los datos almacenados.
Las claves y contraseñas que usan los servicios propios de Flowtly se guardan en un almacén de secretos gestionado, no en el código de la aplicación.
Archivos que subes
Los archivos subidos se guardan en almacenamiento privado. El acceso público está bloqueado a nivel de almacenamiento, por lo que un archivo no puede quedar accesible públicamente mediante un enlace o una opción de uso compartido, ni por error ni de otro modo.
El almacenamiento conserva versiones anteriores de un archivo. Reemplazar o eliminar un archivo no destruye de inmediato la versión que había antes.
Copias de seguridad
Se hace una copia de seguridad de la base de datos automáticamente cada día, y se conservan las 30 más recientes. Junto con las copias diarias, cada cambio se registra de forma continua, lo que permite restaurar la base de datos a un momento reciente elegido, no solo al instante en que se hizo una copia.
La base de datos también está protegida contra el borrado: no puede eliminarse con un solo comando, por error, sin desactivar antes deliberadamente esa protección.
Protección delante de Flowtly
Cada solicitud pasa por un cortafuegos de aplicaciones web antes de llegar a Flowtly.
- Las sondas automáticas son rechazadas. Los escaneos que recorren internet en busca de software vulnerable nunca llegan a Flowtly.
- El tráfico inusual se vigila mediante una defensa adaptativa contra denegación de servicio.
- Las solicitudes que modifican datos tienen un límite de frecuencia por dirección. Una dirección que envía demasiadas en un minuto es rechazada, y la que sigue insistiendo queda bloqueada durante un tiempo.
Los inicios de sesión fallidos repetidos también se ralentizan: tras demasiados, Flowtly pausa nuevos intentos durante un tiempo, como describe Iniciar sesión.
Flowtly nunca guarda tu contraseña como tal, solo un hash unidireccional de ella. Además de la contraseña, una organización puede exigir la autenticación multifactor a todos, o hacer que sus miembros inicien sesión mediante inicio de sesión único con Google Workspace o Microsoft. Iniciar sesión y Autenticación multifactor cubren ambas opciones.
Quién puede ver qué dentro de tu organización
Las protecciones anteriores mantienen fuera a otras organizaciones. Dentro de tu propia organización, el acceso lo deciden los roles: lo que cada persona puede ver y modificar depende de los roles que le asigna un administrador. Permisos explica cómo funcionan los roles.
Las acciones clave quedan registradas. El registro de auditoría muestra quién cambió qué y cuándo, y cada inicio de sesión se registra con la red desde la que se hizo. De forma predeterminada Flowtly conserva solo el prefijo de red de la dirección, no la dirección completa; un administrador puede cambiarlo en Configuración → Seguridad, como describe Configuración de seguridad.
Datos personales y el RGPD
Tu organización puede guardar datos personales en Flowtly, como datos de empleados, candidatos o clientes. Las condiciones en las que Flowtly trata esos datos por cuenta de tu organización se establecen en documentos publicados íntegramente en flowtly.eu:
- el Acuerdo de tratamiento de datos
- las Medidas técnicas y organizativas que lo acompañan
- la Política de privacidad
La página de Seguridad de flowtly.eu reúne esos mismos documentos para una revisión de compras o de seguridad.
Para eliminar una cuenta, o una organización entera, consulta Elimina tu cuenta y tus datos.
Ejemplos de uso
- Responder al cuestionario de seguridad de un cliente: Usa esta página para saber dónde se almacenan los datos, cómo se separan las organizaciones y cómo funcionan las copias de seguridad, y adjunta el acuerdo de tratamiento de datos y las medidas técnicas y organizativas publicados para las condiciones contractuales.
- Comprobar la residencia de los datos para una evaluación del RGPD: La base de datos de Flowtly y los archivos que subes se almacenan en una región de Google Cloud en Bélgica, dentro de la Unión Europea.
- Tranquilizar a un equipo sobre los documentos subidos: Los contratos, nóminas y facturas subidos a Flowtly están en almacenamiento privado que no puede hacerse público.
- Explicar qué cubre una copia de seguridad: Se hace una copia de seguridad diaria de la base de datos y se conservan las últimas 30, y también puede restaurarse a un momento reciente elegido.
- Reforzar el inicio de sesión de toda la organización: Exige autenticación multifactor o inicio de sesión único, para que una contraseña filtrada por sí sola no baste para entrar.