Flowtly – Medidas técnicas y organizativas

Esta es una traducción al español de la versión inglesa, facilitada a efectos informativos. La versión en lengua inglesa es la vinculante (véase la sección 1). Versión en inglés · Versión en polaco

1. Introducción y ámbito de aplicación

El presente documento describe las medidas técnicas y organizativas («MTO») que Flowtly Prosta Spółka Akcyjna (KRS 0001188143), con domicilio social en Varsovia, ul. Młynarska 8/12, Polonia, aplica para garantizar un nivel de seguridad del tratamiento de datos personales adecuado al riesgo, de conformidad con el artículo 32 del RGPD. Este documento constituye el Anexo 1 del Acuerdo de encargo de tratamiento de datos de Flowtly y se aplica al tratamiento de datos personales en la Plataforma Flowtly.

Este documento describe el estado de la seguridad de la Plataforma tal como consta en la fecha de publicación de la versión correspondiente, sobre la base de la configuración de la infraestructura de la Plataforma. Flowtly no declara disponer de la certificación ISO/IEC 27001 ni de una atestación SOC 2: este documento describe únicamente medidas efectivamente implantadas, no medidas previstas o aspiracionales, y no es el resultado de una auditoría de seguridad independiente. La versión en lengua inglesa de este documento es la versión vinculante; esta traducción al español, al igual que cualquier otra traducción, incluida la polaca, se facilita a efectos informativos.

2. Seguridad de la infraestructura y del alojamiento

La Plataforma está alojada en la infraestructura de Google Cloud Platform (GCP), en la región europe-west1 (Bélgica, Unión Europea). La base de datos de la aplicación (Cloud SQL) se mantiene por separado para cada Organización, lo que proporciona una separación lógica de los datos de cada Organización a nivel de base de datos (véase la sección 5).

La instancia de base de datos funciona en una configuración de zona única, sin réplica de reserva activa en otra zona de disponibilidad, lo cual constituye una contrapartida aceptada deliberadamente en relación con el coste de la infraestructura. En la práctica, esto significa que una interrupción de la zona afecta a la disponibilidad de la Plataforma, mientras que —gracias a las medidas descritas en la sección 6— no debería provocar una pérdida de datos superior a la allí descrita.

3. Cifrado de datos

Las conexiones con la Plataforma y la comunicación entre sus componentes están protegidas mediante TLS. El acceso de la aplicación a la base de datos requiere autenticación con un certificado de cliente de confianza (modo obligatorio de certificado de cliente de confianza). Los datos en reposo almacenados en los servicios de Google Cloud se cifran mediante los mecanismos de cifrado predeterminados de dicho proveedor de infraestructura.

4. Control de acceso y gestión de identidades

El acceso a la infraestructura de la Plataforma está restringido al personal autorizado de Flowtly —y, en la medida necesaria para prestar soporte técnico, al personal autorizado del proveedor de infraestructura— conforme al principio de mínimo privilegio. El acceso a la base de datos utiliza autenticación basada en identidades en la nube (autenticación de base de datos IAM). Las credenciales y los secretos de la aplicación se almacenan en un gestor de secretos dedicado, no en el código fuente ni en archivos de configuración. Los procesos de despliegue (CI/CD) se autentican en la infraestructura en la nube mediante Workload Identity Federation, sin claves de acceso de larga duración almacenadas fuera del proveedor de identidades.

Las contraseñas de las cuentas de servicio de la base de datos están sujetas a una política de contraseñas obligatoria: una longitud mínima de 14 caracteres, complejidad obligatoria y la prohibición de reutilizar cualquiera de las 5 últimas contraseñas.

5. Separación de los datos de las Organizaciones (multiinquilino)

Los datos de cada Organización en la Plataforma se almacenan en una base de datos independiente dedicada a dicha Organización, y no en una base de datos compartida utilizada por otras Organizaciones. El acceso de la aplicación a una base de datos determinada está limitado a dicha Organización.

6. Copias de seguridad y recuperación ante desastres

La base de datos de la Plataforma está protegida automáticamente mediante una copia de seguridad diaria, configurada para iniciar su ventana de ejecución a las 03:00 UTC, y mediante un mecanismo de recuperación a un momento determinado basado en el registro de transacciones. Se conservan las 30 copias de seguridad correctas más recientes; en la práctica, esto puede suponer una cobertura inferior a 30 días si falla alguna copia de seguridad programada.

El nivel de protección que estas medidas ofrecen en la práctica: una supresión accidental o una migración errónea pueden, en el caso típico, revertirse con una precisión de unos pocos minutos mediante la recuperación a un momento determinado. En el escenario extremo de pérdida de toda la instancia de base de datos, la recuperación se realiza a partir de la copia de seguridad diaria correcta más reciente, lo que en el caso típico supone una posible pérdida de datos de hasta 24 horas; se trata de descripciones del comportamiento típico del mecanismo dada su configuración, no de garantías de pérdida máxima verificadas en la práctica. El tiempo necesario para restablecer completamente el servicio tras la pérdida de una instancia (RTO) aún no se ha medido en un simulacro de recuperación real; por ello, Flowtly no asume actualmente ningún compromiso numérico al respecto, ni lo asumirá hasta que se haya verificado en la práctica.

7. Gestión de incidentes de seguridad

Flowtly supervisa la infraestructura de la Plataforma y dispone de un procedimiento de respuesta a incidentes de seguridad. Si se detecta una violación de la seguridad de los datos personales, Flowtly la notifica al Responsable sin dilación indebida, de conformidad con los plazos y el procedimiento establecidos en el Acuerdo de encargo de tratamiento de datos y, en cualquier caso, a más tardar 48 horas después de detectarse la violación.

8. Gestión de proveedores y Subencargados

Flowtly recurre a Subencargados que tratan datos personales de las Organizaciones únicamente en las condiciones descritas en el Acuerdo de encargo de tratamiento de datos, incluido un preaviso de al menos 30 días para los nuevos Subencargados y un mecanismo de objeción del Responsable. La lista vigente de Subencargados —que incluye el proveedor de infraestructura (Google Cloud), el procesamiento de pagos (Stripe), la integración de datos bancarios (Kontomatik), la supervisión de errores (Sentry), el tratamiento del contenido de documentos para funcionalidades basadas en IA (Anthropic) y el envío de correo electrónico transaccional (Postmark)— se publica en el Acuerdo de encargo de tratamiento de datos.

9. Compromiso de no reducción y control de versiones

Flowtly se compromete a no reducir el nivel general de seguridad del tratamiento descrito en el presente documento durante la vigencia del contrato de acceso a la Plataforma; la sustitución de una medida determinada por otra que ofrezca un nivel de protección equivalente o superior no constituye una reducción. Todo cambio en el presente documento, incluida cualquier sustitución de este tipo, se registra como una nueva versión fechada en el historial de revisiones disponible en esta página, de modo que siempre puede determinarse a partir de dicho historial el nivel de seguridad vigente en cualquier momento.

Este documento es la versión publicada el 28 de octubre de 2026.