Sicherheit & Vertrauen
Sicherheit und Vertrauen bei Flowtly
Flowtly läuft in Google Cloud in europe-west1. Jeder Kunde erhält ein isoliertes Datenbankschema, und Daten werden bei der Übertragung und im Ruhezustand verschlüsselt. Diese Seite listet die umgesetzten Maßnahmen und die Dokumente auf, die sie beschreiben.
Security-Team kontaktierenISO-27001-Praktiken
Risikomanagement, Richtlinien und Kontrollen sind an ISO-27001-Praktiken ausgerichtet; nicht auditiert.
SOC-2-Kriterien
Kontrollen sind an den SOC-2-Trust-Services-Kriterien ausgerichtet; nicht auditiert.
Kein KI-Training mit Ihren Daten
Kundendaten werden niemals zum Training interner oder externer KI-Modelle verwendet.
Verschlüsselung als Standard
TLS auf jeder Verbindung; ruhende Daten schützt die Standardverschlüsselung von Google Cloud.
Sichere Cloud-Infrastruktur
Flowtly nutzt die Resilienz von Google Cloud und ergänzt sie um Mandantentrennung.
Google-Cloud-basierte Architektur
Flowtly läuft auf Google Cloud: Cloud Run, Cloud SQL und Secret Manager in europe-west1. Die genutzten Rechenzentren und Managed Services sind nach ISO 27001 und SOC 2 zertifiziert, und statische Assets liefert CloudFront aus.
CloudFront für statische Assets
AWS CloudFront liefert ausschließlich statische Assets über TLS aus. Die Daten Ihres Workspace werden bei Google Cloud in europe-west1 in Belgien gehostet.
Isolierte Datenbankschemata pro Kunde
Jeder Kunde erhält ein logisch isoliertes Datenbankschema, um Datenvermischung zu verhindern.
Verschlüsselung & Datenschutz
Verschlüsselung, Geheimnisverwaltung und Backups sind automatisiert.
Verschlüsselung in Transit und Ruhe
Verbindungen zur Plattform und zwischen ihren Komponenten sind per TLS gesichert. Die Anwendung erreicht die Datenbank nur mit einem vertrauenswürdigen Client-Zertifikat. Ruhende Daten in Google Cloud sind mit der Standardverschlüsselung des Anbieters verschlüsselt.
Secret- & Key-Management
Zugänge und Tokens liegen in Secret-Manager-Tresoren mit feingranularen Berechtigungen.
Robuste Backups
Automatische, verschlüsselte Backups laufen täglich, ergänzt durch Point-in-Time-Recovery; die 30 jüngsten werden aufbewahrt. Die Wiederherstellung aus dem Backup wird jedes Quartal getestet.
Datenschutz & Compliance
Privacy-by-Design sowie rechtliche Garantien geben Ihrem Team Sicherheit.
DSGVO-konform
Zugriff, Berichtigung, Löschung und Portabilität stehen allen EU-Kunden zur Verfügung.
Auftragsverarbeitungsverträge
Unsere AV-Verträge regeln Verantwortlichkeiten und die gemeinsame Bearbeitung von Vorfällen. Eine Datenschutzverletzung wird unverzüglich gemeldet, spätestens 48 Stunden nach ihrer Feststellung.
ISO-27001-Praktiken
Sicherheitsmaßnahmen orientieren sich an ISO-27001-Praktiken; nicht auditiert. Welche Maßnahmen tatsächlich umgesetzt sind, beschreiben unsere technischen und organisatorischen Maßnahmen.
SOC-2-Kriterien
Operative Kontrollen sind an den SOC-2-Trust-Services-Kriterien ausgerichtet; nicht auditiert.
Datenzugriff & Aufbewahrung
Sie bleiben alleiniger Eigentümer Ihrer Daten; Aufbewahrungszeiten sind strikt begrenzt.
Löschung oder Rückgabe nach Vertragsende
Nach Ende Ihres Abonnements entscheiden Sie: Wir löschen Ihre Daten, oder wir geben sie in einem gängigen elektronischen Format zurück und löschen sie danach. Das geschieht innerhalb von 30 Tagen nach Ihrer Weisung. Backups mit diesen Daten werden im regulären Rotationszyklus überschrieben und nie in die Produktion zurückgespielt.
Ihre Daten gehören Ihnen
Flowtly verkauft oder monetarisiert Kundendaten nicht. In Ihrem Workspace sehen sie nur die Personen, die Sie berechtigen.
Zugriff durch Flowtly nach Least-Privilege
Zugriff auf die Infrastruktur haben nur autorisierte, zur Vertraulichkeit verpflichtete Flowtly-Mitarbeitende, nach dem Least-Privilege-Prinzip. Für Hilfe in der App fügen Sie einen Flowtly-Mitarbeiter Ihrem Workspace hinzu und legen seine Rechte selbst fest.
Sicherheit auf Anwendungsebene
Eingebaute Kontrollen regeln Identitäten, Rollen und Aktivitäten.
SSO, MFA und Anmeldung per Fingerabdruck
Single Sign-on über Microsoft Entra ID, das Sie für Ihre verifizierten E-Mail-Domains verpflichtend machen können. Single Sign-on über Google Workspace und Just-in-time-Bereitstellung sind geplant. Heute fügt ein Schalter bei der ersten Anmeldung über Microsoft nur Personen hinzu, die bereits ein Flowtly-Konto haben. Multi-Faktor-Authentifizierung per Authenticator-App, mit Wiederherstellungscodes und E-Mail als Ausweichweg, dazu die Anmeldung per Fingerabdruck in der mobilen App.
Rollenbasierte Zugriffskontrolle
Weisen Sie granulare Berechtigungen pro Modul, Team oder Integration nach dem Least-Privilege-Prinzip zu.
Audit-Trails & Monitoring
Alle wichtigen Aktionen werden protokolliert, damit Administratoren Logins, Änderungen und Löschungen nachvollziehen können – das unterstützt Ihre GoBD-Anforderungen an die Nachvollziehbarkeit.
Fragen aus dem Einkauf
Was Käufer vor der Unterschrift am häufigsten fragen, beantwortet aus unseren veröffentlichten Dokumenten.
Wo Ihre Daten liegen
Workspace-Daten werden bei Google Cloud in europe-west1 in Belgien gehostet. Einige Unterauftragsverarbeiter arbeiten außerhalb des EWR, für Fehlerüberwachung, Transaktions-E-Mails und die KI-Funktionen. Die Liste der Unterauftragsverarbeiter nennt jeden davon und wo er Daten verarbeitet.
API-Zugang und seine Bedingungen
Ein persönliches Zugriffstoken handelt mit den Berechtigungen seines Inhabers. Es gilt 365 Tage, sofern Sie nichts anderes wählen, und lässt sich jederzeit widerrufen. Schreibanfragen sind pro Organisation begrenzt, und es gibt keine separate Sandbox. Lesen Sie den API-Leitfaden.
Wie Systeme verbunden werden
Für eine System-zu-System-Beschreibung veröffentlicht die API ein OpenAPI-3.1-Dokument unter api.flowtly.eu/docs.json. KI-Tools verbinden sich über den MCP-Server unter mcp.flowtly.eu. Daten polnischer Banken kommen über Kontomatik.
Datenübernahme
Kunden, Verträge, Rechnungshistorie und Kontoauszüge werden gesammelt geladen, und jeder Ladevorgang wird zuerst in einem Probelauf geprüft, bevor etwas geschrieben wird. Was sich laden lässt und was Sie von Hand einrichten.
Sicherheit & Compliance
Rollenbasierter Zugriff auf Modul- und Datenebene
Jede Berechtigung gehört zu einem Modul, und Berechtigungsgruppen bündeln sie nach Rolle, mit Ausnahmen für einzelne Personen. Betrachter- und Manager-Rollen trennen Lesen von Ändern, und sensible Daten haben eine eigene Rolle: Vergütungsbedingungen in Vereinbarungen erfordern etwa die Rolle Vereinbarungsmanager.
Verschlüsselung in-transit (TLS) und at-rest (Standardverschlüsselung von Google Cloud)
Verbindungen zu Flowtly Workspace und zwischen seinen Komponenten sind per TLS gesichert, und die Anwendung erreicht ihre Datenbank nur mit einem vertrauenswürdigen Client-Zertifikat. Ruhende Daten in Google Cloud werden mit der Standardverschlüsselung des Anbieters verschlüsselt.
Ein vollständiger Prüfpfad
Eine verifizierbare Dokumentation, wer was geändert hat – von Sätzen über Rechnungen bis zu Vereinbarungen – bereit für Compliance-Reviews und Due-Diligence-Prüfungen.
Mandantengetrennte Architektur und tägliche Backups
Die Arbeitsdaten jeder Organisation liegen in einer eigenen Datenbank, nicht in einer mit anderen Organisationen geteilten, und der Zugriff ist auf diese Organisation beschränkt. Die Datenbank wird täglich automatisch gesichert; die 30 jüngsten Backups werden aufbewahrt, ergänzt durch Point-in-Time-Recovery.
Single Sign-on über Microsoft Entra ID
Mitglieder, deren E-Mail-Adresse zu einer Ihrer verifizierten Domains gehört, melden sich mit ihrem geschäftlichen Microsoft-Konto an. Machen Sie das verpflichtend, wird die Anmeldung per Passwort für diese Domains abgelehnt. Personen, die bereits ein Flowtly-Konto haben, können bei ihrer ersten Anmeldung über Microsoft beitreten, wenn Sie das zulassen.
Mehrfaktor-Anmeldung, die Sie für alle verlangen können
Ein sechsstelliger Code aus einer Authenticator-App zusätzlich zum Passwort, zehn einmalige Wiederherstellungscodes, vertrauenswürdige Geräte für 30 Tage und ein optionaler Code per E-Mail. Verlangen Sie sie organisationsweit: Wer sie noch nicht eingerichtet hat, wird bei der Anmeldung durch die Einrichtung geführt.
Unterlagen für den Einkauf
Jedes Dokument dieser Liste existiert bereits und ist verlinkt. Für eine eigene Sicherheitsprüfung wenden Sie sich an das Security-Team: Es antwortet auf Grundlage dieser Dokumente.
Technische und organisatorische Maßnahmen (auf Englisch)
Die Maßnahmen, die wir tatsächlich umsetzen, um Ihre Daten zu schützen, mit Datum und Version. Das Dokument hält auch klar fest, dass Flowtly weder eine Zertifizierung nach ISO/IEC 27001 noch eine SOC-2-Bescheinigung besitzt.
Auftragsverarbeitungsvertrag (auf Englisch)
Unser Vertrag nach Art. 28 DSGVO: Rollen, Meldung von Datenschutzverletzungen und Einbindung von Unterauftragsverarbeitern.
Datenschutzerklärung
Welche personenbezogenen Daten wir verarbeiten, warum, wer sie erhält und jede dokumentierte Änderung.
Allgemeine Geschäftsbedingungen
Die Bedingungen für die Nutzung der Flowtly-Plattform, mit ihrem Änderungsverlauf.
Impressum
Firmenname, Sitz, Vertretungsberechtigte sowie KRS-, USt-IdNr.- und REGON-Nummer.
Unterauftragsverarbeiter
Jedes Unternehmen, das in unserem Auftrag personenbezogene Daten verarbeitet. Jeder Eintrag nennt seine Rolle, seinen Standort und das Datum der Aufnahme, mit einem datierten Änderungsprotokoll.
Richtlinie zur Offenlegung von Sicherheitslücken
Wie Sie dem Security-Team eine Sicherheitslücke melden und worum wir Sie bitten, während wir sie beheben.
Service-Level
Ab dem 24. November 2026: 99,5 % Verfügbarkeit pro Monat in jedem Tarif, was nicht mitgezählt wird, und die erste Antwort innerhalb von 8 Geschäftsstunden im Enterprise-Tarif.
Auszug aus dem Landesgerichtsregister
Jeder kann im Registerportal des polnischen Justizministeriums einen Auszug für KRS 0001188143 herunterladen.
Servicestatus und Störungshistorie
Automatische Prüfungen der überwachten Komponenten, 90 Tage Verlauf und Störungsprotokolle auf status.flowtly.eu.
Was passiert mit den Daten meines Unternehmens, wenn ich das Abonnement kündige?
Kann ich bei der Implementierung des Systems in meinem Unternehmen auf Hilfe zählen?
Kann das Flowtly-Team meine Daten einsehen?
Hat der Hosting-Anbieter Zugriff auf meine Daten?
Ich habe Sorge, dass meine Daten „durch KI laufen“ – gibt es Alternativen?
So gehen wir mit Ihren Daten um
Unsere technischen und organisatorischen Maßnahmen und unser Auftragsverarbeitungsvertrag sind vollständig veröffentlicht. Das Security-Team führt Sie durch beide Dokumente oder beantwortet, was darin nicht steht.
Mit dem Security-Team sprechenSecurity-Team: security@flowtly.eu