Flowtly – Mesures techniques et organisationnelles

Ceci est une traduction française de la version anglaise, fournie pour des raisons de commodité. La version en langue anglaise fait foi (voir la section 1). Version anglaise · Version polonaise

1. Introduction et champ d’application

Le présent document décrit les mesures techniques et organisationnelles (« TOMs ») que Flowtly Prosta Spółka Akcyjna (KRS 0001188143), dont le siège social est situé à Varsovie, ul. Młynarska 8/12, Pologne, met en œuvre afin de garantir un niveau de sécurité du traitement des données à caractère personnel adapté au risque, conformément à l’article 32 du RGPD. Le présent document constitue l’annexe 1 de l’Accord de traitement des données de Flowtly et s’applique au traitement des données à caractère personnel sur la Plateforme Flowtly.

Le présent document décrit l’état de la sécurité de la Plateforme tel que constaté à la date de publication de la version concernée, sur la base de la configuration de l’infrastructure de la Plateforme. Flowtly ne revendique ni certification ISO/IEC 27001 ni attestation SOC 2 — le présent document ne décrit que des mesures effectivement mises en œuvre, et non des mesures prévues ou envisagées, et ne résulte pas d’un audit de sécurité indépendant. La version en langue anglaise du présent document est la version qui fait foi ; la présente traduction française, comme toute traduction, y compris la version polonaise, est fournie pour des raisons de commodité.

2. Sécurité de l’infrastructure et de l’hébergement

La Plateforme est hébergée sur l’infrastructure Google Cloud Platform (GCP), dans la région europe-west1 (Belgique, Union européenne). La base de données de l’application (Cloud SQL) est maintenue séparément pour chaque Organisation, ce qui assure une séparation logique des données de chaque Organisation au niveau de la base de données (voir la section 5).

L’instance de base de données fonctionne dans une configuration à zone unique, sans réplique de secours active dans une autre zone de disponibilité — un compromis délibérément accepté au regard du coût de l’infrastructure. En pratique, cela signifie qu’une panne de zone affecte la disponibilité de la Plateforme, sans toutefois — grâce aux mesures décrites à la section 6 — devoir entraîner de perte de données au-delà de ce qui y est décrit.

3. Chiffrement des données

Les connexions à la Plateforme et la communication entre ses composants sont sécurisées par TLS. L’accès de l’application à la base de données requiert une authentification au moyen d’un certificat client de confiance (mode de certificat client de confiance imposé). Les données au repos stockées dans les services Google Cloud sont chiffrées au moyen des mécanismes de chiffrement par défaut de ce fournisseur d’infrastructure.

4. Contrôle d’accès et gestion des identités

L’accès à l’infrastructure de la Plateforme est limité au personnel autorisé de Flowtly — et, dans la mesure nécessaire à la fourniture d’une assistance technique, au personnel autorisé du fournisseur d’infrastructure — selon le principe du moindre privilège. L’accès à la base de données repose sur une authentification fondée sur l’identité cloud (authentification IAM à la base de données). Les identifiants et secrets de l’application sont stockés dans un gestionnaire de secrets dédié, et non dans le code source ou dans des fichiers de configuration. Les chaînes de déploiement (CI/CD) s’authentifient auprès de l’infrastructure cloud au moyen de la fédération d’identité de charge de travail (Workload Identity Federation), sans clés d’accès de longue durée stockées en dehors du fournisseur d’identité.

Les mots de passe des comptes de service de la base de données sont soumis à une politique de mots de passe imposée : une longueur minimale de 14 caractères, une complexité imposée et l’interdiction de réutiliser l’un des 5 derniers mots de passe.

5. Séparation des données des Organisations (multilocation)

Les données de chaque Organisation sur la Plateforme sont stockées dans une base de données distincte dédiée à cette Organisation, et non dans une base de données partagée utilisée par d’autres Organisations. L’accès de l’application à une base de données donnée est limité à cette Organisation.

6. Sauvegardes et reprise après sinistre

La base de données de la Plateforme est automatiquement protégée par une sauvegarde quotidienne, configurée pour que sa fenêtre d’exécution commence à 03:00 UTC, et par un mécanisme de restauration à un instant donné fondé sur la journalisation des transactions. Les 30 dernières sauvegardes réussies sont conservées — en pratique, cela peut représenter une couverture inférieure à 30 jours si une sauvegarde planifiée échoue.

Le niveau de protection que ces mesures offrent en pratique : une suppression accidentelle ou une migration défectueuse peut, dans le cas typique, être annulée à quelques minutes près au moyen de la restauration à un instant donné. Dans le scénario extrême de la perte de l’ensemble de l’instance de base de données, la restauration s’effectue à partir de la dernière sauvegarde quotidienne réussie, ce qui, dans le cas typique, implique une perte de données possible allant jusqu’à 24 heures ; il s’agit de descriptions du comportement typique du mécanisme compte tenu de sa configuration, et non de garanties de perte maximale vérifiées en pratique. Le temps nécessaire au rétablissement complet du service après la perte d’une instance (RTO) n’a pas encore été mesuré lors d’un véritable exercice de restauration — Flowtly n’indique donc pas, à l’heure actuelle, d’engagement chiffré à cet égard, et ne le fera pas tant que celui-ci n’aura pas été vérifié en pratique.

7. Gestion des incidents de sécurité

Flowtly surveille l’infrastructure de la Plateforme et dispose d’une procédure de réponse aux incidents de sécurité. En cas de constatation d’une violation de données à caractère personnel, Flowtly en informe le Responsable du traitement dans les meilleurs délais, conformément aux délais et à la procédure prévus dans l’Accord de traitement des données — et en tout état de cause au plus tard 48 heures après la constatation de la violation.

8. Gestion des fournisseurs et des Sous-traitants ultérieurs

Flowtly ne recourt à des Sous-traitants ultérieurs traitant les données à caractère personnel des Organisations que dans les conditions décrites dans l’Accord de traitement des données, y compris un préavis d’au moins 30 jours pour les nouveaux Sous-traitants ultérieurs et un mécanisme d’objection du Responsable du traitement. La liste actuelle des Sous-traitants ultérieurs — y compris le fournisseur d’infrastructure (Google Cloud), le traitement des paiements (Stripe), l’intégration des données bancaires (Kontomatik), la surveillance des erreurs (Sentry), le traitement du contenu des documents pour les fonctionnalités fondées sur l’IA (Anthropic) et l’envoi d’e-mails transactionnels (Postmark) — est publiée dans l’Accord de traitement des données.

9. Engagement de non-régression et gestion des versions

Flowtly s’engage à ne pas réduire le niveau global de sécurité du traitement décrit dans le présent document pendant la durée du contrat d’accès à la Plateforme ; le remplacement d’une mesure donnée par une autre offrant un niveau de protection équivalent ou supérieur ne constitue pas une régression. Toute modification du présent document — y compris un tel remplacement — est consignée sous la forme d’une nouvelle version datée dans l’historique des révisions disponible sur la présente page, de sorte que le niveau de sécurité en vigueur à tout moment donné peut toujours être établi à partir de cet historique.

Le présent document correspond à la version publiée le 28 octobre 2026.