Flowtly – Misure tecniche e organizzative

Questa è una traduzione in lingua italiana della versione inglese, fornita per comodità. La versione in lingua inglese è vincolante (cfr. sezione 1). Versione inglese · Versione polacca

1. Introduzione e ambito di applicazione

Il presente documento descrive le misure tecniche e organizzative («TOMs») che Flowtly Prosta Spółka Akcyjna (KRS 0001188143), con sede legale a Varsavia, ul. Młynarska 8/12, Polonia, adotta per garantire un livello di sicurezza del trattamento dei dati personali adeguato al rischio, in conformità con l’articolo 32 del GDPR. Il presente documento costituisce l’Allegato 1 all’Accordo sul trattamento dei dati di Flowtly e si applica al trattamento dei dati personali sulla Piattaforma Flowtly.

Il presente documento descrive lo stato della sicurezza della Piattaforma quale risultante alla data di pubblicazione della relativa versione, sulla base della configurazione dell’infrastruttura della Piattaforma. Flowtly non dichiara di possedere una certificazione ISO/IEC 27001 né un’attestazione SOC 2 — il presente documento descrive soltanto misure effettivamente attuate, non misure pianificate o auspicate, e non è il risultato di un audit di sicurezza indipendente. La versione in lingua inglese del presente documento è la versione vincolante; la presente traduzione in lingua italiana, come ogni altra traduzione, compresa quella polacca, è fornita per comodità.

2. Sicurezza dell’infrastruttura e dell’hosting

La Piattaforma è ospitata sull’infrastruttura di Google Cloud Platform (GCP), nella regione europe-west1 (Belgio, Unione europea). La banca dati dell’applicazione (Cloud SQL) è mantenuta separatamente per ciascuna Organizzazione, il che garantisce la separazione logica dei dati di ciascuna Organizzazione a livello di banca dati (cfr. sezione 5).

L’istanza della banca dati funziona in una configurazione a zona singola, senza una replica di standby attiva in un’altra zona di disponibilità — un compromesso deliberatamente accettato in considerazione dei costi dell’infrastruttura. In pratica, ciò significa che un’interruzione della zona incide sulla disponibilità della Piattaforma, mentre — grazie alle misure descritte nella sezione 6 — non dovrebbe comportare una perdita di dati superiore a quanto ivi descritto.

3. Cifratura dei dati

Le connessioni alla Piattaforma e le comunicazioni tra i suoi componenti sono protette mediante TLS. L’accesso dell’applicazione alla banca dati richiede l’autenticazione con un certificato client attendibile (modalità obbligatoria di certificato client attendibile). I dati inattivi conservati nei servizi Google Cloud sono cifrati mediante i meccanismi di cifratura predefiniti di tale fornitore di infrastruttura.

4. Controllo degli accessi e gestione delle identità

L’accesso all’infrastruttura della Piattaforma è limitato al personale autorizzato di Flowtly — e, nella misura necessaria per fornire assistenza tecnica, al personale autorizzato del fornitore di infrastruttura — secondo il principio del privilegio minimo. L’accesso alla banca dati avviene mediante autenticazione basata sull’identità cloud (autenticazione IAM della banca dati). Le credenziali e i segreti dell’applicazione sono conservati in un gestore di segreti dedicato, non nel codice sorgente né in file di configurazione. Le pipeline di distribuzione (CI/CD) si autenticano presso l’infrastruttura cloud mediante Workload Identity Federation, senza chiavi di accesso di lunga durata conservate al di fuori del fornitore di identità.

Le password degli account di servizio della banca dati sono soggette a una politica obbligatoria in materia di password: lunghezza minima di 14 caratteri, complessità obbligatoria e divieto di riutilizzare una qualsiasi delle ultime 5 password.

5. Separazione dei dati delle Organizzazioni (multi-tenancy)

I dati di ciascuna Organizzazione sulla Piattaforma sono conservati in una banca dati separata dedicata a tale Organizzazione, non in una banca dati condivisa utilizzata da altre Organizzazioni. L’accesso dell’applicazione a una determinata banca dati è circoscritto a tale Organizzazione.

6. Backup e ripristino in caso di disastro

La banca dati della Piattaforma è protetta automaticamente da un backup giornaliero, configurato in modo che la relativa finestra di esecuzione inizi alle 03:00 UTC, e da un meccanismo di ripristino point-in-time basato sulla registrazione delle transazioni. Sono conservati i 30 backup riusciti più recenti — in pratica ciò può corrispondere a una copertura inferiore a 30 giorni qualora un backup programmato non vada a buon fine.

Il livello di protezione che tali misure offrono in pratica: una cancellazione accidentale o una migrazione errata può, nel caso tipico, essere annullata con una precisione di pochi minuti mediante il ripristino point-in-time. Nello scenario estremo di perdita dell’intera istanza della banca dati, il ripristino avviene a partire dal più recente backup giornaliero riuscito, il che nel caso tipico comporta una possibile perdita di dati fino a 24 ore; si tratta di descrizioni del comportamento tipico del meccanismo in base alla sua configurazione, non di garanzie di perdita massima verificate in pratica. Il tempo necessario per ripristinare completamente il servizio dopo la perdita di un’istanza (RTO) non è ancora stato misurato in un’esercitazione di ripristino reale — pertanto Flowtly attualmente non indica alcun impegno numerico al riguardo, e non lo farà finché esso non sarà stato verificato in pratica.

7. Gestione degli incidenti di sicurezza

Flowtly monitora l’infrastruttura della Piattaforma e dispone di una procedura di risposta agli incidenti di sicurezza. Qualora venga individuata una violazione dei dati personali, Flowtly ne dà notifica al Titolare senza ingiustificato ritardo, secondo i tempi e la procedura stabiliti nell’Accordo sul trattamento dei dati — in ogni caso entro 48 ore dall’individuazione della violazione.

8. Gestione dei fornitori e dei Sub-responsabili

Flowtly ricorre a Sub-responsabili che trattano i dati personali delle Organizzazioni soltanto alle condizioni descritte nell’Accordo sul trattamento dei dati, compresi un preavviso di almeno 30 giorni per i nuovi Sub-responsabili e un meccanismo di opposizione del Titolare. L’elenco aggiornato dei Sub-responsabili — compresi il fornitore di infrastruttura (Google Cloud), l’elaborazione dei pagamenti (Stripe), l’integrazione dei dati bancari (Kontomatik), il monitoraggio degli errori (Sentry), il trattamento del contenuto dei documenti per le funzionalità basate sull’IA (Anthropic) e l’invio di e-mail transazionali (Postmark) — è pubblicato nell’Accordo sul trattamento dei dati.

9. Impegno di non riduzione e gestione delle versioni

Flowtly si impegna a non ridurre il livello complessivo di sicurezza del trattamento descritto nel presente documento per la durata del contratto per l’accesso alla Piattaforma; la sostituzione di una determinata misura con un’altra che offra un livello di protezione equivalente o superiore non costituisce una riduzione. Ogni modifica del presente documento — compresa ciascuna di tali sostituzioni — è registrata come nuova versione datata nello storico delle revisioni disponibile in questa pagina, cosicché il livello di sicurezza in vigore in qualsiasi momento può sempre essere determinato sulla base di tale storico.

Il presente documento è la versione pubblicata il 28 ottobre 2026.