Säkerhet och dataskydd

Separation mellan företag

Flow är en plattform för många företag. Varje företags uppgifter är märkta med företaget och skyddas av säkerhetsregler direkt i databasen (radnivåsäkerhet i PostgreSQL). Gränssnittet är inte säkerhetsgränsen – databasen är det. Varje modul har tester som försöker läsa och ändra andra företags uppgifter.

Inloggning och åtkomst

• Inloggning med e-post och lösenord, med spärr efter upprepade felaktiga försök.
• Tvåstegsverifiering krävs för WiseTecs administratörer och för säljpartner. För kundföretagens användare finns det inte i V1.1.
• WiseTecs åtkomst till ett företag kräver skäl, är tidsbegränsad och loggas synligt för kunden.
• Säkerhetshändelser loggas och sparas i 24 månader.

Filer och dokument

Kunddokument, bilagor och foton är privata och visas bara via behöriga vägar. Uppladdade filer kontrolleras innan de används. Virusskanning i produktion är ännu inte driftsatt, och tills den är det är vissa bilagor spärrade.

Personuppgifter och leverantörer

Kundföretaget är personuppgiftsansvarigt för sina kunders uppgifter, och WiseTec är personuppgiftsbiträde. Flow bygger på Supabase (databas, inloggning och fillagring, i en region inom EU/EES), Vercel (drift av webbapplikationen) och Resend (e-post från plattformen). OpenAI används bara när ett företag har aktiverat AI.

Säkerhetskopior

Rutiner för nattliga, krypterade säkerhetskopior av databas och filer till en separat server är byggda och övade lokalt. Installation i produktion och en återläsningsövning i testmiljö återstår.