Achats & évaluation fournisseur

Cette page s'adresse aux acheteurs, aux équipes achats et aux responsables sécurité qui évaluent Flowie pour la facturation électronique. Elle décrit ce que demande l'intégration et qui fait quoi, puis les faits sur la sécurité, la confidentialité, la qualité, la continuité, l'environnement et la réversibilité. Chaque réponse renvoie à la page qui la prouve. Votre contrat et votre accord de traitement des données (DPA) prévalent sur cette page.

En bref

Plan d'intégration

Chaque étape est documentée et testable dans le sandbox avant de toucher un réseau réel.

Ce que vous fournissez : les identifiants légaux de chaque entité (TVA, SIREN/SIRET ou identifiant national), un contact technique, un endpoint webhook ou une tâche de polling, et, pour un connecteur ERP, l'accès à son API ou à ses exports de fichiers. Ce que Flowie fournit : les clés sandbox et de production, les immatriculations réseau, les connecteurs, et l'accompagnement jusqu'au démarrage.

Flowie dans votre assistant IA

En plus de l'API Exchange, Flowie propose un serveur MCP pour l'application Flowie : vos équipes utilisent Flowie en langage naturel depuis l'assistant IA qu'elles utilisent déjà.

• Order-to-cash : créer et envoyer des factures et des avoirs conformes, suivre ce que doivent les clients.
• Procure-to-pay : demandes d'achat et commandes, validations, factures fournisseurs et paiements.
• Maîtrise des dépenses : budgets, dépenses par fournisseur, rapports et tableaux de bord.
• Fournisseurs : fiches fournisseurs, formulaires de référencement et réseau Flowie.
• Automatisation : tâches, workflows et planifications.

Des briques pour tout processus :

• Briques Lego : déclencheurs, contrôles, validations, tâches, documents, notifications et connecteurs s'assemblent pour modéliser tout processus interne, d'une demande d'achat au référencement d'un fournisseur, par configuration et non par un projet de développement.
• Modèles pour démarrer vite et rester conforme : des configurations prêtes à l'emploi intègrent les règles de facturation électronique des principaux pays soumis à obligation (France, Allemagne, Belgique, Italie, Pays-Bas, Norvège, Pologne et Slovaquie) : une équipe part d'une base qui fonctionne et qui est conforme.
• Connecté à vos outils : ERP, capture de documents, banques, messagerie et tout système doté d'une API se branchent sur les mêmes processus, et bien d'autres intégrations sont disponibles que celles listées. Voir Intégrations.
• Circuits de validation : validations multi-niveaux selon le montant, l'entité, le budget ou tout autre champ, avec délégation et relances.
• Droits fins : des droits par organisation, entité, rôle et objet déterminent qui voit et fait quoi, et un assistant hérite exactement des droits de l'utilisateur.
• Audit complet : chaque action, d'une personne ou d'un assistant, est tracée (qui, quoi, quand) sur chaque document et chaque étape.
• Rapide : une configuration standard se déploie en quelques heures, et une configuration enregistrée se réplique sur d'autres entités et environnements sans repartir de zéro.
• Hautement sécurisé : ISO 27001, chiffrement en transit et au repos, identifiants à périmètre restreint et isolation par organisation. Voir Sécurité.

Orchestration : une seule demande en langage naturel peut piloter un processus complet, pas seulement un écran.

• Travail en plusieurs étapes : l'assistant enchaîne lui-même les étapes, par exemple retrouver le client, créer la facture, la contrôler, l'envoyer et suivre son statut, et rend compte à chaque étape.
• Vos règles s'appliquent toujours : validations, contrôles et routage s'exécutent dans les workflows de Flowie, côté serveur. Un assistant ne peut pas sauter une validation ni agir au-delà des droits de l'utilisateur.
• Humains et agents ensemble : ce qui demande une personne devient une tâche ou une validation pour le bon responsable, et le processus reprend une fois qu'elle est faite.
• Sans attendre une demande : les workflows réagissent aux événements (facture reçue, statut modifié) et les planifications exécutent le travail récurrent, avec ou sans assistant.
• Agents réutilisables : les équipes peuvent configurer dans Flowie des agents et des compétences pour leurs tâches récurrentes, encadrés comme tout autre workflow.
• Conçu pour le volume : l'envoi en masse et l'intégration des systèmes passent par l'API Exchange : l'assistant prend les décisions, la plateforme absorbe le volume.

Tout assistant, tout cloud : le serveur parle MCP, un standard ouvert, avec une connexion OAuth standard. Il fonctionne avec les assistants de toutes les grandes plateformes IA et de tous les grands clouds : Claude, ChatGPT, Amazon Quick sur AWS, Cursor et VS Code, et tout autre client MCP. Vous n'êtes lié à aucun fournisseur d'IA ni à aucun cloud, et vous pouvez changer d'assistant sans changer l'intégration.

Multicloud, selon les exigences de chaque pays : la plateforme Flowie est hébergée chez Google Cloud à Paris. Lorsqu'un pays exige que les factures électroniques soient traitées ou conservées à un endroit donné ou via une plateforme donnée, les documents de ce pays suivent cette exigence via Sovos et les plateformes nationales, quel que soit l'assistant à l'origine de l'action.

Gouvernance : l'assistant agit en tant qu'utilisateur connecté, avec exactement ses droits, jamais avec une clé partagée, et chaque appel est journalisé. Vous décidez quels assistants vous autorisez, ou aucun. Voir Construire avec l'IA.

Sécurité

• Certification : ISO/IEC 27001, dans le cadre de la certification du groupe Sovos. Le certificat et son périmètre (déclaration d'applicabilité) sont disponibles sur demande.
• Chiffrement : TLS 1.2 ou supérieur en transit, et chiffrement Google Cloud au repos (AES-256).
• Authentification : connexion OAuth 2.1 / OpenID Connect, ou clés d'API à périmètre limité que vous pouvez renouveler et révoquer. Un agent IA reçoit son propre identifiant de handoff, à usage unique et à durée limitée, jamais votre clé. Voir Clés d'API.
• Cloisonnement : chaque jeton est rattaché à une seule organisation, qui délimite chaque lecture et chaque écriture.
• Traçabilité : piste d'audit complète sur chaque document et chaque transition de cycle de vie, plus un inspecteur de requêtes pour chaque appel d'API.
• Webhooks : signés HMAC et relancés. Voir Webhooks.
• Vulnérabilités : les vulnérabilités critiques sont corrigées sous 15 jours.

Confidentialité & RGPD

• Rôles : pour les documents traités pour votre compte, vous êtes responsable de traitement et Flowie est sous-traitant, dans le cadre d'un accord de traitement des données (DPA, disponible sur demande).
• Localisation : Google Cloud, région de Paris (europe-west9). Les documents transmis à une plateforme nationale (PPF, SDI, etc.) sont aussi traités par cette plateforme, sous son propre régime juridique.
• Minimisation : l'API traite ce qu'une facture électronique contient légalement (parties, identifiants, lignes, montants) et les événements de cycle de vie qui s'y rattachent. Rien d'autre n'est requis.
• Conservation : suit l'archivage légal des factures, en général six à dix ans selon le pays. Les données du sandbox sont fictives et purgées en continu.
• Droits : les personnes concernées exercent leurs droits auprès du responsable de traitement. Écrivez à [email protected]. Tous les détails sur la page Confidentialité.

Sous-traitants utilisés par l'API Exchange

La liste complète pour votre contrat, couvrant tous les produits Flowie que vous utilisez, est fournie avec le DPA.

IA

L'API Exchange n'envoie aucun contenu de document à un modèle d'IA. Les fonctions d'IA de l'application Flowie (capture de factures, assistant) utilisent des fournisseurs de modèles d'IA listés dans le DPA. Elles sont optionnelles et peuvent être exclues de votre périmètre.

Qualité & support

• Disponibilité : objectif de 99,9 % par mois. Les maintenances planifiées n'ont jamais lieu en semaine entre 10 h et 18 h (heure de Paris). Le SLA complet est sur get-flowie.com/sla, et le SLA de votre contrat prévaut.
• Support : du lundi au vendredi, de 9 h à 18 h (heure de Paris). Première réponse sous 2 heures pour un P1, 4 heures pour un P2, et le jour ouvré suivant pour un P3, à [email protected].
• Contrat stable : l'API est versionnée dans son chemin (/v1). Un changement incompatible n'arrive que dans une nouvelle version, avec une période de dépréciation. Voir la politique de versionnement et de dépréciation. Chaque changement figure au changelog.
• Exactitude : les documents sont contrôlés selon les règles officielles (Peppol BIS, schematrons français, etc.), et POST /v1/documents/validate exécute les mêmes contrôles sans envoyer. Idempotency-Key sécurise les nouvelles tentatives. La documentation et le code sont vérifiés l'un contre l'autre à chaque version.
• Transparence : le contrat est public en OpenAPI 3.1, et chaque code d'erreur est documenté avec sa correction.

Continuité

• Sauvegardes : quotidiennes, avec restauration à un instant donné sur 7 jours pour les bases de production. Le stockage des documents est hautement disponible sur plusieurs zones de la région de Paris.
• Objectifs : perte de données maximale (RPO) 1 heure, délai de reprise (RTO) 8 heures, dans la région de Paris.
• Aucune perte silencieuse : les déclarations aux plateformes fiscales sont relancées avec un délai croissant, et une livraison qui échoue vous revient sous forme d'événement document.failed avec son code d'erreur, jamais en silence.

Environnement

• Hébergement : région Google Cloud de Paris, sur le réseau électrique bas carbone français. Google publie les données carbone de chaque région sur cloud.google.com/sustainability/region-carbon.
• Sobre par conception : les services sont sans état et dimensionnés automatiquement, la puissance de calcul suit donc la charge réelle, et une seule plateforme mutualisée sert tous les clients.
• Moins de papier : la facture électronique remplace les factures imprimées, les envois postaux et la ressaisie.

Réversibilité

• Export complet de vos données dans les 30 jours suivant la fin du contrat, supprimées 60 jours après la fin du contrat.
• Formats ouverts partout : UBL 2.1, CII, Factur-X et JSON. Rien de propriétaire à convertir.
• Changer de plateforme est un processus réglementé et documenté. Voir Portabilité pour la France et le reste de l'Europe.

Documents sur demande

Le certificat ISO 27001, l'accord de traitement des données, la liste des sous-traitants pour votre périmètre et les réponses à votre questionnaire de sécurité sont disponibles sur demande. Écrivez à [email protected].