Сигурност, съответствие и отговорите, които всяка тръжна процедура изисква

Тази страница е официалният източник на информация за това как Vitalytics обработва вашите данни, към кои рамки са съотнесени контролите ни и кои подизпълнители имат достъп до вашата информация. Отделите по доставки могат да я използват директно при попълване на въпросник за доставчик.

Актуално към: октомври 2026 г.

Сертификации и рамки

• Контроли, съобразени с Cyber Essentials Plus; оценката за сертифициране е насрочена.
• Партньор на Microsoft (Cloud Solution Provider чрез Giacom).
• UK GDPR: администратор и обработващ лични данни; регистрация в Information Commissioner's Office (ICO) под номер ZB852223.

Контролите ни са съотнесени към NIST CSF 2.0, Cyber Essentials и UK GDPR. При поискване ще ви покажем съотнасянето.

Работим към NHS Data Security and Protection Toolkit (DSPT), пакет с доказателства, съобразен с очакванията на Financial Conduct Authority (FCA), и готовност за SOC 2.

Обхват на СУИС

Системата за управление на информационната сигурност (СУИС) на Vitalytics обхваща всички управлявани ИТ услуги към клиенти, предоставяни от операциите ни във Великобритания и ЕС, включително:

• Управление на крайни устройства, идентичност, имейл и мрежи;
• Облачна инфраструктура в Microsoft Azure и частния OpenStack облак на Vitalytics (Лондон);
• Service desk и реакция при инциденти, извън работно време според договора;
• Резервни копия и възстановяване след бедствия.

Извън обхвата: публичният уебсайт на Vitalytics (този сайт), DNS зоната на vts64.com в Cloudflare и всеки SaaS под контрола на клиента, който той не ни е възложил да администрираме.

Подизпълнители, обработващи данни

Следните обработващи лица работят с данни на клиенти от наше име.

Криптиране

• При пренос: минимум TLS 1.2, с предпочитание към TLS 1.3. HSTS preload за този домейн.
• При съхранение: криптирано хранилище на резервната площадка в София.
• Ключове и тайни: OpenBao, управляван от Vitalytics; SSH достъп само с ключове; вътрешна PKI.

Идентичност и достъп

• Единно вписване (SSO) чрез Authentik (OIDC + SAML) за всички вътрешни инструменти.
• Многостепенен модел на администраторски достъп (поддръжка / инженеринг / инфраструктура) с групи за достъп за всеки клиент; Windows LAPS в средите, които управляваме.

Непрекъснатост на дейността и възстановяване при бедствия

Данните се репликират непрекъснато от Лондон към резервната ни площадка за възстановяване след бедствия в София, България. През септември 2026 г. проведохме тренировка за възстановяване на критичните услуги (tier 1) в София. През август 2026 г. тествахме възстановяването на пълен, криптиран офлайн архив на платформата.

Реакция при инциденти

• Срокове за реакция според приоритета: вижте нивата на обслужване.
• Уведомяваме засегнатите клиенти без неоправдано забавяне за всеки инцидент, засягащ техни данни (UK GDPR).

Страница със статус в реално време: vts64.com/status.

Управление на уязвимостите

• Актуализации в определени срокове: работни станции в рамките на 3–7 дни, сървъри в седмичен прозорец за поддръжка.
• Вътрешно сканиране за уязвимости с Greenbone.
• Външен тест за проникване на публичния ни уебсайт през октомври 2026 г. не откри уязвимости.
• Координирано разкриване на уязвимости: security@vts64.com · /.well-known/security.txt.

Документи, достъпни срещу споразумение за поверителност

• Допълнение за обработване на данни (UK GDPR и стандартни договорни клаузи).
• Декларация за обхвата на СУИС и регистър на документите.
• Политика за информационна сигурност.
• План за BCDR с доказателства от последното тестване.
• Списък с подизпълнители (съдържанието на тази страница в PDF формат).

Пишете на info@vts64.com, за да получите копие.

Имате въпроси за нашата политика за сигурност?

Пишете на security@vts64.com. Отговаряме в рамките на един работен ден във Великобритания.