DRAFT FOR THE LAWYER, 20 September 2026
PROIECT PENTRU AVOCAT, 20 septembrie 2026
Acord privind prelucrarea datelor cu caracter personal
Versiunea [1.0] din [DATA]
Anexa nr. 2 la Contractul nr. [...] din [...]
Părțile Contractului nr. [...] din [...] (în continuare „Contractul”), Vânzătorul și Compania, așa cum sunt identificate în Contract, au convenit asupra următoarelor.
Cap. 1. Obiectul și rolurile Părților
Art. 1. Obiectul
1.1. Prezentul Acord reglementează prelucrarea datelor cu caracter personal pe care Vânzătorul o face pentru Companie la executarea Contractului. Temeiul este Legea nr. 195 din 25.07.2024 privind protecția datelor cu caracter personal, Monitorul Oficial nr. 367-369 din 23 august 2024, art. 574, în vigoare din 23 august 2026 (în continuare „Legea nr. 195/2024”).
1.2. Prezentul Acord face parte integrantă din Contract.
1.3. Termenii definiți în Contract au același înțeles în prezentul Acord. „Anexa” este o anexă a Contractului, iar „Apendicele” este o anexă a prezentului Acord.
Art. 2. Compania în calitate de operator
2.1. Compania este operator pentru ceea ce hotărăște ea însăși despre Utilizatorii companiei: cine deține fiecare Card al companiei, eticheta pe care Compania o atribuie persoanei, virarea banilor pe card și retragerea lor, limitele cardului, pornirea și oprirea Alimentării de către utilizator, precum și rapoartele și extrasele pe fiecare Utilizator al companiei pe care Vânzătorul le întocmește pentru Companie.
2.2. Scopurile și mijloacele acestei prelucrări sunt stabilite de Companie. Scopurile declarate sunt gestiunea cheltuielilor Companiei și decontarea cu Utilizatorii companiei.
2.3. Pentru admiterea unui Angajat al companiei în Cabinet și pentru rolul care i se atribuie operator este Compania.
2.4. Compania dă instrucțiuni, obiectează la un subîmputernicit, alege, la sfârșitul prelucrării, dacă datele îi sunt restituite sau sunt șterse, și auditează Vânzătorul, în condițiile art. 7, art. 10, art. 14 și art. 15.
Art. 3. Vânzătorul în calitate de persoană împuternicită
3.1. Pentru datele prevăzute la art. 2 Vânzătorul este persoană împuternicită de Companie. El prelucrează aceste date numai pentru Companie și numai în limitele prezentului Acord.
3.2. Vânzătorul nu prelucrează datele primite de la Companie pentru scopuri proprii, în afara celor prevăzute la art. 4, și nu le divulgă altei companii.
3.3. Dacă Vânzătorul stabilește el însuși scopurile și mijloacele unei prelucrări, el este operator pentru acea prelucrare, oricare ar fi denumirea dată în acte (art. 28 alin. (9) din Legea nr. 195/2024).
3.4. Vânzătorul declară că oferă garanții suficiente pentru punerea în aplicare a unor măsuri tehnice și organizatorice adecvate, în sensul art. 28 alin. (1) din Legea nr. 195/2024. Măsurile sunt descrise în Apendicele nr. 1.
Art. 4. Vânzătorul în calitate de operator independent
4.1. Contul de utilizator, Cardul ePay și Soldul aceleiași persoane sunt prelucrate de Vânzător în calitate de operator. Compania nu vede aceste date. Prelucrarea lor urmează Politica de confidențialitate (documentul 02).
4.2. Vânzătorul este operator și pentru vânzarea proprie: operațiunile făcute cu orice card, Bonurile fiscale, evidența contabilă și fiscală, examinarea reclamațiilor și securitatea sistemului. Pentru aceste prelucrări Compania nu dă instrucțiuni, iar temeiul lor este contractul, obligația legală și interesul legitim al Vânzătorului.
4.3. Conturile de acces ale Angajaților companiei, amprenta criptografică a parolei, sesiunile lor și jurnalul acțiunilor din Cabinet sunt prelucrate de Vânzător în calitate de operator, pentru funcționarea și securitatea serviciului său, potrivit pct. 9.5 din Anexa nr. 3 „Condițiile de utilizare a Cabinetului companiei”. Suspendarea accesului pentru securitate și trimiterea invitației către primul Proprietar sunt acte proprii ale Vânzătorului, făcute fără instrucțiunea Companiei.
4.4. Din prelucrările prevăzute la pct. 4.2 Vânzătorul îi transmite Companiei, în calitate de operator independent, datele de care aceasta are nevoie pentru gestiunea Cardurilor companiei. Conținutul acestor date este cel prevăzut la art. 22 și art. 23.
4.5. Părțile nu stabilesc în comun scopurile și mijloacele vreunei prelucrări și nu sunt operatori asociați în sensul art. 26 din Legea nr. 195/2024. Fiecare Parte răspunde pentru prelucrările la care este arătată ca operator.
4.6. Nicio clauză a Contractului și a prezentului Acord nu îngrădește drepturile pe care Legea nr. 195/2024 i le dă Utilizatorului companiei, nici față de Vânzător, nici față de Companie.
Cap. 2. Descrierea prelucrării
Art. 5. Elementele prelucrării
5.1. Prelucrarea pe care Vânzătorul o face pentru Companie are următoarele elemente:
| Element | Conținut |
|---|---|
| Obiectul | punerea la dispoziția Companiei a Cabinetului și a Cardurilor companiei, evidența cardurilor, a etichetelor, a limitelor și a distribuirii banilor, precum și întocmirea rapoartelor și a extraselor pe fiecare Utilizator al companiei |
| Durata | potrivit art. 6 |
| Natura | colectarea, înregistrarea, stocarea, organizarea, consultarea, transmiterea către Companie și ștergerea datelor, prin mijloace automatizate |
| Scopul | gestiunea de către Companie a cheltuielilor făcute cu Cardurile companiei și decontarea cu Utilizatorii companiei |
| Categoriile de date | numele, prenumele și numărul de telefon pe care Compania le introduce potrivit Art. 10 din Contract; eticheta atribuită de Companie; felul cardului, starea și limitele lui; virările și retragerile făcute de Companie; Alimentările de către utilizator; datele operațiunilor cuprinse în rapoartele și extrasele întocmite pentru Companie: data, ora, Punctul, serviciul, suma, Reducerea Companiei, Rezervarea și Rambursarea; semnul de risc care privește cardurile Companiei, fără proba din spatele lui; numele, prenumele, adresa de e-mail și rolul Angajaților companiei pe care Compania îi admite în Cabinet |
| Categoriile de persoane vizate | Utilizatorii companiei; Angajații companiei |
| Date din categorii speciale | nu se prelucrează |
5.2. Vânzătorul nu cere Companiei date din categoriile speciale prevăzute la art. 9 din Legea nr. 195/2024 și nici date privind condamnări penale. Confirmarea plății cu fața sau cu amprenta digitală se face de dispozitivul Utilizatorului companiei; Vânzătorul primește numai rezultatul verificării, nu și date biometrice.
5.3. Cabinetul, extrasele și bonurile afișează numărul de telefon mascat. Compania cunoaște numărul pe care l-a introdus ea însăși, iar prelucrarea acestuia în evidențele proprii ale Companiei nu face obiectul prezentului Acord.
Art. 6. Durata prelucrării
6.1. Prelucrarea pentru Companie durează cât Contractul, la care se adaugă cele [90] (nouăzeci) de zile în care Cabinetul rămâne deschis pentru consultare după încetarea Contractului, potrivit Art. 42 din Contract.
6.2. Vânzătorul nu prelungește această perioadă din proprie inițiativă.
Cap. 3. Obligațiile Vânzătorului ca persoană împuternicită
Art. 7. Instrucțiunile documentate
7.1. Vânzătorul prelucrează datele numai pe baza instrucțiunilor documentate ale Companiei. Aceste instrucțiuni sunt Contractul și prezentul Acord, configurările pe care Angajații companiei le fac în Cabinet și apelurile Companiei prin interfața de programare, dacă aceasta a fost activată. O instrucțiune dată pe altă cale se confirmă în scris.
7.2. Regula de la pct. 7.1 se aplică și transferurilor de date în afara Republicii Moldova, prevăzute la art. 16.
7.3. Datele se prelucrează fără instrucțiunea Companiei numai atunci când un act normativ al Republicii Moldova îl obligă pe Vânzător. În acest caz el informează Compania despre obligația legală înainte de prelucrare, cu excepția cazului în care actul normativ interzice această informare din motive importante de interes public.
7.4. Dacă, în opinia Vânzătorului, o instrucțiune a Companiei încalcă legislația privind protecția datelor cu caracter personal, el informează imediat Compania. Executarea acelei instrucțiuni poate fi amânată până la răspunsul Companiei.
Art. 8. Confidențialitatea persoanelor autorizate
8.1. Accesul la datele Companiei se acordă nominal și numai persoanelor care au nevoie de el pentru executarea Contractului.
8.2. Aceste persoane sunt ținute de o obligație de confidențialitate prin contractul individual de muncă, prin fișa postului sau printr-un angajament separat. Obligația rămâne și după încetarea raporturilor lor cu Vânzătorul.
Art. 9. Măsurile de securitate
9.1. Vânzătorul pune în aplicare măsurile tehnice și organizatorice prevăzute de art. 32 din Legea nr. 195/2024. Măsurile în vigoare la data semnării, cu starea fiecăreia, sunt descrise în Apendicele nr. 1.
9.2. O măsură poate fi înlocuită cu alta cel puțin la fel de puternică. Nivelul de securitate convenit nu se coboară.
9.3. La cererea scrisă a Companiei, o dată pe an, Vânzătorul prezintă descrierea actualizată a măsurilor din Apendicele nr. 1.
Art. 10. Subîmputerniciții
10.1. Compania autorizează în general recurgerea la alte persoane împuternicite (în continuare „subîmputerniciți”), în condițiile art. 28 alin. (2) din Legea nr. 195/2024. Subîmputerniciții existenți la data semnării sunt cuprinși în Apendicele nr. 2. Destinatarii care primesc date în calitate de operatori independenți sunt arătați separat, la sfârșitul acelui apendice.
10.2. Vânzătorul anunță adăugarea sau înlocuirea unui subîmputernicit în Cabinet și la adresa de e-mail a Companiei indicată în Anexa nr. 1 la Contract, cu cel puțin [30] (treizeci) de zile înainte de începerea prelucrării de către acesta. Anunțul cuprinde denumirea, serviciul, datele transmise și țara.
10.3. Compania poate obiecta motivat în [15] (cincisprezece) zile de la anunț. Părțile caută o soluție în următoarele [15] (cincisprezece) zile. Dacă nu o găsesc, Compania poate declara rezoluțiunea Contractului potrivit Art. 39 din Contract, fără penalitate și fără termenul de preaviz prevăzut de acel articol, iar decontarea finală se face potrivit Art. 42 din Contract.
10.4. Fiecărui subîmputernicit Vânzătorul îi impune, prin contract, aceleași obligații de protecție a datelor pe care și le asumă prin prezentul Acord. Pentru faptele subîmputerniciților Vânzătorul răspunde față de Companie ca pentru faptele proprii.
Art. 11. Sprijinul pentru drepturile persoanelor vizate
11.1. Vânzătorul ajută Compania să răspundă cererilor privind drepturile prevăzute în capitolul III din Legea nr. 195/2024, inclusiv accesul, rectificarea, ștergerea, restricționarea prelucrării, portabilitatea, opoziția, notificarea destinatarilor prevăzută la art. 19 și dreptul prevăzut la art. 22. Ajutorul se dă prin funcțiile Cabinetului, iar atunci când acestea nu sunt de ajuns, la cerere scrisă, în [10] (zece) zile lucrătoare.
11.2. Dacă o cerere care privește prelucrarea făcută pentru Companie ajunge la Vânzător, acesta nu răspunde pe fond. El transmite cererea Companiei în [3] (trei) zile lucrătoare și îi comunică persoanei că cererea a fost transmisă.
11.3. Dacă cererea privește și o prelucrare pentru care Vânzătorul este operator, el răspunde el însuși pentru acea parte, în termenul legal, și îi arată persoanei ce parte a fost transmisă Companiei și datele de contact ale acesteia.
11.4. Cererile care privesc numai Contul de utilizator, Cardul ePay și Soldul sunt soluționate de Vânzător.
Art. 12. Sprijinul pentru securitate și pentru evaluarea impactului
12.1. Vânzătorul ajută Compania să respecte obligațiile prevăzute la art. 32-36 din Legea nr. 195/2024, ținând cont de natura prelucrării și de informațiile de care dispune. Ajutorul privește securitatea prelucrării, notificarea încălcărilor de securitate, informarea persoanelor vizate, evaluarea impactului asupra protecției datelor și consultarea prealabilă a Centrului Național pentru Protecția Datelor cu Caracter Personal (în continuare „Centrul”).
12.2. Pentru o evaluare a impactului Vânzătorul pune la dispoziția Companiei, la cerere scrisă, descrierea prelucrării, măsurile din Apendicele nr. 1 și lista subîmputerniciților, în [15] (cincisprezece) zile lucrătoare de la cerere.
Art. 13. Notificarea încălcărilor de securitate
13.1. Vânzătorul notifică Compania fără întârzieri nejustificate și cel târziu în [48] (patruzeci și opt) de ore din momentul în care a luat cunoștință de o încălcare a securității care afectează datele prelucrate pentru Companie.
13.2. Termenul curge din momentul în care un angajat al Vânzătorului ia cunoștință de încălcare.
13.3. Notificarea descrie natura încălcării, categoriile și numărul aproximativ al persoanelor vizate și al înregistrărilor afectate. Ea arată consecințele probabile ale încălcării, măsurile luate sau propuse pentru remediere și numele persoanei de la care Compania poate obține informații suplimentare. Informațiile care nu pot fi date deodată se completează pe măsură ce sunt obținute, fără întârzieri nejustificate.
13.4. Compania notifică încălcarea Centrului în termenul prevăzut la art. 33 din Legea nr. 195/2024 și, atunci când legea o cere, informează persoanele vizate potrivit art. 34 din aceeași lege. Vânzătorul face aceste notificări în numele Companiei numai la cererea scrisă a acesteia.
Art. 14. Informațiile și auditul
14.1. Vânzătorul pune la dispoziția Companiei informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din Legea nr. 195/2024 și în prezentul Acord.
14.2. Auditul începe pe documente și printr-un chestionar, la care Vânzătorul răspunde în [30] (treizeci) de zile de la primire.
14.3. Dacă răspunsul nu este îndestulător, Compania poate cere un audit la fața locului, o dată pe an, cu preaviz scris de [30] (treizeci) de zile. În caz de încălcare a securității care a afectat datele Companiei, auditul la fața locului poate fi cerut oricând.
14.4. Auditorul mandatat de Companie nu desfășoară o activitate concurentă celei a Vânzătorului și semnează un angajament de confidențialitate. Auditul se face în timpul programului de lucru, fără a pune în pericol securitatea sistemului și fără acces la datele altor companii sau ale Utilizatorilor.
14.5. Costurile auditului sunt suportate de Companie. Dacă auditul constată o încălcare a prezentului Acord de către Vânzător, costurile sunt suportate de Vânzător.
14.6. Vânzătorul contribuie la audit și la inspecție: dă explicații, prezintă setările sistemului și documentele cerute.
14.7. Vânzătorul ține evidența categoriilor de activități de prelucrare desfășurate pentru Companie, potrivit art. 30 din Legea nr. 195/2024, și o prezintă Companiei la cerere.
Art. 15. Restituirea sau ștergerea datelor
15.1. La sfârșitul perioadei prevăzute la art. 6 Vânzătorul restituie Companiei datele prelucrate pentru ea, într-un format care poate fi citit automat, sau le șterge. Alegerea aparține Companiei și se comunică în scris. Dacă Compania nu alege în [30] (treizeci) de zile, datele se șterg.
15.2. Se șterg și copiile existente. Copiile de rezervă se șterg la rotația obișnuită a acestora, cel târziu în [90] (nouăzeci) de zile.
15.3. Documentele primare, documentele fiscale și extrasele se păstrează cât cere legislația contabilă și fiscală, potrivit Legii contabilității și raportării financiare nr. 287 din 15.12.2017. Pentru aceste documente Vânzătorul este operator.
15.4. Registrul de audit și registrul operațiunilor cu bani se păstrează pe temeiul interesului legitim al Vânzătorului de a dovedi cine a făcut fiecare operațiune și de a face detectabilă orice modificare ulterioară. Ambele registre sunt construite astfel încât o înscriere să nu poată fi ștearsă; de aceea înscrierile se păstrează [72] (șaptezeci și două) de luni și, după acest termen, atât cât rămân necesare acestui scop.
15.5. Pentru datele care nu cad sub pct. 15.3 și pct. 15.4 Vânzătorul poate alege anonimizarea în locul ștergerii, dacă rezultatul nu mai permite identificarea persoanei.
Art. 16. Transferurile în afara Republicii Moldova
16.1. Datele prelucrate pentru Companie sunt stocate pe servere aflate în mun. Chișinău, Republica Moldova.
16.2. Un transfer către un alt stat sau către o organizație internațională se face numai în unul dintre următoarele cazuri:
a) statul este membru al Spațiului Economic European, caz în care nu este nevoie de o autorizație specială (art. 44 alin. (2) din Legea nr. 195/2024);
b) există o decizie privind nivelul adecvat de protecție, în sensul art. 45 alin. (3) din aceeași lege;
c) transferul se întemeiază pe clauze standard de protecție a datelor aprobate de Centru sau adoptate de Comisia Europeană (art. 46 alin. (2) lit. c) din aceeași lege);
d) transferul se întemeiază pe alte garanții adecvate prevăzute la art. 46 din aceeași lege, cu autorizarea Centrului atunci când legea o cere.
16.3. Transferurile în afara Republicii Moldova existente la data semnării sunt cele arătate în Apendicele nr. 2, cu țara și garanția pe care se întemeiază fiecare. În textul notificărilor trimise către dispozitivul Utilizatorului companiei Vânzătorul nu include numărul de telefon și numărul întreg al cardului.
16.4. La cererea Companiei, Vânzătorul îi comunică garanția pe care se întemeiază un transfer și îi pune la dispoziție o copie a acesteia.
Cap. 4. Obligațiile Companiei ca operator
Art. 17. Temeiul juridic
17.1. Compania are și menține un temei juridic pentru introducerea în Cabinet a datelor prevăzute la Art. 10 din Contract. La cererea Vânzătorului, temeiul se indică în scris.
17.2. Compania nu întemeiază această prelucrare pe consimțământul Utilizatorului companiei care îi este angajat. Consimțământul nu este liber exprimat atunci când executarea unui contract este condiționată de acceptarea unei prelucrări care nu este necesară pentru acel contract (art. 7 alin. (4) din Legea nr. 195/2024).
Art. 18. Informarea Utilizatorilor companiei
18.1. Înainte de a adăuga o persoană în Cabinet, Compania o informează despre:
a) calitatea Companiei de operator și datele ei de contact;
b) scopurile prelucrării și temeiul juridic;
c) categoriile de date;
d) faptul că operațiunile făcute cu Cardul companiei, inclusiv un semn de risc care privește aceste carduri, sunt vizibile pentru Companie;
e) faptul că Vânzătorul prelucrează aceste date ca persoană împuternicită;
f) durata păstrării;
g) drepturile persoanei și dreptul ei de a depune o plângere la Centru.
18.2. Vânzătorul pune la dispoziția Companiei un model de notă de informare, cuprins în documentul 09, Texte de consimțământ și notificări din Aplicație. Compania poate folosi modelul sau propriul text.
18.3. La prima comunicare cu Utilizatorul companiei, Vânzătorul îi transmite informarea pe care o datorează el însuși pentru datele primite de la Companie, inclusiv sursa acestor date (art. 14 din Legea nr. 195/2024). Această informare nu înlocuiește informarea datorată de Companie.
Art. 19. Instrucțiuni legale
19.1. Compania dă numai instrucțiuni conforme cu legislația privind protecția datelor cu caracter personal și este răspunzătoare pentru ele.
19.2. În Cabinet se introduc numai date exacte și necesare pentru gestiunea Cardurilor companiei. Datele unor persoane care nu folosesc aceste carduri nu se introduc.
19.3. Compania actualizează datele introduse. Persoana care nu mai folosește Cardurile companiei este scoasă din Cabinet fără întârziere nejustificată și cel târziu în [1] (una) zi lucrătoare.
Art. 20. Cererile persoanelor vizate
20.1. Cererile Utilizatorilor companiei privind prelucrările pentru care Compania este operator se soluționează de Companie, în termenele prevăzute de Legea nr. 195/2024.
20.2. Dacă cererea privește Contul de utilizator, Cardul ePay, Soldul sau contul de acces în Cabinet, Compania îndrumă persoana către Vânzător.
Art. 21. Accesul Angajaților companiei
21.1. Compania acordă fiecărui Angajat al companiei numai rolul de care acesta are nevoie și retrage accesul fără întârziere nejustificată și cel târziu în [1] (una) zi lucrătoare din ziua în care persoana îl pierde.
21.2. Cel puțin un Angajat al companiei păstrează rolul de proprietar. Pentru acțiunile făcute în Cabinet cu datele de autentificare ale Angajaților săi răspunde Compania, cu excepția cazului în care aceste date au ajuns la o altă persoană din cauza unei încălcări a obligațiilor Vânzătorului.
21.3. Compania anunță Vânzătorul fără întârziere dacă datele de autentificare ale unui Angajat al companiei au ajuns la o altă persoană.
Cap. 5. Alimentarea de către utilizator
Art. 22. Ce vede Compania
22.1. Dacă Alimentarea de către utilizator este pornită, Compania vede în Cabinet suma pe care Utilizatorul companiei a pus-o pe Cardul companiei, data și ora acestei alimentări și Partea utilizatorului rămasă pe card.
22.2. Compania este operator pentru această informație în propriile evidențe și o folosește la decontarea cu Utilizatorul companiei. Decontarea se face în afara Aplicației, iar Vânzătorul nu este parte la ea.
22.3. Vânzătorul nu dezvăluie Companiei sursa banilor pe care Utilizatorul companiei i-a pus pe card.
Art. 23. Ce nu vede Compania
23.1. Compania nu vede:
a) Contul de utilizator, Cardul ePay, Soldul și plățile personale ale persoanei;
b) numărul întreg de telefon;
c) reclamațiile persoanei și corespondența ei cu suportul Vânzătorului;
d) notele interne ale Vânzătorului;
e) apartenența persoanei la o altă companie și datele altei companii;
f) proba din spatele unui semn de risc, chiar dacă semnul însuși îi este arătat potrivit art. 5.
23.2. Vânzătorul separă datele fiecărei companii prin controale la nivelul bazei de date și al aplicației, astfel încât un Angajat al companiei să nu poată citi datele altei companii.
Cap. 6. Răspunderea
Art. 24. Răspunderea Părților
24.1. Fiecare Parte este răspunzătoare pentru propria încălcare a Legii nr. 195/2024 și a prezentului Acord.
24.2. Amenda aplicată unei Părți se suportă de acea Parte. Partea amendată poate cere de la cealaltă Parte suma care corespunde contribuției acesteia la fapta sancționată.
24.3. Partea care a despăgubit o persoană vizată pentru un prejudiciu cauzat în parte de cealaltă Parte poate cere de la aceasta partea care îi revine.
24.4. Limitele răspunderii prevăzute de Contract se aplică și prezentului Acord. Ele nu privesc prejudiciul cauzat prin intenție sau culpă gravă, cazurile în care legea nu permite limitarea răspunderii și nici sumele pe care o Parte le plătește unei persoane vizate sau Centrului ca urmare a încălcării prezentului Acord de către cealaltă Parte, oricare ar fi felul prejudiciului.
Cap. 7. Durata, încetarea și clauze finale
Art. 25. Durata
25.1. Prezentul Acord intră în vigoare la data intrării în vigoare a Contractului și produce efecte cât timp Vânzătorul prelucrează date pentru Companie.
25.2. Obligația de confidențialitate a persoanelor autorizate, prevăzută la art. 8, rămâne în vigoare fără termen. Confidențialitatea comercială urmează Art. 36 din Contract.
Art. 26. Încetarea și modificarea
26.1. Prezentul Acord nu poate fi denunțat separat de Contract. El produce efecte până la îndeplinirea obligațiilor prevăzute la art. 15.
26.2. Dacă Legea nr. 195/2024 sau un act al Centrului impune alte clauze, Părțile semnează un act adițional în [30] (treizeci) de zile de la cererea oricăreia dintre ele. Până la semnare se aplică dispozițiile legale.
26.3. Clauzele contractuale standard aprobate de Centru pentru raporturile dintre operator și persoana împuternicită, odată aprobate, înlocuiesc clauzele contrare ale prezentului Acord (art. 28 alin. (7) din Legea nr. 195/2024).
Art. 27. Clauze finale
27.1. Prezentul Acord este încheiat în scris, inclusiv în format electronic (art. 28 alin. (8) din Legea nr. 195/2024).
27.2. Apendicele nr. 1 și Apendicele nr. 2 fac parte integrantă din prezentul Acord. Apendicele nr. 2 se actualizează în condițiile art. 10, fără act adițional. Orice altă modificare a prezentului Acord se face prin act adițional semnat, potrivit Art. 45 din Contract.
27.3. În caz de neconcordanță între prezentul Acord și Contract în privința prelucrării datelor cu caracter personal, se aplică prezentul Acord.
27.4. Prezentul Acord este guvernat de legislația Republicii Moldova. Litigiile se soluționează potrivit Contractului.
27.5. Prezentul Acord este semnat în două exemplare, care au aceeași forță juridică, câte unul pentru fiecare Parte.
27.6. Punctul de contact al Vânzătorului pentru prezentul Acord este dev@e-gaz.md, iar al Companiei este persoana indicată în Anexa nr. 1 la Contract. Din momentul desemnării responsabilului cu protecția datelor, Vânzătorul comunică Companiei datele lui de contact și le publică (art. 37 din Legea nr. 195/2024).
Apendicele nr. 1. Măsurile tehnice și organizatorice
Coloana „Starea” arată ce funcționează la data semnării. O măsură arătată ca planificată se aplică de la data punerii în funcțiune a serverului de producție.
| Măsura | Conținutul | Starea |
|---|---|---|
| Criptarea în tranzit | tot traficul dintre Aplicație, Cabinet și serverele Vânzătorului este criptat, cu certificate reînnoite automat | planificată; configurația este pregătită și încercată |
| Criptarea secretelor și a copiilor de rezervă | secretul din spatele Codului QR dinamic este criptat cu AES-256-GCM, cu cheie versionată pentru rotație; copiile de rezervă ale bazei de date sunt criptate. Baza de date însăși nu este criptată la nivel de disc | în funcțiune pentru secret; copiile de rezervă, planificate |
| Parole și coduri | parolele Angajaților companiei sunt păstrate ca valori transformate prin argon2; codurile de unică folosință și jetoanele de reînnoire a sesiunii sunt transformate prin bcrypt. Textul lor nu este păstrat | în funcțiune |
| Accesul pe roluri | fiecare rol din Cabinet și din panoul de administrare deschide numai secțiunile de care are nevoie; accesul se acordă nominal și se retrage la încetarea nevoii | în funcțiune |
| Separarea companiilor | datele fiecărei companii sunt separate prin controale la nivelul bazei de date și al aplicației; o cerere venită de la o companie nu poate citi datele alteia | în funcțiune; separarea la nivel de rând în baza de date se extinde asupra tuturor tabelelor care poartă identificatorul companiei |
| Registrul de audit | fiecare modificare administrativă se înscrie într-un registru la care se poate doar adăuga; înscrierile nu se șterg și nu se modifică | în funcțiune. Înscrierile făcute de la [DATA] înainte afișează numerele de telefon mascate; înscrierile anterioare nu pot fi modificate, pentru că registrul nu permite ștergerea |
| Registrul operațiunilor cu bani | fiecare înscriere poartă amprenta înscrierii anterioare, astfel încât o modificare ulterioară este detectabilă | în funcțiune |
| Copii de rezervă | copie completă a bazei de date în fiecare noapte, criptată; o verificare a restaurării în fiecare lună; o copie înainte de fiecare punere în producție | planificată; procedura este scrisă și încercată |
| Găzduirea | servere aflate în mun. Chișinău, Republica Moldova | planificată; furnizorul este ales, serverul nu este încă închiriat |
| Perimetrul rețelei | sunt deschise numai porturile necesare serviciului; accesul administrativ la servere se face numai cu chei | planificată; configurația este pregătită |
| Jurnalele tehnice | numerele de telefon apar mascate în jurnalele serverelor, iar jurnalele se rotesc în cel mult [90] (nouăzeci) de zile | în funcțiune |
| Verificarea măsurilor | Vânzătorul verifică măsurile cel puțin o dată pe an și după fiecare schimbare importantă a sistemului | în funcțiune |
Apendicele nr. 2. Lista subîmputerniciților
| Subîmputernicit | Serviciul | Datele primite | Țara | Garanția transferului | Starea |
|---|---|---|---|---|---|
| StarNet | găzduirea serverelor și a bazei de date | toate datele prelucrate pentru Companie, ca infrastructură | Republica Moldova | nu este un transfer | furnizor ales; serverul nu este încă închiriat |
| [FURNIZORUL SMS] | trimiterea mesajelor SMS: invitația persoanei și codurile de unică folosință | numărul de telefon și textul mesajului | [ȚARA] | [GARANȚIA] | furnizorul nu este încă ales |
| [FURNIZORUL DE E-MAIL] | trimiterea mesajelor de e-mail către Angajații companiei: invitații, restabilirea parolei, extrase | adresa de e-mail și textul mesajului | [ȚARA] | [GARANȚIA] | furnizorul nu este încă ales |
| Expo Project, Inc. | livrarea notificărilor către Aplicație | identificatorul de livrare și textul notificării | Statele Unite ale Americii | [GARANȚIA, art. 16.2] | pornit la lansare |
| Apple Inc. | livrarea notificărilor pe dispozitivele iOS | identificatorul de livrare și textul notificării | Statele Unite ale Americii | [GARANȚIA, art. 16.2] | pornit la lansare |
| Google LLC | livrarea notificărilor pe dispozitivele Android | identificatorul de livrare și textul notificării | Statele Unite ale Americii | [GARANȚIA, art. 16.2] | pornit la lansare |
| Furnizorul echipamentului de alimentare | eliberarea combustibilului la Punct | numărul public al cardului, felul cardului, Reducerea Companiei, suma Rezervării și identificatorul sesiunii | Republica Moldova | nu este un transfer | LSCard; astăzi funcționează un simulator local |
| Furnizorul echipamentului de spălare | pornirea postului de spălare | suma de creditat la postul de spălare | Republica Moldova | nu este un transfer | ICW; astăzi funcționează un simulator local |
| Furnizorul caselor de marcat | schimbul de date cu casa de marcat a Punctului | astăzi nimic: casierul introduce manual numărul bonului de casă | [ȚARA] | [GARANȚIA] | furnizorul nu este încă ales; schimbul de date nu este pornit |
| Consultanții Vânzătorului: avocatul, auditorul, contabilul | asistență într-un caz anume | datele strict necesare cazului, sub obligația păstrării secretului | Republica Moldova | nu este un transfer | la nevoie |
Banca prin care se alimentează Contul companiei și autoritățile publice primesc date în temeiul propriilor obligații legale, în calitate de operatori independenți, și nu sunt subîmputerniciți. Apple Inc. și Google LLC sunt operatori independenți pentru propriile platforme.
Aplicația nu trimite astăzi rapoarte despre erori. Dacă Vânzătorul pornește această funcție, rapoartele vor fi primite și păstrate pe serverele sale din mun. Chișinău, fără nume, număr de telefon și adresă de e-mail, iar Apendicele nr. 2 va fi actualizat potrivit art. 10.