DRAFT FOR THE LAWYER, 20 September 2026

ПРОЕКТ ДЛЯ ЮРИСТА, 20 сентября 2026 г.

Соглашение об обработке персональных данных

Версия [1.0] от [ДАТА]

Приложение № 2 к Договору № [...] от [...]

Стороны Договора № [...] от [...] (в дальнейшем «Договор»), Продавец и Компания, указанные в Договоре, договорились о нижеследующем.

Глава 1. Предмет и роли Сторон

Ст. 1. Предмет

1.1. Настоящее Соглашение регулирует обработку персональных данных, которую Продавец ведёт для Компании при исполнении Договора. Основанием служит Закон № 195 от 25.07.2024 о защите персональных данных, Monitorul Oficial № 367-369 от 23 августа 2024, ст. 574, в силе с 23 августа 2026 (в дальнейшем «Закон № 195/2024»).

1.2. Настоящее Соглашение является неотъемлемой частью Договора.

1.3. Термины, определённые в Договоре, имеют в настоящем Соглашении то же значение. Ссылка на Приложение № N означает приложение к Договору, а ссылка на Дополнение № N означает дополнение к настоящему Соглашению.

Ст. 2. Компания как оператор

2.1. Компания является оператором того, что она сама решает о Пользователях компании: кто держит каждую Карту компании, метка, которую Компания присваивает лицу, перевод денег на карту и их отзыв, лимиты карты, включение и отключение Пополнения пользователем, а также отчёты и выписки по каждому Пользователю компании, которые Продавец составляет для Компании.

2.2. Цели и средства этой обработки определяет Компания. Заявленные цели состоят в учёте расходов Компании и в расчётах с Пользователями компании.

2.3. В отношении допуска Сотрудника компании в Кабинет и роли, которая ему присваивается, оператором является Компания.

2.4. Компания даёт указания, возражает против субобработчика, выбирает по окончании обработки, передаются ли ей данные или удаляются, и проводит аудит Продавца в порядке ст. 7, ст. 10, ст. 14 и ст. 15.

Ст. 3. Продавец как обработчик

3.1. В отношении данных, предусмотренных ст. 2, Продавец является обработчиком Компании. Он обрабатывает эти данные только для Компании и только в пределах настоящего Соглашения.

3.2. Продавец не обрабатывает полученные от Компании данные для собственных целей, кроме предусмотренных ст. 4, и не раскрывает их другой компании.

3.3. Если Продавец сам определяет цели и средства какой-либо обработки, он является оператором этой обработки, как бы она ни называлась в документах (ст. 28 ч. (9) Закона № 195/2024).

3.4. Продавец заявляет, что предоставляет достаточные гарантии внедрения надлежащих технических и организационных мер в смысле ст. 28 ч. (1) Закона № 195/2024. Меры описаны в Дополнении № 1.

Ст. 4. Продавец как самостоятельный оператор

4.1. Аккаунт, Карта ePay и Баланс того же лица обрабатываются Продавцом в качестве оператора. Компания этих данных не видит. Их обработку регулирует Политика конфиденциальности (документ 02).

4.2. Продавец является оператором и собственной продажи: операций по любой карте, Фискальных чеков, бухгалтерского и налогового учёта, рассмотрения рекламаций и безопасности системы. По такой обработке Компания указаний не даёт, а основанием служат договор, обязанность по закону и законный интерес Продавца.

4.3. Учётные записи Сотрудников компании, криптографический отпечаток пароля, их сессии и журнал действий в Кабинете обрабатываются Продавцом в качестве оператора, для работы и безопасности его услуги, согласно п. 9.5 Приложения № 3 «Правила пользования Кабинетом компании». Приостановление доступа по соображениям безопасности и направление приглашения первому Владельцу являются собственными действиями Продавца, совершаемыми без указания Компании.

4.4. Из обработки, предусмотренной п. 4.2, Продавец передаёт Компании, действуя как самостоятельный оператор, данные, которые ей нужны для управления Картами компании. Состав этих данных определён ст. 22 и ст. 23.

4.5. Стороны не определяют совместно цели и средства какой-либо обработки и не являются совместными операторами в смысле ст. 26 Закона № 195/2024. Каждая Сторона отвечает за ту обработку, по которой она названа оператором.

4.6. Ни одно условие Договора и настоящего Соглашения не ограничивает права, которые Закон № 195/2024 даёт Пользователю компании, ни перед Продавцом, ни перед Компанией.

Глава 2. Описание обработки

Ст. 5. Элементы обработки

5.1. Обработка, которую Продавец ведёт для Компании, имеет следующие элементы:

5.2. Продавец не запрашивает у Компании данные особых категорий, предусмотренные ст. 9 Закона № 195/2024, и данные о судимости. Подтверждение платежа лицом или отпечатком пальца выполняется устройством Пользователя компании; Продавец получает только результат проверки, но не биометрические данные.

5.3. Кабинет, выписки и чеки показывают номер телефона замаскированным. Номер, который Компания ввела сама, ей известен, и его обработка в собственном учёте Компании предметом настоящего Соглашения не является.

Ст. 6. Срок обработки

6.1. Обработка для Компании длится столько, сколько действует Договор, и продолжается ещё [90] (девяносто) дней, в течение которых Кабинет остаётся открытым для просмотра после прекращения Договора, согласно Ст. 42 Договора.

6.2. Продавец не продлевает этот период по собственной инициативе.

Глава 3. Обязанности Продавца как обработчика

Ст. 7. Документированные указания

7.1. Продавец обрабатывает данные только на основании документированных указаний Компании. Такими указаниями являются Договор и настоящее Соглашение, настройки, которые Сотрудники компании делают в Кабинете, и обращения Компании через программный интерфейс, если он подключён. Указание, данное иным путём, подтверждается письменно.

7.2. Правило п. 7.1 действует и для передачи данных за пределы Республики Молдова, предусмотренной ст. 16.

7.3. Данные обрабатываются без указания Компании только тогда, когда к этому обязывает Продавца нормативный акт Республики Молдова. В этом случае он сообщает Компании о законной обязанности до начала обработки, кроме случая, когда нормативный акт запрещает такое сообщение по важным причинам общественного интереса.

7.4. Если, по мнению Продавца, указание Компании нарушает законодательство о защите персональных данных, он немедленно сообщает об этом Компании. Исполнение такого указания может быть отложено до ответа Компании.

Ст. 8. Конфиденциальность допущенных лиц

8.1. Доступ к данным Компании предоставляется поимённо и только тем лицам, которым он нужен для исполнения Договора.

8.2. Эти лица связаны обязанностью конфиденциальности по индивидуальному трудовому договору, по должностной инструкции или по отдельному обязательству. Обязанность сохраняется и после прекращения их отношений с Продавцом.

Ст. 9. Меры безопасности

9.1. Продавец применяет технические и организационные меры, предусмотренные ст. 32 Закона № 195/2024. Меры, действующие на дату подписания, с указанием состояния каждой из них, описаны в Дополнении № 1.

9.2. Меру можно заменить другой, не менее сильной. Согласованный уровень безопасности не понижается.

9.3. По письменному запросу Компании один раз в год Продавец представляет обновлённое описание мер из Дополнения № 1.

Ст. 10. Субобработчики

10.1. Компания даёт общее разрешение на привлечение других обработчиков (в дальнейшем «субобработчики») в порядке ст. 28 ч. (2) Закона № 195/2024. Субобработчики, имеющиеся на дату подписания, перечислены в Дополнении № 2. Получатели, которые принимают данные как самостоятельные операторы, указаны отдельно, в конце того же дополнения.

10.2. О добавлении или замене субобработчика Продавец сообщает в Кабинете и на адрес электронной почты Компании, указанный в Приложении № 1 к Договору, не менее чем за [30] (тридцать) дней до начала обработки этим лицом. Сообщение содержит наименование, услугу, передаваемые данные и страну.

10.3. Компания вправе заявить мотивированное возражение в течение [15] (пятнадцати) дней со дня сообщения. Стороны ищут решение в следующие [15] (пятнадцать) дней. Если решение не найдено, Компания вправе заявить о расторжении Договора согласно Ст. 39 Договора, без неустойки и без предусмотренного той статьёй срока предупреждения, а окончательный расчёт производится согласно Ст. 42 Договора.

10.4. На каждого субобработчика Продавец возлагает договором те же обязанности по защите данных, которые принимает на себя по настоящему Соглашению. За действия субобработчиков Продавец отвечает перед Компанией как за собственные.

Ст. 11. Содействие в реализации прав субъектов данных

11.1. Продавец помогает Компании отвечать на обращения о правах, предусмотренных главой III Закона № 195/2024, включая доступ, исправление, удаление, ограничение обработки, переносимость, возражение, уведомление получателей по ст. 19 и право по ст. 22. Помощь оказывается через функции Кабинета, а когда их недостаточно, по письменному запросу, в течение [10] (десяти) рабочих дней.

11.2. Если обращение, касающееся обработки для Компании, поступает Продавцу, он по существу не отвечает. Продавец передаёт обращение Компании в течение [3] (трёх) рабочих дней и сообщает лицу о передаче.

11.3. Если обращение касается также обработки, по которой Продавец является оператором, он сам отвечает в этой части, в установленный законом срок, и указывает лицу, какая часть передана Компании, а также её контактные данные.

11.4. Обращения, касающиеся только Аккаунта, Карты ePay и Баланса, разрешает Продавец.

Ст. 12. Содействие в обеспечении безопасности и в оценке воздействия

12.1. Продавец помогает Компании соблюдать обязанности, предусмотренные статьями 32-36 Закона № 195/2024, с учётом характера обработки и имеющихся у него сведений. Помощь касается безопасности обработки, уведомления о нарушениях безопасности, информирования субъектов данных, оценки воздействия на защиту данных и предварительной консультации с Национальным центром по защите персональных данных (в дальнейшем «Центр»).

12.2. Для оценки воздействия Продавец по письменному запросу предоставляет Компании описание обработки, меры из Дополнения № 1 и список субобработчиков в течение [15] (пятнадцати) рабочих дней со дня запроса.

Ст. 13. Уведомление о нарушениях безопасности

13.1. Продавец уведомляет Компанию без необоснованной задержки и не позднее [48] (сорока восьми) часов с момента, когда ему стало известно о нарушении безопасности, затрагивающем данные, обрабатываемые для Компании.

13.2. Срок течёт с момента, когда о нарушении узнал работник Продавца.

13.3. В уведомлении описываются характер нарушения, категории и примерное число затронутых субъектов данных и записей. Оно указывает вероятные последствия нарушения, принятые или предложенные меры по устранению и имя лица, у которого Компания может получить дополнительные сведения. Сведения, которые нельзя представить сразу, дополняются по мере получения, без необоснованной задержки.

13.4. Компания уведомляет о нарушении Центр в срок, предусмотренный ст. 33 Закона № 195/2024, и, когда этого требует закон, информирует субъектов данных согласно ст. 34 того же закона. Продавец делает такие уведомления от имени Компании только по её письменному запросу.

Ст. 14. Сведения и аудит

14.1. Продавец предоставляет Компании сведения, необходимые для подтверждения соблюдения обязанностей, предусмотренных ст. 28 Закона № 195/2024 и настоящим Соглашением.

14.2. Аудит начинается по документам и по опросному листу, на который Продавец отвечает в течение [30] (тридцати) дней со дня получения.

14.3. Если ответ недостаточен, Компания вправе потребовать аудит на месте, один раз в год, с письменным предупреждением за [30] (тридцать) дней. При нарушении безопасности, затронувшем данные Компании, аудит на месте может быть потребован в любое время.

14.4. Аудитор, которого привлекает Компания, не ведёт деятельность, конкурирующую с деятельностью Продавца, и подписывает обязательство о конфиденциальности. Аудит проводится в рабочее время, без угрозы для безопасности системы и без доступа к данным других компаний и Пользователей.

14.5. Расходы на аудит несёт Компания. Если аудит выявит нарушение настоящего Соглашения Продавцом, расходы несёт Продавец.

14.6. Продавец содействует аудиту и осмотру: даёт пояснения, представляет настройки системы и запрошенные документы.

14.7. Продавец ведёт учёт категорий действий по обработке, выполняемых для Компании, согласно ст. 30 Закона № 195/2024, и представляет его Компании по запросу.

Ст. 15. Передача или удаление данных

15.1. По окончании периода, предусмотренного ст. 6, Продавец передаёт Компании обрабатываемые для неё данные в машиночитаемом виде либо удаляет их. Выбор принадлежит Компании и сообщается письменно. Если Компания не сделает выбор в течение [30] (тридцати) дней, данные удаляются.

15.2. Удаляются и имеющиеся копии. Резервные копии удаляются при их обычной ротации, не позднее [90] (девяноста) дней.

15.3. Первичные документы, налоговые документы и выписки хранятся столько, сколько требует бухгалтерское и налоговое законодательство, согласно Закону о бухгалтерском учёте и финансовой отчётности № 287 от 15.12.2017. В отношении этих документов Продавец является оператором.

15.4. Журнал аудита и реестр денежных операций хранятся на основании законного интереса Продавца доказать, кто совершил каждую операцию, и сделать обнаружимым любое позднейшее изменение. Оба реестра построены так, что запись нельзя удалить; поэтому записи хранятся [72] (семьдесят два) месяца, а после этого срока столько, сколько остаются нужными для указанной цели.

15.5. По данным, не подпадающим под п. 15.3 и п. 15.4, Продавец вправе выбрать обезличивание вместо удаления, если результат больше не позволяет установить лицо.

Ст. 16. Передача за пределы Республики Молдова

16.1. Данные, обрабатываемые для Компании, хранятся на серверах, расположенных в мун. Кишинэу, Республика Молдова.

16.2. Передача в другое государство или международной организации совершается только в одном из следующих случаев:

a) государство является членом Европейского экономического пространства, и тогда особое разрешение не требуется (ст. 44 ч. (2) Закона № 195/2024);

b) имеется решение об адекватном уровне защиты в смысле ст. 45 ч. (3) того же закона;

c) передача основана на стандартных положениях о защите данных, утверждённых Центром или принятых Европейской комиссией (ст. 46 ч. (2) лит. c) того же закона);

d) передача основана на иных надлежащих гарантиях, предусмотренных ст. 46 того же закона, с разрешением Центра, когда его требует закон.

16.3. Передачи за пределы Республики Молдова, имеющиеся на дату подписания, указаны в Дополнении № 2, со страной и гарантией, на которой основана каждая из них. В текст уведомлений, направляемых на устройство Пользователя компании, Продавец не включает номер телефона и полный номер карты.

16.4. По запросу Компании Продавец сообщает ей гарантию, на которой основана передача, и предоставляет её копию.

Глава 4. Обязанности Компании как оператора

Ст. 17. Правовое основание

17.1. Компания имеет и поддерживает правовое основание для ввода в Кабинет данных, предусмотренных Ст. 10 Договора. По запросу Продавца основание указывается письменно.

17.2. Компания не основывает эту обработку на согласии Пользователя компании, который является её работником. Согласие не считается свободным, когда исполнение договора поставлено в зависимость от принятия обработки, не необходимой для этого договора (ст. 7 ч. (4) Закона № 195/2024).

Ст. 18. Информирование Пользователей компании

18.1. До добавления лица в Кабинет Компания сообщает ему:

a) о статусе Компании как оператора и её контактных данных;

b) о целях обработки и правовом основании;

c) о категориях данных;

d) о том, что операции по Карте компании, включая признак риска, относящийся к этим картам, видны Компании;

e) о том, что Продавец обрабатывает эти данные как обработчик;

f) о сроке хранения;

g) о правах лица и о его праве подать жалобу в Центр.

18.2. Продавец предоставляет Компании образец информационной записки, включённый в документ 09, Тексты согласий и уведомлений в Приложении. Компания вправе использовать образец или собственный текст.

18.3. При первом обращении к Пользователю компании Продавец направляет ему то информирование, которое он должен сделать сам по данным, полученным от Компании, включая источник этих данных (ст. 14 Закона № 195/2024). Это информирование не заменяет информирование, которое должна сделать Компания.

Ст. 19. Законные указания

19.1. Компания даёт только указания, соответствующие законодательству о защите персональных данных, и несёт за них ответственность.

19.2. В Кабинет вводятся только точные данные, необходимые для управления Картами компании. Данные лиц, которые этими картами не пользуются, не вводятся.

19.3. Компания обновляет введённые данные. Лицо, которое больше не пользуется Картами компании, исключается из Кабинета без необоснованной задержки и не позднее [1] (одного) рабочего дня.

Ст. 20. Обращения субъектов данных

20.1. Обращения Пользователей компании об обработке, по которой оператором является Компания, разрешает Компания, в сроки, предусмотренные Законом № 195/2024.

20.2. Если обращение касается Аккаунта, Карты ePay, Баланса или учётной записи для доступа в Кабинет, Компания направляет лицо к Продавцу.

Ст. 21. Доступ Сотрудников компании

21.1. Компания даёт каждому Сотруднику компании только ту роль, которая ему нужна, и отзывает доступ без необоснованной задержки и не позднее [1] (одного) рабочего дня со дня, когда лицо его утрачивает.

21.2. Не менее одного Сотрудника компании сохраняет роль владельца. За действия, совершённые в Кабинете с учётными данными её Сотрудников, отвечает Компания, кроме случая, когда эти данные стали известны другому лицу из-за нарушения обязанностей Продавцом.

21.3. Компания без промедления сообщает Продавцу, если учётные данные Сотрудника компании стали известны другому лицу.

Глава 5. Пополнение пользователем

Ст. 22. Что видит Компания

22.1. Если Пополнение пользователем включено, Компания видит в Кабинете сумму, которую Пользователь компании положил на Карту компании, дату и время этого пополнения, а также Часть пользователя, оставшуюся на карте.

22.2. Компания является оператором этих сведений в собственном учёте и использует их при расчётах с Пользователем компании. Расчёты ведутся вне Приложения, и Продавец их стороной не является.

22.3. Продавец не раскрывает Компании источник денег, которые Пользователь компании положил на карту.

Ст. 23. Чего Компания не видит

23.1. Компания не видит:

a) Аккаунт, Карту ePay, Баланс и личные платежи лица;

b) номер телефона целиком;

c) рекламации лица и его переписку с поддержкой Продавца;

d) внутренние заметки Продавца;

e) принадлежность лица к другой компании и данные другой компании;

f) доказательство за признаком риска, даже если сам признак показан ей согласно ст. 5.

23.2. Продавец разделяет данные каждой компании средствами контроля на уровне базы данных и приложения, так чтобы Сотрудник компании не мог прочитать данные другой компании.

Глава 6. Ответственность

Ст. 24. Ответственность Сторон

24.1. Каждая Сторона несёт ответственность за собственное нарушение Закона № 195/2024 и настоящего Соглашения.

24.2. Штраф, наложенный на Сторону, несёт эта Сторона. Оштрафованная Сторона вправе потребовать от другой Стороны сумму, которая соответствует её вкладу в наказанное деяние.

24.3. Сторона, возместившая субъекту данных вред, причинённый частично другой Стороной, вправе потребовать от неё приходящуюся на неё часть.

24.4. Пределы ответственности, предусмотренные Договором, действуют и для настоящего Соглашения. Они не касаются вреда, причинённого умышленно или по грубой неосторожности, случаев, когда закон не допускает ограничения ответственности, а также сумм, которые одна Сторона выплачивает субъекту данных или Центру вследствие нарушения настоящего Соглашения другой Стороной, каким бы ни был вид вреда.

Глава 7. Срок, прекращение и заключительные положения

Ст. 25. Срок

25.1. Настоящее Соглашение вступает в силу в день вступления в силу Договора и действует, пока Продавец обрабатывает данные для Компании.

25.2. Обязанность конфиденциальности допущенных лиц, предусмотренная ст. 8, действует бессрочно. Коммерческая конфиденциальность следует Ст. 36 Договора.

Ст. 26. Прекращение и изменение

26.1. Настоящее Соглашение не может быть расторгнуто отдельно от Договора. Оно действует до исполнения обязанностей, предусмотренных ст. 15.

26.2. Если Закон № 195/2024 или акт Центра потребует иных условий, Стороны подписывают дополнительное соглашение в течение [30] (тридцати) дней со дня требования любой из них. До подписания действуют положения закона.

26.3. Стандартные договорные положения, утверждённые Центром для отношений между оператором и обработчиком, после их утверждения заменяют противоречащие им условия настоящего Соглашения (ст. 28 ч. (7) Закона № 195/2024).

Ст. 27. Заключительные положения

27.1. Настоящее Соглашение заключено в письменной форме, в том числе в электронном виде (ст. 28 ч. (8) Закона № 195/2024).

27.2. Дополнение № 1 и Дополнение № 2 являются неотъемлемой частью настоящего Соглашения. Дополнение № 2 обновляется в порядке ст. 10, без дополнительного соглашения. Любое иное изменение настоящего Соглашения производится подписанным дополнительным соглашением, согласно Ст. 45 Договора.

27.3. При расхождении между настоящим Соглашением и Договором в части обработки персональных данных применяется настоящее Соглашение.

27.4. Настоящее Соглашение регулируется законодательством Республики Молдова. Споры разрешаются в порядке Договора.

27.5. Настоящее Соглашение подписано в двух экземплярах, имеющих одинаковую юридическую силу, по одному для каждой Стороны.

27.6. Контактным адресом Продавца по настоящему Соглашению является dev@e-gaz.md, а контактным лицом Компании является лицо, указанное в Приложении № 1 к Договору. С момента назначения ответственного за защиту данных Продавец сообщает Компании его контактные данные и публикует их (ст. 37 Закона № 195/2024).

Дополнение № 1. Технические и организационные меры

Столбец «Состояние» показывает, что работает на дату подписания. Мера, показанная как планируемая, применяется со дня ввода в эксплуатацию производственного сервера.

Дополнение № 2. Список субобработчиков

Банк, через который пополняется Счёт компании, и публичные органы получают данные на основании собственных обязанностей по закону, как самостоятельные операторы, и субобработчиками не являются. Apple Inc. и Google LLC являются самостоятельными операторами в отношении собственных платформ.

Приложение сегодня не отправляет сообщения об ошибках. Если Продавец включит эту функцию, сообщения будут приниматься и храниться на его серверах в мун. Кишинэу, без имени, номера телефона и адреса электронной почты, а Дополнение № 2 будет обновлено в порядке ст. 10.