Соглашение об обработке данных (DPA) — Tosvi

Версия 1.6 · Дата вступления в силу: 19/08/2026

Это Соглашение об обработке данных («DPA») является частью договора между Студией и Tosvi об использовании Сервиса и отражает обязательства сторон по статье 28 GDPR и Закону Республики Молдова № 195/2024 (ранее Закон № 133/2011).

Принятие

Сервис работает по принципу самообслуживания, поэтому настоящее DPA принимается электронно уполномоченным представителем Студии при подключении (отметкой поля принятия), что имеет ту же силу, что и подпись. Tosvi фиксирует принятие (учётная запись, принимающий пользователь, версия документа, язык и время) как доказательство. Версия с собственноручной подписью (ниже) доступна по запросу для студий, которым она необходима.

Стороны

• Контролёр («Студия»): студия детейлинга автомобилей, которой принадлежит учётная

запись. Её юридическое наименование, фискальный код, зарегистрированный адрес и уполномоченное контактное лицо предоставляются при подключении и фиксируются вместе с принятием настоящего DPA.

• Обработчик («Tosvi»):

Petru Virtos, Antreprenor Independent Фискальный код: 1026023032469 bd. Moscova 9/5 ap. 300, Chișinău MD-2068, Молдова Контакт: [email protected]

Сведения об обработке (кратко)

1. Предмет и роли

Студия является контролёром персональных данных, которые она вносит в Сервис о своих клиентах и сотрудниках. Tosvi является обработчиком и обрабатывает эти данные исключительно для предоставления Сервиса и только по документированным инструкциям Студии (эти условия, конфигурация Сервиса и любые дальнейшие письменные инструкции).

2. Срок

Это DPA действует, пока Tosvi обрабатывает персональные данные от имени Студии, то есть в течение всего срока использования Сервиса Студией.

3. Характер и цель обработки

Предоставление SaaS-платформы для управления клиентами, автомобилями, расчётами, расписанием, предварительными осмотрами автомобилей, сгенерированными документами и (если включено) встраиваемым калькулятором цен и сбором заявок.

4. Типы персональных данных

• Сотрудники Студии: имя, e-mail, роль.
• Клиенты Студии: имя, телефон, e-mail, заметки; номер автомобиля, VIN, год, цвет;

история расчётов/работ; фотографии предварительных осмотров, подпись клиента, заметки о повреждениях, имя и время утвердившего; записи о согласиях на необязательные цели, которые предлагает Сервис, — публикацию фотографий автомобиля и хранение собственной записи клиента, — каждая с целью, версией информационного уведомления, показанного клиенту, временем выдачи и отзыва, а также изображением подписи клиента, если оно было получено; (если включён обмен сообщениями) содержимое переписки студия↔клиент — как входящие сообщения клиента, так и исходящие ответы студии — и идентификаторы чата и пользователя Telegram, используемые для их маршрутизации.

• Калькулятор цен (если включён): имя и телефон из отправленной заявки; усечённый,

необратимо хешированный IP посетителя, используемый только для ограничения частоты запросов.

5. Категории субъектов данных

Пользователи-сотрудники Студии; клиенты Студии; (если калькулятор цен включён) посетители сайта Студии, отправившие контактную форму.

6. Обязанности обработчика

Tosvi обязуется:

1. Обрабатывать только по документированным инструкциям Студии, в том числе в

отношении международных передач, если иное не требуется законом (в этом случае Tosvi уведомит Студию, если это законом не запрещено). Tosvi без промедления и в любом случае не позднее одного месяца уведомит Студию, если, по её мнению, какая-либо инструкция нарушает GDPR или иное применимое законодательство о защите данных.

1. Конфиденциальность — обеспечить, чтобы лица, уполномоченные обрабатывать

данные, были связаны обязательством конфиденциальности.

1. Безопасность — внедрить надлежащие технические и организационные меры

(Приложение 2), как того требует статья 32 GDPR.

1. Субобработчики — Студия предоставляет Tosvi общее письменное разрешение на

привлечение субобработчиков. Tosvi будет привлекать только субобработчиков, перечисленных в Приложении 1; налагать на них эквивалентные обязательства по защите данных; оставаться ответственным за их деятельность; и уведомлять Студию не менее чем за 30 дней о любом планируемом добавлении или замене, в течение которых Студия может возразить по обоснованным основаниям защиты данных (а позднее — по основаниям, возникшим после этого периода). Если Студия не возражает в течение этого периода, считается, что она даёт согласие. Если Студия возражает и стороны не могут добросовестно урегулировать вопрос, Студия может прекратить ту часть Сервиса, которая затронута изменением; если такой субобработчик является существенным для Сервиса (например, база данных), Студия вместо этого может прекратить всю подписку и получить пропорциональный возврат предоплаченных сумм. До прекращения Tosvi не будет передавать данные возражающей Студии тому субобработчику, против которого заявлено возражение. Никакие иные средства правовой защиты или убытки не возникают в связи с разрешённым изменением субобработчика.

1. Содействовать Студии — с учётом характера обработки помогать отвечать на

запросы субъектов данных (Сервис предоставляет экспорт и удаление по учётной записи и по клиенту), а также в обязанностях Студии по безопасности, уведомлению о нарушениях, оценкам воздействия на защиту данных и предварительной консультации с надзорным органом согласно статье 36. Содействие, выходящее за рамки самостоятельного экспорта/удаления и информации, уже предоставляемой Сервисом, — включая содействие в отношении запросов субъектов данных, оценок воздействия на защиту данных (DPIA), предварительной консультации, собственных обязанностей Студии по уведомлению о нарушениях и оценок адекватности передач, а также стоимость любого выездного аудита согласно п. 6.8, — предоставляется за разумный счёт Студии. Собственное уведомление Tosvi Студии о нарушении в отношении персональных данных (п. 6.6, статья 33(2) GDPR) предоставляется бесплатно, как и базовая информация, которую Tosvi предоставляет согласно п. 6.8.

1. Нарушение в отношении персональных данных — уведомить Студию без

неоправданной задержки после того, как Tosvi станет известно о нарушении данных Студии, с информацией, необходимой Студии для выполнения её собственных обязанностей по уведомлению. Такое уведомление не является признанием вины или ответственности. Неудачные попытки, которые не компрометируют безопасность персональных данных, например пинги, сканирование портов, попытки вызвать отказ в обслуживании (DoS) или неудачные попытки входа, не являются нарушениями в отношении персональных данных.

1. Удаление или возврат — по выбору Студии удалить или вернуть все персональные

данные по завершении оказания услуг — в течение 30 дней после закрытия, при этом возврат доступен через функцию экспорта Сервиса, — и удалить существующие копии, если иное не требуется по закону.

1. Аудиты — предоставлять информацию, необходимую для подтверждения соответствия

статье 28. Выездная проверка доступна только тогда, когда предоставляемой Tosvi информации недостаточно для подтверждения соответствия, с уведомлением за 30 дней, не чаще одного раза в год (кроме случаев, когда орган или существенное нарушение требуют иного), в рабочее время, за счёт Студии, с соблюдением конфиденциальности и так, чтобы не нарушать работу Сервиса. Аудит не распространяется на доступ к дата-центрам хостинг-провайдера Tosvi, базовым системам или инфраструктуре, а также к любым персональным данным других клиентов Tosvi.

1. Ограничения — Tosvi не будет: (a) продавать персональные данные Студии или

предоставлять их третьей стороне за вознаграждение; (b) передавать их для поведенческой рекламы на сторонних сайтах; (c) хранить, использовать или раскрывать их для целей, отличных от предоставления Сервиса, или вне разрешённого применимым правом; (d) использовать их вне прямых деловых отношений со Студией; или (e) объединять их с персональными данными из других источников, кроме как для предоставления Сервиса или как разрешено применимым правом.

7. Международные передачи

Все данные приложения — включая содержимое сообщений, хранимое для функции обмена сообщениями, — хранятся в ЕС (Supabase, Франкфурт, Германия). Tosvi управляется из Молдовы, но местонахождение оператора не означает, что данные хранятся в Молдове: данные остаются на хранении в ЕС.

Какое право применяется и требуется ли гарантия передачи по Главе V (или эквивалентная), зависит от того, где находятся Студия и её клиенты. Для молдавской студии, обслуживающей молдавских клиентов, применяется молдавское право, а хранение в ЕС является передачей в государство с надлежащим уровнем защиты данных — рутинной, не требующей Стандартных договорных положений. Для студии из ЕС (например, из Румынии) и её клиентов из ЕС применяется GDPR. Хотя данные хранятся в пределах ЕС (Supabase, Франкфурт), Tosvi действует из Молдовы — страны без решения ЕС об адекватности, — и её удалённый доступ к этим данным является трансграничной передачей, на которую распространяется Глава V GDPR. Эта передача осуществляется на основании Стандартных договорных положений в Приложении 3 (Приложение к Имплементационному решению Комиссии (ЕС) 2021/914, Модуль второй). Отдельно, если субобработчик действительно обрабатывает данные за пределами ЕС/ЕЭЗ, такая передача опирается на Стандартные договорные положения или эквивалентную гарантию (см. Приложение 1).

Функция обмена сообщениями использует Telegram, который является собственным каналом связи, который выбрал сам клиент, и самостоятельным получателем, а не субобработчиком Tosvi. В Telegram передаётся только содержимое сообщения, которое отправляет Студия, и идентификатор чата Telegram, используемый для адресации получателю; данные CRM (имя клиента, телефон, автомобиль, история, расчёты) в Telegram не передаются — они остаются в ЕС. Номер телефона клиента получается от Telegram при подключении и сохраняется, но никогда не отправляется обратно. Если содержимое сообщения передаётся в Telegram за пределы ЕЭЗ, такая передача осуществляется на основании статьи 49(1)(b) и (c) GDPR — как необходимая для исполнения договора с субъектом данных или в его интересах, поскольку клиент выбрал Telegram в качестве канала связи, — и регулируется собственной политикой конфиденциальности Telegram; Tosvi не заключает с Telegram Стандартные договорные положения. Копия, которую Tosvi хранит от имени Студии, остаётся в ЕС (Supabase, Франкфурт).

8. Обязанности и заверения контролёра

Студия гарантирует и заверяет, что:

1. у неё есть правовое основание для сбора и обработки вносимых ею персональных

данных, и она предоставила своим субъектам данных требуемую законом информацию о конфиденциальности;

1. её инструкции для Tosvi соответствуют применимому праву;
2. она без неоправданной задержки передаёт Tosvi любой запрос субъекта данных или

обращение органа, требующие содействия Tosvi;

1. она отвечает за определение того, применяется ли GDPR к её обработке (например,

потому что она учреждена в ЕС/ЕЭЗ или обрабатывает данные резидентов ЕС/ЕЭЗ), и за уведомление Tosvi в таких случаях, чтобы стороны могли внедрить любые дополнительные меры, требуемые GDPR (включая, где применимо, представителя в ЕС согласно статье 27 GDPR);

1. она отвечает за выбор в Сервисе таких сроков хранения данных, которые она

контролирует, которые являются законными по применимому к ней праву, — включая случаи, когда она выбирает отсутствие автоматического удаления или исключает отдельные записи из автоматического удаления, — и за удаление данных, которые ей больше не нужны. Tosvi предоставляет средства управления хранением и инструменты удаления; она не определяет, как долго хранятся данные Студии, и не удаляет данные Студии по собственной инициативе.

Студия несёт единоличную ответственность за правовое основание и за выполнение любого условия статьи 9 GDPR в отношении любых данных особых категорий или иным образом незаконных данных, которые она или её клиенты вносят через Сервис, в том числе через свободнотекстовую функцию обмена сообщениями, и не должна запрашивать или намеренно хранить такие данные. Это не ограничивает обязанности Tosvi как обработчика; Tosvi продолжает применять меры Приложения 2 и все свои обязанности по пункту 6 ко всем персональным данным, которые она обрабатывает, включая такие данные.

Студия возмещает Tosvi убытки и обеспечивает защиту от претензий от любых претензий, штрафов, санкций, ущерба, потерь или разумных расходов (включая судебные издержки), возникающих из нарушения Студией её обязанностей как контролёра — включая любое отсутствие правового основания или требуемого согласия, незаконные инструкции по обработке либо данные особых категорий или иным образом запрещённые данные, которые Студия или её клиенты запросили или внесли, — за исключением случаев, когда претензия возникает из собственного нарушения Tosvi настоящего DPA, небрежности или умышленного проступка. Это подтверждает, но не дублирует, возмещение, предусмотренное документом «Условия использования»; Tosvi взыскивает только один раз. Tosvi взаимно возмещает Студии убытки по претензиям, возникающим из нарушения Tosvi настоящего DPA.

9. Ответственность и применимое право

Совокупная общая ответственность каждой стороны по настоящему DPA (в том числе по любым Стандартным договорным положениям, заключённым в его рамках) подчиняется, засчитывается в счёт и регулируется ограничением ответственности и его исключениями, предусмотренными документом «Условия использования», — за исключением того, что ответственность Tosvi за её собственное нарушение обязанностей по безопасности согласно п. 6.3 / статье 32 GDPR ограничена отдельной более высокой суммой, равной большему из: трёх (3) размеров совокупных сумм, уплаченных Студией за двенадцать (12) месяцев до события, повлёкшего ответственность, или 5 000 евро, а не общим лимитом. Ничто в настоящем DPA или в документе «Условия использования» не ограничивает ответственность любой из сторон, причитающуюся непосредственно субъекту данных или надзорному органу (в том числе по Оговорке 12 Стандартных договорных положений), либо любую ответственность, которая не может быть ограничена согласно применимому законодательству о защите данных.

Это DPA регулируется законодательством Республики Молдова и, где применимо, GDPR.

Это DPA предоставляется на английском, русском и румынском языках; в случае противоречия преимущественную силу имеет румынская версия.

Приложение 1 — Субобработчики

Приложение 2 — Технические и организационные меры

• Шифрование при передаче (TLS) и при хранении.
• Изоляция данных между учётными записями на уровне строк базы данных (RLS); одна студия не может

получить доступ к данным другой.

• Медиафайлы осмотров — в частном хранилище, доступ только через кратковременные

ссылки с коротким сроком действия.

• Дополнительная защита входа: защита от ботов (Turnstile), проверка

скомпрометированных паролей, подтверждение e-mail.

• Проверка всех входящих данных; секреты хранятся в управляемом хранилище секретов

либо в конфигурации окружения, но никогда в исходном коде.

• Псевдонимизация: IP-адреса посетителей сайта усекаются и необратимо хешируются с

ежедневно обновляемым секретным ключом и используются исключительно для ограничения частоты запросов — необработанный IP-адрес никогда не сохраняется; из отчётов об ошибках персональные данные удаляются до передачи субобработчику мониторинга.

• Автоматические тесты, покрывающие правила изоляции данных между учётными записями и контроля доступа,

запускаются перед каждым развёртыванием, наряду с периодической проверкой безопасности и ежедневным автоматическим мониторингом журнала аудита на предмет аномального доступа.

• Журнал аудита действий (только добавление) без персональных данных клиентов.
• Доступ к рабочей системе есть только у администратора Tosvi.
• Все персональные данные хранятся в ЕС (Франкфурт); никакие копии не

кешируются, не скачиваются и для них не создаются резервные копии в Молдове. Доступ администратора Tosvi извне ЕС является удалённым, с учётными данными, по TLS и ограничен тем, что необходимо для предоставления Сервиса.

• Tosvi уведомит Студию о любом обязательном запросе государственного органа или

правоохранительных органов о персональных данных Студии и оспорит любой запрос, представляющийся незаконным, в той мере, в какой это допускается законом (в соответствии с Оговоркой 15 Стандартных договорных положений).

• Регулярные зашифрованные резервные копии с возможностью восстановления (через

хостинг-субобработчика).

• Периодическая проверка доступа и безопасности.
• Уведомление контролёра о нарушении персональных данных без неоправданной задержки.

Tosvi может периодически обновлять эти меры при условии, что обновление не приводит к существенному снижению общего уровня безопасности персональных данных Студии и в любом случае остаётся не менее защищённым, чем того требует статья 32 GDPR.

Приложение 3 — Стандартные договорные положения (ЕС, Модуль второй)

Если Студия учреждена в ЕС/ЕЭЗ либо её обработка иным образом подпадает под GDPR, и Tosvi обрабатывает данные Студии за пределами ЕС/ЕЭЗ, стороны заключают Стандартные договорные положения, содержащиеся в Приложении к Имплементационному решению Комиссии (ЕС) 2021/914, Модуль второй (Контролёр → Обработчик), включённые сюда посредством ссылки. Официальный текст положений — это Приложение к Имплементационному решению Комиссии (ЕС) 2021/914, опубликованное ЕС как официальные Стандартные договорные положения (официальный перевод на русский язык отсутствует, поскольку русский не является официальным языком ЕС); он применяется дословно, без изменений, и полностью предоставляется Студии при подключении. Положения заполняются следующим образом:

• Оговорка 9 (Субобработчики): Вариант 2, общее письменное разрешение;

предварительное уведомление об изменениях за 30 дней.

• Оговорка 11: необязательный компонент независимого разрешения споров не

применяется.

• Оговорка 17 (Применимое право) и Оговорка 18 (Выбор суда и юрисдикции): право и

суды государства-члена ЕС/ЕЭЗ, в котором учреждена Студия (экспортёр данных).

• Приложение I.A (Стороны): _Экспортёр данных_ — Студия (контролёр), чья

идентификация и контактные данные фиксируются при принятии ею настоящего DPA. _Импортёр данных_ — Petru Virtos, Antreprenor Independent, Cod fiscal 1026023032469, bd. Moscova 9/5 ap. 300, Chișinău MD-2068, Молдова; [email protected] (обработчик).

• Приложение I.B (Описание передачи): категории субъектов данных, персональных

данных, частота, характер, цель и срок хранения, изложенные в таблице «Сведения об обработке (кратко)» настоящего DPA. Данные особых категорий не предполагаются, но могут непреднамеренно возникнуть в функции обмена сообщениями, с учётом мер минимизации, короткого срока хранения и удаления, указанных в этой таблице.

• Приложение I.C (Компетентный надзорный орган): надзорный орган государства-члена,

в котором учреждена Студия (экспортёр данных).

• Приложение II (Технические и организационные меры): Приложение 2 настоящего DPA.
• Приложение III (Субобработчики): Приложение 1 настоящего DPA.

При любом противоречии между этими Положениями и остальной частью настоящего DPA в отношении ограниченной передачи преимущественную силу имеют эти Положения. Стороны заключают заполненные Положения (с заполненными Оговорками 17/18 и Приложениями I–III) при подключении, и запись о принятии, которую ведёт Tosvi, фиксирует согласие Студии с этим заполненным текстом.

Оценка воздействия передачи по Оговорке 14, подтверждающая эти Положения (у Молдовы нет решения ЕС об адекватности; данные хранятся в ЕС с только зашифрованным удалённым доступом; дополнительные меры в Приложении 2), составляется и поддерживается Tosvi и доступна Студии по запросу. Tosvi проведёт повторную оценку, если молдавское законодательство существенно изменится или будет принято решение ЕС об адекватности для Молдовы.

Подписи

Студия принимает настоящее DPA электронно при подключении, что фиксируется как доказательство (см. «Принятие» выше); копия с собственноручной подписью доступна по запросу на [email protected].