Anexă la Termenii și Condițiile

Acordul de Prelucrare a Datelor cu Caracter Personal

Anexă la Termenii și Condițiile de prestare a serviciilor TopHost.MD

Versiunea 1.1 · în vigoare de la 23 august 2026 · actualizată la 14 octombrie 2026

Încheiat în temeiul art. 28 din Legea nr. 195/2024 privind protecția datelor cu caracter personal

Publicat la: https://tophost.md/ro/page/dpa

Notă privind forma: Acest Acord face parte integrantă din Termenii și Condițiile TopHost.MD și se consideră încheiat în formă scrisă electronică (art. 28 alin. (8) din Legea nr. 195/2024) prin acceptarea Termenilor și Condițiilor la crearea contului sau la plasarea comenzii. La solicitarea Clientului, Acordul poate fi semnat și ca document separat, cu conținut identic.

Părțile

TopHost.MD este marca comercială sub care prestează servicii de găzduire următoarele societăți, fiecare fiind persoană juridică distinctă, înregistrată în Republica Moldova, cu sediul la adresa indicată:

IT Concept SRL, IDNO/cod fiscal 1010600017578, sediul: bd. Ștefan cel Mare și Sfânt 196, of. 6, Chișinău, Republica Moldova;

DATACOM SYSTEMS S.R.L., IDNO/cod fiscal 1023600021236, sediul: bd. Ștefan cel Mare și Sfânt 196, of. 6, Chișinău, Republica Moldova;

SKYHOST SOLUTIONS S.R.L., IDNO/cod fiscal 1024600035715, sediul: bd. Ștefan cel Mare și Sfânt 196, of. 6, Chișinău, Republica Moldova;

TopHost SRL, IDNO/cod fiscal 1016600001544, sediul: str. Nicolae H. Costin 57, ap. 23, Chișinău, Republica Moldova;

Prestatorul („Persoana împuternicită”) în raport cu Clientul este acea societate dintre cele de mai sus care este indicată în contul de client TopHost.MD și pe facturile emise Clientului pentru Serviciile respective. Numai această societate este parte la prezentul Acord față de Clientul respectiv și răspunde față de acesta; celelalte societăți nu dobândesc drepturi și nu își asumă obligații față de Client prin prezentul Acord. Societățile enumerate nu formează o persoană juridică comună și nu răspund solidar. Dacă, pentru aceleași Servicii, facturarea este preluată de o altă societate dintre cele enumerate, Clientul este informat prin contul de client și prin factură, iar prezentul Acord continuă, cu conținut identic, între Client și noua societate, fără a fi necesar un act adițional.

Date de contact comune pentru protecția datelor (valabile pentru toate societățile): email privacy@tophost.md, tel. +373 22 11-10-80.

și

Clientul – persoana juridică sau fizică identificată în contul de client TopHost.MD, denumită în continuare „Clientul” sau „Operatorul”,

denumite împreună „Părțile”, au convenit următoarele:

1. Definiții

Termenii „date cu caracter personal”, „prelucrare”, „operator”, „persoană împuternicită de operator”, „persoană vizată”, „încălcarea securității datelor cu caracter personal” și „autoritate de supraveghere” au înțelesul din art. 4 al Legii nr. 195/2024 („Legea”). Prezentul Acord acoperă exclusiv serviciile prestate sub brandul TopHost.MD pentru activitatea Prestatorului din Republica Moldova.

„Servicii” înseamnă serviciile comandate de Client conform Termenilor și Condițiilor: găzduire web partajată, găzduire email, servere virtuale (VPS), servere dedicate, înregistrarea și administrarea numelor de domeniu, certificate SSL, backup și alte servicii conexe.

„Datele Clientului” înseamnă datele cu caracter personal pe care Clientul sau utilizatorii săi le încarcă, stochează, transmit sau prelucrează prin intermediul Serviciilor, în calitate de operator sau de persoană împuternicită a unui terț, inclusiv logurile de acces ale domeniilor Clientului generate de Servicii.

„Sub-împuternicit” înseamnă orice persoană împuternicită angajată de Prestator pentru a prelucra Datele Clientului în numele Clientului.

2. Obiectul și rolurile

1. Prezentul Acord reglementează prelucrarea Datelor Clientului de către Prestator în numele Clientului, în cadrul prestării Serviciilor. Elementele prevăzute de art. 28 alin. (3) din Lege – obiectul, durata, natura și scopul prelucrării, tipul de date și categoriile de persoane vizate – sunt descrise în Anexa 1.

2. În raport cu Datele Clientului, Clientul este operator (sau persoană împuternicită a unui alt operator, caz în care Prestatorul acționează ca sub-împuternicit), iar Prestatorul este persoană împuternicită.

3. Prezentul Acord nu se aplică datelor cu caracter personal pe care Prestatorul le prelucrează în calitate de operator independent (datele de cont, facturare, suport, loguri de securitate, date de înregistrare a domeniilor). Acestea sunt reglementate de Politica de confidențialitate TopHost.MD.

4. Clientul garantează că are temei legal pentru prelucrarea Datelor Clientului, că a informat persoanele vizate conform legii și că instrucțiunile sale nu încalcă Legea. Clientul este singurul responsabil pentru conținutul pe care îl stochează și pentru configurarea serviciilor sale (inclusiv aplicații, scripturi, drepturi de acces, politici de parole).

5. Securitatea aplicațiilor Clientului. Clientul poartă întreaga responsabilitate pentru aplicațiile web pe care le instalează și rulează prin Servicii: sisteme CMS, plugin-uri, teme, extensii și orice alt software propriu, care trebuie să fie licențiate și menținute actualizate la versiuni fără vulnerabilități cunoscute. Dacă Prestatorul detectează și notifică Clientului o vulnerabilitate, o infectare sau o versiune expusă, Clientul este obligat să remedieze (actualizare, curățare, dezactivare) în termen de 48 de ore de la notificare; în caz contrar, Prestatorul poate suspenda contul sau componenta afectată pentru a proteja ceilalți clienți și infrastructura. Compromiterile, infectările și încălcările securității Datelor Clientului care rezultă din aplicații neactualizate, nelicențiate, vulnerabile ori configurate nesigur, din parole slabe sau din conduita Clientului ori a utilizatorilor săi sunt imputabile exclusiv Clientului, nu constituie încălcare a obligațiilor Prestatorului și nu dau Clientului dreptul de a solicita auditul prevăzut la art. 8, atunci când cauza este în mod evident de partea Clientului.

3. Obligațiile Prestatorului (art. 28 alin. (3) din Lege)

Prestatorul se obligă:

1. Instrucțiuni documentate (lit. a)). Să prelucreze Datele Clientului numai pe baza instrucțiunilor documentate ale Clientului, inclusiv în ceea ce privește transferurile către state terțe, cu excepția cazului în care legislația Republicii Moldova impune prelucrarea; în acest caz Prestatorul informează Clientul înainte de prelucrare, cu excepția situației în care legea interzice informarea din motive importante de interes public. Constituie instrucțiuni documentate: Termenii și Condițiile, prezentul Acord, comanda și configurarea Serviciilor, setările efectuate de Client în panourile de control (cPanel, WHMCS, panou VPS) și solicitările transmise prin sistemul de tichete. Prestatorul informează imediat Clientul dacă o instrucțiune încalcă, în opinia sa, Legea.

2. Confidențialitate (lit. b)). Să se asigure că persoanele autorizate să prelucreze Datele Clientului s-au angajat în scris să respecte confidențialitatea și au acces la Datele Clientului doar în măsura necesară pentru prestarea Serviciilor, suport tehnic, securitate și întreținere.

3. Securitate (lit. c), art. 32). Să implementeze măsurile tehnice și organizatorice descrise în Anexa 2, asigurând un nivel de securitate adecvat riscului. Prestatorul poate actualiza măsurile cu condiția să nu reducă nivelul general de protecție.

4. Sub-împuterniciți (lit. d)). Să respecte condițiile de la art. 5 al prezentului Acord.

5. Asistență pentru drepturile persoanelor vizate (lit. e)). Ținând seama de natura prelucrării, să ofere Clientului asistență prin măsuri tehnice și organizatorice adecvate, în măsura în care acest lucru este posibil, pentru îndeplinirea obligației Clientului de a răspunde cererilor persoanelor vizate (art. 15–22 din Lege). Întrucât Clientul deține control deplin asupra Datelor Clientului prin panourile de control, asistența constă, de regulă, în menținerea funcționalităților de acces, export, modificare și ștergere. Dacă Prestatorul primește direct o cerere a unei persoane vizate referitoare la Datele Clientului, o redirecționează către Client fără a răspunde pe fond, cu excepția cazului în care legea impune altfel.

6. Asistență la securitate, incidente și DPIA (lit. f), art. 32–36). Să acorde Clientului asistență pentru respectarea obligațiilor privind securitatea, notificarea încălcărilor, evaluarea impactului și consultarea prealabilă a autorității, ținând seama de natura prelucrării și de informațiile aflate la dispoziția Prestatorului. Asistența include furnizarea, la cererea Clientului transmisă prin tichet din contul de client, a logurilor de acces ale domeniilor Clientului pentru perioada în care acestea sunt păstrate (180 de zile, Anexa 2 lit. B), exclusiv pentru domeniile proprii ale Clientului.

7. Ștergere sau returnare (lit. g)). La încetarea Serviciilor, la alegerea Clientului, să șteargă sau să returneze toate Datele Clientului și să șteargă copiile existente, cu excepția cazului în care legea impune stocarea. Obligația de returnare se consideră îndeplinită prin punerea la dispoziția Clientului, pe toată durata Serviciilor, a funcțiilor de export și backup din panoul de control, prin care Clientul își poate copia singur toate Datele Clientului; Prestatorul nu pregătește și nu transmite date pe alte căi. Clientul este singurul responsabil să își exporte datele înainte de expirarea Serviciilor. Modalitatea și termenele sunt prevăzute la art. 7.

8. Demonstrarea conformității (lit. h)). Să pună la dispoziția Clientului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din Lege și să permită și să contribuie la audituri, conform art. 8.

4. Încălcarea securității datelor

1. Prestatorul notifică Clientul fără întârzieri nejustificate, și în orice caz în cel mult 48 de ore de la data la care a luat cunoștință de o încălcare a securității care afectează Datele Clientului (art. 33 alin. (2) din Lege), la adresa de email a persoanei de contact din contul de client.

2. Notificarea cuprinde, în măsura în care informațiile sunt disponibile: natura încălcării, categoriile și numărul aproximativ de persoane vizate și de înregistrări afectate, consecințele probabile, măsurile luate sau propuse și datele de contact ale persoanei responsabile. Informațiile pot fi furnizate în etape.

3. Clientul este responsabil pentru notificarea autorității de supraveghere (în cel mult 72 de ore, art. 33 alin. (1)) și a persoanelor vizate (art. 34), în calitate de operator. Prestatorul nu notifică autoritatea în numele Clientului, cu excepția cazului în care încălcarea afectează și date pentru care Prestatorul este operator.

4. Nu constituie încălcare a securității, în sensul prezentului articol, tentativele de atac respinse (scanări, tentative de autentificare eșuate, atacuri DDoS mitigate fără acces la date) și nici incidentele cauzate exclusiv de vulnerabilități ale aplicațiilor sau parolelor Clientului, pe care Prestatorul totuși le comunică Clientului atunci când le detectează.

5. Sub-împuterniciții

1. Clientul acordă Prestatorului o autorizație generală scrisă (art. 28 alin. (2) din Lege) pentru angajarea sub-împuterniciților enumerați în Anexa 3, publicată și actualizată pe pagina Acordului, la https://tophost.md/ro/page/dpa.

2. Prestatorul informează Clientul cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unui sub-împuternicit, prin email și/sau prin anunț în contul de client. Clientul poate obiecta, în scris și motivat, în termen de 30 de zile. Dacă Părțile nu ajung la o soluție, Clientul poate rezilia Serviciile afectate, fără penalități, cu restituirea pro-rata a sumelor plătite în avans.

3. Prestatorul impune fiecărui sub-împuternicit, prin contract scris, obligații de protecție a datelor cel puțin echivalente celor din prezentul Acord (art. 28 alin. (4)) și rămâne pe deplin răspunzător față de Client pentru îndeplinirea obligațiilor de către sub-împuternicit.

4. Nu sunt sub-împuterniciți: registrele și registrarii de nume de domeniu (STISC (I.P. „Serviciul Tehnologia Informației și Securitate Cibernetică” – registrul național .md) pentru .md, ROTLD pentru .ro, registrarii acreditați ICANN pentru gTLD), furnizorii de certificate SSL și procesatorii de plăți, care acționează ca operatori independenți în temeiul propriilor obligații legale sau contractuale, precum și terții cărora Clientul le transmite el însuși date prin Servicii.

6. Transferuri internaționale

1. Serviciile de găzduire web, email, VPS și servere dedicate sunt prestate exclusiv pe teritoriul Republicii Moldova, pe servere proprii ale Prestatorului, amplasate în datacenterul propriu din Chișinău (str. Alba Iulia 75, bloc 12), la care are acces exclusiv personalul autorizat al Prestatorului. Datele Clientului nu sunt stocate în afara Republicii Moldova.

2. Prestatorul nu transferă Datele Clientului în afara Republicii Moldova. Prin excepție, transferuri pot avea loc numai: (a) la instrucțiunea expresă a Clientului (ex. migrarea contului către/de la un server din străinătate); (b) în cadrul înregistrării numelor de domeniu internaționale și al emiterii certificatelor SSL, către registrele, registrarii și autoritățile de certificare competente, care acționează ca operatori independenți, transferul fiind necesar pentru executarea contractului (art. 49 din Lege).

7. Durata, ștergerea și returnarea datelor

1. Prezentul Acord se aplică pe toată durata prestării Serviciilor și încetează odată cu ștergerea Datelor Clientului. Acordul nu are un termen fix: se aplică tuturor Serviciilor active în contul de client la data încheierii, precum și oricăror Servicii comandate, adăugate, modificate sau prelungite ulterior în același cont, fără a fi necesară semnarea unui act adițional.

2. Returnarea datelor. Pe toată durata Serviciilor, până la data expirării acestora, Clientul poate oricând să își genereze și să își copieze (exporte) toate Datele Clientului prin funcțiile de backup/export din panoul de control (cPanel) sau să le șteargă el însuși. Aceasta constituie unica modalitate de returnare a datelor; Prestatorul nu are obligația de a pregăti, extrage sau transmite Datele Clientului pe alte căi. Clientul este singurul responsabil pentru copierea (backup-ul) propriilor date înainte de expirarea Serviciilor.

3. Suspendarea și ștergerea după expirare. Dacă Serviciile nu sunt prelungite de Client, contul se suspendă în termen de 5 zile de la data expirării (accesul este blocat, datele rămân intacte) și rămâne suspendat pe server timp de 14 zile, perioadă în care reactivarea prin achitare restabilește integral serviciul. După această perioadă, contul este șters de pe server.

4. Copia de rezervă de restaurare. După ștergerea contului de pe server, o copie de rezervă din care este posibilă restabilirea integrală a contului se păstrează timp de cel mult 3 luni de la data expirării Serviciilor, cu aplicarea acelorași măsuri de securitate și confidențialitate. În acest termen, Clientul poate solicita restabilirea contului din backup (cu achitarea serviciului conform Termenilor și Condițiilor). Dacă în acest termen Clientul nu solicită restabilirea, datele sunt șterse definitiv, fără posibilitate de restabilire.

5. Ștergerea anticipată. Clientul poate șterge Datele Clientului oricând, înainte de expirarea Serviciilor, prin mijloace proprii: (a) eliminarea fișierelor, bazelor de date și a conturilor de email direct din panoul de control; sau (b) anularea serviciului din contul de client, folosind opțiunea de anulare (imediată sau la expirarea termenului achitat). La anularea imediată, contul este șters automat de pe server; la anularea la expirare se aplică termenele de la punctele 3–4 de mai sus. Cererea de anulare înregistrată în contul de client constituie instrucțiune documentată de ștergere în sensul art. 28 alin. (3) lit. a) din Lege. Copiile de rezervă aferente se elimină la următoarea rotație automată; în cazul anulării imediate, păstrarea unei copii de restaurare nu este garantată.

6. VPS. Datele de pe discul virtual se șterg la eliberarea resurselor, după aceleași termene de suspendare; copiile de rezervă ale VPS (dacă serviciul include sau Clientul a comandat backup) se păstrează cel mult 1 lună de la data expirării Serviciilor, termen în care Clientul poate solicita restabilirea; după acest termen, ștergerea este definitivă, fără posibilitate de restabilire.

7. Servere dedicate. Pentru serverele dedicate nu se oferă copii de rezervă. Dacă Clientul nu solicită reluarea Serviciilor, datele de pe server sunt eliminate definitiv în termen de cel mult 14 zile de la data expirării Serviciilor, fără posibilitate de restabilire. Clientul este singurul responsabil pentru copiile de rezervă ale datelor de pe serverul dedicat.

8. Excepție legală și loguri. Prestatorul poate păstra, după aceste termene, doar datele pe care este obligat prin lege să le stocheze (ex. date contabile), cu menținerea confidențialității. Logurile de acces ale domeniilor Clientului și logurile de securitate aferente contului se păstrează 180 de zile de la generare, indiferent de data încetării Serviciilor, după care se șterg automat.

8. Informații și audit

1. Prestatorul pune la dispoziția Clientului, la cerere: prezentul Acord, descrierea măsurilor de securitate (Anexa 2), lista sub-împuterniciților, politica de backup și retenție, precum și, unde există, rapoarte de audit sau certificări ale datacenterului.

2. Ordinea de escaladare. Auditul se desfășoară în trepte, trecerea la treapta următoare fiind permisă doar dacă treapta anterioară nu a fost, în mod obiectiv și motivat în scris, suficientă: (1) furnizarea documentației și completarea unui chestionar de securitate; (2) sesiune la distanță (videoconferință) cu personalul Prestatorului, cu demonstrații care nu expun date ale altor clienți; (3) inspecție la fața locului, ca măsură excepțională.

3. Condițiile oricărui audit: cel mult o dată într-o perioadă de 12 luni (suplimentar doar după o încălcare a securității care a afectat Clientul și care nu se datorează aplicațiilor, configurărilor sau conduitei Clientului – art. 2.5 –, sau la cererea motivată a autorității de supraveghere); notificare prealabilă scrisă de 30 de zile, cu convenirea în prealabil, în scris, a domeniului, duratei (maximum o zi lucrătoare), datei și listei persoanelor participante; desfășurare în timpul programului de lucru, fără a perturba operarea serviciilor.

4. Auditorul. Auditul poate fi efectuat de Client sau de un auditor independent mandatat de acesta, care: nu este concurent al Prestatorului și nu prestează servicii pentru un concurent al Prestatorului; semnează în prealabil un angajament de confidențialitate direct cu Prestatorul; se legitimează și acționează doar în limitele mandatului scris al Clientului.

5. Limitele auditului. Auditul nu include și nu poate impune: (a) accesul logic sau fizic la sisteme, servere sau medii partajate cu alți clienți ori la datele altor clienți – pentru acestea se furnizează exclusiv documentație; (b) accesul, sub orice formă și în orice condiții, la panourile și interfețele de administrare ale Prestatorului (WHM, WHMCS, hipervizor, console de management) – acest acces este exclus absolut, pentru orice client și orice auditor, și nu poate face obiectul niciunei derogări; (c) copierea de date sau instalarea de instrumente în sistemele Prestatorului; (d) rularea de scanări sau teste de penetrare – acestea sunt permise doar în baza unui acord scris separat, exclusiv asupra serviciilor proprii ale Clientului (site-ul sau VPS-ul său) și în niciun caz asupra infrastructurii, panourilor sau sistemelor partajate ale Prestatorului; (e) divulgarea de informații care ar periclita securitatea Prestatorului sau a terților (parole, chei, configurații de firewall, arhitectura detaliată a rețelei). Dovezile se prezintă exclusiv de către personalul Prestatorului, sub forma de politici, extrase, capturi de ecran sau demonstrații anonimizate, de pe echipamentele Prestatorului.

6. Accesul fizic în datacenter. Pentru serviciile prestate pe infrastructura proprie a Prestatorului (găzduire partajată, email, VPS, servere dedicate), inspecția la fața locului nu se oferă – treapta (3) se realizează exclusiv prin documentație, dovezi foto/video prezentate de Prestator și, după caz, certificări sau rapoarte de audit independent, întrucât accesul fizic al unui client în zona serverelor partajate ar constitui el însuși un risc de securitate pentru ceilalți clienți. Accesul fizic poate fi relevant și acordat doar în cadrul unui eventual serviciu de colocare a echipamentelor proprii ale Clientului, exclusiv la echipamentele acestuia, însoțit permanent de personalul Prestatorului, fără fotografiere/filmare a zonelor comune.

7. Costuri. Clientul suportă propriile costuri și pe cele ale auditorului său. Timpul personalului Prestatorului peste 4 ore cumulate per audit (pregătire, chestionare, sesiuni) se facturează la tariful orar de 350 lei/oră, comunicat în prealabil.

8. Rezultatele. Raportul de audit este confidențial, se transmite integral și Prestatorului și nu poate fi divulgat terților fără acordul scris al acestuia. Eventualele neconformități constatate se remediază de Prestator într-un termen rezonabil convenit; remedierea încheie auditul.

9. Prestatorul informează Clientul dacă autoritatea de supraveghere efectuează o inspecție care vizează Datele Clientului, în măsura permisă de lege.

9. Solicitări ale autorităților

Dacă Prestatorul primește de la o autoritate publică (organ de urmărire penală, instanță, CNPDCP etc.) o solicitare obligatorie de acces la Datele Clientului sau de conservare a acestora, verifică legalitatea solicitării, furnizează doar datele strict solicitate și informează Clientul, cu excepția cazului în care legea interzice informarea. Prestatorul documentează toate solicitările de acest tip.

10. Răspunderea

1. Fiecare Parte răspunde pentru prejudiciile cauzate prin nerespectarea obligațiilor care îi revin conform Legii și prezentului Acord. Prestatorul răspunde doar pentru prejudiciile rezultate din prelucrarea efectuată cu încălcarea obligațiilor specifice persoanei împuternicite sau a instrucțiunilor legale ale Clientului.

2. Răspunderea totală a Prestatorului în temeiul prezentului Acord este supusă limitărilor din Termenii și Condițiile TopHost.MD, în măsura permisă de lege; limitările nu se aplică prejudiciilor cauzate cu intenție sau din culpă gravă.

3. Clientul despăgubește Prestatorul pentru orice sancțiune sau pretenție rezultată din instrucțiunile Clientului, din lipsa temeiului legal al prelucrării sau din conținutul stocat de Client.

11. Dispoziții finale

1. Prezentul Acord prevalează asupra Termenilor și Condițiilor în privința prelucrării Datelor Clientului. În rest, Termenii și Condițiile rămân aplicabile.

2. Prestatorul poate actualiza prezentul Acord pentru a reflecta modificări legislative sau ale Serviciilor, cu notificarea Clientului cu 30 de zile înainte; modificările nu pot reduce nivelul de protecție. Versiunea curentă, cu data intrării în vigoare, este publicată la https://tophost.md/ro/page/dpa.

3. Acordul este guvernat de legislația Republicii Moldova. Litigiile se soluționează pe cale amiabilă, iar în caz de eșec, de instanțele competente din Chișinău.

4. Acordul se consideră încheiat în formă scrisă electronică prin acceptarea Termenilor și Condițiilor (art. 28 alin. (8) din Lege). Prestatorul păstrează evidența acceptării (data, versiunea, identificatorul contului). Dacă este semnat ca document separat, data semnării este data încheierii, iar conținutul este identic cu versiunea publicată.

5. Contractul de bază. Raportul contractual dintre Părți în baza căruia se prestează Serviciile este constituit din Termenii și Condițiile TopHost.MD acceptate în contul de client (contract în formă scrisă electronică), împreună cu comenzile plasate în cont. Prezentul Acord nu este condiționat de existența unui contract semnat separat pe suport de hârtie; dacă un astfel de contract există, Acordul îl completează.

Anexa 1 – Descrierea prelucrării (art. 28 alin. (3) din Lege)

Obiectul prelucrării. Prestarea Serviciilor de găzduire web, email, VPS/dedicat, backup și servicii conexe, care implică stocarea, transmiterea și punerea la dispoziție a Datelor Clientului pe infrastructura Prestatorului.

Durata prelucrării. Pe durata Serviciilor, plus perioada de ștergere de la art. 7.

Natura prelucrării. Stocare, găzduire, transmitere (trafic web și email), backup și restaurare, copiere pentru migrare la cererea Clientului, ștergere. Generarea și păstrarea logurilor de acces ale domeniilor Clientului (adrese IP ale vizitatorilor, resurse accesate, data/ora) pentru 180 de zile, puse la dispoziția Clientului în panoul de control și la cerere. Prestatorul nu analizează, nu indexează și nu utilizează conținutul Datelor Clientului în scopuri proprii; accesul uman are loc doar pentru suport tehnic la cererea Clientului, pentru securitate (ex. scanare malware automată) sau în baza legii.

Scopul prelucrării. Exclusiv executarea Serviciilor comandate de Client, conform instrucțiunilor acestuia.

Tipul de date cu caracter personal. Determinat de Client. În mod tipic: date de identificare și contact (nume, email, telefon, adresă), date de cont ale utilizatorilor site-urilor (nume de utilizator, parole criptate), conținutul corespondenței electronice, date de tranzacții online, adrese IP ale vizitatorilor (inclusiv în logurile de acces), orice alte date stocate de Client. Clientul este responsabil dacă stochează categorii speciale de date (art. 9) sau date privind condamnări penale (art. 10) și trebuie să aplice măsuri suplimentare (ex. criptare la nivel de aplicație).

Categoriile de persoane vizate. Determinate de Client. În mod tipic: clienții, utilizatorii, abonații, vizitatorii site-urilor Clientului, angajații și partenerii Clientului, corespondenții prin email.

Locația prelucrării. Exclusiv Republica Moldova – datacenterul propriu TopHost.MD, str. Alba Iulia 75, bloc 12, Chișinău.

Persoana de contact a Prestatorului. Igor Russu, administrator / responsabil protecția datelor (IT Concept SRL, DATACOM SYSTEMS S.R.L., SKYHOST SOLUTIONS S.R.L.); Maxim Cartin, administrator (TopHost SRL). Contact comun: privacy@tophost.md, +373 22 11-10-80.

Anexa 2 – Măsuri tehnice și organizatorice de securitate (art. 32)

Prestatorul menține următoarele măsuri, adaptate naturii serviciilor de găzduire. Măsurile aplicabile conținutului aplicațiilor și conturilor Clientului (parole, actualizarea CMS, drepturi de acces ale utilizatorilor proprii) rămân în responsabilitatea Clientului.

A. Securitate fizică și infrastructură

• Servere proprii, amplasate în datacenterul propriu al Prestatorului din Chișinău, cu acces fizic controlat, alimentare redundantă (UPS/generator), climatizare și sistem antiincendiu activ (detectare și stingere automată).

• Clădirea în care este amplasat datacenterul dispune de pază fizică permanentă (24/24) și este echipată cu sistem de supraveghere video.

• Acces fizic la echipamente exclusiv pentru personalul autorizat al Prestatorului, pe bază de listă nominală; niciun terț nu are acces la servere.

B. Controlul accesului logic și jurnalizarea

• Acces administrativ la servere exclusiv prin SSH cu chei și/sau autentificare multifactor, de pe adrese IP autorizate; conturi nominale, fără conturi partajate; principiul privilegiului minim.

• Autentificare multifactor disponibilă (și recomandată) pentru panourile Clientului (WHMCS, cPanel); politici de parole puternice; blocarea automată a tentativelor repetate (cPHulk, fail2ban).

• Izolarea conturilor pe serverele partajate: CloudLinux CageFS și LVE (limite per cont, sistem de fișiere virtualizat), astfel încât un cont nu poate accesa datele altui cont; pentru VPS – izolare la nivel de hipervizor (Proxmox KVM).

• Jurnalizarea accesului administrativ și a operațiunilor relevante; revizuirea drepturilor de acces la plecarea personalului.

• Logurile de acces ale domeniilor Clientului (web, inclusiv SSL): logul curent este disponibil Clientului în cPanel (Metrics → Raw Access); o copie comprimată a fiecărei zile se arhivează automat pe server, într-o zonă accesibilă exclusiv administratorilor Prestatorului, și se păstrează 180 de zile, după care se șterge automat. Logurile se furnizează Clientului la cerere (art. 3.6). Logurile de autentificare, de email și de securitate ale serverului se păstrează de asemenea 180 de zile.

C. Protecția datelor în tranzit și în repaus

• Certificate SSL/TLS gratuite (AutoSSL / Let’s Encrypt) pentru toate domeniile găzduite; TLS pentru webmail, IMAP/POP/SMTP, FTP (FTPS/SFTP) și panourile de control.

• Parolele utilizatorilor stocate doar în formă hash; copiile de rezervă stocate pe medii cu acces restricționat.

D. Protecție împotriva atacurilor și malware

• Firewall de rețea și la nivel de server; detectarea atacurilor DDoS (FastNetMon) cu alertare și protecție anti-DDoS la nivel de rețea prin Voxility (filtrarea/curățarea traficului în caz de atac, înainte ca acesta să ajungă la serverele Prestatorului), serviciu contractat prin furnizorul local de conectivitate al Prestatorului.

• Imunify360 pe serverele de găzduire partajată: firewall aplicativ (WAF) cu reguli ModSecurity, protecție proactivă permanentă (blocarea în timp real a execuției de cod malițios), scanare antimalware completă efectuată săptămânal, plus scanarea automată a fișierelor noi/modificate, blocare bot-uri rău intenționate și protecție brute-force.

• Transparență pentru Client: în cPanel, Clientul are acces în timp real la rapoartele de securitate ale contului său (fișiere infectate detectate, acțiuni de curățare, probleme de securitate), putând urmări și remedia direct starea propriului cont.

• Filtrare antispam/antivirus pentru email (SpamAssassin, antivirus la nivel de server), SPF/DKIM/DMARC disponibile pentru domeniile Clientului.

• Actualizări de securitate aplicate regulat la sistemul de operare, kernel (KernelCare/CloudLinux), panouri de control și componentele stivei (LiteSpeed, PHP, MariaDB).

E. Disponibilitate, reziliență și backup

• Copii de rezervă automate ale conturilor de găzduire partajată, generate prin JetBackup în cicluri incrementale de 24–72 de ore (în funcție de server și de modul de arhivare) și stocate pe două servere de backup separate de serverele de producție; copiile sunt păstrate și oferă acces la restabilire timp de cel puțin 30 de zile; restaurarea este disponibilă direct de către Client, self-service, din cPanel.

• Pentru VPS (dacă serviciul include sau Clientul a comandat backup): copii de rezervă automate — 3 copii reînnoite prin rotație, păstrate 7 zile — stocate pe un server dedicat de stocare a backupurilor (Proxmox Backup Server, PBS), separat de nodurile de producție; restaurarea se efectuează la cererea Clientului, prin tichet. În lipsa serviciului de backup, Clientul este responsabil pentru propriile copii de rezervă.

• Pe serverele de găzduire partajată și pe nodurile VPS sunt utilizate exclusiv discuri în configurație RAID 10, pentru a asigura atât performanța, cât și toleranța la defecțiuni: datele rămân disponibile și intacte la defectarea unui disc, care poate fi înlocuit fără întreruperea serviciului.

• Monitorizare permanentă a serverelor și a rețelei (Zabbix, Grafana, alerte automate), proceduri de restaurare testate periodic; redundanță hardware suplimentară (surse de alimentare duble, componente hot-swap).

F. Măsuri organizatorice

• Angajamente de confidențialitate semnate de tot personalul cu acces la date; instruire periodică privind protecția datelor; instrucțiune internă pentru suport și administratori.

• Procedură de gestionare a incidentelor de securitate cu termene de notificare; registru al incidentelor.

• Politică de backup și retenție; ștergere sigură a datelor la încetarea serviciilor și la dezafectarea mediilor de stocare.

• Accesul personalului la conținutul conturilor Clientului numai la solicitarea Clientului (tichet) sau în caz de incident de securitate, cu consemnare.

• Revizuirea anuală a măsurilor de securitate (art. 32 alin. (1) lit. d)).

Anexa 3 – Lista sub-împuterniciților

Versiunea curentă este publicată pe pagina Acordului, la https://tophost.md/ro/page/dpa. Data ultimei actualizări: 14 octombrie 2026. Infrastructura (servere, datacenter) este deținută și operată integral de societățile care operează sub marca TopHost.MD, în Republica Moldova; niciun terț din afara acestora nu are acces la echipamente sau la date.

Sub-împuterniciți autorizați: celelalte societăți care operează sub marca TopHost.MD, enumerate la secțiunea „Părțile”, împreună cu personalul acestora – în măsura în care administrarea infrastructurii comune și suportul tehnic pentru Serviciile Clientului sunt asigurate de o altă societate decât Prestatorul indicat pe factură (administrare infrastructură, suport tehnic); date prelucrate: toate Datele Clientului, în limita necesară; locație: Republica Moldova. Aceste societăți sunt supuse acelorași obligații de confidențialitate și securitate ca Prestatorul (art. 5.3).

Operatori independenți (nu sub-împuterniciți) cu care Prestatorul partajează date în executarea contractului: STISC (registrul național .md, nic.md), ROTLD (registrul .ro), Enom (registrar gTLD), NETIM (registrar extensii europene), autoritățile de certificare SSL (Let’s Encrypt; Sectigo, RapidSSL, GeoTrust prin resellerul GoGetSSL), procesatorii de plăți Bpay, RunPay și MAIB – aceștia prelucrează datele Clientului (ca persoană), nu Datele Clientului (conținutul găzduit), și sunt descriși în Politica de confidențialitate. Furnizorii de conectivitate la internet (operatori locali de comunicații electronice din Republica Moldova) asigură exclusiv transportul traficului („simplă transmitere”), fără acces la conținutul Datelor Clientului, acționează în baza propriei legislații privind comunicațiile electronice și nu sunt sub-împuterniciți.

Semnarea ca document separat

Prezentul Acord se încheie în formă scrisă electronică prin acceptarea Termenilor și Condițiilor în contul de client și nu necesită semnare separată. Clienții care au nevoie de un exemplar semnat (de exemplu pentru auditul propriu sau pentru clienții lor) pot solicita, printr-un tichet din contul de client, versiunea semnabilă a Acordului, cu conținut identic; aceasta se semnează cu semnătură electronică (MSign/MPass) sau olograf și se contrasemnează de Prestator în cel mult 3 zile lucrătoare.