Соглашение об обработке персональных данных

Приложение к Условиям предоставления услуг TopHost.MD

Версия 1.1 · действует с 23 августа 2026 г. · обновлено 14 октября 2026 г.

Заключено на основании ст. 28 Закона № 195/2024 о защите персональных данных

Опубликовано по адресу: https://tophost.md/ru/page/dpa

Примечание о форме: настоящее Соглашение является неотъемлемой частью Условий предоставления услуг TopHost.MD и считается заключённым в электронной письменной форме (ч. (8) ст. 28 Закона № 195/2024) путём принятия Условий при создании аккаунта или при оформлении заказа. По запросу Клиента Соглашение может быть подписано и как отдельный документ с идентичным содержанием. В случае расхождений между языковыми версиями преимущественную силу имеет версия на румынском языке, опубликованная по адресу https://tophost.md/ro/page/dpa.

Стороны

TopHost.MD — торговая марка, под которой услуги хостинга предоставляют следующие общества, каждое из которых является самостоятельным юридическим лицом, зарегистрированным в Республике Молдова, с местонахождением по указанному адресу:

IT Concept SRL, IDNO/фискальный код 1010600017578, местонахождение: бул. Штефан чел Маре ши Сфынт 196, оф. 6, Кишинёв, Республика Молдова;

DATACOM SYSTEMS S.R.L., IDNO/фискальный код 1023600021236, местонахождение: бул. Штефан чел Маре ши Сфынт 196, оф. 6, Кишинёв, Республика Молдова;

SKYHOST SOLUTIONS S.R.L., IDNO/фискальный код 1024600035715, местонахождение: бул. Штефан чел Маре ши Сфынт 196, оф. 6, Кишинёв, Республика Молдова;

TopHost SRL, IDNO/фискальный код 1016600001544, местонахождение: ул. Николае Х. Костин 57, кв. 23, Кишинёв, Республика Молдова;

Исполнителем («Обработчиком», лицом, уполномоченным оператором) по отношению к Клиенту является то из перечисленных выше обществ, которое указано в аккаунте клиента TopHost.MD и в счетах, выставленных Клиенту за соответствующие Услуги. Только это общество является стороной настоящего Соглашения по отношению к данному Клиенту и несёт перед ним ответственность; остальные общества не приобретают прав и не принимают на себя обязательств перед Клиентом в силу настоящего Соглашения. Перечисленные общества не образуют единого юридического лица и не несут солидарной ответственности. Если выставление счетов за те же Услуги переходит к другому обществу из числа перечисленных, Клиент уведомляется через аккаунт клиента и счёт, а настоящее Соглашение продолжает действовать с идентичным содержанием между Клиентом и новым обществом без необходимости заключения дополнительного соглашения.

Общие контактные данные по вопросам защиты данных (действительны для всех обществ): email privacy@tophost.md, тел. +373 22 11-10-80.

Клиент — юридическое или физическое лицо, идентифицированное в аккаунте клиента TopHost.MD, именуемое в дальнейшем «Клиент» или «Оператор»,

совместно именуемые «Стороны», договорились о нижеследующем:

1. Определения

Термины «персональные данные», «обработка», «оператор», «лицо, уполномоченное оператором (обработчик)», «субъект данных», «нарушение безопасности персональных данных» и «надзорный орган» имеют значение, установленное ст. 4 Закона № 195/2024 («Закон»). Настоящее Соглашение распространяется исключительно на услуги, предоставляемые под брендом TopHost.MD в рамках деятельности Исполнителя в Республике Молдова.

«Услуги» означает услуги, заказанные Клиентом в соответствии с Условиями предоставления услуг: виртуальный (shared) хостинг, почтовый хостинг, виртуальные серверы (VPS), выделенные серверы, регистрация и администрирование доменных имён, SSL-сертификаты, резервное копирование и иные сопутствующие услуги.

«Данные Клиента» означает персональные данные, которые Клиент или его пользователи загружают, хранят, передают или обрабатывают посредством Услуг в качестве оператора либо обработчика третьего лица, включая логи доступа к доменам Клиента, формируемые Услугами.

«Субобработчик» означает любого обработчика, привлечённого Исполнителем для обработки Данных Клиента от имени Клиента.

2. Предмет и роли

Настоящее Соглашение регулирует обработку Данных Клиента Исполнителем от имени Клиента в рамках предоставления Услуг. Элементы, предусмотренные ч. (3) ст. 28 Закона — предмет, срок, характер и цель обработки, тип данных и категории субъектов данных — описаны в Приложении 1.
В отношении Данных Клиента Клиент является оператором (либо обработчиком другого оператора — в этом случае Исполнитель выступает субобработчиком), а Исполнитель — обработчиком (лицом, уполномоченным оператором).
Настоящее Соглашение не применяется к персональным данным, которые Исполнитель обрабатывает в качестве самостоятельного оператора (данные аккаунта, биллинга, поддержки, логи безопасности, данные регистрации доменов). Они регулируются Политикой конфиденциальности TopHost.MD.
Клиент гарантирует, что имеет правовое основание для обработки Данных Клиента, что проинформировал субъектов данных в соответствии с законом и что его инструкции не нарушают Закон. Клиент несёт единоличную ответственность за хранимый им контент и за настройку своих сервисов (включая приложения, скрипты, права доступа, политики паролей).
Безопасность приложений Клиента. Клиент несёт полную ответственность за веб-приложения, которые он устанавливает и запускает посредством Услуг: CMS, плагины, темы, расширения и любое иное собственное программное обеспечение, которое должно быть лицензионным и поддерживаться в актуальном состоянии — в версиях без известных уязвимостей. Если Исполнитель обнаруживает уязвимость, заражение или уязвимую версию и уведомляет об этом Клиента, Клиент обязан устранить проблему (обновить, очистить, отключить) в течение 48 часов с момента уведомления; в противном случае Исполнитель вправе приостановить аккаунт или затронутый компонент для защиты других клиентов и инфраструктуры. Компрометации, заражения и нарушения безопасности Данных Клиента, возникшие вследствие необновлённых, нелицензионных, уязвимых или небезопасно настроенных приложений, слабых паролей либо поведения Клиента или его пользователей, относятся исключительно на счёт Клиента, не являются нарушением обязательств Исполнителя и не дают Клиенту права требовать проведения аудита, предусмотренного ст. 8, когда причина очевидно находится на стороне Клиента.

3. Обязанности Исполнителя (ч. (3) ст. 28 Закона)

Исполнитель обязуется:

Документированные инструкции (п. a)). Обрабатывать Данные Клиента только на основании документированных инструкций Клиента, в том числе в отношении передачи в третьи страны, за исключением случаев, когда обработка требуется законодательством Республики Молдова; в этом случае Исполнитель информирует Клиента до начала обработки, если только закон не запрещает такое информирование по важным причинам общественного интереса. Документированными инструкциями являются: Условия предоставления услуг, настоящее Соглашение, заказ и конфигурация Услуг, настройки, выполненные Клиентом в панелях управления (cPanel, WHMCS, панель VPS), и запросы, направленные через систему тикетов. Исполнитель незамедлительно информирует Клиента, если, по его мнению, инструкция нарушает Закон.
Конфиденциальность (п. b)). Обеспечить, чтобы лица, уполномоченные обрабатывать Данные Клиента, приняли на себя письменное обязательство о соблюдении конфиденциальности и имели доступ к Данным Клиента лишь в объёме, необходимом для предоставления Услуг, технической поддержки, обеспечения безопасности и обслуживания.
Безопасность (п. c), ст. 32). Внедрить технические и организационные меры, описанные в Приложении 2, обеспечивающие уровень безопасности, соответствующий риску. Исполнитель вправе обновлять меры при условии, что общий уровень защиты не снижается.
Субобработчики (п. d)). Соблюдать условия, предусмотренные ст. 5 настоящего Соглашения.
Содействие в реализации прав субъектов данных (п. e)). С учётом характера обработки оказывать Клиенту содействие посредством надлежащих технических и организационных мер, насколько это возможно, в исполнении обязанности Клиента отвечать на запросы субъектов данных (ст. 15–22 Закона). Поскольку Клиент имеет полный контроль над Данными Клиента через панели управления, содействие, как правило, заключается в поддержании функций доступа, экспорта, изменения и удаления. Если Исполнитель получает запрос субъекта данных, касающийся Данных Клиента, напрямую, он перенаправляет его Клиенту без ответа по существу, если иное не требуется законом.
Содействие в вопросах безопасности, инцидентов и DPIA (п. f), ст. 32–36). Оказывать Клиенту содействие в соблюдении обязанностей по обеспечению безопасности, уведомлению о нарушениях, оценке воздействия и предварительным консультациям с надзорным органом, с учётом характера обработки и информации, имеющейся в распоряжении Исполнителя. Содействие включает предоставление, по запросу Клиента через тикет из аккаунта клиента, логов доступа к доменам Клиента за период их хранения (180 дней, Приложение 2, п. B) — исключительно по собственным доменам Клиента.
Удаление или возврат (п. g)). По прекращении Услуг, по выбору Клиента, удалить или вернуть все Данные Клиента и удалить существующие копии, за исключением случаев, когда закон требует их хранения. Обязанность по возврату считается исполненной путём предоставления Клиенту на весь срок действия Услуг функций экспорта и резервного копирования в панели управления, с помощью которых Клиент может самостоятельно скопировать все Данные Клиента; Исполнитель не подготавливает и не передаёт данные иными способами. Клиент несёт единоличную ответственность за экспорт своих данных до истечения срока Услуг. Порядок и сроки предусмотрены ст. 7.
Подтверждение соответствия (п. h)). Предоставлять Клиенту всю информацию, необходимую для подтверждения соблюдения обязанностей, предусмотренных ст. 28 Закона, а также допускать проведение аудитов и содействовать им в соответствии со ст. 8.

4. Нарушение безопасности данных

Исполнитель уведомляет Клиента без неоправданной задержки и в любом случае не позднее 48 часов с момента, когда ему стало известно о нарушении безопасности, затрагивающем Данные Клиента (ч. (2) ст. 33 Закона), на адрес электронной почты контактного лица, указанного в аккаунте клиента.
Уведомление содержит, в той мере, в какой информация доступна: характер нарушения, категории и приблизительное число затронутых субъектов данных и записей, вероятные последствия, принятые или предлагаемые меры и контактные данные ответственного лица. Информация может предоставляться поэтапно.
Клиент, как оператор, отвечает за уведомление надзорного органа (не позднее 72 часов, ч. (1) ст. 33) и субъектов данных (ст. 34). Исполнитель не уведомляет надзорный орган от имени Клиента, за исключением случаев, когда нарушение затрагивает также данные, в отношении которых Исполнитель является оператором.
Не являются нарушением безопасности в смысле настоящей статьи отражённые попытки атак (сканирования, неудачные попытки аутентификации, DDoS-атаки, нейтрализованные без доступа к данным), а также инциденты, вызванные исключительно уязвимостями приложений или паролей Клиента, о которых Исполнитель тем не менее сообщает Клиенту при их обнаружении.

5. Субобработчики

Клиент предоставляет Исполнителю общее письменное разрешение (ч. (2) ст. 28 Закона) на привлечение субобработчиков, перечисленных в Приложении 3, которое публикуется и обновляется на странице Соглашения по адресу https://tophost.md/ru/page/dpa.
Исполнитель информирует Клиента не менее чем за 30 дней до добавления или замены субобработчика по электронной почте и/или через объявление в аккаунте клиента. Клиент вправе в течение 30 дней представить мотивированное письменное возражение. Если Стороны не приходят к решению, Клиент вправе расторгнуть затронутые Услуги без штрафных санкций с пропорциональным возвратом сумм, уплаченных авансом.
Исполнитель возлагает на каждого субобработчика письменным договором обязанности по защите данных, по меньшей мере эквивалентные предусмотренным настоящим Соглашением (ч. (4) ст. 28), и несёт перед Клиентом полную ответственность за исполнение обязанностей субобработчиком.
Субобработчиками не являются: реестры и регистраторы доменных имён (STISC (П.У. «Служба информационных технологий и кибербезопасности» — национальный реестр .md) для .md, ROTLD для .ro, аккредитованные ICANN регистраторы для gTLD), поставщики SSL-сертификатов и платёжные процессоры, действующие как самостоятельные операторы на основании собственных законодательных или договорных обязательств, а также третьи лица, которым Клиент сам передаёт данные посредством Услуг.

6. Международная передача данных

Услуги веб-хостинга, электронной почты, VPS и выделенных серверов предоставляются исключительно на территории Республики Молдова, на собственных серверах Исполнителя, размещённых в собственном дата-центре в Кишинёве (ул. Алба-Юлия 75, корпус 12), доступ к которому имеет исключительно уполномоченный персонал Исполнителя. Данные Клиента не хранятся за пределами Республики Молдова.
Исполнитель не передаёт Данные Клиента за пределы Республики Молдова. В порядке исключения передача возможна только: (a) по прямому указанию Клиента (например, миграция аккаунта на сервер за рубежом или с него); (b) в рамках регистрации международных доменных имён и выпуска SSL-сертификатов — соответствующим реестрам, регистраторам и центрам сертификации, действующим как самостоятельные операторы, когда передача необходима для исполнения договора (ст. 49 Закона).

7. Срок действия, удаление и возврат данных

Настоящее Соглашение действует в течение всего срока предоставления Услуг и прекращается с удалением Данных Клиента. Соглашение не имеет фиксированного срока: оно распространяется на все Услуги, активные в аккаунте клиента на дату заключения, а также на любые Услуги, заказанные, добавленные, изменённые или продлённые впоследствии в том же аккаунте, без необходимости подписания дополнительного соглашения.
Возврат данных. В течение всего срока действия Услуг, до даты их истечения, Клиент может в любое время сформировать и скопировать (экспортировать) все Данные Клиента с помощью функций резервного копирования/экспорта в панели управления (cPanel) либо самостоятельно удалить их. Это единственный способ возврата данных; Исполнитель не обязан подготавливать, извлекать или передавать Данные Клиента иными способами. Клиент несёт единоличную ответственность за копирование (резервное копирование) собственных данных до истечения срока Услуг.
Приостановка и удаление по истечении срока. Если Услуги не продлены Клиентом, аккаунт приостанавливается в течение 5 дней с даты истечения (доступ блокируется, данные остаются нетронутыми) и остаётся приостановленным на сервере в течение 14 дней; в этот период повторная активация путём оплаты полностью восстанавливает услугу. По истечении этого срока аккаунт удаляется с сервера.
Резервная копия для восстановления. После удаления аккаунта с сервера резервная копия, позволяющая полностью восстановить аккаунт, хранится не более 3 месяцев с даты истечения срока Услуг с применением тех же мер безопасности и конфиденциальности. В этот срок Клиент может запросить восстановление аккаунта из резервной копии (с оплатой услуги согласно Условиям предоставления услуг). Если в этот срок Клиент не запрашивает восстановление, данные удаляются окончательно, без возможности восстановления.
Досрочное удаление. Клиент может удалить Данные Клиента в любое время до истечения срока Услуг собственными средствами: (a) удалив файлы, базы данных и почтовые ящики непосредственно из панели управления; либо (b) отменив услугу из аккаунта клиента с помощью опции отмены (немедленной или по истечении оплаченного срока). При немедленной отмене аккаунт автоматически удаляется с сервера; при отмене по истечении срока применяются сроки, указанные в пунктах 3–4 выше. Запрос на отмену, зарегистрированный в аккаунте клиента, является документированной инструкцией об удалении в смысле п. a) ч. (3) ст. 28 Закона. Соответствующие резервные копии удаляются при следующей автоматической ротации; при немедленной отмене сохранение копии для восстановления не гарантируется.
VPS. Данные на виртуальном диске удаляются при высвобождении ресурсов по тем же срокам приостановки; резервные копии VPS (если услуга включает резервное копирование или Клиент его заказал) хранятся не более 1 месяца с даты истечения срока Услуг; в этот срок Клиент может запросить восстановление; по его истечении удаление является окончательным, без возможности восстановления.
Выделенные серверы. Для выделенных серверов резервные копии не предоставляются. Если Клиент не запрашивает возобновление Услуг, данные на сервере окончательно удаляются в течение не более 14 дней с даты истечения срока Услуг без возможности восстановления. Клиент несёт единоличную ответственность за резервные копии данных на выделенном сервере.
Законное исключение и логи. По истечении указанных сроков Исполнитель вправе хранить только те данные, хранение которых требуется законом (например, бухгалтерские данные), с сохранением конфиденциальности. Логи доступа к доменам Клиента и логи безопасности, относящиеся к аккаунту, хранятся 180 дней с момента формирования независимо от даты прекращения Услуг, после чего удаляются автоматически.

8. Информация и аудит

Исполнитель предоставляет Клиенту по запросу: настоящее Соглашение, описание мер безопасности (Приложение 2), перечень субобработчиков, политику резервного копирования и хранения, а также, при наличии, отчёты об аудите или сертификаты дата-центра.
Порядок эскалации. Аудит проводится поэтапно, переход к следующему этапу допускается только если предыдущий этап объективно и с письменным обоснованием оказался недостаточным: (1) предоставление документации и заполнение опросника по безопасности; (2) удалённая сессия (видеоконференция) с персоналом Исполнителя с демонстрациями, не раскрывающими данные других клиентов; (3) инспекция на месте — как исключительная мера.
Условия любого аудита: не чаще одного раза в течение 12 месяцев (дополнительно — только после нарушения безопасности, затронувшего Клиента и не обусловленного приложениями, настройками или поведением Клиента (ст. 2.5), либо по мотивированному требованию надзорного органа); предварительное письменное уведомление за 30 дней с предварительным письменным согласованием объёма, продолжительности (максимум один рабочий день), даты и списка участников; проведение в рабочее время, без нарушения работы сервисов.
Аудитор. Аудит может проводиться Клиентом или уполномоченным им независимым аудитором, который: не является конкурентом Исполнителя и не оказывает услуг конкуренту Исполнителя; предварительно подписывает обязательство о конфиденциальности непосредственно с Исполнителем; удостоверяет свои полномочия и действует только в пределах письменного мандата Клиента.
Пределы аудита. Аудит не включает и не может предусматривать: (a) логический или физический доступ к системам, серверам или средам, разделяемым с другими клиентами, либо к данным других клиентов — по ним предоставляется исключительно документация; (b) доступ в какой бы то ни было форме и на каких бы то ни было условиях к панелям и интерфейсам администрирования Исполнителя (WHM, WHMCS, гипервизор, консоли управления) — такой доступ абсолютно исключён для любого клиента и любого аудитора и не может быть предметом каких-либо исключений; (c) копирование данных или установку инструментов в системах Исполнителя; (d) проведение сканирований или тестов на проникновение — они допускаются только на основании отдельного письменного соглашения, исключительно в отношении собственных сервисов Клиента (его сайта или VPS) и ни в коем случае в отношении инфраструктуры, панелей или общих систем Исполнителя; (e) раскрытие информации, которая могла бы поставить под угрозу безопасность Исполнителя или третьих лиц (пароли, ключи, конфигурации межсетевых экранов, детальная архитектура сети). Доказательства представляются исключительно персоналом Исполнителя в виде политик, выписок, снимков экрана или анонимизированных демонстраций с оборудования Исполнителя.
Физический доступ в дата-центр. Для услуг, предоставляемых на собственной инфраструктуре Исполнителя (виртуальный хостинг, электронная почта, VPS, выделенные серверы), инспекция на месте не предоставляется — этап (3) реализуется исключительно посредством документации, фото-/видеоматериалов, представляемых Исполнителем, и, при наличии, сертификатов или отчётов независимого аудита, поскольку физический доступ клиента в зону общих серверов сам по себе представлял бы риск безопасности для других клиентов. Физический доступ может быть уместен и предоставлен только в рамках возможной услуги колокации собственного оборудования Клиента, исключительно к его оборудованию, в постоянном сопровождении персонала Исполнителя, без фото-/видеосъёмки общих зон.
Расходы. Клиент несёт собственные расходы и расходы своего аудитора. Время персонала Исполнителя сверх 4 часов суммарно на один аудит (подготовка, опросники, сессии) оплачивается по почасовой ставке 350 леев/час, сообщаемой заранее.
Результаты. Отчёт об аудите является конфиденциальным, передаётся в полном объёме также Исполнителю и не может быть раскрыт третьим лицам без его письменного согласия. Выявленные несоответствия устраняются Исполнителем в разумный согласованный срок; устранение завершает аудит.
Исполнитель информирует Клиента о проведении надзорным органом проверки, затрагивающей Данные Клиента, в той мере, в какой это допускается законом.

9. Запросы государственных органов

Если Исполнитель получает от государственного органа (орган уголовного преследования, суд, НЦЗПД (CNPDCP) и т.д.) обязательный к исполнению запрос о доступе к Данным Клиента или об их сохранении, он проверяет законность запроса, предоставляет только строго запрошенные данные и информирует Клиента, за исключением случаев, когда закон запрещает такое информирование. Исполнитель документирует все запросы такого рода.

10. Ответственность

Каждая Сторона несёт ответственность за ущерб, причинённый неисполнением обязанностей, возложенных на неё Законом и настоящим Соглашением. Исполнитель отвечает только за ущерб, возникший в результате обработки, осуществлённой с нарушением обязанностей, специфичных для обработчика, или законных инструкций Клиента.
Совокупная ответственность Исполнителя по настоящему Соглашению подчиняется ограничениям, предусмотренным Условиями предоставления услуг TopHost.MD, в пределах, допускаемых законом; ограничения не применяются к ущербу, причинённому умышленно или по грубой неосторожности.
Клиент возмещает Исполнителю любые санкции или претензии, возникшие вследствие инструкций Клиента, отсутствия правового основания обработки или контента, хранимого Клиентом.

11. Заключительные положения

Настоящее Соглашение имеет преимущественную силу перед Условиями предоставления услуг в части обработки Данных Клиента. В остальном Условия предоставления услуг сохраняют своё действие.
Исполнитель вправе обновлять настоящее Соглашение для отражения изменений законодательства или Услуг с уведомлением Клиента за 30 дней; изменения не могут снижать уровень защиты. Действующая версия с датой вступления в силу публикуется по адресу https://tophost.md/ru/page/dpa.
Соглашение регулируется законодательством Республики Молдова. Споры разрешаются путём переговоров, а при недостижении согласия — компетентными судами Кишинёва.
Соглашение считается заключённым в электронной письменной форме путём принятия Условий предоставления услуг (ч. (8) ст. 28 Закона). Исполнитель ведёт учёт принятия (дата, версия, идентификатор аккаунта). Если Соглашение подписывается как отдельный документ, датой заключения является дата подписания, а содержание идентично опубликованной версии.
Основной договор. Договорные отношения между Сторонами, на основании которых предоставляются Услуги, образуются Условиями предоставления услуг TopHost.MD, принятыми в аккаунте клиента (договор в электронной письменной форме), вместе с заказами, размещёнными в аккаунте. Настоящее Соглашение не обусловлено наличием отдельно подписанного договора на бумажном носителе; если такой договор существует, Соглашение его дополняет.

Приложение 1 — Описание обработки (ч. (3) ст. 28 Закона)

Предмет обработки. Предоставление Услуг веб-хостинга, электронной почты, VPS/выделенных серверов, резервного копирования и сопутствующих услуг, предполагающих хранение, передачу и предоставление доступа к Данным Клиента на инфраструктуре Исполнителя.

Срок обработки. В течение срока действия Услуг плюс период удаления, предусмотренный ст. 7.

Характер обработки. Хранение, хостинг, передача (веб- и почтовый трафик), резервное копирование и восстановление, копирование для миграции по запросу Клиента, удаление. Формирование и хранение логов доступа к доменам Клиента (IP-адреса посетителей, запрошенные ресурсы, дата/время) в течение 180 дней с предоставлением их Клиенту в панели управления и по запросу. Исполнитель не анализирует, не индексирует и не использует содержание Данных Клиента в собственных целях; доступ персонала осуществляется только для технической поддержки по запросу Клиента, в целях безопасности (например, автоматическое сканирование на вредоносное ПО) или на основании закона.

Цель обработки. Исключительно исполнение Услуг, заказанных Клиентом, в соответствии с его инструкциями.

Тип персональных данных. Определяется Клиентом. Как правило: идентификационные и контактные данные (имя, email, телефон, адрес), данные учётных записей пользователей сайтов (имена пользователей, зашифрованные пароли), содержание электронной переписки, данные онлайн-транзакций, IP-адреса посетителей (в том числе в логах доступа), любые иные данные, хранимые Клиентом. Клиент несёт ответственность, если хранит особые категории данных (ст. 9) или данные о судимостях (ст. 10), и обязан применять дополнительные меры (например, шифрование на уровне приложения).

Категории субъектов данных. Определяются Клиентом. Как правило: клиенты, пользователи, подписчики, посетители сайтов Клиента, сотрудники и партнёры Клиента, корреспонденты по электронной почте.

Место обработки. Исключительно Республика Молдова — собственный дата-центр TopHost.MD, ул. Алба-Юлия 75, корпус 12, Кишинёв.

Контактное лицо Исполнителя. Игорь Руссу, администратор / ответственный за защиту данных (IT Concept SRL, DATACOM SYSTEMS S.R.L., SKYHOST SOLUTIONS S.R.L.); Максим Картин, администратор (TopHost SRL). Общий контакт: privacy@tophost.md, +373 22 11-10-80.

Приложение 2 — Технические и организационные меры безопасности (ст. 32)

Исполнитель поддерживает следующие меры, адаптированные к характеру услуг хостинга. Меры, относящиеся к содержанию приложений и аккаунтов Клиента (пароли, обновление CMS, права доступа собственных пользователей), остаются в зоне ответственности Клиента.

A. Физическая безопасность и инфраструктура

Собственные серверы, размещённые в собственном дата-центре Исполнителя в Кишинёве, с контролируемым физическим доступом, резервированным электропитанием (ИБП/генератор), климат-контролем и активной системой пожаротушения (автоматическое обнаружение и тушение).
Здание, в котором расположен дата-центр, имеет круглосуточную физическую охрану (24/24) и оснащено системой видеонаблюдения.
Физический доступ к оборудованию — исключительно для уполномоченного персонала Исполнителя по именному списку; никакие третьи лица не имеют доступа к серверам.

B. Контроль логического доступа и журналирование

Административный доступ к серверам исключительно по SSH с ключами и/или многофакторной аутентификацией, с авторизованных IP-адресов; именные учётные записи, без общих учётных записей; принцип минимальных привилегий.
Многофакторная аутентификация доступна (и рекомендуется) для панелей Клиента (WHMCS, cPanel); политики надёжных паролей; автоматическая блокировка повторных попыток (cPHulk, fail2ban).
Изоляция аккаунтов на общих серверах: CloudLinux CageFS и LVE (лимиты на аккаунт, виртуализированная файловая система), так что один аккаунт не может получить доступ к данным другого; для VPS — изоляция на уровне гипервизора (Proxmox KVM).
Журналирование административного доступа и значимых операций; пересмотр прав доступа при уходе персонала.
Логи доступа к доменам Клиента (веб, включая SSL): текущий лог доступен Клиенту в cPanel (Metrics → Raw Access); сжатая копия за каждый день автоматически архивируется на сервере в зоне, доступной исключительно администраторам Исполнителя, и хранится 180 дней, после чего удаляется автоматически. Логи предоставляются Клиенту по запросу (ст. 3.6). Логи аутентификации, электронной почты и безопасности сервера также хранятся 180 дней.

C. Защита данных при передаче и хранении

Бесплатные сертификаты SSL/TLS (AutoSSL / Let’s Encrypt) для всех размещённых доменов; TLS для веб-почты, IMAP/POP/SMTP, FTP (FTPS/SFTP) и панелей управления.
Пароли пользователей хранятся только в виде хеша; резервные копии хранятся на носителях с ограниченным доступом.

D. Защита от атак и вредоносного ПО

Сетевой и серверный межсетевой экран; обнаружение DDoS-атак (FastNetMon) с оповещением и защита от DDoS на уровне сети через Voxility (фильтрация/очистка трафика при атаке до его поступления на серверы Исполнителя) — услуга, предоставляемая через местного поставщика связи Исполнителя.
Imunify360 на серверах виртуального хостинга: межсетевой экран приложений (WAF) с правилами ModSecurity, постоянная проактивная защита (блокировка выполнения вредоносного кода в реальном времени), полное еженедельное антивирусное сканирование, а также автоматическое сканирование новых/изменённых файлов, блокировка вредоносных ботов и защита от brute-force.
Прозрачность для Клиента: в cPanel Клиент имеет доступ в реальном времени к отчётам о безопасности своего аккаунта (обнаруженные заражённые файлы, действия по очистке, проблемы безопасности) и может напрямую отслеживать и исправлять состояние своего аккаунта.
Антиспам/антивирусная фильтрация электронной почты (SpamAssassin, антивирус на уровне сервера), SPF/DKIM/DMARC доступны для доменов Клиента.
Регулярные обновления безопасности операционной системы, ядра (KernelCare/CloudLinux), панелей управления и компонентов стека (LiteSpeed, PHP, MariaDB).

E. Доступность, отказоустойчивость и резервное копирование

Автоматические резервные копии аккаунтов виртуального хостинга, создаваемые JetBackup инкрементальными циклами 24–72 часа (в зависимости от сервера и режима архивирования) и хранимые на двух отдельных серверах резервного копирования, независимых от производственных серверов; копии хранятся и доступны для восстановления в течение не менее 30 дней; восстановление доступно Клиенту напрямую, в режиме самообслуживания, из cPanel.
Для VPS (если услуга включает резервное копирование или Клиент его заказал): автоматические резервные копии — 3 копии с ротацией, хранимые 7 дней — на выделенном сервере хранения резервных копий (Proxmox Backup Server, PBS), отдельном от производственных узлов; восстановление выполняется по запросу Клиента через тикет. При отсутствии услуги резервного копирования Клиент отвечает за собственные резервные копии.
На серверах виртуального хостинга и узлах VPS используются исключительно диски в конфигурации RAID 10, обеспечивающие как производительность, так и отказоустойчивость: данные остаются доступными и целостными при выходе из строя диска, который может быть заменён без прерывания услуги.
Постоянный мониторинг серверов и сети (Zabbix, Grafana, автоматические оповещения), периодически тестируемые процедуры восстановления; дополнительная аппаратная избыточность (двойные блоки питания, компоненты с горячей заменой).

F. Организационные меры

Обязательства о конфиденциальности, подписанные всем персоналом, имеющим доступ к данным; периодическое обучение по защите данных; внутренняя инструкция для службы поддержки и администраторов.
Процедура управления инцидентами безопасности со сроками уведомления; реестр инцидентов.
Политика резервного копирования и хранения; безопасное удаление данных при прекращении услуг и при выводе носителей из эксплуатации.
Доступ персонала к содержимому аккаунтов Клиента — только по запросу Клиента (тикет) или в случае инцидента безопасности, с документированием.
Ежегодный пересмотр мер безопасности (п. d) ч. (1) ст. 32).

Приложение 3 — Перечень субобработчиков

Действующая версия публикуется на странице Соглашения по адресу https://tophost.md/ru/page/dpa. Дата последнего обновления: 14 октября 2026 г. Инфраструктура (серверы, дата-центр) полностью принадлежит обществам, работающим под маркой TopHost.MD, и эксплуатируется ими в Республике Молдова; никакие третьи лица за их пределами не имеют доступа к оборудованию или данным.

Авторизованные субобработчики: другие общества, работающие под маркой TopHost.MD и перечисленные в разделе «Стороны», вместе с их персоналом — в той мере, в какой администрирование общей инфраструктуры и техническая поддержка Услуг Клиента обеспечиваются обществом, отличным от Исполнителя, указанного в счёте (администрирование инфраструктуры, техническая поддержка); обрабатываемые данные: все Данные Клиента в необходимом объёме; место: Республика Молдова. На эти общества распространяются те же обязательства по конфиденциальности и безопасности, что и на Исполнителя (ст. 5.3).

Самостоятельные операторы (не субобработчики), с которыми Исполнитель обменивается данными при исполнении договора: STISC (национальный реестр .md, nic.md), ROTLD (реестр .ro), Enom (регистратор gTLD), NETIM (регистратор европейских доменных зон), центры сертификации SSL (Let’s Encrypt; Sectigo, RapidSSL, GeoTrust через реселлера GoGetSSL), платёжные процессоры Bpay, RunPay и MAIB — они обрабатывают данные Клиента (как лица), а не Данные Клиента (размещённый контент), и описаны в Политике конфиденциальности. Поставщики интернет-связи (местные операторы электронных коммуникаций Республики Молдова) обеспечивают исключительно транспортировку трафика («простая передача»), не имеют доступа к содержанию Данных Клиента, действуют на основании собственного законодательства об электронных коммуникациях и не являются субобработчиками.

Подписание в виде отдельного документа

Настоящее Соглашение заключается в электронной письменной форме путём принятия Условий предоставления услуг в аккау<