Versiunea 1.0 · în vigoare din 23.08.2026

---

încheiat între:

Operatorul — clientul Soft Lider, persoană juridică sau persoană fizică ce desfășoară activitate de întreprinzător, care a contractat Serviciul, identificat astfel:

• la încheierea pe suport de hârtie: prin datele de identificare din Contractul principal, care încorporează prezentul acord;
• la acceptarea electronică: prin evidența prevăzută la punctul 13.3.

și

Persoana împuternicită — LICENSE SOFT SRL („Soft Lider"), cu sediul în mun. Chișinău, bd. Moscova 26, of. 56, MD-2045, IDNO 1016600013480,

denumite împreună „Părțile".

Adresa de contact a Persoanei împuternicite pentru orice chestiune privind prelucrarea datelor cu caracter personal, inclusiv notificările prevăzute în prezentul acord: confidentialitate@softlider.md.

---

1. Obiectul și cadrul juridic

1.1. Prezentul acord reglementează prelucrarea datelor cu caracter personal de către Persoana împuternicită în numele Operatorului, în executarea contractului prin care Operatorul a contractat Serviciul, denumit în continuare „Contractul principal". Serviciul aplicabil este cel identificat în Contractul principal sau, în cazul acceptării electronice, în contul Operatorului.

1.2. Prezentul acord se încheie în temeiul art. 28 alin. (3) din Legea nr. 195/2024 privind protecția datelor cu caracter personal.

1.3. Obiectul, durata, natura și scopul prelucrării, tipul de date cu caracter personal și categoriile de persoane vizate sunt descrise în Anexa 1, care face parte integrantă din prezentul acord. Obligațiile și drepturile Operatorului sunt stabilite la secțiunea 2 și, punctual, în cuprinsul secțiunilor 3–13.

1.4. În caz de contradicție între prezentul acord și Contractul principal, prevederile prezentului acord prevalează în ceea ce privește prelucrarea datelor cu caracter personal.

1.5. Prezentul acord se aplică exclusiv prelucrărilor efectuate de Persoana împuternicită în numele Operatorului în cadrul serviciilor de găzduire, SaaS sau suport cu acces la datele Operatorului, identificate în Contractul principal. Nu se aplică livrării sau licențierii de software instalat la Operator. Datele pe care Persoana împuternicită le prelucrează în scopuri proprii — administrarea relației contractuale, facturare, respectarea obligațiilor sale legale — sunt prelucrate de aceasta în calitate de operator independent și nu fac obiectul prezentului acord.

---

2. Rolurile Părților

2.1. Operatorul stabilește scopurile și mijloacele prelucrării și este responsabil de legalitatea prelucrării, inclusiv de existența unui temei valid în sensul art. 6 și, după caz, art. 9 din Legea nr. 195/2024, precum și de îndeplinirea obligației de informare a persoanelor vizate conform art. 13 și 14.

2.2. Persoana împuternicită prelucrează datele cu caracter personal exclusiv în numele și pe seama Operatorului.

2.3. Operatorul garantează că datele transmise Persoanei împuternicite au fost colectate în mod legal și că persoanele vizate au fost informate corespunzător, inclusiv cu privire la recurgerea la Persoana împuternicită și la sub-împuterniciții enumerați în Anexa 2.

---

3. Instrucțiunile Operatorului

(art. 28 alin. 3 lit. a)

3.1. Persoana împuternicită prelucrează datele cu caracter personal numai în baza instrucțiunilor documentate ale Operatorului, inclusiv în ceea ce privește transferurile de date către alte state sau organizații internaționale.

3.2. Constituie instrucțiuni documentate: prezentul acord, Contractul principal, documentația funcțională a serviciului, precum și orice instrucțiune ulterioară transmisă în scris, inclusiv în format electronic.

3.3. Utilizarea normală a funcționalităților serviciului de către Operator sau de către utilizatorii autorizați de acesta constituie instrucțiune documentată.

3.4. În cazul în care Persoanei împuternicite îi revine, în temeiul actelor normative, obligația de a prelucra datele altfel decât conform instrucțiunilor Operatorului, aceasta informează Operatorul despre obligația respectivă înainte de prelucrare, cu excepția cazului în care actele normative interzic o astfel de informare din motive importante de interes public.

3.5. Persoana împuternicită informează imediat Operatorul dacă, în opinia sa, o instrucțiune încalcă legislația privind protecția datelor cu caracter personal. (art. 28 alin. 3 lit. h teza finală)

3.6. Persoana împuternicită nu prelucrează datele cu caracter personal în scopuri proprii, inclusiv în scopuri de analiză comercială, dezvoltare de produs, testare sau antrenare de modele automatizate, cu excepția cazului în care Operatorul a autorizat expres și în scris o astfel de prelucrare, care va fi guvernată de un temei juridic distinct.

---

4. Confidențialitatea

(art. 28 alin. 3 lit. b)

4.1. Persoana împuternicită se asigură că persoanele autorizate să prelucreze datele cu caracter personal s-au angajat să respecte confidențialitatea sau au o obligație legală adecvată de confidențialitate.

4.2. Accesul la datele cu caracter personal ale Operatorului este limitat la personalul intern care execută Contractul principal.

4.3. Obligația de confidențialitate rămâne în vigoare și după încetarea Contractului principal și a raporturilor de muncă ale persoanelor implicate.

---

5. Securitatea prelucrării

(art. 28 alin. 3 lit. c, cu trimitere la art. 32)

5.1. Persoana împuternicită implementează măsuri tehnice și organizatorice adecvate pentru a asigura un nivel de securitate corespunzător riscului, ținând cont de stadiul actual al dezvoltării tehnologice, de costurile implementării și de natura, domeniul de aplicare, contextul și scopurile prelucrării.

5.2. Măsurile includ, fără a se limita la: autentificare individuală a utilizatorilor; acces limitat la personalul intern care execută Contractul principal; angajamente de obligații de confidențialitate asumate de personalul cu acces prin contractele de muncă; criptarea datelor în tranzit (TLS); izolare logică între Operatori în mediile multi-tenant; copii de rezervă periodice.

5.3. Persoana împuternicită asigură că orice persoană fizică ce acționează sub autoritatea sa și care are acces la date cu caracter personal nu le prelucrează decât în baza instrucțiunilor Operatorului. (art. 32 alin. 4, art. 29)

5.4. Persoana împuternicită revizuiește periodic eficacitatea măsurilor și le actualizează dacă este necesar. (art. 32 alin. 1 lit. d)

5.5. Persoana împuternicită poate modifica măsurile de la punctul 5.2 cu condiția ca nivelul de securitate să nu scadă.

---

6. Sub-împuterniciți

(art. 28 alin. 2, 3 lit. d și alin. 4)

6.1. Operatorul acordă Persoanei împuternicite o autorizație generală scrisă de a recurge la sub-împuterniciți pentru executarea Contractului principal.

6.2. Lista sub-împuterniciților la data încheierii prezentului acord figurează în Anexa 2, parte integrantă a prezentului acord.

6.3. Persoana împuternicită informează Operatorul cu privire la orice modificare preconizată privind adăugarea sau înlocuirea sub-împuterniciților, în scris, inclusiv în format electronic, înainte de intrarea în vigoare a modificării.

6.4. Operatorul are dreptul de a formula obiecții motivate cu privire la sub-împuternicitul propus.

6.5. Persoana împuternicită impune fiecărui sub-împuternicit, printr-un contract sau alt act juridic, aceleași obligații de protecție a datelor ca cele prevăzute în prezentul acord, în special furnizarea de garanții suficiente privind măsurile tehnice și organizatorice adecvate.

6.6. Persoana împuternicită rămâne pe deplin răspunzătoare față de Operator pentru îndeplinirea obligațiilor de către sub-împuterniciți. (art. 28 alin. 4 teza finală)

---

7. Transferuri către alte state

(capitolul V din Legea nr. 195/2024)

7.1. Persoana împuternicită nu transferă datele cu caracter personal către un alt stat sau către o organizație internațională decât în condițiile capitolului V din Legea nr. 195/2024 și numai către destinațiile indicate în Anexa 2.

7.2. Pentru transferurile către state din afara Spațiului Economic European, Persoana împuternicită asigură existența unui temei valid: o decizie privind caracterul adecvat al nivelului de protecție emisă de Centru (art. 45), garanții adecvate (art. 46), sau o derogare aplicabilă (art. 49). Temeiul aplicabil fiecărui transfer este indicat în Anexa 2.

7.3. Prin acceptarea prezentului acord, Operatorul instruiește Persoana împuternicită să recurgă la sub-împuterniciții indicați în Anexa 2, la locurile de prelucrare acolo precizate. Acolo unde Anexa 2 indică un temei pentru un transfer către un stat din afara Spațiului Economic European, transferul se efectuează în acel temei.

---

8. Asistență privind drepturile persoanelor vizate

(art. 28 alin. 3 lit. e)

8.1. Ținând cont de natura prelucrării, Persoana împuternicită oferă asistență Operatorului prin măsuri tehnice și organizatorice adecvate, în măsura în care este posibil, pentru îndeplinirea obligației Operatorului de a răspunde cererilor privind exercitarea drepturilor prevăzute la capitolul III din Legea nr. 195/2024 (art. 15–22).

8.2. În cazul în care o persoană vizată se adresează direct Persoanei împuternicite cu o cerere privind datele prelucrate în numele Operatorului, Persoana împuternicită nu răspunde pe fond, ci transmite cererea Operatorului fără întârzieri nejustificate, informând persoana vizată despre transmitere.

---

9. Asistență privind securitatea, incidentele și evaluările

(art. 28 alin. 3 lit. f, cu trimitere la art. 32–36)

9.1. Persoana împuternicită ajută Operatorul să asigure respectarea obligațiilor prevăzute la art. 32–36 din Legea nr. 195/2024, ținând cont de caracterul prelucrării și de informațiile aflate la dispoziția sa.

Notificarea incidentelor (art. 33 alin. 2)

9.2. Persoana împuternicită notifică Operatorul cu privire la orice încălcare a securității datelor cu caracter personal fără întârzieri nejustificate.

9.3. Persoana împuternicită nu notifică Centrul sau persoanele vizate cu privire la o încălcare care afectează datele prelucrate în numele Operatorului, această obligație revenind Operatorului, cu excepția cazului în care actele normative prevăd altfel sau Operatorul solicită expres acest lucru.

Evaluarea impactului (art. 35–36)

9.4. La cererea rezonabilă a Operatorului, Persoana împuternicită furnizează informațiile aflate la dispoziția sa care sunt necesare pentru efectuarea unei evaluări a impactului asupra protecției datelor sau pentru consultarea prealabilă a Centrului.

---

10. Ștergerea sau returnarea datelor

(art. 28 alin. 3 lit. g)

10.1. La încetarea furnizării serviciilor legate de prelucrare, Persoana împuternicită, la alegerea Operatorului, șterge sau returnează acestuia toate datele cu caracter personal și elimină copiile existente, cu excepția cazului în care actele normative impun stocarea datelor.

10.2. Operatorul comunică opțiunea sa în termen de 30 de zile de la încetarea Contractului principal. În lipsa unei comunicări, Persoana împuternicită procedează la ștergere.

10.3. Datele rămân disponibile pentru export până la ștergerea efectuată conform punctelor 10.1–10.2.

10.4. Ștergerea din copiile de rezervă se realizează conform ciclului normal de rotație a acestora. Până la ștergerea efectivă, datele rămân protejate de măsurile de securitate prevăzute în prezentul acord și nu sunt prelucrate în alt scop decât restaurarea în caz de incident.

10.5. La cererea Operatorului, Persoana împuternicită confirmă în scris efectuarea ștergerii.

---

11. Demonstrarea conformității, audit și inspecții

(art. 28 alin. 3 lit. h)

11.1. Persoana împuternicită pune la dispoziția Operatorului toate informațiile necesare pentru a demonstra respectarea obligațiilor prevăzute la art. 28 din Legea nr. 195/2024.

11.2. Persoana împuternicită permite desfășurarea auditurilor, inclusiv a inspecțiilor, efectuate de Operator sau de un alt auditor mandatat de acesta, și contribuie la acestea.

11.3. Auditurile se desfășoară în următoarele condiții:

• a) cu un preaviz scris de cel puțin 30 de zile, cu excepția cazurilor în care auditul urmează unui incident de securitate sau este impus de Centru, situație în care preavizul este de 5 zile lucrătoare;
• b) în timpul programului normal de lucru;
• c) fără a perturba în mod nejustificat activitatea Persoanei împuternicite;
• d) cu respectarea confidențialității datelor altor clienți ai Persoanei împuternicite;
• e) auditorul mandatat nu trebuie să fie un concurent al Persoanei împuternicite și semnează un acord de confidențialitate.

11.4. Persoana împuternicită poate răspunde solicitărilor de audit prin furnizarea de rapoarte de audit, certificări sau documentație de conformitate existente, dacă acestea acoperă în mod rezonabil obiectul solicitării.

11.5. Costurile auditului sunt suportate de Operator.

---

12. Răspundere

12.1. Limitările de răspundere prevăzute în Contractul principal se aplică raporturilor dintre Părți, în măsura permisă de lege. Aceste limitări nu sunt opozabile persoanei vizate și nu afectează drepturile acesteia întemeiate pe Legea nr. 195/2024.

---

13. Durata, modificarea și dispoziții finale

13.1. Prezentul acord intră în vigoare la data acceptării de către Operator și rămâne în vigoare pe toată durata Contractului principal.

13.2. Obligațiile de confidențialitate, de ștergere și de asistență la audit supraviețuiesc încetării prezentului acord.

13.3. Prezentul acord se încheie în scris, inclusiv în format electronic, conform art. 28 alin. (8) din Legea nr. 195/2024. Acceptarea electronică produce aceleași efecte juridice dacă mecanismul identifică expres prezentul acord și versiunea sa, iar acceptarea este efectuată de un utilizator autorizat să acționeze în numele Operatorului. Persoana împuternicită consemnează identificarea Operatorului și a contului acestuia, momentul acceptării și numărul versiunii acceptate și pune la dispoziția Operatorului, la cerere, versiunea acceptată de acesta și versiunile ulterioare.

13.4. Persoana împuternicită poate modifica prezentul acord pentru a asigura conformitatea cu modificările legislative sau cu actele emise de Centru, cu un preaviz de 30 de zile.

13.5. Prezentul acord este guvernat de legislația Republicii Moldova.

---

---

ANEXA 1 — Descrierea prelucrării

Se aplică subanexa corespunzătoare fiecărui Serviciu identificat în Contractul principal. Dacă sunt contractate mai multe Servicii, subanexele corespunzătoare se aplică cumulativ.

Pentru toate subanexele: administrarea și asistența tehnică se efectuează de personalul Persoanei împuternicite din Republica Moldova, inclusiv prin consultarea datelor la distanță, indiferent de locul în care acestea sunt stocate.

1A. Fiscal Cloud

Element	Conținut
Obiectul	Găzduirea în cloud a datelor fiscale ale Operatorului, punerea lor la dispoziție pentru vizualizare și analiză, precum și administrarea conturilor de utilizator
Durata	Pe durata Contractului principal
Natura	Primire prin sincronizare, stocare, structurare, consultare, punere la dispoziție, ștergere
Scopul	Stocarea centralizată a datelor fiscale sincronizate din aplicația locală a Operatorului, punerea lor la dispoziția acestuia, generarea de rapoarte analitice și administrarea conturilor de utilizator
Categorii de persoane vizate	Utilizatorii cu acces în cloud, desemnați de Operator; utilizatorii aplicației locale, definiți de Operator; persoanele de contact ale Operatorului; Operatorul însuși, dacă este persoană fizică ce desfășoară activitate de întreprinzător
Tipuri de date	Adresa de email a utilizatorilor cu acces în cloud; nume, prenume și date de contact profesionale, atunci când sunt furnizate; credențiale de autentificare; conturile aplicației locale definite de Operator și sincronizate în cloud; date privind operațiunile fiscale efectuate și contul care le-a efectuat; jurnale de acces
Categorii speciale (art. 9)	Nu sunt prelucrate în mod intenționat
Locul prelucrării	Germania (Hetzner) — aplicația și baza de date; Republica Moldova — copiile de rezervă

Aplicația locală instalată pe dispozitivele Operatorului constituie software licențiat; prelucrarea efectuată prin ea la sediul Operatorului nu face obiectul prezentului acord (punctul 1.5). Prezenta anexă acoperă componenta cloud.

1B. iDocs

Element	Conținut
Obiectul	Furnizarea unui serviciu de interfață electronică între angajații Operatorului și sistemul 1C al acestuia
Durata	Pe durata Contractului principal
Natura	Colectare, înregistrare, stocare (limitată), transmitere, punere la dispoziție, ștergere
Scopul	Autentificarea utilizatorilor și intermedierea schimbului de documente și informații de personal între angajați și Operator
Categorii de persoane vizate	Angajații Operatorului; persoanele de contact ale Operatorului
Tipuri de date stocate de Persoana împuternicită	Nume, prenume; numărul de identificare de stat (IDNP); adresă de email; număr de telefon; credențiale și jurnale de autentificare; datele de creare și verificare a semnăturii electronice avansate necalificate și dovezile de semnare
Tipuri de date transmise, fără stocare	Fișe de salariu; cereri de concediu, absență, întârziere; notificări privind incapacitatea temporară de muncă; solduri și grafice de concedii; date privind prezența; documente supuse semnării electronice
Categorii speciale (art. 9)	Date privind sănătatea — sunt transmise prin sistem în cadrul cererilor de concediu medical și al notificărilor de boală. Serviciul iDocs nu le stochează; acestea sunt tranzitate către sistemul 1C al Operatorului. Dacă sistemul 1C al Operatorului este el însuși găzduit de Persoana împuternicită, prelucrarea ulterioară este cea descrisă în Anexa 1D
Număr de identificare național	IDNP este prelucrat exclusiv pe baza instrucțiunilor Operatorului și în limitele scopului descris mai sus. Stabilirea temeiului de prelucrare a numărului de identificare național și instituirea garanțiilor prevăzute la art. 53 din Legea nr. 195/2024 revin Operatorului
Destinatari	MSign (Agenția de Guvernare Electronică) — serviciul guvernamental de semnătură electronică, către care Persoana împuternicită transmite documentele supuse semnării. MSign prelucrează în temeiul mandatului său legal propriu, în calitate de operator independent, nu ca sub-împuternicit al Persoanei împuternicite
Locul prelucrării	Germania (Hetzner) — aplicația și baza de date; Republica Moldova — copiile de rezervă

1C. ScanFactura

Element	Conținut
Obiectul	Recunoașterea optică a facturilor fiscale și structurarea datelor extrase
Durata	Pe durata Contractului principal
Natura	Colectare, stocare, extragere, structurare, transmitere către sub-împuterniciți în scopul recunoașterii, ștergere
Scopul	Extragerea automată a datelor din facturi fiscale și exportul acestora în format structurat
Categorii de persoane vizate	Persoanele identificate în documentele încărcate: persoane responsabile de întocmirea și primirea documentelor, semnatari, conducători auto, persoane de contact; contrapărți persoane fizice care desfășoară activitate de întreprinzător
Tipuri de date	Nume, prenume; funcție; semnătură; IDNP, atunci când figurează în document; adrese; numere de telefon; numere de înmatriculare
Categorii speciale (art. 9)	Nu sunt prelucrate în mod intenționat
Locul prelucrării	Germania (Hetzner) — aplicația și baza de date; Uniunea Europeană — recunoașterea optică și structurarea datelor extrase
Termen de ștergere	Fără termen automat de expirare. Imaginea și datele extrase formează o singură unitate („Factura"); Operatorul decide durata păstrării și poate șterge unitatea oricând din cont, ștergerea eliminând simultan imaginea și datele structurate. La încetarea Contractului principal se aplică secțiunea 10

1D. onefresh.md — găzduire 1C

Element	Conținut
Obiectul	Găzduirea bazelor de date 1C ale Operatorului și administrarea infrastructurii aferente
Durata	Pe durata Contractului principal
Natura	Stocare, administrare tehnică, copiere de rezervă, restaurare, ștergere. Persoana împuternicită nu consultă conținutul bazelor decât la solicitarea documentată a Operatorului
Scopul	Asigurarea disponibilității, integrității și securității bazelor de date ale Operatorului
Categorii de persoane vizate	Toate categoriile de persoane ale căror date sunt înregistrate de Operator în bazele găzduite: angajați, foști angajați, candidați, contrapărți, persoane de contact, clienți
Tipuri de date	Determinate integral de Operator. Pot include: date de identificare, IDNP, date privind salarizarea, date de personal, coordonate bancare, documente atașate
Categorii speciale (art. 9)	Date privind sănătatea pot fi prezente în bazele găzduite, în special în modulele de evidență a personalului și de salarizare (certificate de concediu medical)
Locul prelucrării	Republica Moldova — servere proprii ale Persoanei împuternicite, în sediul acesteia
Arhitectură	Mediu multi-tenant pe platforma 1C:Fresh: datele fiecărui Operator sunt separate în zone de date distincte ale platformei, în cadrul unor baze comune

---

---

ANEXA 2 — Sub-împuterniciți

Anexa 2 — versiunea 1.0

Sub-împuternicit	Serviciu	Produse	Locul prelucrării	Temei pentru transfer
Hetzner Online GmbH	Găzduire infrastructură	Fiscal Cloud, iDocs, ScanFactura	Germania	—
Google Ireland Ltd. — Workspace	Email corporativ și colaborare; vehiculează corespondența cu Operatorul, solicitările de asistență și atașamentele acestora, precum și mesajele automate ale serviciului ScanFactura — confirmare de cont, resetare parolă, notificări. Nu prelucrează conținutul bazelor de date găzduite prin onefresh.md	toate produsele, la nivelul corespondenței de asistență; ScanFactura, și pentru mesajele automate	Uniunea Europeană (Data Region = Europa)	—
Google Cloud EMEA Limited (Irlanda) — Cloud Vision	Recunoaștere optică a caracterelor, prin apel sincron; imaginile nu sunt reținute de furnizor după procesare	ScanFactura	Uniunea Europeană	—
Eden AI (Franța)	Structurarea datelor extrase din facturi	ScanFactura	Uniunea Europeană — prin punctul de acces dedicat Uniunii Europene, care direcționează cererile exclusiv către modele găzduite în Uniunea Europeană	—
iHost (ihost.md)	Serviciu de email (SMTP) pentru mesajele automate ale serviciului — invitații, resetare parolă, notificări către utilizatorii desemnați de Operator	iDocs	Republica Moldova	—