Este legal să folosești Bitrix24.ru în Republica Moldova? GDPR, transferul datelor și serverele din Rusia

Un CRM este, aproape întotdeauna, cel mai dens depozit de date personale dintr-o companie: nume și prenume, numere de telefon, adrese de e-mail, istoricul conversațiilor, notițe despre bugetul sau situația familială a clientului, documente încărcate de acesta. Întrebarea „unde ajung fizic aceste date?” nu este una tehnică, ci una juridică — iar din 23 august 2026 se pune în Republica Moldova în termeni noi.

Ce este GDPR și ce lege se aplică în Republica Moldova

„GDPR” este numele uzual al Regulamentului (UE) 2016/679, actul care reglementează protecția datelor cu caracter personal în Uniunea Europeană. Republica Moldova nu este stat membru al UE, deci GDPR nu se aplică aici automat, prin simplul fapt că o companie este înregistrată la Chișinău.

Ce se aplică este Legea nr. 195/2024 privind protecția datelor cu caracter personal, adoptată la 25 iulie 2024 și publicată în Monitorul Oficial nr. 367–369 din 23 august 2024. Legea declară, în chiar textul ei introductiv, că transpune Regulamentul (UE) 2016/679. Potrivit art. 89 alin. (1), ea intră în vigoare la expirarea a 24 de luni de la publicare — adică la 23 august 2026.

Consecința practică pentru un antreprenor din Moldova: structura obligațiilor este cea cu care s-a obișnuit piața europeană — temei juridic, transparență, securitate, evidențe, reguli separate pentru transferuri — dar textul pe care îl invocați într-un control, într-o plângere sau într-un contract este legea națională, nu regulamentul european.

Când vă poate atinge totuși GDPR-ul, în plus

GDPR poate deveni aplicabil unei organizații din Moldova în funcție de ce face, nu de unde este înregistrată. Art. 3 din Regulament îl aplică și operatorilor din afara Uniunii atunci când aceștia oferă bunuri sau servicii unor persoane aflate în UE/SEE ori le monitorizează comportamentul. Dacă vindeți doar în Moldova, situația nu vă privește. Dacă aveți clienți în România, Germania sau Italia, merită verificată separat.

Simetric, Legea nr. 195/2024 are propriul art. 3: ea se aplică și unui operator fără sediu în Republica Moldova, atunci când acesta oferă servicii unor persoane aflate în Moldova sau le monitorizează comportamentul.

Doi termeni care revin în tot articolul

• Operator — cine decide de ce și cum se prelucrează datele. În scenariul nostru: compania dumneavoastră.
• Persoană împuternicită de operator — cine prelucrează datele în numele operatorului, pe baza unui contract. În scenariul nostru: furnizorul de CRM.

Distincția contează, fiindcă răspunderea pentru alegerea furnizorului și pentru temeiul transferului rămâne, în principal, la operator.

Unde sunt stocate datele în Bitrix24.ru

Aici nu e nevoie de deducții: răspunsul este în documentația publică a furnizorului. În secțiunea de întrebări frecvente despre securitate de pe helpdesk-ul Bitrix24.ru se afirmă că toate datele utilizatorilor Bitrix24 — informațiile despre angajați, despre clienți, documentele și fișierele — sunt stocate în centre de date aflate pe teritoriul Federației Ruse.

O a doua pagină din același helpdesk, dedicată stocării datelor cu caracter personal, enumeră nominal furnizorii de infrastructură — АО «Корп Софт» și ООО «Цифровое облако» — cu adrese de centre de date în Moscova, și trimite la Legea federală nr. 152-FZ privind datele cu caracter personal.

Tabelul rezumă unde ajung datele. El nu spune că una dintre variante este „conformă”, iar cealaltă „neconformă”: coloana a treia arată doar dacă trebuie sau nu parcurs setul de reguli privind transferurile.

Ce înseamnă „transfer transfrontalier” de date

Explicația simplă: atâta timp cât datele clienților rămân prelucrate în Republica Moldova, aveți de respectat regulile generale ale legii. Din momentul în care aceleași date ajung să fie prelucrate pe infrastructura unui furnizor aflată în alt stat, intervine un set suplimentar de reguli — capitolul V.

Un exemplu concret. O agenție imobiliară din Chișinău ține în CRM, pentru fiecare client:

• numele și prenumele;
• numărul de telefon;
• adresa de e-mail;
• istoricul conversațiilor și notele agentului;
• preferințele de proprietate (zonă, număr de camere, etaj);
• bugetul disponibil și modul de finanțare;
• documente încărcate — copii de acte, extrase, contracte.

Dacă infrastructura care primește și păstrează aceste date se află în Federația Rusă, prelucrarea nu mai este doar una locală, desfășurată în Moldova. Nimeni nu „trimite” manual nimic peste graniță — transferul se produce prin însuși faptul că datele sunt introduse într-un sistem găzduit acolo.

Legea nu definește separat noțiunea de „transfer”. Ea formulează, la art. 44 alin. (1), principiul general: datele care fac obiectul prelucrării sau care urmează a fi prelucrate după ce sunt transferate într-un alt stat pot fi transferate doar dacă sunt respectate condițiile prevăzute în capitolul V, inclusiv în ceea ce privește transferurile ulterioare. Tot acolo se precizează scopul întregului capitol: ca nivelul de protecție garantat de lege să nu fie subminat.

Excepția care simplifică mult analiza

Art. 44 alin. (2) prevede că acest capitol nu se aplică transferurilor către statele membre ale Spațiului Economic European și că, pentru acestea, nu sunt necesare autorizări speciale. Cu alte cuvinte: infrastructura din SEE scoate discuția din capitolul V. Restul obligațiilor din lege rămân, evident, în vigoare.

Ce spune CNPDCP despre Federația Rusă

Autoritatea națională este Centrul Național pentru Protecția Datelor cu Caracter Personal (CNPDCP). Potrivit art. 45, Centrul este cel care decide dacă un stat asigură un nivel adecvat de protecție; lista se aprobă prin decizie și se publică. Un transfer către un stat aflat pe acea listă nu necesită autorizări speciale.

Criteriile după care Centrul face evaluarea sunt enumerate la art. 45 alin. (2) și sunt instructive în sine: statul de drept și respectarea drepturilor fundamentale, legislația relevantă — inclusiv cea privind securitatea națională și accesul autorităților publice la datele cu caracter personal —, existența unei autorități de supraveghere independente care funcționează efectiv, angajamentele internaționale asumate, precum și deciziile Comisiei Europene privind caracterul adecvat. Se evaluează, așadar, cadrul juridic al statului de destinație, nu calitatea tehnică a furnizorului.

În materialele sale publice, CNPDCP a folosit explicit Federația Rusă ca exemplu de stat care nu asigură un nivel adecvat de protecție. Într-o notă adresată utilizatorilor unei aplicații de transport, Centrul vorbește despre „transmiterea transfrontalieră a datelor cu caracter personal către statele care nu asigură un nivel adecvat de protecție (cum ar fi spre ex. Federația Rusă)”. Aceeași notă atrage atenția asupra platformelor administrate de nerezidenți, cu servere în afara țării, unde controlul statului este dificil, iar exercitarea drepturilor de către persoana vizată este limitată.

Este Bitrix24.ru interzis în Republica Moldova?

Nu. Nicio prevedere a Legii nr. 195/2024 nu numește Bitrix24.ru și nu interzice un produs software anume. Formularea „Bitrix24.ru este ilegal în Moldova” este incorectă și nu o susținem.

Ce se poate afirma este altceva, și e mai nuanțat: dacă folosiți Bitrix24.ru pentru a prelucra date cu caracter personal, iar acele date ajung pe infrastructura din Federația Rusă descrisă de furnizor, atunci sunteți într-un transfer către alt stat și trebuie să vă puteți sprijini pe unul dintre mecanismele din capitolul V:

• o decizie privind caracterul adecvat emisă de Centru pentru statul de destinație (art. 45); sau
• garanții adecvate (art. 46) — clauze standard de protecție a datelor aprobate de Centru ori adoptate de Comisia Europeană, reguli corporatiste obligatorii, un cod de conduită sau un mecanism de certificare, însoțite de angajamente executorii; anumite clauze contractuale sunt posibile doar cu autorizarea Centrului; sau
• o derogare pentru situații specifice (art. 49), care este soluția de ultimă instanță, nu punctul de plecare.

În paralel, rămân aplicabile obligațiile care nu au legătură cu locația: temeiul juridic al prelucrării (art. 5–6), informarea persoanei vizate (art. 13), contractul cu persoana împuternicită de operator (art. 28), evidența activităților de prelucrare — care cere expres indicarea categoriilor de transferuri și a temeiului lor juridic (art. 30) — și securitatea prelucrării (art. 32).

Cât privește consecințele, legea prevede la art. 88 alin. (2) lit. c) că încălcarea dispozițiilor privind transferurile (art. 44–49) se sancționează cu amenzi de până la 2 000 000 de lei sau, în cazul unei întreprinderi, până la 2% din cifra totală de afaceri din anul anterior sancționării, luându-se în calcul cea mai mare valoare. Este ce prevede textul; nu facem predicții despre cum și când va fi aplicat.

Este suficient consimțământul clientului?

Răspunsul onest: uneori poate fi un temei valabil, dar un checkbox generic nu este o soluție universală și nu ar trebui tratat ca atare.

Art. 49 alin. (1) lit. a) permite transferul atunci când persoana vizată „și-a exprimat în mod explicit consimțământul cu privire la transferul propus, după ce a fost informată asupra posibilelor riscuri pe care astfel de transferuri le pot implica pentru ea ca urmare a lipsei unei decizii privind caracterul adecvat al nivelului de protecție și a unor garanții adecvate”. Sunt trei condiții în aceeași frază, ușor de ratat:

1. consimțământul trebuie să fie explicit, nu dedus dintr-o bifă generală „sunt de acord cu prelucrarea datelor”;
2. el privește transferul propus, deci clientul trebuie să știe că datele ajung în alt stat și în care anume;
3. persoana trebuie informată despre riscurile care decurg tocmai din absența unei decizii de adecvare și a garanțiilor.

În plus, art. 49 este construit ca derogare: se ajunge la el în absența unei decizii de adecvare (art. 45) și a unor garanții adecvate (art. 46). Iar condițiile generale privind consimțământul (art. 5–7) rămân valabile — între ele, faptul că el poate fi retras. Dacă un client își retrage consimțământul, prelucrarea acelor date în sistemul respectiv trebuie să înceteze; merită verificat din timp dacă acest lucru este realizabil operațional.

Există și un caz în care consimțământul este cel mai puțin confortabil temei: datele angajaților. Într-un CRM ajung nu doar clienți, ci și utilizatori interni. În practica europeană, consimțământul angajatului este privit cu rezervă din cauza raportului de subordonare — un angajat cu greu poate refuza liber. Nu este o interdicție, dar este un motiv serios să nu construiți întreaga conformitate pe el.

Ce riscuri are compania

Riscurile nu sunt doar de tip „amendă”. Sunt de patru feluri, iar în practică se manifestă în ordinea aceasta:

• Conformitate. Un transfer fără un mecanism identificat din capitolul V rămâne un transfer fără temei. Nu este o problemă care se rezolvă cu setări în platformă.
• Transparență față de clienți. Art. 13 cere informarea persoanei vizate. Dacă politica dumneavoastră de confidențialitate nu menționează că datele ajung în alt stat, informarea este incompletă — indiferent de mecanismul de transfer ales.
• Imposibilitatea de a demonstra. Într-un control, întrebarea nu este „aveți sau nu un CRM rusesc”, ci „arătați-mi temeiul transferului și documentația”. Evidența activităților de prelucrare (art. 30) cere explicit categoriile de transferuri și temeiul lor juridic. Dacă nu există documentul, răspunsul lipsește.
• Lanțul de subîmputerniciți. Furnizorul de CRM are, la rândul lui, furnizori — găzduire, backup, suport tehnic. Contractul de la art. 28 trebuie să acopere și acest nivel; altfel nu știți unde ajung datele în al doilea pas.
• Securitate și jurisdicție. Măsurile tehnice ale platformei (criptare, 2FA, WAF, backup) sunt reale și utile, dar răspund unei alte întrebări. Criteriile de la art. 45 alin. (2) privesc cadrul juridic al statului, inclusiv accesul autorităților publice la date. Un sistem poate fi bine securizat tehnic și, în același timp, situat într-o jurisdicție pe care evaluarea de adecvare o tratează diferit.
• Documentare și audit. Fără evidențe, o analiză corectă făcută în capul directorului IT nu are cum să fie demonstrată doi ani mai târziu.
• Încredere și reputație. Nu este un risc juridic, dar este real: pentru clienți B2B, pentru parteneri din UE și pentru procedurile de achiziție, întrebarea „unde stau datele noastre” apare tot mai des în chestionarele de furnizor.

Ce verifici dacă folosești deja Bitrix24.ru

Lista de mai jos nu înlocuiește o analiză juridică, dar pune întrebările în ordinea corectă. Se poate parcurge intern, într-o ședință de lucru, înainte de a implica un consultant.

1. Inventariați datele personale din CRM. Ce câmpuri conțin efectiv date despre persoane — clienți, contacte ale companiilor partenere, angajați, candidați. Includeți fișierele atașate și conținutul conversațiilor.
2. Identificați ediția și zona exactă. Cont pe bitrix24.ru, pe o zonă europeană, pe bitrix24.com sau instalare pe server propriu? Verificați în adresa portalului, nu din memorie.
3. Stabiliți unde sunt găzduite fizic datele. Documentația furnizorului pentru zona respectivă este punctul de plecare; salvați pagina, cu data.
4. Identificați entitățile juridice implicate. Cine este contrapartea din contract, cine operează infrastructura, sub ce jurisdicție.
5. Recitiți contractul și anexa de prelucrare a datelor. Există un acord care îndeplinește cerințele art. 28? Ce spune despre locația prelucrării?
6. Numiți mecanismul de transfer. Decizie de adecvare, garanții adecvate sau derogare — și scrieți care anume. Dacă nu poate fi numit, aceasta este constatarea principală a analizei.
7. Verificați notele de informare. Politica de confidențialitate pentru clienți și informarea angajaților menționează transferul și statul de destinație?
8. Cartografiați subîmputerniciții. Cine mai are acces — găzduire, backup, suport, integrări, aplicații din marketplace.
9. Revizuiți termenele de păstrare. Cât timp rămân în sistem contactele inactive și fișierele vechi. Datele care nu mai sunt necesare sunt cel mai ieftin risc de eliminat.
10. Testați exportul și ștergerea. Puteți extrage complet datele și le puteți șterge, la cerere, într-un termen rezonabil? Faceți proba, nu presupuneți.
11. Evaluați o migrare. Dacă infrastructura în Moldova sau în SEE ar reduce riscul, cât ar costa mutarea și cât ar dura.
12. Documentați analiza. Datată, cu sursele consultate și cu decizia luată. Acesta este documentul care contează într-un control.

Alternative din perspectiva localizării datelor

Această secțiune este despre unde stau datele, nu despre ce furnizor este mai bun. Opțiunile obișnuite:

• Infrastructură în Republica Moldova. Prelucrarea rămâne locală și discuția despre capitolul V nu se deschide.
• Infrastructură în Spațiul Economic European. Potrivit art. 44 alin. (2), capitolul V nu se aplică acestor transferuri.
• CRM instalat pe infrastructura proprie (self-hosted), unde locația și accesul sunt controlate de companie.
• Un furnizor care poate specifica contractual locația de stocare, subîmputerniciții și modul de prelucrare — util indiferent de răspunsul concret.

La Bsmart implementăm și configurăm Bitrix24 și construim CRM-uri personalizate, deci nu suntem un observator neutru — motiv în plus să spunem că alegerea corectă depinde de datele dumneavoastră, nu de preferința noastră. Dacă discuția este despre unde ajung datele, ea se poartă înainte de migrare, nu după. Detalii pe paginile de implementare CRM și CRM personalizat.

Concluzie

Problema nu este numele Bitrix24. Problema este ce date sunt transmise, unde ajung, cine le prelucrează și în baza cărui mecanism juridic.

Un operator din Republica Moldova care își poate răspunde la aceste patru întrebări, în scris și cu documente, este într-o poziție solidă indiferent de platforma pe care o folosește. Unul care nu poate are aceeași problemă și dacă migrează mâine în altă parte — pentru că lipsa analizei, nu furnizorul, este ceea ce rămâne nedocumentat.

Surse oficiale

1. Legea nr. 195/2024 privind protecția datelor cu caracter personal — textul publicat (legis.md). Capitolul V, art. 44–49; art. 88 alin. (2); art. 89 alin. (1).
2. CNPDCP — Transferul datelor cu caracter personal, cu textul art. 44–49.
3. CNPDCP — Recomandări și linii directorii.
4. CNPDCP — Ghidare în domeniul protecției datelor, secțiunea în atenția utilizatorilor aplicației Yandex Go, unde apare formularea privind statele care nu asigură un nivel adecvat de protecție.
5. Bitrix24 — Bitrix24 și stocarea datelor cu caracter personal (helpdesk oficial, ru).
6. Bitrix24 — Întrebări frecvente despre securitate (helpdesk oficial, ru).
7. Bitrix24 — GDPR, pentru zonele de domeniu găzduite în UE și în Statele Unite.
8. Regulamentul (UE) 2016/679 (GDPR) — EUR-Lex.

Legislația și materialele autorității se pot modifica. Datele au fost verificate la 31 august 2026.

Acest material are caracter informativ și nu constituie consultanță juridică. Aplicarea legislației privind protecția datelor depinde de circumstanțele concrete ale fiecărei organizații.