Партнёр по разработке в Армении или Грузии вместо Польши: что меняется для финтеха из ЕС с точки зрения GDPR, DORA и договора

Для финтеха из ЕС компания-разработчик в Армении или Грузии требует больше работы над договором, чем компания в Польше. Если её инженеры видят персональные данные, в договоре нужен инструмент передачи, например стандартные договорные условия, а оговорка о разрешении споров должна вести к решению, которое там можно исполнить. Если на вас распространяется DORA и сервис поддерживает критическую или важную функцию, оценка рисков должна учитывать ещё и защиту данных и исполнение закона в этой стране. Инженерные проверки, санкционный скрининг, права на код и большинство условий договора устроены так же, как в Польше.

Что меняется по сравнению с компанией в Польше, а что остаётся прежним?

Польша входит в ЕС, а Армения и Грузия — нет. Большая часть различий вытекает из этого:

• Данные: если инженер компании в Ереване или Тбилиси видит персональные данные ваших клиентов, такой доступ считается передачей данных за пределы ЕС. Доступ из Варшавы — нет
• DORA: для услуг, которые поддерживают критические или важные функции, поставщик за пределами ЕС добавляет в оценку рисков два вопроса — о защите данных и о том, как в его стране обеспечивается исполнение закона
• Споры: судебное решение из другой страны ЕС признаётся в Польше по правилам ЕС. В Армении и Грузии арбитражное решение исполнить проще, чем судебное
• Реестры: Европейский портал электронного правосудия (e-Justice) ищет по реестрам компаний Польши и других стран ЕС в одном месте. Армянские и грузинские компании записаны в собственных национальных реестрах, частично на армянском или грузинском

Остальное от страны не зависит: знакомство с инженерами, которые будут делать работу, письменная передача прав на код вашей компании, репозитории и облачные аккаунты на имя вашей компании, санкционная проверка компании и её владельцев и большинство договорных условий из списка DORA.

Сколько рабочих часов у нас будет общих с командой в Ереване или Тбилиси?

Армения и Грузия круглый год живут по UTC+4 — так указано в базе часовых поясов IANA. Страны ЕС переводят часы вперёд в последнее воскресенье марта и назад в последнее воскресенье октября. Поэтому Ереван и Тбилиси опережают Франкфурт, Париж и Варшаву на три часа зимой и на два летом.

Если обе стороны работают с 9 до 18, у команды в Ереване с Франкфуртом шесть общих рабочих часов зимой и семь летом. С Лондоном — пять часов зимой и шесть летом. Ежедневный созвон, код-ревью и релизы планируйте в это окно, а общие часы пропишите в договоре.

До подписания договора послушайте на видеозвонке, как инженеры и человек, который будет вести работу изо дня в день, говорят на рабочем языке вашей команды.

Передача ли это данных, если инженеры просто заходят в систему из Еревана?

Да, если они видят персональные данные. Европейский совет по защите данных (EDPB), который объединяет надзорные органы ЕС в этой области, написал в своих Руководящих принципах 05/2021, что «удалённый доступ из третьей страны (даже если он сводится лишь к отображению персональных данных на экране, например при поддержке, устранении неполадок или в целях администрирования)» тоже считается передачей, если выполнены три критерия передачи из этих принципов. Они выполнены, когда инженеры работают в другой компании, например у вашего партнёра по разработке.

Проще всего ограничить передачу, если держать персональные данные вне досягаемости инженеров: тестовые данные, маскированные копии и доступ к продакшену только при необходимости и с записью в журнал. Как это устроить, описано в статье об аутсорсинге разработки ИИ без выноса ваших данных.

Решение о достаточности защиты позволяет передавать персональные данные в страну без дополнительных гарантий. На 26 октября 2026 года в списке таких решений Европейской комиссии нет ни Армении, ни Грузии. Для обеих стран обычный инструмент — стандартные договорные условия (SCC): готовые формулировки договора, которые Комиссия приняла 4 июня 2021 года.

Для компании-разработчика, которая работает с вашими данными по вашим указаниям, подходит модуль 2 — для передачи от контролёра обработчику. Если ваш финтех сам обрабатывает данные по поручению корпоративных клиентов, вместо него применяется модуль 3 — для передачи от обработчика обработчику. В вопросах и ответах Комиссии об этих условиях сказано, что с модулем 2 вам «не нужно заключать отдельное соглашение об обработке данных», потому что он уже содержит условия, которых требует статья 28 GDPR. Текст условий менять нельзя: можно только выбрать модули и варианты, заполнить приложения и добавить гарантии.

До подписания обе стороны должны оценить, могут ли «законы и практика третьей страны назначения» помешать компании соблюдать эти условия. В вопросах и ответах также перечислено, что учитывать, — например, категории и формат данных и длину цепочки обработки.

Британский финтех работает по UK GDPR. Британские правила о достаточности защиты распространяются на Польшу как на часть Европейской экономической зоны и не распространяются на Армению и Грузию. Для передачи данных туда Управление комиссара по информации (ICO) называет Международное соглашение о передаче данных (IDTA) и Международное дополнение о передаче данных, которое добавляется к условиям ЕС, и требует ещё и оценки рисков передачи.

Что требует DORA, если поставщик находится за пределами ЕС?

DORA, Регламент ЕС о цифровой операционной устойчивости, применяется с 17 января 2025 года. Он распространяется на банки, платёжные организации и организации электронных денег, инвестиционные компании, поставщиков услуг в сфере криптоактивов, торговые площадки и другие финансовые организации. Его правила касаются ИКТ-услуг — так регламент называет технологические услуги. Считается ли договор на разработку такой услугой, зависит от того, что в него входит, например поддержка, сопровождение или хостинг после запуска, поэтому сначала спросите своих специалистов по комплаенсу.

Если считается, вы, по словам статьи 28, остаётесь «полностью ответственными» за свои обязательства по DORA и вносите договор в свой реестр информации — перечень договоров на ИКТ-услуги, которого требует DORA. Статья 30 перечисляет условия, которые нужны в каждом таком договоре, среди них — страны, где оказываются услуги и обрабатываются данные, предварительное уведомление до смены этих мест и возврат ваших данных, если поставщик перестанет работать или договор закончится. Компании в Польше эти условия тоже придётся принять.

Разница — в одной части оценки рисков: для услуг, которые поддерживают критические или важные функции, то есть функции, сбой которых серьёзно навредил бы вашему бизнесу или соблюдению требований. Для любого такого поставщика статья 29 требует учесть, какие правила о несостоятельности будут применяться, и любые препятствия для «срочного восстановления данных финансовой организации». Для компании в Армении или Грузии это армянские или грузинские правила. Для поставщика, «учреждённого в третьей стране», статья добавляет «соблюдение правил Союза о защите данных и эффективное применение права в этой третьей стране».

Спросите компанию, где её люди и серверы будут работать с вашей системой и как вы вернёте свой код и данные, если она перестанет на вас работать. Спросите своих юристов, можно ли будет там исполнить решение в вашу пользу. Кроме того, договорам на такие услуги нужны права на аудит и доступ и стратегия выхода с переходным периодом — где бы ни находился поставщик.

Можно ли добиться исполнения договора с компанией в Армении или Грузии?

Да, если продумать путь до подписания. Решение против компании придётся исполнять там, где её счета и имущество, — обычно в её собственной стране.

Арбитражное решение исполнить проще. Армения, Грузия и Польша — участницы Нью-Йоркской конвенции 1958 года, по которой договаривающиеся государства признают и исполняют арбитражные решения, вынесенные в других договаривающихся государствах. По таблице статуса ЮНСИТРАЛ для Грузии конвенция действует с 1994 года, для Армении — с 1998-го. Армения применяет её только к решениям, вынесенным в другом договаривающемся государстве, и к спорам, которые её право считает коммерческими.

С судебными решениями сложнее. Внутри ЕС по Регламенту «Брюссель Ia» решение немецкого или французского суда признаётся в Польше без особой процедуры. Кроме того, через ЕС на Польшу распространяется Гаагская конвенция о судебных решениях 2019 года, которая для Великобритании действует с 1 июля 2025 года. На 26 октября 2026 года ни Армения, ни Грузия не участвуют ни в этой конвенции, ни в Гаагской конвенции о соглашениях о выборе суда 2005 года — так следует из таблиц статуса Гаагской конференции.

Поэтому для компании в Армении или Грузии спросите юриста об арбитражной оговорке с местом арбитража, то есть его юридическим адресом, в стране — участнице конвенции. Спросите и о том, как там отнесутся к решению суда вашей страны. Для критических или важных функций этот ответ — часть того, что DORA требует учесть.

Несёт ли компания в Армении или Грузии санкционный риск по сравнению с компанией в России или Беларуси?

Как страна — нет. На 26 октября 2026 года санкционная карта ЕС (EU Sanctions Map) показывает санкционные режимы ЕС в отношении России и Беларуси и ни одного в отношении Армении или Грузии. В списке санкционных режимов Великобритании и в списке санкционных программ Министерства финансов США для Армении и Грузии их тоже нет.

Отсутствие режима в отношении страны не делает чистой ни одну компанию в ней. Проверьте компанию, каждого владельца из реестра, директора и банк получателя по сводному списку финансовых санкций ЕС, а если вы британская компания — ещё и по UK Sanctions List. В Лучших практиках эффективного применения ограничительных мер, обновлённых 3 июля 2024 года, Совет ЕС считает организацию принадлежащей лицу из списка начиная с «50% или более прав собственности». Платёж такой организации в принципе будет считаться косвенным предоставлением средств лицу из списка.

Спросите и о том, откуда будет работать каждый инженер вашего проекта, и до подписания получите заключение юриста по санкциям, если кто-то будет работать из России или Беларуси. Правила США на этот счёт описаны в статье о выборе компании в Восточной Европе или на Кавказе.

Если в вашу группу входит американская компания, проверьте ещё и то, где живут владельцы и инженеры фирмы: программа безопасности данных (Data Security Program) Министерства юстиции, действующая с 8 апреля 2025 года, называет шесть «стран, вызывающих озабоченность», среди них Россию, но не Беларусь, Армению или Грузию. По ней американская компания может дать поставщику, учреждённому в России, доступ к персональным финансовым данным более чем 10 000 лиц США (US persons), подсчитанных за предыдущие двенадцать месяцев, только при выполнении требований программы по безопасности и комплаенсу. Правило распространяется и на поставщика за пределами США, если 50% или более в нём принадлежит таким компаниям или людям, которые в основном живут в России. Инженер, который в основном живёт в России, тоже считается лицом, на которое распространяется программа (covered person), кто бы его ни нанимал.

С какой компанией подписывать договор и как проверить, что она настоящая?

Подписывайте договор с компанией, в которой работают инженеры вашего проекта. Если фирма предлагает договор со своей компанией в ЕС или США, а инженеры работают в её армянской или грузинской компании, попросите показать, как код и права переходят от одной компании к другой, а затем к вам.

Затем сами найдите компанию в официальном реестре. В Армении это реестр юридических лиц Министерства юстиции на e-register.moj.am. В Грузии — реестр Национального агентства публичного реестра. Польскую компанию можно найти через Европейский портал электронного правосудия (e-Justice), который ищет по национальным реестрам компаний. Что показывает каждый реестр и с чем его сверять, описано в статье о выборе компании в Восточной Европе или на Кавказе.

Настоящая компания тоже может остановить работу на полпути. Проверки на этот случай описаны в статье о выделенной команде, которая не исчезнет. Условия DORA, о которых шла речь выше, защищают вас и здесь: ваш код — в ваших репозиториях, ваши данные возвращаются в пригодном для работы формате, а на переезд есть переходный период.

Где здесь место amBrain?

amBrain, который ведёт этот блог, — инженерная компания из Еревана, Армения, так что армянская часть этой статьи относится и к нему. Среди его услуг — «разработка торговых терминалов, систем управления заявками и биржевая интеграция по протоколу FIX». Он делает софт с 2019 года и работает в трёх форматах: полная разработка, выделенная команда или инженеры внутри вашей команды.

О владении у него такая строка: «Клиент сохраняет полное владение продуктом и кодом, кроме наших переиспользуемых компонентов». Если amBrain в вашем шорт-листе, задайте ему вопросы из этой статьи, как любой другой компании: подписывает ли он стандартные договорные условия, где работает каждый инженер, принимает ли он условия статьи 30 и какие именно переиспользуемые компоненты имеются в виду.

Эта статья — не юридическая консультация: прежде чем подписывать договор, дайте его прочитать юристу.