Տվյալների մշակման հավելված

Տարբերակ 1.0 · Ուժի մեջ է 20 ապր, 2026 թ.

Լեզուներ։ Սույն Հավելվածը հրապարակվում է հայերեն, անգլերեն և ռուսերեն լեզուներով։ Տարբերակների միջև անհամապատասխանության դեպքում գերակա է անգլերեն տարբերակը։

Երբ է կիրառվում։ Հավելվածն առաջարկվում է այն բիզնես Հաճախորդներին, որոնք VCR.AM ծառայությունից օգտվելիս մեզ մշակման են հանձնում իրենց վերջնական օգտատերերի (օրինակ՝ գնորդների) անձնական տվյալները։ Ծառայության սովորական օգտատերերի վրա տարածվում է միայն Գաղտնիության քաղաքականությունը, և նրանց առանձին DPA պետք չէ։

1. Սահմանումներ

Մեծատառով գրված տերմիններն ունեն ստորև տրված իմաստները։ Եթե տերմինն օգտագործվում է ԵՄ Անձնական տվյալների պաշտպանության ընդհանուր կանոնակարգում (Կանոնակարգ (ԵՄ) 2016/679) («GDPR») կամ ՀՀ «Անձնական տվյալների պաշտպանության մասին» օրենքում («ՀՀ ԱՏՊՕ»), այն ունի նույն իմաստը։

• «Պրոցեսոր»՝ «Բլոբ Սոլուշնս» ՍՊԸ (ՀՎՀՀ 02906081), VCR.AM ծառայության մատակարարը («Պրոցեսոր», «մենք»)։
• «Հաճախորդ»՝ իրավաբանական անձ կամ անհատ ձեռնարկատեր, որն ընդունել է Հրապարակային առաջարկը, և որի նկատմամբ կիրառվում է սույն Հավելվածը («Հաճախորդ», «դուք»)։
• «Հաճախորդի անձնական տվյալներ»՝ Հաճախորդի վերջնական օգտատերերի կամ ներկայացուցիչների անձնական տվյալներ, որոնք Պրոցեսորը մշակում է Հաճախորդի հանձնարարությամբ՝ Պայմանագրի շրջանակներում։
• «Պայմանագիր»՝ Հրապարակային առաջարկը և Պրոցեսորի ու Հաճախորդի միջև Ծառայության օգտագործումը կարգավորող այլ պարտադիր պայմաններ։
• «Ենթամշակող»՝ ցանկացած երրորդ անձ, որին Պրոցեսորը ներգրավում է Հաճախորդի անձնական տվյալների մշակման համար։ Արդի ցանկը հրապարակված է /legal/sub-processors էջում։
• «Ստանդարտ պայմանագրային դրույթներ» կամ «SCCs»՝ անձնական տվյալները երրորդ երկրներ փոխանցելու ստանդարտ պայմանագրային դրույթներ, որոնք ընդունել է Եվրոպական հանձնաժողովը (վերջին խմբագրությամբ՝ Հանձնաժողովի (ԵՄ) 2021/914 իրականացման որոշմամբ, Մոդուլ 2՝ վերահսկողից պրոցեսորին)։

«Վերահսկող», «պրոցեսոր», «տվյալների սուբյեկտ», «անձնական տվյալների անվտանգության խախտում», «մշակում» և «հսկիչ մարմին» տերմիններն ունեն GDPR-ի 4-րդ հոդվածում և ՀՀ ԱՏՊՕ-ի համապատասխան դրույթներում տրված իմաստները։ ՀՀ ԱՏՊՕ-ն վերահսկողին անվանում է «անձնական տվյալների մշակող», իսկ պրոցեսորին՝ «լիազորված անձ». սույն Հավելվածը հետևում է GDPR-ի տերմինաբանությանը։

2. Կարգավորման առարկան և կողմերի դերերը

2.1. Սույն Հավելվածը լրացնում է Պայմանագիրը և կարգավորում է Հաճախորդի անձնական տվյալների մշակումը Պրոցեսորի կողմից։

2.2. Կողմերն ընդունում են, որ Հաճախորդի անձնական տվյալների նկատմամբ Հաճախորդը հանդես է գալիս որպես վերահսկող, իսկ Պրոցեսորը՝ որպես պրոցեսոր՝ GDPR-ի և ՀՀ ԱՏՊՕ-ի իմաստով։ Եթե Հաճախորդն ինքն է պրոցեսոր վերադաս վերահսկողի համար, սույն Հավելվածը Պրոցեսորի նկատմամբ կիրառվում է որպես ենթամշակողի՝ համարժեք պայմաններով։

2.3. Այն անձնական տվյալների նկատմամբ, որոնք Պրոցեսորը մշակում է որպես ինքնուրույն վերահսկող (օրինակ՝ Հաճախորդի ադմինիստրատորների հաշիվների տվյալները), կիրառվում է Գաղտնիության քաղաքականությունը, այլ ոչ թե սույն Հավելվածը։

3. Մշակման առարկան, ժամկետը, բնույթը և նպատակը

3.1. Առարկան և ժամկետը՝ Պրոցեսորը մշակում է Հաճախորդի անձնական տվյալները Պայմանագրի գործողության ընթացքում և Գաղտնիության քաղաքականությունում նշված պահպանման ժամկետներում։

3.2. Բնույթը և նպատակը՝ VCR.AM ծառայության մատուցման համար անհրաժեշտ մշակում. գործարքների գրանցում Հայաստանի Հանրապետության Պետական եկամուտների կոմիտեում, PDF կտրոնների ստեղծում և առաքում, Հաճախորդի հաշվի վարում, Ծառայության անվտանգության և ամբողջականության ապահովում։

3.3. Սովորաբար մշակվող անձնական տվյալների տեսակները՝ անուններ, էլ. փոստի հասցեներ, հարկ վճարողի հաշվառման համարներ (ՀՎՀՀ), գործարքների գումարներ և դիրքեր, կտրոն ստացողների էլ. փոստի հասցեներ, տեխնիկական նույնացուցիչներ (IP հասցե, user agent)։

3.4. Տվյալների սուբյեկտների կատեգորիաները՝ Հաճախորդի վերջնական օգտատերեր (գնորդներ, կտրոն ստացողներ) և Հաճախորդի լիազորված ներկայացուցիչներ։

4. Հաճախորդի հրահանգները

4.1. Պրոցեսորը Հաճախորդի անձնական տվյալները մշակում է միայն Հաճախորդի փաստաթղթավորված հրահանգներով։ Այդպիսի հրահանգներ են՝ (a) սույն Հավելվածը, (b) Պայմանագիրը, (c) Հաճախորդի կողմից Ծառայության օրինաչափ կարգավորումն ու օգտագործումը, (d) կողմերի միջև ողջամտորեն համաձայնեցված այլ գրավոր հրահանգներ։

4.2. Պրոցեսորն անհապաղ տեղեկացնում է Հաճախորդին, եթե գտնում է, որ հրահանգը խախտում է GDPR-ը, ՀՀ ԱՏՊՕ-ն կամ տվյալների պաշտպանության մասին այլ կիրառելի օրենսդրություն։

4.3. Պրոցեսորը կարող է Հաճախորդի անձնական տվյալները մշակել նաև այն դեպքում, երբ դա պահանջում է կիրառելի օրենսդրությունը։ Այդ դեպքում Պրոցեսորը մինչև մշակումը Հաճախորդին տեղեկացնում է այդ պահանջի մասին, եթե օրենքը հանրային շահի կարևոր նկատառումներով չի արգելում նման ծանուցումը։

5. Գաղտնիություն

Պրոցեսորն ապահովում է, որ Հաճախորդի անձնական տվյալների մշակմանը թույլատրված աշխատակիցները կապված լինեն գաղտնիության պայմանագրային կամ օրենքով սահմանված պարտավորություններով։

6. Անվտանգություն

6.1. Պրոցեսորը Հաճախորդի անձնական տվյալների պաշտպանության համար կիրառում է համապատասխան տեխնիկական և կազմակերպչական միջոցներ, այդ թվում՝ Գաղտնիության քաղաքականության 7-րդ բաժնում նկարագրվածները, որոնք համառոտ թվարկված են ստորև․

• Կոդավորում փոխանցման ընթացքում՝ TLS 1.2 և ավելի բարձր։
• Պահպանման ժամանակ կոդավորում հիմնական տվյալների բազայի և պահպանված մուտքի տվյալների համար՝ AES-ի վրա հիմնված, առանձին բանալիով յուրաքանչյուր գործունեության սուբյեկտի համար՝ համաձայն ՀՀ ԱՏՊՕ 19-րդ հոդվածի 2-րդ մասի։
• Դերերի վրա հիմնված մուտքի վերահսկողություն և տվյալների մեկուսացում ըստ գործունեության սուբյեկտի։
• Բազմագործոն նույնականացում ադմինիստրատիվ հաշիվներում, մուտք նվազագույն արտոնությունների սկզբունքով։
• Սխալների և անոմալիաների շարունակական մոնիթորինգ, անվտանգության համար կարևոր կախվածությունների աուդիտ։
• Միջադեպերին արձագանքելու փաստաթղթավորված ընթացակարգ՝ ստորև 9-րդ բաժնում նշված ծանուցման ժամկետներով։

6.2. Վերը նշված միջոցները հաշվի են առնում տեխնիկայի արդի մակարդակը, ներդրման ծախսերը, մշակման բնույթը, ծավալը, համատեքստը և նպատակները, ինչպես նաև տվյալների սուբյեկտների իրավունքների և ազատությունների համար տարբեր հավանականության և ծանրության ռիսկերը։

7. Ենթամշակողներ

7.1. Հաճախորդը ընդհանուր թույլտվություն է տալիս Պրոցեսորին ներգրավելու ենթամշակողներ, եթե Պրոցեսորը՝

• Յուրաքանչյուր ենթամշակողի վրա դնում է տվյալների պաշտպանության այնպիսի պարտավորություններ, որոնք ըստ էության համարժեք են սույն Հավելվածով սահմանվածներին։
• Ենթամշակողների արդի ցանկը հրապարակում է /legal/sub-processors էջում։
• Առնվազն 14 օր առաջ ծանուցում է Հաճախորդին յուրաքանչյուր նոր կամ փոխարինող ենթամշակողի, ինչպես նաև գործող ենթամշակողի մշակման ծավալի էական փոփոխության մասին։

7.2. Հաճախորդը կարող է տվյալների պաշտպանությանն առնչվող ողջամիտ հիմքերով առարկել նոր ենթամշակողի դեմ՝ ծանուցումից հետո 14 օրվա ընթացքում գրելով support@vcr.am հասցեին։ Եթե կողմերը չեն գալիս լուծման, Հաճախորդը կարող է առանց տույժի դադարեցնել Պայմանագիրը՝ առնչվող մշակման մասով։ Ֆիսկալ տվյալների պահպանման պարտադիր ժամկետները շարունակում են գործել։

7.3. Պրոցեսորը Հաճախորդի առջև լիովին պատասխանատու է ենթամշակողի կողմից տվյալների պաշտպանության պարտավորությունները չկատարելու համար։

8. Տվյալների միջազգային փոխանցում

8.1. Կողմերն ընդունում են, որ Պրոցեսորը և որոշ ենթամշակողներ գտնվում են Հայաստանի Հանրապետությունից և Եվրոպական տնտեսական տարածքից դուրս։

8.2. Հաճախորդի անձնական տվյալներն այն երկրներ փոխանցելիս, որոնց վերաբերյալ համարժեքության որոշում ընդունված չէ, կողմերը հիմնվում են Ստանդարտ պայմանագրային դրույթների կամ համարժեք մեխանիզմների վրա, որոնք անհրաժեշտության դեպքում լրացվում են տեխնիկական և կազմակերպչական միջոցներով (օրինակ՝ կոդավորում փոխանցման և պահպանման ժամանակ, կեղծանվանում)։

8.3. Կնքելով սույն Հավելվածը՝ Հաճախորդը համարվում է SCCs կնքած Պրոցեսորի հետ (իսկ կիրառելի դեպքերում՝ իր ենթամշակողների անունից գործող Պրոցեսորի հետ)՝ Ծառայության մատուցման համար անհրաժեշտ ցանկացած հետագա փոխանցման համար։

9. Անձնական տվյալների անվտանգության խախտումներ

9.1. Պրոցեսորը Հաճախորդին ծանուցում է առանց անհարկի ուշացման՝ Հաճախորդի անձնական տվյալներին առնչվող անվտանգության խախտման մասին տեղեկանալուց հետո, և ամեն դեպքում՝ 72 ժամվա ընթացքում։

9.2. Ծանուցումը, որքանով հայտնի է, պարունակում է՝ (a) խախտման բնույթը, տուժած տվյալների սուբյեկտների և գրառումների կատեգորիաներն ու մոտավոր քանակը, (b) հավանական հետևանքները, (c) խախտումը վերացնելու և դրա հնարավոր բացասական հետևանքները մեղմելու համար ձեռնարկված կամ առաջարկվող միջոցները, (d) այն անձի անունը և կոնտակտային տվյալները, որից կարելի է ստանալ լրացուցիչ տեղեկություն։

9.3. Պրոցեսորը ծանուցում է նաև Անձնական տվյալների պաշտպանության գործակալությանը և Հայաստանի Հանրապետության Ոստիկանությանը, երբ դա պահանջում է ՀՀ ԱՏՊՕ 21-րդ հոդվածի 4-րդ մասը՝ անկախ այն բանից, թե Հաճախորդը ծանուցում է արդյոք իր հսկիչ մարմնին։

10. Աջակցություն տվյալների սուբյեկտների իրավունքների իրացմանը

Պրոցեսորը, հաշվի առնելով մշակման բնույթը, համապատասխան տեխնիկական և կազմակերպչական միջոցներով, որքանով հնարավոր է, աջակցում է Հաճախորդին՝ կատարելու GDPR-ով (12–22-րդ հոդվածներ) կամ ՀՀ ԱՏՊՕ-ով (15-րդ, 17-րդ հոդվածներ) իրենց իրավունքներն իրացնող տվյալների սուբյեկտների հարցումներին պատասխանելու իր պարտականությունը։

11. Աջակցություն ազդեցության գնահատմանը և խորհրդատվություններին

Պրոցեսորը Հաճախորդին ողջամիտ աջակցություն է ցուցաբերում տվյալների պաշտպանության վրա ազդեցության գնահատման (GDPR 35-րդ հոդված) և հսկիչ մարմինների հետ նախնական խորհրդատվությունների (36-րդ հոդված) ժամանակ՝ հաշվի առնելով մշակման բնույթը և Պրոցեսորին հասանելի տեղեկությունները։

12. Աուդիտի իրավունք

12.1. Պրոցեսորը Հաճախորդին տրամադրում է սույն Հավելվածի պարտավորությունների կատարումը հավաստելու համար անհրաժեշտ ողջ տեղեկատվությունը, թույլ է տալիս Հաճախորդի կամ նրա լիազորած աուդիտորի կողմից անցկացվող ստուգումներ, ներառյալ զննումներ, և աջակցում է դրանց։

12.2. Հաճախորդը համաձայնում է աուդիտի իրավունքն իրացնել առաջին հերթին ողջամիտ գրավոր հարցաթերթերի և առկայության դեպքում՝ գործող անկախ աուդիտի հաշվետվությունների (SOC 2, ISO 27001) ուսումնասիրության միջոցով։ Տեղում ստուգումները թույլատրվում են միայն այն դեպքում, երբ նման հաշվետվությունները չեն փարատում կոնկրետ, փաստաթղթավորված մտահոգությունը։ Հաճախորդն ինքն է կրում աուդիտի ծախսերը և հնարավորինս նվազեցնում է Ծառայության աշխատանքին խանգարելը։

13. Տվյալների ջնջումը կամ վերադարձը ծառայությունների ավարտից հետո

Պայմանագրի դադարեցման դեպքում Պրոցեսորը, Հաճախորդի ընտրությամբ, ջնջում կամ վերադարձնում է Հաճախորդի բոլոր անձնական տվյալները, բացառությամբ այն տվյալների, որոնք պետք է պահպանվեն օրենքով, մասնավորապես՝ ՀՀ Հարկային օրենսգրքով և Հաշվապահական հաշվառման մասին օրենքով սահմանված ֆիսկալ գրառումների։ Օրենքի ուժով պահպանվող տվյալները շարունակում են պաշտպանվել սույն Հավելվածին համապատասխան՝ մինչև դրանց օրինաչափ ոչնչացումը։

14. Պատասխանատվություն

14.1. Կողմերից յուրաքանչյուրի պատասխանատվությունը սույն Հավելվածով կամ դրա հետ կապված սահմանափակված է Պայմանագրով սահմանված չափով (տե՛ս Հրապարակային առաջարկի 11-րդ բաժինը)։

14.2. Սույն Հավելվածում ոչինչ չի սահմանափակում այն պատասխանատվությունը, որը չի կարող սահմանափակվել օրենքով, այդ թվում՝ կոպիտ անզգուշության կամ դիտավորյալ գործողությունների համար։

15. Փաստաթղթերի առաջնահերթությունը

Հաճախորդի անձնական տվյալների մշակման մասով սույն Հավելվածի և Պայմանագրի միջև հակասության դեպքում գերակա է սույն Հավելվածը։ Սույն Հավելվածի և SCCs-ի միջև հակասության դեպքում գերակա են SCCs-ը։

16. Փոփոխություններ

Պրոցեսորը ժամանակ առ ժամանակ կարող է փոփոխել սույն Հավելվածը։ Էական փոփոխությունների մասին՝ այն փոփոխությունների, որոնք ազդում են GDPR-ով կամ ՀՀ ԱՏՊՕ-ով Հաճախորդի իրավունքների և պարտականությունների վրա, տեղեկացվում է առնվազն 30 օր առաջ՝ էլ. փոստով և այս էջի վերևում թարմացված տարբերակի համարով։ Փոփոխությունների ուժի մեջ մտնելու օրվանից հետո Ծառայությունից շարունակական օգտվելը նշանակում է թարմացված Հավելվածի ընդունում։ Էական փոփոխությունը չընդունող Հաճախորդը կարող է դադարեցնել Պայմանագիրը Հրապարակային առաջարկի 13.2 կետով։

17. Կնքումը

Սույն Հավելվածն ինքնաբերաբար ուժի մեջ է մտնում, երբ բիզնես Հաճախորդն ընդունում է Պայմանագիրը և Ծառայության միջոցով սկսում է մշակել Հաճախորդի անձնական տվյալներ։ Բիզնես Հաճախորդները, որոնց անհրաժեշտ է մեր կողմից ստորագրված Հավելվածի PDF օրինակ, կարող են այն պահանջել support@vcr.am հասցեով՝ «DPA counter-signature request» թեմայով։

18. Փոփոխությունների պատմություն

• v1.0 — 2026-04-20 — Առաջին հրապարակում։
• 2026-10-23 — Հրապարակվեցին հայերեն և ռուսերեն տարբերակները. բովանդակությունը չի փոխվել, գերակա է անգլերեն տարբերակը։

19. Կոնտակտային տվյալներ

«Բլոբ Սոլուշնս» ՍՊԸ
ՀՎՀՀ՝ 02906081
Իրավասություն՝ Հայաստանի Հանրապետություն
Էլ. փոստ՝ support@vcr.am

Ընդհանուր Գաղտնիության քաղաքականությունը՝ /legal/privacy էջում։ Ենթամշակողների արդի ցանկը՝ /legal/sub-processors էջում։