Перейти к содержимому

Соглашение об обработке данных

Версия 1.0 · Действует с 20 апр. 2026 г.

Языки. Настоящее Соглашение публикуется на армянском, английском и русском языках. При расхождении преимущественную силу имеет английская версия.

Когда применяется. Соглашение предлагается бизнес-Клиентам, которые, пользуясь сервисом VCR.AM, передают нам на обработку персональные данные своих конечных пользователей (например, покупателей). Обычные пользователи Сервиса регулируются только Политикой конфиденциальности и в отдельном DPA не нуждаются.

1. Определения

Термины с заглавной буквы имеют значения, указанные ниже. Если термин используется в Общем регламенте ЕС по защите данных (Регламент (ЕС) 2016/679) («GDPR») или в Законе РА «О защите персональных данных» («ЗЗПД РА»), он имеет то же значение.

  • «Процессор» — ООО «Блоб Солюшнс» (ИНН 02906081), поставщик сервиса VCR.AM («Процессор», «мы»).
  • «Клиент» — юридическое лицо или индивидуальный предприниматель, принявший Публичную оферту, к которому применяется настоящее Соглашение («Клиент», «вы»).
  • «Персональные данные Клиента» — персональные данные конечных пользователей или представителей Клиента, которые Процессор обрабатывает по поручению Клиента в рамках Договора.
  • «Договор» — Публичная оферта и иные обязательные условия между Процессором и Клиентом, регулирующие пользование Сервисом.
  • «Субпроцессор» — любое третье лицо, привлечённое Процессором к обработке Персональных данных Клиента. Актуальный список опубликован на странице /legal/sub-processors.
  • «Стандартные договорные положения» или «SCCs» — стандартные договорные положения о передаче персональных данных в третьи страны, утверждённые Европейской комиссией (в последней редакции — Имплементационным решением Комиссии (ЕС) 2021/914, Модуль 2: от контролёра к процессору).

Такие термины, как «контролёр», «процессор», «субъект данных», «нарушение безопасности персональных данных», «обработка» и «надзорный орган», имеют значения, указанные в ст. 4 GDPR и соответствующих положениях ЗЗПД РА. ЗЗПД РА называет контролёра «обработчиком персональных данных», а процессора — «уполномоченным лицом»; настоящее Соглашение следует терминологии GDPR.

2. Предмет и роли сторон

2.1. Настоящее Соглашение дополняет Договор и регулирует обработку Процессором Персональных данных Клиента.

2.2. Стороны признают, что в отношении Персональных данных Клиента Клиент выступает контролёром, а Процессор — процессором в значении GDPR и ЗЗПД РА. Если Клиент сам является процессором для вышестоящего контролёра, настоящее Соглашение применяется к Процессору как к субпроцессору на зеркальных условиях.

2.3. К персональным данным, которые Процессор обрабатывает как самостоятельный контролёр (например, данные учётных записей администраторов Клиента), применяется Политика конфиденциальности, а не настоящее Соглашение.

3. Предмет, срок, характер и цель обработки

3.1. Предмет и срок — Процессор обрабатывает Персональные данные Клиента в течение срока действия Договора и в течение сроков хранения, указанных в Политике конфиденциальности.

3.2. Характер и цель — обработка, необходимая для предоставления сервиса VCR.AM: регистрация транзакций в Комитете государственных доходов Республики Армения, формирование и доставка PDF-чеков, ведение аккаунта Клиента, обеспечение безопасности и целостности Сервиса.

3.3. Обычно обрабатываемые виды персональных данных — имена, адреса электронной почты, идентификационные номера налогоплательщика (ИНН), суммы и позиции транзакций, адреса электронной почты получателей чеков, технические идентификаторы (IP-адрес, user agent).

3.4. Категории субъектов данных — конечные пользователи Клиента (покупатели, получатели чеков) и уполномоченные представители Клиента.

4. Указания Клиента

4.1. Процессор обрабатывает Персональные данные Клиента только по документированным указаниям Клиента. Такими указаниями являются: (a) настоящее Соглашение; (b) Договор; (c) правомерная настройка и использование Сервиса Клиентом; (d) иные письменные указания, разумно согласованные сторонами.

4.2. Процессор незамедлительно сообщает Клиенту, если считает, что указание нарушает GDPR, ЗЗПД РА или иное применимое законодательство о защите данных.

4.3. Процессор также может обрабатывать Персональные данные Клиента, если этого требует применимое законодательство. В таком случае Процессор до начала обработки сообщает Клиенту об этом требовании, если только закон не запрещает такое уведомление по важным соображениям публичного интереса.

5. Конфиденциальность

Процессор обеспечивает, чтобы работники, допущенные к обработке Персональных данных Клиента, были связаны договорными или установленными законом обязательствами о конфиденциальности.

6. Безопасность

6.1. Процессор применяет надлежащие технические и организационные меры для защиты Персональных данных Клиента, в том числе описанные в разделе 7 Политики конфиденциальности и кратко перечисленные ниже:

  • Шифрование при передаче по TLS 1.2 и выше.
  • Шифрование при хранении основной базы данных и сохранённых учётных данных на основе AES с отдельными ключами для каждого субъекта предпринимательской деятельности — в соответствии с ч. 2 ст. 19 ЗЗПД РА.
  • Ролевое разграничение доступа и изоляция данных каждого субъекта предпринимательской деятельности.
  • Многофакторная аутентификация для административных учётных записей; доступ по принципу минимальных привилегий.
  • Постоянный мониторинг ошибок и аномалий; аудит зависимостей, важных для безопасности.
  • Документированная процедура реагирования на инциденты со сроками уведомления, указанными в разделе 9 ниже.

6.2. Указанные меры учитывают современный уровень техники, затраты на внедрение, характер, объём, контекст и цели обработки, а также риски различной вероятности и тяжести для прав и свобод субъектов данных.

7. Субпроцессоры

7.1. Клиент даёт общее разрешение на привлечение Процессором субпроцессоров при условии, что Процессор:

  • Возлагает на каждого субпроцессора обязательства по защите данных, по существу равноценные обязательствам по настоящему Соглашению.
  • Публикует актуальный список субпроцессоров на странице /legal/sub-processors.
  • Уведомляет Клиента не менее чем за 14 дней о каждом новом или заменяющем субпроцессоре, а также о существенном изменении объёма обработки у действующего субпроцессора.

7.2. Клиент может возразить против нового субпроцессора по разумным основаниям, связанным с защитой данных, написав на support@vcr.am в течение 14 дней с момента уведомления. Если стороны не придут к решению, Клиент может прекратить Договор без штрафных санкций в части затронутой обработки. Обязательные сроки хранения фискальных данных при этом продолжают действовать.

7.3. Процессор несёт полную ответственность перед Клиентом за неисполнение субпроцессором его обязательств по защите данных.

8. Международная передача данных

8.1. Стороны признают, что Процессор и некоторые субпроцессоры находятся за пределами Республики Армения и Европейской экономической зоны.

8.2. При передаче Персональных данных Клиента в страны, в отношении которых не принято решение об адекватности, стороны опираются на Стандартные договорные положения или равноценные механизмы, при необходимости дополненные техническими и организационными мерами (например, шифрованием при передаче и хранении, псевдонимизацией).

8.3. Заключая настоящее Соглашение, Клиент считается заключившим SCCs с Процессором (а где применимо — с Процессором, действующим от имени своих субпроцессоров) в отношении любой последующей передачи, необходимой для предоставления Сервиса.

9. Нарушения безопасности персональных данных

9.1. Процессор уведомляет Клиента без неоправданной задержки после того, как ему стало известно о нарушении безопасности, затрагивающем Персональные данные Клиента, и в любом случае в течение 72 часов.

9.2. Уведомление содержит, насколько это известно: (a) характер нарушения, категории и примерное число затронутых субъектов данных и записей; (b) вероятные последствия; (c) принятые или предлагаемые меры по устранению нарушения и смягчению его возможных негативных последствий; (d) имя и контактные данные лица, у которого можно получить дополнительную информацию.

9.3. Процессор также уведомляет Агентство по защите персональных данных и Полицию Республики Армения, когда этого требует ч. 4 ст. 21 ЗЗПД РА, независимо от того, уведомляет ли Клиент свой надзорный орган.

10. Содействие в реализации прав субъектов данных

Процессор с учётом характера обработки содействует Клиенту надлежащими техническими и организационными мерами, насколько это возможно, в исполнении обязанности Клиента отвечать на запросы субъектов данных, реализующих свои права по GDPR (ст. 12–22) или ЗЗПД РА (ст. 15, 17).

11. Содействие в оценке воздействия и консультациях

Процессор оказывает Клиенту разумное содействие в проведении оценки воздействия на защиту данных (ст. 35 GDPR) и предварительных консультаций с надзорными органами (ст. 36) с учётом характера обработки и доступной Процессору информации.

12. Право на аудит

12.1. Процессор предоставляет Клиенту всю информацию, необходимую для подтверждения соблюдения обязательств по настоящему Соглашению, и допускает проверки, включая инспекции, проводимые Клиентом или уполномоченным им аудитором, и содействует им.

12.2. Клиент соглашается осуществлять право на аудит прежде всего через разумные письменные опросники и изучение действующих отчётов независимых аудиторов (SOC 2, ISO 27001), если они имеются. Проверки на месте допускаются только тогда, когда такие отчёты не снимают конкретного документально подтверждённого опасения. Клиент сам несёт расходы на аудит и сводит к минимуму помехи в работе Сервиса.

13. Удаление или возврат данных после окончания услуг

При прекращении Договора Процессор по выбору Клиента удаляет или возвращает все Персональные данные Клиента, за исключением данных, которые должны храниться по закону, — прежде всего фискальных записей по Налоговому кодексу РА и Закону о бухгалтерском учёте. Данные, хранимые в силу закона, продолжают защищаться в соответствии с настоящим Соглашением до их правомерного уничтожения.

14. Ответственность

14.1. Ответственность каждой стороны по настоящему Соглашению или в связи с ним ограничена пределами, установленными Договором (см. раздел 11 Публичной оферты).

14.2. Ничто в настоящем Соглашении не ограничивает ответственность, которая не может быть ограничена по закону, в том числе за грубую неосторожность или умышленные действия.

15. Приоритет документов

При противоречии между настоящим Соглашением и Договором в части обработки Персональных данных Клиента преимущественную силу имеет настоящее Соглашение. При противоречии между настоящим Соглашением и SCCs преимущественную силу имеют SCCs.

16. Изменения

Процессор может время от времени изменять настоящее Соглашение. О существенных изменениях — затрагивающих права и обязанности Клиента по GDPR или ЗЗПД РА — сообщается не менее чем за 30 дней по электронной почте и обновлённым номером версии в начале этой страницы. Продолжение пользования Сервисом после даты вступления изменений в силу означает принятие обновлённого Соглашения. Клиент, не принимающий существенное изменение, может прекратить Договор по п. 13.2 Публичной оферты.

17. Заключение

Настоящее Соглашение вступает в силу автоматически, когда бизнес-Клиент принимает Договор и начинает обрабатывать Персональные данные Клиента через Сервис. Бизнес-Клиенты, которым нужен подписанный с нашей стороны экземпляр Соглашения в PDF, могут запросить его на support@vcr.am с темой «DPA counter-signature request».

18. История изменений

  • v1.0 — 2026-04-20 — Первая публикация.
  • 2026-10-23 — Опубликованы армянская и русская версии; содержание не изменилось, преимущественную силу имеет английская версия.

19. Контакты

ООО «Блоб Солюшнс»
ИНН: 02906081
Юрисдикция: Республика Армения
Email: support@vcr.am

Общая Политика конфиденциальности — на странице /legal/privacy. Актуальный список субпроцессоров — на странице /legal/sub-processors.