Политика конфиденциальности

Политика обработки персональных данных

ТОО «DOSTAR COFFEE»

Редакция от 07 августа 2026 года

1. Общие положения

1.1. Настоящая Политика обработки персональных данных (далее – Политика) определяет, какие персональные данные обрабатывает ТОО «DOSTAR COFFEE», для каких целей, на каких основаниях, кому данные могут передаваться, как они защищаются и какие права имеет Пользователь.

1.2. Настоящая Политика применяется к сайту https://coffeeboom.kz, его поддоменам и связанным веб-формам (далее – Сайт).

1.3. Оператором персональных данных является ТОО «DOSTAR COFFEE», БИН 170440034527, юридический адрес: Республика Казахстан, город Астана, район «Байконыр», улица Сейфуллина, дом № 63/1 (далее – Компания).

1.4. Компания обрабатывает персональные данные в соответствии с законодательством Республики Казахстан о персональных данных и их защите, включая Закон Республики Казахстан «О персональных данных и их защите» и применимые подзаконные акты.

1.5. При регистрации в Сайте Пользователь предоставляет согласие на сбор и обработку персональных данных путем проставления отметки в чекбоксе или иного подтверждения, предусмотренного интерфейсом Сайта.

1.6. Если Пользователь не согласен с условиями настоящей Политики, он должен прекратить использование Сайта. При этом Компания может продолжить обработку отдельных данных, если это необходимо для исполнения законодательства, бухгалтерского или налогового учета, исполнения уже оформленного заказа, рассмотрения претензий, предотвращения нарушений или защиты прав Компании.

2. Термины и определения

2.1. В настоящей Политике используются следующие термины:

Пользователь – физическое лицо, которое использует Сайт, регистрируется в нем, оформляет заказы, получает уведомления, участвует в программе лояльности или обращается в службу поддержки;
Персональные данные – сведения, относящиеся к определенному или определяемому на их основании Пользователю;
Обработка персональных данных – действия с персональными данными, включая сбор, хранение, использование, изменение, дополнение, передачу, распространение, блокирование, обезличивание, удаление и уничтожение;
Сбор персональных данных – действия, направленные на получение персональных данных;
Передача персональных данных – предоставление персональных данных определенному лицу или определенному кругу лиц;
Распространение персональных данных – действия, в результате которых персональные данные становятся доступными неопределенному кругу лиц;
Блокирование персональных данных – временное прекращение действий с персональными данными;
Обезличивание персональных данных – действия, в результате которых невозможно определить принадлежность персональных данных конкретному Пользователю;
Уничтожение персональных данных – действия, в результате которых невозможно восстановить персональные данные;
Сервисные уведомления – сообщения, необходимые для регистрации, входа в аккаунт, безопасности, оформления, оплаты, доставки, отмены или возврата заказа, а также для работы Сайта;
Маркетинговые уведомления – push-уведомления и иные сообщения о скидках, акциях, промокодах, ресторанах, брендах, категориях, программе лояльности и специальных предложениях, которые Пользователь может включить, настроить или отключить в Сайте;
Рекламные материалы – баннеры, карточки, подборки, специальные предложения и иные рекламные или информационные размещения, отображаемые в интерфейсе Сайта;
Корпоративный заказчик – юридическое лицо или иная организация, которая заключила с Компанией договор для предоставления отдельным физическим лицам доступа к корпоративной программе питания в Сайте;
Участник корпоративной программы питания – Пользователь или лицо, которому Корпоративный заказчик предоставляет возможность оформлять заказы в Сайте в пределах установленных условий, лимитов или правил корпоративной программы питания. Такое лицо может являться работником, подрядчиком, индивидуальным предпринимателем, исполнителем по гражданско-правовому договору или иным лицом, определенным Корпоративным заказчиком.
регистрационные данные: имя, фамилия, номер мобильного телефона, адрес электронной почты, логин или иной идентификатор аккаунта;
данные аккаунта: данные профиля, настройки Сайта, история входов, участие в программе лояльности, бонусы, промокоды;
данные заказов: выбранные рестораны, магазины, товары или блюда, состав заказа, стоимость заказа, дата и время заказа, статус заказа, история заказов, комментарии к заказу, сведения об отменах, возвратах и претензиях;
адресные и доставочные данные: адрес доставки, подъезд, этаж, домофон, комментарии для курьера и иные сведения, которые Пользователь сам указывает для оформления и исполнения заказа;
платежные данные: способ оплаты, сумма и статус платежа, идентификатор транзакции, сведения о возврате, последние цифры платежной карты или платежный токен, если такие данные передаются платежной организацией. Компания не хранит полный номер банковской карты, CVV/CVC-код и иные полные платежные реквизиты;
данные коммуникаций: обращения в службу поддержки, переписка, отзывы, жалобы, запросы, претензии, результаты опросов и иные сообщения Пользователя;
технические данные: IP-адрес, тип устройства, модель устройства, операционная система, версия Сайта, язык устройства, идентификаторы устройства, push-токены, данные о сбоях, лог-файлы, дата и время использования Сайта;
данные об использовании Сайта: просмотренные разделы, действия в Сайте, клики, выбранные предложения, взаимодействие с push-уведомлениями, баннерами, карточками, подборками и иными материалами в Сайте;
маркетинговые настройки: сведения о включенных, отключенных или измененных push-уведомлениях, включая выбор ресторанов, брендов, категорий или предложений, по которым Пользователь хочет получать уведомления;
данные о согласиях и настройках: дата, время и способ предоставленного согласия, версия Политики, сведения об отзыве согласия или изменении настроек;
данные корпоративной программы питания: сведения о принадлежности Пользователя к корпоративной программе питания, наименование Корпоративного заказчика, идентификатор Пользователя в такой программе, корпоративный email или номер телефона, статус участия в программе, установленные лимиты, доступный баланс или размер компенсации, сведения об использовании лимита, дата и время заказа, сумма заказа, статус заказа, ресторан или поставщик, сведения, необходимые для расчетов, отчетности, подтверждения оказания услуг и урегулирования спорных ситуаций.
непосредственно от Пользователя при регистрации, оформлении заказа, заполнении профиля, обращении в поддержку, участии в акциях, опросах или программе лояльности;
автоматически при использовании Сайта, например в виде технических данных, логов, push-токенов, данных о сбоях и действий в Сайте;
от платежных организаций, банков или платежных агрегаторов в объеме, необходимом для подтверждения оплаты, возврата или статуса платежа;
от ресторанов, магазинов, курьеров, службы поддержки или иных лиц, участвующих в исполнении заказа, если это необходимо для обработки заказа, возврата, жалобы или претензии;
из иных законных источников, если это необходимо для исполнения закона, защиты прав Компании или предотвращения нарушений;
от Корпоративного заказчика, если он предоставляет Компании сведения об Участниках корпоративной программы питания, которым должен быть открыт доступ к соответствующему функционалу Сайта, лимитам, условиям оплаты или иным правилам корпоративной программы питания.
регистрация и управление аккаунтом – создание аккаунта, авторизация, идентификация Пользователя, восстановление доступа, ведение профиля и настроек Сайта;
предоставление сервиса и исполнение заказов – оформление, подтверждение, сборка, оплата, доставка, отмена, возврат и сопровождение заказов, а также передача необходимых данных лицам, участвующим в исполнении заказа;
платежи, бонусы и возвраты – обработка оплаты, подтверждение платежей, оформление возвратов, применение промокодов, бонусов и иных условий оплаты;
сервисные уведомления и поддержка – направление сообщений о статусе заказа, оплате, доставке, безопасности аккаунта, изменениях в сервисе, а также обработка обращений, жалоб, отзывов, претензий и запросов Пользователей;
программа лояльности и персонализация – начисление и использование бонусов, применение промокодов, отображение рекомендаций, подборок, специальных предложений и настроек внутри Сайта;
маркетинговые уведомления по выбору Пользователя – направление push-уведомлений и иных информационных сообщений о скидках, акциях, промокодах, новостях, ресторанах, брендах, категориях и специальных предложениях, которые Пользователь выбрал в настройках Сайта;
рекламные материалы в Сайте – отображение баннеров, карточек, подборок, специальных предложений и иных рекламных или информационных материалов ресторанов, брендов, партнеров или рекламодателей в интерфейсе Сайта;
аналитика, развитие и качество сервиса – анализ работы Сайта, диагностика ошибок, улучшение интерфейса, ассортимента, качества сервиса, клиентского опыта, программы лояльности и рекламных размещений;
безопасность и предотвращение нарушений – защита аккаунтов, Сайта и информационных систем Компании, предотвращение мошенничества, злоупотреблений, несанкционированного доступа, технических сбоев и иных инцидентов;
исполнение законодательства и защита прав – выполнение требований законодательства, ведение бухгалтерского и налогового учета, ответы на законные запросы государственных органов, урегулирование споров и защита прав и законных интересов Компании, Пользователей и третьих лиц;
корпоративная программа питания – предоставление Участникам корпоративной программы питания доступа к специальному разделу или функционалу Сайта, проверка права на участие в программе, применение установленных Корпоративным заказчиком лимитов и условий, оформление заказов в пределах таких лимитов, проведение расчетов между Корпоративным заказчиком, ресторанами, курьерами и Компанией, подтверждение оказания услуг, подготовка отчетности и урегулирование спорных ситуаций.
согласия Пользователя;
необходимости обработки для предоставления сервиса, оформления и исполнения заказа, выполнения действий, запрошенных Пользователем;
необходимости исполнения требований законодательства;
необходимости защиты прав и законных интересов Компании, Пользователя или третьих лиц;
иных оснований, предусмотренных законодательством.
работникам Компании и лицам, которым необходим доступ к данным для выполнения рабочих задач;
ресторанам, магазинам, поставщикам товаров или услуг – для оформления, сборки и исполнения заказа;
сборщикам заказов, курьерам и службам доставки – для доставки заказа Пользователю;
платежным организациям, банкам и платежным агрегаторам – для обработки оплаты и возвратов;
поставщикам IT-услуг, хостинга, технической поддержки, аналитики, диагностики ошибок, информационной безопасности, SMS, email, push-уведомлений и иных коммуникационных сервисов;
рекламным, аналитическим или техническим подрядчикам – только в объеме, необходимом для отображения, настройки или оценки эффективности рекламных материалов в Сайте, без предоставления им права самостоятельной рассылки Пользователю;
консультантам и подрядчикам Компании, если это необходимо для работы сервиса, защиты прав Компании или исполнения закона;
государственным органам, судам, правоохранительным органам и иным уполномоченным лицам – если это требуется по законодательству;
корпоративным заказчикам – если Пользователь является Участником корпоративной программы питания, в объеме, необходимом для подтверждения участия в программе, применения лимитов, оплаты заказов, расчетов, отчетности, подтверждения оказания услуг и урегулирования спорных ситуаций.
данные аккаунта – в течение срока использования аккаунта;
данные заказов, платежей, возвратов и бухгалтерских документов – в сроки, необходимые по законодательству;
обращения в службу поддержки – в течение срока, необходимого для рассмотрения обращения, контроля качества и урегулирования возможных споров;
технические журналы и данные безопасности – в течение срока, необходимого для защиты Сайта, расследования инцидентов и предотвращения нарушений;
маркетинговые настройки и сведения о согласиях – для подтверждения выбранных Пользователем настроек, их изменения или отзыва.
определение бизнес-процессов, в которых обрабатываются персональные данные;
определение лиц, имеющих доступ к персональным данным;
назначение лица, ответственного за организацию обработки персональных данных;
утверждение внутренних документов по обработке и защите персональных данных;
разграничение прав доступа к персональным данным;
размещение вычислительных мощностей и баз данных Компании в инфраструктуре облачного провайдера Amazon Web Services (AWS), с использованием изолированных виртуальных сетевых контуров, включая Amazon EKS и Amazon RDS, что ограничивает возможность прямого несанкционированного доступа к компонентам системы из глобальной сети Интернет;
построение сетевой архитектуры по принципу сегментации, при котором внешний сетевой доступ ограничен строго определенным перечнем публичных интерфейсов, а административный доступ сотрудников к внутренним ресурсам инфраструктуры осуществляется только через защищенное виртуальное частное соединение (VPN);
использование встроенных автоматизированных механизмов защиты сетевого уровня, предоставляемых облачным провайдером AWS, для защиты веб-приложений и сетевого периметра от атак, направленных на отказ в обслуживании (DDoS);
шифрование внешнего и внутреннего сетевого трафика с использованием защищенных криптографических протоколов TLS для обеспечения конфиденциальности и целостности данных при передаче;
централизованное и защищенное хранение конфигурационных данных, паролей, API-ключей и иной критичной аутентификационной информации в специализированной системе управления секретами с разграничением прав доступа на основе ролей (RBAC);
внедрение инструментов автоматизированного контроля безопасности в процесс непрерывной интеграции и доставки программного обеспечения (CI/CD), включая статический анализ исходного кода (SAST), для выявления и устранения потенциальных уязвимостей на этапе разработки;
автоматизированное резервное копирование баз данных на уровне облачной инфраструктуры AWS RDS, обеспечивающее регулярное создание и сохранность резервных копий, возможность восстановления данных и непрерывность сервисов в случае нештатных ситуаций;
привлечение независимых профильных организаций для регулярной внешней оценки защищенности инфраструктуры, включая сканирование на наличие уязвимостей и тестирование внешнего периметра на проникновение (Penetration Testing).
обеспечения работы Сайта;
авторизации и безопасности аккаунта;
сохранения настроек Пользователя;
аналитики использования Сайта и диагностики ошибок;
улучшения интерфейса и качества сервиса;
показа предложений, рекомендаций и рекламных материалов внутри Сайта;
направления push-уведомлений в соответствии с настройками Пользователя;
оценки эффективности рекламных и информационных материалов;
предотвращения злоупотреблений, технических сбоев и несанкционированного доступа.
знать о наличии у Компании своих персональных данных;
получать информацию о сборе и обработке своих персональных данных, включая цели, источники, способы обработки, перечень данных, сроки обработки и хранения;
получать информацию о лицах, которым передаются или могут быть переданы его персональные данные, если такая информация может быть предоставлена по законодательству;
требовать изменения, дополнения, исправления или актуализации своих персональных данных, если они являются неполными, устаревшими, неточными или недостоверными;
требовать блокирования своих персональных данных при наличии информации о нарушении условий их сбора или обработки;
требовать уничтожения своих персональных данных, если их сбор или обработка осуществлены с нарушением законодательства, а также в иных случаях, предусмотренных законодательством;
отозвать согласие на сбор, обработку, передачу третьим лицам, трансграничную передачу или распространение персональных данных, за исключением случаев, когда Компания вправе продолжить обработку без согласия в соответствии с законодательством;
дать согласие или отказать в согласии на распространение своих персональных данных в общедоступных источниках, если такая обработка применима;
изменить маркетинговые настройки, отключить push-уведомления по отдельным ресторанам, брендам, категориям или предложениям либо отключить маркетинговые уведомления полностью;
требовать прекращения неправомерной обработки персональных данных;
обратиться в Компанию, уполномоченный орган или суд для защиты своих прав;
требовать возмещения вреда в случаях, предусмотренных законодательством;
получать информацию о том, если его персональные данные были получены Компанией от Корпоративного заказчика в рамках корпоративной программы питания, а также обращаться в Компанию для уточнения, исправления, блокирования или удаления таких данных в случаях, предусмотренных законодательством.

3. Какие персональные данные обрабатывает Компания

3.1. Компания может обрабатывать следующие категории персональных данных Пользователя:

3.2. Компания может собирать данные о геолокации Пользователя в случае передачи последним.

3.3. В Сайте могут использоваться SDK, идентификаторы устройства, push-токены, аналитические и диагностические инструменты, указанные в разделе 12 настоящей Политики.

3.4. Компания не запрашивает специальные категории персональных данных, включая сведения о здоровье, религии, политических взглядах, биометрические данные или иные чувствительные данные, если только это отдельно не требуется для конкретного сервиса и не оформлено в соответствии с законодательством.

3.5. Компания обрабатывает только те персональные данные, которые необходимы для целей, указанных в настоящей Политике, либо требуются законодательством.

4. Источники персональных данных

4.1. Компания получает персональные данные:

5. Цели и основания обработки

5.1. Компания обрабатывает персональные данные для следующих целей:

5.2. Компания обрабатывает персональные данные на основании:

5.3. Отзыв согласия не влияет на законность обработки, осуществленной до такого отзыва, и не прекращает обработку, если она необходима по закону, для исполнения заказа, урегулирования спора, предотвращения нарушений или защиты прав Компании.

6. Сервисные уведомления, маркетинг и реклама

6.1. Компания может направлять Пользователю сервисные уведомления, необходимые для работы Сайта и исполнения заказа, включая сообщения о регистрации, входе в аккаунт, безопасности, статусе заказа, оплате, доставке, отмене, возврате, технических изменениях и иных вопросах, связанных с использованием Сайта.

6.2. Сервисные уведомления являются частью работы Сайта и не относятся к маркетинговым сообщениям.

6.3. Компания может направлять Пользователю маркетинговые push-уведомления и иные информационные сообщения только в соответствии с настройками, выбранными Пользователем в Сайте.

6.4. В настройках Сайта Пользователь может выбрать, по каким ресторанам, брендам, категориям или предложениям он хочет получать push-уведомления. Пользователь также может отключить такие уведомления полностью.

6.5. Отключение маркетинговых уведомлений не влияет на получение сервисных уведомлений, необходимых для работы Сайта и исполнения заказа.

6.6. Компания может показывать Пользователю рекламные и информационные материалы в интерфейсе Сайта, включая баннеры, карточки, подборки, специальные предложения и иные рекламные размещения ресторанов, брендов, партнеров или рекламодателей.

6.7. Компания не передает персональные данные Пользователей ресторанам, брендам, партнерам или рекламодателям для их самостоятельной рекламной или маркетинговой рассылки без отдельного согласия Пользователя.

6.8. Компания может фиксировать факт включения, изменения или отключения маркетинговых настроек, чтобы подтвердить выбор Пользователя и корректно исполнять его настройки.

7. Передача персональных данных третьим лицам

7.1. Компания передает персональные данные только в объеме, необходимом для конкретной цели.

7.2. Персональные данные могут передаваться следующим категориям получателей:

7.4. Передача данных ресторанам, курьерам, платежным организациям и техническим поставщикам осуществляется для работы Сайта, исполнения заказов, доставки, оплаты, поддержки, безопасности и иных целей, указанных в настоящей Политике.

7.5. Такая передача не дает ресторанам, брендам, партнерам или рекламодателям права использовать персональные данные Пользователя для самостоятельного маркетинга без отдельного согласия Пользователя.

7.6. Компания принимает меры, чтобы третьи лица, получающие персональные данные, соблюдали конфиденциальность, применяли меры защиты и обрабатывали данные только для согласованных целей.

7.7. При передаче данных Корпоративному заказчику Компания ограничивается минимально необходимыми данными, например сведениями о статусе участия в программе, факте использования лимита, сумме заказа, дате заказа, статусе заказа и данных, необходимых для расчетов и отчетности. Компания не передает Корпоративному заказчику избыточные сведения о Пользователе или его заказах, если такая передача не требуется для исполнения договора, подтверждения оказания услуг, урегулирования спора или выполнения требований законодательства.

8. Локализация и трансграничная передача данных

8.1. Основные базы персональных данных, содержащиеся в цифровых ресурсах Компании, размещаются и хранятся на территории Республики Казахстан, если это требуется законодательством Республики Казахстан.

8.2. В отдельных случаях персональные данные могут передаваться за пределы Республики Казахстан, например если Компания использует иностранных поставщиков технических, коммуникационных, аналитических, диагностических, облачных или иных сервисов.

8.3. Трансграничная передача осуществляется только при наличии правового основания, включая согласие Пользователя, необходимость исполнения заказа или договора, исполнение требований законодательства, защиту прав Компании или иные случаи, предусмотренные законом.

8.4. При трансграничной передаче Компания применяет необходимые меры защиты, включая ограничение объема передаваемых данных, договорные обязательства о конфиденциальности и безопасности, защищенные каналы связи, шифрование или иные применимые меры.

8.5. Если Корпоративный заказчик находится за пределами Республики Казахстан, отдельные персональные данные Участников корпоративной программы питания могут передаваться такому Корпоративному заказчику за пределы Республики Казахстан в объеме, необходимом для администрирования корпоративной программы питания, применения лимитов, расчетов, отчетности, подтверждения оказания услуг и урегулирования спорных ситуаций. Такая передача осуществляется при наличии правового основания и с применением договорных, организационных и технических мер защиты, включая обязательства о конфиденциальности.

9. Сроки хранения, блокирование, обезличивание и уничтожение

9.1. Компания хранит персональные данные не дольше, чем это необходимо для целей обработки, указанных в настоящей Политике, если более длительный срок не требуется законодательством или не необходим для защиты прав Компании.

9.2. Сроки хранения зависят от категории данных и цели обработки, в том числе:

9.3. После достижения целей обработки персональные данные удаляются, уничтожаются, блокируются или обезличиваются, если дальнейшее хранение не требуется по законодательству или для защиты прав Компании.

9.4. Если Пользователь сообщает о нарушении условий сбора или обработки персональных данных, Компания блокирует соответствующие персональные данные в случаях и порядке, предусмотренных законодательством, до принятия решения по обращению.

9.5. Обезличенные или агрегированные данные могут использоваться для статистики, аналитики, улучшения сервиса, оценки эффективности рекламных материалов и бизнес-отчетности, если такие данные не позволяют определить конкретного Пользователя.

10. Меры защиты и инциденты

10.1. Компания принимает организационные и технические меры для защиты персональных данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения, утраты, раскрытия и иных неправомерных действий.

10.2. Такие меры включают:

10.3. Доступ к персональным данным предоставляется только тем лицам, которым он необходим для выполнения рабочих задач.

10.4. Если используются поставщики IT-услуг, хостинга, аналитики, push-уведомлений, поддержки или иных сервисов, Компания принимает меры для договорного закрепления требований о конфиденциальности, безопасности и обработке данных только в согласованных целях.

10.5. В случае нарушения безопасности персональных данных Компания принимает меры по локализации, устранению и минимизации последствий инцидента.

10.6. В случаях, предусмотренных законодательством, Компания уведомляет уполномоченный орган о нарушении безопасности персональных данных в установленный срок.

11. SDK, идентификаторы устройства и аналогичные технологии

11.1. В Сайте могут использоваться SDK, идентификаторы устройства, push-токены, аналитические и диагностические инструменты, а также аналогичные веб-технологии.

11.2. Такие технологии могут использоваться для:

12. Права Пользователя

12.1. Пользователь имеет право:

12.2. Для реализации прав Пользователь может использовать доступные функции Сайта или направить запрос на email: info@coffeeboom.kz.

12.3. Компания рассматривает обращения Пользователей в сроки, установленные применимым законодательством. Если запрос не может быть исполнен полностью или частично, Компания предоставляет мотивированный ответ в случаях и порядке, предусмотренных законодательством.

13. Изменение Политики и контакты

13.1. Компания может изменять настоящую Политику при изменении законодательства, функций Сайта, бизнес-процессов, поставщиков, мер защиты данных или иных обстоятельств.

13.2. Актуальная редакция Политики размещается в Сайте или на сайте Компании. При существенных изменениях Компания может уведомить Пользователей через Сайт, push-уведомление, email, SMS или иным доступным способом.

13.3. По вопросам обработки и защиты персональных данных Пользователь может обратиться в Компанию:

ТОО «DOSTAR COFFEE»

БИН: 170440034527

Юридический адрес: Республика Казахстан, город Астана, район «Байконыр», улица Сейфуллина, дом № 63/1

Адрес для корреспонденции: Республика Казахстан, город Астана, район «Байконыр», улица Сейфуллина, дом № 63/1

Email по вопросам персональных данных: info@coffeeboom.kz