Политика конфиденциальности

ПОЛИТИКА ОБРАБОТКИ ПЕРСОНАЛЬНЫХ ДАННЫХ ИНТЕРНЕТ-МАГАЗИНА CACTUS

Редакция от 25.09.2026

Здесь объясняется, какие сведения о покупателях и посетителях получает сайт shopcactus.kz, для чего они нужны, где находятся, кто ещё их видит, как долго они хранятся и как добиться, чтобы их показали, исправили или удалили.

Политика опирается на Закон Республики Казахстан «О персональных данных и их защите» от 21 мая 2013 года № 94-V и касается только сайта shopcactus.kz.

1. Кто отвечает за ваши данные

Собственник и оператор персональных данных — ИП Токпанова Т.Р. (далее — магазин). Магазин продаёт товары под маркой Cactus на сайте shopcactus.kz и в торговой точке по адресу г. Астана, ул. Кунаева, 14Б, где также выдаются заказы при самовывозе.

С любым вопросом о своих данных обращайтесь к магазину: телефон +7 702 515-32-76, WhatsApp +7 702 515-32-76.

2. Какие сведения мы получаем

2.1. Когда вы оформляете заказ

Форма заказа просит:

телефон заказчика — обязательно: по нему магазин свяжется с вами, если по заказу появится вопрос, и может прислать в WhatsApp фото букета перед доставкой и уведомления о заказе (раздел 5); на этот же номер приходит счёт Kaspi, если вы платите через Kaspi (раздел 2.3);
имя заказчика — по желанию;
e-mail — по желанию; поле видно, только пока вы не вошли в учётную запись;
имя и телефон получателя — обязательно; если заказ для вас самих, достаточно отметить «Я получатель», и в эти поля подставятся ваши;
способ получения — доставка по Астане или самовывоз из магазина;
адрес доставки — только если выбрана доставка;
дату и интервал — когда привезти заказ или когда вы заберёте его в магазине; интервалы у доставки и самовывоза одни и те же — ежедневно с 10:00 до 21:00, в пятницу до 23:00;
комментарий — по желанию, например текст для открытки или подсказка курьеру.

Вместе с этим сохраняются состав и сумма заказа, промокод, если вы его ввели, и язык, на котором был открыт сайт.

Имя, телефон и адрес получателя — сведения о другом человеке. Указывайте их, только если он согласен. Указывая их, вы подтверждаете, что получили его согласие на обработку этих сведений, в том числе на передачу, описанную в разделах 5 и 7.

2.2. Учётная запись

Для регистрации сайт просит имя, телефон и e-mail. Входят в учётную запись по номеру телефона: паролей сайт не использует, SMS-коды не рассылает.

В учётной записи хранятся профиль (имя, телефон и e-mail — их можно изменить в разделе «Профиль»), история заказов («Мои заказы»), избранное и корзина: у вошедшего пользователя корзина хранится на сервере.

Если заказ оформлен без входа, сайт ищет учётную запись с тем же телефоном заказчика и добавляет заказ в её историю. Если такой записи ещё нет, сайт создаёт её сам — с телефоном и именем из заказа. Так, войдя позже по этому номеру, вы увидите свои заказы в разделе «Мои заказы».

2.3. Оплата

Заплатить за заказ можно банковской картой, через Kaspi или через PayPal. Деньги принимает платёжный агент магазина: при оплате картой и через PayPal — на свои учётные записи в TipTopPay и PayPal, а при оплате через Kaspi — через сервис-посредника, который выставляет счёт (раздел 5).

Картой платят в окне платёжного сервиса TipTopPay, которое открывается поверх страницы сайта. Номер карты, срок её действия и код CVV вы вводите в этом окне; полный номер карты и код CVV ни сайт, ни магазин не получают. От TipTopPay магазин узнаёт итог платежа: прошёл он или нет, номер операции и сумму, а при отказе банка — код и описание причины. Такие уведомления TipTopPay отправляет на сервер платёжного агента, а тот пересылает их серверу магазина целиком. В уведомлении могут быть и сведения о плательщике, которые передаёт TipTopPay, — например, адрес почты, если вы указали его в окне оплаты, и первые и последние цифры номера карты. Из уведомления сервер магазина сохраняет только номер операции, итог и причину отказа; адрес почты остаётся лишь в техническом журнале, и только если заказ по уведомлению не нашёлся (раздел 8).

Для оплаты через Kaspi сервер магазина передаёт номер телефона заказчика, сумму и назначение платежа (номер заказа и адрес сайта) сервису-посреднику, с которым работает платёжный агент магазина; счёт в Kaspi выставляет именно посредник. Счёт появляется в приложении Kaspi.kz, привязанном к этому номеру, — там вы его и оплачиваете; сведения о вашем счёте в Kaspi сайт не видит. Посредник лишь сообщает магазину, оплачен счёт или нет.

При оплате через PayPal вход в PayPal и сам платёж проходят на стороне PayPal. Магазин передаёт PayPal номер заказа, сумму в долларах США и назначение платежа, а из ответа PayPal сохраняет только номер и итог платежа.

2.4. Что сайт записывает сам

Журнал веб-сервера. На каждое обращение к сайту сервер отмечает IP-адрес, дату и время, запрошенный адрес, страницу, с которой вы перешли, и описание браузера (строку User-Agent).
Сведения к заказу. В момент оформления вместе с заказом сохраняются IP-адрес, описание браузера и источник визита: метки utm, идентификаторы рекламного клика (gclid, fbclid), адрес сайта, с которого вы пришли, первая открытая страница сайта и случайный номер посетителя из cookie cactus_vid (см. раздел 6).
Скорость страниц. Браузер присылает показатели загрузки (LCP, CLS, INP), адрес страницы и описание элемента, который грузился долго или сдвинулся. IP-адреса и других сведений о посетителе в этих записях нет.
Сбои окна оплаты. Если платёжное окно не открылось, зависло или вернуло ошибку, сайт записывает, что случилось, номер заказа, страницу, язык, описание браузера, первые две группы цифр IP-адреса (полный адрес не записывается) и случайный номер вкладки. Цифры и адреса почты из текста ошибки перед записью вырезаются; данных карты в таких записях нет.
Служебные сигналы. Браузер сам сообщает серверу магазина о визите (страница, адрес сайта, с которого вы пришли, метка utm_source и случайный номер вкладки), примерно раз в минуту, пока вкладка открыта, — что она ещё открыта, а также о добавлении товара в корзину (название и цена), начале оформления (сумма) и оплате. При просмотре товара, добавлении в корзину и начале оформления уходит ещё один сигнал: номера товаров, сумма, адрес страницы, случайный номер посетителя из cookie cactus_vid, у вошедшего пользователя — ключ доступа к учётной записи. На дату этой редакции сервер эти сигналы не сохраняет и никуда не пересылает; остаётся лишь запись об обращении в журнале веб-сервера.

3. Для чего нужны эти сведения

собрать заказ, доставить его или выдать в магазине, созвониться с заказчиком или получателем по поводу вручения;
прислать заказчику фото букета перед доставкой и уведомления о заказе;
принять оплату, разобраться с отказом банка или зависшим окном оплаты, вернуть деньги, если заказ отменён;
вести учётную запись: показывать историю заказов и избранное, хранить корзину;
применять промокоды: для кода «на первый заказ» сайт проверяет, были ли раньше оплаченные заказы с этим телефоном — у заказчика или у получателя — или с этим e-mail;
вести учёт продаж и выполнять требования законодательства о бухгалтерском учёте и налогах;
рассматривать обращения и претензии покупателей;
поддерживать работу сайта: находить ошибки, ускорять страницы, отсекать автоматические злоупотребления, например ограничивать частоту запросов с одного адреса;
понимать в общих цифрах, откуда приходят покупатели.

Рекламных рассылок сайт не ведёт: ни SMS, ни писем, ни сообщений в мессенджерах; фото букета и уведомления о заказе — служебные сообщения, а не реклама. Если магазин решит начать рассылки, он попросит на это отдельное согласие.

4. Основания обработки

Всё, что вы вводите в формы сайта, вы сообщаете добровольно. Отправляя форму заказа или регистрации, вы даёте магазину согласие на сбор и обработку сведений из формы и сведений к заказу из раздела 2.4 — для целей из раздела 3, в том числе на их передачу получателям из раздела 5 и за рубеж по разделу 7; согласие действует с момента отправки формы (у заказа — ещё до его оплаты). Кроме того, данные нужны для исполнения договора купли-продажи по публичной оферте, который заключается оплатой заказа (акцепт оферты), а в части учёта продаж их хранения требует закон.

Телефон заказчика и e-mail, если они уже есть в форме, попадают на сервер магазина ещё до нажатия «Продолжить» — когда вы нажимаете «Применить» у поля промокода. Они нужны только для проверки кода (у кода «на первый заказ» — для проверки из раздела 3) и при этой проверке не сохраняются.

Без телефона заказчика, имени и телефона получателя, способа получения и оплаты, даты и времени получения, а при доставке — и без адреса заказ принять нельзя. Остальные поля можно оставить пустыми.

5. Кто ещё получает данные

Платёжный агент магазина — организация, которая по договору с магазином принимает оплату заказов: при оплате картой и через PayPal — на свои учётные записи в TipTopPay и PayPal, а при оплате через Kaspi — через сервис-посредника, который выставляет счёт. Агенту доступно то, что платёжные сервисы сообщают получателю денег: номер заказа, сумма, дата и итог платежа, а также сведения о плательщике, которые передаёт сервис (например, первые и последние цифры номера карты или адрес почты, если вы указали его в окне оплаты; при оплате через Kaspi — телефон, на который выставлен счёт). Уведомления TipTopPay о платежах картой приходят на сервер агента, и он пересылает их серверу магазина. Поскольку деньги принимает агент, в окне оплаты, в счёте Kaspi, в выписке банка, в чеке или квитанции получателем платежа может значиться он или сервис, через который он принимает деньги, а не магазин. Номер заказа сайт передаёт платёжному сервису (при оплате через Kaspi — посреднику) в назначении платежа.
Платёжный сервис TipTopPay — номер заказа, сумма и назначение платежа. Данные карты вы передаёте ему сами, в его окне. Скрипт платёжного окна загружается с сервера TipTopPay уже при открытии страниц оформления и оплаты, поэтому TipTopPay получает и технические сведения о посещении этих страниц: IP-адрес, описание браузера и адрес страницы.
Kaspi (АО «Kaspi Bank») и сервис-посредник, который выставляет счета Kaspi, — если вы платите через Kaspi: номер телефона заказчика, сумма и назначение платежа с номером заказа и адресом сайта. Посредник — отдельная от магазина и от платёжного агента организация, с которой работает агент. По этим данным он выставляет счёт в приложении Kaspi.kz и сообщает магазину, оплачен ли он; сам платёж проходит в Kaspi.
PayPal — номер заказа, сумма в долларах США и назначение платежа, если вы платите через PayPal. Скрипт PayPal загружается с серверов PayPal, только когда в оформлении выбран этот способ, и получает технические сведения о посещении страницы: IP-адрес, описание браузера и адрес страницы.
Учётная (кассовая) система магазина, в которой магазин учитывает продажи, — номер и состав заказа, суммы, имя и телефон заказчика, имя и телефон получателя, способ получения, адрес, дата, время и комментарий. Серверы этой системы, где хранятся переданные заказы, находятся в Республике Казахстан.
Сотрудники магазина и курьер. Менеджеры видят заказ целиком в панели управления; флорист и курьер, который везёт заказ, получают то, без чего его не собрать и не вручить: состав, имя и телефон получателя, адрес, время и комментарий.
Мессенджер Telegram. Бот магазина присылает сотрудникам в служебный чат уведомление о новом заказе: номер, суммы, телефоны заказчика и получателя, способ получения и адрес, дату, время, комментарий и состав. Если заказ оплачен, но не попал в учётную систему, бот сообщает номер заказа, сумму, способ оплаты и телефон заказчика (или получателя).
WhatsApp (WhatsApp Business Platform, компания Meta Platforms). Магазин использует или может использовать WhatsApp, чтобы прислать заказчику фото букета перед доставкой и уведомления о заказе. Для этого в WhatsApp передаются номер телефона заказчика, фото букета и текст уведомления, а в нём — номер и состав заказа, сумма, способ оплаты, адрес доставки (при самовывозе — отметка об этом), дата и время. Если вы отвечаете на такое сообщение или сами пишете магазину в WhatsApp, эта переписка тоже идёт через WhatsApp.
Хостинг-провайдер PS.KZ. Сайт, база данных и её резервные копии размещены на сервере PS.KZ в Алматы (Казахстан).
Государственные органы — только когда этого требует закон и в пределах их запроса.

Магазин не продаёт персональные данные и не отдаёт их другим компаниям для их собственной рекламы.

6. Cookie и память браузера

Cookie — небольшие записи, которые сайт оставляет в вашем браузере. Кроме них сайт пользуется хранилищами браузера localStorage и sessionStorage. Записанное туда хранится на вашем устройстве. На сервер магазина из этих записей уходят состав корзины и данные формы при оформлении заказа, cookie — с каждым запросом к сайту, а случайные номера посетителя и вкладки — ещё и со служебными сигналами (раздел 2.4).

6.1. Cookie сайта

cactus-session — зашифрованная сессия вошедшего пользователя: номер учётной записи, имя, телефон, e-mail и ключ доступа. Скрипты страницы её не видят. Действует, пока вы не выйдете из учётной записи, но не дольше 12 месяцев.
cactus-access — ключ доступа к учётной записи с именем, телефоном и e-mail, по которому страницы понимают, что вы вошли. В отличие от предыдущей, эту cookie скрипты страницы читают. Срок тот же: до выхода, не больше 12 месяцев.
cactus_vid — случайный номер посетителя без имени и контактов. Появляется, когда вы открываете товар, кладёте его в корзину или начинаете оформление; сохраняется вместе с заказом, чтобы связывать просмотры и покупку одного посетителя при оценке рекламы. Хранится около 13 месяцев.
cactus_first_touch — источник первого визита: метки utm, идентификатор рекламного клика, сайт, с которого вы пришли, первая страница и время. Ставится, только если вы пришли по ссылке с метками или с другого сайта. Хранится 90 дней и прикладывается к заказу.
NEXT_LOCALE — выбранный язык сайта, если он не совпадает с языком браузера. Ставится на страницах корзины, оформления, личного кабинета, поиска и итога оплаты и удаляется при закрытии браузера.

6.2. localStorage — хранится, пока вы сами не очистите данные сайта

cactus-cart — товары в корзине;
cactus-favorites — избранное;
cactus-current-city — город доставки (сайт работает только по Астане);
cactus-last-order — номер последнего заказа и ключ для просмотра его состояния. Нужен, чтобы после подтверждения оплаты в приложении банка сайт показал, что заказ уже оплачен. Через сутки запись считается устаревшей и стирается, когда сайт в следующий раз к ней обратится; стирается и при выходе из учётной записи;
cactus-purchase-<номер заказа> — отметка, что покупка уже учтена, чтобы повторное открытие страницы благодарности не посчитало её второй раз.

При выходе из учётной записи сайт стирает корзину, избранное и сведения о последнем заказе.

6.3. sessionStorage — стирается при закрытии вкладки

cactus_sid — случайный номер вкладки; уходит со служебными сигналами и с записями о сбоях оплаты (раздел 2.4);
cactus_visited — отметка, что визит уже начался;
cactus-pending-order — данные формы только что созданного заказа (телефоны и имена заказчика и получателя, e-mail, адрес, дата, время, комментарий, состав) и ответ сервера о нём, чтобы повторное нажатие «Продолжить» не создало дубль. Сайт пользуется этой записью не дольше 30 минут и стирает её, когда исход оплаты известен;
cactus_scroll_<адрес страницы> — место, до которого вы пролистали список, чтобы вернуть вас туда же;
cactus_chunk_reload — отметка, что страница уже перезагрузилась сама после обновления сайта.

Cookie можно запретить, а хранилище — очистить в настройках браузера. Тогда не получится войти в учётную запись, а корзина не сохранится.

6.4. Счётчики и рекламные пиксели

На дату этой редакции на сайте не подключено ни одного счётчика посещаемости или рекламного пикселя других компаний. Когда они появятся, здесь будет сказано, какие именно, что они получают и где обрабатывают данные.

7. Передача данных за рубеж

Сервер сайта, база данных и учётная система магазина, в которую передаются заказы, находятся в Республике Казахстан. За пределы страны данные попадают или могут попасть в таких случаях:

уведомления о заказах в Telegram — этот мессенджер обрабатывает сообщения на серверах вне Казахстана;
фото букета перед доставкой и уведомления о заказе в WhatsApp (WhatsApp Business Platform, Meta Platforms) — номер телефона заказчика, фото, номер и состав заказа, сумма, способ оплаты, адрес доставки, дата и время, а также переписка, если вы отвечаете магазину или сами пишете ему в WhatsApp; WhatsApp обрабатывает эти сведения на серверах вне Казахстана;
оплата через PayPal — номер заказа, сумма в долларах США, назначение платежа и технические сведения о посещении страницы оформления (раздел 5); PayPal обрабатывает их на серверах вне Казахстана;
сведения о платеже, которые получают TipTopPay и сервис-посредник, выставляющий счета Kaspi, а также технические сведения о посещении страниц оформления и оплаты, которые получает TipTopPay (раздел 5), — если эти сервисы хранят или обрабатывают их на серверах вне Казахстана: где расположены их серверы, решают сами сервисы;

Отправляя форму заказа, вы соглашаетесь и на эту передачу.

8. Сколько хранятся данные

данные заказа — пока они нужны, чтобы выполнить заказ, вернуть деньги или разобрать претензию, а затем в течение сроков хранения учётных документов по законодательству Республики Казахстан; после этого они подлежат удалению или обезличиванию;
журнал обмена с учётной системой, в котором остаётся копия переданного туда заказа (имена и телефоны заказчика и получателя, адрес, комментарий), — столько же, сколько данные заказа;
учётная запись — пока вы ею пользуетесь или пока не попросите её удалить;
журнал веб-сервера — до 60 дней;
технические журналы приложения — от 7 до 90 дней, у каждого журнала свой срок; записи о сбоях оплаты — 90 дней;
резервные копии базы данных — до 14 дней;
сведения о платежах у платёжного агента и платёжных сервисов, в том числе у сервиса-посредника Kaspi, — в сроки, которые им устанавливают закон и их собственные правила;
уведомления о заказах остаются в истории служебного чата Telegram, пока их не удалят;
фото букета и уведомления, отправленные через WhatsApp, остаются в истории переписки, пока их не удалят;
cookie и записи в браузере — сроки указаны в разделе 6.

9. Как данные защищены

соединение с сайтом шифруется (HTTPS);
полный номер карты и код CVV сайт не получает: их принимает TipTopPay; счёт Kaspi оплачивается в самом приложении Kaspi.kz; платёж PayPal проходит на стороне PayPal;
в панель управления заказами пускают только учётные записи сотрудников из списка допуска;
открытые адреса сайта ограничивают частоту запросов;
в записях о сбоях оплаты IP-адрес укорочен, а цифры и адреса почты вырезаны.

Если данные всё же утекут, магазин примет меры и сообщит об этом в порядке, который установлен законом.

10. Ваши права

По закону вы вправе:

узнать, есть ли у магазина ваши данные, и получить сведения о них: что хранится, откуда получено, для чего используется, кому передаётся и сколько будет храниться;
потребовать исправить или дополнить неточные данные; имя, телефон и e-mail в профиле можно поменять и самостоятельно;
потребовать заблокировать данные, если есть сведения, что их собирают или обрабатывают с нарушением закона;
потребовать уничтожить данные, собранные или обрабатываемые с нарушением закона, а также удалить учётную запись;
отозвать согласие на обработку (см. раздел 11);
защищать свои права в уполномоченном органе по защите персональных данных или в суде, в том числе требовать возмещения вреда.

Чтобы воспользоваться правом, свяжитесь с магазином по контактам из раздела 1 и назовите номер телефона, на который оформляли заказы или учётную запись: по нему магазин найдёт ваши данные. Прежде чем выдать сведения, магазин может попросить подтвердить, что номер принадлежит вам. Ответ вы получите в сроки, установленные законом.

11. Отзыв согласия

Отозвать согласие можно так же — сообщением по контактам из раздела 1. После этого магазин прекратит обработку ваших данных и удалит учётную запись. Сведения о заказах, которые закон обязывает хранить для учёта, останутся до конца этого срока. Пока оплаченный заказ не выполнен, отозвать согласие нельзя; то же — в других случаях, когда отзыв запрещает закон.

От cookie можно отказаться в настройках браузера (раздел 6).

12. Ссылки на другие сайты

На страницах могут быть ссылки на другие сайты, например на карты или социальные сети. После перехода по такой ссылке действуют правила того сайта, а не эта политика.

13. Изменение политики

Если сайт начнёт работать с данными иначе, магазин опубликует на этой странице новую редакцию с датой. Она действует с момента публикации, если в ней не назван другой срок.