Loopback Datenschutzerklärung / Privacy Policy

Gültig ab: 14.07.2026　·　Zuletzt aktualisiert: 22.07.2026　·　Version: v1.2

Sprache und maßgebliche Fassung: Diese Richtlinie steht in mehreren Sprachen zur Verfügung. Die angezeigte Sprache richtet sich nach der in Loopback ausgewählten Oberflächensprache; für nicht verfügbare Sprachen wird standardmäßig die englische Fassung angezeigt.Maßgeblich ist die englische Fassung; andere Sprachfassungen dienen nur der Orientierung. Bei Widersprüchen oder Unklarheiten zwischen einer Übersetzung und der englischen Fassung ist die englische Fassung maßgebend.

0. Begriffsbestimmungen

„Loopback“ / „wir“: bezeichnet die HAKKO AI PTE. LTD. (eingetragen in Singapur, Adresse: 120 Robinson Road #13-01 Singapore 068913), den Anbieter des Loopback-Feedback-Analysedienstes.
„Dienst“: bezeichnet die von Loopback bereitgestellte Plattform zur Erfassung, Aggregation und KI-gestützten Analyse von Nutzerfeedback über mehrere Kanäle (einschließlich Webanwendung, API und zugehöriger Funktionen).
„Kunde“ / „Sie“: bezeichnet das Unternehmen oder die Organisation, die den Dienst abonniert oder nutzt, sowie deren autorisierte Nutzer.
„Endnutzer“: bezeichnet Dritte, die auf den vom Kunden angebundenen Kanälen Kommentare, Bewertungen oder Feedback hinterlassen (z. B. Rezensenten im App Store, Community-Mitglieder usw.).
„Personenbezogene Informationen / personenbezogene Daten“: Informationen, die eine bestimmte natürliche Person direkt oder indirekt identifizieren können.

1. Unsere beiden Rollen bei der Datenverarbeitung

Loopback ist ein B2B-Softwaredienst, bei dem zwei Arten von Daten unterschiedlicher Natur anfallen — entsprechend unterscheiden sich auch unsere Rollen:

Szenario	Datenart	Unsere Rolle
Registrierung, Anmeldung, Abrechnung und Nutzung der Plattform durch den Kunden	Konto- und Nutzungsdaten	DatenVerantwortlicher (Controller)(DSGVO) / Verarbeiter personenbezogener Informationen (PIPL)
Nach Anbindung von Kanälen durch den Kunden erfasst und analysiert die Plattform Endnutzer-Feedback im Auftrag des Kunden	Feedbackdaten	DatenAuftragsverarbeiter (Processor)(DSGVO) / Beauftragter Verarbeiter (PIPL), im Auftrag des Kunden

Bei Feedbackdaten werden Zweck und Art der Verarbeitung vomKundenfestgelegt; wir verarbeiten diese Daten ausschließlich nach dessen Anweisungen. Die entsprechenden Rechte und Pflichten sind gesondert geregelt in der Datenverarbeitungsvereinbarung (DPA)(siehe Abschnitt 12).

2. Welche Informationen wir erheben

2.1 Konto- und Nutzungsdaten (wir als Verantwortlicher)

Kontoinformationen: Unternehmensname, Name der Kontaktperson, geschäftliche E-Mail-Adresse, Passwort (verschlüsselt gespeichert), Rolle/Berechtigungen.
Abrechnungsinformationen: Abonnementstufe (Free / Pro / Max), Rechnungsadresse, Transaktionsverlauf. Die eigentliche Kartennummer wird von Stripe verarbeitet; wir speichern keine vollständigen Kartennummern.
Konfigurationsinformationen: angebundene Kanäle, API-Schlüssel oder Autorisierungstoken (verschlüsselt gespeichert, siehe Abschnitt 5).
Nutzungs- und Protokolldaten: Anmeldeprotokolle, Aktivitätsprotokolle, IP-Adresse, Browser-/Geräteinformationen, Nutzungsstatistiken zu Funktionen – zu Zwecken der Sicherheit, Fehlerbehebung und Produktverbesserung.
Produktnutzungsdaten: Produktverhaltensereignisse wie Seitenaufrufe und Funktionsnutzung (z. B. Öffnen eines Reports, Verbinden eines Kanals), verknüpft mit einer First-Party-anonymen Kennung (Cookie lb_aid) zur anonymen Zuordnung zwischen Website und Anwendung. Diese Daten dienen ausschließlich der Produktverbesserung, werden in unserer eigenen Datenbank gespeichert (ohne Anbindung an Analysedienste Dritter), enthalten keinen Feedback-Inhalt oder Ihre Eingaben und werden höchstens 180 Tage aufbewahrt.
Cookies und ähnliche Technologien: siehe Abschnitt 9.

2.2 Feedback-Daten (wir handeln als Auftragsverarbeiter im Namen des Kunden)

Sobald ein Kunde die folgenden Kanäle anbindet, erfasst die Plattform gemäß der Autorisierung des Kunden öffentliche oder autorisiert zugängliche Feedback-Inhalte, die personenbezogene Daten enthalten können:

App-Stores: Apple App Store (öffentlicher RSS-Feed), Google Play (Play Developer API) usw.;
Communitys und Support-Tickets: Reddit, Discord, Slack, Telegram, Lark / WeCom, Zendesk, Intercom;
Umfragen und Bewertungen: Typeform, Lark-Umfragen, Trustpilot usw.

Diese Inhalte können Folgendes umfassen: den Text von Kommentaren/Bewertungen, Bewertungsscores, Veröffentlichungszeitpunkt, den auf der Plattform angezeigten Nutzernamen oder die Kennung des Autors sowie weitere Informationen, die der Autor freiwillig im Inhalt angegeben hat.Wir fordern von Endnutzern aktiv keine Ausweisdokumente, genauen Standortdaten oder sonstige sensible personenbezogene Daten an; sollten solche Informationen gelegentlich im Feedback-Text enthalten sein, verarbeiten wir sie ausschließlich gemäß den Anweisungen des Kunden und zu keinem anderen Zweck.

3. Wie wir Informationen verwenden

Bereitstellung und Wartung des Dienstes: Kontoverwaltung, Kanalanbindung, Erfassung und Aggregation von Feedback, KI-Klassifizierung und Generierung von Erkenntnissen, Anzeige von Dashboards.
KI-gestützte Analyse: Feedback-Inhalte werden zur Klassifizierung, Zusammenfassung, Sentiment- und Themenanalyse an Large Language Models übermittelt (Modellübersicht siehe Abschnitt 6).
Abrechnung und Kundensupport。
Sicherheit, Betrugsprävention und Compliance: Anomalieerkennung, Zugriffsprüfung, Erfüllung gesetzlicher Verpflichtungen.
Produktverbesserung: Optimierung von Funktionen auf Basis aggregierter, anonymisierter Nutzungsstatistiken.Ohne schriftliche Zustimmung des Kunden verwenden wir dessen Feedback-Daten nicht zum Training unserer eigenen allgemeinen Modelle (Richtlinien zum Training durch Drittanbietermodelle siehe Abschnitt 6).

Rechtsgrundlage der Verarbeitung (DSGVO / PIPL)

Vertragserfüllung: erforderlich, um Ihnen den von Ihnen abonnierten Dienst bereitzustellen;
Berechtigtes Interesse: zur Gewährleistung von Sicherheit, Betrugsprävention und Produktverbesserung (nach Interessenabwägung);
Einwilligung: sofern zutreffend (z. B. optionale Cookies, Marketing-E-Mails);
Gesetzliche Verpflichtung: zur Erfüllung gesetzlicher und regulatorischer Anforderungen.
Für Feedback-Daten liegt die Verantwortung für die Rechtsgrundlage und deren Erläuterung beiKundenals Verantwortlichem.

4. Grenzüberschreitende Datenübermittlung und Datenstandort

Daten werden bei Google Cloud (us-central1, USA) gespeichert und verarbeitet. Falls Sie sich in der EU/im Vereinigten Königreich befinden, erfolgt die grenzüberschreitende Übermittlung auf Grundlage vonStandardvertragsklauseln (SCCs)und anderen zulässigen Mechanismen.

Der Datenfluss unterscheidet sich je nach Bereitstellungsform:

SHARED_SAAS (gemeinsam genutztes Hosting): Daten werden in der von Loopback gehosteten Umgebung gespeichert;
BYO_KEY (eigener Schlüssel): Sie nutzen Ihre eigenen Modell-/Cloud-Schlüssel, KI-Anfragen werden an den von Ihnen festgelegten Anbieter gesendet;
SELF_HOSTED (Self-Hosted): Daten werden inIhrer eigenen Umgebunggespeichert, Loopback hat in der Regel keinen Zugriff auf Ihre Feedback-Daten.

5. Datensicherheit

TLS-Verschlüsselung auf Transportebene; sensible Felder (Passwörter, API-Schlüssel/OAuth-Tokens von Drittanbietern) werden verschlüsselt gespeichert.
Rollenbasierte Zugriffskontrolle (RBAC) mit vier Stufen, Prinzip der minimalen Rechtevergabe, Zugriffsprotokollierung.
Gestufter Schutz je nach Sensibilität (von L1-Datenverschleierung bis L4-Confidential-Computing, abhängig von Bereitstellungsform und Tarif).
Wir treffen angemessene technische und organisatorische Maßnahmen, jedoch kann kein System absolute Sicherheit garantieren. Im Falle einer Verletzung des Schutzes personenbezogener Daten werden betroffene Parteien gemäß geltendem Recht und vertraglichen Verpflichtungen innerhalb der gesetzlichen Fristen benachrichtigt.

6. Drittanbieter (Subprocessors)

Zur Erbringung unserer Dienste geben wir die erforderlichen Daten an Subprocessors der folgenden Kategorien weiter. Die Auswahl des KI-Modells richtet sich nach IhrerRegionund IhrerMitgliedschaftsstufe：

Kategorie	Anbieter (Beispiele)	Zweck
Cloud-Infrastruktur	Google Cloud u. a.	Hosting, Speicherung, Rechenleistung
KI-Modelle	Anthropic（Claude）、OpenAI（GPT / Embedding）、Google（Gemini）	Feedback-Klassifizierung, Zusammenfassung, Vektorisierung
Zahlungsabwicklung	Stripe u. a.	Abonnement & Abrechnung
E-Mail/Benachrichtigungen	Resend	Transaktionale E-Mails

Wir schließen mit Unterauftragsverarbeitern Vereinbarungen zur Datenverarbeitung ab und verlangen von ihnen ein Schutzniveau, das nicht unter dem dieser Richtlinie liegt.
Inhalte, die an Modellanbieter übermittelt werden, dienender Erstellung von Analyseergebnissen; wir bevorzugenkommerzielle API-Anbieter, die Kundendaten nicht für das Training ihrer Modelle verwenden, und verankern dies vertraglich.
Die vollständige, aktuelle Liste der Subauftragsverarbeiterfinden Sie unter: https://loopbackagent.com/subprocessors.html. Bei Aktualisierungen der Liste informieren wir Kunden gemäß den Vereinbarungen im DPA.

7. Datenspeicherung

Konto- und Abrechnungsdaten: Werden während der Vertragslaufzeit und danach für den gesetzlich erforderlichen Zeitraum aufbewahrt (z. B. für Steuer- und Prüfzwecke).
Feedbackdaten: Werden gemäß den Einstellungen des Kunden auf der Plattform oder den Vereinbarungen im DPA aufbewahrt; Kunden können Export oder Löschung beantragen.
Nach Beendigung des Dienstes löschen oder anonymisieren wir Kundendaten innerhalb der vereinbarten Frist (standardmäßig 30 Tage), sofern keine gesetzliche Aufbewahrungspflicht besteht.

8. Ihre Rechte (und die der Endnutzer)

Im Rahmen des geltenden Rechts (DSGVO / UK GDPR / California CCPA/CPRA / China PIPL usw.) haben Sie das Recht auf: Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch gegen die Verarbeitung, Widerruf der Einwilligungsowie darauf, wegen der Ausübung dieser Rechte nicht benachteiligt zu werden.

Kundenkontodaten: Bitte kontaktieren Sie uns über Abschnitt 13, um diese Rechte auszuüben.
Endnutzer: Da Feedback-Daten vom Kunden als Verantwortlichem kontrolliert werden, sollten Anfragen zur Ausübung von Rechten durch Endnutzer grundsätzlich an denjeweiligen Kundengerichtet werden; wir unterstützen den Kunden technisch bei der Beantwortung solcher Anfragen.
Wir werden innerhalb der gesetzlichen Fristen antworten; Sie haben zudem das Recht, sich bei der für Sie zuständigen Aufsichtsbehörde zu beschweren.

9. Cookies und ähnliche Technologien

Wir verwenden notwendige Cookies, um Anmeldung und Sicherheit zu gewährleisten, sowie – nach entsprechender Einwilligung – Analyse-Cookies, um die Produktnutzung zu verstehen. Unsere Produktnutzungsanalyse ist eine selbst entwickelte First-Party-Lösung (es werden keine Skripte von Drittanbietern geladen); die dabei verwendete First-Party-anonyme Kennung lb_aid dient ausschließlich der anonymen Zuordnung (siehe Abschnitt 2.1 „Produktnutzungsdaten“) und kann über Ihre Browsereinstellungen gelöscht oder blockiert werden. Nicht notwendige Cookies können Sie ebenfalls über Ihre Browsereinstellungen verwalten. Für Besucher aus Europa werden die anonymen Statistik-Cookies der Website (lb_aid) erst gesetzt, nachdem Sie im Cookie-Hinweis „Akzeptieren“ gewählt haben; bis dahin werden keine Statistikereignisse erfasst. Bei „Ablehnen“ erfolgt keine Erfassung, und bereits vorhandene Kennungen werden gelöscht. Ihre Auswahl können Sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern.

10. Datenschutz für Kinder

Dieser Dienst richtet sich an Unternehmen und nicht an Personen unter 16 Jahren (oder dem nach geltendem Recht maßgeblichen Mindestalter). Wir erfassen nicht wissentlich personenbezogene Daten von Kindern.

11. Änderungen dieser Richtlinie

Wir können diese Richtlinie von Zeit zu Zeit aktualisieren. Wesentliche Änderungen werden über In-App-Benachrichtigungen oder per E-Mail mitgeteilt, und das Datum „Zuletzt aktualisiert“ oben wird entsprechend angepasst. Die fortgesetzte Nutzung nach Inkrafttreten der Änderungen gilt als Zustimmung.

12. Datenverarbeitungsvereinbarung (DPA)

Soweit wir Feedback-Daten als Auftragsverarbeiter verarbeiten, schließen wir mit Unternehmenskunden gesondert eine Datenverarbeitungsvereinbarung (DPA) ab, die Verarbeitungsumfang, Subauftragsverarbeiter, Sicherheitsmaßnahmen, Unterstützungspflichten, Benachrichtigung bei Datenschutzverletzungen, Prüfungsrechte sowie Mechanismen für internationale Datenübermittlungen (einschließlich SCCs) regelt. Unternehmenskunden können diese über Abschnitt 13 anfordern.

13. Kontakt

Datenschutz/Privatsphäre: [email protected]
Allgemeiner Kontakt: [email protected]
Postanschrift: 120 Robinson Road #13-01 Singapore 068913
EU-/UK-Vertreter (falls zutreffend): wird separat benannt und bekannt gegeben
Datenschutzanfragen: [email protected]

Loopback Privacy Policy

Effective date: 2026-07-14　·　Last updated: 2026-07-14　·　Version: v1.0

Language & governing version: This Policy is offered in multiple languages for your convenience; the language shown follows the interface language you select in Loopback, and any language not provided defaults to this English version. The governing version is this English version. Other translations are for reference only; in case of ambiguity or conflict between a translation and the English version, the English version prevails.

0. Definitions

"Loopback" / "we" / "us": HAKKO AI PTE. LTD. (place of registration: Singapore, address: 120 Robinson Road #13-01 Singapore 068913), the provider of the Loopback feedback-analytics service.
"Service": the Loopback platform for multi-channel collection, aggregation and AI analysis of user feedback (including the web application, API and related features).
"Customer" / "you": the business or organization that subscribes to or uses the Service, and its authorized users.
"End User": a third-party individual who leaves comments, ratings or feedback on the channels connected by a Customer (e.g. App Store reviewers, community members).
"Personal information / personal data": information that can directly or indirectly identify a natural person.

1. Our two roles in data processing

Loopback is a business-to-business (B2B) software service involving two categories of data with different natures, in which our role differs:

Scenario	Data type	Our role
Customer sign-up, login, billing, platform use	Account & usage data	Data Controller (GDPR) / personal information handler (PIPL)
Collecting and analyzing End-User feedback on the Customer's behalf after channels are connected	Feedback data	Data Processor (GDPR) / entrusted party (PIPL), processing on the Customer's instructions

For Feedback data, the purposes and means of processing are determined by the Customer; we process it only on the Customer's instructions. The respective rights and obligations are further set out in the Data Processing Agreement (DPA) (see Section 12).

2. Information we collect

2.1 Account & usage data (where we are the Controller)

Account information: company name, contact name, work email, password (stored encrypted), roles/permissions.
Billing information: subscription tier (Free / Pro / Max), billing address, transaction records. Full card numbers are handled by Stripe; we do not store full card numbers.
Configuration: connected channels, API keys or authorization tokens (stored encrypted, see Section 5).
Usage & log data: login records, activity logs, IP address, browser/device information, feature-usage statistics, used for security, troubleshooting and product improvement.
Cookies and similar technologies: see Section 9.

2.2 Feedback data (where we are the Processor, on the Customer's behalf)

Once a Customer connects the following channels, the platform collects public or authorized feedback content from them as authorized by the Customer, which may contain personal information:

App stores: Apple App Store (public RSS), Google Play (Play Developer API), etc.;
Community & ticketing: Reddit, Discord, Slack, Telegram, Feishu / WeCom, Zendesk, Intercom;
Surveys & reputation: Typeform, Feishu Forms, Trustpilot, etc.

Such content may include: the body of comments/reviews, ratings, publication time, the author's display name or identifier as shown on the platform, and any other information the author voluntarily includes in the content. We do not actively solicit End Users' identity documents, precise location or other sensitive personal information; where feedback content incidentally contains such information, we process it only on the Customer's instructions and for no other purpose.

3. How we use information

Provide and maintain the Service: account management, channel connection, feedback collection and aggregation, AI classification and insight generation, dashboards.
AI analysis: sending feedback content to large language models for classification, summarization, sentiment and topic analysis (provider list in Section 6).
Billing and customer support.
Security, fraud prevention and compliance: anomaly detection, access auditing, legal obligations.
Product improvement: optimizing features based on aggregated, de-identified usage statistics. We do not use Customers' Feedback data to train our own general-purpose models without the Customer's written consent (for third-party models' training policies, see Section 6).

Legal bases for processing (GDPR / PIPL)

Performance of a contract: necessary to provide the subscribed Service;
Legitimate interests: security, fraud prevention, product improvement (balancing test performed);
Consent: where applicable (e.g. optional cookies, marketing emails);
Legal obligation: where required by law.
For Feedback data, the legal basis is obtained and represented by the Customer as Controller.

4. Cross-border transfers and data residency

Data is stored and processed at Google Cloud (us-central1, United States). If you are in the EU/UK, cross-border transfers rely on lawful mechanisms such as the Standard Contractual Clauses (SCCs).

Data flows differ by deployment form:

SHARED_SAAS (shared hosting): data is stored in the Loopback-hosted environment;
BYO_KEY (bring your own key): your own model/cloud keys are used, and AI calls are sent to the provider you designate;
SELF_HOSTED: data is stored in your own environment, and Loopback generally does not access your Feedback data.

5. Data security

TLS encryption in transit; sensitive fields (passwords, third-party API keys / OAuth tokens) stored encrypted.
Role-based access control with four tiers (RBAC), least-privilege principle, access auditing.
Tiered protection by sensitivity (from L1 data obfuscation to L4 confidential computing, depending on deployment form and plan).
We apply reasonable technical and organizational measures, but no system can guarantee absolute security. In the event of a personal-data breach, we will notify the relevant parties within the statutory time limits in accordance with applicable law and contract.

6. Third-party providers (Subprocessors)

To provide the Service we entrust necessary data to the following categories of subprocessors. The AI model used depends on your region and membership tier:

Category	Providers (examples)	Purpose
Cloud infrastructure	Google Cloud etc.	Hosting, storage, compute
AI models	Anthropic (Claude), OpenAI (GPT / Embedding), Google (Gemini)	Feedback classification, summarization, vectorization
Payments	Stripe etc.	Subscription billing
Email/notifications	Resend	Transactional email

We enter into data-processing terms with subprocessors requiring protection no lower than this Policy.
Content sent to model providers is used to generate analysis results; we prioritize commercial API channels that do not use Customer data to train their models, and impose this by contract.
The complete, up-to-date subprocessor list is available at: https://loopbackagent.com/subprocessors.html. We notify Customers of changes as provided in the DPA.

7. Data retention

Account & billing data: retained during the service term and thereafter for the period required by law (e.g. tax, audit).
Feedback data: retained as configured by the Customer in the platform or as agreed in the DPA; Customers may request export or deletion.
After termination, we will delete or anonymize Customer data within the agreed period (default 30 days), except where retention is required by law.

8. Your (and End Users') rights

To the extent provided by applicable law (GDPR / UK GDPR / California CCPA/CPRA / China PIPL, etc.), you have the right to: access, rectification, erasure, restriction of processing, data portability, objection to processing, and withdrawal of consent, and not to be discriminated against for exercising these rights.

Customer account data: please contact us via Section 13 to exercise these rights.
End Users: because Feedback data is controlled by the Customer as Controller, End-User requests should in principle be directed to the relevant Customer; we will provide technical assistance to help Customers respond to such requests.
We will respond within statutory time limits; you also have the right to lodge a complaint with your local supervisory authority.

9. Cookies and similar technologies

We use necessary cookies to maintain login and security, and, with consent, analytics cookies to understand product usage. You can manage non-essential cookies through your browser settings.

10. Children's privacy

The Service is intended for businesses and not for individuals under 16 (or the age specified by applicable law). We do not knowingly collect children's personal information.

11. Changes to this Policy

We may update this Policy from time to time. Material changes will be communicated via in-service notice or email, and the "Last updated" date at the top will be revised. Continued use after changes take effect constitutes acceptance.

12. Data Processing Agreement (DPA)

For the portion where we act as Processor of Feedback data, we enter into a separate Data Processing Agreement (DPA) with business Customers, covering the scope of processing, subprocessors, security measures, assistance obligations, breach notification, audit rights and cross-border mechanisms (including SCCs). Business Customers may request it via Section 13.

13. Contact us

Data protection / privacy matters: [email protected]
General contact: [email protected]
Mailing address: 120 Robinson Road #13-01 Singapore 068913
EU/UK Representative (if applicable): to be designated and published separately
Data protection matters: [email protected]

Datenschutzrichtlinie