Política de Privacidad de Loopback / Privacy Policy

Fecha de vigencia: 14-07-2026　·　Última actualización: 22-07-2026　·　Versión: v1.2

Idioma y versión oficial: Esta política se ofrece en varios idiomas para su comodidad. El idioma que se muestra depende del idioma de interfaz seleccionado en Loopback; si no existe una versión en su idioma, se mostrará por defecto la versión en inglés.La versión oficial es la versión en inglés; las traducciones a otros idiomas se ofrecen solo como referencia. En caso de ambigüedad o conflicto entre una traducción y la versión en inglés, prevalecerá la versión en inglés.

0. Definiciones

"Loopback" / "nosotros": se refiere a HAKKO AI PTE. LTD. (registrada en Singapur, con domicilio en 120 Robinson Road #13-01 Singapore 068913), proveedor del servicio de análisis de comentarios de Loopback.
"Servicio": se refiere a la plataforma de Loopback para la recopilación, agregación y análisis mediante IA de comentarios de usuarios en múltiples canales (incluida la aplicación web, la API y funciones relacionadas).
"Cliente" / "usted": se refiere a la empresa u organización que se suscribe o utiliza el Servicio, así como a sus usuarios autorizados.
"Usuario final": se refiere a las personas terceras que dejan comentarios, calificaciones o reseñas en los canales conectados por el Cliente (por ejemplo, personas que dejan Review en App Store, miembros de comunidades, etc.).
"Información personal / Datos personales": información que permite identificar, directa o indirectamente, a una persona física determinada.

1. Nuestros dos roles en el tratamiento de datos

Loopback es un servicio de software para empresas (B2B) que involucra dos tipos de datos de naturaleza distinta, en los que asumimos roles diferentes:

Escenario	Tipo de datos	Nuestro rol
Registro, inicio de sesión, facturación y uso de la plataforma por parte del Cliente	Datos de cuenta y de uso	DatosResponsable del tratamiento (Controller)(GDPR) / Responsable del tratamiento de información personal (PIPL)
Una vez que el Cliente conecta sus canales, la plataforma recopila y analiza en su nombre los comentarios de los usuarios finales	Datos de comentarios (feedback)	DatosEncargado del tratamiento (Processor)(GDPR) / Encargado del tratamiento (PIPL), que actúa en nombre del Cliente

En el caso de los datos de comentarios, la finalidad y la forma de tratamiento las determina elCliente, y nosotros solo los tratamos siguiendo sus instrucciones. Los derechos y obligaciones correspondientes se detallan en el Acuerdo de Tratamiento de Datos (DPA)(véase la sección 12).

2. Qué información recopilamos

2.1 Datos de cuenta y de uso (actuamos como Responsable del tratamiento)

Información de la cuenta: nombre de la empresa, nombre del contacto, correo electrónico laboral, contraseña (almacenada de forma cifrada), rol/permisos.
Información de facturación: nivel de suscripción (Free / Pro / Max), dirección de facturación, historial de transacciones. El número de tarjeta se procesa a través de Stripe; no almacenamos números de tarjeta completos.
Información de configuración: canales conectados, claves de API o tokens de autorización (almacenados de forma cifrada, ver Sección 5).
Datos de uso y registros: registros de inicio de sesión, logs de actividad, dirección IP, información de navegador/dispositivo, estadísticas de uso de funciones, utilizados para seguridad, resolución de problemas y mejora del producto.
Datos de uso del producto: eventos de comportamiento como visitas a páginas y uso de funciones (por ejemplo, abrir un reporte o conectar un canal), junto con un identificador anónimo propio (cookie lb_aid) utilizado para atribución anónima entre el sitio web y la aplicación. Estos datos se usan únicamente para mejorar el producto, se almacenan en nuestra propia base de datos (sin servicios de análisis de terceros), no incluyen el contenido de los comentarios ni la información que usted ingresa, y se conservan por un máximo de 180 días.
Cookies y tecnologías similares: ver Sección 9.

2.2 Datos de feedback (procesados por nosotros como encargados, en nombre del cliente)

Una vez que el cliente conecta los siguientes canales, la plataforma recopila, según la autorización del cliente, contenido de feedback público o autorizado, que puede incluir información personal:

Tiendas de aplicaciones: Apple App Store (RSS público), Google Play (Play Developer API), entre otras;
Comunidades y tickets: Reddit, Discord, Slack, Telegram, Lark / WeCom, Zendesk, Intercom;
Encuestas y reputación: Typeform, encuestas de Lark, Trustpilot, entre otras.

Este contenido puede incluir: el texto de comentarios/reseñas, calificaciones, fecha de publicación, el apodo o identificador del autor mostrado en la plataforma, y otra información que el autor haya incluido voluntariamente en el contenido.No solicitamos de forma activa documentos de identidad, ubicación precisa u otra información personal sensible de los usuarios finales; si dicha información aparece ocasionalmente en el contenido del feedback, solo se procesa según las instrucciones del cliente y no se utiliza para ningún otro fin.

3. Cómo usamos la información

Proveer y mantener el servicio: gestión de cuentas, conexión de canales, recopilación y agregación de feedback, clasificación con AI y generación de insights, paneles de visualización.
Procesamiento de análisis con AI: el contenido del feedback se envía a modelos de lenguaje grandes para su clasificación, resumen, análisis de sentimiento y de temas (ver lista de modelos en la Sección 6).
Facturación y soporte al cliente。
Seguridad, prevención de fraude y cumplimiento: detección de anomalías, auditoría de accesos, cumplimiento de obligaciones legales.
Mejora del producto: optimización de funciones basada en estadísticas de uso agregadas y anonimizadas.Sin el consentimiento por escrito del cliente, no utilizamos los datos de feedback del cliente para entrenar nuestros propios modelos de propósito general (ver Sección 6 para la política de entrenamiento de modelos de terceros).

Base legal del tratamiento (GDPR / PIPL)

Ejecución del contrato: necesario para proporcionarle el servicio contratado;
Interés legítimo: para garantizar la seguridad, prevenir el fraude y mejorar el producto (con un equilibrio de intereses realizado);
Consentimiento: cuando corresponda (por ejemplo, cookies opcionales, correos de marketing);
Obligación legal: según lo exijan las leyes y regulaciones aplicables.
Para los datos de Review, la base legal es responsabilidad deCliente, en su calidad de responsable del tratamiento, quien debe obtenerla y comunicarla.

4. Transferencia internacional y residencia de datos

El almacenamiento y procesamiento de datos se realiza en Google Cloud (us-central1, EE. UU.). Si usted se encuentra en la UE/Reino Unido, las transferencias internacionales se basan enCláusulas Contractuales Tipo (SCCs)u otros mecanismos legales equivalentes.

El flujo de datos varía según la modalidad de implementación:

SHARED_SAAS (alojamiento compartido): los datos se almacenan en el entorno alojado por Loopback;
BYO_KEY (clave propia): se utilizan sus propias claves de modelo/nube, y las llamadas de AI se envían al proveedor que usted designe;
SELF_HOSTED (implementación privada): los datos se almacenan ensu propio entorno, y Loopback normalmente no accede a sus datos de Review.

5. Seguridad de los datos

Cifrado TLS en la capa de transporte; los campos sensibles (contraseñas, claves de API de terceros/tokens de OAuth) se almacenan cifrados.
Control de acceso basado en roles (RBAC) con cuatro niveles, principio de mínimo privilegio y auditoría de accesos.
Protección escalonada según el nivel de sensibilidad (desde L1, ofuscación de datos, hasta L4, computación confidencial, según la modalidad de implementación y el plan contratado).
Adoptamos medidas técnicas y organizativas razonables, aunque ningún sistema puede garantizar una seguridad absoluta. En caso de una violación de datos personales, notificaremos a las partes correspondientes dentro de los plazos exigidos por la ley y los contratos aplicables.

6. Proveedores externos (Subprocessors)

Para prestar el servicio, encomendamos los datos necesarios a las siguientes categorías de Subprocessors. La selección del modelo de AI depende de suregiónynivel de membresía：

Categoría	Proveedor (ejemplo)	Finalidad
Infraestructura en la nube	Google Cloud, entre otros	Alojamiento, almacenamiento y computación
Modelos de AI	Anthropic（Claude）、OpenAI（GPT / Embedding）、Google（Gemini）	Clasificación, resumen y vectorización de Review
Pagos	Stripe, entre otros	Facturación de suscripción
Correo electrónico/Notificaciones	Resend	Correos transaccionales

Firmamos cláusulas de tratamiento de datos con los subencargados, exigiéndoles un nivel de protección no inferior al establecido en esta política.
El contenido enviado a los proveedores de modelos se utiliza paragenerar resultados de análisis; damos prioridad acanales de API comerciales que no utilizan los datos del cliente para entrenar sus modelos, y establecemos esta restricción contractualmente.
La lista completa y actualizada de subencargadosestá disponible en: https://loopbackagent.com/subprocessors.html. Notificaremos a los clientes según lo acordado en el DPA cuando se actualice la lista.

7. Retención de datos

Datos de cuenta y facturación: se conservan durante la prestación del servicio y posteriormente durante el período necesario exigido por ley (por ejemplo, fines fiscales o de auditoría).
Datos de comentarios (feedback): se conservan según la configuración del cliente en la plataforma o lo acordado en el DPA; el cliente puede solicitar su exportación o eliminación.
Tras la finalización del servicio, eliminaremos o anonimizaremos los datos del cliente dentro del plazo acordado (30 días por defecto), salvo que la ley exija su conservación.

8. Sus derechos (y los de los usuarios finales)

Dentro del alcance de las leyes aplicables (GDPR, UK GDPR, CCPA/CPRA de California, PIPL de China, etc.), usted tiene derecho a: acceder, rectificar, eliminar, limitar el tratamiento, portar sus datos, oponerse al tratamiento y retirar su consentimiento, así como a no ser discriminado por ejercer estos derechos.

Datos de la cuenta del cliente: para ejercer estos derechos, contáctenos a través de la sección 13.
Usuarios finales: dado que los datos de retroalimentación son controlados por el cliente en calidad de responsable del tratamiento, las solicitudes de derechos de los usuarios finales deben dirigirse, en principio, alcliente correspondiente; le brindaremos asistencia técnica al cliente para responder a dichas solicitudes.
Responderemos dentro de los plazos legales establecidos; usted también tiene derecho a presentar una queja ante la autoridad reguladora de su jurisdicción.

9. Cookies y tecnologías similares

Utilizamos cookies necesarias para mantener el inicio de sesión y la seguridad, y, con su consentimiento, cookies analíticas para entender el uso del producto. Nuestro análisis de uso del producto es desarrollado internamente en calidad de primera parte (la página no carga ningún script analítico de terceros); el identificador anónimo de primera parte lb_aid se utiliza únicamente para atribución anónima (véase la sección 2.1 "Datos de uso del producto"), y puede eliminarlo o bloquearlo desde la configuración de su navegador. Puede gestionar las cookies no esenciales a través de la configuración de su navegador. Para los visitantes de Europa, la cookie de estadísticas anónimas del sitio web (lb_aid) no se establecerá hasta que usted seleccione "Aceptar" en el aviso de cookies, y durante ese período no se recopilará ningún evento estadístico; al seleccionar "Rechazar" no se realizará ningún seguimiento y se eliminará cualquier identificador existente. En cualquier región, puede cambiar su elección en cualquier momento a través de "Configuración de cookies" en el pie de página.

10. Privacidad de menores

Este servicio está dirigido a empresas y no a personas menores de 16 años (o la edad mínima establecida por la ley aplicable). No recopilamos intencionalmente información personal de menores.

11. Cambios en esta política

Podemos actualizar esta política de vez en cuando. Los cambios significativos se notificarán mediante avisos dentro del servicio o por correo electrónico, y se actualizará la fecha de "Última actualización" en la parte superior. El uso continuado tras la entrada en vigor de los cambios se considerará como aceptación.

12. Acuerdo de Tratamiento de Datos (DPA)

En lo que respecta al tratamiento de datos de retroalimentación en calidad de encargado del tratamiento, firmamos por separado un Acuerdo de Tratamiento de Datos (DPA) con nuestros clientes empresariales, que establece el alcance del tratamiento, los subencargados, las medidas de seguridad, las obligaciones de asistencia, la notificación de brechas de datos, los derechos de auditoría y los mecanismos de transferencia internacional (incluidas las SCCs). Los clientes empresariales pueden solicitarlo a través de la sección 13.

13. Contáctenos

Asuntos de protección de datos/privacidad: [email protected]
Contacto general: [email protected]
Dirección postal: 120 Robinson Road #13-01 Singapore 068913
Representante en la UE/Reino Unido (si aplica): se designará y publicará por separado
Asuntos de protección de datos: [email protected]

Loopback Privacy Policy

Effective date: 2026-07-14　·　Last updated: 2026-07-14　·　Version: v1.0

Language & governing version: This Policy is offered in multiple languages for your convenience; the language shown follows the interface language you select in Loopback, and any language not provided defaults to this English version. The governing version is this English version. Other translations are for reference only; in case of ambiguity or conflict between a translation and the English version, the English version prevails.

0. Definitions

"Loopback" / "we" / "us": HAKKO AI PTE. LTD. (place of registration: Singapore, address: 120 Robinson Road #13-01 Singapore 068913), the provider of the Loopback feedback-analytics service.
"Service": the Loopback platform for multi-channel collection, aggregation and AI analysis of user feedback (including the web application, API and related features).
"Customer" / "you": the business or organization that subscribes to or uses the Service, and its authorized users.
"End User": a third-party individual who leaves comments, ratings or feedback on the channels connected by a Customer (e.g. App Store reviewers, community members).
"Personal information / personal data": information that can directly or indirectly identify a natural person.

1. Our two roles in data processing

Loopback is a business-to-business (B2B) software service involving two categories of data with different natures, in which our role differs:

Scenario	Data type	Our role
Customer sign-up, login, billing, platform use	Account & usage data	Data Controller (GDPR) / personal information handler (PIPL)
Collecting and analyzing End-User feedback on the Customer's behalf after channels are connected	Feedback data	Data Processor (GDPR) / entrusted party (PIPL), processing on the Customer's instructions

For Feedback data, the purposes and means of processing are determined by the Customer; we process it only on the Customer's instructions. The respective rights and obligations are further set out in the Data Processing Agreement (DPA) (see Section 12).

2. Information we collect

2.1 Account & usage data (where we are the Controller)

Account information: company name, contact name, work email, password (stored encrypted), roles/permissions.
Billing information: subscription tier (Free / Pro / Max), billing address, transaction records. Full card numbers are handled by Stripe; we do not store full card numbers.
Configuration: connected channels, API keys or authorization tokens (stored encrypted, see Section 5).
Usage & log data: login records, activity logs, IP address, browser/device information, feature-usage statistics, used for security, troubleshooting and product improvement.
Cookies and similar technologies: see Section 9.

2.2 Feedback data (where we are the Processor, on the Customer's behalf)

Once a Customer connects the following channels, the platform collects public or authorized feedback content from them as authorized by the Customer, which may contain personal information:

App stores: Apple App Store (public RSS), Google Play (Play Developer API), etc.;
Community & ticketing: Reddit, Discord, Slack, Telegram, Feishu / WeCom, Zendesk, Intercom;
Surveys & reputation: Typeform, Feishu Forms, Trustpilot, etc.

Such content may include: the body of comments/reviews, ratings, publication time, the author's display name or identifier as shown on the platform, and any other information the author voluntarily includes in the content. We do not actively solicit End Users' identity documents, precise location or other sensitive personal information; where feedback content incidentally contains such information, we process it only on the Customer's instructions and for no other purpose.

3. How we use information

Provide and maintain the Service: account management, channel connection, feedback collection and aggregation, AI classification and insight generation, dashboards.
AI analysis: sending feedback content to large language models for classification, summarization, sentiment and topic analysis (provider list in Section 6).
Billing and customer support.
Security, fraud prevention and compliance: anomaly detection, access auditing, legal obligations.
Product improvement: optimizing features based on aggregated, de-identified usage statistics. We do not use Customers' Feedback data to train our own general-purpose models without the Customer's written consent (for third-party models' training policies, see Section 6).

Legal bases for processing (GDPR / PIPL)

Performance of a contract: necessary to provide the subscribed Service;
Legitimate interests: security, fraud prevention, product improvement (balancing test performed);
Consent: where applicable (e.g. optional cookies, marketing emails);
Legal obligation: where required by law.
For Feedback data, the legal basis is obtained and represented by the Customer as Controller.

4. Cross-border transfers and data residency

Data is stored and processed at Google Cloud (us-central1, United States). If you are in the EU/UK, cross-border transfers rely on lawful mechanisms such as the Standard Contractual Clauses (SCCs).

Data flows differ by deployment form:

SHARED_SAAS (shared hosting): data is stored in the Loopback-hosted environment;
BYO_KEY (bring your own key): your own model/cloud keys are used, and AI calls are sent to the provider you designate;
SELF_HOSTED: data is stored in your own environment, and Loopback generally does not access your Feedback data.

5. Data security

TLS encryption in transit; sensitive fields (passwords, third-party API keys / OAuth tokens) stored encrypted.
Role-based access control with four tiers (RBAC), least-privilege principle, access auditing.
Tiered protection by sensitivity (from L1 data obfuscation to L4 confidential computing, depending on deployment form and plan).
We apply reasonable technical and organizational measures, but no system can guarantee absolute security. In the event of a personal-data breach, we will notify the relevant parties within the statutory time limits in accordance with applicable law and contract.

6. Third-party providers (Subprocessors)

To provide the Service we entrust necessary data to the following categories of subprocessors. The AI model used depends on your region and membership tier:

Category	Providers (examples)	Purpose
Cloud infrastructure	Google Cloud etc.	Hosting, storage, compute
AI models	Anthropic (Claude), OpenAI (GPT / Embedding), Google (Gemini)	Feedback classification, summarization, vectorization
Payments	Stripe etc.	Subscription billing
Email/notifications	Resend	Transactional email

We enter into data-processing terms with subprocessors requiring protection no lower than this Policy.
Content sent to model providers is used to generate analysis results; we prioritize commercial API channels that do not use Customer data to train their models, and impose this by contract.
The complete, up-to-date subprocessor list is available at: https://loopbackagent.com/subprocessors.html. We notify Customers of changes as provided in the DPA.

7. Data retention

Account & billing data: retained during the service term and thereafter for the period required by law (e.g. tax, audit).
Feedback data: retained as configured by the Customer in the platform or as agreed in the DPA; Customers may request export or deletion.
After termination, we will delete or anonymize Customer data within the agreed period (default 30 days), except where retention is required by law.

8. Your (and End Users') rights

To the extent provided by applicable law (GDPR / UK GDPR / California CCPA/CPRA / China PIPL, etc.), you have the right to: access, rectification, erasure, restriction of processing, data portability, objection to processing, and withdrawal of consent, and not to be discriminated against for exercising these rights.

Customer account data: please contact us via Section 13 to exercise these rights.
End Users: because Feedback data is controlled by the Customer as Controller, End-User requests should in principle be directed to the relevant Customer; we will provide technical assistance to help Customers respond to such requests.
We will respond within statutory time limits; you also have the right to lodge a complaint with your local supervisory authority.

9. Cookies and similar technologies

We use necessary cookies to maintain login and security, and, with consent, analytics cookies to understand product usage. You can manage non-essential cookies through your browser settings.

10. Children's privacy

The Service is intended for businesses and not for individuals under 16 (or the age specified by applicable law). We do not knowingly collect children's personal information.

11. Changes to this Policy

We may update this Policy from time to time. Material changes will be communicated via in-service notice or email, and the "Last updated" date at the top will be revised. Continued use after changes take effect constitutes acceptance.

12. Data Processing Agreement (DPA)

For the portion where we act as Processor of Feedback data, we enter into a separate Data Processing Agreement (DPA) with business Customers, covering the scope of processing, subprocessors, security measures, assistance obligations, breach notification, audit rights and cross-border mechanisms (including SCCs). Business Customers may request it via Section 13.

13. Contact us

Data protection / privacy matters: [email protected]
General contact: [email protected]
Mailing address: 120 Robinson Road #13-01 Singapore 068913
EU/UK Representative (if applicable): to be designated and published separately
Data protection matters: [email protected]

Política de privacidad