Leadit Reviews

Privacy Policy · Aviso de Privacidad

Effective date / Fecha de entrada en vigor: September 8, 2026 · Version 1.0

1. Who we are

Leadit Reviews (“the App”) is a product review application for Shopify stores, operated by Leadit Tech S. de R.L. de C.V., a company registered in Honduras (tax ID / RTN 05019024094145), with registered address at Colonia Figueroa, 7B, 30 Ave. S.O., Condominios Fleur Terravista, San Pedro Sula, Cortés, Honduras (“Leadit”, “we”, “us”).

This policy explains what personal data the App processes, why, for how long, with whom we share it, and how to exercise your rights. It applies only to the Leadit Reviews app, not to other Leadit products.

Questions or requests: [email protected]

2. Our role: two different relationships

We handle two categories of people, and our legal role differs for each.

Merchants (the Shopify store owners who install the App). For their account data, we act as a data controller: we decide why and how it is processed.
Shoppers (the merchant's own customers, who receive review requests and submit reviews). For their data, we act as a data processor on behalf of the merchant, who is the controller. We only process shopper data to provide the App to that merchant, and never for our own purposes.

If you are a shopper and want your data deleted, the fastest route is to contact the store you bought from. You can also contact us directly and we will act on the merchant's instructions.

3. What data we process

3.1 Merchant data (we are the controller)

Data	Purpose
Store domain, store name, Shopify store ID	Identify the account and isolate its data
Contact name and email of the installing user	Account administration, support, service notices
Shopify access token (encrypted)	Read orders and products through the Shopify API
Plan, subscription status, usage counters	Billing and plan limits
App configuration and settings	Operate the App as configured
Admin activity logs, IP address	Security, auditing, incident investigation

3.2 Shopper data (the merchant is the controller; we process on their behalf)

Data	Purpose
First and last name	Address the review request and display the review author
Email address	Verify a purchase on the public review link and deliver the review link
Phone number	Allow the merchant's messaging channel (e.g. WhatsApp or SMS) to deliver the review request
Order details: order ID and number, line items, products, variants, quantities, order and fulfilment dates, and store location for in-store orders	Know which products to ask about, when to ask, and confirm a verified purchase
Review content: rating, title, body, attribute answers, language	The review itself
Photos and videos submitted with a review	Display them with the review
Technical data at submission: IP address, user agent, timestamps	Fraud and spam prevention, abuse rate limiting, security

We do not collect shopper postal addresses, payment data, or card details. We have no access to them and do not request the Shopify permissions that would grant them.

Reviews are public by nature. Once published, the rating, text, media and the author's display name (formatted as configured by the merchant, for example “Maria G.”) are visible to anyone visiting the merchant's storefront. Email addresses and phone numbers are never published.

4. Legal bases

Performance of a contract — providing the App to the merchant under our terms of service.
Legitimate interests — securing the service, preventing fraudulent or spam reviews, and improving reliability. We balance these against your rights.
Consent — where a shopper voluntarily submits a review and any photo or video. Submission is always optional.
Legal obligation — where retention or disclosure is required by law.

We do not sell personal data, do not share it with advertisers, and do not use it to train machine learning models.

5. Sub-processors

We use the following providers to run the service. Each is bound by a data processing agreement and processes data only on our instructions.

Provider	Function	Region
Shopify Inc.	Source platform for order and product data	Global
Neon, Inc.	Application database (PostgreSQL)	United States
Railway Corp.	Application hosting and job queues (Redis)	United States
Cloudflare, Inc.	Media storage and delivery (photos, video), bot protection, CDN	Global
Resend, Inc.	Transactional email (verification links)	United States
Functional Software, Inc. (Sentry)	Error monitoring	United States

Where a merchant connects the App to a third-party messaging or marketing platform of their own, data sent to that platform is governed by the merchant's agreement with that provider, not by this policy.

6. How long we keep data

Reviews and their media: for as long as the merchant keeps the App installed, because they are content the merchant publishes on their store.
Review requests and tokens: expired or unused review links are purged 90 days after expiry.
Email verification tokens: deleted 30 days after creation. We store a salted hash of the email address, never the address itself.
Rejected review media: permanently deleted after 30 days.
Security and access logs: 12 months.
After uninstall: we retain the store's data for 30 days so the merchant can reinstall or export without loss, then delete or irreversibly anonymise it. A merchant can request immediate deletion at any time.

We honour Shopify's mandatory privacy webhooks — customers/data_request, customers/redact and shop/redact — and act on them within the periods Shopify requires.

7. How we protect data

All data is encrypted in transit (TLS 1.2+) and encrypted at rest, including database backups.
Access tokens, email addresses and phone numbers are encrypted at the field level with AES-GCM; keys are held outside the database.
Separate development, staging and production environments. Production personal data is never copied into development or testing.
Least-privilege staff access, granted by role, reviewed periodically, revoked on departure. Access to production is logged.
Strong password requirements and multi-factor authentication on every administrative system.
Strict tenant isolation: every query is scoped to a single store, enforced in code and covered by automated tests.
Uploaded media is validated by real content type, and location metadata (EXIF/GPS) is stripped before storage.
Automated monitoring, alerting, and a documented incident response procedure. If a breach affects personal data, we notify affected merchants without undue delay and, where required, the relevant supervisory authority within 72 hours.

8. International transfers

Our providers may process data in countries other than yours, including the United States and the European Union. Where personal data leaves its country of origin, transfers rely on Standard Contractual Clauses or an equivalent lawful mechanism agreed with each provider.

9. Your rights

Depending on where you live, you may have the right to access, correct, delete, restrict or object to the processing of your personal data, to receive it in a portable format, and to lodge a complaint with your data protection authority.

Shoppers: contact the store you purchased from, or write to [email protected] and we will forward your request to the merchant and act on their instructions.
Merchants: write to [email protected], or use the export and deletion tools inside the App.

We respond within 30 days. We do not charge for these requests and do not discriminate against anyone who makes one.

10. Cookies and local storage

The public review form uses no advertising or analytics cookies. It uses only strictly necessary storage: a session cookie to keep your progress if you close and reopen the form, and a bot-protection token. The embedded admin interface uses session cookies required by Shopify to authenticate the merchant.

11. Children

The App is not directed at children and we do not knowingly collect data from anyone under 16. If you believe a child has submitted a review, contact us and we will delete it.

12. Changes to this policy

We may update this policy. The effective date at the top always reflects the current version. If a change materially affects how we handle personal data, we notify merchants by email and inside the App at least 15 days before it takes effect.

13. Contact

Leadit Tech S. de R.L. de C.V.
Colonia Figueroa, 7B, 30 Ave. S.O., Condominios Fleur Terravista, San Pedro Sula, Cortés, Honduras
Privacy: [email protected]
Support: [email protected]

1. Quiénes somos

Leadit Reviews (“la App”) es una aplicación de reseñas de producto para tiendas Shopify, operada por Leadit Tech S. de R.L. de C.V., sociedad constituida en Honduras (RTN 05019024094145), con domicilio en Colonia Figueroa, 7B, 30 Ave. S.O., Condominios Fleur Terravista, San Pedro Sula, Cortés, Honduras (“Leadit”, “nosotros”).

Este aviso explica qué datos personales trata la App, para qué, por cuánto tiempo, con quién los compartimos y cómo ejercer tus derechos. Aplica únicamente a la app Leadit Reviews, no a los demás productos de Leadit.

Dudas o solicitudes: [email protected]

2. Nuestro rol: dos relaciones distintas

Tratamos con dos tipos de personas, y nuestra figura legal es distinta en cada caso.

Comerciantes (los dueños de la tienda Shopify que instalan la App). Respecto de los datos de su cuenta somos responsables del tratamiento: decidimos por qué y cómo se tratan.
Compradores (los clientes del comerciante, que reciben la solicitud de reseña y la contestan). Respecto de sus datos somos encargados del tratamiento por cuenta del comerciante, que es el responsable. Solo tratamos esos datos para prestarle el servicio a ese comerciante, nunca para fines propios.

Si eres comprador y quieres que se eliminen tus datos, lo más rápido es contactar a la tienda donde compraste. También puedes escribirnos y actuaremos conforme a las instrucciones del comerciante.

3. Qué datos tratamos

3.1 Datos del comerciante (somos responsables)

Dato	Finalidad
Dominio de la tienda, nombre y ID de Shopify	Identificar la cuenta y aislar sus datos
Nombre y correo de quien instala	Administración de la cuenta, soporte y avisos del servicio
Token de acceso de Shopify (cifrado)	Leer órdenes y productos mediante la API de Shopify
Plan, estado de suscripción y contadores de uso	Facturación y límites del plan
Configuración de la App	Operar la App según lo configurado
Registros de actividad del administrador, dirección IP	Seguridad, auditoría e investigación de incidentes

3.2 Datos del comprador (el comerciante es el responsable; nosotros tratamos por su cuenta)

Dato	Finalidad
Nombre y apellido	Dirigir la solicitud de reseña y mostrar la autoría
Correo electrónico	Verificar la compra en el enlace público y entregar el enlace de reseña
Teléfono	Permitir que el canal de mensajería del comerciante (por ejemplo WhatsApp o SMS) entregue la solicitud
Datos de la orden: ID y número, artículos, productos, variantes, cantidades, fechas de compra y entrega, y sucursal en compras presenciales	Saber por cuáles productos preguntar, cuándo hacerlo y acreditar la compra verificada
Contenido de la reseña: calificación, título, texto, atributos, idioma	La reseña misma
Fotos y videos que se adjunten	Mostrarlos junto con la reseña
Datos técnicos al enviar: IP, agente de usuario, marcas de tiempo	Prevención de fraude y spam, límites de abuso, seguridad

No recabamos domicilio, datos de pago ni información de tarjetas de los compradores. No tenemos acceso a ellos y no solicitamos los permisos de Shopify que los otorgarían.

Las reseñas son públicas por naturaleza. Una vez publicadas, la calificación, el texto, la media y el nombre del autor con el formato que elija el comerciante (por ejemplo “María G.”) quedan visibles para cualquiera que visite la tienda. El correo y el teléfono nunca se publican.

4. Bases legales

Ejecución de un contrato — prestar la App al comerciante conforme a nuestros términos.
Interés legítimo — proteger el servicio, evitar reseñas fraudulentas o spam y mejorar la fiabilidad, ponderado siempre frente a tus derechos.
Consentimiento — cuando un comprador decide voluntariamente enviar una reseña y, en su caso, una foto o video. Enviarla siempre es opcional.
Obligación legal — cuando la ley exija conservar o revelar información.

No vendemos datos personales, no los compartimos con anunciantes y no los usamos para entrenar modelos de inteligencia artificial.

5. Encargados (sub-procesadores)

Usamos los siguientes proveedores para operar el servicio. Cada uno está sujeto a un contrato de tratamiento de datos y actúa solo bajo nuestras instrucciones.

Proveedor	Función	Región
Shopify Inc.	Plataforma origen de datos de órdenes y productos	Global
Neon, Inc.	Base de datos de la aplicación (PostgreSQL)	Estados Unidos
Railway Corp.	Alojamiento de la aplicación y colas de trabajo (Redis)	Estados Unidos
Cloudflare, Inc.	Almacenamiento y entrega de media, protección contra bots, CDN	Global
Resend, Inc.	Correo transaccional (enlaces de verificación)	Estados Unidos
Functional Software, Inc. (Sentry)	Monitoreo de errores	Estados Unidos

Cuando un comerciante conecta la App con su propia plataforma de mensajería o marketing, los datos enviados a esa plataforma se rigen por el acuerdo del comerciante con ese proveedor, no por este aviso.

6. Cuánto tiempo conservamos los datos

Reseñas y su media: mientras el comerciante mantenga la App instalada, ya que es contenido que publica en su tienda.
Solicitudes y tokens de reseña: los enlaces vencidos o no usados se purgan 90 días después de su expiración.
Tokens de verificación por correo: se eliminan a los 30 días. Guardamos un hash con sal del correo, nunca el correo en claro.
Media de reseñas rechazadas: se elimina definitivamente a los 30 días.
Registros de seguridad y acceso: 12 meses.
Tras la desinstalación: conservamos los datos de la tienda 30 días para que el comerciante pueda reinstalar o exportar sin pérdida, y después los eliminamos o anonimizamos de forma irreversible. El comerciante puede pedir la eliminación inmediata en cualquier momento.

Atendemos los webhooks de privacidad obligatorios de Shopify — customers/data_request, customers/redact y shop/redact — dentro de los plazos que Shopify exige.

7. Cómo protegemos los datos

Todos los datos viajan cifrados en tránsito (TLS 1.2+) y se almacenan cifrados en reposo, incluidos los respaldos.
Los tokens de acceso, correos y teléfonos se cifran a nivel de campo con AES-GCM; las llaves viven fuera de la base de datos.
Entornos de desarrollo, pruebas y producción separados. Los datos personales de producción nunca se copian a desarrollo ni a pruebas.
Acceso del personal por mínimo privilegio, asignado por rol, revisado periódicamente y revocado al término de la relación. Todo acceso a producción queda registrado.
Contraseñas robustas y autenticación de múltiples factores en todos los sistemas administrativos.
Aislamiento estricto entre tiendas: toda consulta está acotada a una sola tienda, garantizado en código y cubierto por pruebas automatizadas.
La media que se sube se valida por su tipo real de contenido y se le eliminan los metadatos de ubicación (EXIF/GPS) antes de almacenarla.
Monitoreo y alertas automatizadas, y un procedimiento documentado de respuesta a incidentes. Si una brecha afecta datos personales, notificamos a los comerciantes afectados sin dilación indebida y, cuando corresponda, a la autoridad competente dentro de las 72 horas.

8. Transferencias internacionales

Nuestros proveedores pueden tratar datos en países distintos al tuyo, incluidos Estados Unidos y la Unión Europea. Cuando los datos salen de su país de origen, la transferencia se ampara en Cláusulas Contractuales Tipo o un mecanismo legal equivalente acordado con cada proveedor.

9. Tus derechos

Según dónde residas, puedes tener derecho a acceder, rectificar, cancelar u oponerte al tratamiento de tus datos personales, a limitarlo, a recibirlos en un formato portable y a presentar una queja ante tu autoridad de protección de datos.

Compradores: contacta a la tienda donde compraste, o escribe a [email protected] y trasladaremos tu solicitud al comerciante para actuar conforme a sus instrucciones.
Comerciantes: escribe a [email protected] o usa las herramientas de exportación y eliminación dentro de la App.

Respondemos en un plazo de 30 días. No cobramos por estas solicitudes ni discriminamos a quien las presenta.

10. Cookies y almacenamiento local

El formulario público de reseñas no usa cookies de publicidad ni de analítica. Solo usa almacenamiento estrictamente necesario: una cookie de sesión para conservar tu avance si cierras y vuelves a abrir el formulario, y un token de protección contra bots. La interfaz de administración usa las cookies de sesión que Shopify requiere para autenticar al comerciante.

11. Menores de edad

La App no está dirigida a menores y no recabamos conscientemente datos de personas menores de 16 años. Si crees que un menor envió una reseña, contáctanos y la eliminaremos.

12. Cambios a este aviso

Podemos actualizar este aviso. La fecha de entrada en vigor del encabezado siempre corresponde a la versión vigente. Si un cambio afecta de forma sustancial el tratamiento de datos personales, lo notificamos a los comerciantes por correo y dentro de la App con al menos 15 días de anticipación.

13. Contacto

Leadit Tech S. de R.L. de C.V.
Colonia Figueroa, 7B, 30 Ave. S.O., Condominios Fleur Terravista, San Pedro Sula, Cortés, Honduras
Privacidad: [email protected]
Soporte: [email protected]