Aviso de Protección de Datos GDPR
Contenido · 10 secciones
- 1. Identidad del Responsable del Tratamiento
- 2. Datos Personales Tratados (Categorías de Datos)
- 3. Finalidades del Tratamiento de los Datos Personales
- 4. Fundamentos Jurídicos del Tratamiento (KVKK arts. 5 / 6)
- 5. Transferencia de Datos Personales y Transferencia al Extranjero (KVKK arts. 8 / 9)
- 6. Método de Recogida de los Datos Personales
- 7. Plazo de Conservación
- 8. Derechos del Interesado (KVKK art. 11)
- 9. Método de Presentación de Solicitudes
- 10. Modificaciones y Entrada en Vigor
El presente Aviso ha sido elaborado para informarle sobre los datos personales tratados por la plataforma de inteligencia artificial ToRun ("ToRun", la "Plataforma"), de conformidad con el artículo 10 de la 6698 sayılı Kişisel Verilerin Korunması Kanunu (la "KVKK" o la "Ley" — Ley turca n.º 6698 de Protección de Datos Personales) y el "Comunicado sobre los Principios y Procedimientos que Deben Seguirse en el Cumplimiento de la Obligación de Informar".
ToRun es una plataforma que ofrece servicios de inteligencia artificial tales como chat, generación de imágenes/vídeo/música/audio, flujos de trabajo (workflows) y un asistente integrado en la aplicación. La Plataforma es operada por TORUN TEKNOLOJİ ANONİM ŞİRKETİ (la "Sociedad"), una sociedad anónima constituida en Turquía.
Nota: Este documento ha sido elaborado para cumplir la obligación de informar prevista en la KVKK respecto de los interesados residentes en Türkiye. Para los usuarios fuera de Türkiye y para los principios generales de tratamiento de datos, rige la Política de Privacidad (GDPR / Privacy Policy) aplicable por separado, siendo el presente Aviso complementario de dicha política.
1. Identidad del Responsable del Tratamiento
En su condición de "responsable del tratamiento" definido en el artículo 3 de la KVKK, sus datos personales son tratados por TORUN TEKNOLOJİ ANONİM ŞİRKETİ, que opera la plataforma ToRun.
| Información | Detalle |
|---|---|
| Responsable del tratamiento | TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) |
| Domicilio social | Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye |
| Registro mercantil | İstanbul Ticaret Sicili Müdürlüğü, No. 1165311 |
| Número MERSİS | 0857078305100001 |
| Oficina tributaria / número de identificación fiscal | Silivri Vergi Dairesi, 8570783051 |
| Plataforma / sitio web | torun.ai — api.torun.ai |
| Dirección de correo electrónico para solicitudes | privacy@torun.ai |
| Naturaleza de la actividad | Prestación de servicios en línea basados en inteligencia artificial |
La Sociedad quedó inscrita en el İstanbul Ticaret Sicili Müdürlüğü (Registro Mercantil de Estambul) el 19 de octubre de 2026. Su obligación de inscribirse en el Registro de Responsables del Tratamiento (VERBİS) se evalúa conforme a los criterios de exención establecidos por el Consejo de Protección de Datos Personales (Kişisel Verileri Koruma Kurulu): número anual de empleados, total anual del balance y si el tratamiento de categorías especiales de datos personales constituye su actividad principal. A la fecha de este Aviso no se ha realizado ninguna inscripción en VERBİS a nombre de la Sociedad; si surgiera la obligación de inscripción, esta se realizará dentro del plazo previsto por la normativa (véase la Sección 9).
2. Datos Personales Tratados (Categorías de Datos)
En el marco de su uso de ToRun, pueden tratarse las siguientes categorías de datos personales:
2.1. Datos de Identidad y de Cuenta
- Nombre de usuario
- Dirección de correo electrónico
- Contraseña — no se almacena en texto plano; se conserva únicamente en forma cifrada mediante hash de manera irreversible
2.2. Datos de Autenticación Externa (Inicio de Sesión Social)
Si opta por crear su cuenta o iniciar sesión con un proveedor externo:
- Información de autenticación compartida por el proveedor correspondiente relativa a su cuenta de Google, Microsoft y/o Apple (p. ej., identificador único de usuario, dirección de correo electrónico, nombre y apellidos, información de perfil — en la medida permitida por el proveedor)
2.3. Datos de Perfil
- Configuración del perfil, preferencias y cualquier información de perfil que usted proporcione de forma opcional
2.4. Registros de Seguridad de las Operaciones y de Uso (Logs)
- Registros de inicio/cierre de sesión, registros de uso del servicio y de operaciones
- Registros técnicos conservados con fines de seguridad y de seguridad de la cuenta
2.5. Datos de Dispositivo y Analíticos
- Información del dispositivo/navegador y datos analíticos técnicos
- Los datos analíticos se tratan en nuestra propia infraestructura (self-hosted); no se transfieren a redes publicitarias/analíticas de terceros y no se utilizan para elaborar perfiles asociados directamente a su identidad. La verificación del dispositivo en la prueba sin cuenta de la aplicación móvil se realiza a través de servicios de Apple y Google (véase 2.8)
- Informes de fallos de la aplicación móvil (mensaje de error, traza técnica del error, nombre de la pantalla, versiones de la aplicación y del sistema operativo), enviados cuando la aplicación falla mientras usted tiene la sesión iniciada y conservados con su ID de usuario en los registros del servidor durante 30 días como máximo
2.6. Contenido Generado por el Usuario
- Las instrucciones (prompts) y comandos que introduce en la Plataforma
- Los contenidos de imagen, vídeo, audio y texto producidos a través de la Plataforma
- Los contenidos comprendidos en sus flujos de trabajo (workflows) e interacciones con el asistente integrado en la aplicación
2.7. Datos de Pago y Suscripción
- Plan de suscripción, información de operaciones/facturación y estado del pago
- Saldo de Runs - su saldo de créditos de uso prepagados (Runs) y su historial de transacciones (recargas, consumo, reversiones por reembolso).
- Importante: Los pagos en el sitio web se cobran a través de Dodo Payments, que actúa en calidad de "Merchant of Record" (Vendedor Registrado); las compras en la aplicación móvil las cobran Apple (App Store) o Google (Google Play). Los números de tarjeta de crédito/débito, el CVV y demás datos sensibles del instrumento de pago no son conservados, almacenados ni visualizables por ToRun. Estos datos son tratados directamente por el proveedor de servicios de pago correspondiente.
2.8. Prueba sin Cuenta (Aplicación Móvil)
Puede probar la aplicación móvil de ToRun durante un tiempo limitado sin crear una cuenta (la "prueba sin cuenta"). Durante la prueba no le pedimos su nombre, su dirección de correo electrónico ni su número de teléfono. Para ofrecer la prueba, evitar que se inicie una y otra vez en el mismo dispositivo y prevenir abusos, tratamos lo siguiente:
- Verificación del dispositivo - la aplicación pide a Apple (App Attest, DeviceCheck) o a Google (Play Integrity) que confirmen que el dispositivo y la aplicación son auténticos, y nuestro servidor comprueba el resultado con ellos. No almacenamos los tokens de verificación. Apple guarda para nosotros, en sus propios servidores, dos valores por dispositivo ("se concedió una prueba", "se creó una cuenta en este dispositivo").
- Identificador del dispositivo - en iOS, un identificador aleatorio que la aplicación crea y conserva en el dispositivo; en Android, el identificador de dispositivo propio de la aplicación (ANDROID_ID). Del dispositivo solo sale un hash unidireccional de él, y solo lo almacenamos después de volver a aplicarle un hash con una clave secreta (hash con clave). En iOS también almacenamos un hash con clave del identificador de la clave de App Attest.
- Red - un hash con clave del prefijo de red de su dirección IP, nunca la dirección completa, para los límites diarios de la prueba.
- Registro de la prueba - cuánto queda de la prueba, su estado y, si se denegó una prueba, el motivo.
- Lo que prueba - el mensaje que escribe, su conversación de voz, la foto que elige y el nombre que indica para una canción se envían al proveedor de IA que genera el resultado y a nuestro proveedor de moderación de contenidos (Sección 5.1). Su foto se utiliza únicamente para crear la imagen y no se almacena. Una conversación de voz no se graba y su transcripción no se almacena. Sus últimos mensajes se conservan hasta 24 horas después de su último mensaje, para que la siguiente respuesta tenga contexto; no se guardan como conversación. Lo que genera la prueba (una canción, una imagen) se conserva durante 24 horas y después se elimina.
Conservación. Los registros de la prueba se eliminan automáticamente 90 días después de concederse la prueba, y los registros del dispositivo 90 días después del último uso del dispositivo para la prueba. Si crea una cuenta a partir de la prueba, el vínculo entre la cuenta y el dispositivo se conserva durante 365 días, para que una segunda cuenta creada en el mismo dispositivo no vuelva a recibir el regalo de bienvenida. El registro de facturación de lo que consumió la prueba se conserva durante 5 años, como exige la legislación contable; identifica la prueba, no a usted, y contiene el hash con clave del prefijo de red, que se elimina si borra sus datos de prueba.
Si crea una cuenta. Lo que creó durante la prueba pasa a la Biblioteca de su cuenta y, a partir de entonces, se conserva como parte de su cuenta; el registro del dispositivo se vincula a su cuenta.
Base jurídica. El interés legítimo del responsable del tratamiento en mantener la seguridad del servicio y prevenir el abuso de una prueba gratuita (art. 5/2-f de la KVKK), y la celebración y ejecución de un contrato para la prueba que usted solicitó (art. 5/2-c). El envío de datos a los servicios de verificación de Apple y Google y a los proveedores de IA es una transferencia al extranjero, sujeta a la Sección 5.
Eliminación de sus datos de prueba. Puede eliminar sus datos de prueba en cualquier momento en la aplicación, sin cuenta: en la pantalla de bienvenida, abra "Tus datos de prueba" y elija "Borrar mis datos de prueba". El dispositivo se verifica de la misma forma que en la propia prueba, de modo que nadie más puede eliminar sus datos de prueba ni saber nada de ellos. Después, solo conservamos una nota de que este dispositivo ya utilizó su prueba (nada más, durante 90 días como máximo) y, durante un día, de que se utilizó una prueba en su red, para que la prueba no pueda simplemente iniciarse de nuevo. Si creó una cuenta, eliminar la cuenta elimina también los registros de la prueba vinculados a ella. Los dos valores que Apple guarda para un dispositivo no están vinculados a usted; no los restablecemos, porque restablecerlos permitiría una nueva prueba en ese dispositivo.
ToRun no solicita ni trata categorías especiales de datos personales (art. 6 de la KVKK — salud, religión, datos biométricos, etc.) en el marco de su funcionamiento habitual. Se recomienda no compartir tales datos a través de las instrucciones (prompts) o contenidos.
3. Finalidades del Tratamiento de los Datos Personales
Sus datos personales se tratan con las siguientes finalidades:
- Creación y gestión de la cuenta — realización del registro de usuario, autenticación de su identidad y gestión de su cuenta
- Prestación del servicio — prestación de servicios de inteligencia artificial, incluidos el chat, la generación de imágenes/vídeo/música/audio, los flujos de trabajo y el asistente integrado en la aplicación
- Facturación y gestión de suscripciones — ejecución de los procesos de pago, suscripción, renovación y reembolso
- Seguridad y prevención del fraude — garantía de la seguridad de la cuenta y detección y prevención de abusos, usos indebidos y fraudes
- Cumplimiento de obligaciones legales — cumplimiento de las obligaciones de conservación, información y respuesta a las autoridades competentes derivadas de la legislación
- Soporte y comunicación — atención de solicitudes, reclamaciones y consultas de soporte, y comunicación con usted en relación con el servicio
- Mejora del servicio — mejora de la calidad, la estabilidad y la experiencia de usuario del servicio (mediante mediciones técnicas no vinculadas a la identidad)
- Actividades opcionales / de marketing — envío de comunicaciones informativas y promocionales únicamente cuando haya otorgado su consentimiento explícito
4. Fundamentos Jurídicos del Tratamiento (KVKK arts. 5 / 6)
Sus datos personales se tratan sobre la base de los siguientes fundamentos jurídicos previstos en el artículo 5 de la KVKK:
| Fundamento jurídico (art. 5) | Ejemplo de tratamiento al que se aplica |
|---|---|
| Necesidad para la celebración o ejecución de un contrato (art. 5/2-c) | Creación de la cuenta, prestación del servicio, suscripción y facturación |
| Cumplimiento de una obligación legal (art. 5/2-ç) | Conservación legal, legislación fiscal/financiera y respuesta a solicitudes de las autoridades |
| Interés legítimo del responsable del tratamiento, siempre que no perjudique los derechos y libertades fundamentales del interesado (art. 5/2-f) | Seguridad, prevención del fraude, mejora del servicio, analítica no vinculada a la identidad |
| Datos hechos públicos por el propio interesado / constitución y protección de un derecho (art. 5/2-d, e) | Conservación de los registros necesarios para la protección de derechos en caso de litigio |
| Consentimiento explícito (art. 5/1) | Comunicaciones de marketing no obligatorias y actividades de tratamiento opcionales |
- No se requiere consentimiento explícito adicional para los tratamientos obligatorios (basados en la ejecución de un contrato, una obligación legal o el interés legítimo).
- El marketing y los tratamientos opcionales se basan exclusivamente en su consentimiento explícito; puede retirar dicho consentimiento en cualquier momento.
- Las categorías especiales de datos personales (art. 6) no se tratan de forma habitual; en caso de que dicho tratamiento resulte necesario, se observarán las condiciones adicionales previstas por la Ley (consentimiento explícito o una excepción legal).
5. Transferencia de Datos Personales y Transferencia al Extranjero (KVKK arts. 8 / 9)
Para poder prestar el servicio, sus datos personales se transfieren a los proveedores de servicios indicados a continuación, limitándose a la finalidad correspondiente. Dado que la mayor parte de la infraestructura y de los proveedores de servicios de ToRun se encuentra en el extranjero, algunas de estas transferencias constituyen transferencias al extranjero.
5.1. Partes a las que se Transfieren los Datos
| Destinatario / Proveedor | Finalidad de la transferencia | Ubicación |
|---|---|---|
| Bunny.net | Distribución de contenidos (CDN), almacenamiento de archivos y servicio de recursos estáticos | Extranjero |
| Proveedores de inteligencia artificial (p. ej., OpenAI, Anthropic, Google, ElevenLabs y similares) | Tratamiento de sus instrucciones (prompts) y contenidos para generar los resultados de IA | Extranjero |
| Dodo Payments (Merchant of Record) | Ejecución de los procesos de pago, suscripción y facturación de las compras realizadas en el sitio web | Extranjero |
| Apple (App Store), Google (Google Play) | Ejecución de las compras realizadas en la aplicación móvil | Extranjero |
| Servicios de verificación de dispositivos de Apple y Google (App Attest, DeviceCheck; Play Integrity) | Confirmación de que el dispositivo y la aplicación son auténticos durante la prueba sin cuenta de la aplicación móvil | Extranjero |
| Google Maps Platform | Búsqueda de lugares, detalles de lugares, indicaciones y mapas cuando pregunta por lugares o comparte su ubicación | Extranjero |
| Infraestructura analítica | Medición técnica no vinculada a la identidad y mejora del servicio (self-hosted) | Nuestra propia infraestructura |
| Instituciones y organismos públicos competentes | Únicamente en cumplimiento de una obligación legal y en la medida permitida por la legislación | Türkiye |
5.2. Transmisión del Contenido del Usuario a los Proveedores de Inteligencia Artificial
Por la propia naturaleza del servicio, las instrucciones (prompts) que introduce y los contenidos relacionados se transmiten para su tratamiento a los proveedores de inteligencia artificial que usted seleccione/utilice, a fin de que puedan generarse los resultados. La mayoría de estos proveedores están establecidos en el extranjero. Por consiguiente, dicha transmisión queda comprendida en el ámbito de la transferencia al extranjero en el sentido del art. 9 de la KVKK.
5.3. Fundamento Jurídico de la Transferencia
Las transferencias al extranjero se llevan a cabo en el marco del artículo 9 de la KVKK, sobre la base de:
- su consentimiento explícito para la prestación del servicio, y/o
- las condiciones previstas en la Ley, tales como la ejecución de un contrato, una obligación legal y el interés legítimo, y
- los principios previstos por la legislación aplicable (garantías adecuadas, compromisos / cláusulas contractuales tipo, etc., cuando dichos mecanismos sean exigibles).
La transferencia se mantiene, en todo caso, limitada y proporcionada a la finalidad correspondiente.
6. Método de Recogida de los Datos Personales
Sus datos personales se recogen:
- Directamente de usted: a través de operaciones tales como la creación de la cuenta, el inicio de sesión, la edición del perfil, la introducción de instrucciones/contenidos y la presentación de solicitudes de soporte,
- Por medios automatizados: a través de los registros (logs), de dispositivo y analíticos generados durante su uso de la Plataforma,
- A través de proveedores de identidad de terceros: del proveedor correspondiente si inicia sesión con Google/Microsoft/Apple,
- A través del proveedor de servicios de pago: mediante la información de estado relativa a las operaciones de suscripción/pago,
por medios total o parcialmente automatizados, o por medios no automatizados siempre que formen parte de un sistema de registro de datos.
7. Plazo de Conservación
- Sus datos personales se conservan mientras su cuenta permanezca activa y durante el período requerido por las finalidades del tratamiento.
- Aun cuando la finalidad haya cesado, podrán conservarse durante los plazos de conservación legales derivados de la legislación aplicable (legislación fiscal, mercantil, de consumo y de comercio electrónico, etc.).
- Al expirar los plazos de conservación legales o al cesar las condiciones del tratamiento, sus datos se suprimen, destruyen o anonimizan de conformidad con el artículo 7 de la KVKK.
- Prueba sin cuenta (aplicación móvil): los registros de la prueba se eliminan 90 días después de concederse la prueba, los registros del dispositivo 90 días después del último uso del dispositivo para la prueba y los resultados no trasladados a una cuenta tras 24 horas; los últimos mensajes se conservan hasta 24 horas después del último mensaje, y el vínculo cuenta–dispositivo durante 365 días. Puede eliminar sus datos de prueba en la aplicación en cualquier momento (véase 2.8).
- Los informes de fallos de la aplicación móvil se conservan en los registros del servidor durante 30 días como máximo.
- Solicitud de supresión: Puede solicitar la supresión/anonimización de sus datos utilizando la función "Eliminar cuenta" dentro de la aplicación o presentando su solicitud de supresión (erasure) a través de
/api/gdpr/requests. Su solicitud se atenderá conforme a la legislación, sin perjuicio de los datos sujetos a una obligación legal de conservación.
8. Derechos del Interesado (KVKK art. 11)
De conformidad con el artículo 11 de la KVKK, dirigiéndose al responsable del tratamiento usted tiene derecho a:
- Conocer si sus datos personales están siendo tratados,
- Solicitar información al respecto si han sido tratados,
- Conocer la finalidad del tratamiento y si los datos se utilizan conforme a dicha finalidad,
- Conocer los terceros a quienes se transfieren los datos, dentro del país o en el extranjero,
- Solicitar la rectificación de los datos si han sido tratados de forma incompleta o incorrecta,
- Solicitar la supresión o destrucción (anonimización) de los datos en el marco de las condiciones previstas en el art. 7 de la KVKK,
- Solicitar que las operaciones de rectificación, supresión y destrucción realizadas sean notificadas a los terceros a quienes se hayan transferido los datos,
- Oponerse a la aparición de un resultado en su contra derivado del análisis de los datos tratados exclusivamente mediante sistemas automatizados,
- Solicitar la indemnización de los daños sufridos como consecuencia de un tratamiento contrario a la Ley.
Asimismo, respecto de los tratamientos basados en el consentimiento explícito, tiene derecho a retirar su consentimiento en cualquier momento.
9. Método de Presentación de Solicitudes
Puede presentar sus solicitudes en el marco del art. 11 de la KVKK por las siguientes vías, de conformidad con el "Comunicado sobre los Procedimientos y Principios de Solicitud al Responsable del Tratamiento":
- Por correo electrónico: enviando una solicitud por escrito a la dirección
privacy@torun.ai, acompañada de la información que acredite su identidad, - Por escrito: entregándola en mano en el domicilio social de la Sociedad indicado en la Sección 1, o enviándola allí a través de notario,
- Funciones dentro de la aplicación: a través de la función "Eliminar cuenta" en la configuración de la cuenta y de las herramientas de solicitud de datos correspondientes (
/api/gdpr/requests).
Su solicitud debe indicar claramente su nombre y apellidos, su firma si la solicitud se presenta por escrito, sus datos de contacto y el objeto de su petición. Sus solicitudes se resolverán de forma gratuita a la mayor brevedad posible y en un plazo máximo de treinta (30) días, según la naturaleza de la petición; no obstante, si la operación requiere un coste adicional, podrá cobrarse la tarifa establecida por la Junta de Protección de Datos Personales (Kişisel Verileri Koruma Kurulu).
Nota sobre VERBİS (informativa): La situación de la Sociedad respecto de VERBİS se describe en la Sección 1. Si surgiera la obligación de inscripción, o si la Sociedad se inscribiera voluntariamente, se realizará la inscripción en el registro y se actualizará este Aviso.
10. Modificaciones y Entrada en Vigor
- El presente Aviso podrá actualizarse en función de los cambios legislativos y de las actualizaciones de nuestros servicios.
- El texto vigente entrará en vigor en la fecha de su publicación en la Plataforma. En caso de cambios sustanciales, podrá facilitarse información por los medios adecuados.
- Puede consultar en todo momento la versión más actualizada de este texto a través de la Plataforma.
Nota sobre el documento complementario: El presente Aviso de Protección de Datos KVKK ha sido elaborado para los interesados residentes en Türkiye; respecto de los usuarios fuera de Türkiye y de los principios generales de protección de datos (incluido el GDPR), complementa la Política de Privacidad (Privacy Policy) vigente. En caso de discrepancia entre ambos documentos, para los interesados residentes en Türkiye prevalecerán las disposiciones de la KVKK y el presente texto.