Avis de protection des données GDPR

Le présent Avis a été préparé afin de vous informer sur les données à caractère personnel traitées par la plateforme d'intelligence artificielle ToRun (« ToRun », la « Plateforme »), conformément à l'article 10 de la loi turque n° 6698 sur la protection des données à caractère personnel (6698 sayılı Kişisel Verilerin Korunması Kanunu — « KVKK » ou la « Loi », loi turque relative à la protection des données personnelles) ainsi qu'au « Communiqué relatif aux principes et procédures à suivre pour l'exécution de l'obligation d'information ».

ToRun est une plateforme fournissant des services d'intelligence artificielle tels que la conversation (chat), la génération d'images/vidéos/musique/audio, les flux de travail (workflows) et un assistant intégré à l'application. La Plateforme est exploitée par TORUN TEKNOLOJİ ANONİM ŞİRKETİ (la « Société »), une société anonyme constituée en Turquie.

Remarque : Le présent document a été préparé afin de satisfaire à l'obligation d'information prévue par la KVKK pour les personnes concernées résidant en Türkiye. Pour les utilisateurs situés hors de Türkiye et pour les principes généraux de traitement des données, la Politique de confidentialité (GDPR / Privacy Policy), applicable séparément, fait foi ; le présent Avis a un caractère complémentaire à cette politique.

---

1. Identité du responsable du traitement

En sa qualité de « responsable du traitement » au sens de l'article 3 de la KVKK, vos données à caractère personnel sont traitées par TORUN TEKNOLOJİ ANONİM ŞİRKETİ, qui exploite la plateforme ToRun.

Information	Détail
Responsable du traitement	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Siège social	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Registre du commerce	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
Numéro MERSİS	0857078305100001
Centre des impôts / numéro d'identification fiscale	Silivri Vergi Dairesi, 8570783051
Plateforme / site web	torun.ai — api.torun.ai
Adresse e-mail de contact pour les demandes	privacy@torun.ai
Nature de l'activité	Fourniture de services en ligne fondés sur l'intelligence artificielle

La Société a été immatriculée auprès du İstanbul Ticaret Sicili Müdürlüğü (registre du commerce d'Istanbul) le 19 octobre 2026. Son obligation de s'inscrire au Registre des responsables du traitement (VERBİS) est appréciée au regard des critères d'exemption fixés par le Conseil de protection des données personnelles (Kişisel Verileri Koruma Kurulu) : effectif annuel, total annuel du bilan et le fait que le traitement de catégories particulières de données à caractère personnel constitue ou non son activité principale. À la date du présent Avis, aucune inscription au VERBİS n'a été effectuée au nom de la Société ; si une obligation d'inscription venait à naître, l'inscription serait effectuée dans le délai prévu par la législation (voir la section 9).

---

2. Données à caractère personnel traitées (catégories de données)

Dans le cadre de votre utilisation de ToRun, les catégories de données à caractère personnel suivantes peuvent être traitées :

2.1. Données d'identité et de compte

• Nom d'utilisateur
• Adresse e-mail
• Mot de passe — jamais conservé en clair ; stocké uniquement sous une forme hachée de manière irréversible

2.2. Données d'authentification externe (connexion sociale)

Si vous choisissez de créer votre compte / de vous connecter via un fournisseur externe :

• Les informations d'authentification partagées par le fournisseur concerné relatives à votre compte Google, Microsoft et/ou Apple (par ex. identifiant utilisateur unique, adresse e-mail, nom et prénom, informations de profil — dans la mesure autorisée par le fournisseur)

2.3. Données de profil

• Les paramètres de profil, vos préférences et toute information de profil que vous fournissez de manière facultative

2.4. Sécurité des opérations et journaux d'utilisation (logs)

• Les enregistrements de connexion/déconnexion, les journaux d'utilisation du service et d'opérations
• Les enregistrements techniques conservés à des fins de sécurité et de sécurité du compte

2.5. Données d'appareil et données analytiques

• Les informations relatives à l'appareil/au navigateur et les données analytiques techniques
• Les données analytiques sont traitées sur notre propre infrastructure (auto-hébergée / self-hosted) ; elles ne sont pas transférées à des réseaux publicitaires/analytiques tiers et ne sont pas utilisées à des fins de profilage directement associé à votre identité. La vérification de l'appareil lors de l'essai sans compte de l'application mobile est effectuée par l'intermédiaire de services d'Apple et de Google (voir 2.8)
• Les rapports de plantage de l'application mobile (message d'erreur, trace technique de l'erreur, nom de l'écran, versions de l'application et du système d'exploitation), envoyés lorsque l'application plante alors que vous êtes connecté et conservés avec votre identifiant utilisateur dans les journaux serveur pendant 30 jours au plus

2.6. Contenu généré par l'utilisateur

• Les invites (prompts) et commandes que vous saisissez sur la Plateforme
• Les contenus d'image, de vidéo, d'audio et de texte produits par l'intermédiaire de la Plateforme
• Les contenus relevant de vos flux de travail (workflows) et de vos interactions avec l'assistant intégré à l'application

2.7. Données de paiement et d'abonnement

• Le plan d'abonnement, les informations de transaction/facturation et le statut de paiement
• Solde de Runs - votre solde de crédits d'utilisation prépayés (Runs) et son historique de transactions (recharges, consommation, annulations liées aux remboursements).
• Important : Les paiements effectués sur le site web sont encaissés par l'intermédiaire de Dodo Payments, agissant en qualité de « Merchant of Record » (revendeur officiel) ; les achats effectués dans l'application mobile sont encaissés par Apple (App Store) ou Google (Google Play). Les numéros de carte de crédit/débit, le CVV et les informations sensibles similaires relatives aux instruments de paiement ne sont ni détenus, ni conservés, ni consultables par ToRun. Ces données sont traitées directement par le prestataire de services de paiement concerné.

2.8. Essai sans compte (application mobile)

Vous pouvez essayer l'application mobile ToRun pendant une durée limitée sans créer de compte (l'« essai sans compte »). Pendant l'essai, nous ne vous demandons ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone. Pour fournir l'essai, empêcher qu'il soit relancé encore et encore sur le même appareil et prévenir les abus, nous traitons les éléments suivants :

• Vérification de l'appareil - l'application demande à Apple (App Attest, DeviceCheck) ou à Google (Play Integrity) de confirmer que l'appareil et l'application sont authentiques, et notre serveur vérifie le résultat auprès d'eux. Nous ne conservons pas les jetons de vérification. Apple conserve pour nous, sur ses propres serveurs, deux valeurs par appareil (« un essai a été accordé », « un compte a été créé sur cet appareil »).
• Identifiant de l'appareil - sur iOS, un identifiant aléatoire que l'application crée et conserve sur l'appareil ; sur Android, l'identifiant d'appareil propre à l'application (ANDROID_ID). Seul un hachage à sens unique de cet identifiant quitte l'appareil, et nous ne le conservons qu'après l'avoir haché à nouveau avec une clé secrète (hachage à clé). Sur iOS, nous conservons également un hachage à clé de l'identifiant de clé App Attest.
• Réseau - un hachage à clé du préfixe réseau de votre adresse IP, jamais l'adresse complète, pour les limites quotidiennes de l'essai.
• Enregistrement de l'essai - ce qu'il reste de l'essai, son statut et, si un essai a été refusé, le motif.
• Ce que vous essayez - le message que vous saisissez, votre conversation vocale, la photo que vous choisissez et le nom que vous indiquez pour une chanson sont envoyés au fournisseur d'IA qui produit le résultat et à notre prestataire de modération de contenu (Section 5.1). Votre photo sert uniquement à créer l'image et n'est pas conservée. Une conversation vocale n'est pas enregistrée et sa transcription n'est pas conservée. Vos derniers messages sont conservés jusqu'à 24 heures après votre dernier message, afin que la réponse suivante dispose du contexte ; ils ne sont pas enregistrés comme conversation. Ce que l'essai produit (une chanson, une image) est conservé 24 heures, puis supprimé.

Conservation. Les enregistrements d'essai sont supprimés automatiquement 90 jours après l'octroi de l'essai, et les enregistrements d'appareil 90 jours après la dernière utilisation de l'appareil pour l'essai. Si vous créez un compte à partir de l'essai, le lien entre le compte et l'appareil est conservé 365 jours, afin qu'un second compte créé sur le même appareil ne reçoive pas une nouvelle fois le cadeau de bienvenue. L'enregistrement de facturation de ce que l'essai a consommé est conservé 5 ans, comme l'exige la législation comptable ; il identifie l'essai, et non vous, et contient le hachage à clé du préfixe réseau, qui est supprimé si vous effacez vos données d'essai.

Si vous créez un compte. Ce que vous avez créé pendant l'essai est transféré dans la Bibliothèque de votre compte et conservé dès lors comme partie de votre compte ; l'enregistrement de l'appareil est associé à votre compte.

Base juridique. L'intérêt légitime du responsable du traitement à assurer la sécurité du service et à prévenir l'abus d'un essai gratuit (art. 5/2-f de la KVKK), et la conclusion et l'exécution d'un contrat portant sur l'essai que vous avez demandé (art. 5/2-c). L'envoi de données aux services de vérification d'Apple et de Google et aux fournisseurs d'IA constitue un transfert à l'étranger, soumis à la Section 5.

Suppression de vos données d'essai. Vous pouvez supprimer vos données d'essai à tout moment dans l'application, sans compte : sur l'écran d'accueil, ouvrez « Vos données d'essai » et choisissez « Supprimer mes données d'essai ». L'appareil est vérifié de la même manière que pour l'essai lui-même, de sorte que personne d'autre ne peut supprimer vos données d'essai ni en apprendre quoi que ce soit. Ensuite, nous ne conservons qu'une note indiquant que cet appareil a utilisé son essai (rien d'autre, pendant 90 jours au plus) et, pendant un jour, le fait qu'un essai a été utilisé sur votre réseau, afin que l'essai ne puisse pas simplement être relancé. Si vous avez créé un compte, la suppression du compte supprime également les enregistrements d'essai qui y sont liés. Les deux valeurs qu'Apple conserve pour un appareil ne sont pas liées à vous ; nous ne les réinitialisons pas, car leur réinitialisation permettrait un nouvel essai sur cet appareil.

ToRun ne demande ni ne traite, dans le cadre de son fonctionnement habituel, de catégories particulières de données à caractère personnel (art. 6 de la KVKK — santé, religion, données biométriques, etc.). Il vous est recommandé de ne pas partager de telles données par l'intermédiaire des invites/contenus.

---

3. Finalités du traitement des données à caractère personnel

Vos données à caractère personnel sont traitées aux fins suivantes :

1. Création et gestion du compte — réalisation de l'inscription, authentification et gestion de votre compte
2. Fourniture du service — fourniture des services d'intelligence artificielle, y compris la conversation, la génération d'images/vidéos/musique/audio, les flux de travail et l'assistant intégré à l'application
3. Facturation et gestion des abonnements — exécution des processus de paiement, d'abonnement, de renouvellement et de remboursement
4. Sécurité et prévention de la fraude — garantie de la sécurité du compte, détection et prévention des abus, des utilisations frauduleuses et de la fraude
5. Exécution des obligations légales — respect des obligations de conservation, d'information et de réponse aux autorités compétentes découlant de la législation
6. Assistance et communication — traitement des demandes, réclamations et demandes d'assistance, et communication avec vous au sujet du service
7. Amélioration du service — amélioration de la qualité, de la stabilité et de l'expérience utilisateur du service (au moyen de mesures techniques indépendantes de l'identité)
8. Activités facultatives / de marketing — envoi de messages d'information et de promotion uniquement lorsque vous avez donné votre consentement explicite

---

4. Fondements juridiques du traitement (art. 5 / art. 6 de la KVKK)

Vos données à caractère personnel sont traitées sur la base des fondements juridiques suivants, prévus à l'article 5 de la KVKK :

Fondement juridique (art. 5)	Exemple de traitement auquel il s'applique
Nécessité pour la conclusion ou l'exécution d'un contrat (art. 5/2-c)	Création du compte, fourniture du service, abonnement et facturation
Exécution d'une obligation légale (art. 5/2-ç)	Conservation légale, législation fiscale/financière et réponses aux demandes des autorités
Intérêt légitime du responsable du traitement, sous réserve de ne pas porter atteinte aux droits et libertés fondamentaux de la personne concernée (art. 5/2-f)	Sécurité, prévention de la fraude, amélioration du service, analytique indépendante de l'identité
Données rendues publiques par la personne concernée / constitution et protection d'un droit (art. 5/2-d, e)	Conservation des enregistrements nécessaires à la protection des droits en cas de litige
Consentement explicite (art. 5/1)	Messages de marketing non obligatoires et activités de traitement facultatives

• Le consentement explicite n'est pas requis en sus pour les traitements obligatoires (fondés sur l'exécution d'un contrat, une obligation légale et l'intérêt légitime).
• Le marketing et les traitements facultatifs reposent exclusivement sur votre consentement explicite ; vous pouvez retirer ce consentement à tout moment.
• Les catégories particulières de données à caractère personnel (art. 6) ne font pas l'objet d'un traitement habituel ; si un tel traitement devenait nécessaire, les conditions supplémentaires prévues par la Loi (consentement explicite ou exception légale) seraient respectées.

---

5. Transfert des données à caractère personnel et transfert à l'étranger (art. 8 / art. 9 de la KVKK)

Afin de fournir le service, vos données à caractère personnel sont transférées aux prestataires de services énumérés ci-dessous, dans la limite de la finalité concernée. La majeure partie de l'infrastructure et des prestataires de services de ToRun étant située à l'étranger, certains de ces transferts constituent des transferts à l'étranger.

5.1. Parties destinataires des transferts

Destinataire / Prestataire	Finalité du transfert	Localisation
Bunny.net	Diffusion de contenu (CDN), stockage de fichiers et distribution d'actifs statiques	Étranger
Fournisseurs d'intelligence artificielle (par ex. OpenAI, Anthropic, Google, ElevenLabs et similaires)	Traitement de vos invites et contenus en vue de générer les résultats d'IA	Étranger
Dodo Payments (Merchant of Record)	Exécution des processus de paiement, d'abonnement et de facturation pour les achats effectués sur le site web	Étranger
Apple (App Store), Google (Google Play)	Exécution des achats effectués dans l'application mobile	Étranger
Services de vérification d'appareils d'Apple et de Google (App Attest, DeviceCheck ; Play Integrity)	Confirmation que l'appareil et l'application sont authentiques lors de l'essai sans compte de l'application mobile	Étranger
Google Maps Platform	Recherche de lieux, détails des lieux, itinéraires et cartes lorsque vous posez des questions sur des lieux ou partagez votre position	Étranger
Infrastructure analytique	Mesure technique indépendante de l'identité et amélioration du service (auto-hébergée)	Notre propre infrastructure
Institutions et organismes publics habilités	Uniquement en vertu d'une obligation légale et dans la mesure permise par la législation	Türkiye

5.2. Transmission du contenu utilisateur aux fournisseurs d'intelligence artificielle

Par la nature même du service, les invites (prompts) que vous saisissez et les contenus qui s'y rapportent sont transmis pour traitement aux fournisseurs d'intelligence artificielle que vous sélectionnez/utilisez, afin que les résultats puissent être générés. La plupart de ces fournisseurs sont établis à l'étranger. Par conséquent, cette transmission relève du transfert à l'étranger au sens de l'article 9 de la KVKK.

5.3. Base juridique du transfert

Les transferts à l'étranger sont effectués dans le cadre de l'article 9 de la KVKK, sur la base :

• de votre consentement explicite pour la fourniture du service, et/ou
• des conditions prévues par la Loi, telles que l'exécution d'un contrat, l'obligation légale et l'intérêt légitime, et
• des principes prévus par la législation applicable (garanties appropriées, engagements / clauses contractuelles types, etc., lorsque de tels mécanismes sont requis).

Le transfert est en toute hypothèse limité et proportionné à la finalité concernée.

---

6. Méthode de collecte des données à caractère personnel

Vos données à caractère personnel sont collectées :

• Directement auprès de vous : par l'intermédiaire d'actions telles que la création de compte, la connexion, la modification de votre profil, la saisie d'invites/de contenus et la soumission de demandes d'assistance,
• Par des moyens automatisés : par l'intermédiaire des journaux, des enregistrements d'appareil et des enregistrements analytiques générés lors de votre utilisation de la Plateforme,
• Par l'intermédiaire de fournisseurs d'identité tiers : auprès du fournisseur concerné si vous vous connectez via Google/Microsoft/Apple,
• Par l'intermédiaire du prestataire de services de paiement : par le biais des informations de statut relatives aux opérations d'abonnement/de paiement,

par des moyens entièrement ou partiellement automatisés, ou par des moyens non automatisés à condition qu'ils fassent partie d'un système d'enregistrement de données.

---

7. Durée de conservation

• Vos données à caractère personnel sont conservées tant que votre compte est actif et pendant la durée requise par les finalités du traitement.
• Même lorsque la finalité a cessé, elles peuvent être conservées pendant les durées légales de conservation découlant de la législation applicable (législation fiscale, commerciale, de la consommation, du commerce électronique, etc.).
• À l'expiration des durées légales de conservation ou en cas de disparition des conditions du traitement, vos données sont supprimées, détruites ou anonymisées conformément à l'article 7 de la KVKK.
• Essai sans compte (application mobile) : les enregistrements d'essai sont supprimés 90 jours après l'octroi de l'essai, les enregistrements d'appareil 90 jours après la dernière utilisation de l'appareil pour l'essai et les résultats non transférés vers un compte après 24 heures ; les derniers messages sont conservés jusqu'à 24 heures après le dernier message, et le lien compte–appareil pendant 365 jours. Vous pouvez supprimer vos données d'essai dans l'application à tout moment (voir 2.8).
• Les rapports de plantage de l'application mobile sont conservés dans les journaux serveur pendant 30 jours au plus.
• Demande de suppression : Vous pouvez demander la suppression/l'anonymisation de vos données en utilisant la fonction « Supprimer le compte » dans l'application ou en soumettant votre demande d'effacement (erasure) via /api/gdpr/requests. Votre demande est satisfaite conformément à la législation, sous réserve des données soumises à une obligation légale de conservation.

---

8. Droits de la personne concernée (art. 11 de la KVKK)

Conformément à l'article 11 de la KVKK, en vous adressant au responsable du traitement, vous disposez du droit de :

1. Savoir si vos données à caractère personnel sont traitées,
2. Demander des informations si elles ont été traitées,
3. Connaître la finalité du traitement et savoir si les données sont utilisées conformément à cette finalité,
4. Connaître les tiers auxquels les données sont transférées, sur le territoire national ou à l'étranger,
5. Demander la rectification des données en cas de traitement incomplet ou inexact,
6. Demander l'effacement ou la destruction (l'anonymisation) des données dans le cadre des conditions prévues à l'article 7 de la KVKK,
7. Demander que les opérations de rectification, d'effacement et de destruction soient notifiées aux tiers auxquels les données ont été transférées,
8. Vous opposer à la survenance d'un résultat vous étant défavorable résultant de l'analyse des données traitées exclusivement par des systèmes automatisés,
9. Demander la réparation du préjudice subi en raison d'un traitement illicite.

En outre, pour les traitements fondés sur le consentement explicite, vous disposez du droit de retirer votre consentement à tout moment.

---

9. Modalités de demande

Vous pouvez soumettre vos demandes au titre de l'article 11 de la KVKK par les moyens suivants, conformément au « Communiqué relatif aux procédures et principes de demande auprès du responsable du traitement » :

• Par e-mail : en envoyant une demande écrite à l'adresse privacy@torun.ai, accompagnée des informations permettant de justifier de votre identité,
• Par écrit : en la remettant en main propre au siège social de la Société indiqué à la section 1, ou en l'y adressant par voie notariale,
• Fonctions intégrées à l'application : par l'intermédiaire de la fonction « Supprimer le compte » dans les paramètres du compte et des outils de demande de données associés (/api/gdpr/requests).

Votre demande doit indiquer clairement vos nom et prénom, votre signature si la demande est formulée par écrit, vos coordonnées et l'objet de votre demande. Vos demandes sont traitées gratuitement dans les meilleurs délais et au plus tard dans un délai de trente (30) jours, selon la nature de la demande ; toutefois, si l'opération entraîne un coût supplémentaire, les frais prévus par le barème fixé par le Conseil de protection des données à caractère personnel (Kişisel Verileri Koruma Kurulu) peuvent être facturés.

Note relative au VERBİS (à titre informatif) : La situation de la Société au regard du VERBİS est décrite à la section 1. Si une obligation d'inscription venait à naître, ou si la Société s'inscrivait volontairement, l'inscription au registre serait effectuée et le présent Avis mis à jour.

---

10. Modifications et entrée en vigueur

• Le présent Avis peut être mis à jour en fonction des évolutions de la législation et des mises à jour de nos services.
• Le texte en vigueur prend effet à la date de sa publication sur la Plateforme. En cas de modifications importantes, une information peut être fournie par des moyens appropriés.
• Vous pouvez à tout moment consulter la version la plus récente de ce texte sur la Plateforme.

---

Note relative au document complémentaire : Le présent Avis de protection des données KVKK a été préparé pour les personnes concernées résidant en Türkiye ; pour les utilisateurs situés hors de Türkiye et pour les principes généraux de protection des données (y compris le GDPR), il complète la Politique de confidentialité (Privacy Policy) en vigueur. En cas de divergence entre les deux documents, les dispositions de la KVKK et le présent Avis prévalent pour les personnes concernées résidant en Türkiye.