Obavijest o zaštiti podataka GDPR

Ova Obavijest izrađena je kako bi vas informirala o osobnim podacima koje obrađuje ToRun platforma umjetne inteligencije ("ToRun", "Platforma") u skladu s člankom 10. turskog zakona br. 6698 — 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" ili "Zakon", turski Zakon o zaštiti osobnih podataka) — te s "Priopćenjem o načelima i postupcima koje treba slijediti pri ispunjavanju obveze informiranja".

ToRun je platforma koja pruža usluge umjetne inteligencije poput razgovora (chat), generiranja slika/videa/glazbe/zvuka, radnih tokova (workflow) i asistenta unutar aplikacije. Platformom upravlja TORUN TEKNOLOJİ ANONİM ŞİRKETİ (dalje: "Društvo"), dioničko društvo osnovano u Turskoj.

Napomena: Ovaj dokument izrađen je radi ispunjenja obveze informiranja prema KVKK-u za ispitanike s prebivalištem u Turskoj. Za korisnike izvan Turske i za opća načela obrade podataka mjerodavna je zasebno primjenjiva Politika privatnosti (GDPR / Privacy Policy), a ova je Obavijest dopunskog karaktera u odnosu na tu politiku.

---

1. Identitet voditelja obrade

U svojstvu "voditelja obrade" definiranog u članku 3. KVKK-a, vaše osobne podatke obrađuje TORUN TEKNOLOJİ ANONİM ŞİRKETİ, koje upravlja platformom ToRun.

Podatak	Pojedinosti
Voditelj obrade	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Sjedište	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Trgovački registar	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
MERSİS broj	0857078305100001
Porezni ured / porezni identifikacijski broj	Silivri Vergi Dairesi, 8570783051
Platforma / web-stranica	torun.ai — api.torun.ai
Adresa e-pošte za zahtjeve	privacy@torun.ai
Priroda djelatnosti	Pružanje mrežnih usluga temeljenih na umjetnoj inteligenciji

Društvo je 19. listopada 2026. upisano u trgovački registar pri İstanbul Ticaret Sicili Müdürlüğü. Njegova obveza upisa u Registar voditelja obrade (VERBİS) procjenjuje se prema kriterijima za izuzeće koje je utvrdio Odbor za zaštitu osobnih podataka (Kişisel Verileri Koruma Kurulu): godišnji broj zaposlenika, ukupna godišnja bilanca te je li obrada posebnih kategorija osobnih podataka njegova glavna djelatnost. Na datum ove Obavijesti nije izvršen nikakav upis u VERBİS na ime Društva; ako nastane obveza upisa, upis će se izvršiti u roku propisanom zakonodavstvom (vidi odjeljak 9).

---

2. Osobni podaci koji se obrađuju (kategorije podataka)

U okviru vaše uporabe ToRuna mogu se obrađivati sljedeće kategorije osobnih podataka:

2.1. Identifikacijski podaci i podaci o računu

• Korisničko ime
• Adresa e-pošte
• Lozinka — ne pohranjuje se u čitljivom obliku; čuva se isključivo u nepovratno hashiranom obliku

2.2. Podaci vanjske autentifikacije (prijava putem društvenih računa)

Ako odlučite izraditi račun / prijaviti se putem vanjskog pružatelja:

• Autentifikacijski podaci koje odgovarajući pružatelj dijeli u vezi s vašim Google, Microsoft i/ili Apple računom (npr. jedinstveni korisnički identifikator, adresa e-pošte, ime i prezime, podaci profila — u mjeri u kojoj to pružatelj dopušta)

2.3. Podaci profila

• Postavke profila, preferencije i podaci profila koje dobrovoljno navedete

2.4. Sigurnost transakcija i zapisi o uporabi (logovi)

• Zapisi o prijavi/odjavi, zapisi o uporabi usluge i transakcijama
• Tehnički zapisi koji se vode u svrhu sigurnosti i zaštite računa

2.5. Podaci o uređaju i analitički podaci

• Podaci o uređaju/pregledniku i tehnički analitički podaci
• Analitički podaci obrađuju se na našoj vlastitoj infrastrukturi (self-hosted); ne prenose se trećim oglašivačkim/analitičkim mrežama niti se koriste za profiliranje izravno povezano s vašim identitetom. Provjera uređaja pri isprobavanju mobilne aplikacije bez računa provodi se putem usluga Applea i Googlea (vidi 2.8)
• Izvješća o rušenju mobilne aplikacije (poruka o pogrešci, tehnički trag pogreške, naziv zaslona, verzije aplikacije i operacijskog sustava), koja se šalju kada se aplikacija sruši dok ste prijavljeni i čuvaju s vašim korisničkim ID-om u zapisnicima poslužitelja najviše 30 dana

2.6. Sadržaj koji generira korisnik

• Upiti (prompt) i naredbe koje unosite u Platformu
• Slikovni, video, zvučni i tekstualni sadržaj proizveden putem Platforme
• Sadržaj u okviru vaših radnih tokova i interakcija s asistentom unutar aplikacije

2.7. Podaci o plaćanju i pretplati

• Pretplatnički plan, podaci o transakcijama/računima i status plaćanja
• Stanje Runs - vaše stanje unaprijed plaćenih kredita korištenja (Runs) i povijest transakcija (nadoplate, potrošnja, storniranja pri povratu).
• Važno: Plaćanja na web-stranici naplaćuju se putem usluge Dodo Payments, koja djeluje u svojstvu "Merchant of Record" (registrirani trgovac); kupnje u mobilnoj aplikaciji naplaćuje Apple (App Store) ili Google (Google Play). Brojeve kreditnih/debitnih kartica, CVV i slične osjetljive podatke o platnim instrumentima ToRun ne čuva, ne pohranjuje niti ima uvid u njih. Te podatke izravno obrađuje odgovarajući pružatelj platnih usluga.

2.8. Isprobavanje bez računa (mobilna aplikacija)

Mobilnu aplikaciju ToRun možete ograničeno vrijeme isprobavati bez otvaranja računa („isprobavanje bez računa”). Tijekom isprobavanja ne tražimo vaše ime, adresu e-pošte ni broj telefona. Kako bismo omogućili isprobavanje, spriječili da se na istom uređaju pokreće uvijek iznova i spriječili zlouporabu, obrađujemo sljedeće:

• Provjera uređaja - aplikacija traži od Applea (App Attest, DeviceCheck) ili Googlea (Play Integrity) da potvrdi da su uređaj i aplikacija izvorni, a naš poslužitelj provjerava rezultat kod tih usluga. Tokene za provjeru ne pohranjujemo. Apple za nas na vlastitim poslužiteljima čuva dvije vrijednosti po uređaju („isprobavanje je odobreno”, „na ovom je uređaju otvoren račun”).
• Identifikator uređaja - na iOS-u nasumični identifikator koji aplikacija stvara i čuva na uređaju; na Androidu identifikator uređaja specifičan za aplikaciju (ANDROID_ID). Uređaj napušta samo njegov jednosmjerni sažetak (hash), a mi ga pohranjujemo tek nakon što ga ponovno sažmemo tajnim ključem (sažetak s ključem). Na iOS-u pohranjujemo i sažetak s ključem identifikatora ključa App Attest.
• Mreža - sažetak s ključem mrežnog prefiksa vaše IP adrese, nikada cijela adresa, za dnevna ograničenja isprobavanja.
• Zapis o isprobavanju - koliko je isprobavanja preostalo, njegov status i, ako je isprobavanje odbijeno, razlog.
• Ono što isprobavate - poruka koju upišete, vaš glasovni razgovor, fotografija koju odaberete i ime koje navedete za pjesmu šalju se pružatelju AI-ja koji izrađuje rezultat i našem pružatelju usluge moderacije sadržaja (odjeljak 5.1). Vaša se fotografija koristi samo za izradu slike i ne pohranjuje se. Glasovni razgovor se ne snima i njegov se prijepis ne pohranjuje. Vaše posljednje poruke čuvaju se do 24 sata nakon vaše posljednje poruke kako bi sljedeći odgovor imao kontekst; ne spremaju se kao razgovor. Ono što isprobavanje izradi (pjesma, slika) čuva se 24 sata, a zatim se briše.

Čuvanje. Zapisi o isprobavanju automatski se brišu 90 dana nakon odobrenja isprobavanja, a zapisi o uređaju 90 dana nakon posljednjeg korištenja uređaja za isprobavanje. Ako iz isprobavanja otvorite račun, poveznica između računa i uređaja čuva se 365 dana kako drugi račun otvoren na istom uređaju ne bi ponovno dobio poklon dobrodošlice. Zapis o naplati onoga što je isprobavanje potrošilo čuva se 5 godina, kako to zahtijeva računovodstveno zakonodavstvo; identificira isprobavanje, a ne vas, i sadrži sažetak s ključem mrežnog prefiksa koji se uklanja ako izbrišete svoje probne podatke.

Ako otvorite račun. Ono što ste izradili tijekom isprobavanja premješta se u Knjižnicu vašeg računa i od tada se čuva kao dio vašeg računa; zapis o uređaju povezuje se s vašim računom.

Pravna osnova. Legitimni interes voditelja obrade za održavanje sigurnosti usluge i sprječavanje zlouporabe besplatnog isprobavanja (članak 5/2-f KVKK-a) te sklapanje i izvršenje ugovora o isprobavanju koje ste zatražili (članak 5/2-c). Slanje podataka uslugama provjere Applea i Googlea te pružateljima AI-ja prijenos je u inozemstvo koji podliježe odjeljku 5.

Brisanje vaših probnih podataka. Svoje probne podatke možete u bilo kojem trenutku izbrisati u aplikaciji, bez računa: na zaslonu dobrodošlice otvorite „Vaši probni podaci” i odaberite „Izbriši moje probne podatke”. Uređaj se provjerava na isti način kao i kod samog isprobavanja, pa nitko drugi ne može izbrisati vaše probne podatke ni saznati išta o njima. Nakon toga čuvamo samo bilješku da je ovaj uređaj iskoristio svoje isprobavanje (ništa drugo, najviše 90 dana) i, tijekom jednog dana, podatak da je na vašoj mreži iskorišteno isprobavanje, kako se isprobavanje ne bi moglo jednostavno ponovno pokrenuti. Ako ste otvorili račun, brisanjem računa brišu se i s njim povezani zapisi o isprobavanju. Dvije vrijednosti koje Apple čuva za uređaj nisu povezane s vama; ne poništavamo ih jer bi poništavanje omogućilo novo isprobavanje na tom uređaju.

ToRun u okviru svojeg redovitog poslovanja ne traži niti obrađuje posebne kategorije osobnih podataka (čl. 6. KVKK-a — zdravlje, vjeroispovijest, biometrijski podaci i sl.). Preporučuje se da takve podatke ne dijelite putem upita/sadržaja.

---

3. Svrhe obrade osobnih podataka

Vaši osobni podaci obrađuju se u sljedeće svrhe:

1. Izrada i upravljanje računom — provedba registracije, autentifikacija i upravljanje vašim računom
2. Pružanje usluge — pružanje usluga umjetne inteligencije, uključujući razgovor, generiranje slika/videa/glazbe/zvuka, radne tokove i asistenta unutar aplikacije
3. Naplata i upravljanje pretplatom — provedba postupaka plaćanja, pretplate, obnove i povrata sredstava
4. Sigurnost i sprječavanje prijevara — osiguravanje sigurnosti računa te otkrivanje i sprječavanje zlouporabe, zloporabe i prijevare
5. Ispunjavanje zakonskih obveza — ispunjavanje obveza čuvanja, obavještavanja i odgovaranja nadležnim tijelima koje proizlaze iz propisa
6. Podrška i komunikacija — rješavanje zahtjeva, pritužbi i upita za podršku te komunikacija s vama u vezi s uslugom
7. Poboljšanje usluge — unapređenje kvalitete, stabilnosti i korisničkog iskustva usluge (putem tehničkih mjerenja neovisnih o identitetu)
8. Neobvezne / marketinške aktivnosti — slanje informativnih i promotivnih poruka isključivo uz vašu izričitu privolu

---

4. Pravne osnove obrade (čl. 5. / čl. 6. KVKK-a)

Vaši osobni podaci obrađuju se na temelju sljedećih pravnih osnova utvrđenih u članku 5. KVKK-a:

Pravna osnova (čl. 5.)	Primjer obrade na koju se primjenjuje
Nužnost za sklapanje ili izvršenje ugovora (čl. 5/2-c)	Izrada računa, pružanje usluge, pretplata i naplata
Ispunjenje zakonske obveze (čl. 5/2-ç)	Zakonsko čuvanje, porezni/financijski propisi i odgovori na zahtjeve nadležnih tijela
Legitimni interes voditelja obrade, pod uvjetom da se ne nanosi šteta temeljnim pravima i slobodama ispitanika (čl. 5/2-f)	Sigurnost, sprječavanje prijevara, poboljšanje usluge, analitika neovisna o identitetu
Podaci koje je ispitanik sam objavio / uspostava i zaštita prava (čl. 5/2-d, e)	Vođenje zapisa potrebnih za zaštitu prava u slučaju spora
Izričita privola (čl. 5/1)	Neobvezne marketinške poruke i neobvezne aktivnosti obrade

• Za obveznu obradu (koja se temelji na izvršenju ugovora, zakonskoj obvezi i legitimnom interesu) ne traži se dodatna izričita privola.
• Marketinška i neobvezna obrada temelji se isključivo na vašoj izričitoj privoli; tu privolu možete povući u bilo kojem trenutku.
• Posebne kategorije osobnih podataka (čl. 6.) ne obrađuju se rutinski; bude li takva obrada potrebna, poštuju se dodatni uvjeti propisani Zakonom (izričita privola ili zakonska iznimka).

---

5. Prijenos osobnih podataka i prijenos u inozemstvo (čl. 8. / čl. 9. KVKK-a)

Radi pružanja usluge vaši se osobni podaci prenose dolje navedenim pružateljima usluga, ograničeno na odgovarajuću svrhu. Budući da se većina infrastrukture i pružatelja usluga ToRuna nalazi u inozemstvu, dio tih prijenosa predstavlja prijenos u inozemstvo.

5.1. Primatelji podataka

Primatelj / pružatelj	Svrha prijenosa	Lokacija
Bunny.net	Isporuka sadržaja (CDN), pohrana datoteka i posluživanje statičkih resursa	Inozemstvo
Pružatelji usluga umjetne inteligencije (npr. OpenAI, Anthropic, Google, ElevenLabs i slični)	Obrada vaših upita i sadržaja radi generiranja izlaza umjetne inteligencije	Inozemstvo
Dodo Payments (Merchant of Record)	Provođenje procesa plaćanja, pretplate i naplate za kupnje na web-stranici	Inozemstvo
Apple (App Store), Google (Google Play)	Provođenje kupnji u mobilnoj aplikaciji	Inozemstvo
Usluge provjere uređaja Applea i Googlea (App Attest, DeviceCheck; Play Integrity)	Potvrda da su uređaj i aplikacija izvorni pri isprobavanju mobilne aplikacije bez računa	Inozemstvo
Google Maps Platform	Pretraživanje mjesta, pojedinosti o mjestima, upute za put i karte kada pitate o mjestima ili dijelite lokaciju	Inozemstvo
Analitička infrastruktura	Tehnička mjerenja neovisna o identitetu i poboljšanje usluge (self-hosted)	Naša vlastita infrastruktura
Nadležne javne institucije i tijela	Isključivo na temelju zakonske obveze i u mjeri u kojoj to propisi dopuštaju	Turska

5.2. Prijenos korisničkog sadržaja pružateljima usluga umjetne inteligencije

Zbog prirode usluge, upiti koje unosite i povezani sadržaj prenose se na obradu pružateljima usluga umjetne inteligencije koje odaberete/koristite kako bi se mogao generirati izlaz. Većina tih pružatelja ima sjedište u inozemstvu. Stoga taj prijenos ulazi u opseg prijenosa u inozemstvo u smislu čl. 9. KVKK-a.

5.3. Pravna osnova prijenosa

Prijenosi u inozemstvo provode se u okviru članka 9. KVKK-a, na temelju:

• vaše izričite privole za pružanje usluge i/ili
• uvjeta propisanih Zakonom, kao što su izvršenje ugovora, zakonska obveza i legitimni interes, te
• načela propisanih mjerodavnim zakonodavstvom (odgovarajuće zaštitne mjere, obvezujuće izjave / standardne ugovorne klauzule i sl., kada su takvi mehanizmi potrebni).

Prijenos je u svakom slučaju ograničen i razmjeran odgovarajućoj svrsi.

---

6. Način prikupljanja osobnih podataka

Vaši osobni podaci prikupljaju se:

• Izravno od vas: putem radnji poput izrade računa, prijave, uređivanja profila, unosa upita/sadržaja i podnošenja zahtjeva za podršku,
• Automatiziranim putem: putem zapisa (logova), podataka o uređaju i analitičkih zapisa nastalih tijekom vaše uporabe Platforme,
• Putem trećih pružatelja usluga provjere identiteta: od odgovarajućeg pružatelja ako se prijavljujete putem Googlea/Microsofta/Applea,
• Putem pružatelja platnih usluga: putem statusnih informacija koje se odnose na transakcije pretplate/plaćanja,

potpuno ili djelomično automatiziranim sredstvima, odnosno neautomatiziranim sredstvima pod uvjetom da čine dio sustava evidencije podataka.

---

7. Razdoblje čuvanja

• Vaši osobni podaci čuvaju se dok je vaš račun aktivan i tijekom razdoblja koje zahtijevaju svrhe obrade.
• Čak i nakon prestanka svrhe, podaci se mogu čuvati tijekom zakonskih rokova čuvanja koji proizlaze iz mjerodavnih propisa (porezni, trgovački, potrošački propisi i propisi o elektroničkoj trgovini itd.).
• Nakon isteka zakonskih rokova čuvanja ili prestanka uvjeta obrade vaši se podaci brišu, uništavaju ili anonimiziraju u skladu s člankom 7. KVKK-a.
• Isprobavanje bez računa (mobilna aplikacija): zapisi o isprobavanju brišu se 90 dana nakon odobrenja isprobavanja, zapisi o uređaju 90 dana nakon posljednjeg korištenja uređaja za isprobavanje, a rezultati koji nisu premješteni u račun nakon 24 sata; posljednje poruke čuvaju se do 24 sata nakon posljednje poruke, a poveznica račun–uređaj 365 dana. Svoje probne podatke možete u bilo kojem trenutku izbrisati u aplikaciji (vidi 2.8).
• Izvješća o rušenju mobilne aplikacije čuvaju se u zapisnicima poslužitelja najviše 30 dana.
• Zahtjev za brisanje: Brisanje/anonimizaciju svojih podataka možete zatražiti uporabom funkcije "Izbriši račun" unutar aplikacije ili podnošenjem zahtjeva za brisanje (erasure) putem /api/gdpr/requests. Vaš se zahtjev ispunjava u skladu s propisima, uz iznimku podataka koji podliježu zakonskoj obvezi čuvanja.

---

8. Prava ispitanika (čl. 11. KVKK-a)

U skladu s člankom 11. KVKK-a, obraćanjem voditelju obrade imate pravo:

1. Saznati obrađuju li se vaši osobni podaci,
2. Zatražiti informacije ako su podaci obrađeni,
3. Saznati svrhu obrade i koriste li se podaci u skladu s tom svrhom,
4. Znati treće strane kojima se podaci prenose, u zemlji ili inozemstvu,
5. Zatražiti ispravak ako su podaci obrađeni nepotpuno ili netočno,
6. Zatražiti brisanje ili uništenje (anonimizaciju) podataka u okviru uvjeta utvrđenih u čl. 7. KVKK-a,
7. Zatražiti da se radnje ispravka, brisanja i uništenja priopće trećim stranama kojima su podaci preneseni,
8. Prigovoriti rezultatu koji nastane na vašu štetu analizom obrađenih podataka isključivo putem automatiziranih sustava,
9. Zatražiti naknadu štete koju pretrpite zbog nezakonite obrade.

Osim toga, za obradu koja se temelji na izričitoj privoli imate pravo povući svoju privolu u bilo kojem trenutku.

---

9. Način podnošenja zahtjeva

Svoje zahtjeve na temelju čl. 11. KVKK-a možete podnijeti sljedećim putem, u skladu s "Priopćenjem o postupcima i načelima podnošenja zahtjeva voditelju obrade":

• E-poštom: slanjem pisanog zahtjeva na adresu privacy@torun.ai zajedno s podacima kojima se potvrđuje vaš identitet,
• Pisanim putem: osobnom predajom u sjedištu Društva navedenom u odjeljku 1 ili slanjem zahtjeva na tu adresu putem javnog bilježnika,
• Funkcijama unutar aplikacije: putem značajke "Izbriši račun" u postavkama računa i povezanih alata za zahtjeve u vezi s podacima (/api/gdpr/requests).

U vašem zahtjevu moraju biti jasno navedeni ime i prezime, potpis ako je zahtjev u pisanom obliku, vaši kontaktni podaci i predmet zahtjeva. Vaši se zahtjevi rješavaju besplatno u najkraćem mogućem roku i najkasnije u roku od trideset (30) dana, ovisno o prirodi zahtjeva; međutim, ako postupak zahtijeva dodatni trošak, može se naplatiti naknada prema tarifi koju utvrđuje Odbor za zaštitu osobnih podataka.

Napomena o VERBİS-u (informativno): Položaj Društva u odnosu na VERBİS opisan je u odjeljku 1. Ako nastane obveza upisa ili se Društvo dobrovoljno upiše, upis u registar bit će izvršen, a ova Obavijest ažurirana.

---

10. Izmjene i stupanje na snagu

• Ova Obavijest može se ažurirati u skladu s izmjenama propisa i ažuriranjima naših usluga.
• Važeći tekst stupa na snagu na dan objave na Platformi. O bitnim izmjenama obavijest se može pružiti na odgovarajući način.
• Najnoviju verziju ovog teksta u svakom trenutku možete pregledati na Platformi.

---

Napomena o dopunskom dokumentu: Ova Obavijest o zaštiti podataka prema KVKK-u izrađena je za ispitanike s prebivalištem u Turskoj; za korisnike izvan Turske i za opća načela zaštite podataka (uključujući GDPR) ona dopunjuje primjenjivu Politiku privatnosti (Privacy Policy). U slučaju bilo kakve razlike između dvaju dokumenata, za ispitanike s prebivalištem u Turskoj mjerodavne su odredbe KVKK-a i ova Obavijest.