GDPR persónuverndartilkynning

Þessi upplýsingatilkynning er samin til að upplýsa þig um þau persónuupplýsingar sem gervigreindarvettvangurinn ToRun („ToRun", „vettvangurinn") vinnur, í samræmi við 10. gr. tyrknesku laganna nr. 6698 um vernd persónuupplýsinga, „6698 sayılı Kişisel Verilerin Korunması Kanunu" („KVKK" eða „lögin" — tyrknesk persónuverndarlög), og „Tilkynningu um reglur og verklag við uppfyllingu upplýsingaskyldunnar".

ToRun er vettvangur sem veitir gervigreindarþjónustu á borð við spjall (chat), mynd-/myndbands-/tónlistar-/hljóðgerð, vinnuflæði (workflows) og innbyggðan aðstoðarmann í forritinu. Vettvanginum er stýrt af TORUN TEKNOLOJİ ANONİM ŞİRKETİ (hér eftir „Félagið"), hlutafélagi sem stofnað er í Tyrklandi.

Athugasemd: Þetta skjal er samið til að uppfylla upplýsingaskyldu samkvæmt KVKK gagnvart skráðum einstaklingum sem búsettir eru í Tyrklandi. Fyrir notendur utan Tyrklands og um almennar meginreglur gagnavinnslu gildir hin sérstaklega gildandi persónuverndarstefna (Privacy Policy / GDPR), og þessi tilkynning er til viðbótar við þá stefnu.

---

1. Auðkenni ábyrgðaraðila

Í hlutverki „ábyrgðaraðila" eins og hann er skilgreindur í 3. gr. KVKK eru persónuupplýsingar þínar unnar af TORUN TEKNOLOJİ ANONİM ŞİRKETİ, sem rekur ToRun-vettvanginn.

Upplýsingar	Nánar
Ábyrgðaraðili	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Skráð heimilisfang	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Fyrirtækjaskrá	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
MERSİS-númer	0857078305100001
Skattstofa / skattnúmer	Silivri Vergi Dairesi, 8570783051
Vettvangur / vefsvæði	torun.ai — api.torun.ai
Netfang fyrir erindi	privacy@torun.ai
Eðli starfsemi	Veiting gervigreindartengdrar netþjónustu

Félagið var skráð hjá İstanbul Ticaret Sicili Müdürlüğü (fyrirtækjaskrá Istanbúl) 19. október 2026. Skylda þess til skráningar í skrá yfir ábyrgðaraðila (VERBİS) er metin samkvæmt undanþáguviðmiðum sem Persónuverndarráð Tyrklands (Kişisel Verileri Koruma Kurulu) hefur sett (árlegur fjöldi starfsmanna, árleg niðurstöðutala efnahagsreiknings og hvort vinnsla viðkvæmra persónuupplýsinga sé meginstarfsemi þess). Á dagsetningu þessarar tilkynningar hefur engin VERBİS-skráning verið gerð í nafni Félagsins; skapist skráningarskylda verður skráningin gerð innan þess frests sem löggjöfin mælir fyrir um (sjá 9. kafla).

---

2. Persónuupplýsingar sem unnar eru (gagnaflokkar)

Í tengslum við notkun þína á ToRun kunna eftirfarandi flokkar persónuupplýsinga að vera unnir:

2.1. Auðkennis- og reikningsgögn

• Notandanafn
• Netfang
• Lykilorð — er ekki geymt sem venjulegur texti; eingöngu geymt á óafturkræfan hátt sem tætigildi (hash)

2.2. Gögn um ytri auðkenningu (innskráningu með samfélagsreikningi)

Ef þú kýst að stofna reikning þinn / skrá þig inn með ytri þjónustuveitanda:

• Auðkenningarupplýsingar sem viðkomandi þjónustuveitandi deilir varðandi Google-, Microsoft- og/eða Apple-reikninginn þinn (t.d. einkvæmt notandaauðkenni, netfang, nafn, prófílupplýsingar — að því marki sem þjónustuveitandinn heimilar)

2.3. Prófílgögn

• Prófílstillingar, kjörstillingar og allar prófílupplýsingar sem þú veitir að eigin vali

2.4. Öryggis- og notkunarskrár (aðgerðaskrár)

• Skrár um inn-/útskráningu, notkunar-/færsluskrár þjónustunnar
• Tæknilegar skrár sem haldnar eru í öryggisskyni og til að tryggja reikningsöryggi

2.5. Tækja- og greiningargögn

• Upplýsingar um tæki/vafra og tæknileg greiningargögn
• Greiningargögn eru unnin á eigin innviðum okkar (self-hosted); þau eru ekki flutt til auglýsinga-/greiningarneta þriðju aðila og eru ekki notuð til gerðar persónusniðs sem tengist auðkenni þínu beint. Sannprófun tækis í prufu farsímaforritsins án reiknings fer fram í gegnum þjónustu Apple og Google (sjá 2.8)
• Hrunskýrslur farsímaforritsins (villuboð, tæknileg rakning villunnar, heiti skjás, útgáfur forrits og stýrikerfis), sem sendar eru þegar forritið hrynur á meðan þú ert innskráð(ur) og geymdar með notandaauðkenni þínu í annálum netþjóns í mesta lagi í 30 daga

2.6. Efni sem notandi býr til

• Fyrirmælin (prompts) og skipanirnar sem þú slærð inn á vettvanginn
• Mynd-, myndbands-, hljóð- og textaefni sem framleitt er í gegnum vettvanginn
• Efni innan vinnuflæða þinna og samskipta við innbyggða aðstoðarmanninn

2.7. Greiðslu- og áskriftargögn

• Áskriftarleið, færslu-/reikningsupplýsingar og greiðslustaða
• Runs-staða - fyrirframgreidd notkunarinneign þín (Runs) og færslusaga hennar (áfyllingar, notkun, bakfærslur vegna endurgreiðslna).
• Mikilvægt: Greiðslur á vefsvæðinu eru innheimtar í gegnum Dodo Payments, sem starfar sem „Merchant of Record" (skráður seljandi); kaup í farsímaforritinu eru innheimt af Apple (App Store) eða Google (Google Play). Kredit-/debetkortanúmer, CVV og sambærilegar viðkvæmar upplýsingar um greiðslumiðla eru hvorki geymdar, vistaðar né sýnilegar ToRun. Þessi gögn eru unnin beint af viðkomandi greiðsluþjónustuveitanda.

2.8. Prufa án reiknings (farsímaforrit)

Þú getur prófað farsímaforrit ToRun í takmarkaðan tíma án þess að stofna reikning („prufa án reiknings“). Á meðan á prufunni stendur biðjum við ekki um nafn þitt, netfang eða símanúmer. Til að veita prufuna, koma í veg fyrir að hún sé hafin aftur og aftur á sama tæki og hindra misnotkun vinnum við eftirfarandi:

• Sannprófun tækis - forritið biður Apple (App Attest, DeviceCheck) eða Google (Play Integrity) að staðfesta að tækið og forritið séu ósvikin og netþjónn okkar sannreynir niðurstöðuna hjá þeim. Við geymum ekki sannprófunartáknin. Apple geymir fyrir okkur á eigin netþjónum tvö gildi fyrir hvert tæki („prufa var veitt“, „reikningur var stofnaður á þessu tæki“).
• Tækjaauðkenni - á iOS handahófskennt auðkenni sem forritið býr til og geymir á tækinu; á Android forritssértækt tækjaauðkenni (ANDROID_ID). Aðeins einstefnu tætigildi þess fer úr tækinu og við geymum það aðeins eftir að hafa tætt það aftur með leynilykli (lyklað tætigildi). Á iOS geymum við einnig lyklað tætigildi auðkennis App Attest-lykilsins.
• Net - lyklað tætigildi netforskeytis IP-tölu þinnar, aldrei öll talan, vegna daglegra marka prufunnar.
• Prufufærsla - hversu mikið er eftir af prufunni, staða hennar og, ef prufu var hafnað, ástæðan.
• Það sem þú prófar - skilaboðin sem þú skrifar, raddsamtal þitt, myndin sem þú velur og nafnið sem þú gefur upp fyrir lag eru send gervigreindarveitunni sem býr til niðurstöðuna og efnisstjórnunarveitu okkar (kafli 5.1). Myndin þín er aðeins notuð til að búa til myndina og er ekki geymd. Raddsamtal er ekki tekið upp og afrit þess er ekki geymt. Nýjustu skilaboðin þín eru geymd í allt að 24 klukkustundir eftir síðustu skilaboðin þín svo að næsta svar hafi samhengi; þau eru ekki vistuð sem samtal. Það sem prufan býr til (lag, mynd) er geymt í 24 klukkustundir og síðan eytt.

Varðveisla. Prufufærslum er sjálfkrafa eytt 90 dögum eftir að prufan var veitt og tækjafærslum 90 dögum eftir að tækið var síðast notað í prufunni. Ef þú stofnar reikning úr prufunni eru tengsl reikningsins og tækisins geymd í 365 daga, svo að annar reikningur sem stofnaður er á sama tæki fái ekki móttökugjöfina aftur. Reikningsfærsla fyrir það sem prufan notaði er geymd í 5 ár eins og bókhaldslög krefjast; hún auðkennir prufuna, ekki þig, og inniheldur lyklaða tætigildi netforskeytisins, sem er fjarlægt ef þú eyðir prufugögnum þínum.

Ef þú stofnar reikning. Það sem þú bjóst til í prufunni færist í Safn reikningsins þíns og er frá þeim tíma geymt sem hluti af reikningnum þínum; tækjafærslan er tengd reikningnum þínum.

Lagagrundvöllur. Lögmætir hagsmunir ábyrgðaraðila af því að halda þjónustunni öruggri og koma í veg fyrir misnotkun ókeypis prufu (KVKK 5/2-f. gr.) og gerð og efndir samnings um prufuna sem þú baðst um (5/2-c. gr.). Sending gagna til sannprófunarþjónustu Apple og Google og til gervigreindarveitna er miðlun til útlanda sem fellur undir kafla 5.

Að eyða prufugögnum þínum. Þú getur eytt prufugögnum þínum hvenær sem er í forritinu, án reiknings: á upphafsskjánum opnar þú „Prufugögnin þín“ og velur „Eyða prufugögnunum mínum“. Tækið er sannprófað á sama hátt og í prufunni sjálfri, svo enginn annar getur eytt prufugögnum þínum eða fengið nokkuð að vita um þau. Eftir það geymum við aðeins athugasemd um að þetta tæki hafi notað prufuna sína (ekkert annað, í mesta lagi í 90 daga) og, í einn dag, upplýsingar um að prufa hafi verið notuð á netinu þínu, svo að ekki sé einfaldlega hægt að hefja prufuna aftur. Ef þú stofnaðir reikning eyðir eyðing reikningsins einnig prufufærslunum sem tengjast honum. Gildin tvö sem Apple geymir fyrir tæki eru ekki tengd þér; við endurstillum þau ekki, því endurstilling myndi gera nýja prufu mögulega á því tæki.

ToRun óskar ekki eftir né vinnur viðkvæmar persónuupplýsingar (6. gr. KVKK — heilsufar, trúarbrögð, lífkennagögn o.s.frv.) í reglubundinni starfsemi sinni. Þér er ráðlagt að deila ekki slíkum gögnum í gegnum fyrirmæli/efni.

---

3. Tilgangur vinnslu persónuupplýsinga

Persónuupplýsingar þínar eru unnar í eftirfarandi tilgangi:

1. Stofnun og umsjón reiknings — að ganga frá skráningu, sannvotta þig og halda utan um reikninginn þinn
2. Veiting þjónustunnar — að veita gervigreindarþjónustu, þar á meðal spjall, mynd-/myndbands-/tónlistar-/hljóðgerð, vinnuflæði og innbyggða aðstoðarmanninn
3. Reikningagerð og áskriftarumsjón — að framkvæma greiðslu-, áskriftar-, endurnýjunar- og endurgreiðsluferli
4. Öryggi og varnir gegn svikum — að tryggja reikningsöryggi og greina/hindra misnotkun, misbeitingu og svik
5. Uppfylling lagaskyldna — að uppfylla varðveislu-, tilkynningar- og svarskyldur gagnvart yfirvöldum sem leiða af löggjöf
6. Þjónusta og samskipti — að afgreiða beiðnir, kvartanir og þjónustufyrirspurnir og eiga í samskiptum við þig um þjónustuna
7. Umbætur á þjónustunni — að bæta gæði, stöðugleika og notendaupplifun þjónustunnar (með tæknilegum mælingum sem eru óháðar auðkenni)
8. Valfrjáls starfsemi / markaðsstarf — að senda upplýsinga- og kynningarskilaboð eingöngu ef þú hefur veitt til þess ótvírætt samþykki

---

4. Lagagrundvöllur vinnslu (5. gr. / 6. gr. KVKK)

Persónuupplýsingar þínar eru unnar á grundvelli eftirfarandi lagaheimilda sem kveðið er á um í 5. gr. KVKK:

Lagagrundvöllur (5. gr.)	Dæmi um vinnslu sem hann á við um
Nauðsyn vegna stofnunar eða efnda samnings (5. gr. 2. mgr. c-liður)	Stofnun reiknings, veiting þjónustunnar, áskrift og reikningagerð
Uppfylling lagaskyldu (5. gr. 2. mgr. ç-liður)	Lögbundin varðveisla, skatta-/fjármálalöggjöf og svör við beiðnum yfirvalda
Lögmætir hagsmunir ábyrgðaraðila, að því tilskildu að þeir skaði ekki grundvallarréttindi og frelsi hins skráða (5. gr. 2. mgr. f-liður)	Öryggi, varnir gegn svikum, umbætur á þjónustu, greiningar óháðar auðkenni
Gögn sem hinn skráði hefur sjálfur gert opinber / stofnun og vernd réttar (5. gr. 2. mgr. d- og e-liður)	Varðveisla nauðsynlegra gagna til að vernda réttindi komi til ágreinings
Ótvírætt samþykki (5. gr. 1. mgr.)	Markaðsskilaboð sem ekki eru skyldubundin og valfrjáls vinnslustarfsemi

• Ekki er leitað sérstaklega eftir ótvíræðu samþykki vegna skyldubundinnar vinnslu (sem byggist á efndum samnings, lagaskyldu og lögmætum hagsmunum).
• Markaðsstarf og valfrjáls vinnsla byggist eingöngu á ótvíræðu samþykki þínu; þú getur afturkallað þetta samþykki hvenær sem er.
• Viðkvæmar persónuupplýsingar (6. gr.) eru ekki unnar að staðaldri; verði slík vinnsla nauðsynleg er farið að þeim viðbótarskilyrðum sem lögin mæla fyrir um (ótvírætt samþykki eða lögbundin undanþága).

---

5. Miðlun persónuupplýsinga og flutningur úr landi (8. gr. / 9. gr. KVKK)

Til þess að unnt sé að veita þjónustuna er persónuupplýsingum þínum miðlað til þeirra þjónustuveitenda sem taldir eru upp hér að neðan, takmarkað við viðkomandi tilgang. Þar sem meirihluti innviða og þjónustuveitenda ToRun er staðsettur erlendis teljast sumar þessara miðlana flutningur úr landi.

5.1. Aðilar sem gögnum er miðlað til

Viðtakandi / þjónustuveitandi	Tilgangur miðlunar	Staðsetning
Bunny.net	Efnisdreifing (CDN), skráageymsla og afhending kyrrstæðra eigna	Erlendis
Gervigreindarveitendur (t.d. OpenAI, Anthropic, Google, ElevenLabs og sambærilegir)	Vinnsla fyrirmæla þinna og efnis til að framleiða gervigreindarúttak	Erlendis
Dodo Payments (Merchant of Record)	Framkvæmd greiðslu-, áskriftar- og reikningsferla vegna kaupa á vefsvæðinu	Erlendis
Apple (App Store), Google (Google Play)	Framkvæmd kaupa í farsímaforritinu	Erlendis
Tækjasannprófunarþjónusta Apple og Google (App Attest, DeviceCheck; Play Integrity)	Staðfesting þess að tækið og forritið séu ósvikin í prufu farsímaforritsins án reiknings	Erlendis
Google Maps Platform	Staðaleit, upplýsingar um staði, leiðarlýsingar og kort þegar þú spyrð um staði eða deilir staðsetningu	Erlendis
Greiningarinnviðir	Tæknilegar mælingar óháðar auðkenni og umbætur á þjónustu (self-hosted)	Eigin innviðir okkar
Þar til bærar opinberar stofnanir og aðilar	Eingöngu eftir því sem lagaskylda krefst og að því marki sem löggjöf heimilar	Tyrkland

5.2. Miðlun notandaefnis til gervigreindarveitenda

Eðli þjónustunnar samkvæmt eru fyrirmælin sem þú slærð inn og tengt efni flutt til vinnslu til þeirra gervigreindarveitenda sem þú velur/notar svo að unnt sé að framleiða úttak. Flestir þessara veitenda eru staðsettir erlendis. Þess vegna fellur þessi miðlun undir flutning úr landi í skilningi 9. gr. KVKK.

5.3. Lagagrundvöllur flutningsins

Flutningur úr landi fer fram innan ramma 9. gr. KVKK, á grundvelli:

• ótvíræðs samþykkis þíns vegna veitingar þjónustunnar, og/eða
• þeirra skilyrða sem lögin mæla fyrir um, svo sem efnda samnings, lagaskyldu og lögmætra hagsmuna, og
• þeirra meginreglna sem viðeigandi löggjöf mælir fyrir um (viðeigandi verndarráðstafanir, skuldbindingaryfirlýsingar / stöðluð samningsákvæði o.s.frv., þar sem slíkra úrræða er krafist).

Flutningurinn er í öllum tilvikum takmarkaður við og í hófi miðað við viðkomandi tilgang.

---

6. Aðferð við söfnun persónuupplýsinga

Persónuupplýsingum þínum er safnað:

• Beint frá þér: með aðgerðum á borð við stofnun reiknings, innskráningu, breytingar á prófíl, innslátt fyrirmæla/efnis og innsendingu þjónustubeiðna,
• Með sjálfvirkum hætti: með aðgerða-, tækja- og greiningarskrám sem verða til við notkun þína á vettvanginum,
• Í gegnum auðkennisveitendur þriðja aðila: frá viðkomandi þjónustuveitanda ef þú skráir þig inn með Google/Microsoft/Apple,
• Í gegnum greiðsluþjónustuveitandann: með stöðuupplýsingum sem varða áskriftar-/greiðslufærslur,

með aðferðum sem eru að fullu eða að hluta sjálfvirkar, eða með aðferðum sem ekki eru sjálfvirkar að því tilskildu að þær séu hluti af gagnaskráningarkerfi.

---

7. Varðveislutími

• Persónuupplýsingar þínar eru varðveittar á meðan reikningur þinn er virkur og í þann tíma sem vinnslutilgangurinn krefst.
• Jafnvel þótt tilgangurinn sé ekki lengur fyrir hendi kunna þær að vera varðveittar á meðan lögbundnir varðveislufrestir samkvæmt viðeigandi löggjöf vara (skatta-, viðskipta-, neytenda- og rafræn viðskiptalöggjöf o.s.frv.).
• Þegar lögbundnir varðveislufrestir renna út eða vinnsluskilyrðin falla brott eru gögn þín eytt, þeim fargað eða þau gerð nafnlaus í samræmi við 7. gr. KVKK.
• Prufa án reiknings (farsímaforrit): prufufærslum er eytt 90 dögum eftir að prufan var veitt, tækjafærslum 90 dögum eftir að tækið var síðast notað í prufunni og niðurstöðum sem ekki voru færðar á reikning eftir 24 klukkustundir; nýjustu skilaboð eru geymd í allt að 24 klukkustundir eftir síðustu skilaboð og tengsl reiknings og tækis í 365 daga. Þú getur eytt prufugögnum þínum í forritinu hvenær sem er (sjá 2.8).
• Hrunskýrslur farsímaforritsins eru geymdar í annálum netþjóns í mesta lagi í 30 daga.
• Eyðingarbeiðni: Þú getur farið fram á eyðingu/nafnleysingu gagna þinna með því að nota „Eyða reikningi"-aðgerðina í forritinu eða með því að senda eyðingarbeiðni þína í gegnum /api/gdpr/requests. Beiðni þín er afgreidd í samræmi við löggjöfina, að undanskildum gögnum sem lögbundin varðveisluskylda tekur til.

---

8. Réttindi hins skráða (11. gr. KVKK)

Samkvæmt 11. gr. KVKK átt þú, með því að beina erindi til ábyrgðaraðila, rétt á að:

1. Fá að vita hvort persónuupplýsingar þínar eru unnar,
2. Óska eftir upplýsingum hafi þær verið unnar,
3. Fá að vita tilgang vinnslunnar og hvort þær eru notaðar í samræmi við þann tilgang,
4. Fá vitneskju um þá þriðju aðila sem gögnunum er miðlað til, innanlands eða erlendis,
5. Óska eftir leiðréttingu hafi þær verið unnar á ófullnægjandi eða rangan hátt,
6. Óska eftir eyðingu eða förgun (nafnleysingu) gagnanna innan ramma þeirra skilyrða sem kveðið er á um í 7. gr. KVKK,
7. Óska eftir að leiðréttingar-, eyðingar- og förgunaraðgerðir séu tilkynntar þeim þriðju aðilum sem gögnunum var miðlað til,
8. Andmæla niðurstöðu sem er þér í óhag og verður til við greiningu unninna gagna eingöngu með sjálfvirkum kerfum,
9. Krefjast bóta fyrir tjón sem þú verður fyrir vegna ólögmætrar vinnslu.

Að auki átt þú, að því er varðar vinnslu sem byggist á ótvíræðu samþykki, rétt á að afturkalla samþykki þitt hvenær sem er.

---

9. Aðferð við að leggja fram erindi

Þú getur lagt fram beiðnir þínar samkvæmt 11. gr. KVKK með eftirfarandi hætti, í samræmi við „Tilkynningu um verklag og meginreglur við að beina erindi til ábyrgðaraðila":

• Með tölvupósti: með því að senda skriflegt erindi á privacy@torun.ai ásamt upplýsingum sem staðfesta auðkenni þitt,
• Skriflega: með því að afhenda erindið á skráðu heimilisfangi Félagsins sem fram kemur í 1. kafla eða senda það þangað fyrir milligöngu lögbókanda,
• Aðgerðir í forritinu: í gegnum „Eyða reikningi"-aðgerðina í reikningsstillingum og tengd gagnabeiðnatól (/api/gdpr/requests).

Í erindinu þínu skulu koma skýrt fram nafn þitt og eftirnafn, undirskrift ef erindið er skriflegt, samskiptaupplýsingar þínar og efni beiðninnar. Erindi þín eru afgreidd án endurgjalds eins fljótt og auðið er og í síðasta lagi innan þrjátíu (30) daga, eftir eðli beiðninnar; krefjist afgreiðslan hins vegar sérstaks kostnaðar má innheimta gjald samkvæmt gjaldskrá sem tyrkneska persónuverndarráðið (Kişisel Verileri Koruma Kurulu) ákveður.

Athugasemd um VERBİS (til upplýsingar): Stöðu Félagsins gagnvart VERBİS er lýst í 1. kafla. Skapist skráningarskylda, eða skrái Félagið sig að eigin frumkvæði, verður skráning gerð og þessi tilkynning uppfærð.

---

10. Breytingar og gildistaka

• Þessi upplýsingatilkynning kann að vera uppfærð í samræmi við breytingar á löggjöf og uppfærslur á þjónustu okkar.
• Gildandi texti tekur gildi á þeim degi sem hann er birtur á vettvanginum. Við verulegar breytingar kann tilkynning að vera veitt með viðeigandi hætti.
• Þú getur hvenær sem er kynnt þér nýjustu útgáfu þessa texta á vettvanginum.

---

Athugasemd um viðbótarskjal: Þessi KVKK-upplýsingatilkynning er samin fyrir skráða einstaklinga sem búsettir eru í Tyrklandi; fyrir notendur utan Tyrklands og um almennar meginreglur persónuverndar (þar á meðal GDPR) er hún til viðbótar við gildandi persónuverndarstefnu (Privacy Policy). Komi til misræmis milli skjalanna tveggja gilda ákvæði KVKK og þessi tilkynning fyrir skráða einstaklinga sem búsettir eru í Tyrklandi.