Informativa sulla protezione dei dati GDPR

La presente Informativa è stata redatta per informarLa in merito ai dati personali trattati dalla piattaforma di intelligenza artificiale ToRun ("ToRun", la "Piattaforma"), ai sensi dell'articolo 10 della 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" o la "Legge" — Legge turca n. 6698 sulla protezione dei dati personali) e del "Comunicato sui principi e sulle procedure da seguire nell'adempimento dell'obbligo di informazione".

ToRun è una piattaforma che fornisce servizi di intelligenza artificiale quali chat, generazione di immagini/video/musica/audio, flussi di lavoro (workflow) e un assistente integrato nell'applicazione. La Piattaforma è gestita da TORUN TEKNOLOJİ ANONİM ŞİRKETİ (la "Società"), una società per azioni costituita in Turchia.

Nota: Il presente documento è redatto per adempiere all'obbligo di informazione previsto dalla KVKK nei confronti degli interessati residenti in Türkiye. Per gli utenti al di fuori della Türkiye e per i principi generali di trattamento dei dati si applica separatamente la Privacy Policy (GDPR) in vigore, rispetto alla quale la presente Informativa ha carattere complementare.

---

1. Identità del Titolare del trattamento

In qualità di "titolare del trattamento" ai sensi dell'articolo 3 della KVKK, i Suoi dati personali sono trattati da TORUN TEKNOLOJİ ANONİM ŞİRKETİ, che gestisce la piattaforma ToRun.

Informazione	Dettaglio
Titolare del trattamento	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Sede legale	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Registro delle imprese	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
Numero MERSİS	0857078305100001
Ufficio delle imposte / codice fiscale	Silivri Vergi Dairesi, 8570783051
Piattaforma / sito web	torun.ai — api.torun.ai
Indirizzo e-mail per le istanze	privacy@torun.ai
Natura dell'attività	Fornitura di servizi online basati sull'intelligenza artificiale

La Società è stata iscritta presso l'İstanbul Ticaret Sicili Müdürlüğü (Registro delle imprese di Istanbul) il 19 ottobre 2026. Il suo obbligo di iscrizione al Registro dei titolari del trattamento (VERBİS) è valutato in base ai criteri di esenzione stabiliti dal Consiglio per la protezione dei dati personali (Kişisel Verileri Koruma Kurulu): numero annuo di dipendenti, totale annuo di bilancio e se il trattamento di categorie particolari di dati personali costituisca la sua attività principale. Alla data della presente Informativa non è stata effettuata alcuna iscrizione al VERBİS a nome della Società; qualora sorgesse l'obbligo di iscrizione, questa sarà effettuata entro il termine previsto dalla normativa (si veda la Sezione 9).

---

2. Dati personali trattati (Categorie di dati)

Nell'ambito del Suo utilizzo di ToRun possono essere trattate le seguenti categorie di dati personali:

2.1. Dati identificativi e dell'account

• Nome utente
• Indirizzo e-mail
• Password — non conservata in testo in chiaro; conservata esclusivamente in forma irreversibilmente sottoposta a hash

2.2. Dati di autenticazione esterna (accesso tramite social)

Qualora Lei scelga di creare il Suo account / accedere tramite un fornitore esterno:

• Le informazioni di autenticazione condivise dal fornitore interessato relative al Suo account Google, Microsoft e/o Apple (ad es. identificativo utente univoco, indirizzo e-mail, nome e cognome, informazioni del profilo — nella misura consentita dal fornitore)

2.3. Dati del profilo

• Impostazioni del profilo, preferenze e le eventuali informazioni di profilo da Lei facoltativamente fornite

2.4. Sicurezza delle operazioni e registri di utilizzo (log)

• Registri di accesso/disconnessione, log di utilizzo del servizio/delle operazioni
• Registri tecnici conservati per finalità di sicurezza e di protezione dell'account

2.5. Dati del dispositivo e dati analitici

• Informazioni sul dispositivo/browser e dati analitici di natura tecnica
• I dati analitici sono trattati sulla nostra infrastruttura (self-hosted); non sono trasferiti a reti pubblicitarie/analitiche di terze parti e non sono utilizzati per finalità di profilazione direttamente riconducibili alla Sua identità. La verifica del dispositivo nella prova senza account dell'app mobile avviene tramite servizi di Apple e Google (vedi 2.8)
• I report di arresto anomalo dell'app mobile (messaggio di errore, traccia tecnica dell'errore, nome della schermata, versioni dell'app e del sistema operativo), inviati quando l'app si arresta in modo anomalo mentre Lei ha effettuato l'accesso e conservati con il Suo ID utente nei log del server per 30 giorni al massimo

2.6. Contenuti generati dall'utente

• I prompt e i comandi da Lei inseriti nella Piattaforma
• I contenuti visivi, video, audio e testuali prodotti tramite la Piattaforma
• I contenuti relativi ai Suoi flussi di lavoro (workflow) e alle Sue interazioni con l'assistente integrato nell'applicazione

2.7. Dati di pagamento e di abbonamento

• Piano di abbonamento, informazioni su transazioni/fatture e stato dei pagamenti
• Saldo Runs - il saldo dei crediti di utilizzo prepagati (Runs) e la relativa cronologia delle transazioni (ricariche, consumi, storni per rimborso).
• Importante: I pagamenti sul sito web sono riscossi tramite Dodo Payments, che agisce in qualità di "Merchant of Record" (venditore registrato); gli acquisti nell'app mobile sono riscossi da Apple (App Store) o da Google (Google Play). I numeri di carte di credito/debito, il CVV e le analoghe informazioni sensibili relative agli strumenti di pagamento non sono detenuti, conservati né visualizzabili da ToRun. Tali dati sono trattati direttamente dal relativo prestatore di servizi di pagamento.

2.8. Prova senza account (app mobile)

Lei può provare l'app mobile di ToRun per un periodo limitato senza creare un account (la "prova senza account"). Durante la prova non Le chiediamo nome, indirizzo email o numero di telefono. Per offrire la prova, impedire che venga avviata ancora e ancora sullo stesso dispositivo e prevenire gli abusi, trattiamo quanto segue:

• Verifica del dispositivo - l'app chiede ad Apple (App Attest, DeviceCheck) o a Google (Play Integrity) di confermare che il dispositivo e l'app sono autentici, e il nostro server verifica l'esito presso di loro. Non conserviamo i token di verifica. Apple conserva per noi, sui propri server, due valori per dispositivo ("è stata concessa una prova", "su questo dispositivo è stato creato un account").
• Identificativo del dispositivo - su iOS, un identificativo casuale che l'app crea e conserva sul dispositivo; su Android, l'identificativo del dispositivo specifico dell'app (ANDROID_ID). Dal dispositivo esce solo un hash unidirezionale di esso, e lo conserviamo solo dopo averlo sottoposto di nuovo a hash con una chiave segreta (hash con chiave). Su iOS conserviamo anche un hash con chiave dell'identificativo della chiave App Attest.
• Rete - un hash con chiave del prefisso di rete del Suo indirizzo IP, mai l'indirizzo completo, per i limiti giornalieri della prova.
• Registro della prova - quanto resta della prova, il suo stato e, se una prova è stata rifiutata, il motivo.
• Ciò che prova - il messaggio che scrive, la Sua conversazione vocale, la foto che sceglie e il nome che indica per una canzone vengono inviati al fornitore di intelligenza artificiale che produce il risultato e al nostro fornitore di moderazione dei contenuti (Sezione 5.1). La Sua foto viene usata solo per creare l'immagine e non viene conservata. Una conversazione vocale non viene registrata e la sua trascrizione non viene conservata. I Suoi ultimi messaggi vengono conservati fino a 24 ore dopo il Suo ultimo messaggio, così che la risposta successiva abbia il contesto; non vengono salvati come conversazione. Ciò che la prova produce (una canzone, un'immagine) viene conservato per 24 ore e poi eliminato.

Conservazione. I registri della prova vengono eliminati automaticamente 90 giorni dopo la concessione della prova, e i registri del dispositivo 90 giorni dopo l'ultimo utilizzo del dispositivo per la prova. Se crea un account dalla prova, il collegamento tra account e dispositivo viene conservato per 365 giorni, affinché un secondo account creato sullo stesso dispositivo non riceva di nuovo il regalo di benvenuto. Il registro di fatturazione di ciò che la prova ha consumato viene conservato per 5 anni, come richiesto dalla normativa contabile; identifica la prova, non Lei, e contiene l'hash con chiave del prefisso di rete, che viene rimosso se elimina i Suoi dati di prova.

Se crea un account. Ciò che ha creato durante la prova passa nella Libreria del Suo account e da quel momento viene conservato come parte del Suo account; il registro del dispositivo viene collegato al Suo account.

Base giuridica. Il legittimo interesse del titolare del trattamento a mantenere sicuro il servizio e a prevenire l'abuso di una prova gratuita (art. 5/2-f KVKK), e la conclusione e l'esecuzione di un contratto relativo alla prova da Lei richiesta (art. 5/2-c). L'invio di dati ai servizi di verifica di Apple e Google e ai fornitori di intelligenza artificiale è un trasferimento all'estero, soggetto alla Sezione 5.

Eliminazione dei Suoi dati di prova. Può eliminare i Suoi dati di prova in qualsiasi momento nell'app, senza account: nella schermata di benvenuto apra "I tuoi dati di prova" e scelga "Elimina i miei dati di prova". Il dispositivo viene verificato nello stesso modo della prova stessa, così nessun altro può eliminare i Suoi dati di prova o sapere qualcosa su di essi. Dopo, conserviamo solo una nota che questo dispositivo ha già usato la sua prova (nient'altro, per 90 giorni al massimo) e, per un giorno, che sulla Sua rete è stata usata una prova, così che la prova non possa semplicemente essere riavviata. Se ha creato un account, eliminare l'account elimina anche i registri della prova collegati. I due valori che Apple conserva per un dispositivo non sono collegati a Lei; non li reimpostiamo, perché reimpostarli consentirebbe una nuova prova su quel dispositivo.

ToRun non richiede né tratta, nell'ambito della propria operatività ordinaria, categorie particolari di dati personali (art. 6 KVKK — salute, religione, dati biometrici, ecc.). Si raccomanda di non condividere tali dati tramite prompt/contenuti.

---

3. Finalità del trattamento dei dati personali

I Suoi dati personali sono trattati per le seguenti finalità:

1. Creazione e gestione dell'account — perfezionamento della registrazione, autenticazione e gestione del Suo account
2. Fornitura del servizio — fornitura dei servizi di intelligenza artificiale, tra cui chat, generazione di immagini/video/musica/audio, flussi di lavoro e assistente integrato nell'applicazione
3. Fatturazione e gestione degli abbonamenti — esecuzione dei processi di pagamento, abbonamento, rinnovo e rimborso
4. Sicurezza e prevenzione delle frodi — garanzia della sicurezza dell'account e rilevamento/prevenzione di abusi, usi impropri e frodi
5. Adempimento di obblighi legali — adempimento degli obblighi di conservazione, di informazione e di risposta alle autorità competenti derivanti dalla normativa
6. Assistenza e comunicazione — gestione di richieste, reclami e istanze di assistenza, nonché comunicazioni con Lei in merito al servizio
7. Miglioramento del servizio — miglioramento della qualità, della stabilità e dell'esperienza d'uso del servizio (mediante misurazioni tecniche non riconducibili all'identità)
8. Attività facoltative / di marketing — invio di comunicazioni informative e promozionali esclusivamente previo Suo consenso esplicito

---

4. Basi giuridiche del trattamento (artt. 5 / 6 KVKK)

I Suoi dati personali sono trattati sulla base delle seguenti basi giuridiche previste dall'articolo 5 della KVKK:

Base giuridica (art. 5)	Esempio di trattamento cui si applica
Necessità ai fini della stipula o dell'esecuzione di un contratto (art. 5/2-c)	Creazione dell'account, fornitura del servizio, abbonamento e fatturazione
Adempimento di un obbligo legale (art. 5/2-ç)	Conservazione obbligatoria per legge, normativa fiscale/finanziaria e risposte alle richieste delle autorità
Interesse legittimo del titolare del trattamento, purché non pregiudichi i diritti e le libertà fondamentali dell'interessato (art. 5/2-f)	Sicurezza, prevenzione delle frodi, miglioramento del servizio, analisi non riconducibili all'identità
Dati resi pubblici dall'interessato / costituzione e tutela di un diritto (art. 5/2-d, e)	Conservazione dei registri necessari alla tutela dei diritti in caso di controversia
Consenso esplicito (art. 5/1)	Comunicazioni di marketing non obbligatorie e attività di trattamento facoltative

• Per i trattamenti obbligatori (fondati sull'esecuzione di un contratto, su un obbligo legale e sull'interesse legittimo) non è richiesto un ulteriore consenso esplicito.
• Il marketing e i trattamenti facoltativi si fondano esclusivamente sul Suo consenso esplicito; Lei può revocare tale consenso in qualsiasi momento.
• Le categorie particolari di dati personali (art. 6) non sono trattate in via ordinaria; qualora tale trattamento si rendesse necessario, saranno rispettate le condizioni aggiuntive previste dalla Legge (consenso esplicito o eccezione prevista dalla legge).

---

5. Trasferimento dei dati personali e trasferimento all'estero (artt. 8 / 9 KVKK)

Ai fini della fornitura del servizio, i Suoi dati personali sono trasferiti ai fornitori di servizi di seguito indicati, limitatamente alla finalità pertinente. Poiché la maggior parte dell'infrastruttura e dei fornitori di servizi di ToRun è situata all'estero, una parte di tali trasferimenti costituisce un trasferimento all'estero.

5.1. Soggetti destinatari dei trasferimenti

Destinatario / Fornitore	Finalità del trasferimento	Ubicazione
Bunny.net	Distribuzione dei contenuti (CDN), archiviazione dei file e distribuzione di risorse statiche	Estero
Fornitori di intelligenza artificiale (ad es. OpenAI, Anthropic, Google, ElevenLabs e simili)	Trattamento dei Suoi prompt e contenuti per la generazione dell'output di intelligenza artificiale	Estero
Dodo Payments (Merchant of Record)	Esecuzione dei processi di pagamento, abbonamento e fatturazione per gli acquisti sul sito web	Estero
Apple (App Store), Google (Google Play)	Esecuzione degli acquisti nell'app mobile	Estero
Servizi di verifica dei dispositivi di Apple e Google (App Attest, DeviceCheck; Play Integrity)	Conferma che il dispositivo e l'app sono autentici durante la prova senza account dell'app mobile	Estero
Google Maps Platform	Ricerca di luoghi, dettagli dei luoghi, indicazioni stradali e mappe quando Lei chiede informazioni su luoghi o condivide la Sua posizione	Estero
Infrastruttura analitica	Misurazioni tecniche non riconducibili all'identità e miglioramento del servizio (self-hosted)	Nostra infrastruttura
Enti e istituzioni pubbliche autorizzati	Esclusivamente in forza di un obbligo legale e nella misura consentita dalla normativa	Türkiye

5.2. Trasmissione dei contenuti dell'utente ai fornitori di intelligenza artificiale

Per la natura stessa del servizio, i prompt da Lei inseriti e i relativi contenuti sono trasmessi per il trattamento ai fornitori di intelligenza artificiale da Lei selezionati/utilizzati affinché possa essere generato l'output. La maggior parte di tali fornitori ha sede all'estero. Pertanto, tale trasmissione rientra nell'ambito del trasferimento all'estero ai sensi dell'art. 9 KVKK.

5.3. Base giuridica del trasferimento

I trasferimenti all'estero sono effettuati nel quadro dell'articolo 9 della KVKK, sulla base di:

• il Suo consenso esplicito ai fini della fornitura del servizio, e/o
• le condizioni previste dalla Legge, quali l'esecuzione di un contratto, un obbligo legale e l'interesse legittimo, e
• i principi previsti dalla normativa applicabile (garanzie adeguate, impegni / clausole contrattuali standard, ecc., laddove tali meccanismi siano richiesti).

Il trasferimento è in ogni caso mantenuto limitato e proporzionato alla finalità pertinente.

---

6. Modalità di raccolta dei dati personali

I Suoi dati personali sono raccolti:

• Direttamente da Lei: tramite operazioni quali la creazione dell'account, l'accesso, la modifica del profilo, l'inserimento di prompt/contenuti e la presentazione di richieste di assistenza,
• Con mezzi automatizzati: tramite i registri di log, del dispositivo e analitici generati durante il Suo utilizzo della Piattaforma,
• Tramite fornitori di identità terzi: dal fornitore interessato, qualora Lei acceda con Google/Microsoft/Apple,
• Tramite il fornitore di servizi di pagamento: tramite le informazioni di stato relative alle operazioni di abbonamento/pagamento,

con mezzi interamente o parzialmente automatizzati, ovvero con mezzi non automatizzati purché facciano parte di un sistema di registrazione dei dati.

---

7. Periodo di conservazione

• I Suoi dati personali sono conservati per tutta la durata di attività del Suo account e per il periodo richiesto dalle finalità del trattamento.
• Anche in caso di cessazione della finalità, i dati possono essere conservati per i periodi di conservazione previsti dalla legge derivanti dalla normativa applicabile (normativa fiscale, commerciale, in materia di consumatori e di commercio elettronico, ecc.).
• Alla scadenza dei periodi di conservazione previsti dalla legge o al venir meno delle condizioni del trattamento, i Suoi dati sono cancellati, distrutti o resi anonimi ai sensi dell'articolo 7 della KVKK.
• Prova senza account (app mobile): i registri della prova sono cancellati 90 giorni dopo la concessione della prova, i registri del dispositivo 90 giorni dopo l'ultimo utilizzo del dispositivo per la prova e i risultati non trasferiti in un account dopo 24 ore; gli ultimi messaggi sono conservati fino a 24 ore dopo l'ultimo messaggio e il collegamento account–dispositivo per 365 giorni. Lei può eliminare i Suoi dati di prova nell'app in qualsiasi momento (vedi 2.8).
• I report di arresto anomalo dell'app mobile sono conservati nei log del server per 30 giorni al massimo.
• Richiesta di cancellazione: Lei può richiedere la cancellazione/anonimizzazione dei Suoi dati utilizzando la funzione "Elimina account" all'interno dell'applicazione oppure presentando la Sua richiesta di cancellazione tramite /api/gdpr/requests. La Sua richiesta viene soddisfatta in conformità alla normativa, fatti salvi i dati soggetti a un obbligo di conservazione previsto dalla legge.

---

8. Diritti dell'interessato (art. 11 KVKK)

Ai sensi dell'articolo 11 della KVKK, rivolgendosi al titolare del trattamento Lei ha il diritto di:

1. Sapere se i Suoi dati personali sono oggetto di trattamento,
2. Richiedere informazioni qualora siano stati trattati,
3. Conoscere la finalità del trattamento e se i dati sono utilizzati conformemente a tale finalità,
4. Conoscere i terzi ai quali i dati sono trasferiti, in Türkiye o all'estero,
5. Richiedere la rettifica dei dati qualora siano stati trattati in modo incompleto o inesatto,
6. Richiedere la cancellazione o la distruzione (anonimizzazione) dei dati nel quadro delle condizioni previste dall'art. 7 KVKK,
7. Richiedere che le operazioni di rettifica, cancellazione e distruzione siano notificate ai terzi ai quali i dati sono stati trasferiti,
8. Opporsi all'insorgere di un risultato a Suo sfavore derivante dall'analisi dei dati trattati esclusivamente tramite sistemi automatizzati,
9. Richiedere il risarcimento dei danni subiti a causa di un trattamento illecito.

Inoltre, per i trattamenti fondati sul consenso esplicito, Lei ha il diritto di revocare il Suo consenso in qualsiasi momento.

---

9. Modalità di presentazione delle istanze

Lei può presentare le Sue richieste ai sensi dell'art. 11 KVKK attraverso i seguenti canali, in conformità al "Comunicato sulle procedure e sui principi di presentazione delle istanze al titolare del trattamento":

• Via e-mail: inviando un'istanza scritta all'indirizzo privacy@torun.ai, corredata delle informazioni comprovanti la Sua identità,
• Per iscritto: consegnandola a mano presso la sede legale della Società indicata nella Sezione 1, oppure inviandola a tale indirizzo tramite notaio,
• Funzioni interne all'applicazione: tramite la funzione "Elimina account" nelle impostazioni dell'account e i relativi strumenti di richiesta dati (/api/gdpr/requests).

L'istanza deve indicare chiaramente il Suo nome e cognome, la firma qualora l'istanza sia presentata in forma scritta, i Suoi recapiti e l'oggetto della richiesta. Le Sue istanze sono evase gratuitamente nel più breve tempo possibile e al più tardi entro trenta (30) giorni, a seconda della natura della richiesta; tuttavia, qualora l'operazione comporti un costo aggiuntivo, potrà essere addebitata la tariffa stabilita dall'Autorità per la Protezione dei Dati Personali (Kişisel Verileri Koruma Kurulu).

Nota VERBİS (a titolo informativo): La posizione della Società rispetto al VERBİS è descritta nella Sezione 1. Qualora sorgesse l'obbligo di iscrizione, o la Società si iscrivesse volontariamente, l'iscrizione al registro sarà effettuata e la presente Informativa aggiornata.

---

10. Modifiche ed entrata in vigore

• La presente Informativa può essere aggiornata in funzione delle modifiche normative e degli aggiornamenti dei nostri servizi.
• Il testo aggiornato entra in vigore alla data della sua pubblicazione sulla Piattaforma. In caso di modifiche rilevanti, potrà essere fornita comunicazione con mezzi appropriati.
• Lei può consultare in qualsiasi momento la versione più aggiornata del presente testo sulla Piattaforma.

---

Nota sul documento complementare: La presente Informativa KVKK sulla protezione dei dati è redatta per gli interessati residenti in Türkiye; per gli utenti al di fuori della Türkiye e per i principi generali di protezione dei dati (incluso il GDPR), essa integra la Privacy Policy in vigore. In caso di discordanza tra i due documenti, per gli interessati residenti in Türkiye prevalgono le disposizioni della KVKK e la presente Informativa.