GDPR データ保護に関する通知
目次 · 10 項
本通知は、6698 sayılı Kişisel Verilerin Korunması Kanunu（トルコ個人データ保護法、「KVKK」または「本法」）第10条および「情報提供義務の履行において遵守すべき手続きおよび原則に関する通達」に基づき、ToRun AI プラットフォーム（「ToRun」、「本プラットフォーム」）が処理するお客様の個人データについてお知らせするために作成されたものです。
ToRun は、チャット、画像・動画・音楽・音声の生成、ワークフロー、アプリ内アシスタントなどの AI サービスを提供するプラットフォームです。本プラットフォームは、トルコ（Türkiye）で設立された株式会社である TORUN TEKNOLOJİ ANONİM ŞİRKETİ（以下「当社」）が運営しています。
注： 本書は、トルコに居住するデータ主体に対する KVKK 上の情報提供義務を履行するために作成されたものです。トルコ国外のユーザーおよび一般的なデータ処理の原則については、別途適用される**プライバシーポリシー（GDPR / Privacy Policy）**が優先的に適用され、本通知は当該ポリシーを補完するものです。
1. データ管理者の身元
KVKK 第3条に定義される「データ管理者」として、お客様の個人データは、ToRun プラットフォームを運営する TORUN TEKNOLOJİ ANONİM ŞİRKETİ によって処理されます。
| 情報 | 詳細 |
|---|---|
| データ管理者 | TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) |
| 登記上の本店所在地 | Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye |
| 商業登記 | İstanbul Ticaret Sicili Müdürlüğü, No. 1165311 |
| MERSİS 番号 | 0857078305100001 |
| 税務署 / 納税者番号 | Silivri Vergi Dairesi, 8570783051 |
| プラットフォーム / ウェブサイト | torun.ai — api.torun.ai |
| 申請用メールアドレス | privacy@torun.ai |
| 事業の性質 | AI ベースのオンラインサービスの提供 |
当社は、2026年10月19日に İstanbul Ticaret Sicili Müdürlüğü（イスタンブール商業登記所）に登記されました。データ管理者登録簿（VERBİS）への当社の登録義務の有無は、個人データ保護委員会（Kişisel Verileri Koruma Kurulu）が定める免除基準（年間従業員数、年間の貸借対照表合計額、および特別な種類の個人データの処理が主たる事業であるか否か）に照らして判断されます。本通知の日付時点で、当社名義での VERBİS 登録は行われていません。登録義務が生じた場合には、法令に定める期間内に登録を行います（第9節参照）。
2. 処理される個人データ（データカテゴリー）
お客様による ToRun のご利用の範囲において、以下のカテゴリーの個人データが処理されることがあります。
2.1. 本人確認およびアカウントデータ
- ユーザー名
- メールアドレス
- パスワード — 平文では保存されず、不可逆的にハッシュ化された形でのみ保管されます
2.2. 外部認証（ソーシャルサインイン）データ
外部プロバイダーを利用してアカウントを作成・サインインすることを選択された場合：
- Google、Microsoft および/または Apple のアカウントに関して、当該プロバイダーから共有される認証情報（例：一意のユーザー識別子、メールアドレス、氏名、プロフィール情報 — プロバイダーが許可する範囲において）
2.3. プロフィールデータ
- プロフィール設定、環境設定、およびお客様が任意で提供するプロフィール情報
2.4. 取引セキュリティおよび利用記録（ログ）
- サインイン／サインアウトの記録、サービス利用・取引ログ
- セキュリティおよびアカウントの安全確保のために保持される技術的記録
2.5. デバイスおよび分析データ
- デバイス／ブラウザ情報および技術的な分析データ
- 分析データは**当社自身のインフラ（セルフホスト）**上で処理され、第三者の広告・分析ネットワークに転送されることはなく、お客様の身元と直接結び付けられるプロファイリングの目的で使用されることもありません。モバイルアプリのアカウントなしのお試しにおけるデバイス確認は、Apple および Google のサービスを通じて行われます（2.8 参照）
- モバイルアプリのクラッシュレポート（エラーメッセージ、エラーの技術的なトレース、画面名、アプリおよびオペレーティングシステムのバージョン）。お客様のサインイン中にアプリがクラッシュした場合に送信され、お客様のユーザーIDとともにサーバーログに最長30日間保持されます
2.6. ユーザー生成コンテンツ
- お客様が本プラットフォームに入力するプロンプトおよびコマンド
- 本プラットフォームを通じて生成される画像、動画、音声およびテキストのコンテンツ
- お客様のワークフローおよびアプリ内アシスタントとのやり取りに含まれるコンテンツ
2.7. 支払いおよびサブスクリプションデータ
- サブスクリプションプラン、取引・請求情報および支払い状況
- Runs 残高 - 前払い利用クレジット（Runs）の残高およびその取引履歴（チャージ、消費、返金による取消）。
- 重要： ウェブサイトでの支払いは、「Merchant of Record」（記録上の販売者）として行為する Dodo Payments を通じて受領され、モバイルアプリでの購入は Apple（App Store） または Google（Google Play） が受領します。クレジットカード／デビットカード番号、CVV およびこれに類する機微な決済手段の情報は、ToRun が保有、保存または閲覧することはありません。 これらのデータは、該当する決済サービス提供者によって直接処理されます。
2.8. アカウントなしのお試し（モバイルアプリ）
お客様は、アカウントを作成せずに、ToRun モバイルアプリを期間限定でお試しいただけます（「アカウントなしのお試し」）。お試しの間、当社はお客様の氏名、メールアドレスまたは電話番号をお尋ねしません。お試しを提供し、同じデバイスで何度も繰り返し開始されることを防ぎ、不正利用を防止するために、当社は以下を処理します：
- デバイス確認 - アプリは Apple（App Attest、DeviceCheck）または Google（Play Integrity）に、デバイスとアプリが本物であることの確認を求め、当社のサーバーはこれらのサービスで結果を検証します。確認用トークンは保存しません。Apple は、当社のために自社のサーバー上にデバイスごとに2つの値（「お試しを付与済み」「このデバイスでアカウントが作成された」）を保持します。
- デバイス識別子 - iOS では、アプリが作成してデバイス上に保持するランダムな識別子、Android では、アプリ固有のデバイス識別子（ANDROID_ID）。デバイスから送信されるのはその一方向ハッシュのみであり、当社は秘密鍵で再度ハッシュ化（鍵付きハッシュ）した後にのみ保存します。iOS では、App Attest の鍵識別子の鍵付きハッシュも保存します。
- ネットワーク - お試しの1日あたりの上限のための、お客様の IP アドレスのネットワークプレフィックスの鍵付きハッシュ（完全なアドレスは決して保存しません）。
- お試しの記録 - お試しの残量、その状態、およびお試しが拒否された場合はその理由。
- お試しになる内容 - お客様が入力したメッセージ、音声での会話、選択した写真、および歌のために指定した名前は、結果を生成する AI プロバイダーと当社のコンテンツモデレーションプロバイダーに送信されます（第5.1条）。写真は画像の作成にのみ使用され、保存されません。音声での会話は録音されず、その文字起こしも保存されません。直近のメッセージは、次の回答が文脈を踏まえられるよう、最後のメッセージから最長24時間保持されます。会話として保存されることはありません。お試しで生成されたもの（歌、画像）は24時間保持された後、削除されます。
保存期間。 お試しの記録はお試しの付与から90日後に、デバイスの記録はそのデバイスが最後にお試しに使用されてから90日後に、自動的に削除されます。お試しからアカウントを作成した場合、同じデバイスで作成された2つ目のアカウントがウェルカムギフトを再び受け取らないよう、アカウントとデバイスの関連付けが365日間保持されます。お試しで消費した分の請求記録は、会計法令が求めるとおり5年間保持されます。この記録はお客様ではなくお試しを識別するものであり、ネットワークプレフィックスの鍵付きハッシュを含みますが、このハッシュはお客様がお試しデータを削除すると除去されます。
アカウントを作成した場合。 お試し中に作成したものはお客様のアカウントのライブラリに移され、以後お客様のアカウントの一部として保持されます。デバイスの記録はお客様のアカウントに関連付けられます。
法的根拠。 サービスの安全を保ち、無料のお試しの不正利用を防止するというデータ管理者の正当な利益（KVKK 第5/2-f条）、およびお客様が求めたお試しに関する契約の締結および履行（第5/2-c条）。Apple および Google の確認サービスならびに AI プロバイダーへのデータ送信は国外への移転に該当し、第5条に従います。
お試しデータの削除。 お客様は、アカウントなしで、アプリ内でいつでもお試しデータを削除できます。ウェルカム画面で「お試しデータ」を開き、「お試しデータを削除」を選択してください。デバイスはお試しそのものと同じ方法で確認されるため、他の誰もお客様のお試しデータを削除したり、その内容を知ったりすることはできません。削除後、当社が保持するのは、このデバイスがお試しを使用済みであるという記録のみ（それ以外の情報は含まず、最長90日間）と、1日間だけ、お客様のネットワークでお試しが使用されたという情報のみであり、お試しを単純にやり直すことはできません。アカウントを作成していた場合、アカウントを削除すると、それに関連付けられたお試しの記録も削除されます。Apple がデバイスについて保持する2つの値はお客様に関連付けられていません。リセットするとそのデバイスで新たなお試しが可能になるため、当社はこれらをリセットしません。
ToRun は、通常の運営の範囲において、特別な種類の個人データ（KVKK 第6条 — 健康、宗教、生体認証データ等）を要求または処理しません。プロンプトやコンテンツを通じてこの種のデータを共有しないことをお勧めします。
3. 個人データの処理目的
お客様の個人データは、以下の目的のために処理されます。
- アカウントの作成および管理 — 登録手続きの実施、本人認証およびアカウントの管理
- サービスの提供 — チャット、画像・動画・音楽・音声の生成、ワークフローおよびアプリ内アシスタントを含む AI サービスの提供
- 請求およびサブスクリプション管理 — 支払い、サブスクリプション、更新および返金プロセスの遂行
- セキュリティおよび不正行為の防止 — アカウントの安全確保、ならびに濫用、悪用および不正行為の検知・防止
- 法的義務の履行 — 法令に基づく保存、通知および所管当局への回答義務の履行
- サポートおよび連絡 — 要望、苦情およびサポート申請への対応、ならびにサービスに関するお客様との連絡
- サービスの改善 — サービスの品質、安定性およびユーザー体験の向上（身元に紐付かない技術的測定を通じて）
- 任意の活動／マーケティング活動 — お客様の明示的な同意がある場合に限り、情報提供および宣伝メッセージの送信
4. 処理の法的根拠（KVKK 第5条／第6条）
お客様の個人データは、KVKK 第5条に定められた以下の法的根拠に基づいて処理されます。
| 法的根拠（第5条） | 適用される処理の例 |
|---|---|
| 契約の締結または履行のために必要であること（第5条2項c号） | アカウントの作成、サービスの提供、サブスクリプションおよび請求 |
| 法的義務の履行（第5条2項ç号） | 法定の保存、税務・財務法令および所管当局の要請への対応 |
| データ主体の基本的な権利および自由を害しないことを条件とする、データ管理者の正当な利益（第5条2項f号） | セキュリティ、不正行為の防止、サービスの改善、身元に紐付かない分析 |
| データ主体自身による公開／権利の確立および保護（第5条2項d号、e号） | 紛争が生じた場合における権利保護のために必要な記録の保持 |
| 明示的な同意（第5条1項） | 必須ではないマーケティングメッセージおよび任意の処理活動 |
- 必須の処理（契約の履行、法的義務および正当な利益に基づくもの）については、別途明示的な同意は求められません。
- マーケティングおよび任意の処理は、専らお客様の明示的な同意にのみ基づきます。この同意は、いつでも撤回することができます。
- 特別な種類の個人データ（第6条）が日常的に処理されることはありません。かかる処理が必要となる場合には、本法が定める追加要件（明示的な同意または法定の例外）が遵守されます。
5. 個人データの移転および国外移転（KVKK 第8条／第9条）
サービスを提供するために、お客様の個人データは、当該目的に限定して、以下に記載するサービスプロバイダーに移転されます。ToRun のインフラおよびサービスプロバイダーの大部分は国外に所在するため、これらの移転の一部は国外移転に該当します。
5.1. データ移転先の当事者
| 受領者／プロバイダー | 移転の目的 | 所在地 |
|---|---|---|
| Bunny.net | コンテンツ配信（CDN）、ファイルストレージおよび静的アセットの配信 | 国外 |
| AI プロバイダー（例：OpenAI、Anthropic、Google、ElevenLabs など） | お客様のプロンプトおよびコンテンツを処理して AI 出力を生成すること | 国外 |
| Dodo Payments（Merchant of Record） | ウェブサイトでの購入に関する支払い、サブスクリプションおよび請求プロセスの実施 | 国外 |
| Apple（App Store）、Google（Google Play） | モバイルアプリでの購入の実施 | 国外 |
| Apple および Google のデバイス確認サービス（App Attest、DeviceCheck、Play Integrity） | モバイルアプリのアカウントなしのお試し中に、デバイスとアプリが本物であることを確認すること | 国外 |
| Google Maps Platform | 場所について尋ねたり位置情報を共有したりした際の、場所の検索、場所の詳細、経路案内および地図 | 国外 |
| 分析インフラ | 身元に紐付かない技術的測定およびサービスの改善（セルフホスト） | 当社自身のインフラ |
| 権限を有する公的機関および組織 | 法的義務により要求される場合に限り、かつ法令が許容する範囲において | トルコ |
5.2. ユーザーコンテンツの AI プロバイダーへの送信
サービスの性質上、お客様が入力するプロンプトおよび関連コンテンツは、出力を生成するために、お客様が選択・使用する AI プロバイダーに処理を目的として送信されます。これらのプロバイダーの多くは国外に所在しています。したがって、当該送信は KVKK 第9条にいう国外移転の範囲に該当します。
5.3. 移転の法的根拠
国外移転は、KVKK 第9条の枠組みの中で、以下に基づいて行われます。
- サービスの提供のためのお客様の明示的な同意、および／または
- 契約の履行、法的義務および正当な利益など、本法が定める要件、ならびに
- 関連法令が定める原則（適切な保護措置、誓約書／標準契約条項等の仕組みが必要とされる場合）
いかなる場合においても、移転は当該目的に限定され、かつ比例的な範囲に留められます。
6. 個人データの収集方法
お客様の個人データは、
- お客様から直接：アカウントの作成、サインイン、プロフィールの編集、プロンプト・コンテンツの入力、サポート申請の提出などの操作を通じて、
- 自動的な手段により：本プラットフォームのご利用中に生成されるログ、デバイスおよび分析記録を通じて、
- 第三者のアイデンティティプロバイダーを通じて：Google／Microsoft／Apple でサインインされる場合に、当該プロバイダーから、
- 決済サービスプロバイダーを通じて：サブスクリプション・支払い取引に関するステータス情報を通じて、
全部または一部が自動化された手段により、あるいはデータ記録システムの一部を構成することを条件として非自動的な手段により、収集されます。
7. 保存期間
- お客様の個人データは、アカウントが有効である限り、かつ処理目的が必要とする期間、保存されます。
- 目的が消滅した後であっても、関連法令（税務、商事、消費者および電子商取引に関する法令等）に基づく法定の保存期間の間、保管されることがあります。
- 法定の保存期間が満了した場合、または処理の要件が消滅した場合には、お客様のデータは KVKK 第7条に基づき削除、破棄または匿名化されます。
- アカウントなしのお試し（モバイルアプリ）： お試しの記録はお試しの付与から90日後に、デバイスの記録はデバイスが最後にお試しに使用されてから90日後に、アカウントに移されなかった結果は24時間後に削除されます。直近のメッセージは最後のメッセージから最長24時間、アカウント–デバイスの関連付けは365日間保持されます。お試しデータはアプリ内でいつでも削除できます（2.8 参照）。
- モバイルアプリのクラッシュレポートは、サーバーログに最長30日間保持されます。
- 削除の請求： アプリ内の**「アカウントを削除」**機能を利用するか、または
/api/gdpr/requestsを通じて消去（erasure）請求を提出することにより、お客様のデータの削除・匿名化を請求することができます。ご請求は、法定の保存義務が課されるデータを除き、法令に従って対応されます。
8. データ主体の権利（KVKK 第11条）
KVKK 第11条に基づき、データ管理者に申請することにより、お客様は以下の権利を有します。
- お客様の個人データが処理されているか否かを知ること、
- 処理されている場合には、それに関する情報を請求すること、
- 処理の目的、およびその目的に沿って使用されているか否かを知ること、
- 国内または国外を問わず、データの移転先である第三者を知ること、
- 不完全または不正確に処理されている場合に、その訂正を請求すること、
- KVKK 第7条に定められた要件の枠内で、データの**削除または破棄（匿名化）**を請求すること、
- 行われた訂正、削除および破棄の処理が、データの移転先である第三者に通知されるよう請求すること、
- 処理されたデータが専ら自動化されたシステムによって分析されることにより、お客様に不利益な結果が生じることに対して異議を申し立てること、
- 違法な処理により損害を被った場合に、その損害の賠償を請求すること。
さらに、明示的な同意に基づく処理に関しては、いつでも同意を撤回する権利を有します。
9. 申請方法
KVKK 第11条に基づくご請求は、「データ管理者への申請の手続きおよび原則に関する通達」に従い、以下の方法で提出することができます。
- メールによる方法： 本人確認を可能にする情報を添えて、書面による申請を
privacy@torun.ai宛に送信すること、 - 書面による方法： 第1節に記載の当社本店所在地に直接持参するか、公証人を通じて同所へ送付する方法、
- アプリ内機能： アカウント設定内の**「アカウントを削除」**機能および関連するデータ請求ツール（
/api/gdpr/requests）を通じて。
ご申請には、氏名、書面による申請の場合は署名、連絡先情報、およびご請求の内容を明確に記載する必要があります。ご申請は、請求の性質に応じて、可能な限り速やかに、かつ遅くとも三十（30）日以内に無償で処理されます。ただし、当該処理に別途費用を要する場合には、個人データ保護委員会（Kişisel Verileri Koruma Kurulu）が定める料金表に基づく手数料を申し受けることがあります。
VERBİS に関する注記（情報提供）： VERBİS に関する当社の状況は第1節に記載しています。登録義務が生じた場合、または当社が任意に登録した場合には、登録簿への記載を行い、本通知を更新します。
10. 変更および発効
- 本通知は、法令の改正および当社サービスの更新に応じて改定されることがあります。
- 最新の文書は、本プラットフォーム上で公表された日に効力を生じます。重要な変更については、適切な方法により通知が行われることがあります。
- 本文書の最新版は、いつでも本プラットフォーム上でご確認いただけます。
補完文書に関する注記： 本 KVKK データ保護に関する通知は、トルコに居住するデータ主体のために作成されたものであり、トルコ国外のユーザーおよび一般的なデータ保護の原則（GDPR を含む）に関しては、適用される**プライバシーポリシー（Privacy Policy）**を補完するものです。両文書の間に相違がある場合、トルコに居住するデータ主体については、KVKK の規定および本通知が優先します。