GDPR-privacyverklaring

Deze verklaring is opgesteld om u te informeren over de persoonsgegevens die worden verwerkt door het ToRun AI-platform ("ToRun", het "Platform"), overeenkomstig artikel 10 van de 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" of de "Wet" — de Turkse wet nr. 6698 inzake de bescherming van persoonsgegevens) en de "Communiqué inzake de beginselen en procedures voor de nakoming van de informatieplicht".

ToRun is een platform dat AI-diensten aanbiedt, zoals chat, beeld-/video-/muziek-/audiogeneratie, workflows en een in-app-assistent. Het Platform wordt geëxploiteerd door TORUN TEKNOLOJİ ANONİM ŞİRKETİ (de "Vennootschap"), een in Turkije opgerichte naamloze vennootschap.

Let op: Dit document is opgesteld om te voldoen aan de informatieplicht uit de KVKK jegens betrokkenen die in Turkije woonachtig zijn. Voor gebruikers buiten Turkije en voor de algemene beginselen van gegevensverwerking geldt het afzonderlijk van kracht zijnde Privacybeleid (GDPR / Privacy Policy); deze verklaring is complementair aan dat beleid.

---

1. Identiteit van de verwerkingsverantwoordelijke

In de hoedanigheid van "verwerkingsverantwoordelijke" zoals gedefinieerd in artikel 3 van de KVKK worden uw persoonsgegevens verwerkt door TORUN TEKNOLOJİ ANONİM ŞİRKETİ, die het ToRun-platform exploiteert.

Gegeven	Detail
Verwerkingsverantwoordelijke	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Statutaire zetel	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Handelsregister	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
MERSİS-nummer	0857078305100001
Belastingkantoor / fiscaal identificatienummer	Silivri Vergi Dairesi, 8570783051
Platform / website	torun.ai — api.torun.ai
E-mailadres voor verzoeken	privacy@torun.ai
Aard van de activiteit	Levering van AI-gebaseerde onlinediensten

De Vennootschap is op 19 oktober 2026 ingeschreven bij het İstanbul Ticaret Sicili Müdürlüğü (handelsregister van Istanbul). Haar verplichting tot inschrijving in het Register van verwerkingsverantwoordelijken (VERBİS) wordt beoordeeld aan de hand van de vrijstellingscriteria die de Raad voor de bescherming van persoonsgegevens (Kişisel Verileri Koruma Kurulu) heeft vastgesteld (jaarlijks aantal werknemers, jaarlijks balanstotaal en of de verwerking van bijzondere categorieën persoonsgegevens haar hoofdactiviteit is). Op de datum van deze Kennisgeving is er geen VERBİS-inschrijving op naam van de Vennootschap gedaan; ontstaat een inschrijvingsplicht, dan vindt de inschrijving plaats binnen de door de wetgeving voorgeschreven termijn (zie Afdeling 9).

---

2. Verwerkte persoonsgegevens (gegevenscategorieën)

In het kader van uw gebruik van ToRun kunnen de volgende categorieën persoonsgegevens worden verwerkt:

2.1. Identiteits- en accountgegevens

• Gebruikersnaam
• E-mailadres
• Wachtwoord — wordt niet in leesbare tekst bewaard; uitsluitend in onomkeerbaar gehashte (versleuteld samengevatte) vorm opgeslagen

2.2. Externe authenticatiegegevens (sociale login)

Indien u ervoor kiest uw account aan te maken of in te loggen via een externe aanbieder:

• Authenticatiegegevens met betrekking tot uw Google-, Microsoft- en/of Apple-account die door de betreffende aanbieder worden gedeeld (bijv. unieke gebruikersidentificatie, e-mailadres, naam, profielgegevens — voor zover de aanbieder dit toestaat)

2.3. Profielgegevens

• Profielinstellingen, voorkeuren en de profielinformatie die u vrijwillig verstrekt

2.4. Transactiebeveiligings- en gebruiksregistraties (logs)

• Registraties van in- en uitloggen, logbestanden van dienstgebruik/transacties
• Technische registraties die worden bijgehouden ten behoeve van de beveiliging en de accountbeveiliging

2.5. Apparaat- en analysegegevens

• Apparaat-/browsergegevens en technische analysegegevens
• Analysegegevens worden verwerkt op onze eigen infrastructuur (self-hosted); zij worden niet doorgegeven aan advertentie-/analysenetwerken van derden en worden niet gebruikt voor profilering die rechtstreeks met uw identiteit in verband wordt gebracht. De apparaatverificatie bij het proberen van de mobiele app zonder account verloopt via diensten van Apple en Google (zie 2.8)
• Crashrapporten van de mobiele app (foutmelding, technisch foutverloop, schermnaam, app- en besturingssysteemversies), verstuurd wanneer de app crasht terwijl u bent aangemeld, en met uw gebruikers-ID ten hoogste 30 dagen bewaard in serverlogs

2.6. Door de gebruiker gegenereerde inhoud

• De prompts (instructies) en opdrachten die u op het Platform invoert
• De via het Platform gegenereerde beeld-, video-, audio- en tekstinhoud
• Inhoud in het kader van uw workflows en interacties met de in-app-assistent

2.7. Betalings- en abonnementsgegevens

• Abonnementsplan, transactie-/factuurgegevens en betalingsstatus
• Runs-saldo - uw vooruitbetaalde gebruikstegoed (Runs) en de bijbehorende transactiegeschiedenis (opwaarderingen, verbruik, terugboekingen bij terugbetaling).
• Belangrijk: Betalingen op de website worden geïnd via Dodo Payments, dat optreedt in de hoedanigheid van "Merchant of Record" (geregistreerde verkoper); aankopen in de mobiele app worden geïnd door Apple (App Store) of Google (Google Play). Creditcard-/bankkaartnummers, CVV en soortgelijke gevoelige gegevens van betaalinstrumenten worden door ToRun niet bewaard, niet opgeslagen en zijn voor ToRun niet inzichtelijk. Deze gegevens worden rechtstreeks verwerkt door de betreffende betaaldienstverlener.

2.8. Proberen zonder account (mobiele app)

U kunt de mobiele app van ToRun een beperkte tijd proberen zonder een account aan te maken (de "proefperiode zonder account"). Tijdens de proefperiode vragen wij niet om uw naam, e-mailadres of telefoonnummer. Om de proefperiode te kunnen bieden, te voorkomen dat deze op hetzelfde apparaat steeds opnieuw wordt gestart, en misbruik te voorkomen, verwerken wij het volgende:

• Apparaatverificatie - de app vraagt Apple (App Attest, DeviceCheck) of Google (Play Integrity) te bevestigen dat het apparaat en de app echt zijn, en onze server controleert het resultaat bij hen. De verificatietokens slaan wij niet op. Apple bewaart voor ons op zijn eigen servers twee waarden per apparaat ("er is een proefperiode gegeven", "op dit apparaat is een account aangemaakt").
• Apparaat-ID - op iOS een willekeurige ID die de app aanmaakt en op het apparaat bewaart; op Android de app-specifieke apparaat-ID (ANDROID_ID). Alleen een eenrichtings-hash ervan verlaat het apparaat, en wij slaan die pas op nadat wij hem opnieuw met een geheime sleutel hebben gehasht (gesleutelde hash). Op iOS slaan wij ook een gesleutelde hash van de sleutel-ID van App Attest op.
• Netwerk - een gesleutelde hash van het netwerkprefix van uw IP-adres, nooit het volledige adres, voor de daglimieten van de proefperiode.
• Proefgegevens - hoeveel er nog van de proefperiode over is, de status ervan en, als een proefperiode werd geweigerd, de reden.
• Wat u probeert - het bericht dat u typt, uw spraakgesprek, de foto die u kiest en de naam die u opgeeft voor een liedje worden verzonden naar de AI-aanbieder die het resultaat maakt en naar onze aanbieder van contentmoderatie (Sectie 5.1). Uw foto wordt alleen gebruikt om de afbeelding te maken en wordt niet opgeslagen. Een spraakgesprek wordt niet opgenomen en de transcriptie ervan wordt niet opgeslagen. Uw laatste berichten worden tot 24 uur na uw laatste bericht bewaard, zodat het volgende antwoord context heeft; ze worden niet als gesprek opgeslagen. Wat de proefperiode oplevert (een liedje, een afbeelding) wordt 24 uur bewaard en daarna verwijderd.

Bewaring. Proefgegevens worden automatisch verwijderd 90 dagen nadat de proefperiode werd gegeven, en apparaatgegevens 90 dagen nadat het apparaat voor het laatst voor de proefperiode werd gebruikt. Als u vanuit de proefperiode een account aanmaakt, wordt de koppeling tussen het account en het apparaat 365 dagen bewaard, zodat een tweede account dat op hetzelfde apparaat wordt aangemaakt het welkomstcadeau niet opnieuw krijgt. Het factureringsrecord van wat de proefperiode heeft verbruikt, wordt 5 jaar bewaard, zoals de boekhoudwetgeving vereist; het identificeert de proefperiode, niet u, en bevat de gesleutelde hash van het netwerkprefix, die wordt verwijderd als u uw proefgegevens wist.

Als u een account aanmaakt. Wat u tijdens de proefperiode hebt gemaakt, gaat naar de Bibliotheek van uw account en wordt vanaf dan bewaard als onderdeel van uw account; het apparaatrecord wordt aan uw account gekoppeld.

Rechtsgrond. Het gerechtvaardigd belang van de verwerkingsverantwoordelijke om de dienst veilig te houden en misbruik van een gratis proefperiode te voorkomen (KVKK art. 5/2-f), en het sluiten en uitvoeren van een overeenkomst voor de proefperiode waarom u hebt gevraagd (art. 5/2-c). Het verzenden van gegevens naar de verificatiediensten van Apple en Google en naar AI-aanbieders is een doorgifte naar het buitenland, onderworpen aan Sectie 5.

Uw proefgegevens verwijderen. U kunt uw proefgegevens op elk moment in de app verwijderen, zonder account: open op het welkomstscherm "Je proefgegevens" en kies "Mijn proefgegevens verwijderen". Het apparaat wordt op dezelfde manier geverifieerd als bij de proefperiode zelf, zodat niemand anders uw proefgegevens kan verwijderen of er iets over te weten kan komen. Daarna bewaren wij alleen een notitie dat dit apparaat zijn proefperiode heeft gebruikt (verder niets, ten hoogste 90 dagen) en, gedurende één dag, dat er op uw netwerk een proefperiode is gebruikt, zodat de proefperiode niet zomaar opnieuw kan worden gestart. Als u een account hebt aangemaakt, worden bij het verwijderen van het account ook de daaraan gekoppelde proefgegevens verwijderd. De twee waarden die Apple voor een apparaat bewaart, zijn niet aan u gekoppeld; wij zetten ze niet terug, omdat terugzetten een nieuwe proefperiode op dat apparaat mogelijk zou maken.

ToRun vraagt en verwerkt in het kader van zijn reguliere werkzaamheden geen bijzondere categorieën van persoonsgegevens (KVKK art. 6 — gezondheid, godsdienst, biometrische gegevens e.d.). U wordt geadviseerd dergelijke gegevens niet via prompts/inhoud te delen.

---

3. Doeleinden van de verwerking van persoonsgegevens

Uw persoonsgegevens worden verwerkt voor de volgende doeleinden:

1. Aanmaken en beheren van het account — het uitvoeren van de registratie, authenticatie en het beheer van uw account
2. Levering van de dienst — het aanbieden van AI-diensten, waaronder chat, beeld-/video-/muziek-/audiogeneratie, workflows en de in-app-assistent
3. Facturering en abonnementsbeheer — het uitvoeren van betalings-, abonnements-, verlengings- en terugbetalingsprocessen
4. Beveiliging en fraudepreventie — het waarborgen van de accountbeveiliging en het opsporen en voorkomen van misbruik, oneigenlijk gebruik en fraude
5. Nakoming van wettelijke verplichtingen — het voldoen aan uit de wetgeving voortvloeiende bewaar-, informatie- en beantwoordingsverplichtingen jegens bevoegde instanties
6. Ondersteuning en communicatie — het afhandelen van verzoeken, klachten en supportaanvragen, en het met u communiceren over de dienst
7. Verbetering van de dienst — het verbeteren van de kwaliteit, stabiliteit en gebruikerservaring van de dienst (door middel van niet tot de identiteit herleidbare technische metingen)
8. Optionele / marketingactiviteiten — het verzenden van informatieve en promotionele berichten, uitsluitend indien u daarvoor uitdrukkelijke toestemming heeft gegeven

---

4. Rechtsgronden voor de verwerking (KVKK art. 5 / art. 6)

Uw persoonsgegevens worden verwerkt op basis van de volgende rechtsgronden, zoals geregeld in artikel 5 van de KVKK:

Rechtsgrond (art. 5)	Voorbeeld van verwerking waarop deze van toepassing is
Noodzakelijkheid voor het sluiten of uitvoeren van een overeenkomst (art. 5/2-c)	Aanmaken van het account, levering van de dienst, abonnement en facturering
Nakoming van een wettelijke verplichting (art. 5/2-ç)	Wettelijke bewaring, belasting-/financiële wetgeving en beantwoording van verzoeken van bevoegde instanties
Gerechtvaardigd belang van de verwerkingsverantwoordelijke, mits dit geen afbreuk doet aan de fundamentele rechten en vrijheden van de betrokkene (art. 5/2-f)	Beveiliging, fraudepreventie, verbetering van de dienst, niet tot de identiteit herleidbare analyses
Openbaarmaking door de betrokkene zelf / vestiging en bescherming van een recht (art. 5/2-d, e)	Het bijhouden van de registraties die nodig zijn ter bescherming van rechten in geval van een geschil
Uitdrukkelijke toestemming (art. 5/1)	Niet-verplichte marketingberichten en optionele verwerkingsactiviteiten

• Voor verplichte verwerkingen (gebaseerd op de uitvoering van een overeenkomst, een wettelijke verplichting en een gerechtvaardigd belang) wordt geen aanvullende uitdrukkelijke toestemming gevraagd.
• Marketing en optionele verwerkingen berusten uitsluitend op uw uitdrukkelijke toestemming; u kunt deze toestemming te allen tijde intrekken.
• Bijzondere categorieën van persoonsgegevens (art. 6) worden niet routinematig verwerkt; indien een dergelijke verwerking noodzakelijk wordt, worden de door de Wet voorgeschreven aanvullende voorwaarden (uitdrukkelijke toestemming of een wettelijke uitzondering) in acht genomen.

---

5. Doorgifte van persoonsgegevens en doorgifte naar het buitenland (KVKK art. 8 / art. 9)

Om de dienst te kunnen leveren, worden uw persoonsgegevens — beperkt tot het betreffende doeleinde — doorgegeven aan de hieronder vermelde dienstverleners. Aangezien het grootste deel van de infrastructuur en de dienstverleners van ToRun zich in het buitenland bevindt, vormt een deel van deze doorgiften een doorgifte naar het buitenland.

5.1. Partijen aan wie gegevens worden doorgegeven

Ontvanger / aanbieder	Doel van de doorgifte	Locatie
Bunny.net	Contentdistributie (CDN), bestandsopslag en het serveren van statische bestanden	Buitenland
AI-aanbieders (bijv. OpenAI, Anthropic, Google, ElevenLabs en soortgelijke)	Het verwerken van uw prompts en inhoud voor het genereren van AI-uitvoer	Buitenland
Dodo Payments (Merchant of Record)	Het uitvoeren van betalings-, abonnements- en factureringsprocessen voor aankopen op de website	Buitenland
Apple (App Store), Google (Google Play)	Het uitvoeren van aankopen in de mobiele app	Buitenland
Apparaatverificatiediensten van Apple en Google (App Attest, DeviceCheck; Play Integrity)	Het bevestigen dat het apparaat en de app echt zijn bij het proberen van de mobiele app zonder account	Buitenland
Google Maps Platform	Zoeken naar plaatsen, plaatsdetails, routebeschrijvingen en kaarten wanneer u naar plaatsen vraagt of uw locatie deelt	Buitenland
Analyse-infrastructuur	Niet tot de identiteit herleidbare technische metingen en dienstverbetering (self-hosted)	Onze eigen infrastructuur
Bevoegde overheidsinstellingen en -organisaties	Uitsluitend op grond van een wettelijke verplichting en voor zover de wetgeving dit toestaat	Turkije

5.2. Doorgifte van gebruikersinhoud aan AI-aanbieders

Uit de aard van de dienst volgt dat de door u ingevoerde prompts en de bijbehorende inhoud ter verwerking worden doorgegeven aan de AI-aanbieders die u selecteert/gebruikt, zodat uitvoer kan worden gegenereerd. De meeste van deze aanbieders zijn in het buitenland gevestigd. Deze doorgifte valt derhalve onder de doorgifte naar het buitenland in de zin van KVKK art. 9.

5.3. Rechtsgrondslag van de doorgifte

Doorgiften naar het buitenland vinden plaats binnen het kader van artikel 9 van de KVKK, op basis van:

• uw uitdrukkelijke toestemming voor de levering van de dienst, en/of
• de in de Wet voorziene voorwaarden, zoals de uitvoering van een overeenkomst, een wettelijke verplichting en een gerechtvaardigd belang, en
• de door de toepasselijke wetgeving voorgeschreven beginselen (passende waarborgen, verbintenisverklaringen / standaardcontractbepalingen e.d., waar dergelijke mechanismen vereist zijn).

De doorgifte blijft in alle gevallen beperkt tot en evenredig aan het betreffende doeleinde.

---

6. Wijze van verzameling van persoonsgegevens

Uw persoonsgegevens worden verzameld:

• Rechtstreeks van u: via handelingen zoals het aanmaken van een account, inloggen, het bewerken van uw profiel, het invoeren van prompts/inhoud en het indienen van supportverzoeken,
• Langs geautomatiseerde weg: via log-, apparaat- en analyseregistraties die ontstaan tijdens uw gebruik van het Platform,
• Via externe identiteitsaanbieders: van de betreffende aanbieder indien u inlogt met Google/Microsoft/Apple,
• Via de betalingsdienstverlener: via statusinformatie met betrekking tot abonnements-/betalingstransacties,

geheel of gedeeltelijk langs geautomatiseerde weg, dan wel langs niet-geautomatiseerde weg mits dit deel uitmaakt van een gegevensregistratiesysteem.

---

7. Bewaartermijn

• Uw persoonsgegevens worden bewaard zolang uw account actief is en gedurende de periode die de verwerkingsdoeleinden vereisen.
• Ook wanneer het doeleinde is komen te vervallen, kunnen de gegevens worden bewaard gedurende de wettelijke bewaartermijnen die voortvloeien uit de toepasselijke wetgeving (belasting-, handels-, consumenten- en e-commercewetgeving e.d.).
• Na het verstrijken van de wettelijke bewaartermijnen of het wegvallen van de verwerkingsvoorwaarden worden uw gegevens overeenkomstig artikel 7 van de KVKK gewist, vernietigd of geanonimiseerd.
• Proberen zonder account (mobiele app): proefgegevens worden 90 dagen nadat de proefperiode werd gegeven verwijderd, apparaatgegevens 90 dagen na het laatste gebruik van het apparaat voor de proefperiode en resultaten die niet naar een account zijn overgezet na 24 uur; de laatste berichten worden tot 24 uur na het laatste bericht bewaard, en de koppeling account–apparaat 365 dagen. U kunt uw proefgegevens op elk moment in de app verwijderen (zie 2.8).
• Crashrapporten van de mobiele app worden ten hoogste 30 dagen in serverlogs bewaard.
• Verwijderingsverzoek: U kunt de verwijdering/anonimisering van uw gegevens aanvragen via de in-app-functie "Account verwijderen" of door uw verwijderingsverzoek (erasure) in te dienen via /api/gdpr/requests. Uw verzoek wordt overeenkomstig de wetgeving afgehandeld, met dien verstande dat gegevens waarvoor een wettelijke bewaarplicht geldt, hiervan zijn uitgezonderd.

---

8. Rechten van de betrokkene (KVKK art. 11)

Op grond van artikel 11 van de KVKK heeft u, door u tot de verwerkingsverantwoordelijke te wenden, de volgende rechten:

1. Te vernemen of uw persoonsgegevens worden verwerkt,
2. Indien deze zijn verwerkt, daarover informatie op te vragen,
3. Het doel van de verwerking te vernemen en te vernemen of de gegevens in overeenstemming met dat doel worden gebruikt,
4. De derden te kennen aan wie de gegevens in binnen- of buitenland worden doorgegeven,
5. Bij onvolledige of onjuiste verwerking de rectificatie daarvan te verlangen,
6. Binnen het kader van de in KVKK art. 7 gestelde voorwaarden de wissing of vernietiging (anonimisering) van de gegevens te verlangen,
7. Te verlangen dat de verrichte rectificatie-, wissings- en vernietigingshandelingen worden medegedeeld aan de derden aan wie de gegevens zijn doorgegeven,
8. Bezwaar te maken tegen het ontstaan van een voor u nadelig resultaat doordat de verwerkte gegevens uitsluitend via geautomatiseerde systemen worden geanalyseerd,
9. In geval van schade als gevolg van een onrechtmatige verwerking de vergoeding van die schade te verlangen.

Daarnaast heeft u, voor verwerkingen die op uitdrukkelijke toestemming berusten, het recht om uw toestemming te allen tijde in te trekken.

---

9. Wijze van indiening van verzoeken

U kunt uw verzoeken in het kader van KVKK art. 11, overeenkomstig de "Communiqué inzake de procedures en beginselen voor verzoeken aan de verwerkingsverantwoordelijke", langs de volgende wegen indienen:

• Per e-mail: door een schriftelijk verzoek, vergezeld van gegevens waarmee uw identiteit kan worden aangetoond, te sturen naar privacy@torun.ai,
• Schriftelijk: door het verzoek persoonlijk af te geven op de in Afdeling 1 vermelde statutaire zetel van de Vennootschap, of het daarheen te zenden via een notaris,
• In-app-functies: via de functie "Account verwijderen" in de accountinstellingen en de bijbehorende gegevensverzoektools (/api/gdpr/requests).

In uw verzoek dienen uw naam en achternaam, uw handtekening indien het verzoek schriftelijk is, uw contactgegevens en het onderwerp van uw verzoek duidelijk te zijn vermeld. Uw verzoeken worden, afhankelijk van de aard van het verzoek, zo spoedig mogelijk en uiterlijk binnen dertig (30) dagen kosteloos afgehandeld; indien de behandeling evenwel extra kosten met zich meebrengt, kan de vergoeding volgens het door de Turkse Autoriteit Persoonsgegevens (Kişisel Verileri Koruma Kurulu) vastgestelde tarief in rekening worden gebracht.

VERBİS-mededeling (ter informatie): De positie van de Vennootschap ten aanzien van VERBİS is beschreven in Afdeling 1. Ontstaat een inschrijvingsplicht, of laat de Vennootschap zich vrijwillig inschrijven, dan wordt de registerinschrijving verricht en deze Kennisgeving bijgewerkt.

---

10. Wijzigingen en inwerkingtreding

• Deze verklaring kan worden bijgewerkt naar aanleiding van wijzigingen in de wetgeving en updates van onze diensten.
• De actuele tekst treedt in werking op de datum waarop deze op het Platform wordt gepubliceerd. Bij belangrijke wijzigingen kan op passende wijze een kennisgeving worden gedaan.
• U kunt de meest recente versie van deze tekst te allen tijde op het Platform raadplegen.

---

Mededeling inzake complementair document: Deze KVKK-informatieverklaring is opgesteld voor betrokkenen die in Turkije woonachtig zijn; voor gebruikers buiten Turkije en voor de algemene beginselen van gegevensbescherming (met inbegrip van de GDPR/AVG) is zij complementair aan het van kracht zijnde Privacybeleid (Privacy Policy). In geval van een discrepantie tussen beide documenten prevaleren voor betrokkenen die in Turkije woonachtig zijn de bepalingen van de KVKK en deze verklaring.