Aviso de Proteção de Dados GDPR
Índice · 10 secções
- 1. Identidade do Responsável pelo Tratamento
- 2. Dados Pessoais Tratados (Categorias de Dados)
- 3. Finalidades do Tratamento dos Dados Pessoais
- 4. Fundamentos Jurídicos do Tratamento (Art. 5.º / Art. 6.º da KVKK)
- 5. Transferência de Dados Pessoais e Transferência para o Estrangeiro (Art. 8.º / Art. 9.º da KVKK)
- 6. Método de Recolha dos Dados Pessoais
- 7. Prazo de Conservação
- 8. Direitos do Titular dos Dados (Art. 11.º da KVKK)
- 9. Forma de Apresentação de Requerimentos
- 10. Alterações e Entrada em Vigor
O presente Aviso foi elaborado para o informar sobre os dados pessoais tratados pela plataforma de inteligência artificial ToRun ("ToRun", a "Plataforma"), nos termos do artigo 10.º da Lei turca n.º 6698 relativa à Proteção de Dados Pessoais — 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" ou a "Lei") — e do "Comunicado sobre os Princípios e Procedimentos a Observar no Cumprimento do Dever de Informação".
A ToRun é uma plataforma que presta serviços de inteligência artificial, tais como conversação (chat), geração de imagem/vídeo/música/áudio, fluxos de trabalho (workflows) e um assistente integrado na aplicação. A Plataforma é explorada pela TORUN TEKNOLOJİ ANONİM ŞİRKETİ (a "Sociedade"), uma sociedade anónima constituída na Turquia.
Nota: O presente documento foi elaborado para dar cumprimento ao dever de informação previsto na KVKK relativamente aos titulares de dados residentes na Türkiye. Para os utilizadores fora da Türkiye e para os princípios gerais de tratamento de dados, aplica-se a Política de Privacidade (GDPR / Privacy Policy) separadamente em vigor, sendo o presente Aviso complementar dessa política.
1. Identidade do Responsável pelo Tratamento
Na qualidade de "responsável pelo tratamento", tal como definido no artigo 3.º da KVKK, os seus dados pessoais são tratados pela TORUN TEKNOLOJİ ANONİM ŞİRKETİ, que explora a plataforma ToRun.
| Informação | Detalhe |
|---|---|
| Responsável pelo tratamento | TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) |
| Sede social | Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye |
| Registo comercial | İstanbul Ticaret Sicili Müdürlüğü, No. 1165311 |
| Número MERSİS | 0857078305100001 |
| Serviço de finanças / número de identificação fiscal | Silivri Vergi Dairesi, 8570783051 |
| Plataforma / sítio Web | torun.ai — api.torun.ai |
| Endereço de correio eletrónico para requerimentos | privacy@torun.ai |
| Natureza da atividade | Prestação de serviços em linha baseados em inteligência artificial |
A Sociedade foi registada no İstanbul Ticaret Sicili Müdürlüğü (Registo Comercial de Istambul) em 19 de outubro de 2026. A sua obrigação de inscrição no Registo de Responsáveis pelo Tratamento (VERBİS) é avaliada segundo os critérios de isenção fixados pelo Conselho de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurulu): número anual de trabalhadores, total anual do balanço e se o tratamento de categorias especiais de dados pessoais constitui a sua atividade principal. À data do presente Aviso, não foi efetuada qualquer inscrição no VERBİS em nome da Sociedade; caso surja a obrigação de inscrição, esta será efetuada no prazo previsto na legislação (ver Secção 9).
2. Dados Pessoais Tratados (Categorias de Dados)
No âmbito da sua utilização da ToRun, podem ser tratadas as seguintes categorias de dados pessoais:
2.1. Dados de Identidade e de Conta
- Nome de utilizador
- Endereço de correio eletrónico
- Palavra-passe — não é conservada em texto simples; é guardada apenas sob forma irreversivelmente cifrada por função de hash
2.2. Dados de Autenticação Externa (Início de Sessão Social)
Caso opte por criar a sua conta / iniciar sessão através de um fornecedor externo:
- Informações de autenticação partilhadas pelo fornecedor em causa relativamente à sua conta Google, Microsoft e/ou Apple (por exemplo, identificador único de utilizador, endereço de correio eletrónico, nome, informações de perfil — na medida em que o fornecedor o permita)
2.3. Dados de Perfil
- Definições de perfil, preferências e quaisquer informações de perfil que forneça facultativamente
2.4. Registos de Segurança das Operações e de Utilização (Logs)
- Registos de início/fim de sessão, registos (logs) de utilização do serviço e de operações
- Registos técnicos conservados para fins de segurança e de segurança da conta
2.5. Dados de Dispositivo e Analíticos
- Informações sobre o dispositivo/navegador e dados técnicos analíticos
- Os dados analíticos são tratados na nossa própria infraestrutura (self-hosted); não são transferidos para redes de publicidade/analítica de terceiros e não são utilizados para definição de perfis diretamente associada à sua identidade. A verificação do dispositivo na experiência sem conta da aplicação móvel é efetuada através de serviços da Apple e da Google (ver 2.8)
- Relatórios de falhas da aplicação móvel (mensagem de erro, rasto técnico do erro, nome do ecrã, versões da aplicação e do sistema operativo), enviados quando a aplicação falha enquanto tem sessão iniciada e guardados com o seu ID de utilizador nos registos do servidor durante 30 dias no máximo
2.6. Conteúdos Gerados pelo Utilizador
- As instruções (prompts) e comandos que introduz na Plataforma
- Os conteúdos de imagem, vídeo, áudio e texto produzidos através da Plataforma
- Os conteúdos no âmbito dos seus fluxos de trabalho (workflows) e das suas interações com o assistente integrado na aplicação
2.7. Dados de Pagamento e de Subscrição
- Plano de subscrição, informações de transação/fatura e estado do pagamento
- Saldo de Runs - o seu saldo de créditos de utilização pré-pagos (Runs) e o respetivo histórico de transações (carregamentos, consumo, reversões por reembolso).
- Importante: Os pagamentos no sítio web são cobrados através da Dodo Payments, que atua na qualidade de "Merchant of Record" (Vendedor Registado); as compras na aplicação móvel são cobradas pela Apple (App Store) ou pela Google (Google Play). Os números de cartão de crédito/débito, o CVV e informações sensíveis semelhantes relativas a instrumentos de pagamento não são detidos, conservados nem visualizáveis pela ToRun. Estes dados são tratados diretamente pelo prestador de serviços de pagamento em causa.
2.8. Experiência sem Conta (Aplicação Móvel)
Pode experimentar a aplicação móvel da ToRun durante um tempo limitado sem criar uma conta (a "experiência sem conta"). Durante a experiência não lhe pedimos o nome, o endereço de e-mail nem o número de telefone. Para disponibilizar a experiência, impedir que seja iniciada vezes sem conta no mesmo dispositivo e prevenir abusos, tratamos o seguinte:
- Verificação do dispositivo - a aplicação pede à Apple (App Attest, DeviceCheck) ou à Google (Play Integrity) que confirmem que o dispositivo e a aplicação são genuínos, e o nosso servidor verifica o resultado junto deles. Não armazenamos os tokens de verificação. A Apple guarda para nós, nos seus próprios servidores, dois valores por dispositivo ("foi concedida uma experiência", "foi criada uma conta neste dispositivo").
- Identificador do dispositivo - no iOS, um identificador aleatório que a aplicação cria e guarda no dispositivo; no Android, o identificador do dispositivo específico da aplicação (ANDROID_ID). Do dispositivo sai apenas um hash unidirecional dele, e só o armazenamos depois de lhe aplicar novamente um hash com uma chave secreta (hash com chave). No iOS armazenamos também um hash com chave do identificador da chave App Attest.
- Rede - um hash com chave do prefixo de rede do seu endereço IP, nunca o endereço completo, para os limites diários da experiência.
- Registo da experiência - quanto resta da experiência, o seu estado e, se uma experiência foi recusada, o motivo.
- O que experimenta - a mensagem que escreve, a sua conversa de voz, a fotografia que escolhe e o nome que indica para uma canção são enviados ao fornecedor de IA que produz o resultado e ao nosso fornecedor de moderação de conteúdos (Secção 5.1). A sua fotografia é usada apenas para criar a imagem e não é armazenada. Uma conversa de voz não é gravada e a sua transcrição não é armazenada. As suas últimas mensagens são guardadas até 24 horas após a sua última mensagem, para que a resposta seguinte tenha contexto; não são guardadas como conversa. O que a experiência produz (uma canção, uma imagem) é guardado durante 24 horas e depois eliminado.
Conservação. Os registos da experiência são eliminados automaticamente 90 dias após a experiência ter sido concedida, e os registos do dispositivo 90 dias após a última utilização do dispositivo na experiência. Se criar uma conta a partir da experiência, a ligação entre a conta e o dispositivo é guardada durante 365 dias, para que uma segunda conta criada no mesmo dispositivo não volte a receber o presente de boas-vindas. O registo de faturação do que a experiência consumiu é guardado durante 5 anos, como exige a legislação contabilística; identifica a experiência, e não a si, e contém o hash com chave do prefixo de rede, que é removido se apagar os seus dados de teste.
Se criar uma conta. O que criou durante a experiência passa para a Biblioteca da sua conta e, a partir daí, é guardado como parte da sua conta; o registo do dispositivo fica associado à sua conta.
Fundamento jurídico. O interesse legítimo do responsável pelo tratamento em manter o serviço seguro e prevenir o abuso de uma experiência gratuita (Art. 5/2-f da KVKK), e a celebração e execução de um contrato relativo à experiência que pediu (Art. 5/2-c). O envio de dados para os serviços de verificação da Apple e da Google e para fornecedores de IA é uma transferência para o estrangeiro, sujeita à Secção 5.
Eliminação dos seus dados de teste. Pode eliminar os seus dados de teste a qualquer momento na aplicação, sem conta: no ecrã de boas-vindas, abra "Os seus dados de teste" e escolha "Apagar os meus dados de teste". O dispositivo é verificado da mesma forma que na própria experiência, pelo que mais ninguém pode eliminar os seus dados de teste nem saber nada sobre eles. Depois disso, guardamos apenas uma nota de que este dispositivo já usou a sua experiência (nada mais, durante 90 dias no máximo) e, durante um dia, de que foi usada uma experiência na sua rede, para que a experiência não possa simplesmente ser reiniciada. Se criou uma conta, eliminar a conta elimina também os registos da experiência associados a ela. Os dois valores que a Apple guarda para um dispositivo não estão associados a si; não os repomos, porque repô-los permitiria uma nova experiência nesse dispositivo.
A ToRun não solicita nem trata categorias especiais de dados pessoais (art. 6.º da KVKK — saúde, religião, dados biométricos, etc.) no âmbito do seu funcionamento corrente. Recomenda-se que não partilhe esse tipo de dados através de instruções (prompts)/conteúdos.
3. Finalidades do Tratamento dos Dados Pessoais
Os seus dados pessoais são tratados para as seguintes finalidades:
- Criação e gestão da conta — concretização do registo, autenticação e gestão da sua conta
- Prestação do serviço — disponibilização dos serviços de inteligência artificial, incluindo conversação (chat), geração de imagem/vídeo/música/áudio, fluxos de trabalho e o assistente integrado na aplicação
- Faturação e gestão de subscrições — condução dos processos de pagamento, subscrição, renovação e reembolso
- Segurança e prevenção de fraude — garantia da segurança da conta e deteção/prevenção de abuso, utilização indevida e fraude
- Cumprimento de obrigações legais — satisfação das obrigações de conservação, de notificação e de resposta às autoridades decorrentes da legislação
- Apoio e comunicação — tratamento de pedidos, reclamações e solicitações de apoio, e comunicação consigo sobre o serviço
- Melhoria do serviço — melhoria da qualidade, da estabilidade e da experiência de utilização do serviço (através de medições técnicas não associadas à identidade)
- Atividades facultativas / de marketing — envio de mensagens informativas e promocionais apenas quando tenha prestado o seu consentimento explícito
4. Fundamentos Jurídicos do Tratamento (Art. 5.º / Art. 6.º da KVKK)
Os seus dados pessoais são tratados com base nos seguintes fundamentos jurídicos previstos no artigo 5.º da KVKK:
| Fundamento jurídico (art. 5.º) | Exemplo de tratamento a que se aplica |
|---|---|
| Necessidade para a celebração ou execução de um contrato (art. 5.º/2-c) | Criação da conta, prestação do serviço, subscrição e faturação |
| Cumprimento de uma obrigação legal (art. 5.º/2-ç) | Conservação legal, legislação fiscal/financeira e respostas a pedidos das autoridades |
| Interesse legítimo do responsável pelo tratamento, desde que não prejudique os direitos e liberdades fundamentais do titular dos dados (art. 5.º/2-f) | Segurança, prevenção de fraude, melhoria do serviço, analítica não associada à identidade |
| Dados tornados públicos pelo próprio titular / constituição e proteção de um direito (art. 5.º/2-d, e) | Conservação dos registos necessários à proteção de direitos em caso de litígio |
| Consentimento explícito (art. 5.º/1) | Mensagens de marketing não obrigatórias e atividades de tratamento facultativas |
- Não é adicionalmente exigido consentimento explícito para os tratamentos obrigatórios (baseados na execução de um contrato, numa obrigação legal e no interesse legítimo).
- O marketing e os tratamentos facultativos assentam exclusivamente no seu consentimento explícito; pode retirar esse consentimento a qualquer momento.
- As categorias especiais de dados pessoais (art. 6.º) não são tratadas de forma corrente; caso tal tratamento venha a ser necessário, serão observadas as condições adicionais previstas na Lei (consentimento explícito ou exceção legal).
5. Transferência de Dados Pessoais e Transferência para o Estrangeiro (Art. 8.º / Art. 9.º da KVKK)
Para que o serviço possa ser prestado, os seus dados pessoais são transferidos para os prestadores de serviços indicados abaixo, com limitação à finalidade em causa. Uma vez que a maior parte da infraestrutura e dos prestadores de serviços da ToRun se encontra no estrangeiro, algumas destas transferências constituem transferências para o estrangeiro.
5.1. Partes a Quem os Dados São Transferidos
| Destinatário / Prestador | Finalidade da transferência | Localização |
|---|---|---|
| Bunny.net | Distribuição de conteúdos (CDN), armazenamento de ficheiros e disponibilização de recursos estáticos | Estrangeiro |
| Fornecedores de inteligência artificial (por exemplo, OpenAI, Anthropic, Google, ElevenLabs e semelhantes) | Tratamento das suas instruções (prompts) e conteúdos para geração dos resultados de IA | Estrangeiro |
| Dodo Payments (Merchant of Record) | Condução dos processos de pagamento, subscrição e faturação das compras feitas no sítio web | Estrangeiro |
| Apple (App Store), Google (Google Play) | Condução das compras feitas na aplicação móvel | Estrangeiro |
| Serviços de verificação de dispositivos da Apple e da Google (App Attest, DeviceCheck; Play Integrity) | Confirmação de que o dispositivo e a aplicação são genuínos durante a experiência sem conta da aplicação móvel | Estrangeiro |
| Google Maps Platform | Pesquisa de locais, detalhes de locais, direções e mapas quando pergunta por locais ou partilha a sua localização | Estrangeiro |
| Infraestrutura de analítica | Medição técnica não associada à identidade e melhoria do serviço (self-hosted) | A nossa própria infraestrutura |
| Instituições e organismos públicos competentes | Apenas por força de obrigação legal e na medida permitida pela legislação | Türkiye |
5.2. Transmissão dos Conteúdos do Utilizador aos Fornecedores de IA
Pela própria natureza do serviço, as instruções (prompts) que introduz e os conteúdos conexos são transmitidos para tratamento aos fornecedores de inteligência artificial que selecionar/utilizar, para que os resultados possam ser gerados. A maioria destes fornecedores está estabelecida no estrangeiro. Por conseguinte, essa transmissão enquadra-se no âmbito de uma transferência para o estrangeiro na aceção do art. 9.º da KVKK.
5.3. Base Jurídica da Transferência
As transferências para o estrangeiro são efetuadas no quadro do artigo 9.º da KVKK, com fundamento:
- no seu consentimento explícito para a prestação do serviço, e/ou
- nas condições previstas na Lei, tais como a execução de um contrato, a obrigação legal e o interesse legítimo, e
- nos princípios previstos na legislação aplicável (garantias adequadas, compromissos / cláusulas contratuais-tipo, etc., quando tais mecanismos sejam exigidos).
A transferência é, em qualquer caso, mantida limitada e proporcional à finalidade em causa.
6. Método de Recolha dos Dados Pessoais
Os seus dados pessoais são recolhidos:
- Diretamente junto de si: através de ações como a criação da conta, o início de sessão, a edição do perfil, a introdução de instruções (prompts)/conteúdos e a apresentação de pedidos de apoio,
- Por meios automatizados: através dos registos (logs), dos dados de dispositivo e dos registos analíticos gerados durante a sua utilização da Plataforma,
- Através de fornecedores de identidade terceiros: junto do fornecedor em causa, caso inicie sessão com Google/Microsoft/Apple,
- Através do prestador de serviços de pagamento: por meio de informações de estado relativas às operações de subscrição/pagamento,
por meios total ou parcialmente automatizados, ou por meios não automatizados desde que integrem um sistema de registo de dados.
7. Prazo de Conservação
- Os seus dados pessoais são conservados enquanto a sua conta estiver ativa e pelo período exigido pelas finalidades do tratamento.
- Mesmo quando a finalidade tenha cessado, podem ser conservados durante os prazos legais de conservação decorrentes da legislação aplicável (legislação fiscal, comercial, de consumo e de comércio eletrónico, etc.).
- Findo o decurso dos prazos legais de conservação ou cessadas as condições do tratamento, os seus dados são apagados, destruídos ou anonimizados nos termos do artigo 7.º da KVKK.
- Experiência sem conta (aplicação móvel): os registos da experiência são eliminados 90 dias após a experiência ter sido concedida, os registos do dispositivo 90 dias após a última utilização do dispositivo na experiência e os resultados não transferidos para uma conta após 24 horas; as últimas mensagens são guardadas até 24 horas após a última mensagem, e a ligação conta–dispositivo durante 365 dias. Pode eliminar os seus dados de teste na aplicação a qualquer momento (ver 2.8).
- Os relatórios de falhas da aplicação móvel são guardados nos registos do servidor durante 30 dias no máximo.
- Pedido de apagamento: Pode solicitar o apagamento/anonimização dos seus dados utilizando a função "Eliminar Conta" disponível na aplicação ou apresentando o seu pedido de apagamento (erasure) através de
/api/gdpr/requests. O seu pedido é satisfeito em conformidade com a legislação, sem prejuízo dos dados sujeitos a uma obrigação legal de conservação.
8. Direitos do Titular dos Dados (Art. 11.º da KVKK)
Nos termos do artigo 11.º da KVKK, mediante requerimento dirigido ao responsável pelo tratamento, tem o direito de:
- Saber se os seus dados pessoais são objeto de tratamento,
- Solicitar informações caso tenham sido tratados,
- Conhecer a finalidade do tratamento e saber se os dados são utilizados em conformidade com essa finalidade,
- Conhecer os terceiros a quem os dados são transferidos, no país ou no estrangeiro,
- Solicitar a retificação dos dados caso tenham sido tratados de forma incompleta ou incorreta,
- Solicitar o apagamento ou a destruição (anonimização) dos dados no quadro das condições previstas no art. 7.º da KVKK,
- Solicitar que as operações de retificação, apagamento e destruição sejam notificadas aos terceiros a quem os dados foram transferidos,
- Opor-se a um resultado que lhe seja desfavorável, decorrente da análise dos dados tratados exclusivamente através de sistemas automatizados,
- Exigir a reparação dos danos que sofra em razão de um tratamento ilícito.
Além disso, relativamente aos tratamentos baseados no consentimento explícito, tem o direito de retirar o seu consentimento a qualquer momento.
9. Forma de Apresentação de Requerimentos
Pode apresentar os seus pedidos ao abrigo do art. 11.º da KVKK pelos seguintes meios, nos termos do "Comunicado sobre os Procedimentos e Princípios de Requerimento ao Responsável pelo Tratamento":
- Por correio eletrónico: enviando um requerimento escrito para
privacy@torun.ai, acompanhado de informações que comprovem a sua identidade, - Por escrito: entregando-o em mão na sede social da Sociedade indicada na Secção 1, ou enviando-o para essa morada por intermédio de notário,
- Funções na aplicação: através da funcionalidade "Eliminar Conta" nas definições da conta e das ferramentas de pedidos de dados conexas (
/api/gdpr/requests).
O seu requerimento deve indicar claramente o seu nome e apelido, a sua assinatura caso o requerimento seja apresentado por escrito, os seus dados de contacto e o objeto do pedido. Os seus requerimentos são decididos gratuitamente, com a maior brevidade possível e no prazo máximo de trinta (30) dias, consoante a natureza do pedido; contudo, caso a operação implique um custo adicional, poderá ser cobrada a taxa constante da tabela fixada pelo Conselho de Proteção de Dados Pessoais.
Nota sobre o VERBİS (informativa): A situação da Sociedade relativamente ao VERBİS encontra-se descrita na Secção 1. Caso surja a obrigação de inscrição, ou caso a Sociedade se inscreva voluntariamente, será efetuado o registo e o presente Aviso será atualizado.
10. Alterações e Entrada em Vigor
- O presente Aviso pode ser atualizado em função das alterações legislativas e das atualizações dos nossos serviços.
- O texto atualizado entra em vigor na data da sua publicação na Plataforma. Em caso de alterações relevantes, poderá ser efetuada uma comunicação pelos meios adequados.
- Pode consultar a versão mais atualizada deste texto, a qualquer momento, através da Plataforma.
Nota sobre o documento complementar: O presente Aviso de Proteção de Dados KVKK foi elaborado para os titulares de dados residentes na Türkiye; relativamente aos utilizadores fora da Türkiye e aos princípios gerais de proteção de dados (incluindo o RGPD), complementa a Política de Privacidade (Privacy Policy) aplicável. Em caso de divergência entre os dois documentos, prevalecem, para os titulares de dados residentes na Türkiye, as disposições da KVKK e o presente texto.