Aviso de Proteção de Dados GDPR
Sumário · 10 seções
- 1. Identidade do Controlador de Dados
- 2. Dados Pessoais Tratados (Categorias de Dados)
- 3. Finalidades do Tratamento dos Dados Pessoais
- 4. Fundamentos Jurídicos do Tratamento (Art. 5 / Art. 6 da KVKK)
- 5. Transferência de Dados Pessoais e Transferência Internacional (Art. 8 / Art. 9 da KVKK)
- 6. Método de Coleta dos Dados Pessoais
- 7. Prazo de Retenção
- 8. Direitos do Titular dos Dados (Art. 11 da KVKK)
- 9. Método de Requerimento
- 10. Alterações e Vigência
Este Aviso foi elaborado para informá-lo sobre os dados pessoais tratados pela plataforma de inteligência artificial ToRun ("ToRun", a "Plataforma"), nos termos do artigo 10 da 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK — Lei Turca de Proteção de Dados Pessoais nº 6698, a "KVKK" ou a "Lei") e do "Comunicado sobre os Princípios e Procedimentos a Serem Observados no Cumprimento do Dever de Informar".
A ToRun é uma plataforma que oferece serviços de inteligência artificial, tais como chat, geração de imagem/vídeo/música/áudio, fluxos de trabalho (workflows) e um assistente integrado ao aplicativo. A Plataforma é operada pela TORUN TEKNOLOJİ ANONİM ŞİRKETİ (a "Empresa"), uma sociedade anônima constituída na Turquia.
Nota: Este documento foi elaborado para cumprir o dever de informar previsto na KVKK em relação aos titulares de dados residentes na Türkiye. Para usuários fora da Türkiye e para os princípios gerais de tratamento de dados, aplica-se separadamente a Política de Privacidade (GDPR / Privacy Policy) em vigor, sendo este Aviso complementar à referida política.
1. Identidade do Controlador de Dados
Na qualidade de "controlador de dados", conforme definido no artigo 3 da KVKK, seus dados pessoais são tratados pela TORUN TEKNOLOJİ ANONİM ŞİRKETİ, que opera a plataforma ToRun.
| Informação | Detalhe |
|---|---|
| Controlador de dados | TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) |
| Sede social | Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye |
| Registro comercial | İstanbul Ticaret Sicili Müdürlüğü, No. 1165311 |
| Número MERSİS | 0857078305100001 |
| Repartição fiscal / número de identificação fiscal | Silivri Vergi Dairesi, 8570783051 |
| Plataforma / site | torun.ai — api.torun.ai |
| Endereço de e-mail para requerimentos | privacy@torun.ai |
| Natureza da atividade | Prestação de serviços on-line baseados em inteligência artificial |
A Empresa foi registrada no İstanbul Ticaret Sicili Müdürlüğü (Registro Comercial de Istambul) em 19 de outubro de 2026. Sua obrigação de inscrição no Registro de Controladores de Dados (VERBİS) é avaliada segundo os critérios de isenção estabelecidos pelo Conselho de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurulu): número anual de empregados, total anual do balanço patrimonial e se o tratamento de categorias especiais de dados pessoais é sua atividade principal. Na data deste Aviso, não foi feita nenhuma inscrição no VERBİS em nome da Empresa; caso surja a obrigação de inscrição, ela será feita dentro do prazo previsto na legislação (ver Seção 9).
2. Dados Pessoais Tratados (Categorias de Dados)
No âmbito do seu uso da ToRun, as seguintes categorias de dados pessoais podem ser tratadas:
2.1. Dados de Identidade e de Conta
- Nome de usuário
- Endereço de e-mail
- Senha — não é armazenada em texto simples; é mantida exclusivamente em forma irreversivelmente criptografada (hash)
2.2. Dados de Autenticação Externa (Login Social)
Caso você opte por criar sua conta / fazer login por meio de um provedor externo:
- Informações de autenticação compartilhadas pelo respectivo provedor referentes à sua conta Google, Microsoft e/ou Apple (por exemplo, identificador exclusivo de usuário, endereço de e-mail, nome completo, informações de perfil — na medida permitida pelo provedor)
2.3. Dados de Perfil
- Configurações de perfil, preferências e informações de perfil que você fornecer opcionalmente
2.4. Registros de Segurança das Operações e de Uso (Logs)
- Registros de início/encerramento de sessão, logs de uso do serviço/de operações
- Registros técnicos mantidos para fins de segurança e proteção da conta
2.5. Dados de Dispositivo e de Análise (Analytics)
- Informações de dispositivo/navegador e dados técnicos de análise
- Os dados de análise são tratados em nossa própria infraestrutura (self-hosted), não são transferidos a redes de publicidade/análise de terceiros e não são utilizados para criação de perfis diretamente associados à sua identidade. A verificação do dispositivo no teste sem conta do aplicativo móvel é feita por meio de serviços da Apple e do Google (veja 2.8)
- Relatórios de falhas do aplicativo móvel (mensagem de erro, rastreamento técnico do erro, nome da tela, versões do aplicativo e do sistema operacional), enviados quando o aplicativo falha enquanto você está conectado e mantidos com seu ID de usuário nos logs do servidor por no máximo 30 dias
2.6. Conteúdo Gerado pelo Usuário
- Os prompts (instruções) e comandos que você insere na Plataforma
- Os conteúdos de imagem, vídeo, áudio e texto produzidos por meio da Plataforma
- Conteúdos no âmbito dos seus fluxos de trabalho (workflows) e das suas interações com o assistente integrado ao aplicativo
2.7. Dados de Pagamento e Assinatura
- Plano de assinatura, informações de transação/fatura e status de pagamento
- Saldo de Runs - seu saldo de créditos de uso pré-pagos (Runs) e o histórico de transações (recargas, consumo, reversões por reembolso).
- Importante: Os pagamentos no site são recebidos por meio da Dodo Payments, que atua na qualidade de "Merchant of Record" (Vendedor Registrado); as compras no aplicativo móvel são recebidas pela Apple (App Store) ou pelo Google (Google Play). Números de cartão de crédito/débito, CVV e informações sensíveis similares relativas a instrumentos de pagamento não são mantidos, armazenados nem visualizáveis pela ToRun. Esses dados são tratados diretamente pelo respectivo prestador de serviços de pagamento.
2.8. Teste sem Conta (Aplicativo Móvel)
Você pode testar o aplicativo móvel da ToRun por tempo limitado sem criar uma conta (o "teste sem conta"). Durante o teste, não pedimos seu nome, endereço de e-mail ou número de telefone. Para oferecer o teste, impedir que ele seja iniciado repetidas vezes no mesmo dispositivo e evitar abusos, tratamos o seguinte:
- Verificação do dispositivo - o aplicativo pede à Apple (App Attest, DeviceCheck) ou ao Google (Play Integrity) que confirmem que o dispositivo e o aplicativo são genuínos, e nosso servidor verifica o resultado com eles. Não armazenamos os tokens de verificação. A Apple guarda para nós, em seus próprios servidores, dois valores por dispositivo ("um teste foi concedido", "uma conta foi criada neste dispositivo").
- Identificador do dispositivo - no iOS, um identificador aleatório que o aplicativo cria e mantém no dispositivo; no Android, o identificador de dispositivo específico do aplicativo (ANDROID_ID). Do dispositivo sai apenas um hash unidirecional dele, e só o armazenamos depois de aplicar novamente um hash com uma chave secreta (hash com chave). No iOS, também armazenamos um hash com chave do identificador da chave do App Attest.
- Rede - um hash com chave do prefixo de rede do seu endereço IP, nunca o endereço completo, para os limites diários do teste.
- Registro do teste - quanto resta do teste, seu status e, se um teste foi recusado, o motivo.
- O que você testa - a mensagem que você digita, sua conversa por voz, a foto que você escolhe e o nome que você informa para uma música são enviados ao provedor de IA que gera o resultado e ao nosso provedor de moderação de conteúdo (Seção 5.1). Sua foto é usada apenas para criar a imagem e não é armazenada. Uma conversa por voz não é gravada e sua transcrição não é armazenada. Suas últimas mensagens são mantidas por até 24 horas após sua última mensagem, para que a próxima resposta tenha contexto; elas não são salvas como conversa. O que o teste gera (uma música, uma imagem) é mantido por 24 horas e depois excluído.
Retenção. Os registros do teste são excluídos automaticamente 90 dias após a concessão do teste, e os registros do dispositivo 90 dias após o último uso do dispositivo no teste. Se você criar uma conta a partir do teste, o vínculo entre a conta e o dispositivo é mantido por 365 dias, para que uma segunda conta criada no mesmo dispositivo não receba novamente o presente de boas-vindas. O registro de cobrança do que o teste consumiu é mantido por 5 anos, como exige a legislação contábil; ele identifica o teste, e não você, e contém o hash com chave do prefixo de rede, que é removido se você apagar seus dados de teste.
Se você criar uma conta. O que você criou durante o teste passa para a Biblioteca da sua conta e, a partir daí, é mantido como parte da sua conta; o registro do dispositivo é vinculado à sua conta.
Base legal. O legítimo interesse do controlador em manter o serviço seguro e evitar o abuso de um teste gratuito (Art. 5/2-f da KVKK), e a celebração e execução de um contrato para o teste que você solicitou (Art. 5/2-c). O envio de dados aos serviços de verificação da Apple e do Google e a provedores de IA é uma transferência internacional, sujeita à Seção 5.
Exclusão dos seus dados de teste. Você pode excluir seus dados de teste a qualquer momento no aplicativo, sem conta: na tela de boas-vindas, abra "Seus dados de teste" e escolha "Apagar meus dados de teste". O dispositivo é verificado da mesma forma que no próprio teste, de modo que ninguém mais consegue excluir seus dados de teste ou saber algo sobre eles. Depois disso, mantemos apenas uma anotação de que este dispositivo já usou seu teste (nada mais, por no máximo 90 dias) e, por um dia, de que um teste foi usado na sua rede, para que o teste não possa simplesmente ser reiniciado. Se você criou uma conta, excluir a conta também exclui os registros do teste vinculados a ela. Os dois valores que a Apple guarda para um dispositivo não estão vinculados a você; não os redefinimos, porque redefini-los permitiria um novo teste naquele dispositivo.
A ToRun não solicita nem trata categorias especiais de dados pessoais (art. 6 da KVKK — saúde, religião, dados biométricos etc.) no âmbito de sua operação rotineira. Recomenda-se que você não compartilhe esse tipo de dado por meio de prompts/conteúdos.
3. Finalidades do Tratamento dos Dados Pessoais
Seus dados pessoais são tratados para as seguintes finalidades:
- Criação e gestão da conta — efetivação do cadastro, autenticação e gerenciamento da sua conta
- Prestação do serviço — fornecimento dos serviços de inteligência artificial, incluindo chat, geração de imagem/vídeo/música/áudio, fluxos de trabalho e o assistente integrado ao aplicativo
- Faturamento e gestão de assinaturas — condução dos processos de pagamento, assinatura, renovação e reembolso
- Segurança e prevenção de fraudes — garantia da segurança da conta e detecção/prevenção de abusos, usos indevidos e fraudes
- Cumprimento de obrigações legais — atendimento das obrigações de retenção, de informação e de resposta às autoridades competentes decorrentes da legislação
- Suporte e comunicação — atendimento de solicitações, reclamações e pedidos de suporte, bem como comunicação com você a respeito do serviço
- Aprimoramento do serviço — melhoria da qualidade, da estabilidade e da experiência de uso do serviço (por meio de medições técnicas não vinculadas à identidade)
- Atividades opcionais / de marketing — envio de mensagens informativas e promocionais somente mediante seu consentimento expresso
4. Fundamentos Jurídicos do Tratamento (Art. 5 / Art. 6 da KVKK)
Seus dados pessoais são tratados com base nos seguintes fundamentos jurídicos previstos no artigo 5 da KVKK:
| Fundamento jurídico (Art. 5) | Exemplo de tratamento a que se aplica |
|---|---|
| Necessidade para a celebração ou execução de um contrato (Art. 5/2-c) | Criação de conta, prestação do serviço, assinatura e faturamento |
| Cumprimento de obrigação legal (Art. 5/2-ç) | Retenção legal, legislação tributária/financeira e respostas a solicitações de autoridades |
| Interesse legítimo do controlador de dados, desde que não prejudique os direitos e liberdades fundamentais do titular (Art. 5/2-f) | Segurança, prevenção de fraudes, aprimoramento do serviço, análises não vinculadas à identidade |
| Dados tornados públicos pelo próprio titular / constituição e proteção de um direito (Art. 5/2-d, e) | Manutenção dos registros necessários à proteção de direitos em caso de litígio |
| Consentimento expresso (Art. 5/1) | Mensagens de marketing não obrigatórias e atividades de tratamento opcionais |
- Para os tratamentos obrigatórios (baseados na execução do contrato, em obrigação legal e no interesse legítimo), não se exige consentimento expresso adicional.
- O marketing e os tratamentos opcionais baseiam-se exclusivamente no seu consentimento expresso; você pode revogar esse consentimento a qualquer momento.
- Categorias especiais de dados pessoais (Art. 6) não são tratadas rotineiramente; caso tal tratamento se torne necessário, serão observadas as condições adicionais previstas na Lei (consentimento expresso ou exceção legal).
5. Transferência de Dados Pessoais e Transferência Internacional (Art. 8 / Art. 9 da KVKK)
Para a prestação do serviço, seus dados pessoais são transferidos aos prestadores de serviços indicados abaixo, limitando-se à finalidade correspondente. Como a maior parte da infraestrutura e dos prestadores de serviços da ToRun está localizada no exterior, parte dessas transferências constitui transferência internacional de dados.
5.1. Partes Destinatárias da Transferência
| Destinatário / Prestador | Finalidade da transferência | Localização |
|---|---|---|
| Bunny.net | Distribuição de conteúdo (CDN), armazenamento de arquivos e disponibilização de ativos estáticos | Exterior |
| Provedores de inteligência artificial (por exemplo, OpenAI, Anthropic, Google, ElevenLabs e similares) | Processamento dos seus prompts e conteúdos para a geração das saídas de IA | Exterior |
| Dodo Payments (Merchant of Record) | Condução dos processos de pagamento, assinatura e faturamento das compras feitas no site | Exterior |
| Apple (App Store), Google (Google Play) | Condução das compras feitas no aplicativo móvel | Exterior |
| Serviços de verificação de dispositivos da Apple e do Google (App Attest, DeviceCheck; Play Integrity) | Confirmação de que o dispositivo e o aplicativo são genuínos durante o teste sem conta do aplicativo móvel | Exterior |
| Google Maps Platform | Busca de lugares, detalhes de lugares, rotas e mapas quando você pergunta sobre lugares ou compartilha sua localização | Exterior |
| Infraestrutura de análise | Medição técnica não vinculada à identidade e aprimoramento do serviço (self-hosted) | Nossa própria infraestrutura |
| Instituições e órgãos públicos competentes | Somente em razão de obrigação legal e na medida permitida pela legislação | Türkiye |
5.2. Transmissão de Conteúdo do Usuário aos Provedores de Inteligência Artificial
Pela própria natureza do serviço, os prompts que você insere e os conteúdos relacionados são transmitidos para tratamento aos provedores de inteligência artificial que você selecionar/utilizar, a fim de que as saídas possam ser geradas. A maioria desses provedores está estabelecida no exterior. Por essa razão, tal transmissão enquadra-se como transferência internacional de dados nos termos do art. 9 da KVKK.
5.3. Base Legal da Transferência
As transferências internacionais são realizadas no âmbito do artigo 9 da KVKK, com base em:
- seu consentimento expresso para a prestação do serviço, e/ou
- nas condições previstas na Lei, tais como execução do contrato, obrigação legal e interesse legítimo, e
- nos princípios estabelecidos pela legislação aplicável (salvaguardas adequadas, compromissos / cláusulas contratuais padrão etc., nos casos em que tais mecanismos forem exigidos).
Em todos os casos, a transferência é mantida limitada e proporcional à finalidade correspondente.
6. Método de Coleta dos Dados Pessoais
Seus dados pessoais são coletados:
- Diretamente de você: por meio de ações como criação de conta, login, edição de perfil, inserção de prompts/conteúdos e envio de solicitações de suporte,
- Por meios automatizados: por meio de registros de log, de dispositivo e de análise gerados durante o seu uso da Plataforma,
- Por meio de provedores de identidade terceiros: junto ao respectivo provedor, caso você faça login com Google/Microsoft/Apple,
- Por meio do prestador de serviços de pagamento: por meio de informações de status relativas às operações de assinatura/pagamento,
de forma total ou parcialmente automatizada, ou por meios não automatizados, desde que integrem um sistema de registro de dados.
7. Prazo de Retenção
- Seus dados pessoais são conservados enquanto sua conta estiver ativa e pelo período exigido pelas finalidades do tratamento.
- Mesmo após o desaparecimento da finalidade, os dados podem ser conservados pelos prazos legais de retenção decorrentes da legislação aplicável (legislação tributária, comercial, do consumidor e de comércio eletrônico etc.).
- Ao término dos prazos legais de retenção ou com a cessação das condições de tratamento, seus dados são excluídos, destruídos ou anonimizados, nos termos do artigo 7 da KVKK.
- Teste sem conta (aplicativo móvel): os registros do teste são excluídos 90 dias após a concessão do teste, os registros do dispositivo 90 dias após o último uso do dispositivo no teste e os resultados não transferidos para uma conta após 24 horas; as últimas mensagens são mantidas por até 24 horas após a última mensagem, e o vínculo conta–dispositivo por 365 dias. Você pode excluir seus dados de teste no aplicativo a qualquer momento (veja 2.8).
- Os relatórios de falhas do aplicativo móvel são mantidos nos logs do servidor por no máximo 30 dias.
- Solicitação de exclusão: Você pode solicitar a exclusão/anonimização dos seus dados utilizando a função "Excluir Conta" no aplicativo ou enviando sua solicitação de eliminação (erasure) por meio de
/api/gdpr/requests. Sua solicitação será atendida em conformidade com a legislação, ressalvados os dados sujeitos a obrigação legal de retenção.
8. Direitos do Titular dos Dados (Art. 11 da KVKK)
Nos termos do artigo 11 da KVKK, mediante requerimento ao controlador de dados, você tem o direito de:
- Saber se seus dados pessoais são tratados,
- Solicitar informações a esse respeito, caso tenham sido tratados,
- Saber a finalidade do tratamento e se os dados são utilizados em conformidade com essa finalidade,
- Conhecer os terceiros aos quais os dados são transferidos, no país ou no exterior,
- Solicitar a retificação dos dados, caso tenham sido tratados de forma incompleta ou incorreta,
- Solicitar a exclusão ou destruição (anonimização) dos dados, no âmbito das condições previstas no art. 7 da KVKK,
- Solicitar que as operações de retificação, exclusão e destruição sejam comunicadas aos terceiros aos quais os dados foram transferidos,
- Opor-se à ocorrência de um resultado desfavorável a você decorrente da análise dos dados tratados exclusivamente por sistemas automatizados,
- Solicitar a reparação dos danos que você sofrer em razão de tratamento ilícito.
Além disso, no que se refere aos tratamentos baseados em consentimento expresso, você tem o direito de revogar seu consentimento a qualquer momento.
9. Método de Requerimento
Você pode apresentar suas solicitações previstas no art. 11 da KVKK pelos seguintes meios, nos termos do "Comunicado sobre os Procedimentos e Princípios de Requerimento ao Controlador de Dados":
- Por e-mail: enviando um requerimento escrito para
privacy@torun.ai, acompanhado de informações que comprovem sua identidade, - Por escrito: entregando-o em mãos na sede social da Empresa indicada na Seção 1, ou enviando-o para esse endereço por meio de notário,
- Funções no aplicativo: por meio da função "Excluir Conta" nas configurações da conta e das ferramentas de solicitação de dados relacionadas (
/api/gdpr/requests).
Seu requerimento deve indicar claramente seu nome completo, sua assinatura (caso o requerimento seja por escrito), seus dados de contato e o objeto da solicitação. Seus requerimentos são concluídos gratuitamente, no menor prazo possível e no máximo em trinta (30) dias, conforme a natureza da solicitação; contudo, caso a operação exija um custo adicional, poderá ser cobrada a taxa prevista na tabela estabelecida pelo Conselho de Proteção de Dados Pessoais (Kişisel Verileri Koruma Kurulu).
Nota sobre o VERBİS (informativa): A situação da Empresa em relação ao VERBİS está descrita na Seção 1. Caso surja a obrigação de inscrição, ou caso a Empresa se inscreva voluntariamente, a inscrição no registro será realizada e este Aviso será atualizado.
10. Alterações e Vigência
- Este Aviso poderá ser atualizado em decorrência de alterações na legislação e de atualizações em nossos serviços.
- O texto atualizado entra em vigor na data de sua publicação na Plataforma. Em caso de alterações relevantes, poderá ser efetuada comunicação por meios adequados.
- Você pode consultar a versão mais atualizada deste texto a qualquer momento na Plataforma.
Nota sobre documento complementar: Este Aviso de Proteção de Dados nos termos da KVKK foi elaborado para os titulares de dados residentes na Türkiye; em relação aos usuários fora da Türkiye e aos princípios gerais de proteção de dados (incluindo o GDPR), ele complementa a Política de Privacidade (Privacy Policy) em vigor. Em caso de divergência entre os dois documentos, prevalecem, para os titulares de dados residentes na Türkiye, as disposições da KVKK e este Aviso.