Notă de protecție a datelor GDPR

Prezenta Notă de informare a fost întocmită pentru a vă informa cu privire la datele cu caracter personal prelucrate de platforma de inteligență artificială ToRun („ToRun", „Platforma"), în conformitate cu articolul 10 din 6698 sayılı Kişisel Verilerin Korunması Kanunu (Legea turcă nr. 6698 privind protecția datelor cu caracter personal — „KVKK" sau „Legea") și cu „Comunicatul privind principiile și procedurile care trebuie respectate în îndeplinirea obligației de informare".

ToRun este o platformă care furnizează servicii de inteligență artificială precum chat, generare de imagini/video/muzică/audio, fluxuri de lucru (workflows) și un asistent integrat în aplicație. Platforma este operată de TORUN TEKNOLOJİ ANONİM ŞİRKETİ („Societatea"), o societate pe acțiuni înființată în Turcia.

Notă: Prezentul document este întocmit pentru a îndeplini obligația de informare prevăzută de KVKK față de persoanele vizate rezidente în Türkiye. Pentru utilizatorii din afara Türkiye și pentru principiile generale de prelucrare a datelor se aplică separat Politica de confidențialitate (GDPR / Privacy Policy) în vigoare, prezenta Notă având caracter complementar față de politica respectivă.

---

1. Identitatea operatorului de date

În calitatea sa de „operator de date", astfel cum este definit la articolul 3 din KVKK, datele dumneavoastră cu caracter personal sunt prelucrate de TORUN TEKNOLOJİ ANONİM ŞİRKETİ, care operează platforma ToRun.

Informație	Detaliu
Operatorul de date	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Sediu social	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Registrul comerțului	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
Număr MERSİS	0857078305100001
Administrația fiscală / cod de identificare fiscală	Silivri Vergi Dairesi, 8570783051
Platformă / site web	torun.ai — api.torun.ai
Adresa de e-mail pentru cereri	privacy@torun.ai
Natura activității	Furnizarea de servicii online bazate pe inteligență artificială

Societatea a fost înregistrată la İstanbul Ticaret Sicili Müdürlüğü (Registrul Comerțului din Istanbul) la 19 octombrie 2026. Obligația sa de înregistrare în Registrul operatorilor de date (VERBİS) se apreciază pe baza criteriilor de scutire stabilite de Consiliul pentru Protecția Datelor cu Caracter Personal (Kişisel Verileri Koruma Kurulu): numărul anual de angajați, totalul anual al bilanțului și dacă prelucrarea categoriilor speciale de date cu caracter personal constituie activitatea sa principală. La data prezentei Note nu a fost efectuată nicio înregistrare în VERBİS pe numele Societății; dacă va apărea obligația de înregistrare, înregistrarea va fi efectuată în termenul prevăzut de legislație (a se vedea Secțiunea 9).

---

2. Datele cu caracter personal prelucrate (categorii de date)

În cadrul utilizării de către dumneavoastră a ToRun, pot fi prelucrate următoarele categorii de date cu caracter personal:

2.1. Date de identitate și de cont

• Nume de utilizator
• Adresă de e-mail
• Parolă — nu este stocată în text clar; este păstrată exclusiv într-o formă criptată ireversibil (hash)

2.2. Date de autentificare externă (autentificare prin rețele sociale)

Dacă alegeți să vă creați contul / să vă autentificați prin intermediul unui furnizor extern:

• Informații de autentificare partajate de furnizorul respectiv cu privire la contul dumneavoastră Google, Microsoft și/sau Apple (de ex. identificator unic de utilizator, adresă de e-mail, nume, informații de profil — în măsura permisă de furnizor)

2.3. Date de profil

• Setările de profil, preferințele și orice informații de profil pe care le furnizați în mod opțional

2.4. Securitatea tranzacțiilor și evidențe de utilizare (jurnale/loguri)

• Evidențe de autentificare/deconectare, jurnale de utilizare a serviciului/de tranzacții
• Evidențe tehnice păstrate în scopuri de securitate și de securitate a contului

2.5. Date privind dispozitivul și date analitice

• Informații privind dispozitivul/browserul și date tehnice analitice
• Datele analitice sunt prelucrate pe propria noastră infrastructură (self-hosted); ele nu sunt transferate către rețele terțe de publicitate/analiză și nu sunt utilizate pentru crearea de profiluri asociate direct identității dumneavoastră. Verificarea dispozitivului la încercarea fără cont a aplicației mobile se face prin serviciile Apple și Google (a se vedea 2.8)
• Rapoartele de blocare ale aplicației mobile (mesajul de eroare, urma tehnică a erorii, numele ecranului, versiunile aplicației și ale sistemului de operare), trimise atunci când aplicația se blochează în timp ce sunteți autentificat și păstrate împreună cu ID-ul dumneavoastră de utilizator în jurnalele serverului cel mult 30 de zile

2.6. Conținut generat de utilizator

• Solicitările (prompturile) și comenzile pe care le introduceți în Platformă
• Conținutul de tip imagine, video, audio și text produs prin intermediul Platformei
• Conținutul din cadrul fluxurilor dumneavoastră de lucru (workflows) și al interacțiunilor cu asistentul integrat în aplicație

2.7. Date de plată și de abonament

• Planul de abonament, informațiile privind tranzacțiile/facturile și starea plății
• Sold Runs - soldul creditelor de utilizare preplătite (Runs) și istoricul tranzacțiilor (reîncărcări, consum, stornări la rambursare).
• Important: Plățile de pe site sunt încasate prin Dodo Payments, care acționează în calitate de „Merchant of Record" (Comerciant Înregistrat); achizițiile din aplicația mobilă sunt încasate de Apple (App Store) sau Google (Google Play). Numerele cardurilor de credit/debit, codul CVV și informațiile sensibile similare privind instrumentele de plată nu sunt deținute, stocate și nici nu pot fi vizualizate de ToRun. Aceste date sunt prelucrate direct de furnizorul de servicii de plată respectiv.

2.8. Încercare fără cont (aplicația mobilă)

Puteți încerca aplicația mobilă ToRun pentru o perioadă limitată fără a crea un cont („încercarea fără cont”). În timpul încercării nu vă cerem numele, adresa de e-mail sau numărul de telefon. Pentru a oferi încercarea, pentru a împiedica repornirea ei din nou și din nou pe același dispozitiv și pentru a preveni abuzurile, prelucrăm următoarele:

• Verificarea dispozitivului - aplicația îi cere lui Apple (App Attest, DeviceCheck) sau Google (Play Integrity) să confirme că dispozitivul și aplicația sunt autentice, iar serverul nostru verifică rezultatul la aceste servicii. Nu stocăm tokenurile de verificare. Apple păstrează pentru noi, pe propriile servere, două valori pentru fiecare dispozitiv („încercare acordată”, „pe acest dispozitiv a fost creat un cont”).
• Identificatorul dispozitivului - pe iOS, un identificator aleatoriu pe care aplicația îl creează și îl păstrează pe dispozitiv; pe Android, identificatorul de dispozitiv specific aplicației (ANDROID_ID). Doar un hash unidirecțional al acestuia părăsește dispozitivul, iar noi îl stocăm numai după ce îl trecem din nou printr-un hash cu o cheie secretă (hash cu cheie). Pe iOS stocăm și un hash cu cheie al identificatorului cheii App Attest.
• Rețea - un hash cu cheie al prefixului de rețea al adresei dumneavoastră IP, niciodată adresa completă, pentru limitele zilnice ale încercării.
• Înregistrarea încercării - cât a mai rămas din încercare, starea acesteia și, dacă o încercare a fost refuzată, motivul.
• Ce încercați - mesajul pe care îl scrieți, conversația vocală, fotografia pe care o alegeți și numele pe care îl indicați pentru un cântec sunt trimise furnizorului de IA care produce rezultatul și furnizorului nostru de moderare a conținutului (Secțiunea 5.1). Fotografia este folosită doar pentru a crea imaginea și nu este stocată. O conversație vocală nu este înregistrată, iar transcrierea ei nu este stocată. Ultimele dumneavoastră mesaje sunt păstrate cel mult 24 de ore după ultimul mesaj, pentru ca următorul răspuns să aibă context; ele nu sunt salvate ca o conversație. Ce produce încercarea (un cântec, o imagine) este păstrat 24 de ore, apoi șters.

Păstrare. Înregistrările încercării sunt șterse automat la 90 de zile după acordarea încercării, iar înregistrările dispozitivului la 90 de zile după ultima utilizare a dispozitivului pentru încercare. Dacă vă creați un cont din încercare, legătura dintre cont și dispozitiv este păstrată 365 de zile, pentru ca un al doilea cont creat pe același dispozitiv să nu primească din nou cadoul de bun venit. Înregistrarea de facturare a ceea ce a consumat încercarea este păstrată 5 ani, conform legislației contabile; ea identifică încercarea, nu pe dumneavoastră, și conține hash-ul cu cheie al prefixului de rețea, care este eliminat dacă vă ștergeți datele de probă.

Dacă vă creați un cont. Ce ați creat în timpul încercării trece în Biblioteca contului dumneavoastră și de atunci este păstrat ca parte a contului; înregistrarea dispozitivului este asociată contului dumneavoastră.

Temei juridic. Interesul legitim al operatorului de a menține securitatea serviciului și de a preveni abuzul unei încercări gratuite (articolul 5/2-f din KVKK) și încheierea și executarea unui contract pentru încercarea pe care ați solicitat-o (articolul 5/2-c). Trimiterea datelor către serviciile de verificare Apple și Google și către furnizorii de IA este un transfer în străinătate, supus Secțiunii 5.

Ștergerea datelor de probă. Vă puteți șterge oricând datele de probă din aplicație, fără cont: pe ecranul de bun venit, deschideți „Datele tale de probă” și alegeți „Șterge datele mele de probă”. Dispozitivul este verificat la fel ca pentru încercarea propriu-zisă, astfel încât nimeni altcineva nu vă poate șterge datele de probă sau afla ceva despre ele. După aceea păstrăm doar o notă că acest dispozitiv și-a folosit încercarea (nimic altceva, cel mult 90 de zile) și, timp de o zi, informația că în rețeaua dumneavoastră a fost folosită o încercare, pentru ca încercarea să nu poată fi pur și simplu repornită. Dacă v-ați creat un cont, ștergerea contului șterge și înregistrările încercării asociate acestuia. Cele două valori pe care Apple le păstrează pentru un dispozitiv nu sunt asociate cu dumneavoastră; nu le resetăm, deoarece resetarea lor ar permite o nouă încercare pe acel dispozitiv.

ToRun nu solicită și nu prelucrează, în cadrul funcționării sale obișnuite, categorii speciale de date cu caracter personal (art. 6 KVKK — date privind sănătatea, religia, date biometrice etc.). Vă recomandăm să nu partajați astfel de date prin intermediul prompturilor/conținutului.

---

3. Scopurile prelucrării datelor cu caracter personal

Datele dumneavoastră cu caracter personal sunt prelucrate în următoarele scopuri:

1. Crearea și administrarea contului — finalizarea înregistrării, autentificarea dumneavoastră și administrarea contului
2. Furnizarea serviciului — furnizarea serviciilor de inteligență artificială, inclusiv chat, generare de imagini/video/muzică/audio, fluxuri de lucru și asistentul integrat în aplicație
3. Facturare și administrarea abonamentelor — derularea proceselor de plată, abonare, reînnoire și rambursare
4. Securitate și prevenirea fraudelor — asigurarea securității contului și detectarea/prevenirea abuzurilor, utilizării necorespunzătoare și fraudelor
5. Îndeplinirea obligațiilor legale — îndeplinirea obligațiilor de păstrare, notificare și de răspuns către autorități care decurg din legislație
6. Asistență și comunicare — soluționarea cererilor, reclamațiilor și solicitărilor de asistență, precum și comunicarea cu dumneavoastră în legătură cu serviciul
7. Îmbunătățirea serviciului — îmbunătățirea calității, stabilității și experienței de utilizare a serviciului (prin măsurători tehnice independente de identitate)
8. Activități opționale / de marketing — transmiterea de mesaje informative și promoționale numai în cazul în care v-ați exprimat consimțământul explicit

---

4. Temeiurile juridice ale prelucrării (art. 5 / art. 6 KVKK)

Datele dumneavoastră cu caracter personal sunt prelucrate în baza următoarelor temeiuri juridice prevăzute la articolul 5 din KVKK:

Temei juridic (art. 5)	Exemplu de prelucrare căreia i se aplică
Necesitatea pentru încheierea sau executarea unui contract (art. 5/2-c)	Crearea contului, furnizarea serviciului, abonament și facturare
Îndeplinirea unei obligații legale (art. 5/2-ç)	Păstrarea legală, legislația fiscală/financiară și răspunsurile la solicitările autorităților
Interesul legitim al operatorului de date, cu condiția de a nu aduce atingere drepturilor și libertăților fundamentale ale persoanei vizate (art. 5/2-f)	Securitate, prevenirea fraudelor, îmbunătățirea serviciului, analize independente de identitate
Date făcute publice de persoana vizată / constituirea și protejarea unui drept (art. 5/2-d, e)	Păstrarea evidențelor necesare protejării drepturilor în cazul unui litigiu
Consimțământ explicit (art. 5/1)	Mesaje de marketing neobligatorii și activități de prelucrare opționale

• Pentru prelucrările obligatorii (întemeiate pe executarea unui contract, pe o obligație legală și pe interesul legitim) nu se solicită suplimentar consimțământul explicit.
• Marketingul și prelucrările opționale se întemeiază exclusiv pe consimțământul dumneavoastră explicit; puteți retrage acest consimțământ în orice moment.
• Categoriile speciale de date cu caracter personal (art. 6) nu sunt prelucrate în mod obișnuit; în cazul în care o astfel de prelucrare devine necesară, sunt respectate condițiile suplimentare prevăzute de Lege (consimțământ explicit sau o excepție legală).

---

5. Transferul datelor cu caracter personal și transferul în străinătate (art. 8 / art. 9 KVKK)

Pentru furnizarea serviciului, datele dumneavoastră cu caracter personal sunt transferate către furnizorii de servicii enumerați mai jos, în limitele scopului relevant. Întrucât majoritatea infrastructurii ToRun și a furnizorilor săi de servicii se află în străinătate, o parte dintre aceste transferuri constituie transferuri în străinătate.

5.1. Părțile către care sunt transferate datele

Destinatar / Furnizor	Scopul transferului	Locație
Bunny.net	Livrare de conținut (CDN), stocare de fișiere și servire de resurse statice	Străinătate
Furnizori de inteligență artificială (de ex. OpenAI, Anthropic, Google, ElevenLabs și alții similari)	Prelucrarea prompturilor și a conținutului dumneavoastră pentru generarea rezultatelor AI	Străinătate
Dodo Payments (Merchant of Record)	Derularea proceselor de plată, abonament și facturare pentru achizițiile de pe site	Străinătate
Apple (App Store), Google (Google Play)	Derularea achizițiilor din aplicația mobilă	Străinătate
Serviciile de verificare a dispozitivelor Apple și Google (App Attest, DeviceCheck; Play Integrity)	Confirmarea că dispozitivul și aplicația sunt autentice la încercarea fără cont a aplicației mobile	Străinătate
Google Maps Platform	Căutarea locurilor, detaliile locurilor, indicațiile de orientare și hărțile atunci când întrebați despre locuri sau vă partajați locația	Străinătate
Infrastructura de analiză	Măsurători tehnice independente de identitate și îmbunătățirea serviciului (self-hosted)	Propria noastră infrastructură
Instituții și organisme publice autorizate	Numai în temeiul unei obligații legale și în măsura permisă de legislație	Türkiye

5.2. Transmiterea conținutului utilizatorului către furnizorii de inteligență artificială

Prin natura serviciului, prompturile pe care le introduceți și conținutul aferent sunt transmise spre prelucrare furnizorilor de inteligență artificială pe care îi selectați/utilizați, astfel încât să poată fi generat rezultatul. Majoritatea acestor furnizori sunt stabiliți în străinătate. Prin urmare, această transmitere intră în sfera transferului în străinătate în sensul art. 9 KVKK.

5.3. Temeiul juridic al transferului

Transferurile în străinătate se efectuează în cadrul articolului 9 din KVKK, în baza:

• consimțământului dumneavoastră explicit pentru furnizarea serviciului și/sau
• condițiilor prevăzute de Lege, precum executarea unui contract, obligația legală și interesul legitim, și
• principiilor prevăzute de legislația aplicabilă (garanții adecvate, angajamente / clauze contractuale standard etc., în cazurile în care astfel de mecanisme sunt necesare).

Transferul este în toate cazurile menținut limitat și proporțional cu scopul relevant.

---

6. Metoda de colectare a datelor cu caracter personal

Datele dumneavoastră cu caracter personal sunt colectate:

• Direct de la dumneavoastră: prin acțiuni precum crearea contului, autentificarea, editarea profilului, introducerea de prompturi/conținut și transmiterea de solicitări de asistență,
• Prin mijloace automatizate: prin jurnalele, evidențele privind dispozitivul și evidențele analitice generate în timpul utilizării Platformei,
• Prin furnizori terți de identitate: de la furnizorul respectiv, dacă vă autentificați prin Google/Microsoft/Apple,
• Prin furnizorul de servicii de plată: prin informațiile de stare referitoare la tranzacțiile de abonament/plată,

prin mijloace integral sau parțial automatizate, ori prin mijloace neautomatizate, cu condiția să facă parte dintr-un sistem de evidență a datelor.

---

7. Perioada de păstrare

• Datele dumneavoastră cu caracter personal sunt păstrate atât timp cât contul dumneavoastră este activ și pe durata impusă de scopurile prelucrării.
• Chiar și după încetarea scopului, acestea pot fi păstrate pe durata perioadelor legale de păstrare care decurg din legislația aplicabilă (legislația fiscală, comercială, privind protecția consumatorilor și comerțul electronic etc.).
• La expirarea perioadelor legale de păstrare sau la încetarea condițiilor de prelucrare, datele dumneavoastră sunt șterse, distruse sau anonimizate în conformitate cu articolul 7 din KVKK.
• Încercarea fără cont (aplicația mobilă): înregistrările încercării sunt șterse la 90 de zile după acordarea încercării, înregistrările dispozitivului la 90 de zile după ultima utilizare a dispozitivului pentru încercare, iar rezultatele nemutate într-un cont după 24 de ore; ultimele mesaje sunt păstrate cel mult 24 de ore după ultimul mesaj, iar legătura cont–dispozitiv 365 de zile. Vă puteți șterge oricând datele de probă din aplicație (a se vedea 2.8).
• Rapoartele de blocare ale aplicației mobile sunt păstrate în jurnalele serverului cel mult 30 de zile.
• Cerere de ștergere: Puteți solicita ștergerea/anonimizarea datelor dumneavoastră utilizând funcția „Ștergere cont" din aplicație sau transmițând cererea dumneavoastră de ștergere (erasure) prin /api/gdpr/requests. Cererea dumneavoastră este soluționată în conformitate cu legislația, cu excepția datelor supuse unei obligații legale de păstrare.

---

8. Drepturile persoanei vizate (art. 11 KVKK)

În conformitate cu articolul 11 din KVKK, prin adresarea unei cereri operatorului de date, aveți dreptul:

1. Să aflați dacă datele dumneavoastră cu caracter personal sunt prelucrate,
2. Să solicitați informații în cazul în care acestea au fost prelucrate,
3. Să aflați scopul prelucrării și dacă datele sunt utilizate în conformitate cu acest scop,
4. Să cunoașteți terții cărora le sunt transferate datele, pe plan intern sau în străinătate,
5. Să solicitați rectificarea datelor în cazul în care au fost prelucrate incomplet sau incorect,
6. Să solicitați ștergerea sau distrugerea (anonimizarea) datelor în cadrul condițiilor prevăzute la art. 7 KVKK,
7. Să solicitați ca operațiunile de rectificare, ștergere și distrugere să fie notificate terților cărora le-au fost transferate datele,
8. Să vă opuneți apariției unui rezultat în defavoarea dumneavoastră prin analizarea datelor prelucrate exclusiv prin sisteme automatizate,
9. Să solicitați repararea prejudiciului suferit ca urmare a unei prelucrări nelegale.

În plus, pentru prelucrările întemeiate pe consimțământul explicit, aveți dreptul de a vă retrage consimțământul în orice moment.

---

9. Metoda de depunere a cererilor

Puteți transmite cererile dumneavoastră în temeiul art. 11 KVKK prin următoarele mijloace, în conformitate cu „Comunicatul privind procedurile și principiile de adresare către operatorul de date":

• Prin e-mail: prin transmiterea unei cereri scrise la adresa privacy@torun.ai, împreună cu informații care vă atestă identitatea (notificările juridice formale pot fi adresate și la legal@torun.ai),
• În scris: prin înmânare personală la sediul social al Societății indicat în Secțiunea 1 sau prin trimiterea cererii la acea adresă prin intermediul unui notar,
• Funcții din aplicație: prin funcția „Ștergere cont" din setările contului și prin instrumentele aferente de solicitare a datelor (/api/gdpr/requests).

Cererea dumneavoastră trebuie să indice în mod clar numele și prenumele, semnătura în cazul în care cererea este formulată în scris, datele dumneavoastră de contact și obiectul cererii. Cererile dumneavoastră sunt soluționate gratuit, în cel mai scurt timp posibil și în cel mult treizeci (30) de zile, în funcție de natura cererii; totuși, în cazul în care operațiunea implică un cost suplimentar, poate fi percepută taxa prevăzută în tariful stabilit de Consiliul pentru Protecția Datelor cu Caracter Personal.

Notă VERBİS (informativă): Situația Societății în raport cu VERBİS este descrisă în Secțiunea 1. Dacă apare obligația de înregistrare sau dacă Societatea se înregistrează voluntar, înscrierea în registru va fi efectuată, iar prezenta Notă va fi actualizată.

---

10. Modificări și intrare în vigoare

• Prezenta Notă poate fi actualizată în funcție de modificările legislative și de actualizările aduse serviciilor noastre.
• Textul actualizat intră în vigoare la data publicării sale pe Platformă. În cazul modificărilor semnificative, informarea poate fi realizată prin mijloace adecvate.
• Puteți consulta oricând cea mai recentă versiune a acestui text pe Platformă.

---

Notă privind documentul complementar: Prezenta Notă de protecție a datelor KVKK este întocmită pentru persoanele vizate rezidente în Türkiye; pentru utilizatorii din afara Türkiye și pentru principiile generale de protecție a datelor (inclusiv GDPR), aceasta completează Politica de confidențialitate (Privacy Policy) aplicabilă. În cazul unei neconcordanțe între cele două documente, pentru persoanele vizate rezidente în Türkiye prevalează dispozițiile KVKK și prezenta Notă.