GDPR-dataskyddsmeddelande

Detta informationsmeddelande har upprättats för att informera dig om de personuppgifter som behandlas av AI-plattformen ToRun ("ToRun", "Plattformen"), i enlighet med artikel 10 i 6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK" eller "Lagen" — den turkiska lagen om skydd av personuppgifter) samt "Kommunikén om de principer och förfaranden som ska följas vid fullgörandet av informationsskyldigheten".

ToRun är en plattform som tillhandahåller AI-tjänster såsom chatt, generering av bilder/video/musik/ljud, arbetsflöden (workflows) och en assistent i appen. Plattformen drivs av TORUN TEKNOLOJİ ANONİM ŞİRKETİ ("Bolaget"), ett aktiebolag bildat i Turkiet.

Obs: Detta dokument har upprättats för att uppfylla informationsskyldigheten enligt KVKK gentemot registrerade bosatta i Turkiet. För användare utanför Turkiet och för allmänna principer för uppgiftsbehandling gäller den separat tillämpliga Integritetspolicyn (GDPR / Privacy Policy), och detta meddelande kompletterar den policyn.

---

1. Den personuppgiftsansvariges identitet

I egenskap av "personuppgiftsansvarig" enligt definitionen i artikel 3 i KVKK behandlas dina personuppgifter av TORUN TEKNOLOJİ ANONİM ŞİRKETİ, som driver ToRun-plattformen.

Uppgift	Detalj
Personuppgiftsansvarig	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Säte (registrerad adress)	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Handelsregister	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
MERSİS-nummer	0857078305100001
Skattekontor / skatteregistreringsnummer	Silivri Vergi Dairesi, 8570783051
Plattform / webbplats	torun.ai — api.torun.ai
E-postadress för framställningar	privacy@torun.ai
Verksamhetens art	Tillhandahållande av AI-baserade onlinetjänster

Bolaget registrerades hos İstanbul Ticaret Sicili Müdürlüğü (handelsregistret i Istanbul) den 19 oktober 2026. Bolagets skyldighet att registrera sig i registret över personuppgiftsansvariga (VERBİS) bedöms utifrån de undantagskriterier som fastställts av rådet för skydd av personuppgifter (Kişisel Verileri Koruma Kurulu): årligt antal anställda, årlig balansomslutning och huruvida behandling av särskilda kategorier av personuppgifter är dess huvudsakliga verksamhet. Per dagen för detta meddelande har ingen VERBİS-registrering gjorts i Bolagets namn; uppstår en registreringsskyldighet kommer registreringen att göras inom den tid som lagstiftningen föreskriver (se avsnitt 9).

---

2. Personuppgifter som behandlas (uppgiftskategorier)

Inom ramen för din användning av ToRun kan följande kategorier av personuppgifter komma att behandlas:

2.1. Identitets- och kontouppgifter

• Användarnamn
• E-postadress
• Lösenord — lagras inte i klartext; sparas endast i oåterkalleligt hashad form

2.2. Uppgifter för extern autentisering (social inloggning)

Om du väljer att skapa ditt konto / logga in via en extern leverantör:

• Autentiseringsuppgifter som delas av den aktuella leverantören avseende ditt Google-, Microsoft- och/eller Apple-konto (t.ex. unik användaridentifierare, e-postadress, namn, profilinformation — i den utsträckning leverantören tillåter)

2.3. Profiluppgifter

• Profilinställningar, preferenser och profilinformation som du frivilligt tillhandahåller

2.4. Transaktionssäkerhet och användningsloggar

• In-/utloggningsposter, loggar över tjänsteanvändning/transaktioner
• Tekniska poster som förs i säkerhets- och kontosäkerhetssyfte

2.5. Enhets- och analysdata

• Enhets-/webbläsarinformation och tekniska analysdata
• Analysdata behandlas på vår egen infrastruktur (self-hosted); de överförs inte till tredjeparts reklam-/analysnätverk och används inte för profilering direkt kopplad till din identitet. Enhetsverifieringen vid provning av mobilappen utan konto görs via Apples och Googles tjänster (se 2.8)
• Kraschrapporter från mobilappen (felmeddelande, teknisk spårning av felet, skärmnamn, app- och operativsystemversioner), som skickas när appen kraschar medan du är inloggad och sparas med ditt användar-ID i serverloggar i högst 30 dagar

2.6. Användargenererat innehåll

• De uppmaningar (prompter) och kommandon som du matar in på Plattformen
• Det bild-, video-, ljud- och textinnehåll som produceras via Plattformen
• Innehåll inom dina arbetsflöden och interaktioner med assistenten i appen

2.7. Betalnings- och prenumerationsuppgifter

• Prenumerationsplan, transaktions-/fakturauppgifter och betalningsstatus
• Runs-saldo - ditt saldo av förbetalda användningskrediter (Runs) och dess transaktionshistorik (påfyllningar, förbrukning, återföringar vid återbetalning).
• Viktigt: Betalningar på webbplatsen tas emot via Dodo Payments, som agerar i egenskap av "Merchant of Record" (registrerad säljare); köp i mobilappen tas emot av Apple (App Store) eller Google (Google Play). Kredit-/bankkortsnummer, CVV och liknande känsliga uppgifter om betalningsinstrument innehas, lagras eller kan inte visas av ToRun. Dessa uppgifter behandlas direkt av berörd betaltjänstleverantör.

2.8. Provning utan konto (mobilappen)

Du kan prova ToRuns mobilapp under en begränsad tid utan att skapa ett konto ("provning utan konto"). Under provningen frågar vi inte efter ditt namn, din e-postadress eller ditt telefonnummer. För att kunna erbjuda provningen, förhindra att den startas om och om igen på samma enhet och förhindra missbruk behandlar vi följande:

• Enhetsverifiering - appen ber Apple (App Attest, DeviceCheck) eller Google (Play Integrity) att bekräfta att enheten och appen är äkta, och vår server kontrollerar resultatet hos dem. Vi lagrar inte verifieringstokens. Apple lagrar åt oss på sina egna servrar två värden per enhet ("en provning har beviljats", "ett konto har skapats på den här enheten").
• Enhetsidentifierare - på iOS en slumpmässig identifierare som appen skapar och sparar på enheten; på Android den appspecifika enhetsidentifieraren (ANDROID_ID). Endast en envägshash av den lämnar enheten, och vi lagrar den först efter att ha hashat den igen med en hemlig nyckel (nyckelbaserad hash). På iOS lagrar vi också en nyckelbaserad hash av App Attest-nyckelns identifierare.
• Nätverk - en nyckelbaserad hash av nätverksprefixet för din IP-adress, aldrig hela adressen, för provningens dagliga gränser.
• Provningspost - hur mycket av provningen som återstår, dess status och, om en provning nekades, orsaken.
• Det du provar - meddelandet du skriver, ditt röstsamtal, fotot du väljer och namnet du anger för en sång skickas till den AI-leverantör som skapar resultatet och till vår leverantör av innehållsmoderering (avsnitt 5.1). Ditt foto används bara för att skapa bilden och lagras inte. Ett röstsamtal spelas inte in och dess transkription lagras inte. Dina senaste meddelanden sparas i upp till 24 timmar efter ditt senaste meddelande, så att nästa svar har sammanhang; de sparas inte som en konversation. Det som provningen skapar (en sång, en bild) sparas i 24 timmar och raderas sedan.

Lagring. Provningsposter raderas automatiskt 90 dagar efter att provningen beviljades och enhetsposter 90 dagar efter att enheten senast användes för provningen. Om du skapar ett konto från provningen sparas kopplingen mellan kontot och enheten i 365 dagar, så att ett andra konto som skapas på samma enhet inte får välkomstgåvan igen. Faktureringsposten för det som provningen förbrukade sparas i 5 år enligt bokföringslagstiftningen; den identifierar provningen, inte dig, och innehåller den nyckelbaserade hashen av nätverksprefixet, som tas bort om du raderar dina provdata.

Om du skapar ett konto. Det du skapade under provningen flyttas till ditt kontos Bibliotek och sparas därefter som en del av ditt konto; enhetsposten kopplas till ditt konto.

Rättslig grund. Den personuppgiftsansvariges berättigade intresse av att hålla tjänsten säker och förhindra missbruk av en kostnadsfri provning (KVKK artikel 5/2-f) samt ingående och fullgörande av ett avtal om den provning du bad om (artikel 5/2-c). Att skicka uppgifter till Apples och Googles verifieringstjänster och till AI-leverantörer är en överföring till utlandet som omfattas av avsnitt 5.

Radera dina provdata. Du kan när som helst radera dina provdata i appen, utan konto: öppna "Dina provdata" på välkomstskärmen och välj "Radera mina provdata". Enheten verifieras på samma sätt som för själva provningen, så ingen annan kan radera dina provdata eller få veta något om dem. Därefter sparar vi bara en anteckning om att den här enheten har använt sin provning (inget annat, i högst 90 dagar) och, under en dag, att en provning har använts i ditt nätverk, så att provningen inte bara kan startas om. Om du har skapat ett konto raderas även de provningsposter som är kopplade till det när du raderar kontot. De två värden som Apple sparar för en enhet är inte kopplade till dig; vi återställer dem inte, eftersom en återställning skulle möjliggöra en ny provning på den enheten.

ToRun begär inte och behandlar inte särskilda kategorier av personuppgifter (KVKK art. 6 — hälsa, religion, biometriska uppgifter osv.) inom ramen för sin ordinarie verksamhet. Du avråds från att dela sådana uppgifter via prompter/innehåll.

---

3. Ändamål med behandlingen av personuppgifter

Dina personuppgifter behandlas för följande ändamål:

1. Kontoskapande och kontohantering — genomförande av registreringen, autentisering av dig och hantering av ditt konto
2. Tillhandahållande av tjänsten — tillhandahållande av AI-tjänster, inklusive chatt, generering av bilder/video/musik/ljud, arbetsflöden och assistenten i appen
3. Fakturering och prenumerationshantering — genomförande av betalnings-, prenumerations-, förnyelse- och återbetalningsprocesser
4. Säkerhet och bedrägeriförebyggande — säkerställande av kontosäkerhet samt upptäckt och förebyggande av missbruk, otillbörlig användning och bedrägeri
5. Fullgörande av rättsliga skyldigheter — uppfyllande av lagstadgade skyldigheter avseende lagring, information och svar till behöriga myndigheter
6. Support och kommunikation — hantering av förfrågningar, klagomål och supportärenden samt kommunikation med dig om tjänsten
7. Förbättring av tjänsten — förbättring av tjänstens kvalitet, stabilitet och användarupplevelse (genom identitetsoberoende tekniska mätningar)
8. Frivilliga aktiviteter / marknadsföring — utskick av informations- och marknadsföringsmeddelanden endast om du har lämnat uttryckligt samtycke

---

4. Rättsliga grunder för behandlingen (KVKK art. 5 / art. 6)

Dina personuppgifter behandlas med stöd av följande rättsliga grunder som anges i artikel 5 i KVKK:

Rättslig grund (art. 5)	Exempel på behandling som den tillämpas på
Nödvändighet för att ingå eller fullgöra ett avtal (art. 5/2-c)	Kontoskapande, tillhandahållande av tjänsten, prenumeration och fakturering
Fullgörande av en rättslig skyldighet (art. 5/2-ç)	Lagstadgad lagring, skatte-/finanslagstiftning och svar på myndighetsförfrågningar
Den personuppgiftsansvariges berättigade intresse, förutsatt att det inte skadar den registrerades grundläggande fri- och rättigheter (art. 5/2-f)	Säkerhet, bedrägeriförebyggande, tjänsteförbättring, identitetsoberoende analys
Uppgifter som den registrerade själv har offentliggjort / fastställande och skydd av en rättighet (art. 5/2-d, e)	Förande av nödvändiga register för att skydda rättigheter vid en tvist
Uttryckligt samtycke (art. 5/1)	Icke-obligatoriska marknadsföringsmeddelanden och frivilliga behandlingsaktiviteter

• För obligatorisk behandling (grundad på fullgörande av avtal, rättslig skyldighet och berättigat intresse) inhämtas inte något ytterligare uttryckligt samtycke.
• Marknadsföring och frivillig behandling grundas uteslutande på ditt uttryckliga samtycke; du kan när som helst återkalla detta samtycke.
• Särskilda kategorier av personuppgifter (art. 6) behandlas inte rutinmässigt; skulle sådan behandling krävas iakttas de ytterligare villkor som föreskrivs i Lagen (uttryckligt samtycke eller ett lagstadgat undantag).

---

5. Överföring av personuppgifter och överföring till utlandet (KVKK art. 8 / art. 9)

För att tjänsten ska kunna tillhandahållas överförs dina personuppgifter, begränsat till det aktuella ändamålet, till de tjänsteleverantörer som anges nedan. Eftersom merparten av ToRuns infrastruktur och tjänsteleverantörer finns utomlands utgör en del av dessa överföringar överföringar till utlandet.

5.1. Parter till vilka uppgifter överförs

Mottagare / leverantör	Ändamål med överföringen	Plats
Bunny.net	Innehållsleverans (CDN), fillagring och tillhandahållande av statiska resurser	Utlandet
AI-leverantörer (t.ex. OpenAI, Anthropic, Google, ElevenLabs och liknande)	Behandling av dina prompter och ditt innehåll för att generera AI-utdata	Utlandet
Dodo Payments (Merchant of Record)	Genomförande av betalnings-, prenumerations- och faktureringsprocesser för köp på webbplatsen	Utlandet
Apple (App Store), Google (Google Play)	Genomförande av köp i mobilappen	Utlandet
Apples och Googles tjänster för enhetsverifiering (App Attest, DeviceCheck; Play Integrity)	Bekräftelse av att enheten och appen är äkta vid provning av mobilappen utan konto	Utlandet
Google Maps Platform	Platssökning, platsinformation, vägbeskrivningar och kartor när du frågar om platser eller delar din plats	Utlandet
Analysinfrastruktur	Identitetsoberoende teknisk mätning och tjänsteförbättring (self-hosted)	Vår egen infrastruktur
Behöriga offentliga institutioner och organ	Endast när det krävs enligt rättslig skyldighet och i den utsträckning lagstiftningen tillåter	Turkiet

5.2. Överföring av användarinnehåll till AI-leverantörer

Till följd av tjänstens natur överförs de prompter du matar in och det relaterade innehållet för behandling till de AI-leverantörer du väljer/använder, så att utdata kan genereras. De flesta av dessa leverantörer är etablerade utomlands. Denna överföring omfattas därför av bestämmelserna om överföring till utlandet enligt KVKK art. 9.

5.3. Rättslig grund för överföringen

Överföringar till utlandet sker inom ramen för artikel 9 i KVKK, med stöd av:

• ditt uttryckliga samtycke till tillhandahållandet av tjänsten, och/eller
• de villkor som föreskrivs i Lagen, såsom fullgörande av avtal, rättslig skyldighet och berättigat intresse, samt
• de principer som föreskrivs i tillämplig lagstiftning (lämpliga skyddsåtgärder, åtaganden / standardavtalsklausuler osv., i de fall sådana mekanismer krävs).

Överföringen hålls i samtliga fall begränsad och proportionerlig i förhållande till det aktuella ändamålet.

---

6. Metod för insamling av personuppgifter

Dina personuppgifter samlas in:

• Direkt från dig: genom åtgärder såsom kontoskapande, inloggning, redigering av din profil, inmatning av prompter/innehåll och inlämning av supportärenden,
• På automatiserad väg: genom logg-, enhets- och analysposter som genereras under din användning av Plattformen,
• Via tredjeparts identitetsleverantörer: från den aktuella leverantören om du loggar in med Google/Microsoft/Apple,
• Via betaltjänstleverantören: genom statusinformation om prenumerations-/betalningstransaktioner,

med helt eller delvis automatiserade medel, eller med icke-automatiserade medel förutsatt att insamlingen ingår i ett uppgiftsregistreringssystem.

---

7. Lagringstid

• Dina personuppgifter lagras så länge ditt konto är aktivt och under den tid som behandlingsändamålen kräver.
• Även när ändamålet har upphört kan uppgifterna komma att bevaras under de lagstadgade lagringstider som följer av tillämplig lagstiftning (skatte-, handels-, konsument- och e-handelslagstiftning m.m.).
• När de lagstadgade lagringstiderna löpt ut eller behandlingsvillkoren upphört raderas, förstörs eller anonymiseras dina uppgifter i enlighet med artikel 7 i KVKK — dina uppgifter blir raderade, förstörda eller anonymiserade.
• Provning utan konto (mobilappen): provningsposter raderas 90 dagar efter att provningen beviljades, enhetsposter 90 dagar efter att enheten senast användes för provningen och resultat som inte flyttats till ett konto efter 24 timmar; de senaste meddelandena sparas i upp till 24 timmar efter det senaste meddelandet och kopplingen konto–enhet i 365 dagar. Du kan när som helst radera dina provdata i appen (se 2.8).
• Kraschrapporter från mobilappen sparas i serverloggar i högst 30 dagar.
• Begäran om radering: Du kan begära radering/anonymisering av dina uppgifter genom att använda funktionen "Radera konto" i appen eller genom att skicka in din begäran om radering via /api/gdpr/requests. Din begäran tillgodoses i enlighet med lagstiftningen, med undantag för uppgifter som omfattas av en lagstadgad lagringsskyldighet.

---

8. Den registrerades rättigheter (KVKK art. 11)

Enligt artikel 11 i KVKK har du, genom att vända dig till den personuppgiftsansvarige, rätt att:

1. Få veta huruvida dina personuppgifter behandlas,
2. Begära information om de har behandlats,
3. Få veta ändamålet med behandlingen och huruvida uppgifterna används i enlighet med detta ändamål,
4. Få kännedom om de tredje parter till vilka uppgifterna överförs, inom landet eller utomlands,
5. Begära rättelse om uppgifterna har behandlats ofullständigt eller felaktigt,
6. Begära radering eller förstöring (anonymisering) av uppgifterna inom ramen för de villkor som anges i KVKK art. 7,
7. Begära att de tredje parter till vilka uppgifterna överförts underrättas om vidtagna rättelse-, raderings- och förstöringsåtgärder,
8. Invända mot ett resultat som uppstår till din nackdel genom att de behandlade uppgifterna analyseras uteslutande via automatiserade system,
9. Begära ersättning för skada som du lider till följd av lagstridig behandling.

Därutöver har du, i fråga om behandling som grundas på uttryckligt samtycke, rätt att när som helst återkalla ditt samtycke.

---

9. Metod för framställningar

Du kan framföra dina förfrågningar enligt KVKK art. 11 på följande sätt, i enlighet med "Kommunikén om förfaranden och principer för framställningar till den personuppgiftsansvarige":

• Via e-post: genom att skicka en skriftlig framställning till privacy@torun.ai tillsammans med uppgifter som styrker din identitet,
• Skriftligen: genom personlig överlämning på Bolagets säte som anges i avsnitt 1, eller genom att sända framställningen dit via notarius publicus,
• Funktioner i appen: via funktionen "Radera konto" i kontoinställningarna och de tillhörande verktygen för uppgiftsförfrågningar (/api/gdpr/requests).

Din framställning ska tydligt innehålla ditt för- och efternamn, din underskrift om framställningen är skriftlig, dina kontaktuppgifter samt föremålet för din begäran. Dina framställningar besvaras kostnadsfritt så snart som möjligt och senast inom trettio (30) dagar, beroende på begärans art; skulle åtgärden dock medföra en ytterligare kostnad kan den avgift som fastställts i taxan av den turkiska dataskyddsmyndigheten (Kişisel Verileri Koruma Kurulu) tas ut.

VERBİS-notering (information): Bolagets ställning i förhållande till VERBİS beskrivs i avsnitt 1. Om en registreringsskyldighet uppstår, eller om Bolaget registrerar sig frivilligt, görs registreringen och detta meddelande uppdateras.

---

10. Ändringar och ikraftträdande

• Detta informationsmeddelande kan komma att uppdateras i takt med ändringar i lagstiftningen och uppdateringar av våra tjänster.
• Den aktuella texten träder i kraft den dag den publiceras på Plattformen. Vid väsentliga ändringar kan information lämnas på lämpligt sätt.
• Du kan när som helst ta del av den senaste versionen av denna text på Plattformen.

---

Notering om kompletterande dokument: Detta KVKK-informationsmeddelande har upprättats för registrerade bosatta i Turkiet; för användare utanför Turkiet och i fråga om allmänna dataskyddsprinciper (inklusive GDPR) kompletterar det den gällande Integritetspolicyn (Privacy Policy). Vid avvikelser mellan de två dokumenten har, för registrerade bosatta i Turkiet, bestämmelserna i KVKK och detta meddelande företräde.