KVKK Aydinlatma Metni

Bu Aydınlatma Metni, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKK" veya "Kanun") 10. maddesi ile "Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ" uyarınca, ToRun yapay zekâ platformu ("ToRun", "Platform") tarafından işlenen kişisel verilerinize ilişkin olarak sizi bilgilendirmek amacıyla hazırlanmıştır.

ToRun; sohbet (chat), görsel/video/müzik/ses üretimi, iş akışları (workflow) ve uygulama içi asistan gibi yapay zekâ hizmetleri sunan bir platformdur. Platform, Türkiye'de kurulu TORUN TEKNOLOJİ ANONİM ŞİRKETİ ("Şirket") tarafından işletilmektedir.

Not: Bu metin, Türkiye'de yerleşik veri sahipleri için KVKK kapsamındaki aydınlatma yükümlülüğünü karşılamak üzere hazırlanmıştır. Türkiye dışındaki kullanıcılar ve genel veri işleme esasları için ayrıca yürürlükte olan Gizlilik Politikası (GDPR / Privacy Policy) belgesi geçerli olup, işbu Aydınlatma Metni söz konusu politikayı tamamlayıcı niteliktedir.

---

1. Veri Sorumlusunun Kimliği

KVKK'nın 3. maddesinde tanımlanan "veri sorumlusu" sıfatıyla kişisel verileriniz, ToRun platformunu işleten TORUN TEKNOLOJİ ANONİM ŞİRKETİ tarafından işlenmektedir.

Bilgi	Ayrıntı
Veri sorumlusu	TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.)
Merkez adresi	Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye
Ticaret sicili	İstanbul Ticaret Sicili Müdürlüğü, No. 1165311
MERSİS numarası	0857078305100001
Vergi dairesi / vergi kimlik numarası	Silivri Vergi Dairesi, 8570783051
Platform / web sitesi	torun.ai — api.torun.ai
Başvuru e-posta adresi	privacy@torun.ai
Faaliyet niteliği	Yapay zekâ tabanlı çevrim içi hizmet sunumu

Şirket, 19 Ekim 2026 tarihinde İstanbul Ticaret Sicili Müdürlüğü'ne tescil edilmiştir. Şirketin Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü, Kişisel Verileri Koruma Kurulu'nun belirlediği istisna ölçütleri (yıllık çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işlemek olup olmadığı) çerçevesinde değerlendirilmektedir. İşbu Aydınlatma Metni tarihi itibarıyla Şirket adına yapılmış bir VERBİS kaydı bulunmamaktadır; kayıt yükümlülüğünün doğması hâlinde kayıt, mevzuatta öngörülen süre içinde yapılacaktır (bkz. Bölüm 9).

---

2. İşlenen Kişisel Veriler (Veri Kategorileri)

ToRun'u kullanımınız kapsamında, aşağıdaki kişisel veri kategorileri işlenebilmektedir:

2.1. Kimlik ve Hesap Verileri

• Kullanıcı adı
• E-posta adresi
• Parola (şifre) — düz metin olarak tutulmaz, yalnızca geri döndürülemez şekilde hash'lenmiş (özetlenmiş) olarak saklanır

2.2. Harici Kimlik Doğrulama (Sosyal Giriş) Verileri

Hesabınızı harici bir sağlayıcı ile oluşturmayı/giriş yapmayı tercih etmeniz hâlinde:

• Google, Microsoft ve/veya Apple hesabınıza ilişkin, ilgili sağlayıcı tarafından paylaşılan kimlik doğrulama bilgileri (örn. benzersiz kullanıcı kimliği, e-posta adresi, ad-soyad, profil bilgisi — sağlayıcının izin verdiği ölçüde)

2.3. Profil Verileri

• Profil ayarları, tercihler ve isteğe bağlı olarak sağladığınız profil bilgileri

2.4. İşlem Güvenliği ve Kullanım Kayıtları (Log)

• Oturum açma/kapatma kayıtları, hizmet kullanım/işlem logları
• Güvenlik ve hesap güvenliği amacıyla tutulan teknik kayıtlar

2.5. Cihaz ve Analitik Verileri

• Cihaz/tarayıcı bilgileri ve teknik analitik veriler
• Analitik veriler kendi altyapımızda (self-hosted) işlenmekte olup üçüncü taraf reklam/analitik ağlarına aktarılmamakta ve doğrudan kimliğinizle ilişkilendirilecek şekilde profilleme amacıyla kullanılmamaktadır. Mobil uygulamadaki hesap açmadan denemede cihaz doğrulaması Apple ve Google servisleri üzerinden yapılır (bkz. 2.8)
• Mobil uygulamadan gelen çökme raporları (hata mesajı, teknik hata izi, ekran adı, uygulama ve işletim sistemi sürümleri); uygulama siz oturum açmışken çöktüğünde gönderilir ve kullanıcı kimliğinizle birlikte sunucu günlüklerinde en fazla 30 gün tutulur

2.6. Kullanıcı Tarafından Üretilen İçerik

• Platforma girdiğiniz istemler (prompt) ve komutlar
• Platform üzerinden üretilen görsel, video, ses ve metin içerikleri
• İş akışları (workflow) ve uygulama içi asistan etkileşimleriniz kapsamındaki içerikler

2.7. Ödeme ve Abonelik Verileri

• Abonelik planı, işlem/fatura bilgileri ve ödeme durumu
• Runs bakiyesi - ön ödemeli kullanım kredisi (Runs) bakiyeniz ve işlem geçmişi (yüklemeler, harcamalar, iade geri alımları)
• Önemli: Web sitesindeki ödemeler, "Merchant of Record" (Kayıtlı Satıcı) sıfatıyla hareket eden Dodo Payments üzerinden; mobil uygulamadaki satın almalar ise Apple (App Store) veya Google (Google Play) üzerinden alınmaktadır. Kredi/banka kartı numarası, CVV ve benzeri hassas ödeme aracı bilgileri ToRun tarafından tutulmaz, saklanmaz ve görüntülenemez. Bu veriler doğrudan ilgili ödeme hizmet sağlayıcısı tarafından işlenir.

2.8. Hesap Açmadan Deneme (Mobil Uygulama)

ToRun mobil uygulamasını hesap açmadan sınırlı bir süre deneyebilirsiniz ("hesapsız deneme"). Deneme sırasında adınızı, e-posta adresinizi veya telefon numaranızı istemeyiz. Denemeyi sunmak, aynı cihazda tekrar tekrar başlatılmasını önlemek ve kötüye kullanımı engellemek için şu verileri işleriz:

• Cihaz doğrulaması - uygulama, cihazın ve uygulamanın gerçek olduğunu Apple (App Attest, DeviceCheck) veya Google (Play Integrity) üzerinden doğrulatır; sunucumuz sonucu bu servislerle kontrol eder. Doğrulama belirteçlerini saklamayız. Apple, cihaz başına iki bilgiyi ("deneme verildi", "bu cihazda hesap açıldı") bizim için kendi sunucularında tutar.
• Cihaz tanımlayıcısı - iOS'ta uygulamanın ürettiği ve cihazda tuttuğu rastgele bir tanımlayıcı; Android'de uygulamaya özgü cihaz tanımlayıcısı (ANDROID_ID). Cihazdan yalnızca bunun tek yönlü özeti (hash) çıkar; biz de bu özeti yalnızca gizli bir anahtarla bir kez daha özetleyerek (anahtarlı özet) saklarız. iOS'ta ayrıca App Attest anahtar kimliğinin anahtarlı özetini saklarız.
• Ağ - denemenin günlük sınırları için IP adresinizin ağ önekinin anahtarlı özeti; tam adresiniz asla saklanmaz.
• Deneme kaydı - denemeden ne kadarının kaldığı, durumu ve deneme reddedildiyse nedeni.
• Denedikleriniz - yazdığınız mesaj, sesli konuşmanız, seçtiğiniz fotoğraf ve şarkı için verdiğiniz ad, sonucu üreten yapay zekâ sağlayıcısına ve içerik moderasyonu sağlayıcımıza iletilir (Bölüm 5.1). Fotoğrafınız yalnızca görseli üretmek için kullanılır ve saklanmaz. Sesli konuşma kaydedilmez ve dökümü saklanmaz. Son mesajlarınız, bir sonraki cevabın bağlamı olsun diye son mesajınızdan sonra en fazla 24 saat tutulur; sohbet olarak kaydedilmez. Denemede üretilenler (şarkı, görsel) 24 saat saklanır ve sonra silinir.

Saklama. Deneme kayıtları denemenin verilmesinden 90 gün sonra, cihaz kayıtları ise cihazın denemede son kullanılmasından 90 gün sonra kendiliğinden silinir. Denemeden bir hesap açarsanız, aynı cihazda açılan ikinci bir hesaba hoş geldin hediyesinin tekrar verilmemesi için hesap ile cihaz arasındaki bağlantı 365 gün tutulur. Denemede harcanan kullanımın faturalama kaydı muhasebe mevzuatı gereği 5 yıl saklanır; sizi değil denemeyi tanımlar ve ağ önekinin anahtarlı özetini taşır, bu özet deneme verilerinizi sildiğinizde kaldırılır.

Hesap açarsanız. Denemede ürettikleriniz hesabınızın Kitaplık bölümüne taşınır ve bundan sonra hesabınızın bir parçası olarak saklanır; cihaz kaydı hesabınızla ilişkilendirilir.

Hukuki sebep. Hizmetin güvenliğini sağlama ve ücretsiz denemenin kötüye kullanılmasını önleme bakımından veri sorumlusunun meşru menfaati (KVKK md. 5/2-f) ve talep ettiğiniz deneme için bir sözleşmenin kurulması ve ifası (md. 5/2-c). Verilerin Apple ve Google doğrulama servislerine ve yapay zekâ sağlayıcılarına gönderilmesi yurt dışına aktarımdır ve Bölüm 5'teki esaslara tabidir.

Deneme verilerinizin silinmesi. Deneme verilerinizi hesap açmadan, uygulamada istediğiniz zaman silebilirsiniz: karşılama ekranında "Deneme verilerin" bölümünü açıp "Deneme verilerimi sil"i seçin. Cihaz, denemenin kendisinde olduğu gibi doğrulanır; böylece başka hiç kimse deneme verilerinizi silemez veya onlar hakkında bir şey öğrenemez. Silmeden sonra yalnızca bu cihazın denemesini kullandığına dair bir not (başka hiçbir bilgi içermez, en fazla 90 gün) ve bir gün süreyle ağınızda bir denemenin kullanıldığı bilgisi tutulur; böylece deneme yeniden başlatılamaz. Hesap açtıysanız, hesabınızı silmek denemeyle ilişkili kayıtları da siler. Apple'ın bir cihaz için tuttuğu iki bilgi sizinle ilişkilendirilmez; bunları sıfırlamayız, çünkü sıfırlamak o cihazda yeni bir denemeye izin verir.

ToRun, özel nitelikli kişisel verileri (KVKK Md.6 — sağlık, din, biyometrik veri vb.) rutin işleyişi kapsamında talep etmez ve işlemez. Bu tür verileri istemler/içerikler aracılığıyla paylaşmamanız önerilir.

---

3. Kişisel Verilerin İşlenme Amaçları

Kişisel verileriniz, aşağıdaki amaçlarla işlenmektedir:

1. Hesap oluşturma ve yönetimi — üyelik kaydının gerçekleştirilmesi, kimlik doğrulama ve hesabınızın yönetilmesi
2. Hizmetin sunulması — sohbet, görsel/video/müzik/ses üretimi, iş akışları ve uygulama içi asistan dâhil yapay zekâ hizmetlerinin sağlanması
3. Faturalandırma ve abonelik yönetimi — ödeme, abonelik, yenileme ve iade süreçlerinin yürütülmesi
4. Güvenlik ve dolandırıcılık önleme — hesap güvenliğinin sağlanması, kötüye kullanım, suistimal ve dolandırıcılığın tespit ve önlenmesi
5. Yasal yükümlülüklerin yerine getirilmesi — mevzuattan doğan saklama, bilgilendirme ve yetkili kurumlara yanıt verme yükümlülüklerinin karşılanması
6. Destek ve iletişim — talep, şikâyet ve destek başvurularının karşılanması, sizinle hizmete ilişkin iletişim kurulması
7. Hizmetin iyileştirilmesi — hizmet kalitesinin, kararlılığının ve kullanıcı deneyiminin geliştirilmesi (kimliğe bağlı olmayan teknik ölçümler yoluyla)
8. İsteğe bağlı / pazarlama faaliyetleri — yalnızca açık rızanız bulunması hâlinde, bilgilendirme ve tanıtım iletileri gönderilmesi

---

4. İşlemenin Hukuki Sebepleri (KVKK Md.5 / Md.6)

Kişisel verileriniz, KVKK'nın 5. maddesinde düzenlenen aşağıdaki hukuki sebeplere dayanılarak işlenmektedir:

Hukuki sebep (Md.5)	Uygulandığı işleme örneği
Bir sözleşmenin kurulması veya ifası için gerekli olması (Md.5/2-c)	Hesap oluşturma, hizmetin sunulması, abonelik ve faturalandırma
Hukuki yükümlülüğün yerine getirilmesi (Md.5/2-ç)	Yasal saklama, vergi/mali mevzuat ve yetkili kurum taleplerine yanıt
İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaati (Md.5/2-f)	Güvenlik, dolandırıcılık önleme, hizmetin iyileştirilmesi, kimliğe bağlı olmayan analitik
İlgili kişinin kendisi tarafından alenileştirilmesi / bir hakkın tesisi ve korunması (Md.5/2-d, e)	İhtilaf hâlinde hakların korunmasına ilişkin gerekli kayıtların tutulması
Açık rıza (Md.5/1)	Zorunlu olmayan pazarlama iletileri ve isteğe bağlı işleme faaliyetleri

• Zorunlu (sözleşmenin ifası, hukuki yükümlülük ve meşru menfaate dayanan) işlemeler için ayrıca açık rıza aranmaz.
• Pazarlama ve isteğe bağlı işlemeler yalnızca açık rızanıza dayanır; bu rızayı dilediğiniz zaman geri çekebilirsiniz.
• Özel nitelikli kişisel veriler (Md.6) rutin olarak işlenmez; bu tür bir işlemenin gerekmesi hâlinde Kanun'un öngördüğü ek şartlara (açık rıza veya kanunda öngörülen istisna) uyulur.

---

5. Kişisel Verilerin Aktarılması ve Yurt Dışına Aktarım (KVKK Md.8 / Md.9)

Hizmetin sunulabilmesi için kişisel verileriniz, aşağıda belirtilen hizmet sağlayıcılara, ilgili amaçla sınırlı olmak üzere aktarılmaktadır. ToRun'un altyapısı ve hizmet sağlayıcılarının büyük bölümü yurt dışında yer aldığından, bu aktarımların bir kısmı yurt dışına aktarım niteliğindedir.

5.1. Aktarım Yapılan Taraflar

Alıcı / Sağlayıcı	Aktarım amacı	Konum
Bunny.net	İçerik dağıtımı (CDN), dosya depolama ve statik varlık sunumu	Yurt dışı
Yapay zekâ sağlayıcıları (örn. OpenAI, Anthropic, Google, ElevenLabs ve benzerleri)	İstemlerinizin ve içeriklerinizin işlenerek yapay zekâ çıktısının üretilmesi	Yurt dışı
Dodo Payments (Merchant of Record)	Web sitesindeki satın almalar için ödeme, abonelik ve faturalandırma işlemlerinin yürütülmesi	Yurt dışı
Apple (App Store), Google (Google Play)	Mobil uygulamada yapılan satın almaların yürütülmesi	Yurt dışı
Apple ve Google cihaz doğrulama servisleri (App Attest, DeviceCheck; Play Integrity)	Mobil uygulamadaki hesap açmadan denemede cihazın ve uygulamanın gerçek olduğunun doğrulanması	Yurt dışı
Google Maps Platform	Yerler hakkında soru sorduğunuzda veya konumunuzu paylaştığınızda yer arama, yer ayrıntıları, yol tarifi ve haritalar	Yurt dışı
Analitik altyapısı	Kimliğe bağlı olmayan teknik ölçüm ve hizmet iyileştirme (self-hosted)	Kendi altyapımız
Yetkili kamu kurum ve kuruluşları	Yalnızca hukuki yükümlülük gereği ve mevzuatın izin verdiği ölçüde	Türkiye

5.2. Kullanıcı İçeriğinin Yapay Zekâ Sağlayıcılarına İletilmesi

Hizmetin doğası gereği; girdiğiniz istemler (prompt) ve ilgili içerikler, çıktı üretilebilmesi için seçtiğiniz/kullandığınız yapay zekâ sağlayıcılarına işlenmek üzere iletilir. Bu sağlayıcıların çoğu yurt dışında yerleşiktir. Bu nedenle söz konusu iletim, KVKK Md.9 anlamında yurt dışına aktarım kapsamındadır.

5.3. Aktarımın Hukuki Dayanağı

Yurt dışına aktarım, KVKK'nın 9. maddesi çerçevesinde;

• hizmetin sunulması için açık rızanıza ve/veya
• sözleşmenin ifası, hukuki yükümlülük ve meşru menfaat gibi Kanun'da öngörülen şartlara ve
• ilgili mevzuatın (uygun güvenceler, taahhütname / standart sözleşme hükümleri vb. mekanizmaların gerektiği hâllerde) öngördüğü esaslara

dayanılarak gerçekleştirilir. Aktarım her hâlde ilgili amaçla sınırlı ve ölçülü tutulur.

---

6. Kişisel Verilerin Toplanma Yöntemi

Kişisel verileriniz;

• Doğrudan sizden: hesap oluşturma, giriş yapma, profil düzenleme, istem/içerik girme ve destek başvurusu gibi işlemleriniz aracılığıyla,
• Otomatik yollarla: Platform'u kullanımınız sırasında oluşan log, cihaz ve analitik kayıtları aracılığıyla,
• Üçüncü taraf kimlik sağlayıcılar aracılığıyla: Google/Microsoft/Apple ile giriş yapmanız hâlinde ilgili sağlayıcıdan,
• Ödeme hizmet sağlayıcısı aracılığıyla: abonelik/ödeme işlemlerine ilişkin durum bilgileri yoluyla,

tamamen veya kısmen otomatik ya da bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla toplanmaktadır.

---

7. Saklama Süresi

• Kişisel verileriniz, hesabınız aktif olduğu sürece ve işleme amaçlarının gerektirdiği süre boyunca saklanır.
• Amacın ortadan kalkması hâlinde dahi, ilgili mevzuattan (vergi, ticaret, tüketici ve elektronik ticaret mevzuatı vb.) doğan yasal saklama süreleri boyunca muhafaza edilebilir.
• Yasal saklama sürelerinin sona ermesi veya işleme şartlarının ortadan kalkması hâlinde verileriniz KVKK'nın 7. maddesi uyarınca silinir, yok edilir veya anonim hâle getirilir.
• Hesap açmadan deneme (mobil uygulama): deneme kayıtları denemenin verilmesinden 90 gün sonra, cihaz kayıtları cihazın denemede son kullanılmasından 90 gün sonra, bir hesaba taşınmayan çıktılar ise 24 saat sonra silinir; son mesajlar son mesajdan sonra en fazla 24 saat, hesap–cihaz bağlantısı 365 gün tutulur. Deneme verilerinizi uygulamada istediğiniz zaman silebilirsiniz (bkz. 2.8).
• Mobil uygulama çökme raporları sunucu günlüklerinde en fazla 30 gün tutulur.
• Silme talebi: Uygulama içindeki "Hesabı Sil" işlevini kullanarak veya erasure (silme) talebinizi /api/gdpr/requests üzerinden ileterek verilerinizin silinmesini/anonimleştirilmesini talep edebilirsiniz. Talebiniz, yasal saklama yükümlülüğü bulunan veriler saklı kalmak kaydıyla, mevzuata uygun şekilde karşılanır.

---

8. Veri Sahibinin Hakları (KVKK Md.11)

KVKK'nın 11. maddesi uyarınca, veri sorumlusuna başvurarak aşağıdaki haklara sahipsiniz:

1. Kişisel verinizin işlenip işlenmediğini öğrenme,
2. İşlenmişse buna ilişkin bilgi talep etme,
3. İşlenme amacını ve amacına uygun kullanılıp kullanılmadığını öğrenme,
4. Yurt içinde veya yurt dışında verilerin aktarıldığı üçüncü kişileri bilme,
5. Eksik veya yanlış işlenmiş olması hâlinde bunların düzeltilmesini isteme,
6. KVKK Md.7'de öngörülen şartlar çerçevesinde verilerin silinmesini veya yok edilmesini (anonim hâle getirilmesini) isteme,
7. Yapılan düzeltme, silme ve yok etme işlemlerinin verilerin aktarıldığı üçüncü kişilere bildirilmesini isteme,
8. İşlenen verilerin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle aleyhinize bir sonucun ortaya çıkmasına itiraz etme,
9. Kanuna aykırı işleme sebebiyle zarara uğramanız hâlinde zararın giderilmesini talep etme.

Ayrıca, açık rızaya dayanan işlemeler bakımından rızanızı dilediğiniz zaman geri çekme hakkına sahipsiniz.

---

9. Başvuru Yöntemi

KVKK Md.11 kapsamındaki taleplerinizi, "Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ" uyarınca aşağıdaki yollarla iletebilirsiniz:

• E-posta ile: privacy@torun.ai adresine, kimliğinizi tevsik edici bilgilerle birlikte yazılı başvuru göndererek,
• Yazılı olarak: Bölüm 1'de yer alan Şirket merkez adresine elden teslim ederek veya noter aracılığıyla göndererek,
• Uygulama içi işlevler: Hesap ayarlarındaki "Hesabı Sil" ve ilgili veri talep araçları (/api/gdpr/requests) aracılığıyla.

Başvurunuzda; ad-soyad, başvuru yazılı ise imza, iletişim bilgileriniz ve talebinizin konusu açıkça yer almalıdır. Başvurularınız, talebin niteliğine göre en kısa sürede ve en geç otuz (30) gün içinde ücretsiz olarak sonuçlandırılır; ancak işlemin ayrıca bir maliyet gerektirmesi hâlinde Kişisel Verileri Koruma Kurulu tarafından belirlenen tarifedeki ücret alınabilir.

VERBİS notu (bilgilendirme): Şirketin VERBİS karşısındaki durumu Bölüm 1'de açıklanmıştır. Kayıt yükümlülüğünün doğması veya Şirketin gönüllü olarak kayıt yaptırması hâlinde sicil kaydı yapılacak ve işbu Aydınlatma Metni güncellenecektir.

---

10. Değişiklikler ve Yürürlük

• İşbu Aydınlatma Metni, mevzuattaki değişiklikler ve hizmetlerimizdeki güncellemeler doğrultusunda güncellenebilir.
• Güncel metin, Platform üzerinden yayımlandığı tarihte yürürlüğe girer. Önemli değişikliklerde uygun yöntemlerle bilgilendirme yapılabilir.
• Bu metnin en güncel hâlini her zaman Platform üzerinden inceleyebilirsiniz.

---

Tamamlayıcı belge notu: İşbu KVKK Aydınlatma Metni, Türkiye'de yerleşik veri sahipleri için hazırlanmış olup; Türkiye dışındaki kullanıcılar ve genel veri koruma esasları (GDPR dâhil) bakımından yürürlükteki Gizlilik Politikası (Privacy Policy) belgesini tamamlar niteliktedir. İki belge arasında farklılık bulunması hâlinde, Türkiye'de yerleşik veri sahipleri için KVKK hükümleri ve bu metin esas alınır.