GDPR 数据保护声明
目录 · 共 10 节
本告知书依据 6698 sayılı Kişisel Verilerin Korunması Kanunu（"KVKK"或"该法"——土耳其第 6698 号《个人数据保护法》）第 10 条以及《关于履行告知义务应遵循的程序与原则的公报》（"Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ"）编制，旨在就 ToRun 人工智能平台（"ToRun"、"本平台"）处理的您的个人数据向您作出告知。
ToRun 是一个提供聊天（chat）、图像/视频/音乐/音频生成、工作流（workflow）以及应用内助手等人工智能服务的平台。本平台由在土耳其设立的股份有限公司 TORUN TEKNOLOJİ ANONİM ŞİRKETİ（以下简称"公司"）运营。
注： 本文件系为满足针对居住于土耳其的数据主体的 KVKK 告知义务而编制。对于土耳其境外的用户以及一般数据处理原则，另行适用现行有效的**隐私政策（GDPR / Privacy Policy）**文件；本告知书对该政策具有补充性质。
1. 数据控制者的身份
以 KVKK 第 3 条所定义的"数据控制者"（veri sorumlusu）身份，您的个人数据由运营 ToRun 平台的 TORUN TEKNOLOJİ ANONİM ŞİRKETİ 处理。
| 信息 | 详情 |
|---|---|
| 数据控制者 | TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) |
| 注册地址 | Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye |
| 商业登记 | İstanbul Ticaret Sicili Müdürlüğü, No. 1165311 |
| MERSİS 编号 | 0857078305100001 |
| 税务局 / 纳税识别号 | Silivri Vergi Dairesi, 8570783051 |
| 平台 / 网站 | torun.ai — api.torun.ai |
| 申请电子邮件地址 | privacy@torun.ai |
| 经营性质 | 提供基于人工智能的在线服务 |
公司于 2026 年 10 月 19 日在 İstanbul Ticaret Sicili Müdürlüğü（伊斯坦布尔商业登记处）完成注册。公司是否负有在数据控制者登记簿（VERBİS）进行登记的义务，依据个人数据保护委员会（Kişisel Verileri Koruma Kurulu）确定的豁免标准（年度员工人数、年度资产负债表总额，以及处理特殊类别个人数据是否为其主营业务）进行评估。截至本声明之日，尚未以公司名义进行任何 VERBİS 登记；如产生登记义务，将在法律规定的期限内完成登记（参见第 9 节）。
2. 所处理的个人数据（数据类别）
在您使用 ToRun 的过程中，可能处理以下类别的个人数据：
2.1. 身份与账户数据
- 用户名
- 电子邮件地址
- 密码——不以明文形式保存，仅以不可逆的**哈希（散列）**形式存储
2.2. 外部身份验证（社交登录）数据
如您选择通过外部提供商创建账户/登录：
- 由相关提供商共享的、与您的 Google、Microsoft 和/或 Apple 账户相关的身份验证信息（例如唯一用户标识符、电子邮件地址、姓名、个人资料信息——以提供商允许的范围为限）
2.3. 个人资料数据
- 个人资料设置、偏好以及您自愿提供的个人资料信息
2.4. 交易安全与使用记录（日志）
- 登录/登出记录、服务使用/操作日志
- 出于安全及账户安全目的保存的技术记录
2.5. 设备与分析数据
- 设备/浏览器信息及技术分析数据
- 分析数据在**我们自有的基础设施（自托管，self-hosted）**上处理，不会传输至第三方广告/分析网络，也不会用于与您的身份直接关联的画像分析。移动应用免账户试用中的设备验证通过 Apple 和 Google 的服务进行（见 2.8）
- 移动应用的崩溃报告（错误消息、错误的技术跟踪信息、屏幕名称、应用和操作系统版本），在您已登录时应用崩溃的情况下发送，并连同您的用户 ID 在服务器日志中保存最长 30 天
2.6. 用户生成内容
- 您在平台中输入的提示词（prompt）与指令
- 通过平台生成的图像、视频、音频及文本内容
- 您在工作流（workflow）及应用内助手交互范围内的内容
2.7. 支付与订阅数据
- 订阅计划、交易/发票信息及支付状态
- Runs 余额 - 您的预付使用额度（Runs）余额及其交易历史（充值、消耗、退款冲回）。
- 重要提示： 网站上的付款通过以"Merchant of Record"（登记商户）身份行事的 Dodo Payments 收取；移动应用内的购买由 Apple（App Store） 或 Google（Google Play） 收取。信用卡/借记卡号、CVV 及类似的敏感支付工具信息不由 ToRun 保存、存储，ToRun 亦无法查看。 该等数据由相应的支付服务提供商直接处理。
2.8. 免账户试用（移动应用）
您可以在不创建账户的情况下，在有限时间内试用 ToRun 移动应用（"免账户试用"）。试用期间，我们不会询问您的姓名、电子邮件地址或电话号码。为提供试用、防止在同一设备上反复重新开始试用以及防止滥用，我们处理以下信息：
- 设备验证 - 应用请求 Apple（App Attest、DeviceCheck）或 Google（Play Integrity）确认设备和应用是真实的，我们的服务器通过这些服务核验结果。我们不存储验证令牌。Apple 会在其自己的服务器上为我们为每台设备保存两个值（"已给予试用"、"此设备上已创建账户"）。
- 设备标识符 - 在 iOS 上，为应用创建并保存在设备上的随机标识符；在 Android 上，为应用专属的设备标识符（ANDROID_ID）。离开设备的只有其单向哈希，我们仅在使用密钥再次对其进行哈希（带密钥哈希）后才予以存储。在 iOS 上，我们还会存储 App Attest 密钥标识符的带密钥哈希。
- 网络 - 您的 IP 地址网络前缀的带密钥哈希（绝不存储完整地址），用于试用的每日限额。
- 试用记录 - 试用的剩余额度、试用状态，以及试用被拒绝时的原因。
- 您试用的内容 - 您输入的消息、您的语音对话、您选择的照片以及您为歌曲提供的名字，会被发送给生成结果的人工智能提供商以及我们的内容审核提供商（第 5.1 节）。您的照片仅用于生成图像，不会被存储。语音对话不会被录音，其文字记录也不会被存储。您最近的消息会在您最后一条消息之后最多保留 24 小时，以便下一次回答有上下文；这些消息不会被保存为对话。试用生成的内容（一首歌曲、一张图像）会保留 24 小时，然后删除。
保留期限。 试用记录在给予试用后 90 天自动删除，设备记录在该设备最后一次用于试用后 90 天自动删除。如果您从试用中创建账户，账户与设备之间的关联会保留 365 天，以免在同一设备上创建的第二个账户再次获得欢迎礼。试用所消耗内容的计费记录按会计法规要求保留 5 年；该记录标识的是试用而非您本人，并包含网络前缀的带密钥哈希，如果您删除试用数据，该哈希将被移除。
如果您创建账户。 您在试用期间创作的内容会转入您账户的媒体库，并自此作为您账户的一部分保存；设备记录会与您的账户关联。
法律依据。 数据控制者在保障服务安全和防止滥用免费试用方面的正当利益（KVKK 第 5/2-f 条），以及为您所请求的试用订立和履行合同（第 5/2-c 条）。向 Apple 和 Google 的验证服务以及人工智能提供商发送数据属于境外传输，适用第 5 节。
删除您的试用数据。 您无需账户即可随时在应用中删除试用数据：在欢迎屏幕上打开"你的试用数据"，然后选择"删除我的试用数据"。设备的验证方式与试用本身相同，因此其他任何人都无法删除您的试用数据或了解其任何信息。之后，我们只保留一条该设备已使用过试用的记录（不含任何其他信息，最长 90 天），以及在一天之内保留您的网络上已使用过试用的信息，以免试用被简单地重新开始。如果您创建过账户，删除账户也会删除与其关联的试用记录。Apple 为设备保存的两个值与您本人无关联；我们不会重置它们，因为重置会使该设备可以再次试用。
ToRun 在其常规运营范围内不要求也不处理特殊类别的个人数据（KVKK 第 6 条——健康、宗教、生物识别数据等）。建议您不要通过提示词/内容分享此类数据。
3. 个人数据的处理目的
您的个人数据基于以下目的进行处理：
- 账户创建与管理——完成会员注册、进行身份验证并管理您的账户
- 提供服务——提供包括聊天、图像/视频/音乐/音频生成、工作流及应用内助手在内的人工智能服务
- 计费与订阅管理——执行支付、订阅、续订及退款流程
- 安全与欺诈防范——保障账户安全，检测并防范滥用、不当使用及欺诈行为
- 履行法律义务——履行法规规定的保存、告知义务及答复主管机关的义务
- 支持与沟通——处理请求、投诉及支持申请，并就服务事宜与您进行沟通
- 服务改进——提升服务质量、稳定性及用户体验（通过与身份无关的技术性测量实现）
- 可选 / 营销活动——仅在您明确同意的情况下，发送信息性及推广性消息
4. 处理的法律依据（KVKK 第 5 条 / 第 6 条）
您的个人数据基于 KVKK 第 5 条规定的以下法律依据进行处理：
| 法律依据（第 5 条） | 适用的处理示例 |
|---|---|
| 为订立或履行合同所必需（第 5/2-c 条） | 账户创建、服务提供、订阅与计费 |
| 履行法律义务（第 5/2-ç 条） | 法定保存、税务/财务法规以及答复主管机关的请求 |
| 在不损害数据主体基本权利与自由的前提下，数据控制者的正当利益（第 5/2-f 条） | 安全、欺诈防范、服务改进、与身份无关的分析 |
| 数据主体自行公开 / 为设立及保护某项权利所必需（第 5/2-d、e 条） | 在发生争议时为保护权利保存必要记录 |
| 明确同意（第 5/1 条） | 非强制性的营销消息及可选处理活动 |
- 对于强制性处理（基于合同履行、法律义务及正当利益），不再另行征求明确同意。
- 营销及可选处理仅以您的明确同意为依据；您可以随时撤回该同意。
- 特殊类别的个人数据（第 6 条）不作常规处理；如确需此类处理，将遵守该法规定的附加条件（明确同意或法律规定的例外情形）。
5. 个人数据的传输及向境外传输（KVKK 第 8 条 / 第 9 条）
为提供服务，您的个人数据将在相关目的范围内传输至下列服务提供商。由于 ToRun 的基础设施及服务提供商的大部分位于境外，其中部分传输构成向境外传输。
5.1. 数据传输的接收方
| 接收方 / 提供商 | 传输目的 | 所在地 |
|---|---|---|
| Bunny.net | 内容分发（CDN）、文件存储及静态资源服务 | 境外 |
| 人工智能提供商（例如 OpenAI、Anthropic、Google、ElevenLabs 及类似提供商） | 处理您的提示词与内容以生成人工智能输出 | 境外 |
| Dodo Payments（Merchant of Record，登记商户） | 执行网站购买的支付、订阅及计费流程 | 境外 |
| Apple（App Store）、Google（Google Play） | 执行移动应用内的购买 | 境外 |
| Apple 和 Google 的设备验证服务（App Attest、DeviceCheck；Play Integrity） | 在移动应用免账户试用期间确认设备和应用是真实的 | 境外 |
| Google Maps Platform | 当您询问地点或共享位置时提供地点搜索、地点详情、路线和地图 | 境外 |
| 分析基础设施 | 与身份无关的技术测量及服务改进（自托管） | 我们自有的基础设施 |
| 有权的公共机构与组织 | 仅限于法律义务要求且在法规允许的范围内 | 土耳其 |
5.2. 向人工智能提供商传输用户内容
基于服务的性质，您输入的提示词（prompt）及相关内容将被传输至您选择/使用的人工智能提供商进行处理，以生成输出。该等提供商大多设立于境外。因此，该传输属于 KVKK 第 9 条意义上的境外传输范畴。
5.3. 传输的法律依据
向境外的传输在 KVKK 第 9 条的框架内，基于以下依据进行：
- 为提供服务而取得的您的明确同意，和/或
- 该法规定的合同履行、法律义务及正当利益等条件，以及
- 相关法规规定的原则（在需要适当保障措施、承诺书 / 标准合同条款等机制的情形下）。
在任何情况下，传输均以相关目的为限并保持相称性。
6. 个人数据的收集方式
您的个人数据通过以下方式收集：
- 直接向您收集：通过您进行的账户创建、登录、编辑个人资料、输入提示词/内容以及提交支持申请等操作，
- 通过自动化方式：通过您使用本平台期间产生的日志、设备及分析记录，
- 通过第三方身份提供商：在您使用 Google/Microsoft/Apple 登录时从相关提供商处收集，
- 通过支付服务提供商：通过与订阅/支付交易相关的状态信息，
以完全或部分自动化的方式，或在构成数据记录系统一部分的前提下以非自动化的方式收集。
7. 保存期限
- 您的个人数据在您的账户处于活跃状态期间以及处理目的所需的期限内予以保存。
- 即使处理目的已消失，仍可能在相关法规（税务、商事、消费者及电子商务法规等）规定的法定保存期限内继续保存。
- 法定保存期限届满或处理条件消失时，您的数据将依据 KVKK 第 7 条予以删除、销毁或匿名化处理。
- 免账户试用（移动应用）： 试用记录在给予试用后 90 天删除，设备记录在设备最后一次用于试用后 90 天删除，未转入账户的结果在 24 小时后删除；最近的消息在最后一条消息后最多保留 24 小时，账户–设备关联保留 365 天。您可以随时在应用中删除试用数据（见 2.8）。
- 移动应用崩溃报告在服务器日志中保存最长 30 天。
- 删除请求： 您可以使用应用内的**"删除账户"**功能，或通过
/api/gdpr/requests提交删除（erasure）请求，要求删除/匿名化您的数据。在负有法定保存义务的数据不受影响的前提下，您的请求将依照法规予以满足。
8. 数据主体的权利（KVKK 第 11 条）
依据 KVKK 第 11 条，您有权向数据控制者提出申请，行使以下权利：
- 了解您的个人数据是否被处理，
- 如已被处理，请求获取相关信息，
- 了解处理的目的及数据是否按该目的使用，
- 知悉数据在境内或境外被传输至的第三方，
- 在数据处理不完整或不正确的情况下，请求予以更正，
- 在 KVKK 第 7 条规定的条件范围内，请求**删除或销毁（匿名化）**数据，
- 请求将所作的更正、删除及销毁操作通知数据被传输至的第三方，
- 对通过完全自动化系统分析所处理的数据而产生的对您不利的结果提出异议，
- 因违法处理而遭受损害时，请求赔偿损失。
此外，就基于明确同意的处理而言，您有权随时撤回您的同意。
9. 申请方式
依据《关于向数据控制者提出申请的程序与原则的公报》（"Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ"），您可以通过以下途径提交 KVKK 第 11 条范围内的请求：
- 通过电子邮件： 向
privacy@torun.ai发送书面申请，并附上能够证明您身份的信息， - 书面方式： 将申请亲自递交至第 1 节所列的公司注册地址，或通过公证人寄送至该地址，
- 应用内功能： 通过账户设置中的**"删除账户"**功能及相关数据请求工具（
/api/gdpr/requests）。
您的申请中须明确载明姓名、（书面申请时的）签名、您的联系方式以及请求的事项。您的申请将根据请求的性质尽快且最迟在三十（30）日内免费办结；但如相关操作另行产生费用，可按个人数据保护委员会（Kişisel Verileri Koruma Kurulu）确定的收费标准收取费用。
VERBİS 说明（供参考）： 公司就 VERBİS 的情况已在第 1 节中说明。如产生登记义务，或公司自愿进行登记，将完成登记簿记载并更新本声明。
10. 变更与生效
- 本告知书可能会根据法规变化及我们服务的更新予以更新。
- 最新文本自在本平台发布之日起生效。对于重大变更，可能会通过适当方式进行通知。
- 您可以随时通过本平台查阅本文件的最新版本。
补充性文件说明： 本 KVKK 个人数据保护告知书系为居住于土耳其的数据主体而编制；就土耳其境外的用户以及一般数据保护原则（包括 GDPR）而言，本告知书对现行有效的**隐私政策（Privacy Policy）**文件具有补充性质。如两份文件之间存在不一致，对于居住于土耳其的数据主体，以 KVKK 的规定及本告知书为准。