Datenschutzerklärung

Diese Datenschutzrichtlinie erläutert, wie ToRun („ToRun", „wir", „uns", „unser") als Verantwortlicher personenbezogene Daten erhebt, verwendet, weitergibt und schützt, wenn Sie auf den Dienst unter torun.ai und seinen Subdomains zugreifen. Sie wird durch Verweis in unsere Nutzungsbedingungen aufgenommen.

Wir haben diese Richtlinie verfasst, um die EU-Datenschutz-Grundverordnung 2016/679 (GDPR), die UK GDPR und den Data Protection Act 2018, das türkische Gesetz Nr. 6698 zum Schutz personenbezogener Daten (KVKK) und seine Durchführungsverordnungen, den California Consumer Privacy Act of 2018 (CCPA) in der durch den California Privacy Rights Act of 2020 (CPRA) geänderten Fassung, das brasilianische LGPD (Lei No. 13.709) sowie andere für unsere grenzüberschreitenden Tätigkeiten geltende Datenschutzgesetze einzuhalten.

Wenn Sie Fragen haben, kontaktieren Sie unseren Datenschutzbeauftragten unter /company/contact?category=legal.

1. Wer ist der Verantwortliche

ToRun bezeichnet in diesem Dokument die TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), die Aktiengesellschaft, die den Dienst erbringt; sie ist in der Türkei gegründet, beim İstanbul Ticaret Sicili Müdürlüğü unter der Nr. 1165311 eingetragen (MERSİS-Nr. 0857078305100001) und hat ihren Sitz in Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

ToRun ist der Verantwortliche für personenbezogene Daten, die im Zusammenhang mit dem Dienst verarbeitet werden, außer wo wir als Auftragsverarbeiter im Namen eines Organisationskunden handeln (zum Beispiel ein Enterprise-Mandant, der die Konten seiner Mitarbeiter verwaltet). In Auftragsverarbeitungsszenarien ist die Organisation der Verantwortliche, und wir sind durch einen gesonderten Auftragsverarbeitungsvertrag (DPA) gebunden.

Unser oben genannter Sitz ist zugleich unsere Postanschrift für Korrespondenz zum Datenschutz; Korrespondenz an /company/contact?category=legal erreicht unseren Datenschutzbeauftragten direkt.

2. Informationen, die wir erheben

2.1 Informationen, die Sie bereitstellen

• Kontodaten - E-Mail, Anzeigename, Passwort-Hash (niemals das Klartextpasswort), optionaler Avatar, Sprachpräferenz, Zeitzone und etwaige optionale Profilfelder (Biografie, Social-Media-Handles, Postanschrift, falls Sie sich für eine Rechnung entscheiden).
• Authentifizierungsdaten - wenn Sie sich über einen unterstützten Social-Anmeldeanbieter anmelden — derzeit Google, Microsoft oder X (ehemals Twitter) —, erhalten wir nur die begrenzten Profilinformationen, deren Weitergabe Sie diesem Anbieter gestatten. Dies sind typischerweise Ihre E-Mail-Adresse, Ihr Anzeigename, die URL Ihres Profilbilds und die Nutzer-ID des Anbieters; bei X kann dies auch Ihren X-Benutzernamen umfassen. Wir verwenden diese Daten ausschließlich, um Ihr Konto zu erstellen oder zuzuordnen und Sie zu authentifizieren. Wir erhalten niemals Ihr Passwort für den externen Anbieter, wir posten nicht in Ihrem Namen, und wir lesen weder Ihre Kontakte noch Ihr soziales Netzwerk.
• Abrechnungsinformationen - Rechnungsadresse, Umsatzsteuer-/Steueridentifikationsnummer (falls vorhanden), Rechnungspräferenzen. Die Zahlungsmittel selbst (Kartennummer, Bankkonto, Wallet-Token) werden vom Zahlungsdienstleister erhoben und gespeichert — bei Käufen auf der Website von unserem Merchant of Record Dodo Payments, bei Käufen in der mobilen App von Apple (App Store) oder Google (Google Play) — und erreichen uns nie. Zu jeder Transaktion erhalten wir nur, was wir für die Abstimmung benötigen: ihren Status, das Produkt, Betrag und Währung sowie bei Käufen auf der Website die Steuer und das Rechnungsland.
• BYOK-Zugangsdaten - API-Schlüssel dritter KI-Anbieter, die Sie hochzuladen wählen, verschlüsselt im Ruhezustand in einem Schlüsselverwaltungstresor gespeichert.
• Arbeitsbereichsinhalte - Konversationen, Eingabeaufforderungen, Systemanweisungen, Datei-Uploads, Workflow-Definitionen, Kommentare, Erinnerungen und alle anderen Inhalte, die Sie erstellen oder hochladen.
• Kommunikation mit uns - E-Mail, Chat, Support-Tickets, Antworten auf Zufriedenheitsumfragen.
• Runs-Guthaben - Ihr vorausbezahltes Nutzungsguthaben (Runs) und dessen Transaktionsverlauf (Aufladungen, Verbrauch, Rückerstattungs-Stornierungen).

2.2 Automatisch erhobene Informationen

• Nutzungstelemetrie - welche Routen Sie besuchen, welche Funktionen Sie nutzen, in Funktionen verbrachte Zeit, Fehlerereignisse, Leistungsmetriken (Anfragelatenz, Modelllatenz, Durchsatz).
• Gerät und Verbindung - IP-Adresse (für Analysen gekürzt; vollständig für Betrugs- und Sicherheitsuntersuchungen), User-Agent-Zeichenfolge, Browsersprache, Gerätetyp, Betriebssystem, Bildschirmauflösung.
• Cookies und ähnliche Technologien - siehe Abschnitt 11 (Cookies) für die vollständige Liste und Ihre Opt-out-Einstellungen.
• KI-Aufruf-Metadaten - ausgewähltes Modell, angefordertes Fähigkeitsset, Token-Anzahl, Latenz, Kosten, Finanzierungsquelle und angewendete BYOK-Stufe. Jeder KI-Aufruf erzeugt einen BillingRecord mit einer Preis-Momentaufnahme, der gemäß Abschnitt 8 (Aufbewahrung) aufbewahrt wird.
• Absturzberichte (mobile App) - stürzt die mobile App ab, während Sie angemeldet sind, sendet sie die Fehlermeldung, den technischen Fehlerverlauf (Stack-Trace), den Namen des Bildschirms, die App-, Update- und Betriebssystemversionen sowie den Zeitpunkt. Wir schreiben den Bericht zusammen mit Ihrer Benutzer-ID und dem User-Agent der App in unsere Server-Protokolle; er wird nicht in einer Datenbank gespeichert und mit den Protokollen nach spätestens 30 Tagen gelöscht.
• Geräteprüfung beim Testen ohne Konto (mobile App) - Ergebnisse der Geräteprüfung durch Apple (App Attest, DeviceCheck) oder Google (Play Integrity), ein schlüsselbasierter Hash einer Gerätekennung und ein schlüsselbasierter Hash Ihres IP-Netzwerkpräfixes; siehe Abschnitt 2.5.

2.3 Informationen von Dritten

• Zahlungsmetadaten von Dodo Payments für Käufe auf der Website sowie von Apple oder Google für Käufe in der mobilen App (oben beschrieben).
• Ergebnisse der Betrugs- und Risikoprüfung, die von unserem Merchant of Record / Zahlungsdienstleister bei Zahlungstransaktionen durchgeführt werden.
• Ergebnisse der automatisierten Moderation von unserem Anbieter für Inhaltsmoderation — die Klassifizierung, die zurückgegeben wird, wenn hochgeladene Bilder und öffentlich veröffentlichter Text geprüft werden (siehe unsere Richtlinie zur akzeptablen Nutzung).

2.4 Sensible Kategorien

Wir fordern keine Daten besonderer Kategorien (GDPR Artikel 9) an - Rasse, ethnische Herkunft, politische Meinungen, religiöse Überzeugungen, Gewerkschaftszugehörigkeit, genetische Daten, biometrische Daten, Gesundheit, Sexualleben, sexuelle Orientierung - oder „besondere" personenbezogene Daten nach KVKK Artikel 6. Wenn Sie solche Informationen freiwillig über Eingabeaufforderungen, Dateien oder Kommentare übermitteln, verarbeiten wir sie nur, soweit es zur Erbringung des Dienstes für Sie erforderlich ist, und wenden verstärkte Schutzmaßnahmen an.

2.5 Die mobile App ohne Konto testen

Sie können die mobile ToRun-App für begrenzte Zeit testen, ohne ein Konto anzulegen ("Test ohne Konto"). Während des Tests fragen wir weder nach Ihrem Namen noch nach Ihrer E-Mail-Adresse oder Telefonnummer. Um den Test bereitzustellen, um zu verhindern, dass er auf demselben Gerät immer wieder neu gestartet wird, und um Missbrauch zu verhindern, verarbeiten wir Folgendes:

• Geräteprüfung - die App bittet Apple (App Attest, DeviceCheck) oder Google (Play Integrity) zu bestätigen, dass Gerät und App echt sind, und unser Server prüft das Ergebnis bei diesen Diensten. Die Prüf-Token speichern wir nicht. Apple speichert für uns auf seinen eigenen Servern zwei Werte pro Gerät ("ein Test wurde gewährt", "auf diesem Gerät wurde ein Konto angelegt").
• Gerätekennung - unter iOS eine zufällige Kennung, die die App erzeugt und auf dem Gerät aufbewahrt; unter Android die app-spezifische Gerätekennung (ANDROID_ID). Das Gerät verlässt nur ein Einweg-Hash davon, und wir speichern diesen erst, nachdem wir ihn mit einem geheimen Schlüssel erneut gehasht haben (schlüsselbasierter Hash). Unter iOS speichern wir außerdem einen schlüsselbasierten Hash der App-Attest-Schlüsselkennung.
• Netzwerk - ein schlüsselbasierter Hash des Netzwerkpräfixes Ihrer IP-Adresse, niemals die vollständige Adresse, für die Tageslimits des Tests.
• Testdatensatz - wie viel vom Test noch übrig ist, sein Status und, falls ein Test abgelehnt wurde, der Grund.
• Was Sie ausprobieren - die Nachricht, die Sie eingeben, Ihr Sprachgespräch, das Foto, das Sie auswählen, und der Name, den Sie für ein Lied angeben, werden an den KI-Anbieter, der das Ergebnis erzeugt, und an unseren Anbieter für Inhaltsmoderation übermittelt (Abschnitt 5.1). Ihr Foto wird nur verwendet, um das Bild zu erstellen, und wird nicht gespeichert. Ein Sprachgespräch wird nicht aufgezeichnet, und sein Transkript wird nicht gespeichert. Ihre letzten Nachrichten werden bis zu 24 Stunden nach Ihrer letzten Nachricht aufbewahrt, damit die nächste Antwort den Zusammenhang kennt; sie werden nicht als Unterhaltung gespeichert. Was der Test erzeugt (ein Lied, ein Bild), wird 24 Stunden aufbewahrt und dann gelöscht.

Aufbewahrung. Testdatensätze werden 90 Tage nach Gewährung des Tests automatisch gelöscht, Gerätedatensätze 90 Tage nach der letzten Nutzung des Geräts für den Test. Wenn Sie aus dem Test heraus ein Konto anlegen, wird die Verknüpfung zwischen Konto und Gerät 365 Tage aufbewahrt, damit ein zweites auf demselben Gerät angelegtes Konto das Willkommensgeschenk nicht erneut erhält. Der Abrechnungsdatensatz dessen, was der Test verbraucht hat, wird 5 Jahre aufbewahrt, wie es das Buchhaltungsrecht verlangt; er bezeichnet den Test, nicht Sie, und enthält den schlüsselbasierten Hash des Netzwerkpräfixes, der entfernt wird, wenn Sie Ihre Testdaten löschen.

Wenn Sie ein Konto anlegen. Was Sie während des Tests erstellt haben, wird in die Bibliothek Ihres Kontos übernommen und von da an als Teil Ihres Kontos aufbewahrt; der Gerätedatensatz wird mit Ihrem Konto verknüpft.

Rechtsgrundlage. Unser berechtigtes Interesse, den Dienst sicher zu halten und den Missbrauch eines kostenlosen Tests zu verhindern (GDPR Art. 6 Abs. 1 lit. f; KVKK Art. 5 Abs. 2 lit. f), sowie die Bereitstellung des von Ihnen gewünschten Tests (GDPR Art. 6 Abs. 1 lit. b; KVKK Art. 5 Abs. 2 lit. c). Die Übermittlung von Daten an die Prüfdienste von Apple und Google und an KI-Anbieter ist eine internationale Übermittlung und fällt unter Abschnitt 6.

Löschen Ihrer Testdaten. Sie können Ihre Testdaten jederzeit in der App löschen, ohne Konto: Öffnen Sie auf dem Willkommensbildschirm "Deine Testdaten" und wählen Sie "Meine Testdaten löschen". Das Gerät wird auf dieselbe Weise geprüft wie beim Test selbst, sodass niemand sonst Ihre Testdaten löschen oder etwas über sie erfahren kann. Danach bewahren wir nur einen Vermerk auf, dass dieses Gerät seinen Test genutzt hat (nichts weiter, höchstens 90 Tage), und für einen Tag, dass in Ihrem Netzwerk ein Test genutzt wurde, damit der Test nicht einfach neu gestartet werden kann. Wenn Sie ein Konto angelegt haben, löscht die Löschung des Kontos auch die damit verknüpften Testdatensätze. Die zwei Werte, die Apple für ein Gerät speichert, sind nicht mit Ihnen verknüpft; wir setzen sie nicht zurück, weil ein Zurücksetzen einen neuen Test auf diesem Gerät ermöglichen würde.

3. Wie wir Ihre Informationen verwenden

Wir verwenden personenbezogene Daten für die folgenden Zwecke:

#	Zweck	Rechtsgrundlage GDPR Artikel 6	KVKK-Grundlage
a	Betrieb des Dienstes (Konto, Routing, Dashboards, Benachrichtigungen)	Vertrag (Art. 6(1)(b))	Vertragserfüllung
b	Abrechnung, Betrugsverhütung, Einhaltung von Geldwäschegesetzen	Vertrag; rechtliche Verpflichtung (Art. 6(1)(b), (c))	Vertragserfüllung; rechtliche Verpflichtung
c	Versand von Transaktions-E-Mails (Belege, Passwortrücksetzungen, Sicherheitswarnungen)	Vertrag (Art. 6(1)(b))	Vertragserfüllung
d	Verbesserung, Fehlerbehebung und Absicherung des Dienstes	Berechtigtes Interesse (Art. 6(1)(f))	Berechtigtes Interesse
e	Versand von Marketingmitteilungen (nur Opt-in)	Einwilligung (Art. 6(1)(a))	Ausdrückliche Einwilligung
f	Bearbeitung Ihrer Betroffenenanfragen	Rechtliche Verpflichtung (Art. 6(1)(c))	Rechtliche Verpflichtung
g	Verteidigung gegen Rechtsansprüche; Einhaltung gerichtlicher Anordnungen	Rechtliche Verpflichtung; berechtigtes Interesse	Rechtliche Verpflichtung
h	Trainieren, Feinabstimmen oder anderweitiges Verbessern unserer eigenen KI-Modelle	Wir tun dies NICHT mit Ihren Inhalten	nicht zutreffend

3.1 Wir trainieren nicht mit Ihren Inhalten

ToRun verwendet Ihre Eingabeaufforderungen, Dateien, Konversationen oder erzeugten Ausgaben nicht, um irgendein KI-Modell zu trainieren, feinabzustimmen oder anderweitig zu verbessern, weder unser eigenes noch das eines Dritten. Wenn Sie BYOK verwenden, richtet sich die Trainingshaltung des dritten Anbieters nach den Bedingungen dieses Anbieters; wir empfehlen, diese zu prüfen. Bei Nicht-BYOK-Aufrufen nutzen wir Anbieter zu vertraglichen Bedingungen, die es ihnen untersagen, mit den Inhalten unserer Kunden zu trainieren.

4. Cookies und ähnliche Technologien

Wir verwenden Cookies und ähnliche Speicher (localStorage, IndexedDB) für:

• Unbedingt erforderlich - Authentifizierung (OpenIddict-Zugriffstoken, Refresh-Token), Sitzungskontinuität, Anti-CSRF-Token, Lastausgleichs-Affinität, Persistenz der Cookie-Einwilligung.
• Funktional - Sprachpräferenz, Design (dunkel/hell/gedämpft), zuletzt verwendeter Arbeitsbereich, zuletzt ausgewähltes Modell.
• Analyse - aggregierte Nutzungsanalysen, in unserem Analyse-Warehouse niemals mit einer realen Identität verknüpft (wir verwenden einen gesalzenen Geräte-Hash, nicht Ihre Nutzer-ID).
• Marketing - standardmäßig deaktiviert; wenn Sie sich anmelden, können wir Erstanbieter-Attributions-Cookies setzen.

Sie können diese Einstellungen im Cookie-Banner beim ersten Besuch verwalten und jederzeit über den Link Cookie-Einstellungen in der Fußzeile ändern. Einige unbedingt erforderliche Cookies können nicht deaktiviert werden, da der Dienst ohne sie nicht funktionieren würde.

5. Wie wir personenbezogene Daten weitergeben

Wir geben personenbezogene Daten nur weiter, soweit es zum Betrieb des Dienstes erforderlich ist. Wir verkaufen personenbezogene Daten niemals im Sinne des CCPA/CPRA (Civil Code 1798.140(t)).

5.1 Unterauftragsverarbeiter

Unsere aktuellen Unterauftragsverarbeiter sind in Anhang III unseres Auftragsverarbeitungsvertrags aufgeführt, der bei einem Anbieterwechsel aktualisiert wird. Zusammengefasst:

• Dodo Payments - Merchant of Record für Käufe auf der Website: Zahlungsabwicklung, Rechnungsstellung, Steuerabwicklung, Rückerstattungen und Rückbuchungen.
• Apple (App Store) und Google (Google Play) - Zahlungsabwicklung für Käufe in der mobilen App, die der Store zu seinen eigenen Bedingungen verkauft.
• Bunny.net (BunnyWay d.o.o.) (Slowenien) - Objektspeicher, CDN, Bild- und Video-Optimierer, Video-Streaming.
• Microsoft Azure / Hetzner / OVH - Infrastruktur-Hosting (Region hängt von der Wahl des Mandanten ab).
• Kafka-kompatible Event-Streaming-Anbieter - Echtzeit-Event-Bus für transaktionalen Outbox und Analysen.
• Dritte KI-Anbieter - welcher Anbieter eine bestimmte Anfrage erhält, hängt von der angeforderten Funktion und dem Modell ab, das Sie oder Ihre Routing-Einstellungen auswählen; die derzeit verfügbaren Anbieter und Modelle sind im Dienst aufgeführt. KI-Anbieter erhalten die zur Erfüllung Ihrer konkreten Anfrage erforderlichen Mindestinhalte, und nur dann, wenn Sie (oder Ihre Routing-Einstellungen) das Senden einer Anfrage an sie veranlassen.
• Anbieter für Inhaltsmoderation (OpenAI) - automatisierte Prüfung hochgeladener Bilder und öffentlich veröffentlichten Textes zur Erkennung verbotener Inhalte gemäß unserer Richtlinie zur akzeptablen Nutzung. Zahlungsbezogene KYC-/AML-Prüfungen werden von unserem Merchant of Record durchgeführt.
• Anbieter für E-Mail- und Benachrichtigungszustellung - Transaktions-E-Mails (Belege, Passwortrücksetzungen, Sicherheitswarnungen).
• Analyse- und Produktverbesserungswerkzeuge - aggregierte Nutzungsanalysen auf vertraglicher Kein-PII-Basis.
• Kundensupport-Werkzeuge - zur Bearbeitung Ihrer Tickets und Rückmeldungen.
• Geräteprüfdienste von Apple und Google (App Attest und DeviceCheck; Play Integrity) - um beim Testen der mobilen App ohne Konto zu bestätigen, dass Gerät und App echt sind (Abschnitt 2.5).
• Google Maps Platform - Ortssuche, Ortsdetails, Wegbeschreibungen und Karten, wenn Sie nach Orten fragen oder Ihren Standort teilen; in der iOS-App werden manche Karten von Apple Karten gezeichnet.

5.2 Rechtliche Offenlegungen

Wir können personenbezogene Daten gegenüber Strafverfolgungsbehörden, Aufsichtsbehörden oder Gerichten als Reaktion auf eine gültige rechtliche Anfrage (Vorladung, gerichtliche Anordnung, Durchsuchungsbefehl, behördliche Aufforderung) offenlegen, die nach geltendem Recht ergeht. Wo zulässig, benachrichtigen wir Sie vor der Offenlegung, damit Sie eine Schutzanordnung beantragen können.

5.3 Unternehmensübergänge

Wenn wir an einer Fusion, Übernahme, Finanzierung oder dem Verkauf im Wesentlichen aller unserer Vermögenswerte beteiligt sind, können personenbezogene Daten als Teil dieser Transaktion übertragen werden. Wir benachrichtigen betroffene Nutzer und geben ihnen eine sinnvolle Gelegenheit, Widerspruch einzulegen oder ihr Konto zu schließen, bevor die Übertragung wirksam wird, außer wo eine Benachrichtigung gesetzlich ausgeschlossen ist.

5.4 Mit Ihrer Einwilligung

Wir geben personenbezogene Daten für jeden oben nicht aufgeführten Zweck nur mit Ihrer ausdrücklichen Einwilligung weiter.

6. Internationale Datenübermittlungen

ToRun ist von Istanbul, Türkei, aus tätig und nutzt Unterauftragsverarbeiter in der Europäischen Union, im Vereinigten Königreich, in den Vereinigten Staaten und in anderen Rechtsordnungen. Wann immer wir personenbezogene Daten außerhalb Ihres Wohnsitzlandes übermitteln, stützen wir uns auf einen rechtmäßigen Übermittlungsmechanismus:

• GDPR Kapitel V - EU-Standardvertragsklauseln (Durchführungsbeschluss 2021/914 der Kommission) zuzüglich ergänzender Maßnahmen (Verschlüsselung bei der Übertragung und im Ruhezustand, eingeschränkter Zugang, Audit-Protokollierung) gemäß der EDSA-Empfehlung 01/2020.
• UK GDPR - UK International Data Transfer Addendum zu den EU-SCCs.
• KVKK Artikel 9 - ausdrückliche Einwilligung oder eine der Garantien nach Artikel 9(2) (verbindliche Verpflichtung, Anerkennung eines angemessenen Landes).
• Angemessenheitsbeschlüsse - wo die Europäische Kommission einen Angemessenheitsbeschluss erlassen hat, können wir uns darauf stützen.

Sie können eine Kopie der Dokumentation des Übermittlungsmechanismus anfordern, indem Sie an /company/contact?category=legal schreiben.

7. Sicherheit

Wir wenden technische und organisatorische Maßnahmen an, die den Risiken der Verarbeitung personenbezogener Daten angemessen sind, einschließlich:

• Verschlüsselung bei der Übertragung für jede API-Anfrage über TLS 1.3.
• Verschlüsselung im Ruhezustand für BYOK-Geheimnisse, Abrechnungsdaten, Audit-Protokolle und Dokumentinhalte über einen Cloud-Schlüsselverwaltungsdienst.
• Zugangskontrolle - rollenbasiert, nach dem Prinzip der geringsten Rechte, mit obligatorischer Mehrfaktor-Authentifizierung für Mitarbeiter; Zugang vierteljährlich überprüft.
• Audit-Protokollierung - hash-verkettete, manipulationssichere Protokolle für Abrechnungs-, Moderations- und Verwaltungsmaßnahmen, 5 Jahre aufbewahrt.
• Netzwerksicherheit - Ratenbegrenzung, Web-Application-Firewalling, Anomalieerkennung, Abwehr von Denial-of-Service-Angriffen.
• Schwachstellenmanagement - automatisiertes Scannen von Abhängigkeiten, Code-Review-Kontrollen, halbjährliche Penetrationstests durch ein unabhängiges Unternehmen.
• Vorfallreaktion - dokumentierte Runbooks, Bereitschaftsdienst-Rotation, Verfahren zur Benachrichtigung über Datenschutzverletzungen.
• Sorgfaltsprüfung von Anbietern - alle Unterauftragsverarbeiter werden vor dem Onboarding anhand unseres Sicherheits- und Datenschutzstandards überprüft.

Kein System ist vollkommen sicher. Wenn Ihnen ein Sicherheitsproblem bekannt wird, melden Sie es bitte unter /company/contact?category=trust, damit wir es untersuchen können.

8. Datenaufbewahrung

Datenkategorie	Aufbewahrungsfrist
Kontoprofil und Zugangsdaten	Lebensdauer des Kontos + 30 Tage
Arbeitsbereichsinhalte (Chats, Dateien, Workflows)	Lebensdauer des Kontos + 30 Tage
BillingRecord und Rechnungen	5 Jahre (gesetzliche Buchhaltung und Prüfung)
Audit-Protokolle (hash-verkettet)	5 Jahre (Abschnitt 7)
Steuerrelevante Dokumente	10 Jahre (türkisches Steuerrecht)
Aufzeichnungen über Marketing-Einwilligungen	Lebensdauer der Einwilligung + 3 Jahre
Transaktions-E-Mail-Protokolle	12 Monate
Web-Analysen (aggregiert, ohne PII)	26 Monate
BYOK-Geheimnismaterial	Bis Sie den Schlüssel entfernen, zuzüglich 30 Tage Karenzzeit
Datensätze zum Testen ohne Konto (mobile App)	90 Tage nach Gewährung des Tests
Gerätedatensätze zum Testen ohne Konto	90 Tage nach der letzten Nutzung des Geräts für den Test
Testergebnisse, die nicht in ein Konto übernommen wurden	24 Stunden
Testnachrichten (Zusammenhang für die nächste Antwort)	Bis zu 24 Stunden nach der letzten Nachricht
Vermerk, dass ein Gerät seinen Test genutzt hat (nach dem Löschen Ihrer Testdaten)	Höchstens 90 Tage
Verknüpfung Konto–Gerät nach einem Test ohne Konto	365 Tage
Absturzberichte der mobilen App (Server-Protokolle)	Höchstens 30 Tage

Geschlossene Konten werden sofort soft-gelöscht und 30 Tage nach der Schließung hart gelöscht (kryptografische Löschung, wo unterstützt, andernfalls sicheres Überschreiben), vorbehaltlich der oben genannten Aufbewahrungsanforderungen.

9. Ihre Rechte (GDPR / UK GDPR)

Wenn die GDPR oder UK GDPR auf Sie anwendbar ist, haben Sie die folgenden Rechte in Bezug auf Ihre personenbezogenen Daten:

• Auskunft (Artikel 15) - eine Kopie der von uns verarbeiteten personenbezogenen Daten und Informationen über diese Verarbeitung erhalten.
• Berichtigung (Artikel 16) - unrichtige oder unvollständige Daten berichtigen.
• Löschung (Artikel 17, das „Recht auf Vergessenwerden") - die Löschung unter bestimmten Umständen verlangen.
• Einschränkung (Artikel 18) - verlangen, dass wir die Verarbeitung bis zur Überprüfung aussetzen.
• Datenübertragbarkeit (Artikel 20) - Ihre Daten in einem strukturierten, gängigen, maschinenlesbaren Format erhalten.
• Widerspruch (Artikel 21) - der auf berechtigten Interessen beruhenden Verarbeitung widersprechen; Sie haben ein uneingeschränktes Recht, der Direktwerbung zu widersprechen.
• Automatisierte Entscheidungsfindung und Profiling (Artikel 22) - nicht einer ausschließlich auf automatisierter Verarbeitung beruhenden Entscheidung unterworfen werden, die rechtliche Wirkung entfaltet oder Sie in ähnlicher Weise erheblich beeinträchtigt (siehe Abschnitt 13).
• Widerruf der Einwilligung jederzeit, ohne dass die Rechtmäßigkeit der vor dem Widerruf erfolgten Verarbeitung berührt wird.
• Beschwerde einreichen bei der Aufsichtsbehörde in dem EU-/UK-Mitgliedstaat, in dem Sie leben, arbeiten oder in dem die mutmaßliche Verletzung stattgefunden hat.

Um diese Rechte auszuüben, reichen Sie eine Betroffenenanfrage über das Dashboard Ihres Kontos oder per E-Mail an /company/contact?category=legal ein. Wir antworten innerhalb von 30 Tagen (Artikel 12(3)). Wo angemessen, können wir Ihre Identität überprüfen, bevor wir antworten.

Wenn Sie die mobile App ohne Konto getestet haben, können Sie Ihre Testdaten direkt in der App löschen (Abschnitt 2.5). Da wir nichts aufbewahren, das Sie als Gast identifiziert, können wir einen Test nicht anhand einer E-Mail-Anfrage finden.

10. Ihre Rechte (KVKK - Türkei)

Nutzer in der Türkei können unseren vollständigen KVKK Aydınlatma Metni (Datenschutz-Informationshinweis) mit den ausführlichen Angaben lesen.

Nach Artikel 11 des türkischen KVKK haben Sie das Recht:

• zu erfahren, ob Ihre personenbezogenen Daten verarbeitet werden;
• Informationen anzufordern, wenn Ihre Daten verarbeitet wurden;
• den Zweck der Verarbeitung zu erfahren und ob die Daten in Übereinstimmung mit diesem Zweck verwendet werden;
• zu erfahren, an wen personenbezogene Daten im In- und Ausland übermittelt wurden;
• die Berichtigung unvollständiger oder unrichtiger Daten zu verlangen;
• die Löschung oder Vernichtung personenbezogener Daten zu verlangen;
• die Benachrichtigung Dritter, an die die Daten übermittelt wurden, über jede Berichtigung, Löschung oder Vernichtung zu verlangen;
• einer Entscheidung zu widersprechen, die ausschließlich auf automatisierter Verarbeitung beruht und nachteilige Ergebnisse hervorbringt;
• Schadensersatz für Schäden zu fordern, die aus einer rechtswidrigen Verarbeitung entstehen.

Sie können diese Rechte ausüben, indem Sie an /company/contact?category=legal schreiben oder eine Anfrage über das Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ einreichen. Wir antworten innerhalb von 30 Tagen nach Erhalt einer ordnungsgemäß gestellten Anfrage.

Beschwerden können bei der Kişisel Verileri Koruma Kurumu (KVKK) unter kvkk.gov.tr eingereicht werden.

11. Ihre Rechte (CCPA / CPRA - Einwohner Kaliforniens)

Einwohner Kaliforniens haben das Recht:

• die Kategorien der von uns erhobenen personenbezogenen Informationen, die Quellen, die Zwecke und die Kategorien Dritter, mit denen wir sie teilen, zu erfahren (Civil Code 1798.110, 1798.115).
• personenbezogene Informationen vorbehaltlich von Ausnahmen zu löschen (1798.105).
• unrichtige personenbezogene Informationen zu berichtigen (1798.106, CPRA).
• die Verwendung und Offenlegung sensibler personenbezogener Informationen zu beschränken (1798.121).
• jedem „Verkauf" oder „Teilen" für kontextübergreifende verhaltensbasierte Werbung zu widersprechen. Wir verkaufen keine personenbezogenen Informationen, und wir teilen sie nicht für kontextübergreifende verhaltensbasierte Werbung.
• Nichtdiskriminierung - wir werden Ihnen keine Dienste verweigern, keine anderen Preise berechnen oder eine geringere Dienstqualität bereitstellen, weil Sie ein Datenschutzrecht ausgeübt haben.

Um Ihre CCPA-Rechte auszuüben, senden Sie eine E-Mail an /company/contact?category=legal. Sie können einen bevollmächtigten Vertreter benennen, der mit nachprüfbarer schriftlicher Genehmigung in Ihrem Namen handelt.

12. Privatsphäre von Kindern

Der Dienst richtet sich nicht an Kinder unter 13 Jahren (oder das in Ihrer Rechtsordnung geltende Alter der digitalen Einwilligung, zum Beispiel 16 in einigen EU-Mitgliedstaaten). Wir erheben wissentlich keine personenbezogenen Daten von Kindern unter diesen Altersgrenzen. Wenn Sie glauben, dass ein Kind uns personenbezogene Daten bereitgestellt hat, kontaktieren Sie /company/contact?category=legal, und wir werden die Daten umgehend löschen.

13. Automatisierte Entscheidungsfindung

Der Dienst verwendet automatisierte Entscheidungsfindung, um:

• KI-Aufrufe auf Grundlage von Fähigkeit und Preis an bestimmte Anbieter zu leiten;
• Inhalte mithilfe automatisierter Klassifikatoren zur Moderationsprüfung zu kennzeichnen;
• Betrug und Missbrauch mithilfe von Risikobewertungssystemen zu erkennen;
• Abrechnungs- und Nutzungsdatensätze abzustimmen.

Diese Entscheidungen entfalten in den meisten Fällen keine rechtliche Wirkung im Sinne von GDPR Artikel 22, aber wo sie es tun (zum Beispiel eine Entscheidung, ein Konto wegen Betrugs dauerhaft zu kündigen), können Sie eine menschliche Überprüfung anfordern, indem Sie an /company/contact?category=legal schreiben.

14. Marketingmitteilungen

Wir versenden Marketing-E-Mails nur mit Ihrer vorherigen, freiwillig erteilten, informierten Einwilligung. Jede Marketing-E-Mail enthält einen Abmeldelink, und Sie können Marketingpräferenzen in Ihren Kontoeinstellungen verwalten. Transaktionsnachrichten (Sicherheitswarnungen, Abrechnungsbelege, Passwortrücksetzungen, wichtige Dienstaktualisierungen) sind kein Marketing, und Sie können sie nicht abbestellen, solange Ihr Konto geöffnet ist.

Wenn Sie sich für Produkt-Updates anmelden, Ihre Adresse aber nicht bestätigen, löschen wir die Anmeldung nach 30 Tagen.

15. Benachrichtigung über Datenschutzverletzungen

Wir benachrichtigen die zuständige Aufsichtsbehörde und die betroffenen Personen über jede Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von 72 Stunden, nachdem uns die Verletzung bekannt geworden ist, sofern die Verletzung voraussichtlich zu einem Risiko für Ihre Rechte und Freiheiten führt (GDPR Artikel 33; KVKK-Kommuniqué über die Benachrichtigung von Verletzungen des Schutzes personenbezogener Daten).

Benachrichtigungen werden an die E-Mail-Adresse Ihres Kontos und gegebenenfalls an eine öffentliche Vorfallseite unter torun.ai/incidents gesendet.

16. Cookies, Tracking und Do-Not-Track

Wir berücksichtigen das Global Privacy Control-Signal (GPC), wo anwendbar. Wir reagieren nicht auf veraltete „Do Not Track"-Browser-Header, da es keinen Branchenkonsens darüber gibt, was sie bedeuten. Auf Cookie-Ebene in unserem Banner festgelegte Einstellungen werden sofort wirksam und über Ihre Sitzungen hinweg synchronisiert.

17. Änderungen dieser Richtlinie

Wir können diese Richtlinie von Zeit zu Zeit aktualisieren. Die aktuelle Version ist stets unter torun.ai/privacy-policy mit einem Wirksamkeitsdatum und einer Versionsnummer verfügbar. Wesentliche Änderungen werden mindestens 30 Tage vor ihrem Inkrafttreten per E-Mail mitgeteilt. Die neueste Version ist maßgeblich; archivierte Versionen sind auf Anfrage verfügbar.

18. Kontakt und Aufsichtsbehörden

Datenschutzbeauftragter: /company/contact?category=legal

Postanschrift: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Aufsichtsbehörden:

• Türkei - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• Europäische Union - finden Sie Ihre lokale Datenschutzbehörde unter edpb.europa.eu/about-edpb/about-edpb/members_en
• Vereinigtes Königreich - ICO - ico.org.uk
• Kalifornien, USA - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Wenn Sie mit unserer Antwort auf Ihre Anfrage nicht zufrieden sind, haben Sie das Recht, eine Beschwerde bei der für Ihre Rechtsordnung zuständigen Aufsichtsbehörde einzureichen.

19. Sprache

Diese Richtlinie wird in englischer Sprache als maßgebliche Version bereitgestellt. Übersetzungen werden zur Erleichterung angeboten; im Falle eines Widerspruchs zwischen der englischen Version und einer Übersetzung ist die englische Version maßgeblich, außer wo zwingendes Datenschutzrecht Ihres Landes etwas anderes erfordert.