Política de Privacidad

Esta Política de Privacidad explica cómo ToRun ('ToRun', 'nosotros', 'nos', 'nuestro'), en calidad de responsable del tratamiento, recopila, utiliza, comparte y protege los datos personales cuando usted accede al Servicio en torun.ai y sus subdominios. Se incorpora por referencia a nuestras Condiciones del Servicio.

Hemos redactado esta política para cumplir con el Reglamento General de Protección de Datos de la UE 2016/679 (GDPR), el UK GDPR y la Data Protection Act 2018, la Ley Turca de Protección de Datos Personales n.º 6698 (KVKK) y sus reglamentos de desarrollo, la California Consumer Privacy Act of 2018 (CCPA) en su versión modificada por la California Privacy Rights Act of 2020 (CPRA), la LGPD brasileña (Lei No. 13.709) y otras leyes de privacidad que se aplican a nuestras operaciones transfronterizas.

Si tiene preguntas, contacte con nuestro Delegado de Protección de Datos en /company/contact?category=legal.

1. Quién es el responsable del tratamiento

En este documento, ToRun designa a TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), la sociedad anónima que presta el Servicio, constituida en Turquía e inscrita en el İstanbul Ticaret Sicili Müdürlüğü con el n.º 1165311 (n.º MERSİS 0857078305100001), con domicilio social en Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

ToRun es el responsable del tratamiento de los datos personales tratados en relación con el Servicio, salvo cuando actuamos como encargado del tratamiento en nombre de un cliente Organización (por ejemplo, un inquilino empresarial que gestiona las cuentas de sus empleados). En los supuestos de encargo, la Organización es el responsable del tratamiento y nosotros quedamos vinculados por un Anexo de Tratamiento de Datos (DPA) independiente.

Nuestro domicilio social indicado arriba es también nuestra dirección postal para la correspondencia sobre protección de datos; la correspondencia dirigida a /company/contact?category=legal llega directamente a nuestro Delegado de Protección de Datos.

2. Información que recopilamos

2.1 Información que usted proporciona

• Datos de la cuenta - correo electrónico, nombre para mostrar, hash de la contraseña (nunca la contraseña en texto plano), avatar opcional, preferencia de idioma, zona horaria y cualquier campo de perfil opcional (biografía, identificadores en redes sociales, dirección postal si opta por recibir una factura).
• Credenciales de autenticación - si inicia sesión a través de un proveedor externo de inicio de sesión social compatible — actualmente Google, Microsoft o X (anteriormente Twitter) — recibimos únicamente la información de perfil limitada que usted autoriza a dicho proveedor a compartir. Normalmente se trata de su dirección de correo electrónico, su nombre para mostrar, la URL de la imagen de perfil y el identificador de usuario del proveedor; en el caso de X, esto también puede incluir su nombre de usuario de X. Utilizamos estos datos únicamente para crear o asociar su Cuenta y para autenticarle. Nunca recibimos su contraseña del proveedor externo, no publicamos en su nombre y no leemos sus contactos ni su grafo social.
• Información de facturación - dirección de facturación, identificador de IVA/fiscal (si lo hay), preferencias de factura. Los propios instrumentos de pago (número de tarjeta, cuenta bancaria, token de monedero) son recopilados y almacenados por el procesador de pagos — nuestro Comerciante Registrado, Dodo Payments, en las compras realizadas en el sitio web, o Apple (App Store) o Google (Google Play) en las compras realizadas en la aplicación móvil — y nunca llegan a nosotros. De cada transacción recibimos únicamente lo necesario para conciliarla: su estado, el producto, el importe y la divisa y, en las compras realizadas en el sitio web, el impuesto y el país de facturación.
• Credenciales de BYOK - las claves de API de proveedores de IA externos que usted decida cargar, almacenadas cifradas en reposo en una bóveda de gestión de claves.
• Contenido del espacio de trabajo - conversaciones, indicaciones, instrucciones del sistema, archivos cargados, definiciones de flujos de trabajo, comentarios, memorias y cualquier otro contenido que cree o cargue.
• Comunicaciones con nosotros - correo electrónico, chat, tickets de soporte, respuestas a encuestas de satisfacción.
• Saldo de Runs - su saldo de créditos de uso prepagados (Runs) y su historial de transacciones (recargas, consumo, reversiones por reembolso).

2.2 Información recopilada automáticamente

• Telemetría de uso - qué rutas visita, qué funciones utiliza, tiempo invertido en las funciones, eventos de error, métricas de rendimiento (latencia de las solicitudes, latencia del modelo, rendimiento).
• Dispositivo y conexión - dirección IP (truncada para análisis; completa para investigaciones de fraude y seguridad), cadena de agente de usuario, idioma del navegador, tipo de dispositivo, sistema operativo, resolución de pantalla.
• Cookies y tecnologías similares - consulte la Sección 11 (Cookies) para la lista completa y sus controles de exclusión.
• Metadatos de llamadas de IA - modelo seleccionado, conjunto de capacidades solicitado, recuentos de tokens, latencia, coste, fuente de fondos y nivel de BYOK aplicado. Cada llamada de IA produce un BillingRecord con una instantánea de precios, conservado según la Sección 8 (Conservación).
• Informes de fallos (aplicación móvil) - si la aplicación móvil falla mientras usted tiene la sesión iniciada, envía el mensaje de error, la traza técnica del error, el nombre de la pantalla, las versiones de la aplicación, de la actualización y del sistema operativo, y la hora. Escribimos el informe en nuestros registros del servidor junto con su ID de usuario y el agente de usuario (user-agent) de la aplicación; no se almacena en ninguna base de datos y se elimina con los registros en un plazo máximo de 30 días.
• Verificación del dispositivo en la prueba sin cuenta (aplicación móvil) - resultados de verificación del dispositivo de Apple (App Attest, DeviceCheck) o de Google (Play Integrity), un hash con clave de un identificador del dispositivo y un hash con clave del prefijo de red de su dirección IP; véase la Sección 2.5.

2.3 Información procedente de terceros

• Metadatos de pago de Dodo Payments para las compras realizadas en el sitio web, y de Apple o Google para las compras realizadas en la aplicación móvil (descritos anteriormente).
• Resultados de cribado de fraude y riesgo realizados por nuestro Comerciante Registrado (Merchant of Record) / procesador de pagos sobre las transacciones de pago.
• Resultados de moderación automatizada de nuestro proveedor de moderación de contenido - la clasificación devuelta cuando se analizan las imágenes cargadas y el texto publicado públicamente (consulte nuestra Política de Uso Aceptable).

2.4 Categorías sensibles

No solicitamos datos de categorías especiales (Artículo 9 del GDPR) - raza, etnia, opiniones políticas, creencias religiosas, afiliación sindical, datos genéticos, datos biométricos, salud, vida sexual, orientación sexual - ni datos personales «especiales» del Artículo 6 de la KVKK. Si usted envía dicha información voluntariamente a través de indicaciones, archivos o comentarios, la tratamos únicamente en la medida necesaria para prestarle el Servicio y aplicamos protecciones reforzadas.

2.5 Probar la aplicación móvil sin una cuenta

Puede probar la aplicación móvil de ToRun durante un tiempo limitado sin crear una cuenta (la "prueba sin cuenta"). Durante la prueba no le pedimos su nombre, su dirección de correo electrónico ni su número de teléfono. Para ofrecer la prueba, evitar que se inicie una y otra vez en el mismo dispositivo y prevenir abusos, tratamos lo siguiente:

• Verificación del dispositivo - la aplicación pide a Apple (App Attest, DeviceCheck) o a Google (Play Integrity) que confirmen que el dispositivo y la aplicación son auténticos, y nuestro servidor comprueba el resultado con ellos. No almacenamos los tokens de verificación. Apple guarda para nosotros, en sus propios servidores, dos valores por dispositivo ("se concedió una prueba", "se creó una cuenta en este dispositivo").
• Identificador del dispositivo - en iOS, un identificador aleatorio que la aplicación crea y conserva en el dispositivo; en Android, el identificador de dispositivo propio de la aplicación (ANDROID_ID). Del dispositivo solo sale un hash unidireccional de él, y solo lo almacenamos después de volver a aplicarle un hash con una clave secreta (hash con clave). En iOS también almacenamos un hash con clave del identificador de la clave de App Attest.
• Red - un hash con clave del prefijo de red de su dirección IP, nunca la dirección completa, para los límites diarios de la prueba.
• Registro de la prueba - cuánto queda de la prueba, su estado y, si se denegó una prueba, el motivo.
• Lo que prueba - el mensaje que escribe, su conversación de voz, la foto que elige y el nombre que indica para una canción se envían al proveedor de IA que genera el resultado y a nuestro proveedor de moderación de contenidos (Sección 5.1). Su foto se utiliza únicamente para crear la imagen y no se almacena. Una conversación de voz no se graba y su transcripción no se almacena. Sus últimos mensajes se conservan hasta 24 horas después de su último mensaje, para que la siguiente respuesta tenga contexto; no se guardan como conversación. Lo que genera la prueba (una canción, una imagen) se conserva durante 24 horas y después se elimina.

Conservación. Los registros de la prueba se eliminan automáticamente 90 días después de concederse la prueba, y los registros del dispositivo 90 días después del último uso del dispositivo para la prueba. Si crea una cuenta a partir de la prueba, el vínculo entre la cuenta y el dispositivo se conserva durante 365 días, para que una segunda cuenta creada en el mismo dispositivo no vuelva a recibir el regalo de bienvenida. El registro de facturación de lo que consumió la prueba se conserva durante 5 años, como exige la legislación contable; identifica la prueba, no a usted, y contiene el hash con clave del prefijo de red, que se elimina si borra sus datos de prueba.

Si crea una cuenta. Lo que creó durante la prueba pasa a la Biblioteca de su cuenta y, a partir de entonces, se conserva como parte de su cuenta; el registro del dispositivo se vincula a su cuenta.

Base jurídica. Nuestro interés legítimo en mantener la seguridad del servicio y prevenir el abuso de una prueba gratuita (art. 6.1.f del GDPR; art. 5/2-f de la KVKK), y la prestación de la prueba que usted solicitó (art. 6.1.b del GDPR; art. 5/2-c de la KVKK). El envío de datos a los servicios de verificación de Apple y Google y a los proveedores de IA es una transferencia internacional, cubierta por la Sección 6.

Eliminación de sus datos de prueba. Puede eliminar sus datos de prueba en cualquier momento en la aplicación, sin cuenta: en la pantalla de bienvenida, abra "Tus datos de prueba" y elija "Borrar mis datos de prueba". El dispositivo se verifica de la misma forma que en la propia prueba, de modo que nadie más puede eliminar sus datos de prueba ni saber nada de ellos. Después, solo conservamos una nota de que este dispositivo ya utilizó su prueba (nada más, durante 90 días como máximo) y, durante un día, de que se utilizó una prueba en su red, para que la prueba no pueda simplemente iniciarse de nuevo. Si creó una cuenta, eliminar la cuenta elimina también los registros de la prueba vinculados a ella. Los dos valores que Apple guarda para un dispositivo no están vinculados a usted; no los restablecemos, porque restablecerlos permitiría una nueva prueba en ese dispositivo.

3. Cómo utilizamos su información

Utilizamos los datos personales para los siguientes fines:

#	Finalidad	Base jurídica del Artículo 6 del GDPR	Base de la KVKK
a	Operar el Servicio (cuenta, enrutamiento, paneles, notificaciones)	Contrato (Art. 6(1)(b))	Ejecución del contrato
b	Facturarle, prevenir el fraude, cumplir la legislación contra el blanqueo de capitales	Contrato; obligación legal (Art. 6(1)(b), (c))	Ejecución del contrato; obligación legal
c	Enviar correos electrónicos transaccionales (recibos, restablecimientos de contraseña, alertas de seguridad)	Contrato (Art. 6(1)(b))	Ejecución del contrato
d	Mejorar, depurar y proteger el Servicio	Interés legítimo (Art. 6(1)(f))	Interés legítimo
e	Enviar comunicaciones de marketing (solo con suscripción previa)	Consentimiento (Art. 6(1)(a))	Consentimiento explícito
f	Responder a sus solicitudes como interesado	Obligación legal (Art. 6(1)(c))	Obligación legal
g	Defendernos frente a reclamaciones legales; cumplir órdenes judiciales	Obligación legal; interés legítimo	Obligación legal
h	Entrenar, ajustar o mejorar de cualquier otro modo nuestros propios modelos de IA	NO hacemos esto con su contenido	n/d

3.1 No entrenamos con su contenido

ToRun no utiliza sus indicaciones, archivos, conversaciones ni resultados generados para entrenar, ajustar o mejorar de cualquier otro modo ningún modelo de IA, ni nuestro ni de ninguna otra persona. Cuando utiliza BYOK, la postura de entrenamiento del proveedor externo se rige por las condiciones de dicho proveedor; le recomendamos revisarlas. Para las llamadas no BYOK, utilizamos proveedores con cláusulas contractuales que les prohíben entrenar con el contenido de nuestros clientes.

4. Cookies y tecnologías similares

Utilizamos cookies y almacenamiento similar (localStorage, IndexedDB) para:

• Estrictamente necesarias - autenticación (token de acceso de OpenIddict, token de actualización), continuidad de la sesión, tokens anti-CSRF, afinidad de equilibrio de carga, persistencia del consentimiento de cookies.
• Funcionales - preferencia de idioma, tema (oscuro/claro/atenuado), espacio de trabajo utilizado recientemente, último modelo seleccionado.
• Análisis - análisis de uso agregados, nunca vinculados a una identidad real en nuestro almacén de análisis (utilizamos un hash de dispositivo con sal, no su ID de Usuario).
• Marketing - desactivadas de forma predeterminada; si usted da su consentimiento, podemos establecer cookies de atribución de origen propio.

Puede gestionar estas preferencias en el banner de cookies la primera vez que nos visite, y puede cambiarlas en cualquier momento a través del enlace Preferencias de cookies en el pie de página. Algunas cookies estrictamente necesarias no pueden desactivarse porque el Servicio no funcionaría sin ellas.

5. Cómo compartimos los datos personales

Compartimos los datos personales únicamente en la medida necesaria para operar el Servicio. Nunca vendemos datos personales en el sentido de la CCPA/CPRA (Civil Code 1798.140(t)).

5.1 Subencargados del tratamiento

Nuestros subencargados del tratamiento actuales figuran en el Anexo III de nuestro Acuerdo de Tratamiento de Datos, que se actualiza a medida que cambiamos de proveedor. En resumen:

• Dodo Payments - Comerciante Registrado para las compras realizadas en el sitio web: procesamiento de pagos, facturación, gestión de impuestos, reembolsos y devoluciones de cargos.
• Apple (App Store) y Google (Google Play) - procesamiento de pagos de las compras realizadas en la aplicación móvil, que la tienda vende con sus propias condiciones.
• Bunny.net (BunnyWay d.o.o.) (Eslovenia) - almacenamiento de objetos, CDN, optimizador de imagen y vídeo, transmisión de vídeo.
• Microsoft Azure / Hetzner / OVH - alojamiento de infraestructura (la región depende de la elección del inquilino).
• Proveedores de transmisión de eventos compatibles con Kafka - bus de eventos en tiempo real para el outbox transaccional y los análisis.
• Proveedores de IA externos - el proveedor que recibe una solicitud determinada depende de la capacidad que usted pida y del modelo que seleccionen usted o su configuración de enrutamiento; los proveedores y modelos disponibles actualmente se enumeran en el Servicio. Los proveedores de IA reciben el contenido mínimo necesario para atender su solicitud específica, y únicamente cuando usted (o su configuración de enrutamiento) provoca el envío de una solicitud a ellos.
• Proveedor de moderación de contenido (OpenAI) - análisis automatizado de las imágenes cargadas y del texto publicado públicamente para detectar contenido prohibido, conforme a nuestra Política de Uso Aceptable. Las comprobaciones de KYC / AML relacionadas con los pagos las realiza nuestro Comerciante Registrado (Merchant of Record).
• Proveedores de entrega de correo electrónico y notificaciones - correo electrónico transaccional (recibos, restablecimientos de contraseña, alertas de seguridad).
• Herramientas de análisis y mejora de producto - análisis de uso agregados sobre una base contractual sin datos personales.
• Herramientas de atención al cliente - para gestionar sus tickets y comentarios.
• Servicios de verificación de dispositivos de Apple y Google (App Attest y DeviceCheck; Play Integrity) - para confirmar que el dispositivo y la aplicación son auténticos durante la prueba sin cuenta de la aplicación móvil (Sección 2.5).
• Google Maps Platform - búsqueda de lugares, detalles de lugares, indicaciones y mapas cuando pregunta por lugares o comparte su ubicación; en la aplicación para iOS, algunos mapas los dibuja Apple Maps.

5.2 Divulgaciones legales

Podemos divulgar datos personales a las fuerzas del orden, los reguladores o los tribunales en respuesta a una solicitud legal válida (citación judicial, orden judicial, orden de registro, requerimiento de un regulador) emitida con arreglo a la legislación aplicable. Cuando esté permitido, le notificaremos antes de la divulgación para que pueda solicitar una orden de protección.

5.3 Transferencias empresariales

Si participamos en una fusión, adquisición, financiación o venta de la totalidad o la práctica totalidad de nuestros activos, los datos personales pueden transferirse como parte de dicha transacción. Notificaremos a los usuarios afectados y les daremos una oportunidad significativa de oponerse o cerrar su Cuenta antes de que la transferencia surta efecto, salvo cuando la notificación esté impedida por ley.

5.4 Con su consentimiento

Compartiremos datos personales para cualquier finalidad no enumerada anteriormente únicamente con su consentimiento explícito.

6. Transferencias internacionales de datos

ToRun opera desde Estambul, Turquía, y utiliza subencargados del tratamiento en la Unión Europea, el Reino Unido, los Estados Unidos y otras jurisdicciones. Siempre que transferimos datos personales fuera de su país de residencia, nos basamos en un mecanismo de transferencia lícito:

• Capítulo V del GDPR - Cláusulas Contractuales Tipo de la UE (Decisión de la Comisión 2021/914) más medidas complementarias (cifrado en tránsito y en reposo, acceso restringido, registro de auditoría) conforme a la Recomendación 01/2020 del EDPB.
• UK GDPR - Anexo de Transferencia Internacional de Datos del Reino Unido a las SCC de la UE.
• Artículo 9 de la KVKK - consentimiento explícito o una de las salvaguardas del Artículo 9(2) (compromiso vinculante, reconocimiento de país adecuado).
• Decisiones de adecuación - cuando la Comisión Europea haya emitido una decisión de adecuación, podemos basarnos en ella.

Puede solicitar una copia de la documentación del mecanismo de transferencia escribiendo a /company/contact?category=legal.

7. Seguridad

Aplicamos medidas técnicas y organizativas adecuadas a los riesgos del tratamiento de datos personales, incluidas:

• Cifrado en tránsito para cada solicitud de API mediante TLS 1.3.
• Cifrado en reposo para los secretos de BYOK, los datos de facturación, los registros de auditoría y el contenido de documentos mediante un servicio de gestión de claves en la nube.
• Control de acceso - basado en roles, de mínimo privilegio, con autenticación multifactor obligatoria para el personal; el acceso se revisa trimestralmente.
• Registro de auditoría - registros encadenados por hash a prueba de manipulaciones para acciones de facturación, moderación y administración, conservados durante 5 años.
• Seguridad de la red - limitación de velocidad, cortafuegos de aplicaciones web, detección de anomalías, mitigación de denegación de servicio.
• Gestión de vulnerabilidades - escaneo automatizado de dependencias, controles de revisión de código, pruebas de penetración semestrales realizadas por una empresa independiente.
• Respuesta a incidentes - manuales de procedimiento documentados, rotación de guardias, procedimientos de notificación de brechas.
• Diligencia debida de proveedores - todos los subencargados del tratamiento se revisan frente a nuestro estándar de referencia de seguridad y privacidad antes de su incorporación.

Ningún sistema es perfectamente seguro. Si tiene conocimiento de un problema de seguridad, comuníquelo a /company/contact?category=trust para que podamos investigarlo.

8. Conservación de datos

Categoría de datos	Período de conservación
Perfil y credenciales de la cuenta	Vida útil de la Cuenta + 30 días
Contenido del espacio de trabajo (chats, archivos, flujos de trabajo)	Vida útil de la Cuenta + 30 días
BillingRecord y facturas	5 años (contabilidad y auditoría legal)
Registros de auditoría (encadenados por hash)	5 años (Sección 7)
Documentos de carácter fiscal	10 años (legislación fiscal turca)
Registros de consentimiento de marketing	Vida útil del consentimiento + 3 años
Registros transaccionales de correo electrónico	12 meses
Análisis web (agregados, sin datos personales)	26 meses
Material secreto de BYOK	Hasta que elimine la clave, más 30 días de gracia
Registros de la prueba sin cuenta (aplicación móvil)	90 días después de concederse la prueba
Registros del dispositivo de la prueba sin cuenta	90 días después del último uso del dispositivo para la prueba
Resultados de la prueba no trasladados a una cuenta	24 horas
Mensajes de la prueba (contexto para la siguiente respuesta)	Hasta 24 horas después del último mensaje
Nota de que un dispositivo ya utilizó su prueba (tras borrar sus datos de prueba)	Como máximo 90 días
Vínculo cuenta–dispositivo tras una prueba sin cuenta	365 días
Informes de fallos de la aplicación móvil (registros del servidor)	Como máximo 30 días

Las cuentas cerradas se eliminan de forma reversible de inmediato y se eliminan de forma definitiva (borrado criptográfico cuando se admite, sobrescritura segura en caso contrario) 30 días después del cierre, con sujeción a los requisitos de conservación anteriores.

9. Sus derechos (GDPR / UK GDPR)

Si el GDPR o el UK GDPR le son de aplicación, usted dispone de los siguientes derechos con respecto a sus datos personales:

• Acceso (Artículo 15) - obtener una copia de los datos personales que tratamos e información sobre dicho tratamiento.
• Rectificación (Artículo 16) - corregir datos inexactos o incompletos.
• Supresión (Artículo 17, el «derecho al olvido») - solicitar la eliminación en circunstancias definidas.
• Limitación (Artículo 18) - solicitar que pausemos el tratamiento a la espera de verificación.
• Portabilidad (Artículo 20) - recibir sus datos en un formato estructurado, de uso común y de lectura mecánica.
• Oposición (Artículo 21) - oponerse al tratamiento basado en intereses legítimos; tiene un derecho absoluto a oponerse al marketing directo.
• Decisiones automatizadas y elaboración de perfiles (Artículo 22) - no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o efectos significativos similares (véase la Sección 13).
• Retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento previo a la retirada.
• Presentar una reclamación ante la autoridad de control del Estado miembro de la UE/Reino Unido en el que viva, trabaje o donde se haya producido la supuesta infracción.

Para ejercer estos derechos, presente una Solicitud del Interesado desde el panel de su Cuenta o enviando un correo electrónico a /company/contact?category=legal. Respondemos en un plazo de 30 días (Artículo 12(3)). Cuando proceda, podemos verificar su identidad antes de responder.

Si probó la aplicación móvil sin una cuenta, puede eliminar sus datos de prueba en la propia aplicación (Sección 2.5). No conservamos nada que le identifique como invitado, por lo que no podemos localizar una prueba a partir de una solicitud por correo electrónico.

10. Sus derechos (KVKK - Turquía)

Los usuarios de Turquía pueden leer nuestro KVKK Aydınlatma Metni (aviso informativo de protección de datos) completo para consultar la información detallada.

En virtud del Artículo 11 de la KVKK turca, usted tiene derecho a:

• saber si sus datos personales están siendo tratados;
• solicitar información si sus datos han sido tratados;
• conocer la finalidad del tratamiento y si los datos se utilizan conforme a dicha finalidad;
• saber a quién se han transferido los datos personales en el país y en el extranjero;
• solicitar la corrección de datos incompletos o incorrectos;
• solicitar la eliminación o destrucción de los datos personales;
• solicitar la notificación de cualquier corrección, eliminación o destrucción a los terceros a quienes se hayan transferido los datos;
• oponerse a una decisión basada únicamente en el tratamiento automatizado que produzca resultados desfavorables;
• reclamar una indemnización por los daños derivados de un tratamiento ilícito.

Puede ejercer estos derechos escribiendo a /company/contact?category=legal o presentando una solicitud a través del Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ. Respondemos en un plazo de 30 días desde la recepción de una solicitud debidamente formulada.

Las reclamaciones pueden presentarse ante la Kişisel Verileri Koruma Kurumu (KVKK) en kvkk.gov.tr.

11. Sus derechos (CCPA / CPRA - Residentes de California)

Los residentes de California tienen derecho a:

• Conocer las categorías de información personal que hemos recopilado, las fuentes, las finalidades y las categorías de terceros con quienes la compartimos (Civil Code 1798.110, 1798.115).
• Eliminar la información personal con sujeción a excepciones (1798.105).
• Corregir información personal inexacta (1798.106, CPRA).
• Limitar el uso y la divulgación de información personal sensible (1798.121).
• Excluirse de cualquier «venta» o «intercambio» con fines de publicidad conductual de contexto cruzado. No vendemos información personal, y no la compartimos con fines de publicidad conductual de contexto cruzado.
• No discriminación - no le denegaremos servicios, no le cobraremos precios diferentes ni le proporcionaremos una calidad de servicio inferior por haber ejercido un derecho de privacidad.

Para ejercer sus derechos en virtud de la CCPA, envíe un correo electrónico a /company/contact?category=legal. Puede designar a un agente autorizado para que actúe en su nombre con un permiso verificable por escrito.

12. Privacidad de los menores

El Servicio no está dirigido a menores de 13 años (o la edad de consentimiento digital aplicable en su jurisdicción, por ejemplo, 16 años en algunos Estados miembros de la UE). No recopilamos a sabiendas datos personales de menores de dichas edades. Si cree que un menor nos ha proporcionado datos personales, contacte con /company/contact?category=legal y eliminaremos los datos de forma inmediata.

13. Decisiones automatizadas

El Servicio utiliza decisiones automatizadas para:

• enrutar las llamadas de IA a proveedores específicos en función de la capacidad y el precio;
• marcar contenido para revisión de moderación mediante clasificadores automatizados;
• detectar fraude y abuso mediante sistemas de puntuación de riesgo;
• conciliar los registros de facturación y de uso.

Estas decisiones no producen efectos jurídicos en el sentido del Artículo 22 del GDPR en la mayoría de los casos, pero cuando sí lo hacen (por ejemplo, una decisión de cancelar permanentemente una Cuenta por fraude), usted puede solicitar una revisión humana escribiendo a /company/contact?category=legal.

14. Comunicaciones de marketing

Enviamos correos electrónicos de marketing únicamente con su consentimiento previo, libremente otorgado e informado. Cada correo electrónico de marketing incluye un enlace para cancelar la suscripción, y usted puede gestionar las preferencias de marketing en la configuración de su Cuenta. Los mensajes transaccionales (alertas de seguridad, recibos de facturación, restablecimientos de contraseña, actualizaciones importantes del Servicio) no son marketing y no puede cancelar su suscripción a ellos mientras su Cuenta esté abierta.

Si usted se suscribe a las novedades del producto pero no confirma su dirección, eliminamos la suscripción a los 30 días.

15. Notificación de brechas de datos

Notificamos a la autoridad de control pertinente y a las personas afectadas cualquier brecha de datos personales sin dilación indebida y, en todo caso, en un plazo de 72 horas desde que tengamos conocimiento de la brecha, cuando esta sea probable que entrañe un riesgo para sus derechos y libertades (Artículo 33 del GDPR; Comunicado de la KVKK sobre la Notificación de Brechas de Datos Personales).

Las notificaciones se envían a la dirección de correo electrónico de su Cuenta y a una página pública de incidentes en torun.ai/incidents cuando proceda.

16. Cookies, seguimiento y Do-Not-Track

Respetamos la señal Global Privacy Control (GPC) cuando proceda. No respondemos a las cabeceras heredadas «Do Not Track» del navegador, ya que no existe consenso en el sector sobre su significado. Las preferencias a nivel de cookies establecidas en nuestro banner surten efecto de inmediato y se sincronizan entre sus sesiones.

17. Cambios en esta política

Podemos actualizar esta política de vez en cuando. La versión actual está siempre disponible en torun.ai/privacy-policy con una fecha de entrada en vigor y un número de versión. Los cambios sustanciales se notificarán por correo electrónico al menos 30 días antes de su entrada en vigor. Prevalece la versión más reciente; las versiones archivadas están disponibles a petición.

18. Contacto y autoridades de control

Delegado de Protección de Datos: /company/contact?category=legal

Dirección postal: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Autoridades de control:

• Turquía - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• Unión Europea - encuentre su autoridad local de protección de datos en edpb.europa.eu/about-edpb/about-edpb/members_en
• Reino Unido - ICO - ico.org.uk
• California, EE. UU. - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Si no está satisfecho con nuestra respuesta a su solicitud, tiene derecho a presentar una reclamación ante la autoridad de control de su jurisdicción.

19. Idioma

Esta política se proporciona en inglés como versión maestra. Las traducciones se ofrecen por conveniencia; en caso de conflicto entre la versión en inglés y una traducción, prevalece la versión en inglés, salvo cuando las leyes imperativas de protección de datos de su país exijan otra cosa.