Politique de Confidentialité

La présente Politique de confidentialité explique comment ToRun (« ToRun », « nous », « notre », « nos »), en qualité de responsable du traitement, collecte, utilise, partage et protège les données à caractère personnel lorsque vous accédez au Service à l'adresse torun.ai et ses sous-domaines. Elle est incorporée par référence à nos Conditions d'utilisation.

Nous avons rédigé la présente politique en conformité avec le Règlement général sur la protection des données de l'UE 2016/679 (RGPD), le UK GDPR et le Data Protection Act 2018, la loi turque n° 6698 sur la protection des données personnelles (KVKK) et ses règlements d'application, le California Consumer Privacy Act of 2018 (CCPA) tel que modifié par le California Privacy Rights Act of 2020 (CPRA), le LGPD brésilien (Lei No. 13.709), ainsi que d'autres lois sur la protection de la vie privée applicables à nos activités transfrontalières.

Si vous avez des questions, contactez notre Délégué à la protection des données à l'adresse /company/contact?category=legal.

1. Qui est le responsable du traitement

Dans le présent document, ToRun désigne TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), la société anonyme qui fournit le Service, constituée en Turquie et immatriculée auprès du İstanbul Ticaret Sicili Müdürlüğü sous le n° 1165311 (n° MERSİS 0857078305100001), dont le siège social se trouve à l'adresse Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

ToRun est le responsable du traitement des données à caractère personnel traitées dans le cadre du Service, sauf lorsque nous agissons en qualité de sous-traitant pour le compte d'un client Organisation (par exemple, un locataire entreprise gérant les comptes de ses employés). Dans les scénarios de sous-traitance, l'Organisation est le responsable du traitement et nous sommes liés par un avenant de traitement des données (DPA) distinct.

Notre siège social indiqué ci-dessus est également notre adresse postale pour la correspondance relative à la protection des données ; toute correspondance adressée à /company/contact?category=legal parvient directement à notre Délégué à la protection des données.

2. Informations que nous collectons

2.1 Informations que vous fournissez

• Données de compte - adresse électronique, nom d'affichage, hachage du mot de passe (jamais le mot de passe en clair), avatar facultatif, préférence linguistique, fuseau horaire et tout champ de profil facultatif (biographie, identifiants sociaux, adresse postale si vous l'indiquez pour une facture).
• Identifiants d'authentification - si vous vous connectez via un fournisseur de connexion sociale pris en charge — actuellement Google, Microsoft ou X (anciennement Twitter) — nous ne recevons que les informations de profil limitées que vous autorisez ce fournisseur à partager. Il s'agit généralement de votre adresse électronique, de votre nom d'affichage, de l'URL de votre photo de profil et de l'identifiant utilisateur du fournisseur ; pour X, cela peut également inclure votre nom d'utilisateur X. Nous utilisons ces données uniquement pour créer votre Compte ou le faire correspondre, et pour vous authentifier. Nous ne recevons jamais votre mot de passe pour le fournisseur externe, nous ne publions pas en votre nom et nous ne lisons pas vos contacts ni votre graphe social.
• Informations de facturation - adresse de facturation, identifiant de TVA / fiscal (le cas échéant), préférences de facturation. Les instruments de paiement eux-mêmes (numéro de carte, compte bancaire, jeton de portefeuille) sont collectés et stockés par le prestataire de paiement — notre Marchand de référence, Dodo Payments, pour les achats effectués sur le site web, ou Apple (App Store) ou Google (Google Play) pour les achats effectués dans l'application mobile — et ne nous parviennent jamais. Pour chaque transaction, nous ne recevons que ce qui est nécessaire à son rapprochement : son statut, le produit, le montant et la devise et, pour les achats effectués sur le site web, la taxe et le pays de facturation.
• Identifiants BYOK - les clés d'API de fournisseurs d'IA tiers que vous choisissez de téléverser, stockées chiffrées au repos dans un coffre-fort de gestion des clés.
• Contenu de l'espace de travail - conversations, invites, instructions système, fichiers téléversés, définitions de flux de travail, commentaires, mémoires et tout autre contenu que vous créez ou téléversez.
• Communications avec nous - courriers électroniques, messagerie, tickets d'assistance, réponses aux enquêtes de satisfaction.
• Solde de Runs - votre solde de crédits d'utilisation prépayés (Runs) et son historique de transactions (recharges, consommation, annulations liées aux remboursements).

2.2 Informations collectées automatiquement

• Télémétrie d'utilisation - les routes que vous visitez, les fonctionnalités que vous utilisez, le temps passé dans les fonctionnalités, les événements d'erreur, les indicateurs de performance (latence des requêtes, latence des modèles, débit).
• Appareil et connexion - adresse IP (tronquée pour l'analyse ; complète pour les enquêtes relatives à la fraude et à la sécurité), chaîne d'agent utilisateur, langue du navigateur, type d'appareil, système d'exploitation, résolution d'écran.
• Cookies et technologies similaires - voir la Section 11 (Cookies) pour la liste complète et vos commandes de désactivation.
• Métadonnées des appels d'IA - modèle sélectionné, ensemble de capacités demandé, nombre de jetons, latence, coût, source de financement et palier BYOK appliqué. Chaque appel d'IA produit un BillingRecord assorti d'un instantané tarifaire, conservé conformément à la Section 8 (Conservation).
• Rapports de plantage (application mobile) - si l'application mobile plante alors que vous êtes connecté, elle envoie le message d'erreur, la trace technique de l'erreur, le nom de l'écran, les versions de l'application, de la mise à jour et du système d'exploitation, ainsi que l'heure. Nous écrivons le rapport dans nos journaux serveur avec votre identifiant utilisateur et l'agent utilisateur (user-agent) de l'application ; il n'est pas stocké dans une base de données et est supprimé avec les journaux au plus tard après 30 jours.
• Vérification de l'appareil pour l'essai sans compte (application mobile) - résultats de vérification de l'appareil fournis par Apple (App Attest, DeviceCheck) ou Google (Play Integrity), un hachage à clé d'un identifiant d'appareil et un hachage à clé du préfixe réseau de votre adresse IP ; voir la Section 2.5.

2.3 Informations provenant de tiers

• Métadonnées de paiement provenant de Dodo Payments pour les achats effectués sur le site web, et d'Apple ou de Google pour les achats effectués dans l'application mobile (décrites ci-dessus).
• Résultats de filtrage de la fraude et des risques réalisés par notre Marchand de référence / prestataire de paiement sur les transactions de paiement.
• Résultats de modération automatisée provenant de notre prestataire de modération de contenu - la classification retournée lorsque les images téléversées et les textes publiés publiquement sont analysés (voir notre Politique d'utilisation acceptable).

2.4 Catégories sensibles

Nous ne sollicitons pas de données de catégorie particulière (article 9 du RGPD) - origine raciale, ethnique, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques, données biométriques, santé, vie sexuelle, orientation sexuelle - ni de données à caractère personnel « particulières » au sens de l'article 6 de la KVKK. Si vous soumettez volontairement de telles informations par le biais d'invites, de fichiers ou de commentaires, nous ne les traitons que dans la mesure nécessaire à la fourniture du Service et nous appliquons des protections renforcées.

2.5 Essayer l'application mobile sans compte

Vous pouvez essayer l'application mobile ToRun pendant une durée limitée sans créer de compte (l'« essai sans compte »). Pendant l'essai, nous ne vous demandons ni votre nom, ni votre adresse e-mail, ni votre numéro de téléphone. Pour fournir l'essai, empêcher qu'il soit relancé encore et encore sur le même appareil et prévenir les abus, nous traitons les éléments suivants :

• Vérification de l'appareil - l'application demande à Apple (App Attest, DeviceCheck) ou à Google (Play Integrity) de confirmer que l'appareil et l'application sont authentiques, et notre serveur vérifie le résultat auprès d'eux. Nous ne conservons pas les jetons de vérification. Apple conserve pour nous, sur ses propres serveurs, deux valeurs par appareil (« un essai a été accordé », « un compte a été créé sur cet appareil »).
• Identifiant de l'appareil - sur iOS, un identifiant aléatoire que l'application crée et conserve sur l'appareil ; sur Android, l'identifiant d'appareil propre à l'application (ANDROID_ID). Seul un hachage à sens unique de cet identifiant quitte l'appareil, et nous ne le conservons qu'après l'avoir haché à nouveau avec une clé secrète (hachage à clé). Sur iOS, nous conservons également un hachage à clé de l'identifiant de clé App Attest.
• Réseau - un hachage à clé du préfixe réseau de votre adresse IP, jamais l'adresse complète, pour les limites quotidiennes de l'essai.
• Enregistrement de l'essai - ce qu'il reste de l'essai, son statut et, si un essai a été refusé, le motif.
• Ce que vous essayez - le message que vous saisissez, votre conversation vocale, la photo que vous choisissez et le nom que vous indiquez pour une chanson sont envoyés au fournisseur d'IA qui produit le résultat et à notre prestataire de modération de contenu (Section 5.1). Votre photo sert uniquement à créer l'image et n'est pas conservée. Une conversation vocale n'est pas enregistrée et sa transcription n'est pas conservée. Vos derniers messages sont conservés jusqu'à 24 heures après votre dernier message, afin que la réponse suivante dispose du contexte ; ils ne sont pas enregistrés comme conversation. Ce que l'essai produit (une chanson, une image) est conservé 24 heures, puis supprimé.

Conservation. Les enregistrements d'essai sont supprimés automatiquement 90 jours après l'octroi de l'essai, et les enregistrements d'appareil 90 jours après la dernière utilisation de l'appareil pour l'essai. Si vous créez un compte à partir de l'essai, le lien entre le compte et l'appareil est conservé 365 jours, afin qu'un second compte créé sur le même appareil ne reçoive pas une nouvelle fois le cadeau de bienvenue. L'enregistrement de facturation de ce que l'essai a consommé est conservé 5 ans, comme l'exige la législation comptable ; il identifie l'essai, et non vous, et contient le hachage à clé du préfixe réseau, qui est supprimé si vous effacez vos données d'essai.

Si vous créez un compte. Ce que vous avez créé pendant l'essai est transféré dans la Bibliothèque de votre compte et conservé dès lors comme partie de votre compte ; l'enregistrement de l'appareil est associé à votre compte.

Base juridique. Notre intérêt légitime à assurer la sécurité du service et à prévenir l'abus d'un essai gratuit (article 6(1)(f) du RGPD ; article 5/2-f de la KVKK), et la fourniture de l'essai que vous avez demandé (article 6(1)(b) du RGPD ; article 5/2-c de la KVKK). L'envoi de données aux services de vérification d'Apple et de Google et aux fournisseurs d'IA constitue un transfert international, couvert par la Section 6.

Suppression de vos données d'essai. Vous pouvez supprimer vos données d'essai à tout moment dans l'application, sans compte : sur l'écran d'accueil, ouvrez « Vos données d'essai » et choisissez « Supprimer mes données d'essai ». L'appareil est vérifié de la même manière que pour l'essai lui-même, de sorte que personne d'autre ne peut supprimer vos données d'essai ni en apprendre quoi que ce soit. Ensuite, nous ne conservons qu'une note indiquant que cet appareil a utilisé son essai (rien d'autre, pendant 90 jours au plus) et, pendant un jour, le fait qu'un essai a été utilisé sur votre réseau, afin que l'essai ne puisse pas simplement être relancé. Si vous avez créé un compte, la suppression du compte supprime également les enregistrements d'essai qui y sont liés. Les deux valeurs qu'Apple conserve pour un appareil ne sont pas liées à vous ; nous ne les réinitialisons pas, car leur réinitialisation permettrait un nouvel essai sur cet appareil.

3. Comment nous utilisons vos informations

Nous utilisons les données à caractère personnel aux fins suivantes :

#	Finalité	Base juridique de l'article 6 du RGPD	Base KVKK
a	Exploiter le Service (compte, routage, tableaux de bord, notifications)	Contrat (art. 6(1)(b))	Exécution du contrat
b	Vous facturer, prévenir la fraude, respecter la législation anti-blanchiment	Contrat ; obligation légale (art. 6(1)(b), (c))	Exécution du contrat ; obligation légale
c	Envoyer des courriels transactionnels (reçus, réinitialisations de mot de passe, alertes de sécurité)	Contrat (art. 6(1)(b))	Exécution du contrat
d	Améliorer, déboguer et sécuriser le Service	Intérêt légitime (art. 6(1)(f))	Intérêt légitime
e	Envoyer des communications marketing (sur adhésion uniquement)	Consentement (art. 6(1)(a))	Consentement explicite
f	Répondre à vos demandes de personne concernée	Obligation légale (art. 6(1)(c))	Obligation légale
g	Nous défendre contre des réclamations juridiques ; respecter les décisions de justice	Obligation légale ; intérêt légitime	Obligation légale
h	Entraîner, affiner ou améliorer de toute autre manière nos propres modèles d'IA	Nous ne faisons PAS cela avec votre contenu	s/o

3.1 Nous n'entraînons pas nos modèles sur votre contenu

ToRun n'utilise pas vos invites, fichiers, conversations ou résultats générés pour entraîner, affiner ou améliorer de toute autre manière un quelconque modèle d'IA, le nôtre ou celui de quiconque. Lorsque vous utilisez le BYOK, la posture d'entraînement du fournisseur tiers est régie par les conditions de ce fournisseur ; nous vous recommandons de les examiner. Pour les appels hors BYOK, nous faisons appel à des fournisseurs soumis à des conditions contractuelles qui leur interdisent d'entraîner leurs modèles sur le contenu de nos clients.

4. Cookies et technologies similaires

Nous utilisons des cookies et des dispositifs de stockage similaires (localStorage, IndexedDB) pour :

• Strictement nécessaires - authentification (jeton d'accès OpenIddict, jeton d'actualisation), continuité de session, jetons anti-CSRF, affinité de répartition de charge, persistance du consentement aux cookies.
• Fonctionnels - préférence linguistique, thème (sombre/clair/tamisé), espace de travail récemment utilisé, dernier modèle sélectionné.
• Analytiques - analyses d'utilisation agrégées, jamais liées à une identité réelle dans notre entrepôt d'analyse (nous utilisons un hachage d'appareil salé, et non votre identifiant Utilisateur).
• Marketing - désactivés par défaut ; si vous y consentez, nous pouvons placer des cookies d'attribution propriétaires.

Vous pouvez gérer ces préférences dans la bannière de cookies lors de votre première visite, et vous pouvez les modifier à tout moment via le lien Préférences relatives aux cookies dans le pied de page. Certains cookies strictement nécessaires ne peuvent pas être désactivés, car le Service ne fonctionnerait pas sans eux.

5. Comment nous partageons les données à caractère personnel

Nous partageons les données à caractère personnel uniquement dans la mesure nécessaire au fonctionnement du Service. Nous ne vendons jamais de données à caractère personnel au sens du CCPA/CPRA (Civil Code 1798.140(t)).

5.1 Sous-traitants

Nos sous-traitants actuels sont énumérés à l'annexe III de notre Accord de traitement des données, qui est mise à jour à mesure que nous changeons de prestataires. En résumé :

• Dodo Payments - Marchand de référence pour les achats effectués sur le site web : traitement des paiements, facturation, gestion des taxes, remboursements et rétrofacturations.
• Apple (App Store) et Google (Google Play) - traitement des paiements des achats effectués dans l'application mobile, que la boutique vend selon ses propres conditions.
• Bunny.net (BunnyWay d.o.o.) (Slovénie) - stockage d'objets, CDN, optimiseur d'images et de vidéos, diffusion vidéo en continu.
• Microsoft Azure / Hetzner / OVH - hébergement de l'infrastructure (la région dépend du choix du locataire).
• Fournisseurs de diffusion d'événements compatibles Kafka - bus d'événements en temps réel pour le relais transactionnel (outbox) et l'analyse.
• Fournisseurs d'IA tiers - le fournisseur qui reçoit une requête donnée dépend de la fonctionnalité que vous demandez et du modèle sélectionné par vous ou par vos paramètres de routage ; les fournisseurs et modèles actuellement disponibles sont répertoriés dans le Service. Les fournisseurs d'IA reçoivent le contenu minimal nécessaire pour répondre à votre demande spécifique, et uniquement lorsque vous (ou vos paramètres de routage) provoquez l'envoi d'une requête vers eux.
• Prestataire de modération de contenu (OpenAI) - analyse automatisée des images téléversées et des textes publiés publiquement afin de détecter les contenus interdits, conformément à notre Politique d'utilisation acceptable. Les vérifications KYC / AML liées aux paiements sont réalisées par notre Marchand de référence.
• Prestataires d'envoi de courriels et de notifications - courriels transactionnels (reçus, réinitialisations de mot de passe, alertes de sécurité).
• Outils d'analyse et d'amélioration des produits - analyses d'utilisation agrégées sur une base contractuelle excluant les données à caractère personnel.
• Outils d'assistance client - pour traiter vos tickets et vos retours.
• Services de vérification d'appareils d'Apple et de Google (App Attest et DeviceCheck ; Play Integrity) - pour confirmer que l'appareil et l'application sont authentiques pendant l'essai sans compte de l'application mobile (Section 2.5).
• Google Maps Platform - recherche de lieux, détails des lieux, itinéraires et cartes lorsque vous posez des questions sur des lieux ou partagez votre position ; dans l'application iOS, certaines cartes sont dessinées par Apple Plans.

5.2 Divulgations légales

Nous pouvons divulguer des données à caractère personnel aux autorités répressives, aux régulateurs ou aux tribunaux en réponse à une demande juridique valide (assignation, décision de justice, mandat de perquisition, injonction d'un régulateur) émise en vertu de la loi applicable. Lorsque cela est permis, nous vous en informerons avant la divulgation afin que vous puissiez demander une ordonnance de protection.

5.3 Transferts d'entreprise

Si nous sommes impliqués dans une fusion, une acquisition, un financement ou une vente de la quasi-totalité de nos actifs, les données à caractère personnel peuvent être transférées dans le cadre de cette transaction. Nous informerons les utilisateurs concernés et leur offrirons une possibilité réelle de s'opposer ou de fermer leur Compte avant que le transfert ne prenne effet, sauf lorsque la notification est exclue par la loi.

5.4 Avec votre consentement

Nous ne partagerons des données à caractère personnel à une fin non énumérée ci-dessus qu'avec votre consentement explicite.

6. Transferts internationaux de données

ToRun exerce ses activités depuis Istanbul, en Turquie, et fait appel à des sous-traitants dans l'Union européenne, au Royaume-Uni, aux États-Unis et dans d'autres juridictions. Chaque fois que nous transférons des données à caractère personnel hors de votre pays de résidence, nous nous appuyons sur un mécanisme de transfert licite :

• Chapitre V du RGPD - clauses contractuelles types de l'UE (décision de la Commission 2021/914) assorties de mesures supplémentaires (chiffrement en transit et au repos, accès restreint, journalisation d'audit) conformément à la recommandation 01/2020 du CEPD.
• UK GDPR - addendum britannique sur les transferts internationaux de données aux CCT de l'UE.
• Article 9 de la KVKK - consentement explicite ou l'une des garanties prévues à l'article 9(2) (engagement contraignant, reconnaissance de pays adéquat).
• Décisions d'adéquation - lorsque la Commission européenne a rendu une décision d'adéquation, nous pouvons nous en prévaloir.

Vous pouvez demander une copie de la documentation relative au mécanisme de transfert en écrivant à /company/contact?category=legal.

7. Sécurité

Nous appliquons des mesures techniques et organisationnelles appropriées aux risques liés au traitement des données à caractère personnel, notamment :

• Chiffrement en transit pour chaque requête d'API via TLS 1.3.
• Chiffrement au repos pour les secrets BYOK, les données de facturation, les journaux d'audit et le contenu des documents, au moyen d'un service cloud de gestion des clés.
• Contrôle d'accès - fondé sur les rôles, selon le principe du moindre privilège, avec authentification multifactorielle obligatoire pour le personnel ; les accès sont revus trimestriellement.
• Journalisation d'audit - journaux chaînés par hachage à l'épreuve des falsifications pour la facturation, la modération et les actions administratives, conservés 5 ans.
• Sécurité réseau - limitation de débit, pare-feu applicatif web, détection d'anomalies, atténuation des attaques par déni de service.
• Gestion des vulnérabilités - analyse automatisée des dépendances, contrôles de revue de code, tests d'intrusion semestriels par une société indépendante.
• Réponse aux incidents - manuels d'exploitation documentés, rotation des astreintes, procédures de notification des violations.
• Diligence raisonnable à l'égard des prestataires - tous les sous-traitants sont évalués au regard de notre référentiel de sécurité et de confidentialité avant leur intégration.

Aucun système n'est parfaitement sécurisé. Si vous avez connaissance d'un problème de sécurité, veuillez le signaler à l'adresse /company/contact?category=trust afin que nous puissions enquêter.

8. Conservation des données

Catégorie de données	Durée de conservation
Profil de compte et identifiants	Durée de vie du Compte + 30 jours
Contenu de l'espace de travail (conversations, fichiers, flux de travail)	Durée de vie du Compte + 30 jours
BillingRecord et factures	5 ans (comptabilité et audit légaux)
Journaux d'audit (chaînés par hachage)	5 ans (Section 7)
Documents fiscaux	10 ans (législation fiscale turque)
Enregistrements de consentement marketing	Durée de vie du consentement + 3 ans
Journaux de courriels transactionnels	12 mois
Analyses web (agrégées, sans données à caractère personnel)	26 mois
Données secrètes BYOK	Jusqu'à ce que vous supprimiez la clé, plus un délai de grâce de 30 jours
Enregistrements de l'essai sans compte (application mobile)	90 jours après l'octroi de l'essai
Enregistrements d'appareil de l'essai sans compte	90 jours après la dernière utilisation de l'appareil pour l'essai
Résultats de l'essai non transférés vers un compte	24 heures
Messages de l'essai (contexte pour la réponse suivante)	Jusqu'à 24 heures après le dernier message
Note indiquant qu'un appareil a utilisé son essai (après la suppression de vos données d'essai)	90 jours au plus
Lien compte–appareil après un essai sans compte	365 jours
Rapports de plantage de l'application mobile (journaux serveur)	30 jours au plus

Les comptes fermés sont supprimés de manière logique immédiatement et supprimés définitivement (effacement cryptographique lorsqu'il est pris en charge, écrasement sécurisé dans le cas contraire) 30 jours après la fermeture, sous réserve des exigences de conservation ci-dessus.

9. Vos droits (RGPD / UK GDPR)

Si le RGPD ou le UK GDPR vous est applicable, vous disposez des droits suivants à l'égard de vos données à caractère personnel :

• Accès (article 15) - obtenir une copie des données à caractère personnel que nous traitons et des informations sur ce traitement.
• Rectification (article 16) - corriger des données inexactes ou incomplètes.
• Effacement (article 17, le « droit à l'oubli ») - demander la suppression dans des circonstances définies.
• Limitation (article 18) - demander que nous suspendions le traitement dans l'attente d'une vérification.
• Portabilité (article 20) - recevoir vos données dans un format structuré, couramment utilisé et lisible par machine.
• Opposition (article 21) - vous opposer à un traitement fondé sur des intérêts légitimes ; vous disposez d'un droit absolu de vous opposer à la prospection directe.
• Décision automatisée et profilage (article 22) - ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou vous affectant de manière significative de façon similaire (voir Section 13).
• Retirer votre consentement à tout moment, sans porter atteinte à la licéité du traitement effectué avant le retrait.
• Introduire une réclamation auprès de l'autorité de contrôle de l'État membre de l'UE/du Royaume-Uni où vous vivez, travaillez, ou du lieu où la violation alléguée a eu lieu.

Pour exercer ces droits, soumettez une demande de personne concernée depuis le tableau de bord de votre Compte ou en écrivant à /company/contact?category=legal. Nous répondons dans un délai de 30 jours (article 12(3)). Le cas échéant, nous pouvons vérifier votre identité avant de répondre.

Si vous avez essayé l'application mobile sans compte, vous pouvez supprimer vos données d'essai directement dans l'application (Section 2.5). Nous ne conservons rien qui vous identifie en tant qu'invité ; nous ne pouvons donc pas retrouver un essai à partir d'une demande par e-mail.

10. Vos droits (KVKK - Turquie)

Les utilisateurs en Turquie peuvent consulter l'intégralité de notre KVKK Aydınlatma Metni (notice d'information sur la protection des données) pour une information détaillée.

En vertu de l'article 11 de la KVKK turque, vous avez le droit de :

• savoir si vos données à caractère personnel font l'objet d'un traitement ;
• demander des informations si vos données ont été traitées ;
• connaître la finalité du traitement et savoir si les données sont utilisées conformément à cette finalité ;
• savoir à qui les données à caractère personnel ont été transférées, dans le pays et à l'étranger ;
• demander la correction de données incomplètes ou incorrectes ;
• demander la suppression ou la destruction des données à caractère personnel ;
• demander que toute correction, suppression ou destruction soit notifiée aux tiers auxquels les données ont été transférées ;
• vous opposer à une décision fondée exclusivement sur un traitement automatisé produisant des résultats défavorables ;
• réclamer une indemnisation pour le préjudice résultant d'un traitement illicite.

Vous pouvez exercer ces droits en écrivant à /company/contact?category=legal ou en soumettant une demande conformément au Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ. Nous répondons dans un délai de 30 jours à compter de la réception d'une demande dûment formée.

Les réclamations peuvent être introduites auprès du Kişisel Verileri Koruma Kurumu (KVKK) à l'adresse kvkk.gov.tr.

11. Vos droits (CCPA / CPRA - résidents de Californie)

Les résidents de Californie ont le droit de :

• Connaître les catégories de données à caractère personnel que nous avons collectées, les sources, les finalités et les catégories de tiers avec lesquels nous les partageons (Civil Code 1798.110, 1798.115).
• Supprimer les données à caractère personnel, sous réserve d'exceptions (1798.105).
• Corriger les données à caractère personnel inexactes (1798.106, CPRA).
• Limiter l'utilisation et la divulgation des données à caractère personnel sensibles (1798.121).
• Refuser toute « vente » ou tout « partage » à des fins de publicité comportementale inter-contextes. Nous ne vendons pas de données à caractère personnel et nous ne les partageons pas à des fins de publicité comportementale inter-contextes.
• Non-discrimination - nous ne refuserons pas de services, ne facturerons pas des prix différents et ne fournirons pas un service de qualité inférieure du fait que vous avez exercé un droit relatif à la vie privée.

Pour exercer vos droits au titre du CCPA, écrivez à /company/contact?category=legal. Vous pouvez désigner un mandataire autorisé pour agir en votre nom au moyen d'une autorisation écrite vérifiable.

12. Vie privée des enfants

Le Service ne s'adresse pas aux enfants de moins de 13 ans (ou à l'âge du consentement numérique applicable dans votre juridiction, par exemple 16 ans dans certains États membres de l'UE). Nous ne collectons pas sciemment de données à caractère personnel auprès d'enfants en deçà de ces âges. Si vous pensez qu'un enfant nous a fourni des données à caractère personnel, contactez /company/contact?category=legal et nous supprimerons ces données dans les meilleurs délais.

13. Décision automatisée

Le Service utilise la prise de décision automatisée pour :

• acheminer les appels d'IA vers des fournisseurs spécifiques en fonction de la capacité et du prix ;
• signaler des contenus en vue d'une revue de modération à l'aide de classificateurs automatisés ;
• détecter la fraude et les abus à l'aide de systèmes de notation des risques ;
• rapprocher les enregistrements de facturation et d'utilisation.

Ces décisions ne produisent pas d'effets juridiques au sens de l'article 22 du RGPD dans la plupart des cas, mais lorsqu'elles en produisent (par exemple une décision de résilier définitivement un Compte pour fraude), vous pouvez demander une intervention humaine en écrivant à /company/contact?category=legal.

14. Communications marketing

Nous n'envoyons des courriels marketing qu'avec votre consentement préalable, librement donné et éclairé. Chaque courriel marketing comprend un lien de désabonnement, et vous pouvez gérer vos préférences marketing dans les paramètres de votre Compte. Les messages transactionnels (alertes de sécurité, reçus de facturation, réinitialisations de mot de passe, mises à jour importantes du Service) ne constituent pas de la prospection et vous ne pouvez pas vous en désabonner tant que votre Compte est ouvert.

Si vous vous inscrivez aux nouveautés du produit sans confirmer votre adresse, nous supprimons l'inscription au bout de 30 jours.

15. Notification des violations de données

Nous notifions à l'autorité de contrôle compétente et aux personnes concernées toute violation de données à caractère personnel sans retard injustifié et, en tout état de cause, dans un délai de 72 heures après en avoir pris connaissance, lorsque la violation est susceptible d'engendrer un risque pour vos droits et libertés (article 33 du RGPD ; communiqué de la KVKK sur la notification des violations de données à caractère personnel).

Les notifications sont envoyées à l'adresse électronique figurant sur votre Compte et, le cas échéant, à une page d'incident publique à l'adresse torun.ai/incidents.

16. Cookies, suivi et Do-Not-Track

Nous respectons le signal Global Privacy Control (GPC) lorsqu'il est applicable. Nous ne répondons pas aux anciens en-têtes de navigateur « Do Not Track », faute de consensus du secteur sur leur signification. Les préférences relatives aux cookies définies dans notre bannière prennent effet immédiatement et se synchronisent sur l'ensemble de vos sessions.

17. Modifications de la présente politique

Nous pouvons mettre à jour la présente politique de temps à autre. La version en vigueur est toujours disponible à l'adresse torun.ai/privacy-policy avec une date d'effet et un numéro de version. Les modifications substantielles seront notifiées par courrier électronique au moins 30 jours avant leur prise d'effet. La dernière version prévaut ; les versions archivées sont disponibles sur demande.

18. Contact et autorités de contrôle

Délégué à la protection des données : /company/contact?category=legal

Adresse postale : TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Autorités de contrôle :

• Turquie - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• Union européenne - trouvez votre APD locale à l'adresse edpb.europa.eu/about-edpb/about-edpb/members_en
• Royaume-Uni - ICO - ico.org.uk
• Californie, États-Unis - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Si vous n'êtes pas satisfait de notre réponse à votre demande, vous avez le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente pour votre juridiction.

19. Langue

La présente politique est fournie en anglais en tant que version de référence. Les traductions sont proposées par commodité ; en cas de conflit entre la version anglaise et une traduction, la version anglaise prévaut, sauf lorsque les lois impératives de protection des données de votre pays en disposent autrement.