गोपनीयता नीति

यह गोपनीयता नीति बताती है कि ToRun ('ToRun', 'हम', 'हमें', 'हमारा'), डेटा नियंत्रक के रूप में, torun.ai और इसके उप-डोमेन पर सेवा तक पहुँचने पर व्यक्तिगत डेटा को कैसे एकत्र, उपयोग, साझा, और सुरक्षित करता है। यह संदर्भ द्वारा हमारी सेवा की शर्तों में सम्मिलित है।

हमने यह नीति EU General Data Protection Regulation 2016/679 (GDPR), UK GDPR और Data Protection Act 2018, Turkish Personal Data Protection Law No. 6698 (KVKK) और इसके कार्यान्वयन विनियमों, California Consumer Privacy Act of 2018 (CCPA) जैसा कि California Privacy Rights Act of 2020 (CPRA) द्वारा संशोधित किया गया है, Brazilian LGPD (Lei No. 13.709), और हमारे सीमा-पार संचालन पर लागू होने वाले अन्य गोपनीयता कानूनों का अनुपालन करने के लिए लिखी है।

यदि आपके कोई प्रश्न हैं, तो हमारे डेटा संरक्षण अधिकारी से /company/contact?category=legal पर संपर्क करें।

1. नियंत्रक कौन है

इस दस्तावेज़ में ToRun का अर्थ TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.) है — वह संयुक्त-स्टॉक कंपनी जो सेवा प्रदान करती है, तुर्किये में निगमित है और İstanbul Ticaret Sicili Müdürlüğü में संख्या 1165311 (MERSİS संख्या 0857078305100001) के अंतर्गत पंजीकृत है, तथा जिसका पंजीकृत कार्यालय Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye पर स्थित है।

ToRun सेवा के संबंध में संसाधित व्यक्तिगत डेटा के लिए डेटा नियंत्रक है, सिवाय उन स्थितियों के जहाँ हम किसी संगठन ग्राहक की ओर से एक प्रोसेसर के रूप में कार्य करते हैं (उदाहरण के लिए, एक एंटरप्राइज़ टेनेंट जो अपने कर्मचारियों के खातों का प्रबंधन कर रहा है)। प्रोसेसर परिदृश्यों में, संगठन नियंत्रक है और हम एक अलग डेटा प्रसंस्करण परिशिष्ट (DPA) से बाध्य हैं।

ऊपर उल्लिखित हमारा पंजीकृत कार्यालय डेटा-संरक्षण से संबंधित पत्राचार के लिए हमारा डाक पता भी है; /company/contact?category=legal पर पत्राचार हमारे डेटा संरक्षण अधिकारी तक सीधे पहुँचता है।

2. हम जो जानकारी एकत्र करते हैं

2.1 आपके द्वारा प्रदान की गई जानकारी

• खाता डेटा - ईमेल, प्रदर्शन नाम, पासवर्ड हैश (कभी भी सादा पासवर्ड नहीं), वैकल्पिक अवतार, भाषा वरीयता, समय-क्षेत्र, और कोई भी वैकल्पिक प्रोफ़ाइल फ़ील्ड (बायो, सोशल हैंडल, डाक पता यदि आप किसी चालान के लिए ऑप्ट-इन करते हैं)।
• प्रमाणीकरण प्रमाण-पत्र - यदि आप किसी समर्थित सोशल साइन-इन प्रदाता — वर्तमान में Google, Microsoft, या X (पूर्व में Twitter) — के माध्यम से साइन इन करते हैं, तो हमें केवल वह सीमित प्रोफ़ाइल जानकारी प्राप्त होती है जिसे आप उस प्रदाता को साझा करने के लिए अधिकृत करते हैं। यह आम तौर पर आपका ईमेल पता, प्रदर्शन नाम, प्रोफ़ाइल-चित्र URL, और प्रदाता का उपयोगकर्ता-ID होता है; X के लिए इसमें आपका X उपयोगकर्ता नाम भी शामिल हो सकता है। हम इस डेटा का उपयोग केवल आपका खाता बनाने या मिलान करने और आपको प्रमाणित करने के लिए करते हैं। हमें बाहरी प्रदाता के लिए आपका पासवर्ड कभी प्राप्त नहीं होता, हम आपकी ओर से पोस्ट नहीं करते, और हम आपके संपर्क या सोशल ग्राफ़ को नहीं पढ़ते।
• बिलिंग जानकारी - बिलिंग पता, VAT/कर पहचानकर्ता (यदि कोई हो), चालान वरीयताएँ। भुगतान उपकरण स्वयं (कार्ड नंबर, बैंक खाता, वॉलेट टोकन) भुगतान प्रोसेसर द्वारा एकत्र और संग्रहीत किए जाते हैं — वेबसाइट पर की गई ख़रीद के लिए हमारा Merchant of Record Dodo Payments, और मोबाइल ऐप में की गई ख़रीद के लिए Apple (App Store) या Google (Google Play) — और ये कभी हम तक नहीं पहुँचते। प्रत्येक लेनदेन के लिए हमें केवल वही मिलता है जो उसके मिलान के लिए आवश्यक है: उसकी स्थिति, उत्पाद, राशि और मुद्रा, तथा वेबसाइट पर की गई ख़रीद के लिए कर और बिलिंग देश।
• BYOK प्रमाण-पत्र - तृतीय-पक्ष AI प्रदाता API कुंजियाँ जिन्हें आप अपलोड करना चुनते हैं, जो एक कुंजी-प्रबंधन वॉल्ट में विश्राम पर एन्क्रिप्टेड संग्रहीत होती हैं।
• कार्यक्षेत्र सामग्री - वार्तालाप, प्रॉम्प्ट, सिस्टम निर्देश, फ़ाइल अपलोड, वर्कफ़्लो परिभाषाएँ, टिप्पणियाँ, स्मृतियाँ, और कोई भी अन्य सामग्री जो आप बनाते या अपलोड करते हैं।
• हमारे साथ संचार - ईमेल, चैट, सहायता टिकट, संतुष्टि सर्वेक्षण प्रतिक्रियाएँ।
• Runs बैलेंस - आपका प्रीपेड उपयोग क्रेडिट (Runs) बैलेंस और उसका लेनदेन इतिहास (टॉप-अप, खपत, धनवापसी पर प्रतिवर्तन)।

2.2 स्वचालित रूप से एकत्र की गई जानकारी

• उपयोग टेलीमेट्री - आप किन मार्गों पर जाते हैं, किन सुविधाओं का उपयोग करते हैं, सुविधाओं में बिताया गया समय, त्रुटि घटनाएँ, प्रदर्शन मेट्रिक्स (अनुरोध विलंबता, मॉडल विलंबता, थ्रूपुट)।
• डिवाइस और कनेक्शन - IP पता (विश्लेषण के लिए छोटा किया गया; धोखाधड़ी और सुरक्षा जाँच के लिए पूर्ण), उपयोगकर्ता-एजेंट स्ट्रिंग, ब्राउज़र भाषा, डिवाइस प्रकार, ऑपरेटिंग सिस्टम, स्क्रीन रिज़ॉल्यूशन।
• कुकीज़ और समान तकनीकें - पूर्ण सूची और आपके ऑप्ट-आउट नियंत्रणों के लिए अनुभाग 11 (कुकीज़) देखें।
• AI कॉल मेटाडेटा - चयनित मॉडल, अनुरोधित क्षमता सेट, टोकन गणना, विलंबता, लागत, निधि स्रोत, और लागू BYOK स्तर। प्रत्येक AI कॉल एक मूल्य-निर्धारण स्नैपशॉट के साथ एक BillingRecord उत्पन्न करता है, जो अनुभाग 8 (प्रतिधारण) के अनुसार बनाए रखा जाता है।
• क्रैश रिपोर्ट (मोबाइल ऐप) - यदि आपके साइन इन रहते हुए मोबाइल ऐप क्रैश हो जाता है, तो वह त्रुटि संदेश, त्रुटि का तकनीकी ट्रेस, स्क्रीन का नाम, ऐप, अपडेट और ऑपरेटिंग सिस्टम के संस्करण, और समय भेजता है। हम रिपोर्ट को आपकी यूज़र ID और ऐप की user-agent स्ट्रिंग के साथ अपने सर्वर लॉग में लिखते हैं; इसे किसी डेटाबेस में संग्रहीत नहीं किया जाता और लॉग के साथ अधिकतम 30 दिनों में हटा दिया जाता है।
• बिना खाते के ट्रायल में डिवाइस सत्यापन (मोबाइल ऐप) - Apple (App Attest, DeviceCheck) या Google (Play Integrity) से डिवाइस सत्यापन के परिणाम, किसी डिवाइस पहचानकर्ता का कुंजीयुक्त हैश और आपके IP नेटवर्क प्रीफ़िक्स का कुंजीयुक्त हैश; अनुभाग 2.5 देखें।

2.3 तृतीय पक्षों से जानकारी

• वेबसाइट पर की गई ख़रीद के लिए Dodo Payments से, और मोबाइल ऐप में की गई ख़रीद के लिए Apple या Google से भुगतान मेटाडेटा (ऊपर वर्णित)।
• भुगतान लेन-देन पर हमारे Merchant of Record / भुगतान प्रोसेसर द्वारा किए गए धोखाधड़ी और जोखिम स्क्रीनिंग परिणाम।
• हमारे सामग्री-मॉडरेशन प्रदाता से स्वचालित मॉडरेशन परिणाम — अपलोड की गई छवियों और सार्वजनिक रूप से प्रकाशित पाठ की जाँच किए जाने पर लौटाया गया वर्गीकरण (हमारी स्वीकार्य उपयोग नीति देखें)।

2.4 संवेदनशील श्रेणियाँ

हम विशेष-श्रेणी डेटा (GDPR Article 9) — जाति, जातीयता, राजनीतिक राय, धार्मिक विश्वास, ट्रेड-यूनियन सदस्यता, आनुवंशिक डेटा, बायोमेट्रिक डेटा, स्वास्थ्य, यौन जीवन, यौन रुझान — या KVKK Article 6 'विशेष' व्यक्तिगत डेटा की माँग नहीं करते। यदि आप प्रॉम्प्ट, फ़ाइलों, या टिप्पणियों के माध्यम से ऐसी जानकारी स्वेच्छा से जमा करते हैं, तो हम इसे केवल उतना ही संसाधित करते हैं जितना आपको सेवा प्रदान करने के लिए आवश्यक हो और हम उन्नत सुरक्षा लागू करते हैं।

2.5 बिना खाते के मोबाइल ऐप आज़माना

आप ToRun मोबाइल ऐप को बिना खाता बनाए सीमित समय के लिए आज़मा सकते हैं ("बिना खाते का ट्रायल")। ट्रायल के दौरान हम आपका नाम, ईमेल पता या फ़ोन नंबर नहीं माँगते। ट्रायल प्रदान करने, उसे एक ही डिवाइस पर बार-बार शुरू किए जाने से रोकने और दुरुपयोग रोकने के लिए, हम निम्नलिखित संसाधित करते हैं:

• डिवाइस सत्यापन - ऐप Apple (App Attest, DeviceCheck) या Google (Play Integrity) से यह पुष्टि करने को कहता है कि डिवाइस और ऐप असली हैं, और हमारा सर्वर उनके साथ परिणाम की जाँच करता है। हम सत्यापन टोकन संग्रहीत नहीं करते। Apple हमारे लिए अपने सर्वरों पर प्रति डिवाइस दो मान रखता है ("ट्रायल दिया गया", "इस डिवाइस पर खाता बनाया गया")।
• डिवाइस पहचानकर्ता - iOS पर, एक यादृच्छिक पहचानकर्ता जिसे ऐप बनाता है और डिवाइस पर रखता है; Android पर, ऐप-विशिष्ट डिवाइस पहचानकर्ता (ANDROID_ID)। डिवाइस से केवल इसका एकतरफ़ा हैश बाहर जाता है, और हम उसे गुप्त कुंजी से दोबारा हैश करने (कुंजीयुक्त हैश) के बाद ही संग्रहीत करते हैं। iOS पर हम App Attest कुंजी पहचानकर्ता का कुंजीयुक्त हैश भी संग्रहीत करते हैं।
• नेटवर्क - ट्रायल की दैनिक सीमाओं के लिए आपके IP पते के नेटवर्क प्रीफ़िक्स का कुंजीयुक्त हैश, कभी पूरा पता नहीं।
• ट्रायल रिकॉर्ड - ट्रायल का कितना हिस्सा बचा है, उसकी स्थिति, और यदि कोई ट्रायल अस्वीकार किया गया हो तो उसका कारण।
• आप जो आज़माते हैं - आपके द्वारा टाइप किया गया संदेश, आपकी वॉइस बातचीत, आपके द्वारा चुनी गई फ़ोटो और किसी गीत के लिए आपके द्वारा दिया गया नाम परिणाम बनाने वाले AI प्रदाता और हमारे सामग्री मॉडरेशन प्रदाता को भेजे जाते हैं (अनुभाग 5.1)। आपकी फ़ोटो का उपयोग केवल छवि बनाने के लिए किया जाता है और उसे संग्रहीत नहीं किया जाता। वॉइस बातचीत रिकॉर्ड नहीं की जाती और उसका ट्रांसक्रिप्ट संग्रहीत नहीं किया जाता। आपके हाल के संदेश आपके अंतिम संदेश के बाद अधिकतम 24 घंटे तक रखे जाते हैं, ताकि अगले उत्तर को संदर्भ मिल सके; उन्हें बातचीत के रूप में सहेजा नहीं जाता। ट्रायल में जो बनता है (एक गीत, एक छवि) उसे 24 घंटे रखा जाता है और फिर हटा दिया जाता है।

प्रतिधारण। ट्रायल रिकॉर्ड ट्रायल दिए जाने के 90 दिन बाद, और डिवाइस रिकॉर्ड ट्रायल के लिए डिवाइस के अंतिम उपयोग के 90 दिन बाद स्वचालित रूप से हटा दिए जाते हैं। यदि आप ट्रायल से खाता बनाते हैं, तो खाते और डिवाइस के बीच का लिंक 365 दिनों तक रखा जाता है, ताकि उसी डिवाइस पर बनाए गए दूसरे खाते को स्वागत उपहार दोबारा न मिले। ट्रायल द्वारा उपयोग की गई चीज़ों का बिलिंग रिकॉर्ड लेखा कानून की आवश्यकता के अनुसार 5 वर्षों तक रखा जाता है; यह ट्रायल की पहचान करता है, आपकी नहीं, और इसमें नेटवर्क प्रीफ़िक्स का कुंजीयुक्त हैश होता है, जिसे आपके ट्रायल डेटा हटाने पर हटा दिया जाता है।

यदि आप खाता बनाते हैं। ट्रायल के दौरान आपने जो बनाया, वह आपके खाते की लाइब्रेरी में चला जाता है और तब से आपके खाते के हिस्से के रूप में रखा जाता है; डिवाइस रिकॉर्ड आपके खाते से जोड़ दिया जाता है।

कानूनी आधार। सेवा को सुरक्षित रखने और मुफ़्त ट्रायल के दुरुपयोग को रोकने में हमारा वैध हित (GDPR Art. 6(1)(f); KVKK Art. 5(2)(f)), और आपके द्वारा माँगा गया ट्रायल प्रदान करना (GDPR Art. 6(1)(b); KVKK Art. 5(2)(c))। Apple और Google की सत्यापन सेवाओं और AI प्रदाताओं को डेटा भेजना एक अंतरराष्ट्रीय स्थानांतरण है, जो अनुभाग 6 के अंतर्गत आता है।

आपका ट्रायल डेटा हटाना। आप बिना खाते के, ऐप में किसी भी समय अपना ट्रायल डेटा हटा सकते हैं: स्वागत स्क्रीन पर "आपके ट्रायल का डेटा" खोलें और "मेरे ट्रायल का डेटा हटाएँ" चुनें। डिवाइस का सत्यापन उसी तरह होता है जैसे स्वयं ट्रायल के लिए, इसलिए कोई और आपका ट्रायल डेटा हटा नहीं सकता या उसके बारे में कुछ जान नहीं सकता। इसके बाद हम केवल यह नोट रखते हैं कि इस डिवाइस ने अपना ट्रायल उपयोग कर लिया है (और कुछ नहीं, अधिकतम 90 दिनों तक), और एक दिन के लिए यह कि आपके नेटवर्क पर एक ट्रायल उपयोग किया गया था, ताकि ट्रायल को बस फिर से शुरू न किया जा सके। यदि आपने खाता बनाया था, तो खाता हटाने से उससे जुड़े ट्रायल रिकॉर्ड भी हट जाते हैं। Apple किसी डिवाइस के लिए जो दो मान रखता है, वे आपसे नहीं जुड़े हैं; हम उन्हें रीसेट नहीं करते, क्योंकि उन्हें रीसेट करने से उस डिवाइस पर नया ट्रायल संभव हो जाएगा।

3. हम आपकी जानकारी का उपयोग कैसे करते हैं

हम निम्नलिखित प्रयोजनों के लिए व्यक्तिगत डेटा का उपयोग करते हैं:

#	प्रयोजन	GDPR Article 6 वैध आधार	KVKK आधार
a	सेवा संचालित करना (खाता, रूटिंग, डैशबोर्ड, अधिसूचनाएँ)	अनुबंध (Art. 6(1)(b))	अनुबंध का निष्पादन
b	आपको बिल करना, धोखाधड़ी रोकना, धन-शोधन-रोधी कानून का अनुपालन करना	अनुबंध; कानूनी दायित्व (Art. 6(1)(b), (c))	अनुबंध का निष्पादन; कानूनी दायित्व
c	लेन-देन संबंधी ईमेल भेजना (रसीदें, पासवर्ड रीसेट, सुरक्षा अलर्ट)	अनुबंध (Art. 6(1)(b))	अनुबंध का निष्पादन
d	सेवा को बेहतर बनाना, डिबग करना, और सुरक्षित करना	वैध हित (Art. 6(1)(f))	वैध हित
e	विपणन संचार भेजना (केवल ऑप्ट-इन)	सहमति (Art. 6(1)(a))	स्पष्ट सहमति
f	आपके डेटा-विषय अनुरोधों का जवाब देना	कानूनी दायित्व (Art. 6(1)(c))	कानूनी दायित्व
g	कानूनी दावों के विरुद्ध अपना बचाव करना; न्यायालय के आदेशों का अनुपालन करना	कानूनी दायित्व; वैध हित	कानूनी दायित्व
h	अपने स्वयं के AI मॉडलों को प्रशिक्षित, फ़ाइन-ट्यून, या अन्यथा बेहतर बनाना	हम आपकी सामग्री के साथ ऐसा नहीं करते	लागू नहीं

3.1 हम आपकी सामग्री पर प्रशिक्षण नहीं देते

ToRun आपके प्रॉम्प्ट, फ़ाइलों, वार्तालापों, या उत्पन्न आउटपुट का उपयोग किसी भी AI मॉडल को, चाहे हमारा अपना हो या किसी और का, प्रशिक्षित, फ़ाइन-ट्यून, या अन्यथा बेहतर बनाने के लिए नहीं करता। जब आप BYOK का उपयोग करते हैं, तो तृतीय-पक्ष प्रदाता की प्रशिक्षण मुद्रा उस प्रदाता की शर्तों द्वारा नियंत्रित होती है; हम उनकी समीक्षा करने की अनुशंसा करते हैं। गैर-BYOK कॉलों के लिए, हम प्रदाताओं का उपयोग ऐसी संविदात्मक शर्तों के तहत करते हैं जो उन्हें हमारे ग्राहकों की सामग्री पर प्रशिक्षण देने से प्रतिबंधित करती हैं।

4. कुकीज़ और समान तकनीकें

हम निम्नलिखित के लिए कुकीज़ और समान भंडारण (localStorage, IndexedDB) का उपयोग करते हैं:

• कठोर रूप से आवश्यक - प्रमाणीकरण (OpenIddict एक्सेस टोकन, रिफ़्रेश टोकन), सत्र निरंतरता, एंटी-CSRF टोकन, लोड-संतुलन आत्मीयता, कुकी-सहमति निरंतरता।
• कार्यात्मक - भाषा वरीयता, थीम (डार्क/लाइट/डिम), हाल ही में उपयोग किया गया कार्यक्षेत्र, अंतिम-चयनित मॉडल।
• विश्लेषण - समेकित उपयोग विश्लेषण, हमारे विश्लेषण वेयरहाउस में किसी वास्तविक पहचान से कभी जुड़ा नहीं (हम आपके उपयोगकर्ता ID के बजाय एक साल्टेड डिवाइस हैश का उपयोग करते हैं)।
• विपणन - डिफ़ॉल्ट रूप से बंद; यदि आप ऑप्ट-इन करते हैं, तो हम प्रथम-पक्ष एट्रिब्यूशन कुकीज़ सेट कर सकते हैं।

आप पहली बार आने पर कुकी बैनर में इन वरीयताओं का प्रबंधन कर सकते हैं, और आप उन्हें फ़ुटर में कुकी वरीयताएँ लिंक के माध्यम से किसी भी समय बदल सकते हैं। कुछ कठोर रूप से आवश्यक कुकीज़ को अक्षम नहीं किया जा सकता क्योंकि उनके बिना सेवा कार्य नहीं करेगी।

5. हम व्यक्तिगत डेटा कैसे साझा करते हैं

हम व्यक्तिगत डेटा केवल उतना ही साझा करते हैं जितना सेवा चलाने के लिए आवश्यक हो। हम CCPA/CPRA (Civil Code 1798.140(t)) के अर्थ में व्यक्तिगत डेटा कभी नहीं बेचते।

5.1 उप-प्रोसेसर

हमारे वर्तमान उप-प्रोसेसर हमारे डेटा प्रोसेसिंग अनुबंध के अनुलग्नक III में सूचीबद्ध हैं, जिसे विक्रेता बदलने पर अद्यतन किया जाता है। संक्षेप में:

• Dodo Payments - वेबसाइट पर की गई ख़रीद के लिए Merchant of Record: भुगतान प्रसंस्करण, चालान, कर प्रबंधन, धनवापसी और चार्जबैक।
• Apple (App Store) और Google (Google Play) - मोबाइल ऐप में की गई ख़रीद का भुगतान प्रसंस्करण, जिसे स्टोर अपनी शर्तों के तहत बेचता है।
• Bunny.net (BunnyWay d.o.o.) (स्लोवेनिया) - ऑब्जेक्ट भंडारण, CDN, छवि और वीडियो ऑप्टिमाइज़र, वीडियो स्ट्रीमिंग।
• Microsoft Azure / Hetzner / OVH - बुनियादी ढाँचा होस्टिंग (क्षेत्र टेनेंट की पसंद पर निर्भर करता है)।
• Kafka-संगत इवेंट स्ट्रीमिंग प्रदाता - लेन-देन संबंधी आउटबॉक्स और विश्लेषण के लिए रीयल-टाइम इवेंट बस।
• तृतीय-पक्ष AI प्रदाता - कोई विशेष अनुरोध किस प्रदाता को मिलता है, यह आपके द्वारा माँगी गई क्षमता और आपके या आपकी रूटिंग सेटिंग्स द्वारा चुने गए मॉडल पर निर्भर करता है; वर्तमान में उपलब्ध प्रदाता और मॉडल सेवा में सूचीबद्ध हैं। AI प्रदाताओं को आपके विशिष्ट अनुरोध को पूरा करने के लिए आवश्यक न्यूनतम सामग्री प्राप्त होती है, और केवल तभी जब आप (या आपकी रूटिंग सेटिंग्स) किसी अनुरोध को उनके पास भेजने का कारण बनते हैं।
• सामग्री-मॉडरेशन प्रदाता (OpenAI) - निषिद्ध सामग्री का पता लगाने के लिए अपलोड की गई छवियों और सार्वजनिक रूप से प्रकाशित पाठ की स्वचालित जाँच (हमारी स्वीकार्य उपयोग नीति के अनुसार)। भुगतान-संबंधी KYC / AML जाँच हमारे Merchant of Record द्वारा की जाती है।
• ईमेल और अधिसूचना वितरण प्रदाता - लेन-देन संबंधी ईमेल (रसीदें, पासवर्ड रीसेट, सुरक्षा अलर्ट)।
• विश्लेषण और उत्पाद-सुधार उपकरण - संविदात्मक-कोई-PII आधार पर समेकित उपयोग विश्लेषण।
• ग्राहक-सहायता उपकरण - आपके टिकट और प्रतिक्रिया को संभालने के लिए।
• Apple और Google की डिवाइस सत्यापन सेवाएँ (App Attest और DeviceCheck; Play Integrity) - मोबाइल ऐप के बिना खाते के ट्रायल के दौरान यह पुष्टि करने के लिए कि डिवाइस और ऐप असली हैं (अनुभाग 2.5)।
• Google Maps Platform - जब आप स्थानों के बारे में पूछते हैं या अपना स्थान साझा करते हैं, तब स्थान खोज, स्थान विवरण, दिशा-निर्देश और मानचित्र; iOS ऐप में कुछ मानचित्र Apple Maps द्वारा बनाए जाते हैं।

5.2 कानूनी प्रकटीकरण

हम लागू कानून के तहत जारी किए गए एक वैध कानूनी अनुरोध (सम्मन, न्यायालय आदेश, तलाशी वारंट, नियामक माँग) के जवाब में कानून प्रवर्तन, नियामकों, या न्यायालयों को व्यक्तिगत डेटा प्रकट कर सकते हैं। जहाँ अनुमत हो, हम प्रकटीकरण से पहले आपको सूचित करेंगे ताकि आप एक सुरक्षात्मक आदेश माँग सकें।

5.3 व्यावसायिक स्थानांतरण

यदि हम किसी विलय, अधिग्रहण, वित्तपोषण, या हमारी अनिवार्य रूप से सभी संपत्तियों की बिक्री में शामिल हैं, तो व्यक्तिगत डेटा उस लेन-देन के भाग के रूप में स्थानांतरित हो सकता है। हम प्रभावित उपयोगकर्ताओं को सूचित करेंगे और स्थानांतरण प्रभावी होने से पहले आपत्ति करने या अपना खाता बंद करने का एक सार्थक अवसर प्रदान करेंगे, सिवाय उन स्थितियों के जहाँ कानून द्वारा सूचना का निषेध किया गया हो।

5.4 आपकी सहमति से

हम ऊपर सूचीबद्ध न किए गए किसी भी प्रयोजन के लिए व्यक्तिगत डेटा केवल आपकी स्पष्ट सहमति से साझा करेंगे।

6. अंतर्राष्ट्रीय डेटा स्थानांतरण

ToRun इस्तांबुल, तुर्की से संचालित होता है, और यूरोपीय संघ, यूनाइटेड किंगडम, संयुक्त राज्य अमेरिका, और अन्य अधिकार-क्षेत्रों में उप-प्रोसेसरों का उपयोग करता है। जब भी हम आपके निवास के देश से बाहर व्यक्तिगत डेटा स्थानांतरित करते हैं, तो हम एक वैध स्थानांतरण तंत्र पर निर्भर करते हैं:

• GDPR Chapter V - EU Standard Contractual Clauses (2021/914 Commission Decision) साथ ही EDPB Recommendation 01/2020 के अनुसार पूरक उपाय (पारगमन में और विश्राम पर एन्क्रिप्शन, प्रतिबंधित पहुँच, ऑडिट लॉगिंग)।
• UK GDPR - EU SCCs में UK International Data Transfer Addendum।
• KVKK Article 9 - स्पष्ट सहमति या Article 9(2) सुरक्षा उपायों में से एक (बाध्यकारी प्रतिबद्धता, पर्याप्त-देश मान्यता)।
• पर्याप्तता निर्णय - जहाँ यूरोपीय आयोग ने एक पर्याप्तता निर्णय जारी किया है, हम उस पर निर्भर कर सकते हैं।

आप /company/contact?category=legal पर लिखकर स्थानांतरण-तंत्र दस्तावेज़ की एक प्रति का अनुरोध कर सकते हैं।

7. सुरक्षा

हम व्यक्तिगत डेटा के प्रसंस्करण के जोखिमों के लिए उपयुक्त तकनीकी और संगठनात्मक उपाय लागू करते हैं, जिनमें शामिल हैं:

• पारगमन में एन्क्रिप्शन प्रत्येक API अनुरोध के लिए TLS 1.3 के माध्यम से।
• विश्राम पर एन्क्रिप्शन BYOK रहस्यों, बिलिंग डेटा, ऑडिट लॉग, और दस्तावेज़ सामग्री के लिए क्लाउड कुंजी-प्रबंधन सेवा के माध्यम से।
• पहुँच नियंत्रण - भूमिका-आधारित, न्यूनतम-विशेषाधिकार, स्टाफ़ के लिए अनिवार्य बहु-कारक प्रमाणीकरण के साथ; पहुँच की त्रैमासिक समीक्षा की जाती है।
• ऑडिट लॉगिंग - बिलिंग, मॉडरेशन, और प्रशासनिक कार्रवाइयों के लिए हैश-शृंखलित छेड़छाड़-स्पष्ट लॉग, 5 वर्षों तक बनाए रखे जाते हैं।
• नेटवर्क सुरक्षा - दर सीमन, वेब-एप्लिकेशन फ़ायरवॉलिंग, विसंगति पहचान, सेवा-अस्वीकरण शमन।
• भेद्यता प्रबंधन - स्वचालित निर्भरता स्कैनिंग, कोड-समीक्षा गेट, एक स्वतंत्र फर्म द्वारा अर्धवार्षिक पैठ परीक्षण।
• घटना प्रतिक्रिया - प्रलेखित रनबुक, ऑन-कॉल रोटेशन, उल्लंघन-अधिसूचना प्रक्रियाएँ।
• विक्रेता उचित परिश्रम - सभी उप-प्रोसेसरों की ऑनबोर्डिंग से पहले हमारे सुरक्षा और गोपनीयता आधार के विरुद्ध समीक्षा की जाती है।

कोई भी प्रणाली पूर्णतः सुरक्षित नहीं है। यदि आपको किसी सुरक्षा समस्या के बारे में पता चलता है, तो कृपया इसकी रिपोर्ट /company/contact?category=trust पर करें ताकि हम जाँच कर सकें।

8. डेटा प्रतिधारण

डेटा श्रेणी	प्रतिधारण अवधि
खाता प्रोफ़ाइल और प्रमाण-पत्र	खाते का जीवनकाल + 30 दिन
कार्यक्षेत्र सामग्री (चैट, फ़ाइलें, वर्कफ़्लो)	खाते का जीवनकाल + 30 दिन
BillingRecord और चालान	5 वर्ष (कानूनी लेखांकन और ऑडिट)
ऑडिट लॉग (हैश-शृंखलित)	5 वर्ष (अनुभाग 7)
कर-संबंधी दस्तावेज़	10 वर्ष (तुर्की कर विधान)
विपणन-सहमति रिकॉर्ड	सहमति का जीवनकाल + 3 वर्ष
ईमेल लेन-देन लॉग	12 महीने
वेब विश्लेषण (समेकित, कोई PII नहीं)	26 महीने
BYOK रहस्य सामग्री	जब तक आप कुंजी हटा न दें, साथ ही 30-दिन की रियायत
बिना खाते के ट्रायल के रिकॉर्ड (मोबाइल ऐप)	ट्रायल दिए जाने के 90 दिन बाद
बिना खाते के ट्रायल के डिवाइस रिकॉर्ड	ट्रायल के लिए डिवाइस के अंतिम उपयोग के 90 दिन बाद
खाते में न ले जाए गए ट्रायल परिणाम	24 घंटे
ट्रायल संदेश (अगले उत्तर के लिए संदर्भ)	अंतिम संदेश के बाद अधिकतम 24 घंटे
यह नोट कि किसी डिवाइस ने अपना ट्रायल उपयोग कर लिया है (आपका ट्रायल डेटा हटाने के बाद)	अधिकतम 90 दिन
बिना खाते के ट्रायल के बाद खाता–डिवाइस लिंक	365 दिन
मोबाइल ऐप क्रैश रिपोर्ट (सर्वर लॉग)	अधिकतम 30 दिन

बंद किए गए खातों को तुरंत सॉफ़्ट-डिलीट किया जाता है और बंद होने के 30 दिन बाद हार्ड-डिलीट (जहाँ समर्थित हो वहाँ क्रिप्टोग्राफ़िक मिटान, अन्यथा सुरक्षित अधिलेखन) किया जाता है, जो ऊपर दी गई प्रतिधारण आवश्यकताओं के अधीन है।

9. आपके अधिकार (GDPR / UK GDPR)

यदि GDPR या UK GDPR आप पर लागू होता है, तो आपके पास अपने व्यक्तिगत डेटा के संबंध में निम्नलिखित अधिकार हैं:

• पहुँच (Article 15) - हमारे द्वारा संसाधित व्यक्तिगत डेटा की एक प्रति और उस प्रसंस्करण के बारे में जानकारी प्राप्त करना।
• सुधार (Article 16) - गलत या अपूर्ण डेटा को सही करना।
• मिटान (Article 17, 'भूल जाने का अधिकार') - परिभाषित परिस्थितियों में विलोपन का अनुरोध करना।
• प्रतिबंध (Article 18) - अनुरोध करना कि हम सत्यापन लंबित रहने तक प्रसंस्करण रोक दें।
• पोर्टेबिलिटी (Article 20) - अपना डेटा एक संरचित, सामान्यतः उपयोग किए जाने वाले, मशीन-पठनीय प्रारूप में प्राप्त करना।
• आपत्ति (Article 21) - वैध हितों के आधार पर प्रसंस्करण पर आपत्ति करना; प्रत्यक्ष विपणन पर आपत्ति करने का आपका पूर्ण अधिकार है।
• स्वचालित निर्णय-निर्माण और प्रोफ़ाइलिंग (Article 22) - केवल स्वचालित प्रसंस्करण पर आधारित ऐसे निर्णय के अधीन न होना जो कानूनी प्रभाव या इसी प्रकार महत्वपूर्ण प्रभाव उत्पन्न करता हो (अनुभाग 13 देखें)।
• सहमति वापस लेना किसी भी समय, वापसी से पहले के प्रसंस्करण की वैधता को प्रभावित किए बिना।
• शिकायत दर्ज करना EU/UK सदस्य राज्य की पर्यवेक्षी प्राधिकरण के पास जहाँ आप रहते हैं, काम करते हैं, या जहाँ कथित उल्लंघन हुआ।

इन अधिकारों का प्रयोग करने के लिए, अपने खाता डैशबोर्ड से या /company/contact?category=legal पर ईमेल करके एक डेटा विषय अनुरोध जमा करें। हम 30 दिनों के भीतर प्रतिक्रिया देते हैं (Article 12(3))। जहाँ उपयुक्त हो वहाँ हम प्रतिक्रिया देने से पहले आपकी पहचान सत्यापित कर सकते हैं।

यदि आपने बिना खाते के मोबाइल ऐप आज़माया है, तो आप ऐप में ही अपना ट्रायल डेटा हटा सकते हैं (अनुभाग 2.5)। हम ऐसा कुछ नहीं रखते जो अतिथि के रूप में आपकी पहचान करे, इसलिए हम ईमेल अनुरोध के आधार पर किसी ट्रायल को खोज नहीं सकते।

10. आपके अधिकार (KVKK - तुर्की)

तुर्की के उपयोगकर्ता विस्तृत जानकारी के लिए हमारा पूरा KVKK Aydınlatma Metni (डेटा-सुरक्षा स्पष्टीकरण सूचना) पढ़ सकते हैं।

तुर्की KVKK के Article 11 के तहत, आपको निम्नलिखित का अधिकार है:

• यह जानना कि आपका व्यक्तिगत डेटा संसाधित किया जा रहा है या नहीं;
• यदि आपका डेटा संसाधित किया गया है तो जानकारी का अनुरोध करना;
• प्रसंस्करण का प्रयोजन जानना और क्या डेटा उस प्रयोजन के अनुरूप उपयोग किया जाता है;
• यह जानना कि व्यक्तिगत डेटा देश में और विदेश में किसको स्थानांतरित किया गया है;
• अपूर्ण या गलत डेटा के सुधार का अनुरोध करना;
• व्यक्तिगत डेटा के विलोपन या विनाश का अनुरोध करना;
• उन तृतीय पक्षों को किसी भी सुधार, विलोपन, या विनाश की अधिसूचना का अनुरोध करना जिन्हें डेटा स्थानांतरित किया गया था;
• केवल स्वचालित प्रसंस्करण पर आधारित ऐसे निर्णय पर आपत्ति करना जो प्रतिकूल परिणाम उत्पन्न करता हो;
• गैरकानूनी प्रसंस्करण से उत्पन्न क्षति के लिए मुआवज़े का दावा करना।

आप /company/contact?category=legal पर लिखकर या Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ के माध्यम से एक अनुरोध जमा करके इन अधिकारों का प्रयोग कर सकते हैं। हम एक उचित रूप से गठित अनुरोध प्राप्त करने के 30 दिनों के भीतर प्रतिक्रिया देते हैं।

शिकायतें Kişisel Verileri Koruma Kurumu (KVKK) के पास kvkk.gov.tr पर दर्ज की जा सकती हैं।

11. आपके अधिकार (CCPA / CPRA - कैलिफ़ोर्निया निवासी)

कैलिफ़ोर्निया निवासियों को निम्नलिखित का अधिकार है:

• हमने जो व्यक्तिगत जानकारी एकत्र की है उसकी श्रेणियाँ, स्रोत, प्रयोजन, और जिन तृतीय पक्षों के साथ हम इसे साझा करते हैं उनकी श्रेणियाँ जानना (Civil Code 1798.110, 1798.115)।
• अपवादों के अधीन व्यक्तिगत जानकारी को हटाना (1798.105)।
• गलत व्यक्तिगत जानकारी को सही करना (1798.106, CPRA)।
• संवेदनशील व्यक्तिगत जानकारी के उपयोग और प्रकटीकरण को सीमित करना (1798.121)।
• सीमा-पार व्यवहार संबंधी विज्ञापन के लिए किसी भी 'बिक्री' या 'साझाकरण' से ऑप्ट आउट करना। हम व्यक्तिगत जानकारी नहीं बेचते, और हम सीमा-पार व्यवहार संबंधी विज्ञापन के लिए साझा नहीं करते।
• गैर-भेदभाव - हम सेवाओं से इनकार नहीं करेंगे, अलग मूल्य नहीं लेंगे, या निम्न गुणवत्ता की सेवा प्रदान नहीं करेंगे क्योंकि आपने किसी गोपनीयता अधिकार का प्रयोग किया।

अपने CCPA अधिकारों का प्रयोग करने के लिए, /company/contact?category=legal पर ईमेल करें। आप सत्यापन योग्य लिखित अनुमति के साथ अपनी ओर से कार्य करने के लिए एक अधिकृत एजेंट नियुक्त कर सकते हैं।

12. बच्चों की गोपनीयता

सेवा 13 वर्ष से कम आयु के बच्चों (या आपके अधिकार-क्षेत्र में लागू डिजिटल-सहमति आयु, उदाहरण के लिए कुछ EU सदस्य राज्यों में 16) के लिए निर्देशित नहीं है। हम जानबूझकर उन आयु से कम के बच्चों से व्यक्तिगत डेटा एकत्र नहीं करते। यदि आपको विश्वास है कि किसी बच्चे ने हमें व्यक्तिगत डेटा प्रदान किया है, तो /company/contact?category=legal पर संपर्क करें और हम डेटा को शीघ्रता से हटा देंगे।

13. स्वचालित निर्णय-निर्माण

सेवा निम्नलिखित के लिए स्वचालित निर्णय-निर्माण का उपयोग करती है:

• क्षमता और मूल्य के आधार पर AI कॉल को विशिष्ट प्रदाताओं को रूट करना;
• स्वचालित वर्गीकारकों का उपयोग करके मॉडरेशन समीक्षा के लिए सामग्री को चिह्नित करना;
• जोखिम-स्कोरिंग प्रणालियों का उपयोग करके धोखाधड़ी और दुरुपयोग का पता लगाना;
• बिलिंग और उपयोग रिकॉर्ड का मिलान करना।

ये निर्णय अधिकांश मामलों में GDPR Article 22 के अर्थ में कानूनी प्रभाव उत्पन्न नहीं करते, परंतु जहाँ वे करते हैं (उदाहरण के लिए धोखाधड़ी के लिए किसी खाते को स्थायी रूप से समाप्त करने का निर्णय), वहाँ आप /company/contact?category=legal पर लिखकर मानव समीक्षा का अनुरोध कर सकते हैं।

14. विपणन संचार

हम विपणन ईमेल केवल आपकी पूर्व, स्वतंत्र रूप से दी गई, सूचित सहमति से भेजते हैं। प्रत्येक विपणन ईमेल में एक अनसब्सक्राइब लिंक शामिल होता है, और आप अपनी खाता सेटिंग्स में विपणन वरीयताओं का प्रबंधन कर सकते हैं। लेन-देन संबंधी संदेश (सुरक्षा अलर्ट, बिलिंग रसीदें, पासवर्ड रीसेट, महत्वपूर्ण सेवा अद्यतन) विपणन नहीं हैं और आप अपने खाते के खुले रहते हुए उनसे अनसब्सक्राइब नहीं कर सकते।

यदि आप उत्पाद अपडेट के लिए साइन अप करते हैं लेकिन अपने ईमेल पते की पुष्टि नहीं करते, तो हम 30 दिनों के बाद वह साइन-अप हटा देते हैं।

15. डेटा उल्लंघन अधिसूचना

हम किसी भी व्यक्तिगत-डेटा उल्लंघन की सूचना संबंधित पर्यवेक्षी प्राधिकरण और प्रभावित व्यक्तियों को बिना किसी अनुचित देरी के और किसी भी स्थिति में उल्लंघन से अवगत होने के 72 घंटे के भीतर देते हैं, जहाँ उल्लंघन से आपके अधिकारों और स्वतंत्रताओं के लिए जोखिम उत्पन्न होने की संभावना हो (GDPR Article 33; KVKK Communiqué on Personal Data Breach Notification)।

अधिसूचनाएँ आपके खाते पर ईमेल पते पर और जहाँ उपयुक्त हो वहाँ torun.ai/incidents पर एक सार्वजनिक घटना पृष्ठ पर भेजी जाती हैं।

16. कुकीज़, ट्रैकिंग और डू-नॉट-ट्रैक

हम जहाँ लागू हो वहाँ Global Privacy Control (GPC) संकेत का सम्मान करते हैं। हम पुराने 'Do Not Track' ब्राउज़र हेडर का जवाब नहीं देते क्योंकि उनके अर्थ पर कोई उद्योग आम सहमति नहीं है। हमारे बैनर में सेट की गई कुकी-स्तरीय वरीयताएँ तुरंत प्रभावी होती हैं और आपके सत्रों में समन्वयित होती हैं।

17. इस नीति में परिवर्तन

हम समय-समय पर इस नीति को अद्यतन कर सकते हैं। वर्तमान संस्करण हमेशा एक प्रभावी तिथि और संस्करण संख्या के साथ torun.ai/privacy-policy पर उपलब्ध रहता है। सारभूत परिवर्तनों की सूचना उनके प्रभावी होने से कम से कम 30 दिन पहले ईमेल द्वारा दी जाएगी। नवीनतम संस्करण नियंत्रक होता है; संग्रहीत संस्करण अनुरोध पर उपलब्ध हैं।

18. संपर्क और पर्यवेक्षी प्राधिकरण

डेटा संरक्षण अधिकारी: /company/contact?category=legal

डाक पता: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

पर्यवेक्षी प्राधिकरण:

• तुर्की - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• यूरोपीय संघ - अपना स्थानीय DPA edpb.europa.eu/about-edpb/about-edpb/members_en पर खोजें
• यूनाइटेड किंगडम - ICO - ico.org.uk
• कैलिफ़ोर्निया, USA - CPPA (California Privacy Protection Agency) - cppa.ca.gov

यदि आप अपने अनुरोध के प्रति हमारी प्रतिक्रिया से संतुष्ट नहीं हैं, तो आपको अपने अधिकार-क्षेत्र की पर्यवेक्षी प्राधिकरण के पास शिकायत दर्ज करने का अधिकार है।

19. भाषा

यह नीति मास्टर संस्करण के रूप में अंग्रेज़ी में प्रदान की गई है। अनुवाद सुविधा के लिए प्रस्तुत किए गए हैं; अंग्रेज़ी संस्करण और किसी अनुवाद के बीच विरोधाभास की स्थिति में, अंग्रेज़ी संस्करण नियंत्रक होगा, सिवाय उन स्थितियों के जहाँ आपके देश के अनिवार्य डेटा-संरक्षण कानून अन्यथा अपेक्षित करते हैं।