プライバシーポリシー

本プライバシーポリシーは、ToRun（以下「ToRun」「当社」といいます）がデータ管理者として、お客様が torun.ai およびそのサブドメインにおいて本サービスにアクセスする際に、個人データをどのように収集、利用、共有、および保護するかを説明します。本ポリシーは、参照により当社の利用規約に組み込まれます。

当社は、本ポリシーを、EU一般データ保護規則 2016/679（GDPR）、英国GDPRおよび2018年データ保護法、**トルコ個人データ保護法第6698号（KVKK）**およびその施行規則、2020年カリフォルニア州プライバシー権利法（CPRA）により改正された2018年カリフォルニア州消費者プライバシー法（CCPA）、ブラジルLGPD（法律第13.709号）、および当社の国境を越えた事業に適用されるその他のプライバシー法を遵守するために作成しました。

ご質問がある場合は、/company/contact?category=legal において当社のデータ保護責任者にご連絡ください。

1. 管理者は誰か

本書において ToRun とは、本サービスを提供する株式会社である TORUN TEKNOLOJİ ANONİM ŞİRKETİ（Torun Teknoloji A.Ş.）をいいます。同社はトルコで設立され、İstanbul Ticaret Sicili Müdürlüğü に登記番号 1165311（MERSİS 番号 0857078305100001）で登記されており、本店所在地は Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye です。

ToRun は、本サービスに関連して処理される個人データのデータ管理者です。ただし、当社が組織顧客に代わって処理者として行為する場合（例えば、従業員のアカウントを管理するエンタープライズテナント）はこの限りではありません。処理者のシナリオにおいては、当該組織が管理者であり、当社は別途のデータ処理付則（DPA）により拘束されます。

上記の当社本店所在地は、データ保護に関する通信の郵送先住所でもあります。/company/contact?category=legal 宛の通信は、当社のデータ保護責任者に直接届きます。

2. 当社が収集する情報

2.1 お客様が提供する情報

• アカウントデータ - メールアドレス、表示名、パスワードハッシュ（平文パスワードは決して含みません）、任意のアバター、言語設定、タイムゾーン、および任意のプロフィール項目（自己紹介、ソーシャルハンドル、請求書のためにオプトインした場合の郵便住所）。
• 認証情報 - お客様がサポートされているソーシャルサインインプロバイダー（現在は Google、Microsoft、または X（旧Twitter））を通じてサインインする場合、当社は、お客様が当該プロバイダーに共有を許可した限定的なプロフィール情報のみを受領します。これは通常、お客様のメールアドレス、表示名、プロフィール画像のURL、およびプロバイダーのユーザーIDです。Xの場合、これにはお客様のXのユーザー名も含まれることがあります。当社は、このデータを、お客様のアカウントを作成または照合し、お客様を認証するためにのみ使用します。当社が、外部プロバイダーに対するお客様のパスワードを受領することは決してなく、お客様に代わって投稿することもなく、お客様の連絡先またはソーシャルグラフを読み取ることもありません。
• 請求情報 - 請求先住所、VAT／税識別子（ある場合）、請求書の設定。決済手段そのもの（カード番号、銀行口座、ウォレットトークン）は決済処理業者——ウェブサイトでの購入では当社の記録上の販売者である Dodo Payments、モバイルアプリでの購入では Apple（App Store）または Google（Google Play）——が収集および保管し、当社に届くことはありません。各取引について当社が受け取るのは照合に必要な情報のみです：取引の状況、商品、金額と通貨、およびウェブサイトでの購入の場合は税額と請求先の国。
• BYOK認証情報 - お客様がアップロードを選択する第三者AIプロバイダーのAPIキーであり、鍵管理ボールトに暗号化された状態で保管されます。
• ワークスペースの内容 - 会話、プロンプト、システム指示、ファイルのアップロード、ワークフロー定義、コメント、メモリ、およびお客様が作成またはアップロードするその他のコンテンツ。
• 当社との通信 - 電子メール、チャット、サポートチケット、満足度調査の回答。
• Runs 残高 - 前払い利用クレジット（Runs）の残高およびその取引履歴（チャージ、消費、返金による取消）。

2.2 自動的に収集される情報

• 利用テレメトリ - お客様が訪問するルート、お客様が利用する機能、機能における滞在時間、エラーイベント、パフォーマンス指標（リクエストのレイテンシ、モデルのレイテンシ、スループット）。
• デバイスおよび接続 - IPアドレス（分析のために切り詰められ、不正およびセキュリティの調査のためには完全な形で取得されます）、ユーザーエージェント文字列、ブラウザ言語、デバイス種別、オペレーティングシステム、画面解像度。
• クッキーおよび類似の技術 - 完全な一覧およびお客様のオプトアウト管理については、第11条（クッキー）を参照してください。
• AI呼び出しのメタデータ - 選択されたモデル、要求された能力セット、トークン数、レイテンシ、コスト、資金源、および適用されたBYOKティア。各AI呼び出しは、価格スナップショットを伴う BillingRecord を生成し、第8条（保持）に従って保持されます。
• クラッシュレポート（モバイルアプリ） - お客様がサインインしている間にモバイルアプリがクラッシュした場合、アプリはエラーメッセージ、エラーの技術的なトレース、画面名、アプリ・アップデート・オペレーティングシステムのバージョン、および時刻を送信します。当社はレポートをお客様のユーザーIDおよびアプリのユーザーエージェント文字列とともにサーバーログに書き込みます。レポートはデータベースには保存されず、ログとともに最長30日以内に削除されます。
• アカウントなしのお試しにおけるデバイス確認（モバイルアプリ） - Apple（App Attest、DeviceCheck）または Google（Play Integrity）によるデバイス確認の結果、デバイス識別子の鍵付きハッシュ、およびお客様の IP ネットワークプレフィックスの鍵付きハッシュ。第2.5条をご覧ください。

2.3 第三者からの情報

• ウェブサイトでの購入については Dodo Payments から、モバイルアプリでの購入については Apple または Google から受け取る決済メタデータ（上記のとおり）。
• 決済取引について当社の記録上の販売者（Merchant of Record）／決済処理業者が実施する不正およびリスクのスクリーニング結果。
• 当社のコンテンツモデレーションプロバイダーからの自動化されたモデレーション結果 — アップロードされた画像および公開されるテキストがスクリーニングされた際に返される分類（当社の利用規定を参照）。

2.4 機微なカテゴリ

当社は、特別カテゴリのデータ（GDPR第9条）（人種、民族、政治的意見、宗教的信条、労働組合への加入、遺伝データ、生体データ、健康、性生活、性的指向）、またはKVKK第6条の「特別」個人データを求めません。お客様がプロンプト、ファイル、またはコメントを通じて当該情報を任意に提出した場合、当社は、お客様に本サービスを提供するために必要な範囲においてのみこれを処理し、強化された保護を適用します。

2.5 アカウントなしでモバイルアプリを試す

お客様は、アカウントを作成せずに、ToRun モバイルアプリを期間限定でお試しいただけます（「アカウントなしのお試し」）。お試しの間、当社はお客様の氏名、メールアドレスまたは電話番号をお尋ねしません。お試しを提供し、同じデバイスで何度も繰り返し開始されることを防ぎ、不正利用を防止するために、当社は以下を処理します：

• デバイス確認 - アプリは Apple（App Attest、DeviceCheck）または Google（Play Integrity）に、デバイスとアプリが本物であることの確認を求め、当社のサーバーはこれらのサービスで結果を検証します。確認用トークンは保存しません。Apple は、当社のために自社のサーバー上にデバイスごとに二つの値（「お試しを付与済み」「このデバイスでアカウントが作成された」）を保持します。
• デバイス識別子 - iOS では、アプリが作成してデバイス上に保持するランダムな識別子、Android では、アプリ固有のデバイス識別子（ANDROID_ID）。デバイスから送信されるのはその一方向ハッシュのみであり、当社は秘密鍵で再度ハッシュ化（鍵付きハッシュ）した後にのみ保存します。iOS では、App Attest の鍵識別子の鍵付きハッシュも保存します。
• ネットワーク - お試しの一日あたりの上限のための、お客様の IP アドレスのネットワークプレフィックスの鍵付きハッシュ（完全なアドレスは決して保存しません）。
• お試しの記録 - お試しの残量、その状態、およびお試しが拒否された場合はその理由。
• お試しになる内容 - お客様が入力したメッセージ、音声での会話、選択した写真、および歌のために指定した名前は、結果を生成する AI プロバイダーと当社のコンテンツモデレーションプロバイダーに送信されます（第5.1条）。写真は画像の作成にのみ使用され、保存されません。音声での会話は録音されず、その文字起こしも保存されません。直近のメッセージは、次の回答が文脈を踏まえられるよう、最後のメッセージから最長24時間保持されます。会話として保存されることはありません。お試しで生成されたもの（歌、画像）は24時間保持された後、削除されます。

保存期間。 お試しの記録はお試しの付与から90日後に、デバイスの記録はそのデバイスが最後にお試しに使用されてから90日後に、自動的に削除されます。お試しからアカウントを作成した場合、同じデバイスで作成された二つ目のアカウントがウェルカムギフトを再び受け取らないよう、アカウントとデバイスの関連付けが365日間保持されます。お試しで消費した分の請求記録は、会計法令が求めるとおり5年間保持されます。この記録はお客様ではなくお試しを識別するものであり、ネットワークプレフィックスの鍵付きハッシュを含みますが、このハッシュはお客様がお試しデータを削除すると除去されます。

アカウントを作成した場合。 お試し中に作成したものはお客様のアカウントのライブラリに移され、以後お客様のアカウントの一部として保持されます。デバイスの記録はお客様のアカウントに関連付けられます。

法的根拠。 サービスの安全を保ち、無料のお試しの不正利用を防止するという当社の正当な利益（GDPR 第6条(1)(f)、KVKK 第5条(2)(f)）、およびお客様が求めたお試しの提供（GDPR 第6条(1)(b)、KVKK 第5条(2)(c)）。Apple および Google の確認サービスならびに AI プロバイダーへのデータ送信は国際移転に該当し、第6条の対象となります。

お試しデータの削除。 お客様は、アカウントなしで、アプリ内でいつでもお試しデータを削除できます。ウェルカム画面で「お試しデータ」を開き、「お試しデータを削除」を選択してください。デバイスはお試しそのものと同じ方法で確認されるため、他の誰もお客様のお試しデータを削除したり、その内容を知ったりすることはできません。削除後、当社が保持するのは、このデバイスがお試しを使用済みであるという記録のみ（それ以外の情報は含まず、最長90日間）と、一日間だけ、お客様のネットワークでお試しが使用されたという情報のみであり、お試しを単純にやり直すことはできません。アカウントを作成していた場合、アカウントを削除すると、それに関連付けられたお試しの記録も削除されます。Apple がデバイスについて保持する二つの値はお客様に関連付けられていません。リセットするとそのデバイスで新たなお試しが可能になるため、当社はこれらをリセットしません。

3. 当社による情報の利用方法

当社は、以下の目的のために個人データを利用します。

#	目的	GDPR第6条の適法根拠	KVKK根拠
a	本サービスの運営（アカウント、ルーティング、ダッシュボード、通知）	契約（第6条(1)(b)）	契約の履行
b	課金、不正防止、マネーロンダリング防止法の遵守	契約、法的義務（第6条(1)(b)、(c)）	契約の履行、法的義務
c	取引メールの送信（領収書、パスワードリセット、セキュリティ警告）	契約（第6条(1)(b)）	契約の履行
d	本サービスの改善、デバッグ、および保護	正当な利益（第6条(1)(f)）	正当な利益
e	マーケティング通信の送信（オプトインのみ）	同意（第6条(1)(a)）	明示的な同意
f	お客様のデータ主体の請求への対応	法的義務（第6条(1)(c)）	法的義務
g	法的請求からの自己防御、裁判所の命令の遵守	法的義務、正当な利益	法的義務
h	当社自身のAIモデルの訓練、ファインチューニング、またはその他の改善	当社はお客様のコンテンツでこれを行いません	該当なし

3.1 当社はお客様のコンテンツで訓練を行いません

ToRunは、お客様のプロンプト、ファイル、会話、または生成された出力を、当社自身のものか他者のものかを問わず、いかなるAIモデルの訓練、ファインチューニング、またはその他の改善のためにも使用しません。 お客様がBYOKを利用する場合、第三者プロバイダーの訓練に関する姿勢は当該プロバイダーの規約により規律されます。当社は、これらを確認することをお勧めします。BYOK以外の呼び出しについては、当社は、当社の顧客のコンテンツで訓練を行うことを禁止する契約上の条件の下でプロバイダーを利用します。

4. クッキーおよび類似の技術

当社は、以下の目的のためにクッキーおよび類似のストレージ（localStorage、IndexedDB）を使用します。

• 厳密に必要なもの - 認証（OpenIddictのアクセストークン、リフレッシュトークン）、セッションの継続性、CSRF対策トークン、ロードバランシングのアフィニティ、クッキー同意の永続化。
• 機能的なもの - 言語設定、テーマ（ダーク／ライト／ディム）、最近使用したワークスペース、最後に選択したモデル。
• 分析 - 集計された利用分析であり、当社の分析ウェアハウスにおいて実在の身元に結び付けられることは決してありません（当社はお客様のユーザーIDではなく、ソルト付きのデバイスハッシュを使用します）。
• マーケティング - デフォルトでは無効です。お客様がオプトインした場合、当社はファーストパーティのアトリビューションクッキーを設定することがあります。

お客様は、最初に訪問した際のクッキーバナーでこれらの設定を管理することができ、フッターのクッキー設定リンクからいつでもこれらを変更することができます。一部の厳密に必要なクッキーは、それらがなければ本サービスが機能しないため、無効にすることができません。

5. 当社による個人データの共有方法

当社は、本サービスを運営するために必要な範囲においてのみ個人データを共有します。当社は、CCPA／CPRA（民法典1798.140(t)）の意味における個人データの販売を決して行いません。

5.1 サブプロセッサー

当社の現在のサブプロセッサーは、当社の**データ処理契約の別紙III**に記載されており、当社がベンダーを変更するのに応じて更新されます。概要は以下のとおりです。

• Dodo Payments - ウェブサイトでの購入における記録上の販売者：決済処理、請求書の発行、税務処理、返金およびチャージバック。
• Apple（App Store）および Google（Google Play） - モバイルアプリでの購入に関する決済処理（ストアが自らの条件で販売します）。
• Bunny.net（BunnyWay d.o.o.）（スロベニア） - オブジェクトストレージ、CDN、画像および動画のオプティマイザー、動画ストリーミング。
• Microsoft Azure／Hetzner／OVH - インフラのホスティング（リージョンはテナントの選択により異なります）。
• Kafka互換のイベントストリーミングプロバイダー - 取引上のアウトボックスおよび分析のためのリアルタイムイベントバス。
• 第三者のAIプロバイダー - 特定のリクエストをどのプロバイダーが受領するかは、お客様が求める機能と、お客様またはお客様のルーティング設定が選択するモデルによって決まります。現在利用可能なプロバイダーおよびモデルは本サービス内に記載されています。AIプロバイダーは、お客様の特定のリクエストを履行するために必要な最小限のコンテンツを受領し、それはお客様（またはお客様のルーティング設定）がリクエストを当該プロバイダーに送信させた場合に限られます。
• コンテンツモデレーションプロバイダー（OpenAI） - 禁止されたコンテンツを検出するための、アップロードされた画像および公開されるテキストの自動スクリーニング（当社の利用規定に基づく）。決済に関連するKYC／AMLのチェックは、当社の記録上の販売者（Merchant of Record）により実施されます。
• 電子メールおよび通知配信のプロバイダー - 取引メール（領収書、パスワードリセット、セキュリティ警告）。
• 分析および製品改善のツール - 契約上のノーPIIを前提とした集計された利用分析。
• カスタマーサポートのツール - お客様のチケットおよびフィードバックを取り扱うため。
• Apple および Google のデバイス確認サービス（App Attest および DeviceCheck、Play Integrity） - モバイルアプリのアカウントなしのお試し中に、デバイスとアプリが本物であることを確認するため（第2.5条）。
• Google Maps Platform - お客様が場所について尋ねたり位置情報を共有したりした際の、場所の検索、場所の詳細、経路案内および地図。iOS アプリでは、一部の地図は Apple マップで描画されます。

5.2 法的開示

当社は、適用法の下で発行された有効な法的要請（召喚状、裁判所の命令、捜索令状、規制当局の要求）に応じて、法執行機関、規制当局、または裁判所に対し個人データを開示することがあります。許容される場合、当社は、お客様が保護命令を求めることができるよう、開示前にお客様に通知します。

5.3 事業譲渡

当社が合併、買収、資金調達、または当社の資産の実質的に全部の売却に関与する場合、個人データが当該取引の一部として移転されることがあります。当社は、法律により通知が妨げられる場合を除き、影響を受けるユーザーに通知し、移転が効力を生じる前に異議を述べ、またはアカウントを閉鎖する有意義な機会を提供します。

5.4 お客様の同意による場合

当社は、上記に記載されていないいかなる目的のためにも、お客様の明示的な同意がある場合に限り個人データを共有します。

6. 国境を越えたデータ移転

ToRunはトルコ・イスタンブールから事業を運営し、欧州連合、英国、米国その他の管轄区域のサブプロセッサーを利用します。当社がお客様の居住国外に個人データを移転する場合は常に、当社は適法な移転メカニズムに依拠します。

• GDPR第V章 - EU標準契約条項（2021/914欧州委員会決定）に加え、EDPB勧告01/2020に基づく補完的措置（移転中および保存時の暗号化、アクセス制限、監査ログ記録）。
• 英国GDPR - EU SCCへの英国国際データ移転付則。
• KVKK第9条 - 明示的な同意、または第9条(2)の保護措置のいずれか（拘束力ある誓約、十分性が認められた国）。
• 十分性認定 - 欧州委員会が十分性認定を発出した場合、当社はこれに依拠することがあります。

お客様は、/company/contact?category=legal 宛に書面で連絡することにより、移転メカニズムに関する文書の写しを請求することができます。

7. セキュリティ

当社は、個人データの処理に伴うリスクに見合った技術的および組織的措置を適用します。これには以下が含まれます。

• 移転中の暗号化 - TLS 1.3 を介したすべてのAPIリクエストについて。
• 保存時の暗号化 - BYOKシークレット、請求データ、監査ログ、および文書コンテンツについて、クラウド鍵管理サービスを介して。
• アクセス制御 - 役割ベース、最小権限であり、スタッフには多要素認証を必須とし、アクセスは四半期ごとに見直されます。
• 監査ログ記録 - 請求、モデレーション、および管理者の操作についてのハッシュチェーン化された改ざん検知可能なログであり、5年間保持されます。
• ネットワークセキュリティ - レート制限、ウェブアプリケーションファイアウォール、異常検知、サービス拒否攻撃の緩和。
• 脆弱性管理 - 自動化された依存関係スキャン、コードレビューのゲート、独立した会社による年二回の侵入テスト。
• インシデント対応 - 文書化されたランブック、オンコールローテーション、侵害通知手続。
• ベンダーのデューデリジェンス - すべてのサブプロセッサーは、オンボーディング前に当社のセキュリティおよびプライバシーの基準に照らして審査されます。

完全に安全なシステムは存在しません。お客様がセキュリティ上の問題に気付いた場合は、当社が調査できるよう、/company/contact?category=trust に報告してください。

8. データの保持

データカテゴリ	保持期間
アカウントプロフィールおよび認証情報	アカウントの存続期間 + 30日
ワークスペースの内容（チャット、ファイル、ワークフロー）	アカウントの存続期間 + 30日
BillingRecord および請求書	5年（法的な会計および監査）
監査ログ（ハッシュチェーン化）	5年（第7条）
税務関連書類	10年（トルコ税法）
マーケティング同意の記録	同意の存続期間 + 3年
電子メール取引ログ	12か月
ウェブ分析（集計、PIIなし）	26か月
BYOKシークレット素材	お客様がキーを削除するまで、加えて30日間の猶予
アカウントなしのお試しの記録（モバイルアプリ）	お試しの付与から90日後
アカウントなしのお試しのデバイス記録	デバイスが最後にお試しに使用されてから90日後
アカウントに移されなかったお試しの結果	24時間
お試しのメッセージ（次の回答のための文脈）	最後のメッセージから最長24時間
デバイスがお試しを使用済みであるという記録（お試しデータの削除後）	最長90日
アカウントなしのお試し後のアカウント–デバイスの関連付け	365日
モバイルアプリのクラッシュレポート（サーバーログ）	最長30日

閉鎖されたアカウントは直ちにソフト削除され、上記の保持要件に従うことを条件として、閉鎖後30日でハード削除されます（サポートされる場合は暗号学的消去、それ以外の場合は安全な上書き）。

9. お客様の権利（GDPR／英国GDPR）

GDPRまたは英国GDPRがお客様に適用される場合、お客様は、お客様の個人データに関して以下の権利を有します。

• アクセス権（第15条） - 当社が処理する個人データの写し、および当該処理に関する情報を取得すること。
• 訂正権（第16条） - 不正確または不完全なデータを訂正すること。
• 消去権（第17条、「忘れられる権利」） - 定められた状況において削除を請求すること。
• 制限権（第18条） - 検証が完了するまで当社が処理を一時停止することを請求すること。
• ポータビリティ権（第20条） - お客様のデータを構造化され、一般的に使用され、機械可読な形式で受領すること。
• 異議権（第21条） - 正当な利益に基づく処理に異議を述べること。お客様はダイレクトマーケティングに対して異議を述べる絶対的な権利を有します。
• 自動化された意思決定およびプロファイリング（第22条） - 法的効果または同様に重大な影響を生じる、もっぱら自動化された処理に基づく決定に服さないこと（第13条を参照）。
• いつでも同意を撤回すること。ただし、撤回前の処理の適法性には影響しません。
• お客様が居住し、労働し、または申し立てられた侵害が発生したEU／英国加盟国の監督機関に苦情を申し立てること。

これらの権利を行使するには、お客様のアカウントダッシュボードから、または /company/contact?category=legal に電子メールを送ることにより、データ主体の請求を提出してください。当社は30日以内に対応します（第12条(3)）。適切な場合、当社は対応の前にお客様の本人確認を行うことがあります。

アカウントなしでモバイルアプリをお試しになった場合は、アプリ内でお試しデータを削除できます（第2.5条）。当社はお客様をゲストとして識別する情報を一切保持していないため、メールでの請求からお試しを特定することはできません。

10. お客様の権利（KVKK - トルコ）

トルコのユーザーは、詳細な開示について、当社の KVKK Aydınlatma Metni（データ保護に関する説明通知）の全文をお読みいただけます。

トルコKVKK第11条に基づき、お客様は以下の権利を有します。

• お客様の個人データが処理されているか否かを知ること。
• お客様のデータが処理された場合に情報を請求すること。
• 処理の目的、およびデータが当該目的に沿って使用されているか否かを知ること。
• 国内外で個人データが誰に移転されたかを知ること。
• 不完全または不正確なデータの訂正を請求すること。
• 個人データの削除または破棄を請求すること。
• データが移転された第三者に対する、いかなる訂正、削除、または破棄の通知を請求すること。
• 不利な結果を生じる、もっぱら自動化された処理に基づく決定に異議を述べること。
• 違法な処理に起因する損害について補償を請求すること。

お客様は、/company/contact?category=legal 宛に書面で連絡することにより、または「データ管理者への申請の手続および原則に関する告示」（Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ）を通じて請求を提出することにより、これらの権利を行使することができます。当社は、適正に作成された請求を受領してから30日以内に対応します。

苦情は、kvkk.gov.tr において**個人データ保護局（Kişisel Verileri Koruma Kurumu, KVKK）**に申し立てることができます。

11. お客様の権利（CCPA／CPRA - カリフォルニア州住民）

カリフォルニア州住民は以下の権利を有します。

• 当社が収集した個人情報のカテゴリ、その出所、目的、および当社がそれを共有する第三者のカテゴリを知る権利（民法典1798.110、1798.115）。
• 例外に従うことを条件として、個人情報を削除する権利（1798.105）。
• 不正確な個人情報を訂正する権利（1798.106、CPRA）。
• 機微な個人情報の利用および開示を制限する権利（1798.121）。
• コンテキストを越えた行動ターゲティング広告のためのいかなる「販売」または「共有」もオプトアウトする権利。当社は個人情報を販売せず、コンテキストを越えた行動ターゲティング広告のために共有しません。
• 差別禁止 - 当社は、お客様がプライバシー権を行使したことを理由として、サービスを拒否し、異なる価格を請求し、または低品質のサービスを提供することはありません。

お客様のCCPA上の権利を行使するには、/company/contact?category=legal に電子メールを送ってください。お客様は、検証可能な書面による許可をもって、お客様に代わって行為する権限を付与された代理人を指定することができます。

12. 児童のプライバシー

本サービスは、13歳未満（またはお客様の管轄区域において適用されるデジタル同意年齢、例えば一部のEU加盟国では16歳）の児童に向けられたものではありません。当社は、これらの年齢未満の児童から、それと知って個人データを収集することはありません。児童が当社に個人データを提供したとお考えの場合は、/company/contact?category=legal にご連絡ください。当社は速やかに当該データを削除します。

13. 自動化された意思決定

本サービスは、以下のために自動化された意思決定を使用します。

• 能力および価格に基づきAI呼び出しを特定のプロバイダーにルーティングすること。
• 自動化された分類器を用いてモデレーション審査のためにコンテンツをフラグ付けすること。
• リスクスコアリングシステムを用いて不正および不正利用を検出すること。
• 請求および利用の記録を照合すること。

これらの決定は、ほとんどの場合GDPR第22条の意味における法的効果を生じませんが、生じる場合（例えば、不正を理由としてアカウントを恒久的に解除する決定）には、お客様は、/company/contact?category=legal 宛に書面で連絡することにより、人間による審査を請求することができます。

14. マーケティング通信

当社は、お客様の事前の、自由に与えられた、情報に基づく同意がある場合に限り、マーケティングメールを送信します。各マーケティングメールには配信停止リンクが含まれ、お客様はお客様のアカウント設定でマーケティング設定を管理することができます。取引メッセージ（セキュリティ警告、請求の領収書、パスワードリセット、重要なサービス更新）はマーケティングではなく、お客様のアカウントが開設されている間は、これらの配信を停止することはできません。

お客様が製品アップデートに登録し、メールアドレスを確認されなかった場合、当社は30日後にその登録を削除します。

15. データ侵害の通知

当社は、侵害がお客様の権利および自由に対するリスクを生じる可能性が高い場合、いかなる個人データの侵害についても、不当な遅滞なく、いかなる場合にも侵害を認識してから72時間以内に、関係する監督機関および影響を受ける個人に通知します（GDPR第33条、個人データ侵害通知に関するKVKK告示）。

通知は、お客様のアカウント上のメールアドレス宛、および適切な場合には torun.ai/incidents の公開インシデントページに送信されます。

16. クッキー、トラッキングおよびDo-Not-Track

当社は、該当する場合、Global Privacy Control（GPC）シグナルを尊重します。当社は、レガシーの「Do Not Track」ブラウザヘッダーには、その意味について業界の合意が存在しないため、応答しません。当社のバナーで設定されたクッキーレベルの設定は、直ちに効力を生じ、お客様のセッション全体にわたって同期されます。

17. 本ポリシーの変更

当社は、随時、本ポリシーを更新することがあります。現行版は、発効日およびバージョン番号とともに、常に torun.ai/privacy-policy において入手可能です。重大な変更は、発効の少なくとも30日前に電子メールにより通知されます。最新版が優先します。アーカイブ版は請求に応じて入手可能です。

18. お問い合わせおよび監督機関

データ保護責任者： /company/contact?category=legal

郵便住所： TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

監督機関：

• トルコ - KVKK（Kişisel Verileri Koruma Kurumu） - kvkk.gov.tr
• 欧州連合 - edpb.europa.eu/about-edpb/about-edpb/members_en でお客様の地域のDPAを検索してください
• 英国 - ICO - ico.org.uk
• カリフォルニア州、米国 - CPPA（California Privacy Protection Agency） - cppa.ca.gov

お客様が当社の請求への対応にご満足いただけない場合、お客様は、お客様の管轄区域の監督機関に苦情を申し立てる権利を有します。

19. 言語

本ポリシーは、原本として英語で提供されます。翻訳は便宜のために提供されるものであり、英語版と翻訳との間に矛盾が生じた場合、お客様の国の強行的なデータ保護法が別段の定めを要求する場合を除き、英語版が優先します。