Política de Privacidade

A presente Política de Privacidade explica como a ToRun ('ToRun', 'nós', 'nos', 'nosso'), na qualidade de responsável pelo tratamento, recolhe, utiliza, partilha e protege os dados pessoais quando acede ao Serviço em torun.ai e nos seus subdomínios. É incorporada por referência nos nossos Termos de Serviço.

Redigimos a presente política para cumprir o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (RGPD), o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018, a Lei Turca de Proteção de Dados Pessoais n.º 6698 (KVKK) e os seus regulamentos de execução, a Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA), na redação dada pela Lei de Direitos de Privacidade da Califórnia de 2020 (CPRA), a LGPD brasileira (Lei n.º 13.709) e outras leis de privacidade aplicáveis às nossas operações transfronteiriças.

Se tiver questões, contacte o nosso Encarregado da Proteção de Dados em /company/contact?category=legal.

1. Quem é o Responsável pelo Tratamento

No presente documento, ToRun designa a TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), a sociedade anónima que presta o Serviço, constituída na Turquia e registada no İstanbul Ticaret Sicili Müdürlüğü sob o n.º 1165311 (n.º MERSİS 0857078305100001), com sede social em Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

A ToRun é o responsável pelo tratamento dos dados pessoais tratados em relação com o Serviço, exceto nos casos em que atuamos como subcontratante em nome de um cliente Organização (por exemplo, um cliente empresarial que gere as contas dos seus trabalhadores). Nos cenários de subcontratação, a Organização é o responsável pelo tratamento e nós estamos vinculados por uma Adenda de Tratamento de Dados (DPA) separada.

A nossa sede social acima indicada é também o nosso endereço postal para correspondência relativa à proteção de dados; a correspondência para /company/contact?category=legal chega diretamente ao nosso Encarregado da Proteção de Dados.

2. Informações que Recolhemos

2.1 Informações que nos fornece

• Dados da conta - correio eletrónico, nome de apresentação, hash da palavra-passe (nunca a palavra-passe em texto simples), avatar opcional, preferência de idioma, fuso horário e quaisquer campos de perfil opcionais (biografia, identificadores em redes sociais, endereço postal se optar por uma fatura).
• Credenciais de autenticação - se iniciar sessão através de um fornecedor de início de sessão social suportado — atualmente Google, Microsoft ou X (anteriormente Twitter) —, recebemos apenas as informações limitadas de perfil que autoriza esse fornecedor a partilhar. Trata-se normalmente do seu endereço de correio eletrónico, nome de apresentação, URL da imagem de perfil e do identificador de utilizador do fornecedor; no caso do X, pode também incluir o seu nome de utilizador do X. Utilizamos estes dados exclusivamente para criar ou associar a sua Conta e para o autenticar. Nunca recebemos a sua palavra-passe do fornecedor externo, não publicamos em seu nome e não lemos os seus contactos nem o seu grafo social.
• Informações de faturação - endereço de faturação, identificador de IVA/fiscal (se aplicável), preferências de fatura. Os próprios instrumentos de pagamento (número do cartão, conta bancária, token de carteira) são recolhidos e armazenados pelo processador de pagamentos — o nosso Comerciante Registado, a Dodo Payments, nas compras feitas no sítio web, ou a Apple (App Store) ou a Google (Google Play) nas compras feitas na aplicação móvel — e nunca chegam até nós. De cada transação recebemos apenas o necessário para a reconciliar: o seu estado, o produto, o montante e a moeda e, nas compras feitas no sítio web, o imposto e o país de faturação.
• Credenciais BYOK - chaves de API de fornecedores de IA terceiros que opte por carregar, armazenadas cifradas em repouso num cofre de gestão de chaves.
• Conteúdo do espaço de trabalho - conversas, prompts, instruções de sistema, ficheiros carregados, definições de fluxos de trabalho, comentários, memórias e qualquer outro conteúdo que crie ou carregue.
• Comunicações connosco - correio eletrónico, chat, pedidos de apoio, respostas a inquéritos de satisfação.
• Saldo de Runs - o seu saldo de créditos de utilização pré-pagos (Runs) e o respetivo histórico de transações (carregamentos, consumo, reversões por reembolso).

2.2 Informações recolhidas automaticamente

• Telemetria de utilização - que rotas visita, que funcionalidades utiliza, tempo despendido nas funcionalidades, eventos de erro, métricas de desempenho (latência de pedidos, latência do modelo, débito).
• Dispositivo e ligação - endereço IP (truncado para análise de dados; completo para investigações de fraude e segurança), cadeia de user-agent, idioma do navegador, tipo de dispositivo, sistema operativo, resolução do ecrã.
• Cookies e tecnologias semelhantes - consulte a Secção 11 (Cookies) para obter a lista completa e os seus controlos de exclusão.
• Metadados de chamadas de IA - modelo selecionado, conjunto de capacidades solicitado, contagens de tokens, latência, custo, fonte de fundos e escalão BYOK aplicado. Cada chamada de IA produz um BillingRecord com um instantâneo de preços, conservado nos termos da Secção 8 (Retenção).
• Relatórios de falhas (aplicação móvel) - se a aplicação móvel falhar enquanto tem sessão iniciada, envia a mensagem de erro, o rasto técnico do erro, o nome do ecrã, as versões da aplicação, da atualização e do sistema operativo, e a hora. Escrevemos o relatório nos nossos registos do servidor juntamente com o seu ID de utilizador e o agente de utilizador (user-agent) da aplicação; não é armazenado em nenhuma base de dados e é eliminado com os registos no prazo máximo de 30 dias.
• Verificação do dispositivo na experiência sem conta (aplicação móvel) - resultados de verificação do dispositivo da Apple (App Attest, DeviceCheck) ou da Google (Play Integrity), um hash com chave de um identificador do dispositivo e um hash com chave do prefixo de rede do seu endereço IP; ver a Secção 2.5.

2.3 Informações provenientes de terceiros

• Metadados de pagamento da Dodo Payments nas compras feitas no sítio web, e da Apple ou da Google nas compras feitas na aplicação móvel (descritos acima).
• Resultados de rastreio de fraude e de risco efetuados pelo nosso Comerciante Registado / processador de pagamentos sobre as transações de pagamento.
• Resultados de moderação automatizada do nosso fornecedor de moderação de conteúdo - a classificação devolvida quando as imagens carregadas e o texto publicado publicamente são analisados (consulte a nossa Política de Uso Aceitável).

2.4 Categorias sensíveis

Não solicitamos dados de categorias especiais (Artigo 9.º do RGPD) - raça, etnia, opiniões políticas, convicções religiosas, filiação sindical, dados genéticos, dados biométricos, saúde, vida sexual, orientação sexual - nem dados pessoais 'especiais' nos termos do Artigo 6.º da KVKK. Se submeter voluntariamente tais informações através de prompts, ficheiros ou comentários, tratamo-las apenas na medida do necessário para lhe prestar o Serviço e aplicamos proteções reforçadas.

2.5 Experimentar a aplicação móvel sem conta

Pode experimentar a aplicação móvel da ToRun durante um tempo limitado sem criar uma conta (a "experiência sem conta"). Durante a experiência não lhe pedimos o nome, o endereço de e-mail nem o número de telefone. Para disponibilizar a experiência, impedir que seja iniciada vezes sem conta no mesmo dispositivo e prevenir abusos, tratamos o seguinte:

• Verificação do dispositivo - a aplicação pede à Apple (App Attest, DeviceCheck) ou à Google (Play Integrity) que confirmem que o dispositivo e a aplicação são genuínos, e o nosso servidor verifica o resultado junto deles. Não armazenamos os tokens de verificação. A Apple guarda para nós, nos seus próprios servidores, dois valores por dispositivo ("foi concedida uma experiência", "foi criada uma conta neste dispositivo").
• Identificador do dispositivo - no iOS, um identificador aleatório que a aplicação cria e guarda no dispositivo; no Android, o identificador do dispositivo específico da aplicação (ANDROID_ID). Do dispositivo sai apenas um hash unidirecional dele, e só o armazenamos depois de lhe aplicar novamente um hash com uma chave secreta (hash com chave). No iOS armazenamos também um hash com chave do identificador da chave App Attest.
• Rede - um hash com chave do prefixo de rede do seu endereço IP, nunca o endereço completo, para os limites diários da experiência.
• Registo da experiência - quanto resta da experiência, o seu estado e, se uma experiência foi recusada, o motivo.
• O que experimenta - a mensagem que escreve, a sua conversa de voz, a fotografia que escolhe e o nome que indica para uma canção são enviados ao fornecedor de IA que produz o resultado e ao nosso fornecedor de moderação de conteúdos (Secção 5.1). A sua fotografia é usada apenas para criar a imagem e não é armazenada. Uma conversa de voz não é gravada e a sua transcrição não é armazenada. As suas últimas mensagens são guardadas até 24 horas após a sua última mensagem, para que a resposta seguinte tenha contexto; não são guardadas como conversa. O que a experiência produz (uma canção, uma imagem) é guardado durante 24 horas e depois eliminado.

Conservação. Os registos da experiência são eliminados automaticamente 90 dias após a experiência ter sido concedida, e os registos do dispositivo 90 dias após a última utilização do dispositivo na experiência. Se criar uma conta a partir da experiência, a ligação entre a conta e o dispositivo é guardada durante 365 dias, para que uma segunda conta criada no mesmo dispositivo não volte a receber o presente de boas-vindas. O registo de faturação do que a experiência consumiu é guardado durante 5 anos, como exige a legislação contabilística; identifica a experiência, e não a si, e contém o hash com chave do prefixo de rede, que é removido se apagar os seus dados de teste.

Se criar uma conta. O que criou durante a experiência passa para a Biblioteca da sua conta e, a partir daí, é guardado como parte da sua conta; o registo do dispositivo fica associado à sua conta.

Fundamento jurídico. O nosso interesse legítimo em manter o serviço seguro e prevenir o abuso de uma experiência gratuita (Artigo 6.º, n.º 1, alínea f), do RGPD; Artigo 5/2-f da KVKK), e a prestação da experiência que pediu (Artigo 6.º, n.º 1, alínea b), do RGPD; Artigo 5/2-c da KVKK). O envio de dados para os serviços de verificação da Apple e da Google e para fornecedores de IA é uma transferência internacional, abrangida pela Secção 6.

Eliminação dos seus dados de teste. Pode eliminar os seus dados de teste a qualquer momento na aplicação, sem conta: no ecrã de boas-vindas, abra "Os seus dados de teste" e escolha "Apagar os meus dados de teste". O dispositivo é verificado da mesma forma que na própria experiência, pelo que mais ninguém pode eliminar os seus dados de teste nem saber nada sobre eles. Depois disso, guardamos apenas uma nota de que este dispositivo já usou a sua experiência (nada mais, durante 90 dias no máximo) e, durante um dia, de que foi usada uma experiência na sua rede, para que a experiência não possa simplesmente ser reiniciada. Se criou uma conta, eliminar a conta elimina também os registos da experiência associados a ela. Os dois valores que a Apple guarda para um dispositivo não estão associados a si; não os repomos, porque repô-los permitiria uma nova experiência nesse dispositivo.

3. Como Utilizamos as Suas Informações

Utilizamos os dados pessoais para os seguintes fins:

#	Finalidade	Fundamento de licitude do Artigo 6.º do RGPD	Fundamento KVKK
a	Operar o Serviço (conta, encaminhamento, painéis, notificações)	Contrato (Art. 6(1)(b))	Execução do contrato
b	Faturar-lhe, prevenir a fraude, cumprir a lei de combate ao branqueamento de capitais	Contrato; obrigação legal (Art. 6(1)(b), (c))	Execução do contrato; obrigação legal
c	Enviar mensagens de correio eletrónico transacionais (recibos, reposições de palavra-passe, alertas de segurança)	Contrato (Art. 6(1)(b))	Execução do contrato
d	Melhorar, depurar e proteger o Serviço	Interesse legítimo (Art. 6(1)(f))	Interesse legítimo
e	Enviar comunicações de marketing (apenas por adesão)	Consentimento (Art. 6(1)(a))	Consentimento expresso
f	Responder aos seus pedidos enquanto titular dos dados	Obrigação legal (Art. 6(1)(c))	Obrigação legal
g	Defender-nos contra reclamações jurídicas; cumprir decisões judiciais	Obrigação legal; interesse legítimo	Obrigação legal
h	Treinar, afinar ou de outra forma melhorar os nossos próprios modelos de IA	NÃO o fazemos com o seu conteúdo	n/a

3.1 Não treinamos com o seu conteúdo

A ToRun não utiliza os seus prompts, ficheiros, conversas ou resultados gerados para treinar, afinar ou de outra forma melhorar qualquer modelo de IA, seja nosso ou de terceiros. Quando utiliza a funcionalidade BYOK, a postura de treino do fornecedor terceiro rege-se pelos termos desse fornecedor; recomendamos que os reveja. No caso das chamadas que não sejam BYOK, recorremos a fornecedores ao abrigo de cláusulas contratuais que os proíbem de treinar com o conteúdo dos nossos clientes.

4. Cookies e Tecnologias Semelhantes

Utilizamos cookies e armazenamento semelhante (localStorage, IndexedDB) para:

• Estritamente necessários - autenticação (token de acesso OpenIddict, token de atualização), continuidade da sessão, tokens anti-CSRF, afinidade de balanceamento de carga, persistência do consentimento de cookies.
• Funcionais - preferência de idioma, tema (escuro/claro/esbatido), espaço de trabalho utilizado recentemente, último modelo selecionado.
• Análise - análise agregada de utilização, nunca associada a uma identidade real no nosso armazém de análise de dados (utilizamos um hash de dispositivo com salt, não o seu identificador de Utilizador).
• Marketing - desativados por predefinição; se optar pela adesão, podemos definir cookies de atribuição de origem própria.

Pode gerir estas preferências no banner de cookies na primeira vez que nos visita, e pode alterá-las a qualquer momento através da ligação Preferências de cookies no rodapé. Alguns cookies estritamente necessários não podem ser desativados, uma vez que o Serviço não funcionaria sem eles.

5. Como Partilhamos os Dados Pessoais

Partilhamos os dados pessoais apenas na medida do necessário para operar o Serviço. Nunca vendemos dados pessoais na aceção da CCPA/CPRA (Código Civil 1798.140(t)).

5.1 Subcontratantes

Os nossos subcontratantes atuais estão listados no Anexo III do nosso Acordo de Tratamento de Dados, que é atualizado à medida que mudamos de fornecedores. Em resumo:

• Dodo Payments - Comerciante Registado nas compras feitas no sítio web: processamento de pagamentos, faturação, tratamento de impostos, reembolsos e estornos.
• Apple (App Store) e Google (Google Play) - processamento de pagamentos das compras feitas na aplicação móvel, que a loja vende segundo as suas próprias condições.
• Bunny.net (BunnyWay d.o.o.) (Eslovénia) - armazenamento de objetos, CDN, otimizador de imagem e vídeo, transmissão de vídeo.
• Microsoft Azure / Hetzner / OVH - alojamento de infraestrutura (a região depende da escolha do cliente).
• Fornecedores de transmissão de eventos compatíveis com Kafka - barramento de eventos em tempo real para o outbox transacional e a análise de dados.
• Fornecedores de IA terceiros - o fornecedor que recebe um determinado pedido depende da funcionalidade que solicita e do modelo selecionado por si ou pelas suas definições de encaminhamento; os fornecedores e modelos atualmente disponíveis estão listados no Serviço. Os fornecedores de IA recebem o conteúdo mínimo necessário para satisfazer o seu pedido específico, e apenas quando você (ou as suas definições de encaminhamento) faz com que um pedido lhes seja enviado.
• Fornecedor de moderação de conteúdo (OpenAI) - análise automatizada de imagens carregadas e de texto publicado publicamente para detetar conteúdo proibido, nos termos da nossa Política de Uso Aceitável. As verificações de KYC / AML relacionadas com pagamentos são efetuadas pelo nosso Comerciante Registado.
• Fornecedores de entrega de correio eletrónico e notificações - correio eletrónico transacional (recibos, reposições de palavra-passe, alertas de segurança).
• Ferramentas de análise de dados e de melhoria do produto - análise agregada de utilização, numa base contratual sem dados pessoais.
• Ferramentas de apoio ao cliente - para tratar os seus pedidos e sugestões.
• Serviços de verificação de dispositivos da Apple e da Google (App Attest e DeviceCheck; Play Integrity) - para confirmar que o dispositivo e a aplicação são genuínos durante a experiência sem conta da aplicação móvel (Secção 2.5).
• Google Maps Platform - pesquisa de locais, detalhes de locais, direções e mapas quando pergunta por locais ou partilha a sua localização; na aplicação para iOS, alguns mapas são desenhados pelo Apple Maps.

5.2 Divulgações legais

Podemos divulgar dados pessoais a autoridades policiais, entidades reguladoras ou tribunais em resposta a um pedido legal válido (intimação, decisão judicial, mandado de busca, exigência de uma entidade reguladora) emitido ao abrigo da legislação aplicável. Quando permitido, notificá-lo-emos antes da divulgação para que possa requerer uma medida de proteção.

5.3 Transferências de negócio

Se estivermos envolvidos numa fusão, aquisição, financiamento ou venda da totalidade ou da quase totalidade dos nossos ativos, os dados pessoais podem ser transferidos no âmbito dessa transação. Notificaremos os utilizadores afetados e proporcionar-lhes-emos uma oportunidade efetiva de se oporem ou de encerrarem a sua Conta antes de a transferência produzir efeitos, exceto nos casos em que a notificação seja impedida por lei.

5.4 Com o seu consentimento

Apenas partilharemos dados pessoais para qualquer fim não listado acima com o seu consentimento expresso.

6. Transferências Internacionais de Dados

A ToRun opera a partir de Istambul, Turquia, e recorre a subcontratantes na União Europeia, no Reino Unido, nos Estados Unidos e noutras jurisdições. Sempre que transferimos dados pessoais para fora do seu país de residência, baseamo-nos num mecanismo de transferência lícito:

• Capítulo V do RGPD - Cláusulas Contratuais-Tipo da UE (Decisão da Comissão 2021/914) acrescidas de medidas suplementares (cifragem em trânsito e em repouso, acesso restrito, registo de auditoria) nos termos da Recomendação 01/2020 do CEPD.
• RGPD do Reino Unido - Adenda de Transferência Internacional de Dados do Reino Unido às Cláusulas Contratuais-Tipo da UE.
• Artigo 9.º da KVKK - consentimento expresso ou uma das salvaguardas do Artigo 9(2) (compromisso vinculativo, reconhecimento de país adequado).
• Decisões de adequação - quando a Comissão Europeia tenha emitido uma decisão de adequação, podemos basear-nos nela.

Pode solicitar uma cópia da documentação relativa ao mecanismo de transferência escrevendo para /company/contact?category=legal.

7. Segurança

Aplicamos medidas técnicas e organizativas adequadas aos riscos do tratamento de dados pessoais, incluindo:

• Cifragem em trânsito para todos os pedidos de API através de TLS 1.3.
• Cifragem em repouso para segredos BYOK, dados de faturação, registos de auditoria e conteúdo de documentos, através de um serviço de gestão de chaves na nuvem.
• Controlo de acesso - baseado em funções, com privilégio mínimo e com autenticação multifator obrigatória para o pessoal; acesso revisto trimestralmente.
• Registo de auditoria - registos encadeados por hash e à prova de adulteração para ações de faturação, moderação e administração, conservados por 5 anos.
• Segurança de rede - limitação de débito, firewall de aplicações web, deteção de anomalias, mitigação de ataques de negação de serviço.
• Gestão de vulnerabilidades - análise automatizada de dependências, portões de revisão de código, testes de intrusão semestrais por uma empresa independente.
• Resposta a incidentes - manuais de procedimentos documentados, rotação de piquete, procedimentos de notificação de violações.
• Devida diligência de fornecedores - todos os subcontratantes são avaliados face à nossa base de referência de segurança e privacidade antes da integração.

Nenhum sistema é perfeitamente seguro. Se tomar conhecimento de uma questão de segurança, comunique-a a /company/contact?category=trust para que possamos investigar.

8. Retenção de Dados

Categoria de dados	Período de retenção
Perfil e credenciais da conta	Vigência da Conta + 30 dias
Conteúdo do espaço de trabalho (chats, ficheiros, fluxos de trabalho)	Vigência da Conta + 30 dias
BillingRecord e faturas	5 anos (contabilidade legal e auditoria)
Registos de auditoria (encadeados por hash)	5 anos (Secção 7)
Documentos de natureza fiscal	10 anos (legislação fiscal turca)
Registos de consentimento de marketing	Vigência do consentimento + 3 anos
Registos transacionais de correio eletrónico	12 meses
Análise web (agregada, sem dados pessoais)	26 meses
Material secreto BYOK	Até remover a chave, mais um período de tolerância de 30 dias
Registos da experiência sem conta (aplicação móvel)	90 dias após a experiência ter sido concedida
Registos do dispositivo da experiência sem conta	90 dias após a última utilização do dispositivo na experiência
Resultados da experiência não transferidos para uma conta	24 horas
Mensagens da experiência (contexto para a resposta seguinte)	Até 24 horas após a última mensagem
Nota de que um dispositivo já usou a sua experiência (depois de apagar os seus dados de teste)	No máximo 90 dias
Ligação conta–dispositivo após uma experiência sem conta	365 dias
Relatórios de falhas da aplicação móvel (registos do servidor)	No máximo 30 dias

As contas encerradas são eliminadas de forma reversível de imediato e eliminadas de forma definitiva (apagamento criptográfico quando suportado, sobreescrita segura nos restantes casos) 30 dias após o encerramento, sob reserva dos requisitos de retenção acima indicados.

9. Os Seus Direitos (RGPD / RGPD do Reino Unido)

Se o RGPD ou o RGPD do Reino Unido lhe for aplicável, dispõe dos seguintes direitos relativamente aos seus dados pessoais:

• Acesso (Artigo 15.º) - obter uma cópia dos dados pessoais que tratamos e informações sobre esse tratamento.
• Retificação (Artigo 16.º) - corrigir dados imprecisos ou incompletos.
• Apagamento (Artigo 17.º, o 'direito a ser esquecido') - solicitar a eliminação em circunstâncias definidas.
• Limitação (Artigo 18.º) - solicitar que suspendamos o tratamento na pendência de verificação.
• Portabilidade (Artigo 20.º) - receber os seus dados num formato estruturado, de uso corrente e de leitura automática.
• Oposição (Artigo 21.º) - opor-se ao tratamento baseado em interesses legítimos; tem o direito absoluto de se opor ao marketing direto.
• Decisões automatizadas e definição de perfis (Artigo 22.º) - não ficar sujeito a uma decisão tomada exclusivamente com base no tratamento automatizado que produza efeitos jurídicos ou efeitos análogos significativos (consulte a Secção 13).
• Retirar o consentimento a qualquer momento, sem comprometer a licitude do tratamento efetuado antes da retirada.
• Apresentar uma reclamação junto da autoridade de controlo do Estado-Membro da UE/Reino Unido onde reside, trabalha ou onde alegadamente ocorreu a infração.

Para exercer estes direitos, submeta um Pedido de Titular de Dados a partir do painel da sua Conta ou enviando uma mensagem para /company/contact?category=legal. Respondemos no prazo de 30 dias (Artigo 12(3)). Quando adequado, podemos verificar a sua identidade antes de responder.

Se experimentou a aplicação móvel sem conta, pode eliminar os seus dados de teste na própria aplicação (Secção 2.5). Não guardamos nada que o identifique como convidado, pelo que não conseguimos encontrar uma experiência a partir de um pedido por e-mail.

10. Os Seus Direitos (KVKK - Turquia)

Os utilizadores na Turquia podem ler o nosso KVKK Aydınlatma Metni (aviso informativo sobre proteção de dados) completo para a informação detalhada.

Ao abrigo do Artigo 11.º da KVKK turca, tem o direito de:

• saber se os seus dados pessoais estão a ser tratados;
• solicitar informações caso os seus dados tenham sido tratados;
• conhecer a finalidade do tratamento e saber se os dados são utilizados em conformidade com essa finalidade;
• saber a quem os dados pessoais foram transferidos no país e no estrangeiro;
• solicitar a correção de dados incompletos ou incorretos;
• solicitar a eliminação ou a destruição dos dados pessoais;
• solicitar a notificação de qualquer correção, eliminação ou destruição aos terceiros a quem os dados foram transferidos;
• opor-se a uma decisão tomada exclusivamente com base no tratamento automatizado que produza resultados desfavoráveis;
• reclamar uma indemnização por danos decorrentes de tratamento ilícito.

Pode exercer estes direitos escrevendo para /company/contact?category=legal ou submetendo um pedido através do Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ. Respondemos no prazo de 30 dias a contar da receção de um pedido devidamente formulado.

As reclamações podem ser apresentadas junto da Kişisel Verileri Koruma Kurumu (KVKK) em kvkk.gov.tr.

11. Os Seus Direitos (CCPA / CPRA - Residentes na Califórnia)

Os residentes na Califórnia têm o direito de:

• Saber as categorias de informações pessoais que recolhemos, as fontes, as finalidades e as categorias de terceiros com quem as partilhamos (Código Civil 1798.110, 1798.115).
• Eliminar informações pessoais, sob reserva de exceções (1798.105).
• Corrigir informações pessoais imprecisas (1798.106, CPRA).
• Limitar a utilização e a divulgação de informações pessoais sensíveis (1798.121).
• Recusar qualquer 'venda' ou 'partilha' para publicidade comportamental entre contextos. Não vendemos informações pessoais e não as partilhamos para publicidade comportamental entre contextos.
• Não discriminação - não recusaremos serviços, não cobraremos preços diferentes nem prestaremos um serviço de qualidade inferior pelo facto de ter exercido um direito de privacidade.

Para exercer os seus direitos ao abrigo da CCPA, envie uma mensagem para /company/contact?category=legal. Pode designar um agente autorizado para atuar em seu nome mediante autorização escrita verificável.

12. Privacidade das Crianças

O Serviço não se destina a crianças com menos de 13 anos (ou a idade de consentimento digital aplicável na sua jurisdição, por exemplo 16 anos em alguns Estados-Membros da UE). Não recolhemos conscientemente dados pessoais de crianças com idade inferior a essas. Se considerar que uma criança nos forneceu dados pessoais, contacte /company/contact?category=legal e eliminaremos os dados prontamente.

13. Decisões Automatizadas

O Serviço utiliza decisões automatizadas para:

• encaminhar chamadas de IA para fornecedores específicos com base na capacidade e no preço;
• assinalar conteúdo para revisão de moderação através de classificadores automatizados;
• detetar fraude e abuso através de sistemas de pontuação de risco;
• reconciliar registos de faturação e de utilização.

Na maioria dos casos, estas decisões não produzem efeitos jurídicos na aceção do Artigo 22.º do RGPD, mas quando o produzam (por exemplo, uma decisão de encerrar permanentemente uma Conta por fraude), pode solicitar a revisão humana escrevendo para /company/contact?category=legal.

14. Comunicações de Marketing

Apenas enviamos mensagens de correio eletrónico de marketing com o seu consentimento prévio, livre e informado. Cada mensagem de marketing inclui uma ligação para cancelar a subscrição, e pode gerir as preferências de marketing nas definições da sua Conta. As mensagens transacionais (alertas de segurança, recibos de faturação, reposições de palavra-passe, atualizações importantes do Serviço) não constituem marketing e não pode cancelar a sua subscrição enquanto a sua Conta estiver aberta.

Se subscrever as novidades do produto mas não confirmar o seu endereço, eliminamos a subscrição ao fim de 30 dias.

15. Notificação de Violação de Dados

Notificamos a autoridade de controlo competente e os indivíduos afetados de qualquer violação de dados pessoais sem demora injustificada e, em qualquer caso, no prazo de 72 horas após termos tido conhecimento da violação, sempre que a violação for suscetível de implicar um risco para os seus direitos e liberdades (Artigo 33.º do RGPD; Comunicado da KVKK sobre a Notificação de Violação de Dados Pessoais).

As notificações são enviadas para o endereço de correio eletrónico da sua Conta e, quando adequado, para uma página pública de incidentes em torun.ai/incidents.

16. Cookies, Rastreio e Do-Not-Track

Respeitamos o sinal Global Privacy Control (GPC), quando aplicável. Não respondemos aos cabeçalhos de navegador legados 'Do Not Track', uma vez que não existe consenso na indústria sobre o seu significado. As preferências ao nível dos cookies definidas no nosso banner produzem efeitos de imediato e sincronizam-se entre as suas sessões.

17. Alterações à Presente Política

Podemos atualizar a presente política periodicamente. A versão atual está sempre disponível em torun.ai/privacy-policy com uma data de produção de efeitos e um número de versão. As alterações materiais serão notificadas por correio eletrónico com, pelo menos, 30 dias de antecedência relativamente à sua produção de efeitos. Prevalece a versão mais recente; as versões arquivadas estão disponíveis mediante pedido.

18. Contacto e Autoridades de Controlo

Encarregado da Proteção de Dados: /company/contact?category=legal

Endereço postal: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Autoridades de controlo:

• Turquia - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• União Europeia - encontre a sua APD local em edpb.europa.eu/about-edpb/about-edpb/members_en
• Reino Unido - ICO - ico.org.uk
• Califórnia, EUA - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Se não estiver satisfeito com a nossa resposta ao seu pedido, tem o direito de apresentar uma reclamação junto da autoridade de controlo da sua jurisdição.

19. Idioma

A presente política é fornecida em inglês como versão principal. As traduções são oferecidas por conveniência; em caso de conflito entre a versão inglesa e uma tradução, prevalece a versão inglesa, exceto nos casos em que a lei imperativa de proteção de dados do seu país exija o contrário.