Política de Privacidade

Esta Política de Privacidade explica como a ToRun ('ToRun', 'nós', 'nos', 'nosso'), na qualidade de controladora, coleta, usa, compartilha e protege dados pessoais quando você acessa o Serviço em torun.ai e seus subdomínios. Ela é incorporada por referência aos nossos Termos de Serviço.

Redigimos esta política para cumprir o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (GDPR), o GDPR do Reino Unido e a Lei de Proteção de Dados de 2018, a Lei Turca de Proteção de Dados Pessoais nº 6698 (KVKK) e seus regulamentos de aplicação, a Lei de Privacidade do Consumidor da Califórnia de 2018 (CCPA), conforme alterada pela Lei de Direitos de Privacidade da Califórnia de 2020 (CPRA), a LGPD brasileira (Lei nº 13.709) e outras leis de privacidade aplicáveis às nossas operações transfronteiriças.

Se você tiver dúvidas, entre em contato com nosso Encarregado de Proteção de Dados em /company/contact?category=legal.

1. Quem é o Controlador

Neste documento, ToRun significa a TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), a sociedade anônima que presta o Serviço, constituída na Turquia e registrada no İstanbul Ticaret Sicili Müdürlüğü sob o nº 1165311 (nº MERSİS 0857078305100001), com sede social em Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

A ToRun é a controladora dos dados pessoais tratados em conexão com o Serviço, exceto quando atuamos como operadora em nome de um cliente Organização (por exemplo, um cliente corporativo que gerencia as contas de seus funcionários). Nos cenários em que atuamos como operadora, a Organização é a controladora e estamos vinculados por um Adendo de Tratamento de Dados (DPA) separado.

Nossa sede social indicada acima é também nosso endereço postal para correspondência sobre proteção de dados; a correspondência enviada para /company/contact?category=legal chega diretamente ao nosso Encarregado de Proteção de Dados.

2. Informações que Coletamos

2.1 Informações que você nos fornece

• Dados da conta - e-mail, nome de exibição, hash da senha (nunca a senha em texto puro), avatar opcional, preferência de idioma, fuso horário e quaisquer campos opcionais de perfil (biografia, perfis em redes sociais, endereço postal se você optar por receber uma fatura).
• Credenciais de autenticação - se você entrar por meio de um provedor de login social compatível — atualmente Google, Microsoft ou X (antigo Twitter) —, recebemos apenas as informações limitadas de perfil que você autoriza esse provedor a compartilhar. Normalmente, isso inclui seu endereço de e-mail, nome de exibição, URL da foto de perfil e o ID de usuário do provedor; no caso do X, pode incluir também seu nome de usuário do X. Usamos esses dados exclusivamente para criar ou vincular sua Conta e para autenticar você. Nunca recebemos sua senha do provedor externo, não publicamos em seu nome e não lemos seus contatos nem seu grafo social.
• Informações de faturamento - endereço de cobrança, identificador fiscal/de IVA (se houver), preferências de fatura. Os próprios meios de pagamento (número do cartão, conta bancária, token de carteira digital) são coletados e armazenados pelo processador de pagamentos — nosso Comerciante Registrado, a Dodo Payments, nas compras feitas no site, ou a Apple (App Store) ou o Google (Google Play) nas compras feitas no aplicativo móvel — e nunca chegam até nós. De cada transação recebemos apenas o necessário para conciliá-la: seu status, o produto, o valor e a moeda e, nas compras feitas no site, o imposto e o país de cobrança.
• Credenciais BYOK - chaves de API de provedores de IA terceiros que você escolhe enviar, armazenadas criptografadas em repouso em um cofre de gerenciamento de chaves.
• Conteúdo do espaço de trabalho - conversas, prompts, instruções de sistema, arquivos enviados, definições de fluxos de trabalho, comentários, memórias e qualquer outro conteúdo que você crie ou envie.
• Comunicações conosco - e-mail, chat, chamados de suporte, respostas a pesquisas de satisfação.
• Saldo de Runs - seu saldo de créditos de uso pré-pagos (Runs) e o histórico de transações (recargas, consumo, reversões por reembolso).

2.2 Informações coletadas automaticamente

• Telemetria de uso - quais rotas você visita, quais recursos você usa, tempo gasto nos recursos, eventos de erro, métricas de desempenho (latência de requisições, latência do modelo, vazão).
• Dispositivo e conexão - endereço IP (truncado para análises; completo para investigações de fraude e segurança), string de user-agent, idioma do navegador, tipo de dispositivo, sistema operacional, resolução da tela.
• Cookies e tecnologias semelhantes - consulte a Seção 11 (Cookies) para ver a lista completa e seus controles de desativação.
• Metadados de chamadas de IA - modelo selecionado, conjunto de capacidades solicitado, contagens de tokens, latência, custo, fonte de recursos e nível de BYOK aplicado. Cada chamada de IA gera um BillingRecord com um instantâneo de preços, mantido conforme a Seção 8 (Retenção).
• Relatórios de falhas (aplicativo móvel) - se o aplicativo móvel falhar enquanto você estiver conectado, ele envia a mensagem de erro, o rastreamento técnico do erro, o nome da tela, as versões do aplicativo, da atualização e do sistema operacional, e o horário. Gravamos o relatório em nossos logs do servidor junto com seu ID de usuário e o agente de usuário (user-agent) do aplicativo; ele não é armazenado em banco de dados e é excluído junto com os logs em no máximo 30 dias.
• Verificação do dispositivo no teste sem conta (aplicativo móvel) - resultados de verificação do dispositivo da Apple (App Attest, DeviceCheck) ou do Google (Play Integrity), um hash com chave de um identificador do dispositivo e um hash com chave do prefixo de rede do seu endereço IP; veja a Seção 2.5.

2.3 Informações provenientes de terceiros

• Metadados de pagamento da Dodo Payments nas compras feitas no site, e da Apple ou do Google nas compras feitas no aplicativo móvel (descritos acima).
• Resultados da triagem de fraude e risco realizada pelo nosso Comerciante Registrado / processador de pagamentos nas transações de pagamento.
• Resultados de moderação automatizada do nosso provedor de moderação de conteúdo — a classificação retornada quando imagens enviadas e textos publicados publicamente são analisados (consulte nossa Política de Uso Aceitável).

2.4 Categorias sensíveis

Não solicitamos dados de categorias especiais (Artigo 9º do GDPR) - raça, etnia, opiniões políticas, crenças religiosas, filiação sindical, dados genéticos, dados biométricos, saúde, vida sexual, orientação sexual - nem dados pessoais 'especiais' nos termos do Artigo 6º da KVKK. Se você enviar voluntariamente esse tipo de informação por meio de prompts, arquivos ou comentários, nós a tratamos apenas na medida necessária para prestar o Serviço a você e aplicamos proteções reforçadas.

2.5 Testar o aplicativo móvel sem conta

Você pode testar o aplicativo móvel da ToRun por tempo limitado sem criar uma conta (o "teste sem conta"). Durante o teste, não pedimos seu nome, endereço de e-mail ou número de telefone. Para oferecer o teste, impedir que ele seja iniciado repetidas vezes no mesmo dispositivo e evitar abusos, tratamos o seguinte:

• Verificação do dispositivo - o aplicativo pede à Apple (App Attest, DeviceCheck) ou ao Google (Play Integrity) que confirmem que o dispositivo e o aplicativo são genuínos, e nosso servidor verifica o resultado com eles. Não armazenamos os tokens de verificação. A Apple guarda para nós, em seus próprios servidores, dois valores por dispositivo ("um teste foi concedido", "uma conta foi criada neste dispositivo").
• Identificador do dispositivo - no iOS, um identificador aleatório que o aplicativo cria e mantém no dispositivo; no Android, o identificador de dispositivo específico do aplicativo (ANDROID_ID). Do dispositivo sai apenas um hash unidirecional dele, e só o armazenamos depois de aplicar novamente um hash com uma chave secreta (hash com chave). No iOS, também armazenamos um hash com chave do identificador da chave do App Attest.
• Rede - um hash com chave do prefixo de rede do seu endereço IP, nunca o endereço completo, para os limites diários do teste.
• Registro do teste - quanto resta do teste, seu status e, se um teste foi recusado, o motivo.
• O que você testa - a mensagem que você digita, sua conversa por voz, a foto que você escolhe e o nome que você informa para uma música são enviados ao provedor de IA que gera o resultado e ao nosso provedor de moderação de conteúdo (Seção 5.1). Sua foto é usada apenas para criar a imagem e não é armazenada. Uma conversa por voz não é gravada e sua transcrição não é armazenada. Suas últimas mensagens são mantidas por até 24 horas após sua última mensagem, para que a próxima resposta tenha contexto; elas não são salvas como conversa. O que o teste gera (uma música, uma imagem) é mantido por 24 horas e depois excluído.

Retenção. Os registros do teste são excluídos automaticamente 90 dias após a concessão do teste, e os registros do dispositivo 90 dias após o último uso do dispositivo no teste. Se você criar uma conta a partir do teste, o vínculo entre a conta e o dispositivo é mantido por 365 dias, para que uma segunda conta criada no mesmo dispositivo não receba novamente o presente de boas-vindas. O registro de cobrança do que o teste consumiu é mantido por 5 anos, como exige a legislação contábil; ele identifica o teste, e não você, e contém o hash com chave do prefixo de rede, que é removido se você apagar seus dados de teste.

Se você criar uma conta. O que você criou durante o teste passa para a Biblioteca da sua conta e, a partir daí, é mantido como parte da sua conta; o registro do dispositivo é vinculado à sua conta.

Base legal. Nosso legítimo interesse em manter o serviço seguro e evitar o abuso de um teste gratuito (Art. 6(1)(f) do GDPR; Art. 5/2-f da KVKK), e a prestação do teste que você solicitou (Art. 6(1)(b) do GDPR; Art. 5/2-c da KVKK). O envio de dados aos serviços de verificação da Apple e do Google e a provedores de IA é uma transferência internacional, abrangida pela Seção 6.

Exclusão dos seus dados de teste. Você pode excluir seus dados de teste a qualquer momento no aplicativo, sem conta: na tela de boas-vindas, abra "Seus dados de teste" e escolha "Apagar meus dados de teste". O dispositivo é verificado da mesma forma que no próprio teste, de modo que ninguém mais consegue excluir seus dados de teste ou saber algo sobre eles. Depois disso, mantemos apenas uma anotação de que este dispositivo já usou seu teste (nada mais, por no máximo 90 dias) e, por um dia, de que um teste foi usado na sua rede, para que o teste não possa simplesmente ser reiniciado. Se você criou uma conta, excluir a conta também exclui os registros do teste vinculados a ela. Os dois valores que a Apple guarda para um dispositivo não estão vinculados a você; não os redefinimos, porque redefini-los permitiria um novo teste naquele dispositivo.

3. Como Usamos Suas Informações

Usamos dados pessoais para as seguintes finalidades:

#	Finalidade	Base legal do Artigo 6º do GDPR	Base legal da KVKK
a	Operar o Serviço (conta, roteamento, painéis, notificações)	Contrato (Art. 6(1)(b))	Execução de contrato
b	Cobrar você, prevenir fraudes, cumprir a legislação de combate à lavagem de dinheiro	Contrato; obrigação legal (Art. 6(1)(b), (c))	Execução de contrato; obrigação legal
c	Enviar e-mails transacionais (recibos, redefinições de senha, alertas de segurança)	Contrato (Art. 6(1)(b))	Execução de contrato
d	Melhorar, depurar e proteger o Serviço	Legítimo interesse (Art. 6(1)(f))	Legítimo interesse
e	Enviar comunicações de marketing (somente mediante adesão)	Consentimento (Art. 6(1)(a))	Consentimento explícito
f	Responder às suas solicitações como titular dos dados	Obrigação legal (Art. 6(1)(c))	Obrigação legal
g	Defender-nos contra demandas judiciais; cumprir ordens judiciais	Obrigação legal; legítimo interesse	Obrigação legal
h	Treinar, ajustar ou de outra forma melhorar nossos próprios modelos de IA	NÃO fazemos isso com o seu conteúdo	n/a

3.1 Não treinamos com o seu conteúdo

A ToRun não usa seus prompts, arquivos, conversas ou resultados gerados para treinar, ajustar ou de outra forma melhorar qualquer modelo de IA, seja nosso ou de terceiros. Quando você usa o BYOK, a política de treinamento do provedor terceiro é regida pelos termos desse provedor; recomendamos que você os revise. Para chamadas que não são BYOK, usamos provedores sob cláusulas contratuais que os proíbem de treinar com o conteúdo dos nossos clientes.

4. Cookies e Tecnologias Semelhantes

Usamos cookies e armazenamento semelhante (localStorage, IndexedDB) para:

• Estritamente necessários - autenticação (token de acesso OpenIddict, token de atualização), continuidade da sessão, tokens anti-CSRF, afinidade de balanceamento de carga, persistência do consentimento de cookies.
• Funcionais - preferência de idioma, tema (escuro/claro/esmaecido), espaço de trabalho usado recentemente, último modelo selecionado.
• Análise - análises agregadas de uso, nunca vinculadas a uma identidade real em nosso repositório de dados de análise (usamos um hash de dispositivo com salt, não o seu ID de Usuário).
• Marketing - desativados por padrão; se você optar por ativá-los, poderemos definir cookies próprios de atribuição.

Você pode gerenciar essas preferências no banner de cookies na primeira vez que nos visitar e pode alterá-las a qualquer momento pelo link Preferências de cookies no rodapé. Alguns cookies estritamente necessários não podem ser desativados, pois o Serviço não funcionaria sem eles.

5. Como Compartilhamos Dados Pessoais

Compartilhamos dados pessoais apenas na medida necessária para operar o Serviço. Nunca vendemos dados pessoais no sentido da CCPA/CPRA (Código Civil 1798.140(t)).

5.1 Suboperadores

Nossos suboperadores atuais estão listados no Anexo III do nosso Acordo de Tratamento de Dados, que é atualizado conforme mudamos de fornecedores. Em resumo:

• Dodo Payments - Comerciante Registrado nas compras feitas no site: processamento de pagamentos, faturamento, tratamento de impostos, reembolsos e chargebacks.
• Apple (App Store) e Google (Google Play) - processamento de pagamentos das compras feitas no aplicativo móvel, que a loja vende segundo seus próprios termos.
• Bunny.net (BunnyWay d.o.o.) (Eslovênia) - armazenamento de objetos, CDN, otimizador de imagem e vídeo, streaming de vídeo.
• Microsoft Azure / Hetzner / OVH - hospedagem de infraestrutura (a região depende da escolha do cliente).
• Provedores de streaming de eventos compatíveis com Kafka - barramento de eventos em tempo real para o outbox transacional e as análises.
• Provedores de IA terceiros - o provedor que recebe uma determinada solicitação depende do recurso que você pede e do modelo selecionado por você ou por suas configurações de roteamento; os provedores e modelos disponíveis no momento estão listados no Serviço. Os provedores de IA recebem o conteúdo mínimo necessário para atender à sua solicitação específica, e somente quando você (ou suas configurações de roteamento) faz com que uma solicitação seja enviada a eles.
• Provedor de moderação de conteúdo (OpenAI) - análise automatizada de imagens enviadas e de textos publicados publicamente para detectar conteúdo proibido, conforme nossa Política de Uso Aceitável. As verificações de KYC / AML relacionadas a pagamentos são realizadas pelo nosso Comerciante Registrado.
• Provedores de envio de e-mails e notificações - e-mails transacionais (recibos, redefinições de senha, alertas de segurança).
• Ferramentas de análise e de melhoria do produto - análises agregadas de uso, com base contratual sem dados pessoais.
• Ferramentas de atendimento ao cliente - para tratar seus chamados e feedbacks.
• Serviços de verificação de dispositivos da Apple e do Google (App Attest e DeviceCheck; Play Integrity) - para confirmar que o dispositivo e o aplicativo são genuínos durante o teste sem conta do aplicativo móvel (Seção 2.5).
• Google Maps Platform - busca de lugares, detalhes de lugares, rotas e mapas quando você pergunta sobre lugares ou compartilha sua localização; no aplicativo para iOS, alguns mapas são desenhados pelo Apple Maps.

5.2 Divulgações legais

Podemos divulgar dados pessoais a autoridades policiais, órgãos reguladores ou tribunais em resposta a uma solicitação legal válida (intimação, ordem judicial, mandado de busca, exigência de órgão regulador) emitida nos termos da legislação aplicável. Quando permitido, notificaremos você antes da divulgação para que você possa requerer uma medida protetiva.

5.3 Transferências de negócios

Se estivermos envolvidos em uma fusão, aquisição, financiamento ou venda da totalidade ou de praticamente a totalidade dos nossos ativos, os dados pessoais poderão ser transferidos como parte dessa transação. Notificaremos os usuários afetados e daremos a eles uma oportunidade efetiva de se opor ou de encerrar sua Conta antes que a transferência produza efeitos, exceto quando a notificação for vedada por lei.

5.4 Com o seu consentimento

Só compartilharemos dados pessoais para qualquer finalidade não listada acima com o seu consentimento explícito.

6. Transferências Internacionais de Dados

A ToRun opera a partir de Istambul, Turquia, e utiliza suboperadores na União Europeia, no Reino Unido, nos Estados Unidos e em outras jurisdições. Sempre que transferimos dados pessoais para fora do seu país de residência, nos baseamos em um mecanismo de transferência lícito:

• Capítulo V do GDPR - Cláusulas Contratuais Padrão da UE (Decisão da Comissão 2021/914) acrescidas de medidas suplementares (criptografia em trânsito e em repouso, acesso restrito, registro de auditoria) conforme a Recomendação 01/2020 do Comitê Europeu de Proteção de Dados (EDPB).
• GDPR do Reino Unido - Adendo de Transferência Internacional de Dados do Reino Unido às Cláusulas Contratuais Padrão da UE.
• Artigo 9º da KVKK - consentimento explícito ou uma das salvaguardas do Artigo 9(2) (compromisso vinculante, reconhecimento de país adequado).
• Decisões de adequação - quando a Comissão Europeia tiver emitido uma decisão de adequação, poderemos nos basear nela.

Você pode solicitar uma cópia da documentação sobre o mecanismo de transferência escrevendo para /company/contact?category=legal.

7. Segurança

Aplicamos medidas técnicas e organizacionais adequadas aos riscos do tratamento de dados pessoais, incluindo:

• Criptografia em trânsito para todas as requisições de API via TLS 1.3.
• Criptografia em repouso para segredos BYOK, dados de faturamento, logs de auditoria e conteúdo de documentos, por meio de um serviço de gerenciamento de chaves na nuvem.
• Controle de acesso - baseado em funções, com privilégio mínimo e autenticação multifator obrigatória para a equipe; acessos revisados trimestralmente.
• Registro de auditoria - logs encadeados por hash que tornam qualquer adulteração detectável, para ações de faturamento, moderação e administração, mantidos por 5 anos.
• Segurança de rede - limitação de taxa, firewall de aplicações web, detecção de anomalias, mitigação de ataques de negação de serviço.
• Gestão de vulnerabilidades - varredura automatizada de dependências, etapas obrigatórias de revisão de código, testes de invasão semestrais realizados por uma empresa independente.
• Resposta a incidentes - procedimentos operacionais documentados, escala de plantão, procedimentos de notificação de violações.
• Due diligence de fornecedores - todos os suboperadores são avaliados com base em nossos requisitos mínimos de segurança e privacidade antes da contratação.

Nenhum sistema é perfeitamente seguro. Se você tomar conhecimento de um problema de segurança, informe-o em /company/contact?category=trust para que possamos investigar.

8. Retenção de Dados

Categoria de dados	Período de retenção
Perfil e credenciais da conta	Vigência da Conta + 30 dias
Conteúdo do espaço de trabalho (chats, arquivos, fluxos de trabalho)	Vigência da Conta + 30 dias
BillingRecord e faturas	5 anos (contabilidade legal e auditoria)
Logs de auditoria (encadeados por hash)	5 anos (Seção 7)
Documentos de natureza fiscal	10 anos (legislação tributária turca)
Registros de consentimento de marketing	Vigência do consentimento + 3 anos
Logs de e-mails transacionais	12 meses
Análise web (agregada, sem dados pessoais)	26 meses
Material secreto BYOK	Até você remover a chave, mais um período de carência de 30 dias
Registros do teste sem conta (aplicativo móvel)	90 dias após a concessão do teste
Registros do dispositivo do teste sem conta	90 dias após o último uso do dispositivo no teste
Resultados do teste não transferidos para uma conta	24 horas
Mensagens do teste (contexto para a próxima resposta)	Até 24 horas após a última mensagem
Anotação de que um dispositivo já usou seu teste (depois que você apaga seus dados de teste)	No máximo 90 dias
Vínculo conta–dispositivo após um teste sem conta	365 dias
Relatórios de falhas do aplicativo móvel (logs do servidor)	No máximo 30 dias

Contas encerradas são excluídas logicamente de imediato e excluídas definitivamente (apagamento criptográfico quando suportado; caso contrário, sobrescrita segura) 30 dias após o encerramento, observados os requisitos de retenção acima.

9. Seus Direitos (GDPR / GDPR do Reino Unido)

Se o GDPR ou o GDPR do Reino Unido se aplicar a você, você tem os seguintes direitos em relação aos seus dados pessoais:

• Acesso (Artigo 15) - obter uma cópia dos dados pessoais que tratamos e informações sobre esse tratamento.
• Retificação (Artigo 16) - corrigir dados imprecisos ou incompletos.
• Eliminação (Artigo 17, o 'direito ao esquecimento') - solicitar a exclusão em circunstâncias definidas.
• Restrição (Artigo 18) - solicitar que suspendamos o tratamento enquanto aguardamos verificação.
• Portabilidade (Artigo 20) - receber seus dados em um formato estruturado, de uso comum e legível por máquina.
• Oposição (Artigo 21) - opor-se ao tratamento baseado em legítimos interesses; você tem o direito absoluto de se opor ao marketing direto.
• Decisões automatizadas e criação de perfis (Artigo 22) - não ficar sujeito a uma decisão baseada exclusivamente em tratamento automatizado que produza efeitos jurídicos ou efeitos igualmente significativos (consulte a Seção 13).
• Revogar o consentimento a qualquer momento, sem afetar a licitude do tratamento realizado antes da revogação.
• Apresentar uma reclamação à autoridade de controle do Estado-Membro da UE/Reino Unido onde você reside, trabalha ou onde a suposta infração ocorreu.

Para exercer esses direitos, envie uma Solicitação do Titular dos Dados pelo painel da sua Conta ou por e-mail para /company/contact?category=legal. Respondemos em até 30 dias (Artigo 12(3)). Quando apropriado, poderemos verificar sua identidade antes de responder.

Se você testou o aplicativo móvel sem conta, pode excluir seus dados de teste no próprio aplicativo (Seção 2.5). Não mantemos nada que identifique você como convidado, por isso não conseguimos localizar um teste a partir de uma solicitação por e-mail.

10. Seus Direitos (KVKK - Turquia)

Usuários na Turquia podem ler nosso KVKK Aydınlatma Metni (aviso informativo sobre proteção de dados) completo para as informações detalhadas.

Nos termos do Artigo 11 da KVKK turca, você tem o direito de:

• saber se seus dados pessoais estão sendo tratados;
• solicitar informações, caso seus dados tenham sido tratados;
• conhecer a finalidade do tratamento e saber se os dados são usados de acordo com essa finalidade;
• saber a quem os dados pessoais foram transferidos no país e no exterior;
• solicitar a correção de dados incompletos ou incorretos;
• solicitar a exclusão ou a destruição dos dados pessoais;
• solicitar que qualquer correção, exclusão ou destruição seja comunicada aos terceiros a quem os dados foram transferidos;
• opor-se a uma decisão baseada exclusivamente em tratamento automatizado que produza resultados desfavoráveis;
• pleitear indenização por danos decorrentes de tratamento ilícito.

Você pode exercer esses direitos escrevendo para /company/contact?category=legal ou enviando uma solicitação por meio do Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ. Respondemos em até 30 dias a partir do recebimento de uma solicitação devidamente formulada.

Reclamações podem ser apresentadas à Kişisel Verileri Koruma Kurumu (KVKK) em kvkk.gov.tr.

11. Seus Direitos (CCPA / CPRA - Residentes da Califórnia)

Os residentes da Califórnia têm o direito de:

• Saber as categorias de informações pessoais que coletamos, as fontes, as finalidades e as categorias de terceiros com quem as compartilhamos (Código Civil 1798.110, 1798.115).
• Excluir informações pessoais, sujeito a exceções (1798.105).
• Corrigir informações pessoais imprecisas (1798.106, CPRA).
• Limitar o uso e a divulgação de informações pessoais sensíveis (1798.121).
• Optar pela exclusão de qualquer 'venda' ou 'compartilhamento' para publicidade comportamental entre contextos. Não vendemos informações pessoais e não as compartilhamos para publicidade comportamental entre contextos.
• Não discriminação - não negaremos serviços, não cobraremos preços diferentes nem prestaremos um serviço de qualidade inferior pelo fato de você ter exercido um direito de privacidade.

Para exercer seus direitos previstos na CCPA, envie um e-mail para /company/contact?category=legal. Você pode designar um agente autorizado para agir em seu nome mediante autorização por escrito verificável.

12. Privacidade de Crianças

O Serviço não se destina a crianças menores de 13 anos (ou da idade de consentimento digital aplicável na sua jurisdição, por exemplo 16 anos em alguns Estados-Membros da UE). Não coletamos intencionalmente dados pessoais de crianças abaixo dessas idades. Se você acredita que uma criança nos forneceu dados pessoais, entre em contato com /company/contact?category=legal e excluiremos os dados prontamente.

13. Decisões Automatizadas

O Serviço usa decisões automatizadas para:

• rotear chamadas de IA para provedores específicos com base em capacidade e preço;
• sinalizar conteúdo para revisão de moderação por meio de classificadores automatizados;
• detectar fraude e abuso por meio de sistemas de pontuação de risco;
• conciliar registros de faturamento e de uso.

Na maioria dos casos, essas decisões não produzem efeitos jurídicos no sentido do Artigo 22 do GDPR, mas, quando produzirem (por exemplo, uma decisão de encerrar permanentemente uma Conta por fraude), você pode solicitar revisão humana escrevendo para /company/contact?category=legal.

14. Comunicações de Marketing

Só enviamos e-mails de marketing com o seu consentimento prévio, livre e informado. Cada e-mail de marketing inclui um link para cancelar a inscrição, e você pode gerenciar as preferências de marketing nas configurações da sua Conta. Mensagens transacionais (alertas de segurança, recibos de cobrança, redefinições de senha, atualizações importantes do Serviço) não são marketing, e você não pode cancelar o recebimento delas enquanto sua Conta estiver aberta.

Se você se inscrever nas novidades do produto, mas não confirmar seu endereço de e-mail, excluímos a inscrição após 30 dias.

15. Notificação de Violação de Dados

Notificamos a autoridade de controle competente e as pessoas afetadas sobre qualquer violação de dados pessoais sem demora injustificada e, em qualquer caso, em até 72 horas após tomarmos conhecimento da violação, sempre que a violação puder resultar em risco para seus direitos e liberdades (Artigo 33 do GDPR; Comunicado da KVKK sobre Notificação de Violação de Dados Pessoais).

As notificações são enviadas para o endereço de e-mail da sua Conta e, quando apropriado, para uma página pública de incidentes em torun.ai/incidents.

16. Cookies, Rastreamento e Do-Not-Track

Respeitamos o sinal Global Privacy Control (GPC), quando aplicável. Não respondemos aos cabeçalhos legados de navegador 'Do Not Track', pois não há consenso no setor sobre o seu significado. As preferências de cookies definidas em nosso banner entram em vigor imediatamente e são sincronizadas entre suas sessões.

17. Alterações nesta Política

Podemos atualizar esta política periodicamente. A versão atual está sempre disponível em torun.ai/privacy-policy, com data de vigência e número de versão. Alterações relevantes serão notificadas por e-mail com pelo menos 30 dias de antecedência em relação à data em que entrarem em vigor. Prevalece a versão mais recente; as versões arquivadas estão disponíveis mediante solicitação.

18. Contato e Autoridades de Controle

Encarregado de Proteção de Dados: /company/contact?category=legal

Endereço postal: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Autoridades de controle:

• Turquia - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• União Europeia - encontre sua autoridade local de proteção de dados em edpb.europa.eu/about-edpb/about-edpb/members_en
• Reino Unido - ICO - ico.org.uk
• Califórnia, EUA - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Se você não estiver satisfeito com a nossa resposta à sua solicitação, tem o direito de apresentar uma reclamação à autoridade de controle da sua jurisdição.

19. Idioma

Esta política é fornecida em inglês como versão principal. As traduções são oferecidas por conveniência; em caso de conflito entre a versão em inglês e uma tradução, prevalece a versão em inglês, exceto quando a legislação obrigatória de proteção de dados do seu país exigir o contrário.