Chính sách Quyền riêng tư

Chính sách Quyền riêng tư này giải thích cách ToRun ('ToRun', 'chúng tôi', 'của chúng tôi'), với tư cách là bên kiểm soát dữ liệu, thu thập, sử dụng, chia sẻ, và bảo vệ dữ liệu cá nhân khi bạn truy cập Dịch vụ tại torun.ai và các tên miền phụ của nó. Chính sách này được đưa vào Điều khoản Dịch vụ của chúng tôi bằng cách dẫn chiếu.

Chúng tôi đã soạn thảo chính sách này để tuân thủ Quy định Bảo vệ Dữ liệu Chung của EU 2016/679 (GDPR), UK GDPR và Data Protection Act 2018, Luật Bảo vệ Dữ liệu Cá nhân của Thổ Nhĩ Kỳ số 6698 (KVKK) cùng các quy định thực thi của nó, Đạo luật Quyền riêng tư của Người tiêu dùng California năm 2018 (CCPA) được sửa đổi bởi Đạo luật Quyền riêng tư California năm 2020 (CPRA), LGPD của Brazil (Lei No. 13.709), và các luật về quyền riêng tư khác áp dụng cho các hoạt động xuyên biên giới của chúng tôi.

Nếu bạn có thắc mắc, hãy liên hệ Cán bộ Bảo vệ Dữ liệu của chúng tôi tại /company/contact?category=legal.

1. Bên Kiểm soát là Ai

Trong tài liệu này, ToRun có nghĩa là TORUN TEKNOLOJİ ANONİM ŞİRKETİ (Torun Teknoloji A.Ş.), công ty cổ phần cung cấp Dịch vụ, được thành lập tại Thổ Nhĩ Kỳ và đăng ký tại İstanbul Ticaret Sicili Müdürlüğü với số 1165311 (số MERSİS 0857078305100001), có trụ sở đăng ký tại Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye.

ToRun là bên kiểm soát dữ liệu đối với dữ liệu cá nhân được xử lý liên quan đến Dịch vụ, ngoại trừ khi chúng tôi hoạt động với tư cách là bên xử lý thay mặt cho một khách hàng Tổ chức (ví dụ, một đối tượng thuê doanh nghiệp quản lý tài khoản của nhân viên của họ). Trong các tình huống là bên xử lý, Tổ chức là bên kiểm soát và chúng tôi bị ràng buộc bởi một Phụ lục Xử lý Dữ liệu (DPA) riêng.

Trụ sở đăng ký nêu trên của chúng tôi cũng là địa chỉ bưu điện để gửi thư từ liên quan đến bảo vệ dữ liệu; thư từ gửi tới /company/contact?category=legal sẽ đến trực tiếp Cán bộ Bảo vệ Dữ liệu của chúng tôi.

2. Thông tin Chúng tôi Thu thập

2.1 Thông tin bạn cung cấp

• Dữ liệu tài khoản - email, tên hiển thị, mã băm mật khẩu (không bao giờ là mật khẩu dạng văn bản thuần), ảnh đại diện tùy chọn, tùy chọn ngôn ngữ, múi giờ, và bất kỳ trường hồ sơ tùy chọn nào (tiểu sử, tên người dùng mạng xã hội, địa chỉ bưu điện nếu bạn chọn nhận hóa đơn).
• Thông tin xác thực - nếu bạn đăng nhập thông qua một nhà cung cấp đăng nhập mạng xã hội được hỗ trợ — hiện tại là Google, Microsoft, hoặc X (trước đây là Twitter) — chúng tôi chỉ nhận được thông tin hồ sơ giới hạn mà bạn cho phép nhà cung cấp đó chia sẻ. Thông tin này thường là địa chỉ email, tên hiển thị, URL ảnh đại diện, và mã định danh người dùng do nhà cung cấp cấp; đối với X điều này có thể còn bao gồm tên người dùng X của bạn. Chúng tôi sử dụng dữ liệu này chỉ để tạo hoặc khớp Tài khoản của bạn và để xác thực bạn. Chúng tôi không bao giờ nhận được mật khẩu của bạn đối với nhà cung cấp bên ngoài, chúng tôi không đăng bài thay mặt bạn, và chúng tôi không đọc danh bạ hoặc đồ thị mạng xã hội của bạn.
• Thông tin lập hóa đơn - địa chỉ thanh toán, mã số thuế/VAT (nếu có), tùy chọn hóa đơn. Bản thân các công cụ thanh toán (số thẻ, tài khoản ngân hàng, mã ví) được thu thập và lưu trữ bởi đơn vị xử lý thanh toán — Đơn vị Bán hàng Chính thức của chúng tôi là Dodo Payments đối với giao dịch mua trên trang web, hoặc Apple (App Store) hay Google (Google Play) đối với giao dịch mua trong ứng dụng di động — và không bao giờ đến tay chúng tôi. Với mỗi giao dịch, chúng tôi chỉ nhận những gì cần thiết để đối soát: trạng thái giao dịch, sản phẩm, số tiền và loại tiền tệ, và đối với giao dịch mua trên trang web, cả thuế và quốc gia thanh toán.
• Thông tin đăng nhập BYOK - các khóa API của nhà cung cấp AI bên thứ ba mà bạn chọn tải lên, được lưu trữ ở dạng mã hóa khi nghỉ trong một kho quản lý khóa.
• Nội dung không gian làm việc - các cuộc hội thoại, lời nhắc, chỉ dẫn hệ thống, tệp tin tải lên, định nghĩa quy trình làm việc, bình luận, ký ức, và bất kỳ nội dung nào khác mà bạn tạo ra hoặc tải lên.
• Liên lạc với chúng tôi - email, trò chuyện, phiếu hỗ trợ, các phản hồi khảo sát mức độ hài lòng.
• Số dư Runs - số dư tín dụng sử dụng trả trước (Runs) của bạn và lịch sử giao dịch (nạp, tiêu hao, hoàn tác khi hoàn tiền).

2.2 Thông tin được thu thập tự động

• Đo lường từ xa về cách sử dụng - những tuyến đường nào bạn truy cập, những tính năng nào bạn sử dụng, thời gian dành cho các tính năng, các sự kiện lỗi, các chỉ số hiệu năng (độ trễ yêu cầu, độ trễ mô hình, thông lượng).
• Thiết bị và kết nối - địa chỉ IP (được cắt ngắn cho mục đích phân tích; đầy đủ cho các cuộc điều tra gian lận và bảo mật), chuỗi tác nhân người dùng (user-agent), ngôn ngữ trình duyệt, loại thiết bị, hệ điều hành, độ phân giải màn hình.
• Cookie và các công nghệ tương tự - xem Mục 11 (Cookie) để biết danh sách đầy đủ và các tùy chọn từ chối của bạn.
• Siêu dữ liệu của lệnh gọi AI - mô hình được chọn, tập hợp năng lực được yêu cầu, số lượng token, độ trễ, chi phí, nguồn tài trợ, và bậc BYOK được áp dụng. Mỗi lệnh gọi AI tạo ra một BillingRecord với một bản chụp định giá, được lưu giữ theo Mục 8 (Lưu giữ).
• Báo cáo sự cố (ứng dụng di động) - nếu ứng dụng di động gặp sự cố trong khi bạn đang đăng nhập, ứng dụng sẽ gửi thông báo lỗi, dấu vết kỹ thuật của lỗi, tên màn hình, phiên bản của ứng dụng, bản cập nhật và hệ điều hành, cùng thời điểm xảy ra. Chúng tôi ghi báo cáo vào nhật ký máy chủ cùng với ID người dùng của bạn và chuỗi user-agent của ứng dụng; báo cáo không được lưu trong cơ sở dữ liệu nào và bị xóa cùng nhật ký trong tối đa 30 ngày.
• Xác minh thiết bị khi dùng thử không cần tài khoản (ứng dụng di động) - kết quả xác minh thiết bị từ Apple (App Attest, DeviceCheck) hoặc Google (Play Integrity), một hàm băm có khóa của mã định danh thiết bị và một hàm băm có khóa của tiền tố mạng thuộc địa chỉ IP của bạn; xem Mục 2.5.

2.3 Thông tin từ bên thứ ba

• Siêu dữ liệu thanh toán từ Dodo Payments đối với giao dịch mua trên trang web, và từ Apple hoặc Google đối với giao dịch mua trong ứng dụng di động (được mô tả ở trên).
• Kết quả sàng lọc gian lận và rủi ro được thực hiện bởi Đơn vị Bán hàng Chính thức / đơn vị xử lý thanh toán của chúng tôi đối với các giao dịch thanh toán.
• Kết quả kiểm duyệt tự động từ nhà cung cấp kiểm duyệt nội dung của chúng tôi - kết quả phân loại được trả về khi hình ảnh tải lên và văn bản được công bố công khai được sàng lọc (xem Chính sách Sử dụng Chấp nhận được của chúng tôi).

2.4 Các danh mục nhạy cảm

Chúng tôi không yêu cầu dữ liệu thuộc danh mục đặc biệt (GDPR Article 9) - chủng tộc, sắc tộc, quan điểm chính trị, tín ngưỡng tôn giáo, tư cách thành viên công đoàn, dữ liệu di truyền, dữ liệu sinh trắc học, sức khỏe, đời sống tình dục, xu hướng tính dục - hoặc dữ liệu cá nhân 'đặc biệt' theo KVKK Article 6. Nếu bạn tự nguyện gửi những thông tin như vậy thông qua lời nhắc, tệp tin, hoặc bình luận, chúng tôi chỉ xử lý nó khi cần thiết để cung cấp Dịch vụ cho bạn và chúng tôi áp dụng các biện pháp bảo vệ tăng cường.

2.5 Dùng thử ứng dụng di động mà không cần tài khoản

Bạn có thể dùng thử ứng dụng di động ToRun trong thời gian có hạn mà không cần tạo tài khoản ("dùng thử không cần tài khoản"). Trong thời gian dùng thử, chúng tôi không hỏi tên, địa chỉ email hay số điện thoại của bạn. Để cung cấp bản dùng thử, ngăn việc bắt đầu lại nhiều lần trên cùng một thiết bị và ngăn chặn lạm dụng, chúng tôi xử lý những thông tin sau:

• Xác minh thiết bị - ứng dụng yêu cầu Apple (App Attest, DeviceCheck) hoặc Google (Play Integrity) xác nhận rằng thiết bị và ứng dụng là thật, và máy chủ của chúng tôi kiểm tra kết quả với các dịch vụ này. Chúng tôi không lưu mã xác minh. Apple lưu giữ hộ chúng tôi trên máy chủ của mình hai giá trị cho mỗi thiết bị ("đã cấp dùng thử", "đã tạo tài khoản trên thiết bị này").
• Mã định danh thiết bị - trên iOS là một mã định danh ngẫu nhiên do ứng dụng tạo ra và lưu trên thiết bị; trên Android là mã định danh thiết bị riêng của ứng dụng (ANDROID_ID). Chỉ có hàm băm một chiều của mã này rời khỏi thiết bị, và chúng tôi chỉ lưu nó sau khi băm lại bằng một khóa bí mật (hàm băm có khóa). Trên iOS, chúng tôi cũng lưu hàm băm có khóa của mã định danh khóa App Attest.
• Mạng - hàm băm có khóa của tiền tố mạng thuộc địa chỉ IP của bạn, không bao giờ là địa chỉ đầy đủ, phục vụ giới hạn hằng ngày của bản dùng thử.
• Bản ghi dùng thử - phần dùng thử còn lại, trạng thái của nó và, nếu một lượt dùng thử bị từ chối, lý do.
• Những gì bạn dùng thử - tin nhắn bạn nhập, cuộc trò chuyện bằng giọng nói, ảnh bạn chọn và tên bạn đặt cho một bài hát được gửi đến nhà cung cấp AI tạo ra kết quả và đến nhà cung cấp kiểm duyệt nội dung của chúng tôi (Mục 5.1). Ảnh của bạn chỉ được dùng để tạo hình ảnh và không được lưu. Cuộc trò chuyện bằng giọng nói không được ghi âm và bản chép lời không được lưu. Các tin nhắn gần nhất của bạn được giữ tối đa 24 giờ sau tin nhắn cuối cùng, để câu trả lời tiếp theo có ngữ cảnh; chúng không được lưu thành cuộc trò chuyện. Những gì bản dùng thử tạo ra (một bài hát, một hình ảnh) được giữ 24 giờ rồi bị xóa.

Lưu giữ. Bản ghi dùng thử tự động bị xóa 90 ngày sau khi cấp dùng thử, còn bản ghi thiết bị bị xóa 90 ngày sau lần cuối thiết bị được dùng cho bản dùng thử. Nếu bạn tạo tài khoản từ bản dùng thử, liên kết giữa tài khoản và thiết bị được giữ trong 365 ngày, để tài khoản thứ hai được tạo trên cùng thiết bị không nhận lại quà chào mừng. Bản ghi thanh toán cho phần bản dùng thử đã sử dụng được giữ trong 5 năm theo yêu cầu của luật kế toán; bản ghi này xác định bản dùng thử chứ không phải bạn, và chứa hàm băm có khóa của tiền tố mạng, hàm băm này sẽ bị xóa nếu bạn xóa dữ liệu dùng thử.

Nếu bạn tạo tài khoản. Những gì bạn tạo trong thời gian dùng thử được chuyển vào Thư viện của tài khoản và từ đó được lưu như một phần của tài khoản; bản ghi thiết bị được liên kết với tài khoản của bạn.

Cơ sở pháp lý. Lợi ích hợp pháp của chúng tôi trong việc giữ an toàn cho dịch vụ và ngăn chặn lạm dụng bản dùng thử miễn phí (GDPR Điều 6(1)(f); KVKK Điều 5(2)(f)), và việc cung cấp bản dùng thử bạn yêu cầu (GDPR Điều 6(1)(b); KVKK Điều 5(2)(c)). Việc gửi dữ liệu đến các dịch vụ xác minh của Apple và Google và đến các nhà cung cấp AI là chuyển giao quốc tế, thuộc phạm vi Mục 6.

Xóa dữ liệu dùng thử của bạn. Bạn có thể xóa dữ liệu dùng thử bất cứ lúc nào trong ứng dụng, không cần tài khoản: trên màn hình chào mừng, mở "Dữ liệu dùng thử của bạn" và chọn "Xóa dữ liệu dùng thử của tôi". Thiết bị được xác minh giống như khi dùng thử, vì vậy không ai khác có thể xóa dữ liệu dùng thử của bạn hoặc biết bất cứ điều gì về nó. Sau đó, chúng tôi chỉ giữ một ghi chú rằng thiết bị này đã dùng lượt dùng thử (không có gì khác, tối đa 90 ngày) và, trong một ngày, thông tin rằng đã có lượt dùng thử được sử dụng trên mạng của bạn, để bản dùng thử không thể đơn giản bắt đầu lại. Nếu bạn đã tạo tài khoản, việc xóa tài khoản cũng xóa các bản ghi dùng thử liên kết với nó. Hai giá trị mà Apple lưu cho một thiết bị không gắn với bạn; chúng tôi không đặt lại chúng, vì đặt lại sẽ cho phép một lượt dùng thử mới trên thiết bị đó.

3. Cách Chúng tôi Sử dụng Thông tin của Bạn

Chúng tôi sử dụng dữ liệu cá nhân cho các mục đích sau:

#	Mục đích	Cơ sở pháp lý theo GDPR Article 6	Cơ sở theo KVKK
a	Vận hành Dịch vụ (tài khoản, định tuyến, bảng điều khiển, thông báo)	Hợp đồng (Art. 6(1)(b))	Thực hiện hợp đồng
b	Lập hóa đơn cho bạn, ngăn chặn gian lận, tuân thủ luật chống rửa tiền	Hợp đồng; nghĩa vụ pháp lý (Art. 6(1)(b), (c))	Thực hiện hợp đồng; nghĩa vụ pháp lý
c	Gửi email giao dịch (biên nhận, đặt lại mật khẩu, cảnh báo bảo mật)	Hợp đồng (Art. 6(1)(b))	Thực hiện hợp đồng
d	Cải thiện, gỡ lỗi, và bảo mật Dịch vụ	Lợi ích chính đáng (Art. 6(1)(f))	Lợi ích chính đáng
e	Gửi các liên lạc tiếp thị (chỉ khi đồng ý tham gia)	Sự đồng ý (Art. 6(1)(a))	Sự đồng ý rõ ràng
f	Phản hồi các yêu cầu chủ thể dữ liệu của bạn	Nghĩa vụ pháp lý (Art. 6(1)(c))	Nghĩa vụ pháp lý
g	Tự bảo vệ trước các khiếu nại pháp lý; tuân thủ các lệnh của tòa án	Nghĩa vụ pháp lý; lợi ích chính đáng	Nghĩa vụ pháp lý
h	Huấn luyện, tinh chỉnh, hoặc cải thiện theo cách khác các mô hình AI của riêng chúng tôi	Chúng tôi KHÔNG làm điều này với nội dung của bạn	không áp dụng

3.1 Chúng tôi không huấn luyện trên nội dung của bạn

ToRun không sử dụng các lời nhắc, tệp tin, cuộc hội thoại, hoặc kết quả được tạo ra của bạn để huấn luyện, tinh chỉnh, hoặc cải thiện theo cách khác bất kỳ mô hình AI nào, dù là của riêng chúng tôi hay của bất kỳ ai khác. Khi bạn sử dụng BYOK, lập trường về huấn luyện của nhà cung cấp bên thứ ba được điều chỉnh bởi các điều khoản của nhà cung cấp đó; chúng tôi khuyến nghị bạn xem xét chúng. Đối với các lệnh gọi không phải BYOK, chúng tôi sử dụng các nhà cung cấp theo các điều khoản hợp đồng cấm họ huấn luyện trên nội dung của khách hàng của chúng tôi.

4. Cookie và các Công nghệ Tương tự

Chúng tôi sử dụng cookie và bộ lưu trữ tương tự (localStorage, IndexedDB) cho:

• Hoàn toàn cần thiết - xác thực (mã truy cập OpenIddict, mã làm mới), tính liên tục của phiên, mã chống CSRF, ái lực cân bằng tải, lưu trữ sự đồng ý cookie.
• Chức năng - tùy chọn ngôn ngữ, giao diện (tối/sáng/mờ), không gian làm việc được sử dụng gần đây, mô hình được chọn cuối cùng.
• Phân tích - phân tích cách sử dụng tổng hợp, không bao giờ gắn với một danh tính thực trong kho phân tích của chúng tôi (chúng tôi sử dụng một mã băm thiết bị có muối, không phải ID Người dùng của bạn).
• Tiếp thị - mặc định tắt; nếu bạn chọn tham gia, chúng tôi có thể đặt các cookie phân bổ của bên thứ nhất.

Bạn có thể quản lý các tùy chọn này trong biểu ngữ cookie ngay lần đầu bạn truy cập, và bạn có thể thay đổi chúng bất cứ lúc nào thông qua liên kết Tùy chọn Cookie ở chân trang. Một số cookie hoàn toàn cần thiết không thể bị vô hiệu hóa vì Dịch vụ sẽ không hoạt động nếu không có chúng.

5. Cách Chúng tôi Chia sẻ Dữ liệu Cá nhân

Chúng tôi chỉ chia sẻ dữ liệu cá nhân khi cần thiết để vận hành Dịch vụ. Chúng tôi không bao giờ bán dữ liệu cá nhân theo nghĩa của CCPA/CPRA (Civil Code 1798.140(t)).

5.1 Các đơn vị xử lý phụ

Các đơn vị xử lý phụ hiện tại của chúng tôi được liệt kê trong Phụ lục III của Thỏa thuận Xử lý Dữ liệu của chúng tôi, được cập nhật khi chúng tôi thay đổi nhà cung cấp. Tóm lại:

• Dodo Payments - Đơn vị Bán hàng Chính thức cho giao dịch mua trên trang web: xử lý thanh toán, lập hóa đơn, xử lý thuế, hoàn tiền và bồi hoàn.
• Apple (App Store) và Google (Google Play) - xử lý thanh toán cho giao dịch mua trong ứng dụng di động, do cửa hàng bán theo điều khoản riêng của mình.
• Bunny.net (BunnyWay d.o.o.) (Slovenia) - lưu trữ đối tượng, CDN, công cụ tối ưu hóa hình ảnh và video, truyền phát video.
• Microsoft Azure / Hetzner / OVH - lưu trữ hạ tầng (khu vực tùy thuộc vào lựa chọn của đối tượng thuê).
• Các nhà cung cấp truyền sự kiện tương thích với Kafka - bus sự kiện thời gian thực cho hộp thư đi giao dịch (transactional outbox) và phân tích.
• Các nhà cung cấp AI bên thứ ba - nhà cung cấp nào nhận một yêu cầu cụ thể phụ thuộc vào khả năng bạn yêu cầu và mô hình mà bạn hoặc cài đặt định tuyến của bạn chọn; các nhà cung cấp và mô hình hiện có được liệt kê trong Dịch vụ. Các nhà cung cấp AI nhận được nội dung tối thiểu cần thiết để thực hiện yêu cầu cụ thể của bạn, và chỉ khi bạn (hoặc cài đặt định tuyến của bạn) khiến một yêu cầu được gửi tới họ.
• Nhà cung cấp kiểm duyệt nội dung (OpenAI) - sàng lọc tự động hình ảnh tải lên và văn bản được công bố công khai để phát hiện nội dung bị cấm, theo Chính sách Sử dụng Chấp nhận được của chúng tôi. Các kiểm tra KYC / AML liên quan đến thanh toán được thực hiện bởi Đơn vị Bán hàng Chính thức của chúng tôi.
• Các nhà cung cấp dịch vụ gửi email và thông báo - email giao dịch (biên nhận, đặt lại mật khẩu, cảnh báo bảo mật).
• Công cụ phân tích và cải thiện sản phẩm - phân tích cách sử dụng tổng hợp trên cơ sở hợp đồng không có dữ liệu nhận dạng cá nhân (PII).
• Công cụ hỗ trợ khách hàng - để xử lý các phiếu yêu cầu và phản hồi của bạn.
• Dịch vụ xác minh thiết bị của Apple và Google (App Attest và DeviceCheck; Play Integrity) - để xác nhận thiết bị và ứng dụng là thật trong thời gian dùng thử ứng dụng di động không cần tài khoản (Mục 2.5).
• Google Maps Platform - tìm kiếm địa điểm, thông tin chi tiết về địa điểm, chỉ đường và bản đồ khi bạn hỏi về địa điểm hoặc chia sẻ vị trí; trong ứng dụng iOS, một số bản đồ được vẽ bằng Apple Maps.

5.2 Tiết lộ theo pháp luật

Chúng tôi có thể tiết lộ dữ liệu cá nhân cho cơ quan thực thi pháp luật, cơ quan quản lý, hoặc tòa án để đáp ứng một yêu cầu pháp lý hợp lệ (trát đòi hầu tòa, lệnh tòa án, lệnh khám xét, yêu cầu của cơ quan quản lý) được ban hành theo luật áp dụng. Khi được phép, chúng tôi sẽ thông báo cho bạn trước khi tiết lộ để bạn có thể tìm kiếm một lệnh bảo vệ.

5.3 Chuyển giao kinh doanh

Nếu chúng tôi tham gia vào một vụ sáp nhập, mua lại, huy động vốn, hoặc bán phần lớn tài sản của chúng tôi, dữ liệu cá nhân có thể được chuyển giao như một phần của giao dịch đó. Chúng tôi sẽ thông báo cho những người dùng bị ảnh hưởng và cung cấp một cơ hội có ý nghĩa để phản đối hoặc đóng Tài khoản của họ trước khi việc chuyển giao có hiệu lực, ngoại trừ khi việc thông báo bị luật pháp ngăn cấm.

5.4 Với sự đồng ý của bạn

Chúng tôi sẽ chỉ chia sẻ dữ liệu cá nhân cho bất kỳ mục đích nào không được liệt kê ở trên với sự đồng ý rõ ràng của bạn.

6. Chuyển dữ liệu Quốc tế

ToRun hoạt động từ Istanbul, Thổ Nhĩ Kỳ, và sử dụng các đơn vị xử lý phụ tại Liên minh châu Âu, Vương quốc Anh, Hoa Kỳ, và các khu vực tài phán khác. Bất cứ khi nào chúng tôi chuyển dữ liệu cá nhân ra ngoài quốc gia cư trú của bạn, chúng tôi dựa vào một cơ chế chuyển giao hợp pháp:

• GDPR Chapter V - các Điều khoản Hợp đồng Tiêu chuẩn của EU (Quyết định của Ủy ban 2021/914) cùng các biện pháp bổ sung (mã hóa khi truyền và khi nghỉ, truy cập hạn chế, ghi nhật ký kiểm toán) theo Khuyến nghị 01/2020 của EDPB.
• UK GDPR - Phụ lục Chuyển dữ liệu Quốc tế của UK bổ sung cho các SCC của EU.
• KVKK Article 9 - sự đồng ý rõ ràng hoặc một trong các biện pháp bảo đảm theo Article 9(2) (cam kết ràng buộc, sự công nhận quốc gia đầy đủ điều kiện).
• Các quyết định về tính đầy đủ - khi Ủy ban châu Âu đã ban hành một quyết định về tính đầy đủ, chúng tôi có thể dựa vào nó.

Bạn có thể yêu cầu một bản sao tài liệu về cơ chế chuyển giao bằng cách gửi thư tới /company/contact?category=legal.

7. Bảo mật

Chúng tôi áp dụng các biện pháp kỹ thuật và tổ chức phù hợp với các rủi ro của việc xử lý dữ liệu cá nhân, bao gồm:

• Mã hóa khi truyền cho mọi yêu cầu API thông qua TLS 1.3.
• Mã hóa khi nghỉ cho các bí mật BYOK, dữ liệu lập hóa đơn, nhật ký kiểm toán, và nội dung tài liệu thông qua dịch vụ quản lý khóa trên đám mây.
• Kiểm soát truy cập - dựa trên vai trò, đặc quyền tối thiểu, với xác thực đa yếu tố bắt buộc đối với nhân viên; quyền truy cập được rà soát hằng quý.
• Ghi nhật ký kiểm toán - các nhật ký được liên kết bằng băm có khả năng phát hiện giả mạo cho các hành động lập hóa đơn, kiểm duyệt, và quản trị, được lưu giữ trong 5 năm.
• Bảo mật mạng - giới hạn tần suất, tường lửa ứng dụng web, phát hiện bất thường, giảm thiểu tấn công từ chối dịch vụ.
• Quản lý lỗ hổng - quét phụ thuộc tự động, các cổng kiểm tra rà soát mã, kiểm thử thâm nhập nửa năm một lần bởi một công ty độc lập.
• Ứng phó sự cố - các quy trình vận hành được tài liệu hóa, luân phiên trực, các quy trình thông báo vi phạm.
• Thẩm định nhà cung cấp - tất cả các đơn vị xử lý phụ được rà soát đối chiếu với chuẩn mực bảo mật và quyền riêng tư của chúng tôi trước khi tiếp nhận.

Không có hệ thống nào hoàn toàn an toàn. Nếu bạn nhận thấy một vấn đề bảo mật, vui lòng báo cáo nó tới /company/contact?category=trust để chúng tôi có thể điều tra.

8. Lưu giữ Dữ liệu

Danh mục dữ liệu	Thời gian lưu giữ
Hồ sơ tài khoản và thông tin đăng nhập	Thời gian tồn tại của Tài khoản + 30 ngày
Nội dung không gian làm việc (trò chuyện, tệp tin, quy trình làm việc)	Thời gian tồn tại của Tài khoản + 30 ngày
BillingRecord và hóa đơn	5 năm (kế toán và kiểm toán theo luật)
Nhật ký kiểm toán (liên kết bằng băm)	5 năm (Mục 7)
Tài liệu liên quan đến thuế	10 năm (luật thuế Thổ Nhĩ Kỳ)
Hồ sơ về sự đồng ý tiếp thị	Thời gian tồn tại của sự đồng ý + 3 năm
Nhật ký giao dịch email	12 tháng
Phân tích web (tổng hợp, không có PII)	26 tháng
Nội dung bí mật BYOK	Cho đến khi bạn gỡ bỏ khóa, cộng thêm 30 ngày gia hạn
Bản ghi dùng thử không cần tài khoản (ứng dụng di động)	90 ngày sau khi cấp dùng thử
Bản ghi thiết bị của bản dùng thử không cần tài khoản	90 ngày sau lần cuối thiết bị được dùng cho bản dùng thử
Kết quả dùng thử không được chuyển vào tài khoản	24 giờ
Tin nhắn dùng thử (ngữ cảnh cho câu trả lời tiếp theo)	Tối đa 24 giờ sau tin nhắn cuối cùng
Ghi chú rằng một thiết bị đã dùng lượt dùng thử (sau khi bạn xóa dữ liệu dùng thử)	Tối đa 90 ngày
Liên kết tài khoản–thiết bị sau bản dùng thử không cần tài khoản	365 ngày
Báo cáo sự cố của ứng dụng di động (nhật ký máy chủ)	Tối đa 30 ngày

Các tài khoản đã đóng được xóa mềm ngay lập tức và được xóa cứng (xóa bằng mật mã khi được hỗ trợ, ghi đè an toàn trong các trường hợp khác) 30 ngày sau khi đóng, tùy thuộc vào các yêu cầu lưu giữ nêu trên.

9. Quyền của Bạn (GDPR / UK GDPR)

Nếu GDPR hoặc UK GDPR áp dụng cho bạn, bạn có các quyền sau đây đối với dữ liệu cá nhân của mình:

• Truy cập (Article 15) - nhận một bản sao dữ liệu cá nhân mà chúng tôi xử lý và thông tin về việc xử lý đó.
• Đính chính (Article 16) - sửa chữa dữ liệu không chính xác hoặc không đầy đủ.
• Xóa bỏ (Article 17, 'quyền được lãng quên') - yêu cầu xóa trong các trường hợp được xác định.
• Hạn chế (Article 18) - yêu cầu chúng tôi tạm dừng xử lý trong khi chờ xác minh.
• Tính khả chuyển (Article 20) - nhận dữ liệu của bạn ở một định dạng có cấu trúc, được sử dụng phổ biến, có thể đọc được bằng máy.
• Phản đối (Article 21) - phản đối việc xử lý dựa trên các lợi ích chính đáng; bạn có quyền tuyệt đối để phản đối tiếp thị trực tiếp.
• Ra quyết định tự động và lập hồ sơ (Article 22) - không phải chịu một quyết định chỉ dựa trên việc xử lý tự động tạo ra các hệ quả pháp lý hoặc các hệ quả tương tự đáng kể (xem Mục 13).
• Rút lại sự đồng ý bất cứ lúc nào, mà không ảnh hưởng đến tính hợp pháp của việc xử lý trước khi rút lại.
• Nộp khiếu nại với cơ quan giám sát tại Quốc gia Thành viên EU/UK nơi bạn sinh sống, làm việc, hoặc nơi hành vi xâm phạm bị cáo buộc đã diễn ra.

Để thực hiện các quyền này, hãy nộp một Yêu cầu Chủ thể Dữ liệu từ bảng điều khiển Tài khoản của bạn hoặc bằng cách gửi email tới /company/contact?category=legal. Chúng tôi phản hồi trong vòng 30 ngày (Article 12(3)). Khi thích hợp, chúng tôi có thể xác minh danh tính của bạn trước khi phản hồi.

Nếu bạn đã dùng thử ứng dụng di động mà không có tài khoản, bạn có thể xóa dữ liệu dùng thử ngay trong ứng dụng (Mục 2.5). Chúng tôi không lưu bất cứ thông tin nào xác định bạn là khách, vì vậy chúng tôi không thể tìm một lượt dùng thử dựa trên yêu cầu gửi qua email.

10. Quyền của Bạn (KVKK - Thổ Nhĩ Kỳ)

Người dùng tại Thổ Nhĩ Kỳ có thể đọc toàn văn KVKK Aydınlatma Metni (thông báo giải thích về bảo vệ dữ liệu) của chúng tôi để biết thông tin chi tiết.

Theo Article 11 của KVKK Thổ Nhĩ Kỳ, bạn có quyền:

• biết liệu dữ liệu cá nhân của bạn có đang được xử lý hay không;
• yêu cầu thông tin nếu dữ liệu của bạn đã được xử lý;
• biết mục đích xử lý và liệu dữ liệu có được sử dụng phù hợp với mục đích đó hay không;
• biết dữ liệu cá nhân đã được chuyển giao cho ai ở trong nước và nước ngoài;
• yêu cầu sửa chữa dữ liệu không đầy đủ hoặc không chính xác;
• yêu cầu xóa hoặc tiêu hủy dữ liệu cá nhân;
• yêu cầu thông báo về bất kỳ sự sửa chữa, xóa, hoặc tiêu hủy nào cho các bên thứ ba mà dữ liệu đã được chuyển giao;
• phản đối một quyết định chỉ dựa trên việc xử lý tự động tạo ra các kết quả bất lợi;
• yêu cầu bồi thường thiệt hại phát sinh từ việc xử lý trái pháp luật.

Bạn có thể thực hiện các quyền này bằng cách gửi thư tới /company/contact?category=legal hoặc bằng cách nộp một yêu cầu thông qua Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ. Chúng tôi phản hồi trong vòng 30 ngày kể từ khi nhận được một yêu cầu được lập đúng cách.

Các khiếu nại có thể được nộp với Kişisel Verileri Koruma Kurumu (KVKK) tại kvkk.gov.tr.

11. Quyền của Bạn (CCPA / CPRA - Cư dân California)

Cư dân California có quyền:

• Biết các danh mục thông tin cá nhân mà chúng tôi đã thu thập, các nguồn, các mục đích, và các danh mục bên thứ ba mà chúng tôi chia sẻ với họ (Civil Code 1798.110, 1798.115).
• Xóa thông tin cá nhân tùy thuộc vào các trường hợp ngoại lệ (1798.105).
• Sửa chữa thông tin cá nhân không chính xác (1798.106, CPRA).
• Giới hạn việc sử dụng và tiết lộ thông tin cá nhân nhạy cảm (1798.121).
• Từ chối bất kỳ hành vi 'bán' hoặc 'chia sẻ' nào cho quảng cáo theo hành vi xuyên ngữ cảnh. Chúng tôi không bán thông tin cá nhân, và chúng tôi không chia sẻ cho quảng cáo theo hành vi xuyên ngữ cảnh.
• Không bị phân biệt đối xử - chúng tôi sẽ không từ chối dịch vụ, tính giá khác, hoặc cung cấp dịch vụ chất lượng thấp hơn vì bạn đã thực hiện một quyền về quyền riêng tư.

Để thực hiện các quyền CCPA của bạn, hãy gửi email tới /company/contact?category=legal. Bạn có thể chỉ định một đại diện được ủy quyền hành động thay mặt bạn với sự cho phép bằng văn bản có thể xác minh.

12. Quyền riêng tư của Trẻ em

Dịch vụ không hướng đến trẻ em dưới 13 tuổi (hoặc độ tuổi đồng ý kỹ thuật số áp dụng tại khu vực tài phán của bạn, ví dụ 16 tuổi tại một số Quốc gia Thành viên EU). Chúng tôi không cố ý thu thập dữ liệu cá nhân từ trẻ em dưới những độ tuổi đó. Nếu bạn tin rằng một trẻ em đã cung cấp cho chúng tôi dữ liệu cá nhân, hãy liên hệ /company/contact?category=legal và chúng tôi sẽ xóa dữ liệu kịp thời.

13. Ra Quyết định Tự động

Dịch vụ sử dụng việc ra quyết định tự động để:

• định tuyến các lệnh gọi AI tới các nhà cung cấp cụ thể dựa trên năng lực và giá cả;
• gắn cờ nội dung để rà soát kiểm duyệt bằng cách sử dụng các bộ phân loại tự động;
• phát hiện gian lận và lạm dụng bằng cách sử dụng các hệ thống chấm điểm rủi ro;
• đối soát các bản ghi lập hóa đơn và cách sử dụng.

Những quyết định này không tạo ra các hệ quả pháp lý theo nghĩa của GDPR Article 22 trong hầu hết các trường hợp, nhưng khi chúng có (ví dụ một quyết định chấm dứt vĩnh viễn một Tài khoản vì gian lận), bạn có thể yêu cầu rà soát bởi con người bằng cách gửi thư tới /company/contact?category=legal.

14. Liên lạc Tiếp thị

Chúng tôi chỉ gửi email tiếp thị với sự đồng ý trước, được trao một cách tự do, có hiểu biết của bạn. Mỗi email tiếp thị bao gồm một liên kết hủy đăng ký, và bạn có thể quản lý các tùy chọn tiếp thị trong cài đặt Tài khoản của bạn. Các tin nhắn giao dịch (cảnh báo bảo mật, biên nhận lập hóa đơn, đặt lại mật khẩu, các cập nhật Dịch vụ quan trọng) không phải là tiếp thị và bạn không thể hủy đăng ký khỏi chúng trong khi Tài khoản của bạn vẫn mở.

Nếu bạn đăng ký nhận cập nhật sản phẩm nhưng không xác nhận địa chỉ email, chúng tôi sẽ xóa đăng ký đó sau 30 ngày.

15. Thông báo Vi phạm Dữ liệu

Chúng tôi thông báo cho cơ quan giám sát liên quan và các cá nhân bị ảnh hưởng về bất kỳ vi phạm dữ liệu cá nhân nào mà không có sự chậm trễ quá mức và trong mọi trường hợp trong vòng 72 giờ kể từ khi nhận biết được vi phạm, khi vi phạm có khả năng dẫn đến rủi ro đối với các quyền và tự do của bạn (GDPR Article 33; Thông tư KVKK về Thông báo Vi phạm Dữ liệu Cá nhân).

Các thông báo được gửi tới địa chỉ email trên Tài khoản của bạn và tới một trang sự cố công khai tại torun.ai/incidents khi thích hợp.

16. Cookie, Theo dõi và Do-Not-Track

Chúng tôi tôn trọng tín hiệu Global Privacy Control (GPC) khi áp dụng. Chúng tôi không phản hồi các tiêu đề trình duyệt 'Do Not Track' cũ vì không có sự đồng thuận trong ngành về ý nghĩa của chúng. Các tùy chọn ở cấp độ cookie được đặt trong biểu ngữ của chúng tôi có hiệu lực ngay lập tức và đồng bộ hóa trên các phiên của bạn.

17. Thay đổi đối với Chính sách Này

Chúng tôi có thể cập nhật chính sách này theo thời gian. Phiên bản hiện tại luôn có sẵn tại torun.ai/privacy-policy với ngày có hiệu lực và số phiên bản. Các thay đổi quan trọng sẽ được thông báo qua email ít nhất 30 ngày trước khi chúng có hiệu lực. Phiên bản mới nhất được áp dụng; các phiên bản lưu trữ có sẵn theo yêu cầu.

18. Liên hệ và Các Cơ quan Giám sát

Cán bộ Bảo vệ Dữ liệu: /company/contact?category=legal

Địa chỉ bưu điện: TORUN TEKNOLOJİ ANONİM ŞİRKETİ, Selimpaşa Mah. 1010. Sk. No: 10/1 İç Kapı No: 1, Silivri / İstanbul, Türkiye

Các cơ quan giám sát:

• Thổ Nhĩ Kỳ - KVKK (Kişisel Verileri Koruma Kurumu) - kvkk.gov.tr
• Liên minh châu Âu - tìm DPA địa phương của bạn tại edpb.europa.eu/about-edpb/about-edpb/members_en
• Vương quốc Anh - ICO - ico.org.uk
• California, Hoa Kỳ - CPPA (California Privacy Protection Agency) - cppa.ca.gov

Nếu bạn không hài lòng với phản hồi của chúng tôi đối với yêu cầu của bạn, bạn có quyền nộp khiếu nại với cơ quan giám sát cho khu vực tài phán của bạn.

19. Ngôn ngữ

Chính sách này được cung cấp bằng tiếng Anh với tư cách là phiên bản gốc. Các bản dịch được cung cấp nhằm mục đích thuận tiện; trong trường hợp có xung đột giữa phiên bản tiếng Anh và một bản dịch, phiên bản tiếng Anh sẽ được áp dụng, trừ khi luật bảo vệ dữ liệu bắt buộc của quốc gia bạn yêu cầu khác đi.