Datenschutzerklärung

1. Verantwortlicher

Der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist FyreFly Systems GbR, vertreten durch Maximilian Scheinast-Peter und Janek Franz Fabian.

2. Allgemeine Informationen zur Datenverarbeitung

Der Schutz Ihrer personenbezogenen Daten ist uns sehr wichtig. Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten bei der Nutzung unserer Phonos Webanwendung ("Dienst"). Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, TKG).

3. Erhebung und Speicherung personenbezogener Daten

3.1 Beim Besuch der Website

Beim Aufruf unserer Website sendet der Browser Ihres Gerätes automatisch Informationen an unseren Webserver. Diese Informationen werden temporär in einer Logfile gespeichert:

• IP-Adresse des anfordernden Computers
• Datum und Uhrzeit des Zugriffs
• Name und URL der abgerufenen Datei
• Website, von der aus der Zugriff erfolgt (Referrer-URL)
• Browser und ggf. das Betriebssystem Ihres Computers sowie der Name Ihres Access-Providers

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung der Systemsicherheit und -stabilität)

Speicherdauer: Die Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind, spätestens nach 90 Tagen.

3.2 Registrierung und Nutzung des Dienstes

Für die Nutzung unseres Dienstes ist eine Registrierung erforderlich. Wir erheben folgende personenbezogene Daten:

Datenart	Verarbeitungszweck	Rechtsgrundlage
Benutzername	Identifikation und Authentifizierung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
E-Mail-Adresse	Kommunikation, Zwei-Faktor-Authentifizierung, Passwort-Zurücksetzung	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Passwort (gehashct)	Authentifizierung und Zugriffsschutz	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Profilbild (optional)	Personalisierung des Benutzerprofils	Art. 6 Abs. 1 lit. a DSGVO (Einwilligung)
Organisations-/Teammitgliedschaft	Projektverwaltung und Zugriffskontrolle	Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)

4. Verarbeitung von Nutzungs- und Forschungsdaten

4.1 Hochgeladene Dateien und Berechnungen

Bei der Nutzung des Dienstes verarbeiten wir folgende Daten:

• Proteinsequenzen und Strukturdaten: Wissenschaftliche Daten, die von Ihnen hochgeladen oder eingegeben werden
• Berechnungsergebnisse: Von unseren KI-Modellen generierte Ergebnisse (ESMFold, AlphaFold2, DiffDock, ProteinMPNN, Metal3D, Boltz2, Evo2)
• Job-Metadaten: Zeitstempel, verwendete Parameter, Berechnungsdauer
• Projekt- und Dateiverwaltung: Organisationsstruktur Ihrer Forschungsdaten

Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erbringung der Dienste)

Speicherdauer: Ihre Forschungsdaten werden gespeichert, solange Ihr Konto aktiv ist. Sie können einzelne Dateien oder Projekte jederzeit löschen.

4.2 Nutzungsstatistiken und Analysen

Um unseren Dienst zu verbessern, erheben wir anonymisierte Nutzungsstatistiken:

• Anzahl der Berechnungen pro Modelltyp
• Durchschnittliche Berechnungszeiten
• Nutzungshäufigkeit bestimmter Funktionen
• Speicherplatznutzung (aggregiert)

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung unseres Dienstes)

5. Cookies und Tracking-Technologien

5.1 Technisch notwendige Cookies (Eigene Cookies)

Wir verwenden technisch notwendige Cookies, um den Dienst bereitzustellen. Diese Cookies sind für das Funktionieren der Website wesentlich:

Cookie-Name	Zweck	Dauer
session	Aufrechterhaltung Ihrer Anmeldung	Sitzung (bis Abmeldung)
csrf_token	Schutz vor Cross-Site-Request-Forgery-Angriffen	Sitzung
user_preferences	Speicherung Ihrer Benutzereinstellungen (Sprache, Theme, etc.)	1 Jahr
disclaimer_accepted	Speicherung der Disclaimer-Einwilligung	Sitzung

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der technischen Funktionalität und Sicherheit)

5.2 Cloudflare Cookies (CDN und Sicherheit)

Wir verwenden Cloudflare als Content Delivery Network (CDN) und für Sicherheitsdienste. Cloudflare setzt Cookies, um die Website zu schützen und die Bereitstellung zu optimieren:

Cookie-Name	Zweck	Dauer
__cflb	Load Balancing - Verkehrsverteilung	Sitzung
__cf_bm	Bot-Management für Sicherheit	30 Minuten
cf_clearance	Sicherheitsüberprüfung (nach Challenge)	1 Jahr

Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer und schneller Website-Bereitstellung)
Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/

5.3 Google Cloud Platform Cookies

Unsere Serverinfrastruktur wird auf Google Cloud Platform (GCP) in der Europäischen Union gehostet. Google kann technische Cookies setzen für:

• Load Balancing und Verkehrsverteilung
• Sitzungspersistenz
• Sicherheitsüberwachung

Hosting-Standort: Google Cloud Platform, Europäische Union
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässigem Hosting)
Datenschutzerklärung: https://policies.google.com/privacy

5.4 Analysen und Tracking

Wir verwenden KEINE externen Tracking-Dienste wie Google Analytics, Facebook Pixel oder ähnliche Drittanbieter-Tracker. Alle Nutzungsstatistiken werden intern erhoben und anonymisiert.

6. Sharing Data with Third Parties

6.1 General Principle

We do not share your personal data with third parties unless:

• You have expressly consented (Art. 6 para. 1 lit. a GDPR)
• Sharing is necessary for contract performance (Art. 6 para. 1 lit. b GDPR)
• There is a legal obligation (Art. 6 para. 1 lit. c GDPR)

6.2 Data Processors and Third-Party Providers

We use the following data processors and third-party providers:

Service Provider	Purpose	Location
Amazon Web Services (AWS)	Cloud-Infrastruktur (Compute, Storage, Networking) für die Phonos-Plattform	EU/Schengen-Raum (Frankfurt, Irland, Stockholm, Paris)
Google Cloud Platform (GCP)	Hosting of server infrastructure and databases	EU/Schengen-Raum
Nebius AI	GPU compute infrastructure for AI/ML model execution (Boltz2, Evo2, and other computational models)	EU/Schengen-Raum
Cloudflare, Inc.	Content Delivery Network (CDN), DDoS protection, SSL/TLS encryption	EU/USA (Standard Contractual Clauses)
IONOS SE	Email delivery (transactional emails, 2FA codes, notifications)	Germany (GDPR compliant)
Stripe, Inc.	Payment processing for premium subscriptions	EU/USA (Standard Contractual Clauses, GDPR compliant)
NVIDIA DGX Cloud	GPU compute infrastructure used exclusively for demonstration and testing purposes (demo environment only)	USA (Standard Contractual Clauses)
Google LLC (Gemini AI)	Optional conversational AI assistance, file analysis, and AI-powered search (activated when using @gemini mentions or search functionality)	Worldwide / USA (Google's data protection framework)

Data processing agreements have been concluded with all processors in accordance with Art. 28 GDPR. For transfers to third countries outside the EU, EU Standard Contractual Clauses are used.

6.3 Special Notes on Third-Party Providers

Amazon Web Services (AWS)

Teile der Phonos-Plattform laufen auf der Amazon Web Services (AWS) Cloud-Infrastruktur innerhalb der Europäischen Union / des Schengen-Raums (bevorzugt in den Regionen Frankfurt, Irland, Stockholm oder Paris). AWS stellt die zugrundeliegenden Compute-, Storage- und Networking-Ressourcen für den Betrieb des Dienstes bereit. Die Ressourcen können auf eine oder mehrere EU/Schengen-Regionen verteilt sein, um Ausfallsicherheit und Leistung zu gewährleisten; eine Datenübermittlung außerhalb des EU/Schengen-Raums findet nicht statt.

Verarbeitete Daten: Technische Daten (IP-Adressen, Zugriffslogs), Anwendungsdaten (temporäre Rechendaten, gecachte Assets)
Privacy Policy: https://aws.amazon.com/privacy/
Data Processing Agreement: AWS GDPR Data Processing Addendum (https://aws.amazon.com/compliance/gdpr-center/)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 28 DSGVO

Google Cloud Platform (GCP)

Unsere Serverinfrastruktur läuft auf der Google Cloud Platform innerhalb der Europäischen Union / des Schengen-Raums. Alle Ihre Daten werden ausschließlich auf Servern innerhalb des EU/Schengen-Raums gespeichert. Die Ressourcen können auf eine oder mehrere Regionen verteilt sein, um Ausfallsicherheit und Leistung zu gewährleisten; eine Datenübermittlung außerhalb des EU/Schengen-Raums findet nicht statt.

Verarbeitete Daten: Technische Daten (IP-Adressen, Zugriffslogs), sämtliche Anwendungsdaten (Benutzerkonten, Projektdaten, Forschungsdaten, Datenbankinhalte)
Privacy Policy: https://policies.google.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 28 DSGVO

Nebius AI

Nebius AI stellt GPU-Compute-Infrastruktur für die Ausführung von KI/ML-Modellen bereit (Boltz2, Evo2 und andere Rechenmodelle). Alle Compute-Workloads laufen auf Servern innerhalb der Europäischen Union / des Schengen-Raums. Es verlassen keine Forschungsdaten während oder nach der Verarbeitung den EU/Schengen-Raum.

Verarbeitete Daten: Proteinsequenzen, Strukturdaten, Job-Parameter, temporäre Rechendaten
Privacy Policy: https://nebius.com/legal/privacy
Auftragsverarbeitungsvertrag: Geschlossen gemäß Art. 28 DSGVO
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 28 DSGVO

Cloudflare (CDN and Security)

Cloudflare improves the performance and security of our website through caching, DDoS protection, and SSL encryption. IP addresses and technical information are processed.

Privacy Policy: https://www.cloudflare.com/privacypolicy/
Legal Basis: Art. 6 para. 1 lit. f GDPR (legitimate interest in security and performance)

Stripe (Payment Processing)

When you subscribe to a paid plan, payment information is transmitted directly to Stripe. We do NOT store complete credit card data on our servers.

Processed Data: Name, email address, billing address, payment method (tokenized)
Privacy Policy: https://stripe.com/privacy
Legal Basis: Art. 6 para. 1 lit. b GDPR (contract performance), Art. 6 para. 1 lit. c GDPR (legal obligations)

NVIDIA DGX Cloud (Research Preview)

Wenn die Software oder bestimmte Modelle als "Research Preview" gekennzeichnet sind, werden Berechnungen auf der NVIDIA DGX Cloud GPU-Infrastruktur durchgeführt. Diese Umgebung dient der Vorab-Tests und Evaluierung; im Research Preview-Modus ausgeführte Modelle werden mit hoher Wahrscheinlichkeit auf DGX Cloud statt auf der Produktions-GPU-Infrastruktur betrieben.

Es werden keine produktiven Nutzerdaten auf dieser Plattform verarbeitet. Es werden ausschließlich synthetische, Beispiel- oder explizit zur Evaluierung freigegebene Daten während Research Preview-Sitzungen verwendet.

Privacy Policy: https://www.nvidia.com/en-us/about-nvidia/privacy-policy/
Legal Basis: Art. 6 para. 1 lit. f GDPR (legitimate interest in platform testing and demonstration)
Note: This infrastructure is not used for processing actual user research data. All production workloads run on Nebius AI within the EU.

Google Gemini AI (Optional AI Assistance)

When you explicitly use Gemini features by @mentioning gemini in project chats or requesting file analysis, your queries and context are sent to Google's Gemini API.

Processed Data: User queries, project context, file content (optional, limited to 10,000 characters)
Privacy Policy: https://policies.google.com/privacy
Legal Basis: Art. 6 para. 1 lit. a GDPR (consent through active usage), Art. 6 para. 1 lit. b GDPR (contract performance)
Note: This is an optional feature. You can use all core features without activating Gemini integration.

6.4 Data Location and Transfer

All your core research data and scientific calculations (protein structure prediction, molecular docking, sequence design) are stored and processed exclusively on servers within the European Union / Schengen Area (AWS, Google Cloud Platform, Nebius AI). No transfer of your core research data to third countries outside the EU/Schengen Area takes place.

Exception - Optional Gemini Feature: If you choose to use the optional Gemini AI features by @mentioning gemini, the data you send in those specific queries may be processed by Google on servers worldwide, including the USA. This is clearly communicated when you use the feature, and you have full control over what data you share with Gemini.

Cloudflare and Stripe may transfer technical data (IP addresses, metadata) to the USA as part of their services. This is done based on EU Standard Contractual Clauses and additional security measures in accordance with GDPR.

7. Use of AI Models and Scientific Data

7.1 Locally Hosted AI Models

All core AI calculations (ESMFold, AlphaFold2, DiffDock, ProteinMPNN, Metal3D, Boltz2, Evo2) are performed on our own server infrastructure or on Nebius AI GPU infrastructure within the European Union / Schengen Area. Your research data for structure prediction, molecular docking, and DNA generation is NOT transmitted to external AI services outside the EU/Schengen Area. NVIDIA DGX Cloud is used exclusively for demonstration and testing purposes and does not process any production user data.

7.2 Google Gemini AI Integration (Optional Feature)

The Service offers optional AI-powered features through Google Gemini AI, including conversational assistance, file analysis, and intelligent search. These features are only activated when you explicitly use them by mentioning @gemini in project chats, requesting file analysis, or using the search functionality.

Data Transmitted to Google: When you use Gemini-powered features, the following data may be sent to Google's Gemini API:

• Your query text and conversation context
• Search queries and result context (when using search)
• Project names and descriptions (if mentioned in the query)
• File content (if you request file analysis, limited to first 10,000 characters)

Data Processing by Google: Google processes this data to generate AI responses. Google's data processing practices are governed by their Privacy Policy. Google may use API data to improve their services in accordance with their terms. We recommend reviewing Google's privacy policy at https://policies.google.com/privacy and their AI data usage policies.

Data Location: Google Gemini API requests may be processed on Google's servers worldwide, including outside the European Union. Data transfers to the USA are based on Google's compliance with applicable data protection frameworks.

Legal Basis: Art. 6 para. 1 lit. a GDPR (consent through active usage of the feature) and Art. 6 para. 1 lit. b GDPR (contract performance)

Your Control: You have full control over this feature. Simply avoid using @gemini mentions or AI assistance features if you prefer to keep your data entirely within our infrastructure. You can use all core protein analysis features without ever triggering Gemini integration.

7.3 Confidentiality of Scientific Data

8. Data Security

We implement technical and organizational security measures to protect your data against accidental or intentional manipulation, loss, destruction, or access by unauthorized persons:

• Encryption: HTTPS/TLS for all data transmissions
• Password Protection: Secure hash algorithms (bcrypt) for passwords
• Two-Factor Authentication (2FA): Additional protection for user accounts
• Access Control: Role-based access control for projects and data
• Regular Backups: Secure data backup to prevent data loss
• Firewall and Monitoring: Protection against unauthorized access
• Data Encryption: Encryption of sensitive data in the database

9. Your Rights as a Data Subject

Under the GDPR, you have the following rights regarding your personal data:

9.1 Right of Access (Art. 15 GDPR)

You have the right to obtain information about the personal data we process. You can request an overview of your data in your account settings at any time.

9.2 Right to Rectification and Erasure (Art. 16, 17 GDPR)

You have the right to rectify inaccurate or incomplete data and to erase your data ("right to be forgotten"). You can delete your account and all associated data in the settings at any time.

9.3 Right to Restriction of Processing (Art. 18 GDPR)

You have the right to request restriction of processing of your data if accuracy is disputed, processing is unlawful, or data is no longer needed.

9.4 Right to Data Portability (Art. 20 GDPR)

You have the right to receive the data concerning you in a structured, commonly used, and machine-readable format. You can export your research data in the dashboard at any time.

9.5 Right to Object (Art. 21 GDPR)

You have the right to object to the processing of your personal data if it is based on legitimate interests.

9.6 Right to Withdraw Consent (Art. 7 para. 3 GDPR)

If processing is based on your consent, you can withdraw it at any time. The lawfulness of processing carried out until withdrawal remains unaffected.

9.7 Right to Lodge a Complaint (Art. 77 GDPR)

You have the right to lodge a complaint with a data protection supervisory authority about the processing of your data.

10. Retention Period

We store your personal data only as long as necessary for the fulfillment of purposes or legal retention requirements exist:

Data Type	Retention Period
Account Data (username, email)	Until account deletion
Research Data (sequences, structures, jobs)	Until manual deletion or account deletion
Server Log Files	Maximum 90 days
Billing Data (for paid features)	10 years (legal retention requirement)
Email Communication	Until account deletion + 6 months

11. Automated Decision-Making and Profiling

We do not use automated decision-making in accordance with Art. 22 GDPR. AI models are used exclusively for scientific calculation of protein structures and properties, not for evaluation or profiling of individuals.

12. Data Protection for Minors

Our service is intended for persons who have reached the age of 16. Persons under 16 may only use the service with the consent of their legal guardians. We do not knowingly collect personal data from persons under 16 without appropriate consent.

13. Changes to this Privacy Policy

We reserve the right to amend this privacy policy to adapt it to changed legal situations or changes to the service. The current version can always be found on this page. We will notify you of significant changes by email.

14. Privacy Contact

If you have questions about data protection, to exercise your rights, or for complaints, you can contact us at any time:

We strive to respond to your inquiries within 30 days.

For technical platform issues, you can use the in-app Report Bug button after login. Submitted bug reports may include your issue description plus diagnostic metadata such as current URL/view, browser user agent, platform, language, viewport/screen size, timezone, and IP address to enable troubleshooting.