Privacy Policy
Last updated: October 2026 | Applicable to the FyreFly Systems website, Phonos, Alef and Gimel
Scope of this privacy policy
This privacy policy covers the website fyreflysystems.de and the three products of FyreFly Systems GbR, Bergstraße 16, 06366 Köthen (Anhalt), Germany ([email protected]), which is the controller for all of them. The part “For Phonos” applies to the Phonos web application, “For Alef” to the Alef order portal and orders placed through it, and “For Gimel” to the Gimel pages of this website. The numbered sections 1–14 sit under “For Phonos”; where they describe the website itself (Section 3.1 on data sent by your browser, “Web Hosting (Google Firebase Hosting)” in Section 3, and Section 5.4 on Google Analytics), they apply to every page of this website, including the pages on Alef and Gimel. Where a part contains its own provisions for its product, those provisions apply to that product, and the website provisions apply in addition. Your rights (Section 9) and the right to lodge a complaint apply to all parts.
For Phonos
1. Controller
FyreFly Systems GbR
Maximilian Scheinast-Peter, Janek Fabian Franz
Bergstraße 16
06366 Köthen
Germany
Email: [email protected]
Website: fyreflysystems.de
The controller within the meaning of the General Data Protection Regulation (GDPR) and other national data protection laws is FyreFly Systems GbR, represented by Maximilian Scheinast-Peter and Janek Fabian Franz.
2. General Information on Data Processing
The protection of your personal data is very important to us. This privacy policy informs you about the nature, scope, and purpose of the processing of personal data when using our Phonos web application ("Service"). We process your data exclusively on the basis of the legal provisions (GDPR, TKG).
- We process data only for specified, explicit, and legitimate purposes
- Data processing is limited to what is necessary
- Your data is stored securely and protected against unauthorized access
- You have the right to information, rectification, and erasure of your data at any time
3. Collection and Storage of Personal Data
3.1 When Visiting the Website
When you access our website, the browser on your device automatically sends information to our web server. This information is temporarily stored in a log file:
- IP address of the requesting computer
- Date and time of access
- Name and URL of the retrieved file
- Website from which the access is made (referrer URL)
- Browser and, where applicable, the operating system of your computer, as well as the name of your access provider
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in ensuring system security and stability)
Retention period: The data is deleted as soon as it is no longer required for the purpose of its collection, and no later than after 90 days.
Web Hosting (Google Firebase Hosting)
This website (fyreflysystems.de) is hosted on Firebase Hosting, a service provided by Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Ireland), part of Google LLC. When you access the site, Firebase's servers and global content delivery network (CDN) automatically process technical connection data – in particular the IP address and the log-file information listed above – in order to deliver the website's content securely, efficiently and reliably.
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in the secure and reliable provision of our website).
Google's Firebase Data Processing Terms apply to this processing. Data may be transferred to or processed on servers operated by Google; where such transfers leave the EU/EEA, they are safeguarded by the EU Standard Contractual Clauses. Further information can be found in Google's privacy policy: https://policies.google.com/privacy.
3.2 Registration and Use of the Service
Registration is required to use our Service. We collect the following personal data:
| Data Type | Purpose of Processing | Legal Basis |
|---|---|---|
| Username | Identification and authentication | Art. 6(1)(b) GDPR (contract performance) |
| Email address | Communication, two-factor authentication, password reset | Art. 6(1)(b) GDPR (contract performance) |
| Password (hashed) | Authentication and access protection | Art. 6(1)(b) GDPR (contract performance) |
| Profile picture (optional) | Personalization of the user profile | Art. 6(1)(a) GDPR (consent) |
| Organization/team membership | Project management and access control | Art. 6(1)(b) GDPR (contract performance) |
3.3 Trusted Tester Program
If you apply for the Trusted Tester Program, we process your application: what you want to test and why, your institution or company and your main use case (both optional), the status of your application, the dates of application and review, who reviewed it and any note from the review.
Purpose: deciding on your access to Phonos, running the program and moving you to regular access. We tell you about decisions by email and in-app notification.
Legal basis: Art. 6(1)(b) GDPR (steps prior to entering into a contract at your request, and contract performance). The application is stored with your account and deleted when your account is deleted.
4. Processing of Usage and Research Data
4.1 Uploaded Files and Calculations
When using the Service, we process the following data:
- Protein sequences and structural data: Scientific data uploaded or entered by you
- Calculation results: Results generated by our AI models (ESMFold, AlphaFold2, DiffDock, ProteinMPNN, Metal3D, Boltz2, Evo2)
- Job metadata: Timestamps, parameters used, calculation duration
- Project and file management: Organizational structure of your research data
Legal basis: Art. 6(1)(b) GDPR (contract performance) and Art. 6(1)(f) GDPR (legitimate interest in providing the services)
Retention period: Your research data is stored for as long as your account is active. You may delete individual files or projects at any time.
4.2 Usage Statistics and Analytics
In order to improve our Service, we collect anonymized usage statistics:
- Number of calculations per model type
- Average calculation times
- Frequency of use of certain features
- Storage usage (aggregated)
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in optimizing our Service)
4.3 Vulnerability Reports
When you report a security vulnerability through the form on our compliance page or by email, we process your email address, your name (optional), your report (product, version, description, expected impact, whether it is being exploited), whether you want to be credited, and a salted hash of your IP address that we use only to limit abuse of the form. We do not store the IP address itself.
Purpose: confirming, investigating and fixing the vulnerability, coordinating its disclosure with you and, if you wish, crediting you in the security advisory.
Legal basis: Art. 6(1)(c) GDPR in conjunction with the vulnerability-handling obligations of the EU Cyber Resilience Act (Art. 13, Art. 14 and Annex I Part II of Regulation (EU) 2024/2847), and Art. 6(1)(f) GDPR (our legitimate interest in the security of our services). Naming you in an advisory is based on your consent (Art. 6(1)(a) GDPR), which you can withdraw at any time.
The report form is processed on servers we operate ourselves; confirmation and notification emails are sent through our email provider (see section 6.2). Your name and email address are deleted 12 months after the report is closed. The technical content of the report is kept without them as part of our technical documentation for up to 10 years (Art. 13(13) Regulation (EU) 2024/2847).
5. Cookies and Tracking Technologies
5.1 Technically Necessary Cookies (First-Party Cookies)
We use technically necessary cookies to provide the Service. These cookies are essential for the functioning of the website:
| Cookie Name | Purpose | Duration |
|---|---|---|
| session | Maintaining your login session | Session (until logout) |
| csrf_token | Protection against cross-site request forgery attacks | Session |
| user_preferences | Storing your user preferences (language, theme, etc.) | 1 year |
| phonos-language | Storing your language preference | 1 year |
| analytics_consent | Storing analytics consent preference (server-side readable) | 1 year |
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in technical functionality and security) for essential cookies; Art. 6(1)(a) GDPR and § 25(1) TDDDG for the analytics_consent cookie (which stores your consent choice).
In addition to cookies, we use your browser's localStorage to store the following consent-related items:
| Key | Purpose | Duration |
|---|---|---|
| cookie-consent-v2 | Storing your cookie consent decision ("accepted" or "rejected") | Until cleared by user or browser |
| cookie-consent-date | Timestamp of your consent decision | Until cleared by user or browser |
| cookie-preferences | Granular cookie category preferences | Until cleared by user or browser |
These localStorage items are used solely for remembering your cookie preferences and are not automatically transmitted to our servers. You can clear them at any time via your browser settings or by withdrawing consent in the cookie settings panel.
5.2 Cloudflare Cookies (CDN and Security)
We use Cloudflare as a Content Delivery Network (CDN) and for security services. Cloudflare sets cookies to protect the website and optimize delivery:
| Cookie Name | Purpose | Duration |
|---|---|---|
| __cflb | Load balancing - traffic distribution | Session |
| __cf_bm | Bot management for security | 30 minutes |
| cf_clearance | Security verification (after challenge) | 1 year |
Provider: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in secure and fast website delivery)
Privacy policy: https://www.cloudflare.com/privacypolicy/
5.3 Google Cloud Platform Cookies
Our server infrastructure is hosted on Google Cloud Platform (GCP) in the European Union. Google may set technical cookies for:
- Load balancing and traffic distribution
- Session persistence
- Security monitoring
Hosting location: Google Cloud Platform, European Union
Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in reliable hosting)
Privacy policy: https://policies.google.com/privacy
5.4 Google Analytics (Consent-Based)
We use Google Analytics 4, a web analytics service provided by Google, to understand how visitors use the Service and to improve it. Google Analytics is loaded only after you give your consent via our cookie banner (Google Consent Mode is set to "denied" by default and is updated to "granted" only when you opt in). If you reject analytics cookies, Google Analytics is not activated and no analytics cookies are set.
Your consent is stored in two places: (1) in your browser's localStorage under the key cookie-consent-v2, and (2) in an HTTP cookie named analytics_consent (set with SameSite=Strict; Secure, 1 year expiry) so the server can also detect your preference. You can withdraw your consent at any time via the Cookie Settings panel in your account settings.
We have enabled IP anonymization (anonymize_ip), so your IP address is truncated by Google before any storage or further processing. Analytics cookies are set with the SameSite=Strict; Secure flags.
| Cookie Name | Purpose | Duration |
|---|---|---|
| _ga | Distinguishes unique users (Google Analytics) | up to 2 years |
| _ga_<container-id> | Persists session state (Google Analytics 4) | up to 2 years |
| _gid | Distinguishes unique users | 24 hours |
Data collected: anonymized IP address, page views, referrer, approximate location (country/region level), device, browser and operating system information, and interaction events.
Provider: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Ireland (for users in the EU/EEA), with onward processing by Google LLC, USA.
Measurement ID: G-TEGE0BDJHV
Legal basis: Art. 6(1)(a) GDPR (your consent) and § 25(1) TDDDG (storage of and access to information on your device). You may withdraw your consent at any time with effect for the future via the cookie settings.
Third-country transfer: Data may be transferred to the USA. Google LLC relies on the EU Standard Contractual Clauses and the EU–US Data Privacy Framework as the transfer mechanism.
Privacy policy: https://policies.google.com/privacy · Google Analytics data practices
We do not use Google Analytics data for advertising, ad personalization, or cross-site profiling (ad_storage, ad_user_data, and ad_personalization remain denied). We use no other third-party trackers such as Facebook Pixel.
6. Sharing Data with Third Parties
6.1 General Principle
We do not share your personal data with third parties unless:
- You have expressly consented (Art. 6(1)(a) GDPR)
- Sharing is necessary for contract performance (Art. 6(1)(b) GDPR)
- There is a legal obligation (Art. 6(1)(c) GDPR)
Where the EU Cyber Resilience Act requires it, we report actively exploited vulnerabilities and severe security incidents to the competent CSIRT and to ENISA through the ENISA Single Reporting Platform (Art. 14 Regulation (EU) 2024/2847; legal basis Art. 6(1)(c) GDPR). These reports contain technical information; personal data is included only where it cannot be avoided to describe the incident. Technical details of a vulnerability in a third-party component may be passed to its maintainer (Art. 13(6) Regulation (EU) 2024/2847) without the personal data of the person who reported it, unless they agree.
6.2 Data Processors and Third-Party Providers
We use the following data processors and third-party providers:
| Service Provider | Purpose | Location |
|---|---|---|
| Amazon Web Services (AWS) | Cloud infrastructure (compute, storage, networking) for the Phonos platform | EU/Schengen Area (Frankfurt, Ireland, Stockholm, Paris) |
| Google Cloud Platform (GCP) | Hosting of server infrastructure and databases | EU/Schengen Area |
| Nebius AI | GPU compute infrastructure for AI/ML model execution (Boltz2, Evo2, and other computational models) | EU/Schengen Area |
| Cloudflare, Inc. | Content Delivery Network (CDN), DDoS protection, SSL/TLS encryption | EU/USA (Standard Contractual Clauses) |
| IONOS SE | Email delivery (transactional emails, 2FA codes, notifications) | Germany (GDPR compliant) |
| Stripe, Inc. | Payment processing for premium subscriptions | EU/USA (Standard Contractual Clauses, GDPR compliant) |
| NVIDIA DGX Cloud / NVIDIA NIM | GPU inference for models offered in Research Preview mode. Inputs you submit to a Research Preview model (sequences, structures, ligands, parameters) are sent to NVIDIA NIM APIs for processing. | USA (Standard Contractual Clauses + EU–US Data Privacy Framework) |
| Google LLC (Gemini AI) | Optional conversational AI assistance, file analysis, and AI-powered search (activated when using @gemini mentions or search functionality) | Worldwide / USA (Standard Contractual Clauses + EU–US Data Privacy Framework) |
| Google LLC / Google Ireland Ltd. (Google Analytics) | Consent-based, IP-anonymized website analytics (only loaded after you accept analytics cookies) | EU with onward transfer to USA (Standard Contractual Clauses + EU–US Data Privacy Framework) |
Data processing agreements have been concluded with all processors in accordance with Art. 28 GDPR. For transfers to third countries outside the EU, EU Standard Contractual Clauses are used.
6.3 Special Notes on Third-Party Providers
Amazon Web Services (AWS)
Parts of the Phonos platform run on Amazon Web Services (AWS) cloud infrastructure within the European Union / Schengen Area (preferentially in the Frankfurt, Ireland, Stockholm, or Paris regions). AWS provides the underlying compute, storage, and networking resources required to operate the Service. Resources may be distributed across one or more EU/Schengen regions for resilience and performance; no data leaves the EU/Schengen Area.
Processed data: Technical data (IP addresses, access logs), application data (temporary compute data, cached assets)
Privacy policy: https://aws.amazon.com/privacy/
Data processing agreement: AWS GDPR Data Processing Addendum (https://aws.amazon.com/compliance/gdpr-center/)
Legal basis: Art. 6(1)(f) GDPR, Art. 28 GDPR
Google Cloud Platform (GCP)
Our server infrastructure runs on Google Cloud Platform within the European Union / Schengen Area. All your data is stored exclusively on servers within the EU/Schengen Area. Resources may be distributed across one or more regions for resilience and performance; no data leaves the EU/Schengen Area.
Processed data: Technical data (IP addresses, access logs), all application data (user accounts, project data, research data, database contents)
Privacy policy: https://policies.google.com/privacy
Legal basis: Art. 6(1)(f) GDPR, Art. 28 GDPR
On-Premise Infrastructure
Part of the Phonos platform runs on our own (on-premise) servers operated by FyreFly Systems GbR in Germany. These servers host application and database workloads and form part of our EU-based infrastructure together with AWS, Google Cloud Platform, and Nebius AI. On-premise infrastructure is operated under our own technical and organizational measures (see Section 8).
Nebius AI
Nebius AI provides GPU compute infrastructure within the European Union / Schengen Area that we use to run our self-hosted AI/ML worker models (e.g. Boltz2, Evo2, and other computational models that are not in Research Preview mode). Inputs and results processed on this infrastructure remain within the EU/Schengen Area.
Processed data: Protein sequences, structural data, job parameters, temporary compute data
Privacy policy: https://nebius.com/legal/privacy
Data processing agreement: Concluded in accordance with Art. 28 GDPR
Legal basis: Art. 6(1)(b) GDPR (contract performance), Art. 28 GDPR
Cloudflare (CDN and Security)
Cloudflare improves the performance and security of our website through caching, DDoS protection, and SSL encryption. IP addresses and technical information are processed.
Privacy policy: https://www.cloudflare.com/privacypolicy/
Legal basis: Art. 6(1)(f) GDPR (legitimate interest in security and performance)
Stripe (Payment Processing)
When you subscribe to a paid plan, payment information is transmitted directly to Stripe. We do NOT store complete credit card data on our servers.
Processed data: name, email address, billing address, payment method (tokenized)
Privacy policy: https://stripe.com/privacy
Legal basis: Art. 6(1)(b) GDPR (contract performance), Art. 6(1)(c) GDPR (legal obligations)
NVIDIA DGX Cloud / NVIDIA NIM (Research Preview models)
Some AI/ML models are offered in Research Preview mode. When you run such a model, the inference is performed through NVIDIA NIM APIs hosted on NVIDIA DGX Cloud. The input you submit for that model — including protein sequences, structural data, ligands, and job parameters — is transmitted to NVIDIA for processing and may be processed on servers located in the United States. Models that are not labeled "Research Preview" run on our EU/Schengen infrastructure (on-premise, AWS, Google Cloud Platform, or Nebius AI) and their inputs are not sent to NVIDIA DGX Cloud.
Because Research Preview inference involves a transfer to a third country, you should not submit confidential, proprietary, or personal data to Research Preview models that you are not comfortable sharing with NVIDIA under its terms.
Processed data: protein sequences, structural/molecular data, job parameters, and the resulting predictions
Privacy policy: https://www.nvidia.com/en-us/about-nvidia/privacy-policy/
Third-country transfer: EU Standard Contractual Clauses and the EU–US Data Privacy Framework
Legal basis: Art. 6(1)(b) GDPR (performance of the requested computation) and Art. 6(1)(f) GDPR (legitimate interest in operating the Research Preview)
Google Analytics (Web Analytics)
Consent-based, IP-anonymized website analytics. Google Analytics is loaded only after you accept analytics cookies via the cookie banner and is described in detail in Section 5.4 above.
Processed data: anonymized IP address, page views, device/browser information, interaction events
Provider: Google Ireland Limited (EU), with onward processing by Google LLC, USA
Privacy policy: https://policies.google.com/privacy
Third-country transfer: EU Standard Contractual Clauses and the EU–US Data Privacy Framework
Legal basis: Art. 6(1)(a) GDPR (consent), § 25(1) TDDDG
Google Gemini AI (Optional AI Assistance)
When you explicitly use Gemini features by @mentioning gemini in project chats or requesting file analysis, your queries and context are sent to Google's Gemini API.
Processed data: user queries, project context, file content (optional, limited to 10,000 characters)
Privacy policy: https://policies.google.com/privacy
Legal basis: Art. 6(1)(a) GDPR (consent through active usage), Art. 6(1)(b) GDPR (contract performance)
Note: This is an optional feature. You can use all core features without activating Gemini integration.
6.4 Data Location and Transfer
Your account data, project data, stored files, and the results of your scientific calculations are stored on infrastructure within the European Union / Schengen Area — namely our own on-premise servers in Germany together with AWS, Google Cloud Platform, and Nebius AI. Models that are not labeled "Research Preview" are also executed on this EU/Schengen infrastructure.
Exception 1 — Research Preview models (NVIDIA DGX Cloud / NVIDIA NIM): When you run a model that is offered in Research Preview mode, the input you submit for that computation is transmitted to NVIDIA NIM APIs on NVIDIA DGX Cloud and may be processed in the United States. The Research Preview status is indicated in the interface, and you control which models you run.
Exception 2 — Optional Gemini feature: If you choose to use the optional Gemini AI features by @mentioning gemini, the data you send in those specific queries may be processed by Google on servers worldwide, including the USA. This is clearly communicated when you use the feature, and you have full control over what data you share with Gemini.
Exception 3 — Consent-based Google Analytics: If you accept analytics cookies, anonymized analytics data may be transferred to Google in the USA (see Section 5.4).
In addition, Cloudflare and Stripe may transfer technical data (IP addresses, metadata) to the USA as part of their services. All transfers to the USA described above are based on the EU Standard Contractual Clauses and, where applicable, the EU–US Data Privacy Framework, together with additional safeguards in accordance with the GDPR.
7. Use of AI Models and Scientific Data
7.1 AI Model Execution and Location
AI/ML models are executed in one of two ways depending on the model:
- EU-hosted models: Models that are not in Research Preview mode are run on our EU/Schengen infrastructure (our own on-premise servers, AWS, Google Cloud Platform, or Nebius AI). Your input data and results for these models remain within the EU/Schengen Area.
- Research Preview models (NVIDIA DGX Cloud / NVIDIA NIM): Models offered in Research Preview mode are run through NVIDIA NIM APIs on NVIDIA DGX Cloud. The input you submit for such a model (sequences, structures, ligands, parameters) is transmitted to NVIDIA and may be processed in the United States under EU Standard Contractual Clauses and the EU–US Data Privacy Framework. See Sections 6.3 and 6.4.
Whether a given model runs in Research Preview mode is indicated in the interface, so you can decide which data to submit to which model.
7.2 Google Gemini AI Integration (Optional Feature)
The Service offers optional AI-powered features through Google Gemini AI, including conversational assistance, file analysis, and intelligent search. These features are only activated when you explicitly use them by mentioning @gemini in project chats, requesting file analysis, or using the search functionality.
Data transmitted to Google: When you use Gemini-powered features, the following data may be sent to Google's Gemini API:
- Your query text and conversation context
- Search queries and result context (when using search)
- Project names and descriptions (if mentioned in the query)
- File content (if you request file analysis, limited to the first 10,000 characters)
Data processing by Google: Google processes this data to generate AI responses. Google's data processing practices are governed by their privacy policy. Google may use API data to improve their services in accordance with their terms. We recommend reviewing Google's privacy policy at https://policies.google.com/privacy and their AI data usage policies.
Data location: Google Gemini API requests may be processed on Google's servers worldwide, including outside the European Union. Data transfers to the USA are based on Google's compliance with applicable data protection frameworks.
Legal basis: Art. 6(1)(a) GDPR (consent through active usage of the feature) and Art. 6(1)(b) GDPR (contract performance)
Your control: You have full control over this feature. Simply avoid using @gemini mentions or AI assistance features if you prefer to keep your data entirely within our infrastructure. You can use all core protein analysis features without ever triggering Gemini integration.
7.3 Confidentiality of Scientific Data
- Your protein sequences and structure data are treated confidentially and are not sold.
- We do not use your research data to train our own foundation AI models. During the Research Preview, anonymized or aggregated data may be used to evaluate and improve the Service, as described in our Terms of Service (§ 2.4).
- Inputs you submit are transmitted to the relevant inference provider to run the computation you requested — our EU-hosted infrastructure (on-premise, AWS, Google Cloud Platform, Nebius AI) for standard models, NVIDIA NIM for Research Preview models, and Google for optional Gemini features. These providers process the data under their own terms; we do not authorize them to use it to train their models where opt-out controls are available to us.
- Your research results remain your intellectual property.
- We do not share your data with competitors, other researchers, or unrelated commercial entities.
8. Data Security
We implement technical and organizational security measures to protect your data against accidental or intentional manipulation, loss, destruction, or access by unauthorized persons:
- Encryption: HTTPS/TLS for all data transmissions
- Password protection: Secure hash algorithms (bcrypt) for passwords
- Two-factor authentication (2FA): Additional protection for user accounts
- Access control: Role-based access control for projects and data
- Regular backups: Secure data backup to prevent data loss
- Firewall and monitoring: Protection against unauthorized access
- Data encryption: Encryption of sensitive data in the database
We handle vulnerabilities in a coordinated way: you can report a suspected vulnerability on our compliance page, where we also publish security advisories and the support periods of our products. Security updates for the hosted Service are provided continuously and free of charge.
9. Your Rights as a Data Subject
Under the GDPR, you have the following rights regarding your personal data:
9.1 Right of Access (Art. 15 GDPR)
You have the right to obtain information about the personal data we process. You can request an overview of your data in your account settings at any time.
9.2 Right to Rectification and Erasure (Art. 16, 17 GDPR)
You have the right to rectify inaccurate or incomplete data and to erase your data ("right to be forgotten"). You can delete your account and all associated data in the settings at any time.
9.3 Right to Restriction of Processing (Art. 18 GDPR)
You have the right to request restriction of processing of your data if accuracy is disputed, processing is unlawful, or data is no longer needed.
9.4 Right to Data Portability (Art. 20 GDPR)
You have the right to receive the data concerning you in a structured, commonly used, and machine-readable format. You can export your research data in the dashboard at any time.
9.5 Right to Object (Art. 21 GDPR)
You have the right to object to the processing of your personal data if it is based on legitimate interests.
9.6 Right to Withdraw Consent (Art. 7(3) GDPR)
If processing is based on your consent, you can withdraw it at any time. The lawfulness of processing carried out until withdrawal remains unaffected.
9.7 Right to Lodge a Complaint (Art. 77 GDPR)
Without prejudice to any other administrative or judicial remedy, you have the right to lodge a complaint with a data protection supervisory authority about the processing of your personal data. The authority competent for us is the State Commissioner for Data Protection of Saxony-Anhalt (Landesbeauftragter für den Datenschutz Sachsen-Anhalt), as FyreFly Systems GbR is based in Köthen, Saxony-Anhalt. Alternatively, you may also contact the data protection supervisory authority of your habitual residence or place of work.
10. Retention Period
We store your personal data only as long as necessary for the fulfillment of purposes or legal retention requirements exist:
| Data Type | Retention Period |
|---|---|
| Account data (username, email) | Until account deletion |
| Research data (sequences, structures, jobs) | Until manual deletion or account deletion |
| Server log files | Maximum 90 days |
| Billing data (for paid features) | 10 years (legal retention requirement) |
| Email communication | Until account deletion + 6 months |
| Trusted Tester application | Until account deletion |
| Vulnerability report: name and email | 12 months after the report is closed |
| Vulnerability report: technical content | Up to 10 years, without personal data (technical documentation under the EU Cyber Resilience Act) |
11. Automated Decision-Making and Profiling
We do not use automated decision-making in accordance with Art. 22 GDPR. AI models are used exclusively for scientific calculation of protein structures and properties, not for evaluation or profiling of individuals.
12. Data Protection for Minors
Our service is intended for persons who have reached the age of 16. Persons under 16 may only use the service with the consent of their legal guardians. We do not knowingly collect personal data from persons under 16 without appropriate consent.
13. Changes to this Privacy Policy
We reserve the right to amend this privacy policy to adapt it to changed legal situations or changes to the service. The current version can always be found on this page. We will notify you of significant changes by email.
14. Privacy Contact
If you have questions about data protection, to exercise your rights, or for complaints, you can contact us at any time:
Data Protection Contact Point:
FyreFly Systems GbR
Maximilian Scheinast-Peter, Janek Fabian Franz
Email: [email protected]
Subject: "Data Protection - Phonos"
Due to our size and structure as a GbR, we are not legally required to appoint a Data Protection Officer (Art. 37 GDPR, § 38 BDSG). The controller within the meaning of the GDPR is the provider named in Section 1 above; please direct all data protection matters to the email address above.
We strive to respond to your inquiries within 30 days.
For technical platform issues, you can use the in-app Report Bug button after login. Submitted bug reports may include your issue description plus diagnostic metadata such as current URL/view, browser user agent, platform, language, viewport/screen size, timezone, and IP address to enable troubleshooting.
For Alef
A1. Controller
- Partnership
- FyreFly Systems GbR (Maximilian Scheinast-Peter, Janek Franz Fabian)
- Address
- Bergstraße 16
06366 Köthen (Anhalt)
Deutschland - Contact
- [email protected]
FyreFly is responsible for operating the Alef order portal and processing orders placed through it. Contact the email above for privacy questions or rights requests. For the website in general, Phonos and Gimel, see the other parts of this privacy policy.
A2. Processing and legal bases
We process contact, account, billing, shipping, drawing, order, payment-status and support data to prepare and perform contracts (GDPR Art. 6(1)(b)); required accounting and tax records to meet legal duties (Art. 6(1)(c)); and limited access/security logs to operate and protect the service (Art. 6(1)(f)). Business contacts’ employment-related details are processed for our legitimate interest in conducting the business relationship (Art. 6(1)(f)).
A3. Recipients and service providers
Alpha Dichtungstechnik GmbH receives order, drawing and delivery information needed for manufacturing and, where applicable, shipping. Stripe receives necessary billing and payment information; full card details are handled on Stripe’s payment page and are not stored in Alef. The portal pages are delivered by Google Firebase Hosting as part of this website (see “Web Hosting” under “For Phonos”). The portal’s server runs on our own machine in Germany and is reached through Cloudflare, Inc. (USA), which forwards the connection including IP address and content. Emails are sent through IONOS SE, Germany. Infrastructure, email and shipping providers receive data necessary for their tasks. Optional PDF extraction through Google Gemini sends the explicitly selected drawing for analysis; DXF processing can be used without that AI feature.
A4. International processing
International providers including Google, Stripe and Cloudflare may process data outside the EEA. Where required, transfers rely on an applicable adequacy decision or appropriate safeguards under GDPR Articles 44 et seq., including standard contractual clauses. We do not promise that all data remains exclusively in Germany or the EU. Contact us for information about applicable safeguards.
A5. Local storage
Alef uses cookies, localStorage and sessionStorage for requested features such as login, basket, shapes, checkout and selected language or display settings (§ 25(2) TDDDG). Recently viewed materials are stored only with your consent (§ 25(1) TDDDG; GDPR Art. 6(1)(a) where personal data is involved). Optional history stays off until you choose. Your choice in the Alef portal does not enable analytics or advertising services; Google Analytics on the other pages of this website is described in Section 5.4 under “For Phonos”. Withdraw consent at any time via “Cookie settings” in the footer of the Alef portal; this deletes local material history. Clearing local data does not delete submitted orders or documents subject to statutory retention.
A5a. Storage inventory
FyreFly Systems GbR provides the browser storage below. It is bound to your browser and to the address at which the portal or its server is reached. Other devices or browsers have their own choice.
alpha_refresh: necessary login cookie; HttpOnly, SameSite=Lax, Secure in production, path /api/auth. Defaults to 30 days from issue or renewal (configurable on the server); deleted on logout.alpha.v5.session: localStorage for basket, shapes, sheet choices and guest order numbers; account orders and addresses are loaded from the server after sign-in and are not kept in persistent browser storage. Retained until local data is cleared. The optional recent field holds up to eight recently viewed materials and is deleted on withdrawal or when consent expires.alpha.v5.prefs,alpha.v5.plotterOnly: selected display, language and catalogue preferences; localStorage until cleared.alpha.v5.uid,alpha.v5.anon,alpha.v5.authed,alpha.v5.audit: local identifiers for shapes and guest-account transfer, login marker and local change log; localStorage until cleared or removed by the relevant feature. The change log is limited to 200 entries.alpha.v5.co,alef.checkout.attempt,alpha.pay.session,alpha.pay.invoice: sessionStorage for checkout entries and the order draft in progress (chosen shape and dimensions, an uploaded drawing and its file name, material, quantity, open order step, payment method, delivery address not yet applied; never consents), duplicate-attempt prevention and payment return (payment key plus the basket’s line ids and quantities); for the tab session. The draft is reset when an order is placed, on logout and on account switch. Browser session restore may restore these records.alef.consent.v1: necessary localStorage record of your choice, notice version, choice time and expiry; valid for 180 days. On the next access after expiry, we ask again and disable optional history. An expired record may remain until a new choice or manual deletion.
Stripe’s payment page is opened during the payment flow. Stripe’s notices additionally govern storage on that page. You can clear browser data in your browser settings; doing so may sign you out and remove local baskets and shapes.
A6. Retention
Records are retained for as long as their purpose or applicable law requires. Invoice records generally require eight years’ retention; different periods and ongoing proceedings may apply to other records. Contact details may be needed for active orders. Account deletion does not override statutory retention duties.
A6a. Security reports and authorities
If you report a vulnerability through the form on our compliance page or by email, we process your email address, your name (optional), the content of the report, whether you want to be credited, and a salted hash of your IP address to limit abuse; we do not store the IP address itself. The purpose is to investigate, fix and disclose the vulnerability in coordination with you. The legal basis is GDPR Art. 6(1)(c) in conjunction with Art. 13, 14 and Annex I Part II of Regulation (EU) 2024/2847, and Art. 6(1)(f); naming you in an advisory is based on your consent (Art. 6(1)(a)). We delete your name and email address 12 months after the report is closed and keep the technical content without them for up to 10 years as technical documentation.
Where the EU Cyber Resilience Act requires it, we report actively exploited vulnerabilities and severe security incidents to the competent CSIRT and ENISA through the ENISA Single Reporting Platform (GDPR Art. 6(1)(c)). These reports contain personal data only where it cannot be avoided to describe the incident.
A7. Your rights
Subject to applicable conditions, you have rights of access, correction, erasure, restriction and portability. You may object to processing based on legitimate interests for reasons relating to your situation and withdraw consent prospectively. You may lodge a complaint with a supervisory authority, including the Saxony-Anhalt data protection commissioner. Contact: [email protected]
For Gimel
Gimel pages on this website
The Gimel pages under fyreflysystems.de/scientific/gimel/ are static pages of this website. They have no forms and no login. When you visit them, the provisions on the website in the part “For Phonos” apply: Section 3.1 (data sent by your browser), “Web Hosting (Google Firebase Hosting)” in Section 3, and Section 5.4 (Google Analytics, loaded only after your consent in the cookie banner). On this website, your cookie choice is stored in your browser’s localStorage under the key fyrefly_cookie_consent. You can change it at any time via “Cookie settings” in the footer.
Demo requests
“Request a demo” leads to our contact page. It has no form; you write to us by email. We process your email address, your name and the content of your message, including your company and role if you give them, to answer your request and to arrange a demo.
Legal basis: Art. 6(1)(b) GDPR where you ask for steps prior to a contract with you; otherwise Art. 6(1)(f) GDPR (our legitimate interest in answering business enquiries). Recipient: our mailbox is hosted by IONOS SE, Germany, as our processor. Storage: as long as needed for your enquiry and any business relationship that follows; where the correspondence is a business letter, tax-law retention periods apply (§ 147 AO).
Your rights and automated decisions
You have the rights described in Section 9 under “For Phonos”: access, rectification, erasure, restriction, data portability, objection to processing based on legitimate interests (Art. 21 GDPR), and the right to lodge a complaint with a supervisory authority, in particular the State Commissioner for Data Protection of Saxony-Anhalt. Contact: [email protected].
Gimel used under a contract
If your company uses Gimel under a contract with us, the processing of your company’s data is governed by that contract. Where we process personal data on your company’s behalf, we conclude a data processing agreement under Art. 28 GDPR.
Datenschutzerklärung
Stand: Oktober 2026 | Gültig für die Website von FyreFly Systems sowie Phonos, Alef und Gimel
Geltungsbereich dieser Datenschutzerklärung
Diese Datenschutzerklärung gilt für die Website fyreflysystems.de und die drei Produkte der FyreFly Systems GbR, Bergstraße 16, 06366 Köthen (Anhalt) ([email protected]), die für alle Verantwortliche ist. Der Teil „Für Phonos“ gilt für die Phonos-Webanwendung, „Für Alef“ für das Alef-Bestellportal und die darüber aufgegebenen Bestellungen und „Für Gimel“ für die Gimel-Seiten dieser Website. Die nummerierten Abschnitte 1–14 stehen unter „Für Phonos“; soweit sie die Website selbst beschreiben (Abschnitt 3.1 zu den vom Browser übermittelten Daten, „Webhosting (Google Firebase Hosting)“ in Abschnitt 3 und Abschnitt 5.4 zu Google Analytics), gelten sie für alle Seiten dieser Website, auch für die Seiten zu Alef und Gimel. Enthält ein Teil eigene Bestimmungen für sein Produkt, gelten diese für das jeweilige Produkt; die Bestimmungen zur Website gelten ergänzend. Ihre Rechte (Abschnitt 9) und das Beschwerderecht gelten für alle Teile.
Für Phonos
1. Verantwortlicher
FyreFly Systems GbR
Maximilian Scheinast-Peter, Janek Fabian Franz
Bergstraße 16
06366 Köthen
Deutschland
E-Mail: [email protected]
Website: fyreflysystems.de
Der Verantwortliche im Sinne der Datenschutz-Grundverordnung (DSGVO) und anderer nationaler Datenschutzgesetze ist FyreFly Systems GbR, vertreten durch Maximilian Scheinast-Peter und Janek Fabian Franz.
2. Allgemeine Informationen zur Datenverarbeitung
Der Schutz Ihrer personenbezogenen Daten ist uns sehr wichtig. Diese Datenschutzerklärung informiert Sie über die Art, den Umfang und den Zweck der Verarbeitung personenbezogener Daten bei der Nutzung unserer Phonos Webanwendung ("Dienst"). Wir verarbeiten Ihre Daten ausschließlich auf Grundlage der gesetzlichen Bestimmungen (DSGVO, TKG).
- Wir verarbeiten Daten nur für festgelegte, explizite und legitime Zwecke
- Die Datenverarbeitung ist auf das Notwendige beschränkt
- Ihre Daten werden sicher gespeichert und vor unbefugtem Zugriff geschützt
- Sie haben das Recht auf Auskunft, Berichtigung und Löschung Ihrer Daten jederzeit
3. Erhebung und Speicherung personenbezogener Daten
3.1 Beim Besuch der Website
Beim Aufruf unserer Website sendet der Browser Ihres Gerätes automatisch Informationen an unseren Webserver. Diese Informationen werden temporär in einer Logfile gespeichert:
- IP-Adresse des anfordernden Computers
- Datum und Uhrzeit des Zugriffs
- Name und URL der abgerufenen Datei
- Website, von der aus der Zugriff erfolgt (Referrer-URL)
- Browser und ggf. das Betriebssystem Ihres Computers sowie der Name Ihres Access-Providers
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherstellung der Systemsicherheit und -stabilität)
Speicherdauer: Die Daten werden gelöscht, sobald sie für den Zweck ihrer Erhebung nicht mehr erforderlich sind, spätestens nach 90 Tagen.
Webhosting (Google Firebase Hosting)
Diese Website (fyreflysystems.de) wird bei Firebase Hosting gehostet, einem Dienst der Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irland), einem Tochterunternehmen der Google LLC. Beim Aufruf der Website verarbeiten die Server und das globale Content-Delivery-Netzwerk (CDN) von Firebase automatisch technische Verbindungsdaten – insbesondere die IP-Adresse und die oben genannten Logfile-Informationen –, um die Inhalte der Website sicher, effizient und zuverlässig auszuliefern.
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der sicheren und zuverlässigen Bereitstellung unserer Website).
Für diese Verarbeitung gelten die Firebase-Bestimmungen zur Auftragsverarbeitung von Google. Daten können auf Servern von Google verarbeitet oder übertragen werden; soweit dabei Daten den EU-/EWR-Raum verlassen, ist dies durch die EU-Standardvertragsklauseln abgesichert. Weitere Informationen finden Sie in der Datenschutzerklärung von Google: https://policies.google.com/privacy.
3.2 Registrierung und Nutzung des Dienstes
Für die Nutzung unseres Dienstes ist eine Registrierung erforderlich. Wir erheben folgende personenbezogene Daten:
| Datenart | Verarbeitungszweck | Rechtsgrundlage |
|---|---|---|
| Benutzername | Identifikation und Authentifizierung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| E-Mail-Adresse | Kommunikation, Zwei-Faktor-Authentifizierung, Passwort-Zurücksetzung | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Passwort (gehashct) | Authentifizierung und Zugriffsschutz | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
| Profilbild (optional) | Personalisierung des Benutzerprofils | Art. 6 Abs. 1 lit. a DSGVO (Einwilligung) |
| Organisations-/Teammitgliedschaft | Projektverwaltung und Zugriffskontrolle | Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) |
3.3 Trusted-Tester-Programm
Wenn Sie sich für das Trusted-Tester-Programm bewerben, verarbeiten wir Ihre Bewerbung: was Sie testen möchten und warum, Ihre Einrichtung oder Ihr Unternehmen und Ihre Hauptanwendung (beides freiwillig), den Stand Ihrer Bewerbung, die Zeitpunkte von Bewerbung und Prüfung, wer sie geprüft hat und eine etwaige Anmerkung aus der Prüfung.
Zweck: Entscheidung über Ihren Zugang zu Phonos, Durchführung des Programms und Überführung in den regulären Zugang. Über Entscheidungen informieren wir Sie per E-Mail und Benachrichtigung im Dienst.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (vorvertragliche Maßnahmen auf Ihre Anfrage und Vertragserfüllung). Die Bewerbung wird mit Ihrem Konto gespeichert und mit der Löschung Ihres Kontos gelöscht.
4. Verarbeitung von Nutzungs- und Forschungsdaten
4.1 Hochgeladene Dateien und Berechnungen
Bei der Nutzung des Dienstes verarbeiten wir folgende Daten:
- Proteinsequenzen und Strukturdaten: Wissenschaftliche Daten, die von Ihnen hochgeladen oder eingegeben werden
- Berechnungsergebnisse: Von unseren KI-Modellen generierte Ergebnisse (ESMFold, AlphaFold2, DiffDock, ProteinMPNN, Metal3D, Boltz2, Evo2)
- Job-Metadaten: Zeitstempel, verwendete Parameter, Berechnungsdauer
- Projekt- und Dateiverwaltung: Organisationsstruktur Ihrer Forschungsdaten
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Erbringung der Dienste)
Speicherdauer: Ihre Forschungsdaten werden gespeichert, solange Ihr Konto aktiv ist. Sie können einzelne Dateien oder Projekte jederzeit löschen.
4.2 Nutzungsstatistiken und Analysen
Um unseren Dienst zu verbessern, erheben wir anonymisierte Nutzungsstatistiken:
- Anzahl der Berechnungen pro Modelltyp
- Durchschnittliche Berechnungszeiten
- Nutzungshäufigkeit bestimmter Funktionen
- Speicherplatznutzung (aggregiert)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Optimierung unseres Dienstes)
4.3 Meldungen von Schwachstellen
Wenn Sie uns über das Formular auf unserer Compliance-Seite oder per E-Mail eine Sicherheitslücke melden, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (freiwillig), Ihre Meldung (Produkt, Version, Beschreibung, erwartete Auswirkung, ob sie aktiv ausgenutzt wird), ob Sie namentlich genannt werden möchten, sowie einen gesalzenen Hashwert Ihrer IP-Adresse, den wir nur zur Begrenzung von Missbrauch des Formulars verwenden. Die IP-Adresse selbst speichern wir nicht.
Zweck: Bestätigung, Prüfung und Behebung der Schwachstelle, mit Ihnen abgestimmte Veröffentlichung und, wenn Sie es wünschen, Ihre Nennung im Sicherheitshinweis.
Rechtsgrundlage: Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit den Pflichten zur Behandlung von Schwachstellen nach dem EU Cyber Resilience Act (Art. 13, Art. 14 und Anhang I Teil II der Verordnung (EU) 2024/2847) sowie Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Sicherheit unserer Dienste). Ihre Nennung in einem Sicherheitshinweis beruht auf Ihrer Einwilligung (Art. 6 Abs. 1 lit. a DSGVO), die Sie jederzeit widerrufen können.
Das Meldeformular wird auf Servern verarbeitet, die wir selbst betreiben; Bestätigungen und Benachrichtigungen versenden wir über unseren E-Mail-Anbieter (siehe Abschnitt 6.2). Ihr Name und Ihre E-Mail-Adresse werden 12 Monate nach Abschluss der Meldung gelöscht. Den technischen Inhalt der Meldung bewahren wir ohne diese Angaben als Teil unserer technischen Dokumentation bis zu 10 Jahre auf (Art. 13 Abs. 13 Verordnung (EU) 2024/2847).
5. Cookies und Tracking-Technologien
5.1 Technisch notwendige Cookies (Eigene Cookies)
Wir verwenden technisch notwendige Cookies, um den Dienst bereitzustellen. Diese Cookies sind für das Funktionieren der Website wesentlich:
| Cookie-Name | Zweck | Dauer |
|---|---|---|
| session | Aufrechterhaltung Ihrer Anmeldung | Sitzung (bis Abmeldung) |
| csrf_token | Schutz vor Cross-Site-Request-Forgery-Angriffen | Sitzung |
| user_preferences | Speicherung Ihrer Benutzereinstellungen (Sprache, Theme, etc.) | 1 Jahr |
| phonos-language | Speicherung Ihrer Spracheinstellung | 1 Jahr |
| analytics_consent | Speicherung Ihrer Analytics-Einwilligung (serverseitig lesbar) | 1 Jahr |
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an technischer Funktionalität und Sicherheit) für notwendige Cookies; Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG für das analytics_consent-Cookie (das Ihre Einwilligungsentscheidung speichert).
Zusätzlich zu Cookies verwenden wir den localStorage Ihres Browsers, um die folgenden einwilligungsbezogenen Einträge zu speichern:
| Schlüssel | Zweck | Dauer |
|---|---|---|
| cookie-consent-v2 | Speicherung Ihrer Cookie-Einwilligung ("accepted" oder "rejected") | Bis zur Löschung durch den Nutzer oder Browser |
| cookie-consent-date | Zeitstempel Ihrer Einwilligungsentscheidung | Bis zur Löschung durch den Nutzer oder Browser |
| cookie-preferences | Detaillierte Cookie-Kategorie-Präferenzen | Bis zur Löschung durch den Nutzer oder Browser |
Diese localStorage-Einträge dienen ausschließlich der Speicherung Ihrer Cookie-Einstellungen und werden nicht automatisch an unsere Server übermittelt. Sie können sie jederzeit über die Browser-Einstellungen oder durch Widerruf der Einwilligung im Cookie-Einstellungen-Panel löschen.
5.2 Cloudflare Cookies (CDN und Sicherheit)
Wir verwenden Cloudflare als Content Delivery Network (CDN) und für Sicherheitsdienste. Cloudflare setzt Cookies, um die Website zu schützen und die Bereitstellung zu optimieren:
| Cookie-Name | Zweck | Dauer |
|---|---|---|
| __cflb | Load Balancing - Verkehrsverteilung | Sitzung |
| __cf_bm | Bot-Management für Sicherheit | 30 Minuten |
| cf_clearance | Sicherheitsüberprüfung (nach Challenge) | 1 Jahr |
Anbieter: Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an sicherer und schneller Website-Bereitstellung)
Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/
5.3 Google Cloud Platform Cookies
Unsere Serverinfrastruktur wird auf Google Cloud Platform (GCP) in der Europäischen Union gehostet. Google kann technische Cookies setzen für:
- Load Balancing und Verkehrsverteilung
- Sitzungspersistenz
- Sicherheitsüberwachung
Hosting-Standort: Google Cloud Platform, Europäische Union
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an zuverlässigem Hosting)
Datenschutzerklärung: https://policies.google.com/privacy
5.4 Google Analytics (einwilligungsbasiert)
Wir verwenden Google Analytics 4, einen Webanalysedienst von Google, um zu verstehen, wie Besucher den Dienst nutzen, und um ihn zu verbessern. Google Analytics wird erst nach Ihrer Einwilligung über unser Cookie-Banner geladen (der Google Consent Mode steht standardmäßig auf „denied" und wird nur bei Ihrer Zustimmung auf „granted" gesetzt). Wenn Sie Analyse-Cookies ablehnen, wird Google Analytics nicht aktiviert und es werden keine Analyse-Cookies gesetzt.
Ihre Einwilligung wird an zwei Stellen gespeichert: (1) im localStorage Ihres Browsers unter dem Schlüssel cookie-consent-v2 und (2) in einem HTTP-Cookie namens analytics_consent (gesetzt mit SameSite=Strict; Secure, Gültigkeit 1 Jahr), damit der Server ebenfalls Ihre Präferenz erkennen kann. Sie können Ihre Einwilligung jederzeit über das Cookie-Einstellungen-Panel in Ihren Kontoeinstellungen widerrufen.
Wir haben die IP-Anonymisierung (anonymize_ip) aktiviert, sodass Ihre IP-Adresse von Google vor jeglicher Speicherung oder Weiterverarbeitung gekürzt wird. Analyse-Cookies werden mit den Flags SameSite=Strict; Secure gesetzt.
| Cookie-Name | Zweck | Dauer |
|---|---|---|
| _ga | Unterscheidung einzelner Nutzer (Google Analytics) | bis zu 2 Jahre |
| _ga_<Container-ID> | Speicherung des Sitzungsstatus (Google Analytics 4) | bis zu 2 Jahre |
| _gid | Unterscheidung einzelner Nutzer | 24 Stunden |
Erhobene Daten: anonymisierte IP-Adresse, Seitenaufrufe, Referrer, ungefährer Standort (Land/Region), Geräte-, Browser- und Betriebssysteminformationen sowie Interaktionsereignisse.
Anbieter: Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland (für Nutzer in der EU/im EWR), mit Weiterverarbeitung durch Google LLC, USA.
Mess-ID: G-TEGE0BDJHV
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Ihre Einwilligung) und § 25 Abs. 1 TDDDG (Speicherung und Zugriff auf Informationen auf Ihrem Endgerät). Sie können Ihre Einwilligung jederzeit mit Wirkung für die Zukunft über die Cookie-Einstellungen widerrufen.
Drittlandübermittlung: Daten können in die USA übermittelt werden. Google LLC stützt sich dabei auf die EU-Standardvertragsklauseln und das EU-US Data Privacy Framework.
Datenschutzerklärung: https://policies.google.com/privacy · Datenpraktiken von Google Analytics
Wir verwenden Google-Analytics-Daten nicht für Werbung, Anzeigenpersonalisierung oder seitenübergreifendes Profiling (ad_storage, ad_user_data und ad_personalization bleiben deaktiviert). Wir setzen keine weiteren Drittanbieter-Tracker wie das Facebook Pixel ein.
6. Weitergabe von Daten an Dritte
6.1 Allgemeiner Grundsatz
Wir geben Ihre personenbezogenen Daten nicht an Dritte weiter, es sei denn:
- Sie haben ausdrücklich eingewilligt (Art. 6 Abs. 1 lit. a DSGVO)
- Die Weitergabe ist zur Vertragserfüllung erforderlich (Art. 6 Abs. 1 lit. b DSGVO)
- Es besteht eine rechtliche Verpflichtung (Art. 6 Abs. 1 lit. c DSGVO)
Soweit der EU Cyber Resilience Act es verlangt, melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Single Reporting Platform der ENISA an das zuständige CSIRT und an die ENISA (Art. 14 Verordnung (EU) 2024/2847; Rechtsgrundlage Art. 6 Abs. 1 lit. c DSGVO). Diese Meldungen enthalten technische Angaben; personenbezogene Daten nur, soweit sie zur Beschreibung des Vorfalls unvermeidbar sind. Technische Einzelheiten zu einer Schwachstelle in der Komponente eines Dritten können wir an dessen Betreuer weitergeben (Art. 13 Abs. 6 Verordnung (EU) 2024/2847), ohne personenbezogene Daten der meldenden Person, es sei denn, sie stimmt zu.
6.2 Auftragsverarbeiter und Drittanbieter
Wir nutzen die folgenden Auftragsverarbeiter und Drittanbieter:
| Dienstleister | Zweck | Standort |
|---|---|---|
| Amazon Web Services (AWS) | Cloud-Infrastruktur (Compute, Storage, Networking) für die Phonos-Plattform | EU/Schengen-Raum (Frankfurt, Irland, Stockholm, Paris) |
| Google Cloud Platform (GCP) | Hosting der Serverinfrastruktur und Datenbanken | EU/Schengen-Raum |
| Nebius AI | GPU-Compute-Infrastruktur für die Ausführung von KI/ML-Modellen (Boltz2, Evo2 und weitere Rechenmodelle) | EU/Schengen-Raum |
| Cloudflare, Inc. | Content Delivery Network (CDN), DDoS-Schutz, SSL/TLS-Verschlüsselung | EU/USA (Standardvertragsklauseln) |
| IONOS SE | E-Mail-Versand (Transaktions-E-Mails, 2FA-Codes, Benachrichtigungen) | Deutschland (DSGVO-konform) |
| Stripe, Inc. | Zahlungsabwicklung für Premium-Abonnements | EU/USA (Standardvertragsklauseln, DSGVO-konform) |
| NVIDIA DGX Cloud / NVIDIA NIM | GPU-Inferenz für Modelle im Research-Preview-Modus. Die von Ihnen an ein Research-Preview-Modell übermittelten Eingaben (Sequenzen, Strukturen, Liganden, Parameter) werden zur Verarbeitung an NVIDIA-NIM-APIs gesendet. | USA (Standardvertragsklauseln + EU-US Data Privacy Framework) |
| Google LLC (Gemini AI) | Optionale konversationelle KI-Unterstützung, Dateianalyse und KI-gestützte Suche (aktiviert bei Nutzung von @gemini-Erwähnungen oder der Suchfunktion) | Weltweit / USA (Standardvertragsklauseln + EU-US Data Privacy Framework) |
| Google LLC / Google Ireland Ltd. (Google Analytics) | Einwilligungsbasierte, IP-anonymisierte Webanalyse (wird erst nach Annahme der Analyse-Cookies geladen) | EU mit Weiterübermittlung in die USA (Standardvertragsklauseln + EU-US Data Privacy Framework) |
Mit allen Auftragsverarbeitern wurden Auftragsverarbeitungsverträge gemäß Art. 28 DSGVO geschlossen. Für Übermittlungen in Drittländer außerhalb der EU werden die EU-Standardvertragsklauseln verwendet.
6.3 Besondere Hinweise zu Drittanbietern
Amazon Web Services (AWS)
Teile der Phonos-Plattform laufen auf der Amazon Web Services (AWS) Cloud-Infrastruktur innerhalb der Europäischen Union / des Schengen-Raums (bevorzugt in den Regionen Frankfurt, Irland, Stockholm oder Paris). AWS stellt die zugrundeliegenden Compute-, Storage- und Networking-Ressourcen für den Betrieb des Dienstes bereit. Die Ressourcen können auf eine oder mehrere EU/Schengen-Regionen verteilt sein, um Ausfallsicherheit und Leistung zu gewährleisten; eine Datenübermittlung außerhalb des EU/Schengen-Raums findet nicht statt.
Verarbeitete Daten: Technische Daten (IP-Adressen, Zugriffslogs), Anwendungsdaten (temporäre Rechendaten, gecachte Assets)
Datenschutzerklärung: https://aws.amazon.com/privacy/
Auftragsverarbeitungsvertrag: AWS GDPR Data Processing Addendum (https://aws.amazon.com/compliance/gdpr-center/)
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 28 DSGVO
Google Cloud Platform (GCP)
Unsere Serverinfrastruktur läuft auf der Google Cloud Platform innerhalb der Europäischen Union / des Schengen-Raums. Alle Ihre Daten werden ausschließlich auf Servern innerhalb des EU/Schengen-Raums gespeichert. Die Ressourcen können auf eine oder mehrere Regionen verteilt sein, um Ausfallsicherheit und Leistung zu gewährleisten; eine Datenübermittlung außerhalb des EU/Schengen-Raums findet nicht statt.
Verarbeitete Daten: Technische Daten (IP-Adressen, Zugriffslogs), sämtliche Anwendungsdaten (Benutzerkonten, Projektdaten, Forschungsdaten, Datenbankinhalte)
Datenschutzerklärung: https://policies.google.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO, Art. 28 DSGVO
On-Premise-Infrastruktur
Ein Teil der Phonos-Plattform läuft auf unseren eigenen (On-Premise-)Servern, die von der FyreFly Systems GbR in Deutschland betrieben werden. Diese Server hosten Anwendungs- und Datenbank-Workloads und bilden zusammen mit AWS, Google Cloud Platform und Nebius AI Teil unserer EU-basierten Infrastruktur. Die On-Premise-Infrastruktur wird unter unseren eigenen technischen und organisatorischen Maßnahmen betrieben (siehe Abschnitt 8).
Nebius AI
Nebius AI stellt GPU-Compute-Infrastruktur innerhalb der Europäischen Union / des Schengen-Raums bereit, die wir für den Betrieb unserer selbst gehosteten KI/ML-Worker-Modelle nutzen (z. B. Boltz2, Evo2 und andere Rechenmodelle, die sich nicht im Research-Preview-Modus befinden). Auf dieser Infrastruktur verarbeitete Eingaben und Ergebnisse verbleiben innerhalb des EU/Schengen-Raums.
Verarbeitete Daten: Proteinsequenzen, Strukturdaten, Job-Parameter, temporäre Rechendaten
Datenschutzerklärung: https://nebius.com/legal/privacy
Auftragsverarbeitungsvertrag: Geschlossen gemäß Art. 28 DSGVO
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 28 DSGVO
Cloudflare (CDN und Sicherheit)
Cloudflare verbessert die Leistung und Sicherheit unserer Website durch Caching, DDoS-Schutz und SSL-Verschlüsselung. Dabei werden IP-Adressen und technische Informationen verarbeitet.
Datenschutzerklärung: https://www.cloudflare.com/privacypolicy/
Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an Sicherheit und Leistung)
Stripe (Zahlungsabwicklung)
Wenn Sie ein kostenpflichtiges Abonnement abschließen, werden die Zahlungsinformationen direkt an Stripe übermittelt. Wir speichern KEINE vollständigen Kreditkartendaten auf unseren Servern.
Verarbeitete Daten: Name, E-Mail-Adresse, Rechnungsadresse, Zahlungsmethode (tokenisiert)
Datenschutzerklärung: https://stripe.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung), Art. 6 Abs. 1 lit. c DSGVO (rechtliche Verpflichtungen)
NVIDIA DGX Cloud / NVIDIA NIM (Research-Preview-Modelle)
Einige KI/ML-Modelle werden im Research-Preview-Modus angeboten. Wenn Sie ein solches Modell ausführen, erfolgt die Inferenz über NVIDIA-NIM-APIs auf der NVIDIA DGX Cloud. Die von Ihnen für dieses Modell übermittelten Eingaben — einschließlich Proteinsequenzen, Strukturdaten, Liganden und Job-Parameter — werden zur Verarbeitung an NVIDIA übermittelt und können auf Servern in den USA verarbeitet werden. Modelle, die nicht als „Research Preview" gekennzeichnet sind, laufen auf unserer EU/Schengen-Infrastruktur (On-Premise, AWS, Google Cloud Platform oder Nebius AI); ihre Eingaben werden nicht an die NVIDIA DGX Cloud gesendet.
Da die Research-Preview-Inferenz eine Übermittlung in ein Drittland beinhaltet, sollten Sie keine vertraulichen, geschützten oder personenbezogenen Daten an Research-Preview-Modelle übermitteln, deren Weitergabe an NVIDIA gemäß dessen Bedingungen Sie nicht wünschen.
Verarbeitete Daten: Proteinsequenzen, Struktur-/Moleküldaten, Job-Parameter und die resultierenden Vorhersagen
Datenschutzerklärung: https://www.nvidia.com/en-us/about-nvidia/privacy-policy/
Drittlandübermittlung: EU-Standardvertragsklauseln und EU-US Data Privacy Framework
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO (Durchführung der angeforderten Berechnung) und Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse am Betrieb der Research Preview)
Google Analytics (Webanalyse)
Einwilligungsbasierte, IP-anonymisierte Webanalyse. Google Analytics wird erst geladen, nachdem Sie über das Cookie-Banner Analyse-Cookies akzeptiert haben, und ist oben in Abschnitt 5.4 ausführlich beschrieben.
Verarbeitete Daten: anonymisierte IP-Adresse, Seitenaufrufe, Geräte-/Browserinformationen, Interaktionsereignisse
Anbieter: Google Ireland Limited (EU), mit Weiterverarbeitung durch Google LLC, USA
Datenschutzerklärung: https://policies.google.com/privacy
Drittlandübermittlung: EU-Standardvertragsklauseln und EU-US Data Privacy Framework
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung), § 25 Abs. 1 TDDDG
Google Gemini AI (optionale KI-Unterstützung)
Wenn Sie Gemini-Funktionen ausdrücklich nutzen, indem Sie in Projekt-Chats @gemini erwähnen oder eine Dateianalyse anfordern, werden Ihre Anfragen und der Kontext an die Gemini-API von Google gesendet.
Verarbeitete Daten: Nutzeranfragen, Projektkontext, Dateiinhalte (optional, begrenzt auf 10.000 Zeichen)
Datenschutzerklärung: https://policies.google.com/privacy
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung), Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Hinweis: Dies ist eine optionale Funktion. Sie können alle Kernfunktionen nutzen, ohne die Gemini-Integration zu aktivieren.
6.4 Datenstandort und Übermittlung
Ihre Kontodaten, Projektdaten, gespeicherten Dateien und die Ergebnisse Ihrer wissenschaftlichen Berechnungen werden auf Infrastruktur innerhalb der Europäischen Union / des Schengen-Raums gespeichert — nämlich auf unseren eigenen On-Premise-Servern in Deutschland sowie bei AWS, Google Cloud Platform und Nebius AI. Modelle, die nicht als „Research Preview" gekennzeichnet sind, werden ebenfalls auf dieser EU/Schengen-Infrastruktur ausgeführt.
Ausnahme 1 — Research-Preview-Modelle (NVIDIA DGX Cloud / NVIDIA NIM): Wenn Sie ein im Research-Preview-Modus angebotenes Modell ausführen, werden die von Ihnen für diese Berechnung übermittelten Eingaben an NVIDIA-NIM-APIs auf der NVIDIA DGX Cloud gesendet und können in den USA verarbeitet werden. Der Research-Preview-Status wird in der Oberfläche angezeigt, und Sie entscheiden, welche Modelle Sie ausführen.
Ausnahme 2 — Optionale Gemini-Funktion: Wenn Sie die optionalen Gemini-KI-Funktionen durch @-Erwähnung von gemini nutzen, können die in diesen konkreten Anfragen gesendeten Daten von Google auf Servern weltweit, einschließlich der USA, verarbeitet werden. Dies wird bei der Nutzung der Funktion deutlich kommuniziert, und Sie haben die volle Kontrolle darüber, welche Daten Sie mit Gemini teilen.
Ausnahme 3 — Einwilligungsbasiertes Google Analytics: Wenn Sie Analyse-Cookies akzeptieren, können anonymisierte Analysedaten an Google in den USA übermittelt werden (siehe Abschnitt 5.4).
Darüber hinaus können Cloudflare und Stripe im Rahmen ihrer Dienste technische Daten (IP-Adressen, Metadaten) in die USA übermitteln. Alle vorstehend beschriebenen Übermittlungen in die USA erfolgen auf Grundlage der EU-Standardvertragsklauseln und, soweit anwendbar, des EU-US Data Privacy Framework sowie zusätzlicher Schutzmaßnahmen gemäß der DSGVO.
7. Nutzung von KI-Modellen und wissenschaftlichen Daten
7.1 Ausführung und Standort der KI-Modelle
KI/ML-Modelle werden je nach Modell auf eine von zwei Arten ausgeführt:
- In der EU gehostete Modelle: Modelle, die sich nicht im Research-Preview-Modus befinden, werden auf unserer EU/Schengen-Infrastruktur ausgeführt (unsere eigenen On-Premise-Server, AWS, Google Cloud Platform oder Nebius AI). Ihre Eingabedaten und Ergebnisse für diese Modelle verbleiben innerhalb des EU/Schengen-Raums.
- Research-Preview-Modelle (NVIDIA DGX Cloud / NVIDIA NIM): Im Research-Preview-Modus angebotene Modelle werden über NVIDIA-NIM-APIs auf der NVIDIA DGX Cloud ausgeführt. Die von Ihnen für ein solches Modell übermittelten Eingaben (Sequenzen, Strukturen, Liganden, Parameter) werden an NVIDIA übermittelt und können in den USA verarbeitet werden — auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework. Siehe Abschnitte 6.3 und 6.4.
Ob ein bestimmtes Modell im Research-Preview-Modus läuft, wird in der Oberfläche angezeigt, sodass Sie entscheiden können, welche Daten Sie an welches Modell übermitteln.
7.2 Integration von Google Gemini AI (optionale Funktion)
Der Dienst bietet optionale KI-gestützte Funktionen über Google Gemini AI, darunter konversationelle Unterstützung, Dateianalyse und intelligente Suche. Diese Funktionen werden nur aktiviert, wenn Sie sie ausdrücklich nutzen, indem Sie in Projekt-Chats @gemini erwähnen, eine Dateianalyse anfordern oder die Suchfunktion verwenden.
An Google übermittelte Daten: Wenn Sie Gemini-gestützte Funktionen nutzen, können die folgenden Daten an die Gemini-API von Google gesendet werden:
- Ihr Anfragetext und der Gesprächskontext
- Suchanfragen und Ergebniskontext (bei Nutzung der Suche)
- Projektnamen und -beschreibungen (sofern in der Anfrage erwähnt)
- Dateiinhalte (wenn Sie eine Dateianalyse anfordern, begrenzt auf die ersten 10.000 Zeichen)
Datenverarbeitung durch Google: Google verarbeitet diese Daten, um KI-Antworten zu generieren. Die Datenverarbeitungspraktiken von Google richten sich nach dessen Datenschutzerklärung. Google kann API-Daten gemäß seinen Bedingungen zur Verbesserung seiner Dienste verwenden. Wir empfehlen, die Datenschutzerklärung von Google unter https://policies.google.com/privacy sowie dessen Richtlinien zur KI-Datennutzung zu lesen.
Datenstandort: Anfragen an die Google-Gemini-API können auf Servern von Google weltweit verarbeitet werden, auch außerhalb der Europäischen Union. Datenübermittlungen in die USA stützen sich auf die Einhaltung der geltenden Datenschutzrahmen durch Google.
Rechtsgrundlage: Art. 6 Abs. 1 lit. a DSGVO (Einwilligung durch aktive Nutzung der Funktion) und Art. 6 Abs. 1 lit. b DSGVO (Vertragserfüllung)
Ihre Kontrolle: Sie haben die volle Kontrolle über diese Funktion. Verzichten Sie einfach auf @gemini-Erwähnungen oder KI-Unterstützungsfunktionen, wenn Sie Ihre Daten vollständig innerhalb unserer Infrastruktur halten möchten. Sie können alle Kern-Proteinanalysefunktionen nutzen, ohne jemals die Gemini-Integration auszulösen.
7.3 Vertraulichkeit wissenschaftlicher Daten
- Ihre Proteinsequenzen und Strukturdaten werden vertraulich behandelt und nicht verkauft.
- Wir verwenden Ihre Forschungsdaten nicht zum Training unserer eigenen KI-Basismodelle. Während der Research Preview können anonymisierte oder aggregierte Daten zur Bewertung und Verbesserung des Dienstes verwendet werden, wie in unseren Nutzungsbedingungen (§ 2.4) beschrieben.
- Die von Ihnen übermittelten Eingaben werden an den jeweiligen Inferenz-Anbieter weitergegeben, um die von Ihnen angeforderte Berechnung durchzuführen — an unsere EU-gehostete Infrastruktur (On-Premise, AWS, Google Cloud Platform, Nebius AI) für Standardmodelle, an NVIDIA NIM für Research-Preview-Modelle und an Google für optionale Gemini-Funktionen. Diese Anbieter verarbeiten die Daten nach ihren eigenen Bedingungen; wir gestatten ihnen nicht, die Daten zum Training ihrer Modelle zu verwenden, soweit uns entsprechende Opt-out-Kontrollen zur Verfügung stehen.
- Ihre Forschungsergebnisse bleiben Ihr geistiges Eigentum.
- Wir geben Ihre Daten nicht an Wettbewerber, andere Forschende oder fremde kommerzielle Einrichtungen weiter.
8. Datensicherheit
Wir setzen technische und organisatorische Sicherheitsmaßnahmen ein, um Ihre Daten gegen zufällige oder vorsätzliche Manipulation, Verlust, Zerstörung oder den Zugriff unbefugter Personen zu schützen:
- Verschlüsselung: HTTPS/TLS für alle Datenübertragungen
- Passwortschutz: Sichere Hash-Algorithmen (bcrypt) für Passwörter
- Zwei-Faktor-Authentifizierung (2FA): Zusätzlicher Schutz für Benutzerkonten
- Zugriffskontrolle: Rollenbasierte Zugriffskontrolle für Projekte und Daten
- Regelmäßige Backups: Sichere Datensicherung zur Vermeidung von Datenverlust
- Firewall und Monitoring: Schutz vor unbefugtem Zugriff
- Datenverschlüsselung: Verschlüsselung sensibler Daten in der Datenbank
Mit Schwachstellen gehen wir koordiniert um: Eine vermutete Schwachstelle können Sie auf unserer Compliance-Seite melden; dort veröffentlichen wir auch Sicherheitshinweise und die Supportzeiträume unserer Produkte. Sicherheitsupdates für den gehosteten Dienst stellen wir laufend und kostenlos bereit.
9. Ihre Rechte als betroffene Person
Nach der DSGVO haben Sie in Bezug auf Ihre personenbezogenen Daten die folgenden Rechte:
9.1 Auskunftsrecht (Art. 15 DSGVO)
Sie haben das Recht, Auskunft über die von uns verarbeiteten personenbezogenen Daten zu erhalten. Eine Übersicht Ihrer Daten können Sie jederzeit in Ihren Kontoeinstellungen anfordern.
9.2 Recht auf Berichtigung und Löschung (Art. 16, 17 DSGVO)
Sie haben das Recht, unrichtige oder unvollständige Daten berichtigen zu lassen und Ihre Daten löschen zu lassen („Recht auf Vergessenwerden"). Sie können Ihr Konto und alle zugehörigen Daten jederzeit in den Einstellungen löschen.
9.3 Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
Sie haben das Recht, die Einschränkung der Verarbeitung Ihrer Daten zu verlangen, wenn die Richtigkeit bestritten wird, die Verarbeitung unrechtmäßig ist oder die Daten nicht mehr benötigt werden.
9.4 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)
Sie haben das Recht, die Sie betreffenden Daten in einem strukturierten, gängigen und maschinenlesbaren Format zu erhalten. Sie können Ihre Forschungsdaten jederzeit im Dashboard exportieren.
9.5 Widerspruchsrecht (Art. 21 DSGVO)
Sie haben das Recht, der Verarbeitung Ihrer personenbezogenen Daten zu widersprechen, wenn diese auf berechtigten Interessen beruht.
9.6 Recht auf Widerruf der Einwilligung (Art. 7 Abs. 3 DSGVO)
Beruht die Verarbeitung auf Ihrer Einwilligung, können Sie diese jederzeit widerrufen. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Verarbeitung bleibt unberührt.
9.7 Beschwerderecht (Art. 77 DSGVO)
Unbeschadet eines anderweitigen verwaltungsrechtlichen oder gerichtlichen Rechtsbehelfs haben Sie das Recht, sich bei einer Datenschutz-Aufsichtsbehörde über die Verarbeitung Ihrer personenbezogenen Daten zu beschweren. Die für uns zuständige Aufsichtsbehörde ist der Landesbeauftragte für den Datenschutz Sachsen-Anhalt (Sitz der FyreFly Systems GbR in Köthen, Sachsen-Anhalt). Sie können sich alternativ auch an die Datenschutz-Aufsichtsbehörde Ihres üblichen Aufenthaltsorts oder Arbeitsplatzes wenden.
10. Speicherdauer
Wir speichern Ihre personenbezogenen Daten nur so lange, wie es zur Erfüllung der Zwecke erforderlich ist oder gesetzliche Aufbewahrungspflichten bestehen:
| Datenart | Speicherdauer |
|---|---|
| Kontodaten (Benutzername, E-Mail) | Bis zur Löschung des Kontos |
| Forschungsdaten (Sequenzen, Strukturen, Jobs) | Bis zur manuellen Löschung oder Kontolöschung |
| Server-Logdateien | Maximal 90 Tage |
| Abrechnungsdaten (für kostenpflichtige Funktionen) | 10 Jahre (gesetzliche Aufbewahrungspflicht) |
| E-Mail-Kommunikation | Bis zur Kontolöschung + 6 Monate |
| Bewerbung zum Trusted-Tester-Programm | Bis zur Löschung des Kontos |
| Schwachstellenmeldung: Name und E-Mail | 12 Monate nach Abschluss der Meldung |
| Schwachstellenmeldung: technischer Inhalt | Bis zu 10 Jahre, ohne personenbezogene Daten (technische Dokumentation nach dem EU Cyber Resilience Act) |
11. Automatisierte Entscheidungsfindung und Profiling
Wir setzen keine automatisierte Entscheidungsfindung im Sinne von Art. 22 DSGVO ein. KI-Modelle werden ausschließlich zur wissenschaftlichen Berechnung von Proteinstrukturen und -eigenschaften verwendet, nicht zur Bewertung oder zum Profiling von Personen.
12. Datenschutz für Minderjährige
Unser Dienst richtet sich an Personen, die das 16. Lebensjahr vollendet haben. Personen unter 16 Jahren dürfen den Dienst nur mit Einwilligung ihrer Erziehungsberechtigten nutzen. Wir erheben wissentlich keine personenbezogenen Daten von Personen unter 16 Jahren ohne entsprechende Einwilligung.
13. Änderungen dieser Datenschutzerklärung
Wir behalten uns das Recht vor, diese Datenschutzerklärung anzupassen, um sie an geänderte Rechtslagen oder Änderungen des Dienstes anzupassen. Die aktuelle Version finden Sie stets auf dieser Seite. Über wesentliche Änderungen informieren wir Sie per E-Mail.
14. Datenschutz-Kontakt
Bei Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder für Beschwerden können Sie uns jederzeit kontaktieren:
Datenschutz-Kontaktstelle:
FyreFly Systems GbR
Maximilian Scheinast-Peter, Janek Fabian Franz
E-Mail: [email protected]
Betreff: „Datenschutz - Phonos"
Aufgrund unserer Größe und Struktur als GbR sind wir gesetzlich nicht zur Bestellung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO, § 38 BDSG). Verantwortlicher im Sinne der DSGVO ist der oben in Abschnitt 1 genannte Anbieter; alle datenschutzbezogenen Anliegen richten Sie bitte an die vorstehende E-Mail-Adresse.
Wir bemühen uns, Ihre Anfragen innerhalb von 30 Tagen zu beantworten.
Bei technischen Problemen mit der Plattform können Sie nach der Anmeldung die in der App integrierte Schaltfläche Fehler melden verwenden. Übermittelte Fehlerberichte können Ihre Problembeschreibung sowie diagnostische Metadaten enthalten, etwa aktuelle URL/Ansicht, Browser-User-Agent, Plattform, Sprache, Viewport-/Bildschirmgröße, Zeitzone und IP-Adresse, um die Fehlerbehebung zu ermöglichen.
Für Alef
A1. Verantwortliche Stelle
- Gesellschaft
- FyreFly Systems GbR (Maximilian Scheinast-Peter, Janek Franz Fabian)
- Anschrift
- Bergstraße 16
06366 Köthen (Anhalt)
Deutschland - Kontakt
- [email protected]
FyreFly ist für den Betrieb des Alef-Bestellportals und die Verarbeitung der darüber aufgegebenen Bestellungen verantwortlich. Bei Fragen zum Datenschutz und zur Ausübung Ihrer Rechte erreichen Sie uns unter der genannten E-Mail-Adresse. Zur Website allgemein sowie zu Phonos und Gimel siehe die übrigen Teile dieser Datenschutzerklärung.
A2. Verarbeitung und Rechtsgrundlagen
Wir verarbeiten Kontakt-, Konto-, Rechnungs- und Lieferdaten, technische Zeichnungen, Bestellpositionen, Zahlungsstatus und Supportanfragen zur Vertragsanbahnung und Vertragserfüllung (Art. 6 Abs. 1 lit. b DSGVO), erforderliche Rechnungs- und Steuerdaten zur Erfüllung gesetzlicher Pflichten (lit. c) sowie begrenzte Zugriffs- und Sicherheitsprotokolle zum Schutz und zuverlässigen Betrieb der Dienste (lit. f). Bei Beschäftigten unserer Geschäftskunden beruht die Verarbeitung dienstlicher Kontaktdaten auf dem berechtigten Interesse an der Abwicklung des Geschäftsverhältnisses (lit. f).
A3. Empfänger und Dienstleister
Alpha Dichtungstechnik GmbH erhält die zur Fertigung und gegebenenfalls zum Versand benötigten Auftrags-, Zeichnungs- und Lieferdaten. Stripe erhält erforderliche Rechnungs- und Zahlungsdaten; vollständige Kartendaten werden auf der Stripe-Zahlseite verarbeitet und nicht in Alef gespeichert. Die Portalseiten werden als Teil dieser Website über Google Firebase Hosting ausgeliefert (siehe „Webhosting“ unter „Für Phonos“). Der Server des Portals läuft auf unserem eigenen Rechner in Deutschland und ist über die Cloudflare, Inc. (USA) erreichbar, die die Verbindung einschließlich IP-Adresse und Inhalt weiterleitet. E-Mails versenden wir über die IONOS SE, Deutschland. Infrastruktur-, E-Mail- und Versanddienstleister verarbeiten Daten nur im für ihre Aufgabe erforderlichen Umfang. Die optionale PDF-Auswertung über Google Gemini übermittelt die ausdrücklich ausgewählte Zeichnung zur Analyse; DXF-Dateien können ohne diese KI-Funktion verarbeitet werden.
A4. Drittlandverarbeitung
Bei internationalen Dienstleistern wie Google, Stripe und Cloudflare kann eine Verarbeitung außerhalb des EWR stattfinden. Soweit erforderlich, richtet sich die Übermittlung nach einem anwendbaren Angemessenheitsbeschluss oder geeigneten Garantien nach Art. 44 ff. DSGVO, insbesondere Standardvertragsklauseln. Eine ausschließliche Speicherung aller Daten in Deutschland oder der EU wird nicht zugesagt. Informationen zu eingesetzten Garantien erhalten Sie auf Anfrage.
A5. Lokale Speicherung
Alef verwendet Cookies sowie localStorage und sessionStorage für angeforderte Funktionen wie Anmeldung, Warenkorb, Formen, Bestellabschluss und gewählte Sprache oder Anzeigeeinstellungen (§ 25 Abs. 2 TDDDG). Zuletzt angesehene Werkstoffe werden nur mit Ihrer Einwilligung gespeichert (§ 25 Abs. 1 TDDDG; soweit personenbezogene Daten betroffen sind: Art. 6 Abs. 1 lit. a DSGVO). Ohne Auswahl bleibt dieser optionale Verlauf aus. Ihre Auswahl im Alef-Portal aktiviert keine Analyse- oder Werbedienste; Google Analytics auf den übrigen Seiten dieser Website ist in Abschnitt 5.4 unter „Für Phonos“ beschrieben. Sie können die Einwilligung jederzeit über „Cookie-Einstellungen“ in der Fußzeile des Alef-Portals widerrufen; dabei wird der lokale Werkstoffverlauf gelöscht. Das Löschen lokaler Daten entfernt weder eine bereits übermittelte Bestellung noch gesetzlich aufzubewahrende Belege.
A5a. Speicherübersicht
Anbieter des folgenden Browserspeichers ist FyreFly Systems GbR. Er ist an Ihren Browser und an die Adresse gebunden, unter der das Portal bzw. sein Server erreichbar ist. Auf anderen Geräten oder Browsern treffen Sie eine eigene Auswahl.
alpha_refresh: notwendiges Anmelde-Cookie; HttpOnly, SameSite=Lax, in Produktion Secure, Pfad /api/auth. Standardmäßig 30 Tage ab Ausstellung oder Erneuerung (serverseitig konfigurierbar); beim Abmelden gelöscht.alpha.v5.session: localStorage für Warenkorb, Formen, Plattenwahl und Gast-Auftragsnummern; Konto-Aufträge und Adressen werden nach Anmeldung vom Server geladen und nicht dauerhaft im Browser gespeichert. Bis zur Löschung der lokalen Daten. Das optionale Feld recent enthält höchstens acht zuletzt angesehene Werkstoffe und wird bei Widerruf oder erkanntem Ablauf der Einwilligung gelöscht.alpha.v5.prefs,alpha.v5.plotterOnly: gewählte Anzeige-, Sprach- und Sortimentseinstellungen; localStorage bis zur Löschung.alpha.v5.uid,alpha.v5.anon,alpha.v5.authed,alpha.v5.audit: lokale Kennungen für Formen und Gast-Übernahme, Anmeldemarker und lokale Änderungsspur; localStorage bis zur Löschung bzw. funktionsbezogenen Bereinigung. Die Änderungsspur ist auf 200 Einträge begrenzt.alpha.v5.co,alef.checkout.attempt,alpha.pay.session,alpha.pay.invoice: sessionStorage für Kasseneingaben und den laufenden Bestellentwurf (gewählte Form und Maße, eine hochgeladene Zeichnung samt Dateiname, Werkstoff, Menge, offener Bestellschritt, Zahlungsart, noch nicht übernommene Lieferanschrift; keine Zustimmungen), Schutz vor doppelten Bestellversuchen und Zahlungsrückkehr (Zahlungsschlüssel sowie Positionskennungen und Mengen des Warenkorbs); für die Tab-Sitzung. Der Entwurf wird mit der Bestellung, beim Abmelden und beim Kontowechsel zurückgesetzt. Browser-Sitzungswiederherstellung kann diese Daten wiederherstellen.alef.consent.v1: notwendiger localStorage-Eintrag für Ihre Auswahl, Hinweisversion und Auswahl-/Ablaufzeitpunkt; Gültigkeit 180 Tage. Danach wird beim nächsten Zugriff erneut gefragt und optionaler Verlauf deaktiviert. Der abgelaufene Eintrag kann bis zur neuen Auswahl oder manuellen Löschung im Browser verbleiben.
Die Stripe-Zahlseite wird erst im Zahlungsablauf aufgerufen. Für dort eingesetzten Browserspeicher gelten zusätzlich die Hinweise von Stripe. Browserdaten können Sie über Ihre Browsereinstellungen löschen; dies kann Sie abmelden und lokale Warenkörbe und Formen entfernen.
A6. Aufbewahrung
Daten werden nur so lange gespeichert, wie der jeweilige Zweck oder eine gesetzliche Pflicht dies erfordert. Rechnungsunterlagen sind regelmäßig acht Jahre aufzubewahren; für andere Unterlagen können abweichende Fristen oder laufende Verfahren maßgeblich sein. Kontaktinformationen für laufende Aufträge können zur Abwicklung benötigt werden. Eine Kontolöschung hebt gesetzliche Aufbewahrungspflichten nicht auf.
A6a. Sicherheitsmeldungen und Behörden
Melden Sie uns eine Schwachstelle über das Formular auf unserer Compliance-Seite oder per E-Mail, verarbeiten wir Ihre E-Mail-Adresse, Ihren Namen (freiwillig), den Inhalt der Meldung, ob Sie namentlich genannt werden möchten, und einen gesalzenen Hashwert Ihrer IP-Adresse zur Missbrauchsbegrenzung; die IP-Adresse selbst speichern wir nicht. Zweck ist die Prüfung, Behebung und abgestimmte Veröffentlichung der Schwachstelle. Rechtsgrundlage ist Art. 6 Abs. 1 lit. c DSGVO in Verbindung mit Art. 13, 14 und Anhang I Teil II der Verordnung (EU) 2024/2847 sowie Art. 6 Abs. 1 lit. f DSGVO; Ihre Nennung in einem Sicherheitshinweis beruht auf Ihrer Einwilligung (lit. a). Name und E-Mail-Adresse löschen wir 12 Monate nach Abschluss der Meldung; den technischen Inhalt bewahren wir ohne sie bis zu 10 Jahre als technische Dokumentation auf.
Soweit der EU Cyber Resilience Act es verlangt, melden wir aktiv ausgenutzte Schwachstellen und schwerwiegende Sicherheitsvorfälle über die Single Reporting Platform der ENISA an das zuständige CSIRT und die ENISA (Art. 6 Abs. 1 lit. c DSGVO). Diese Meldungen enthalten personenbezogene Daten nur, soweit sie zur Beschreibung des Vorfalls unvermeidbar sind.
A7. Ihre Rechte
Sie haben nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Gegen eine Verarbeitung auf Grundlage berechtigter Interessen können Sie aus Gründen Ihrer besonderen Situation Widerspruch einlegen. Einwilligungen können Sie mit Wirkung für die Zukunft widerrufen. Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere beim Landesbeauftragten für den Datenschutz Sachsen-Anhalt. Kontakt: [email protected]
Für Gimel
Gimel-Seiten dieser Website
Die Gimel-Seiten unter fyreflysystems.de/scientific/gimel/ sind statische Seiten dieser Website. Sie enthalten keine Formulare und keine Anmeldung. Für ihren Besuch gelten die Bestimmungen zur Website im Teil „Für Phonos“: Abschnitt 3.1 (vom Browser übermittelte Daten), „Webhosting (Google Firebase Hosting)“ in Abschnitt 3 und Abschnitt 5.4 (Google Analytics, nur nach Ihrer Einwilligung im Cookie-Banner). Auf dieser Website wird Ihre Cookie-Auswahl im localStorage Ihres Browsers unter dem Schlüssel fyrefly_cookie_consent gespeichert. Sie können sie jederzeit über „Cookie-Einstellungen“ in der Fußzeile ändern.
Demo-Anfragen
„Demo anfragen“ führt auf unsere Kontaktseite. Dort gibt es kein Formular; Sie schreiben uns per E-Mail. Wir verarbeiten Ihre E-Mail-Adresse, Ihren Namen und den Inhalt Ihrer Nachricht, einschließlich Unternehmen und Funktion, wenn Sie diese angeben, um Ihre Anfrage zu beantworten und eine Demo zu vereinbaren.
Rechtsgrundlage: Art. 6 Abs. 1 lit. b DSGVO, soweit Sie vorvertragliche Maßnahmen für einen Vertrag mit Ihnen anfragen; im Übrigen Art. 6 Abs. 1 lit. f DSGVO (unser berechtigtes Interesse an der Beantwortung geschäftlicher Anfragen). Empfänger: Unser Postfach wird von der IONOS SE, Deutschland, als Auftragsverarbeiterin betrieben. Speicherdauer: so lange, wie es für Ihre Anfrage und eine daraus folgende Geschäftsbeziehung erforderlich ist; handelt es sich um einen Geschäftsbrief, gelten die steuerrechtlichen Aufbewahrungsfristen (§ 147 AO).
Ihre Rechte und automatisierte Entscheidungen
Ihnen stehen die in Abschnitt 9 unter „Für Phonos“ beschriebenen Rechte zu: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch gegen Verarbeitungen auf Grundlage berechtigter Interessen (Art. 21 DSGVO) sowie das Recht auf Beschwerde bei einer Aufsichtsbehörde, insbesondere beim Landesbeauftragten für den Datenschutz Sachsen-Anhalt. Kontakt: [email protected].
Nutzung von Gimel auf Grundlage eines Vertrags
Nutzt Ihr Unternehmen Gimel auf Grundlage eines Vertrags mit uns, richtet sich die Verarbeitung der Daten Ihres Unternehmens nach diesem Vertrag. Soweit wir personenbezogene Daten im Auftrag Ihres Unternehmens verarbeiten, schließen wir einen Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.