Données de compte : nom, adresse e-mail, préférence de langue, condensat (hash) du mot de passe (lorsque l’inscription par e-mail/mot de passe est utilisée), identifiant du fournisseur d’authentification (par exemple Google, Apple, GitHub), niveau d’abonnement, code de parrainage, événements de sécurité tels que l’heure de connexion, l’adresse IP, le navigateur, le système d’exploitation et la région géographique approximative déduite de l’IP.

Données d’espace de travail : messages et invites de conversation, fichiers téléversés (PDF, image, Excel, texte brut), esquisses de molécules, structures dessinées (SMILES/InChI), brouillons de rapports enregistrés, sessions d’étude, cartes de révision, tentatives de quiz, historique des erreurs, références récupérées via des API académiques ouvertes, et exports que vous choisissez de générer.

Fichiers et embeddings : lorsque vous téléversez un fichier, le binaire est stocké dans notre bucket d’objets privé et analysé en blocs de texte et d’images. Nous calculons des embeddings vectoriels (1024 dimensions, BGE-M3, générés sur notre propre serveur en Allemagne) afin que le fichier devienne consultable pour vos futures questions. Les images de chimie peuvent également être traitées par un modèle DECIMER hébergé en interne pour extraire des SMILES.

Données d’utilisation et de télémétrie : crédits consommés par modèle, latence des files d’attente, identifiants de modèle, codes d’erreur, interactions avec les fonctionnalités, vues de pages, web vitals et signaux de prévention des abus. Une partie de la télémétrie est collectée via Vercel Analytics, Firebase Analytics et un moniteur d’erreurs auto-hébergé lorsqu’il est activé.

Métadonnées de paiement : statut de l’abonnement, formule, factures, région fiscale, identifiant client émis par Stripe, et métadonnées de carte limitées telles que la marque et les quatre derniers chiffres renvoyés par Stripe. Nous ne stockons jamais les numéros de carte complets, les CVC ni les identifiants bancaires.

Communications : tickets de support et réponses, préférences marketing avec consentement préalable, préférence de langue pour les e-mails transactionnels.

Exécution du contrat (art. 6, 1, b) — pour faire fonctionner l’espace de travail, exécuter les invites, générer des rapports, stocker vos projets, traiter les paiements et fournir les fonctionnalités payantes.

Intérêts légitimes (art. 6, 1, f) — pour surveiller la fiabilité du service, prévenir les abus, sécuriser l’infrastructure, produire des statistiques d’utilisation agrégées et améliorer le produit d’une manière qui ne porte pas atteinte à vos droits.

Consentement (art. 6, 1, a) — pour les cookies non essentiels, les e-mails marketing et les analyses facultatives lorsque le droit local exige un consentement. Vous pouvez retirer votre consentement à tout moment.

Obligation légale (art. 6, 1, c) — registres fiscaux, demandes réglementaires, demandes valides des autorités répressives.

Au titre de la KVKK, les fondements équivalents sont l’art. 5, 2, c (nécessaire à l’exécution d’un contrat), l’art. 5, 2, f (intérêt légitime), l’art. 5, 1 (consentement explicite) et l’art. 5, 2, a (obligation légale).

Fourniture du service : stocker et reprendre des projets, afficher les structures moléculaires avec RDKit, exécuter l’orchestrateur multi-agents, récupérer des articles via des API académiques ouvertes, générer des rapports, les délivrer via l’application web et maintenir la connaissance par Moll de l’espace de travail en cours.

Gestion de l’abonnement : décompter l’utilisation par rapport à votre allocation hebdomadaire de crédits, afficher le compteur, émettre des factures, traiter les renouvellements et annulations via Stripe, appliquer les remises éducatives lorsque vous y êtes éligible et prévenir les comportements de paiement frauduleux.

Sécurité et prévention des abus : détecter le bourrage d’identifiants, limiter le débit des clients agressifs, refuser les invites qui violent la politique d’usage acceptable, enquêter sur les activités suspectes des comptes et se conformer aux procédures judiciaires valides.

Amélioration du produit : déboguer les plantages, réduire la latence, surveiller les tâches en échec, hiérarchiser les correctifs et analyser des schémas d’utilisation agrégés et non identifiants.

Communications : répondre au support, envoyer des e-mails transactionnels concernant la facturation et la sécurité et — uniquement avec votre accord — partager des actualités produit.

Nous ne vendons pas les invites des utilisateurs, les fichiers téléversés, les projets enregistrés, les esquisses de molécules, les rapports, les embeddings ni les jeux de données dérivés à des annonceurs, courtiers, marketplaces de données ou scrapers.

Par défaut, le contenu de votre espace de travail n’est utilisé que pour fournir et améliorer votre propre expérience Cheemly. Nous ne publions pas les invites ni les molécules de nos clients dans des jeux de données publics.

Lorsque des fournisseurs de modèles tiers traitent vos invites (voir Sous-traitants), nous configurons leurs paramètres pour refuser l’entraînement sur les entrées API des clients lorsque le fournisseur propose ce contrôle (API Google AI Studio : l’entraînement est désactivé pour le trafic API payant ; API Anthropic : l’entraînement est désactivé par défaut ; API OpenAI : l’entraînement est désactivé par défaut). Les clients entreprise peuvent demander une confirmation écrite dans le bon de commande.

Hetzner Online GmbH (Falkenstein, Allemagne) — infrastructure principale : machines virtuelles hébergeant la base de données (PostgreSQL avec pgvector), le bucket de stockage d’objets (Supabase Storage fonctionnant sur notre propre VM), le modèle d’embeddings (BGE-M3, TEI), l’OCSR de chimie (DECIMER), le service API et le reverse proxy. L’ensemble du contenu des espaces de travail y est hébergé.

Vercel Inc. (Delaware, États-Unis ; centres de données dans plusieurs régions) — hébergement et CDN mondial du site marketing et de l’application Next.js ; Vercel Analytics si activé.

Cloudflare, Inc. (San Francisco, États-Unis) — DNS faisant autorité, protection contre les attaques DDoS, TLS en périphérie, gestion des bots et proxy pour api.cheemly.com / auth.cheemly.com. Cloudflare peut traiter brièvement les métadonnées de requête (IP, en-têtes, user-agent) pour fournir ces services.

OpenRouter, Inc. (États-Unis) — passerelle LLM qui route les invites vers les fournisseurs sous-jacents sélectionnés. Les fournisseurs sous-jacents actuellement utilisés incluent Google (famille Gemini), Anthropic (famille Claude), OpenAI et Meta (Llama, via des paliers gratuits). La liste peut évoluer à mesure que nous ajoutons ou retirons des modèles ; la liste la plus à jour est reflétée dans le sélecteur de modèle intégré au produit.

Stripe, Inc. (États-Unis) et Stripe Payments Europe Ltd. (Irlande, pour les clients UE/Royaume-Uni) — traitement des paiements, facturation des abonnements, émission des factures, signaux de détection de fraude. Stripe est certifié PCI-DSS niveau 1.

Resend, Inc. (États-Unis) — envoi d’e-mails transactionnels (vérification d’inscription, réinitialisation de mot de passe, reçus de facturation).

Google LLC (Firebase Analytics, Google Sign-In) — événements analytiques et authentification Google OAuth lorsque l’utilisateur la choisit.

PostHog Inc. (région UE) — analyses produit (au niveau de l’événement) lorsqu’elles sont activées ; vous pouvez vous désinscrire depuis les paramètres de votre compte.

Sentry — surveillance des erreurs lorsqu’elle est activée.

API académiques ouvertes que nous interrogeons pour vous, uniquement avec des requêtes bibliographiques publiques (aucune donnée personnelle envoyée) : Semantic Scholar (Allen Institute for AI), OpenAlex (OurResearch), Crossref, Europe PMC, arXiv, Unpaywall, PubChem (NIH/NLM), ChEMBL.

Apple Inc. n’est contacté que lorsque l’utilisateur choisit explicitement Sign in with Apple.

L’ajout ou le remplacement de sous-traitants sera reflété sur cette page ; les changements substantiels sont communiqués via une notification intégrée au produit ou par e-mail. Les clients entreprise peuvent opter pour un préavis écrit dans le bon de commande.

Les données d’espace de travail (compte, conversations, fichiers, embeddings, références, rapports, métadonnées de facturation, journal d’activité) sont hébergées en Allemagne sur l’infrastructure Hetzner Online GmbH (régions de Falkenstein/Helsinki), située au sein de l’Espace économique européen (EEE). La base de données principale est PostgreSQL 16 avec pgvector.

Le trafic web est servi via le CDN mondial de Vercel ; les régions statiques et de périphérie sont réparties dans le monde entier pour la performance. Cloudflare relaie les requêtes API et d’authentification via son réseau mondial en périphérie.

L’inférence LLM est effectuée dans les centres de données des fournisseurs sous-jacents, qui se trouvent aujourd’hui aux États-Unis et dans l’Union européenne selon le modèle. Nous ne contrôlons pas le routage précis des centres de données des fournisseurs en amont.

Lorsque des transferts sortent de l’EEE (par exemple, Stripe, OpenRouter, Resend, Vercel, Cloudflare, Sentry, les fournisseurs LLM sous-jacents), ils s’appuient sur les clauses contractuelles types de la Commission européenne (décision d’exécution 2021/914) et, le cas échéant, sur la décision d’adéquation du EU–US Data Privacy Framework. Nous effectuons une analyse d’impact de transfert de base et appliquons des garanties supplémentaires (chiffrement en transit, périmètres restreints).

Registres de compte : conservés tant que le compte est actif. Après la clôture du compte, nous supprimons le compte, les projets, les fichiers, les embeddings, les références et les rapports enregistrés dans un délai de 30 jours, sauf lorsque la loi impose une conservation plus longue (par exemple, les factures fiscales conservées dix ans lorsque cela est requis).

Journaux opérationnels : les journaux d’erreurs, d’accès et de sécurité sont conservés jusqu’à 90 jours à des fins de débogage et de prévention des abus, puis supprimés ou agrégés.

Événements d’authentification (IP de connexion, user-agent, horodatage) : conservés jusqu’à 180 jours pour examen de sécurité.

Facturation et factures : conservées pendant la durée requise par la législation fiscale applicable (généralement 5 à 10 ans).

Sauvegardes chiffrées : conservées selon une rotation de 30 jours. Le contenu supprimé d’un utilisateur peut persister dans une sauvegarde jusqu’à ce que la rotation l’élimine ; nous ne restaurons pas de contenu supprimé en production, sauf si cela est requis pour la sécurité ou par la loi.

Registres d’abonnement marketing : conservés tant que l’opt-in est actif et pendant 12 mois après son retrait comme preuve de consentement.

Cookies strictement nécessaires et stockage local : jeton de session, état d’authentification (cookie Supabase SSR), préférence de langue (NEXT_LOCALE), préférence de thème, protection CSRF. Ils ne peuvent pas être désactivés sans compromettre le fonctionnement du site.

Stockage fonctionnel : brouillon d’espace de travail (état local zustand), références épinglées, progression des sessions d’étude — stockés dans le stockage local/session de votre navigateur pour que l’espace de travail reste réactif entre les chargements de page.

Analytique : Vercel Analytics et Firebase Analytics peuvent déposer des cookies de première partie pour la mesure agrégée des vues de pages. L’analyse d’événements PostHog n’est activée qu’avec consentement lorsque le droit local l’exige.

Les cookies tiers ne sont déposés que lorsque vous utilisez Sign in with Google ou Apple, et sont limités au flux d’authentification du fournisseur.

Vous pouvez contrôler les cookies dans votre navigateur. La désactivation des cookies requis empêchera la connexion.

Au titre du RGPD / UK GDPR (art. 15 à 22), vous disposez du droit d’accès, de rectification, d’effacement (droit à l’oubli), de limitation du traitement, de portabilité des données (export lisible par machine de votre compte et de votre espace de travail), d’opposition au traitement fondé sur les intérêts légitimes, et du droit de ne pas faire l’objet d’une décision exclusivement automatisée produisant des effets juridiques ou similairement significatifs. Cheemly ne prend pas de décisions exclusivement automatisées en ce sens.

Au titre de la KVKK (Türkiye, art. 11), vous pouvez demander à savoir si vos données sont traitées, les finalités, les destinataires, l’origine, la correction, la suppression, l’anonymisation, et vous pouvez vous opposer aux résultats issus exclusivement d’une analyse automatisée.

Au titre du CCPA/CPRA (Californie), vous disposez du droit de savoir, du droit de supprimer, du droit de corriger, du droit de refuser la vente ou le partage (nous ne vendons ni ne partageons de données personnelles au sens du CCPA), et du droit de limiter l’usage des informations personnelles sensibles.

Pour exercer un droit, écrivez à privacy@cheemly.com depuis l’adresse e-mail du compte. Nous vérifierons votre identité, répondrons sous 30 jours et vous informerons si nous avons besoin d’une prolongation. La première demande sur toute période de 12 mois est gratuite. Vous avez également le droit d’introduire une réclamation auprès de votre autorité de contrôle — par exemple, le Kişisel Verileri Koruma Kurumu (KVKK Kurumu) en Türkiye, ou l’autorité de protection des données de votre État membre de l’UE.

Cheemly ne s’adresse pas aux enfants âgés de moins de 13 ans (ou de moins de 16 ans dans l’EEE lorsque l’implémentation locale de l’article 8 du RGPD s’applique). Les utilisateurs en dessous de cet âge ne doivent utiliser Cheemly qu’avec le consentement vérifiable d’un parent, tuteur ou établissement d’enseignement agissant en vertu d’une autorité appropriée.

Les enseignants utilisant Cheemly en classe doivent éviter de téléverser des données personnelles d’étudiants sans autorité légale et besoin pédagogique clair. Cheemly n’assume pas le rôle de school official au sens du FERPA en l’absence d’un avenant écrit.

Si nous apprenons qu’un enfant a fourni des données personnelles sans consentement approprié, nous supprimerons le compte et le contenu associé.

Si nous prenons connaissance d’une violation de données personnelles susceptible d’engendrer un risque pour les droits et libertés des utilisateurs, nous notifierons l’autorité de contrôle compétente dans un délai de 72 heures (art. 33 du RGPD) et, lorsque le risque est élevé, nous informerons les utilisateurs concernés sans retard injustifié (art. 34 du RGPD).

L’article 12(5) de la KVKK exige de même une notification à la Kurum et à la personne concernée dès que possible — nous traitons la même fenêtre de 72 heures comme un objectif strict.

Les notifications indiqueront ce qui s’est produit, quelles données étaient concernées, ce que nous avons fait, ce que les utilisateurs doivent faire et comment nous contacter.

Confidentialité / demandes relatives à la protection des données : privacy@cheemly.com

Notifications juridiques, y compris les notifications de contrefaçon de propriété intellectuelle : legal@cheemly.com

Divulgations de sécurité : security@cheemly.com (voir également /.well-known/security.txt)

Support général : support@cheemly.com