Fortrolighedspolitik

5.1 Registrering og kontodata

• Ved registreringen indsamler vi følgende oplysninger:
• • E-mail-adresse (skal udfyldes)
• • Brugernavn (skal udfyldes)
• • Adgangskode (krypteret med bcrypt, mindst 8 tegn)
• • Kontotype (privat eller virksomhed)
• • Registreringstidspunkt
• • To-faktor-godkendelse (2FA) – valgfri, men anbefales
• Formål: Oprettelse og administration af din konto, autentificering, sikkerhed
• 2FA-dataene gemmes udelukkende lokalt på din enhed (scanning af QR-kode). Vi gemmer kun aktiveringsstatus.
• Bemærk: Du kan også vælge at registrere dig/logge ind via Google, Meta (Facebook), LinkedIn, TikTok eller X – se afsnit 5.1a for de oplysninger og tilladelser, der kræves i hvert enkelt tilfælde.
• For at beskytte mod automatiserede registreringer (bots) anvender vi Cloudflare Turnstile (se afsnit 10a.2).

5.1a Registrering og login via tredjepartsudbydere (social login)

• Ud over den klassiske registrering med e-mail og adgangskode kan du registrere dig eller logge ind på PostMaestro.ai via følgende tredjepartsudbydere. Disse forbindelser tjener udelukkende til oprettelse af konto og login og er uafhængige af de sociale medieforbindelser, der bruges til at offentliggøre indlæg (se afsnit 5.5) – der anmodes i hvert tilfælde om separate OAuth-tilladelser (scopes) med betydeligt mere begrænsede rettigheder:
• • Google (Scopes: openid, profile, email) – der overføres Google-ID, e-mail-adresse, fornavn/efternavn, profilbillede og sprog
• • Meta / Facebook-login (Scopes: public_profile, email) – følgende oplysninger overføres: Facebook-ID, e-mail-adresse, fornavn og efternavn, profilbillede og sprog
• • Instagram Business-login (omfang: instagram_business_basic) – der overføres Instagram-ID, brugernavn, visningsnavn og profilbillede (ingen e-mail-adresse – denne indhentes separat under onboarding)
• • LinkedIn (OpenID Connect, omfang: openid, profile, email) – der overføres LinkedIn-ID, e-mail-adresse, fornavn/efternavn, profilbillede og sprog
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – følgende oplysninger overføres: TikTok Open-ID, brugernavn, visningsnavn og profilbillede (TikTok stiller ikke en e-mailadresse til rådighed – indtil den indtastes under onboarding, anvendes der internt en pladsholderadresse)
• • X / Twitter (OAuth 2.0 med PKCE, omfang: users.read, users.email, tweet.read) – der overføres X-ID, brugernavn, visningsnavn, profilbillede samt – hvis det er godkendt på X – den bekræftede e-mail-adresse
• Disse scopes giver udelukkende adgang til at hente de grundlæggende profildata til oprettelse af en konto. Der offentliggøres ingen indlæg, der læses ingen beskeder, og der gives ingen adgang til dine kontakter.
• Hvis en allerede registreret e-mail-adresse oprettes på ny via en anden udbyder, genkender vi den eksisterende konto ud fra e-mail-adressen (uafhængigt af store og små bogstaver) og knytter den nye udbyder-ID til den efterfølgende (kontokobling) i stedet for at oprette en dobbelt konto.
• Hvis denne funktion er aktiveret i dine sikkerhedsindstillinger, sender vi ved hver login (også via social login) en e-mail-besked med tidspunkt, enhed, browser og omtrentlig placering. Placeringen fastslås på baggrund af din IP-adresse via tredjepartsudbyderen ipinfo.io (se afsnit 10a.1).
• Sletning af Meta-konto: Ved login via Meta (Facebook/Instagram) stiller vi de af Meta foreskrevne callback-endepunkter til rådighed til tilbagekaldelse af tilladelse og sletning af data. Hvis du fjerner appen i dine Facebook-kontoindstillinger eller anmoder om sletning af data der, modtager vi automatisk en tilsvarende anmodning og viser behandlingsstatus via en status-URL, der angives af Meta.

5.2 Brandprofiler og branddata

• Når vi opretter en brandprofil, gemmer vi:
• - Mærkenavn og beskrivelse
• - Websteds-URL (for Brand Analyser)
• - Uploadede brand guidelines og dokumenter
• - Analyserede branddata (farver, skrifttyper, tone of voice)
• - Logo og visuelle aktiver
• - Definitioner af målgrupper
• - Branche og kategori
• Formål: Oprettelse af markedskonformt indhold, håndtering af brandidentitet

5.3 Indholdsdata (indlæg, medier, kampagner)

• Når du bruger funktionen til indholdsoprettelse, gemmer vi:
• • Udarbejdede og planlagte indlæg på sociale medier (tekst, billedtekster, hashtags)
• • Uploaded og genererede billeder, videoer og grafik
• • Kampagnedata og skabeloner
• • Validering af ideer (swipe-data i Idea Generator)
• • Forskningsdokumenter
• • Indholdsstatus (Udkast, Gennemgang, Planlagt, Offentliggjort)
• • Udgivelsestidspunkter og -platforme
• • Mærknings- og oprindelsesoplysninger om genererede medier (indholdsklasse, mærkningsstatus, metadatastatus) samt Deres bekræftelse af den redaktionelle gennemgang af genererede tekster
• Formål: Indholdsstyring, planlægning, automatisering, arkivering samt dokumentation af forpligtelserne vedrørende AI-gennemsigtighed
• I det omfang det er teknisk muligt, indeholder genererede mediefiler mærkningsoplysninger, metadata eller tilsvarende tekniske indikatorer, der angiver, at der er tale om AI-genereret eller AI-understøttet indhold (se afsnit 8.2).

5.4 Brugsdata og analyser

• Vi gemmer data for at forbedre platformen:
• - Login-tider og sessionsvarighed
• - Anvendte egenskaber og funktioner
• - Token-forbrug og faktureringsdata
• - Fejlrapporter og præstationsdata
• - Feedback og supportanmodninger
• Formål: Forbedring af platformen, fejlanalyse, support, fakturering

5.5 Links til sociale medieplatforme (offentliggørelse)

• Når du forbinder sociale medie-konti med henblik på offentliggørelse (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, egen hjemmeside), anmoder hver platform via OAuth kun om de tilladelser (scopes), der er nødvendige til dette formål. Disse forbindelser er uafhængige af social login til kontoindlogning (se afsnit 5.1a). Vi gemmer i den forbindelse:
• • OAuth-adgangs- og opdateringstokener for hver platform, gemt i databasen med AES-256-GCM-kryptering (se afsnit 10)
• • Platformskonto-/side-/kanal-ID’er samt visningsnavn, profilbillede eller logo
• • På LinkedIn gælder desuden: virksomhedssider, som du administrerer (ID, navn, logo), til valg af offentliggørelsesmål
• • På Facebook/Instagram/WhatsApp: automatisk genkendte sammenkoblinger mellem Facebook-side, Instagram-forretningskonto og WhatsApp-forretningskonto (»overførsel« af sammenkoblede konti ved oprettelse af forbindelse)
• • Udløbstidspunkt for adgangstokenet med henblik på automatisk fornyelse (f.eks. hos X og Wix)
• • Ved WordPress og egen hjemmeside: de adgangsoplysninger, du har angivet (applikationsadgangskode eller endpoint-URL og secret) i stedet for OAuth-token
• Disse data bruges udelukkende til på dine vegne at offentliggøre indlæg på de tilknyttede konti og til at vise tilhørende statistikker (Analytics) i PostMaestro.ai. Adgang til private beskeder eller kontakter sker udelukkende inden for rammerne af den Community Manager-funktion, du har aktiveret (Facebook Messenger, Instagram Direct, WhatsApp).
• Du kan til enhver tid afbryde enhver forbindelse i indstillingerne. Vi anbefaler desuden, at du tilbagekalder appens tilladelse direkte på den pågældende platform (f.eks. i Meta-kontoindstillingerne).

5.6 Team- og firmakontodata

• For virksomhedskonti med flere brugere gemmer vi også data:
• - Teammedlemmer og deres roller
• - Autorisationer og adgangskontrol
• - Godkendelsesworkflows og kommentarer
• - Aktivitetslogs (revisionslog)
• Formål: Teamsamarbejde, adgangskontrol, overholdelse af regler

5.7 Push-beskeder (mobilapp)

• Når du bruger vores mobilapp og aktiverer push-beskeder, behandler vi:
• • Enhedstoken (Device Token) til afsendelse af notifikationer
• • Indstillinger for notifikationer
• Til udsendelse af push-beskeder bruger vi Firebase Cloud Messaging (Google).
• Du kan til enhver tid deaktivere push-beskeder i indstillingerne på din enhed.

5.8 Nyheder, forskning og RSS-feeds

• Platformen tilbyder en nyhedsfunktion, der som standard bruger AI-støttet forskning (via Perplexity AI) til at levere relevante branchenyheder. Du kan også tilføje dine egne RSS-feeds. På den måde behandler vi:
• - Søgeforespørgsler og emnepræferencer for AI-understøttede nyhedssøgninger
• - URL'erne til de RSS-feeds, du har tilføjet
• - Dine præferencer og kategoriseringer for disse feeds
• - Læs eller gem artikler
• Platformen henter indholdet af tredjepartsfeeds via vores servere, så din IP-adresse ikke overføres til operatørerne af RSS-feeds. Når du bruger den AI-understøttede nyhedssøgning, overføres dine søgeforespørgsler til Perplexity AI (se afsnit 7.3).
• Formål: At levere personaliserede branchenyheder, forskning og inspiration til indhold.

6.1 Dobbelt opt-in-procedure

Når du har tilmeldt dig nyhedsbrevet, modtager du en bekræftelsesmail.

Du bliver først tilføjet til nyhedsbrevets mailingliste, når du har klikket på bekræftelseslinket.

Dette tjener til at beskytte mod misbrug af din e-mailadresse.

6.2 SendGrid (afsendelse af e-mail)

Vi bruger SendGrid (Twilio Inc., USA) til at sende nyhedsbreve.

SendGrid behandler din e-mailadresse på vores vegne for at sende nyhedsbrevet.

Vi har indgået en ordrebehandlingsaftale (AVV) med SendGrid i overensstemmelse med artikel 28 i GDPR.

SendGrid er EU-US Data Privacy Framework-certificeret.

Yderligere information: https://www.twilio.com/legal/privacy

Fortrolighedspolitik for Twilio (SendGrid)

6.3 Sporing af nyhedsbreve

Nuværende: Ingen sporing af åbningsrater eller klik

Planlagt: Opt-in til nyhedsbrevsstatistik (åbningsrate, kliksporing)

Du vil blive informeret, før sporing aktiveres, og du kan give eller nægte dit samtykke.

6.4 Annullering

Du kan til enhver tid afmelde dig nyhedsbrevet:

- Via afmeldingslinket i hver nyhedsbrevsmail

- Via e-mail til newsletter@nexaluna.ai

- I indstillingerne for din konto (hvis tilgængelig)

Efter afmelding slettes dine data fra nyhedsbrevets distributionsliste.

8.1 Offentliggørelse af interaktion med et AI-system

• I PostMaestro.ai interagerer du direkte med AI-systemer. Alle funktioner, der genererer, vurderer, opsummerer, oversætter eller omskriver indhold, er AI-baserede og markeret som sådan i brugergrænsefladen.
• Meddelelsen skal vises inden den første interaktion og skal være klar, forståelig og tydeligt adskilt fra de øvrige betjeningselementer (artikel 50, stk. 1, i EU’s AI-lov).
• Vi stiller disse oplysninger til rådighed på en tilgængelig måde og tilpasser dem til de anerkendte krav til tilgængelighed (artikel 50, stk. 5, i EU’s lov om kunstig intelligens).
• AI’s svar og forslag kan være ufuldstændige, forældede eller faktuelt forkerte. De udgør ikke juridisk, skattemæssig, medicinsk eller finansiel rådgivning.

8.2 Maskinlæsbar mærkning af genereret indhold

• I henhold til artikel 50, stk. 2, i EU’s AI-lov skal indhold genereret af AI-systemer, der frembringer syntetiske billed-, lyd-, video- eller tekstindhold, mærkes som kunstigt genereret eller manipuleret i et maskinlæsbart format. Mærkningen skal være effektiv, interoperabel, robust og pålidelig.
• Vi opfylder dette krav ved hjælp af flere, indbyrdes supplerende metoder, da ingen enkelt metode i sig selv – ud fra den nuværende tekniske stand – kan opnå den krævede robusthed:
• • Metadata om oprindelse i filen: Ved eksporten indsætter vi XMP- og IPTC-metadata i de genererede mediefiler, især IPTC-feltet „Digital Source Type“ med værdien „trainedAlgorithmicMedia“ samt oplysninger om det anvendte AI-system, modelversion og genereringstidspunkt.
• • Content Credentials (C2PA): For genererede billed- og videofiler integrerer vi en kryptografisk signeret oprindelsesangivelse i henhold til C2PA-standarden i udgivelsespipeline.
• • Vandmærker fra udbyderen: I det omfang den pågældende modeludbyder leverer usynlige vandmærker, bevares disse og fjernes ikke. For billedmodellerne fra Google Gemini er der tale om vandmærkemetoden SynthID.
• • Validering: Efter skrivningen læser vi markeringen ind igen og registrerer en status for hver fil (udestående, gyldig, mangler, fjernet). Hvis indlejringen mislykkes, pålægger vi en synlig markering for følsomme indholdsklasser.
• Mærkningen indstilles på serversiden, inden en fil gemmes eller leveres, så den overlever rendering, upload og download. Teknisk set kan det ikke udelukkes, at tredjeparter eller målplatforme fjerner metadata ved genupload, komprimering eller beskæring. I dette tilfælde er den synlige markering din sikkerhedsforanstaltning (se 8.3).
• Gennemførelsesstatus og frist: Gennemsigtighedskravene i artikel 50 i EU’s AI-lov træder i kraft den 2. august 2026. For AI-systemer, der – ligesom PostMaestro.ai – allerede var på markedet før dette tidspunkt, gælder en overgangsperiode frem til den 2. december 2026. Vi gennemfører de ovenfor beskrevne procedurer fuldt ud inden for denne frist og dokumenterer implementeringsstatus internt.
• En henvisning i denne privatlivspolitik alene opfylder ikke artikel 50, stk. 2, i EU’s AI-lov. Det afgørende er den maskinlæsbare markering på selve filen.

8.3 Dine forpligtelser som udbyder i forbindelse med deepfakes

• Når du offentliggør indhold, der er genereret med PostMaestro.ai, er du »operatør« i henhold til EU’s AI-lov. I dette tilfælde påhviler oplysningspligten i henhold til artikel 50, stk. 4, i EU’s AI-lov dig og ikke os.
• Hvis du skaber eller redigerer billed-, lyd- eller videoindhold, der ligner virkelige personer, genstande, steder, institutioner eller begivenheder på en måde, der kan forveksles med virkeligheden („deepfakes“), skal du ved offentliggørelsen oplyse, at indholdet er kunstigt fremstillet eller manipuleret.
• Ifølge Europa-Kommissionens retningslinjer gælder denne forpligtelse uafhængigt af, om der foreligger en hensigt om vildledning, og også selvom der ikke er afbildet en konkret, virkelig person. Den finder derfor regelmæssigt anvendelse på indlæg på sociale medier.
• Som hjælp stiller vi følgende til rådighed: en synlig markering som standardindstilling for følsomme indholdskategorier, et forslag til en advarselstekst ved eksport og en bemærkning i publiceringsforløbet.
• Standardindstillingen er altid »markeret«. Deaktivering skal dokumenteres: Vi gemmer tidspunktet, brugerkontoen, arbejdsområdet og versionen af bekræftelsesteksten. For fotorealistiske personafbildninger og syntetiske stemmer er deaktivering ikke mulig.
• Du må ikke fjerne, deaktivere, omgå eller forringe funktionen af de mærknings- og oplysningsmekanismer, som vi stiller til rådighed (se afsnit 6.4 i de generelle forretningsbetingelser).
• Denne forpligtelse gælder ud over de mærkningskrav, der gælder på den pågældende sociale medieplatform. Det er op til dig selv at vurdere, om der i det enkelte tilfælde foreligger en oplysningspligt.

8.4 AI-genererede tekster og redaktionelt ansvar

• Hvad angår tekster, er artikel 50 i EU AI Act formuleret betydeligt snævrere end for billeder, lyd og video. Der foreligger kun en oplysningspligt, hvis alle tre følgende betingelser er opfyldt:
• 1. Teksten er genereret eller manipuleret ved hjælp af kunstig intelligens.
• 2. Teksten offentliggøres.
• 3. Formålet med offentliggørelsen er at informere offentligheden om forhold af almen interesse – f.eks. nyheder, politiske eller samfundsmæssige udtalelser og bidrag til offentlige debatter.
• Mærkningspligten bortfalder, hvis indholdet er blevet underkastet en manuel gennemgang eller redaktionel kontrol, og en fysisk eller juridisk person bærer det redaktionelle ansvar for offentliggørelsen.
• Der findes ikke et generelt krav om mærkning af alle AI-genererede tekster. Den, der bruger AI som et hjælpeværktøj, redaktionelt gennemgår teksterne og selv påtager sig ansvaret for dem, er som regel ikke underlagt noget yderligere mærkningskrav.
• PostMaestro.ai er netop udviklet med dette formål for øje: De genererede tekster er forslag. Inden planlægning eller offentliggørelse kræver vi en udtrykkelig bekræftelse på, at du har gennemgået teksten og påtager dig det redaktionelle ansvar. Vi registrerer denne bekræftelse med tidspunkt, brugerkonto og tekstversion, så undtagelsen forbliver dokumenterbar.
• I vejledningen står der: »Denne tekst er et forslag. Kontroller den venligst inden offentliggørelsen. Ved at kontrollere den påtager du dig det redaktionelle ansvar.«
• Uden denne kontrol må De ikke offentliggøre genererede tekster som redaktionelt ansvarligt indhold; i så fald kan oplysningspligten i henhold til artikel 50, stk. 4, i EU’s AI-lov finde anvendelse.

8.5 Ingen følelsesgenkendelse og ingen biometrisk kategorisering

• PostMaestro.ai anvender ikke systemer til følelsesgenkendelse og udleder ikke følelser, følelsestilstande eller intentioner ud fra biometriske data.
• Vi foretager ingen biometrisk kategorisering, ingen ansigtsgenkendelse, ingen biometrisk identifikation og ingen registrering af beskyttede karakteristika såsom etnisk oprindelse, politisk overbevisning, religion, fagforeningsmedlemskab, helbred eller seksuel orientering.
• Evalueringsfunktioner som Idea Validation, Brand Analyser eller præstationsanalyser vedrører udelukkende indhold, mærke- og rækkeviddeoplysninger – ikke personer og ikke biometriske kendetegn.
• Oplysningsforpligtelserne i henhold til artikel 50, stk. 3, i EU’s AI-lovgivning vedrørende systemer til genkendelse af følelser og biometrisk kategorisering finder derfor ikke anvendelse hos os.

8.6 Forbudt brug: intime billeder uden samtykke og billeder af overgreb mod børn

• Artikel 5 i EU’s AI-lov forbyder AI-systemer, hvis rimeligt forudsigelige resultat er ikke-samtykkende intime fremstillinger (NCII) eller fremstillinger af seksuelt misbrug af børn (CSAM). Som udbyder af et generelt værktøj til generering af billeder og videoer vurderer vi allerede denne risiko for misbrug i udkastfasen og sørger for tekniske beskyttelsesforanstaltninger.
• Gennemførte beskyttelsesforanstaltninger:
• • Indtastningsfiltre, der blokerer relevante prompter, allerede inden billed- og videomodellerne aktiveres
• • Udskriftsfiltre samt sikkerhedsindstillingerne hos de anvendte modeludbydere
• • Blokering af indlæg, der er rettet mod mindreårige i en seksuel sammenhæng eller mod intime afbildninger af identificerbare personer
• • Spærring af Persona- og Voice-funktionerne uden den berørte persons dokumenterede samtykke (se afsnit 5.9)
• • Logning af blokerede forespørgsler med henblik på at opdage misbrug samt muligheden for at spærre de berørte konti
• Enhver brug af platformen til disse formål er strengt forbudt og medfører øjeblikkelig spærring af kontoen samt, hvis der er tegn på strafbare handlinger, inddragelse af de kompetente myndigheder.
• Anmeld misbrug: Du og tredjeparter kan til enhver tid anmelde overtrædelser på info@nexaluna.ai med emnet »Anmeld misbrug af AI«. Vi behandler indkomne anmeldelser med høj prioritet og bekræfter modtagelsen.
• Vi dokumenterer vores risikovurdering fra projekteringsfasen, de anvendte filtre og behandlingen af indberetninger internt og fremlægger disse på anmodning fra de kompetente myndigheder.

8.7 Rollfordeling: udbyder og operatør

• Udbyderen i henhold til EU’s AI-lov er Nexaluna AI Solutions UG (med begrænset ansvar) for AI-systemet PostMaestro.ai. Vi er underlagt udbyderforpligtelserne, herunder især den maskinlæsbare mærkning af udgivelser i henhold til artikel 50, stk. 2, og offentliggørelsen af AI-interaktionen i henhold til artikel 50, stk. 1.
• Du betragtes som operatør, så snart du bruger platformen på eget ansvar og offentliggør indhold, du selv har skabt. Du er underlagt operatørforpligtelserne, især oplysningspligten i henhold til artikel 50, stk. 4, vedrørende deepfakes og tekster af offentlig interesse.
• De anvendte basismodeller stammer fra tredjeparter (se afsnit 7). Deres udbydere er udbydere af de respektive AI-modeller; vi er udbydere af det AI-system, der bygger på disse.
• Vi fører internt et register over alle anvendte modeller med den respektive rollefordeling og opdaterer det, når der sker ændringer.
• Med henblik på AI-kompetence i henhold til artikel 4 i EU’s AI-lov uddanner vi vores medarbejdere i brugen af de anvendte AI-systemer og dokumenterer uddannelserne.

8.8 Tilsyn og klager

• Den kompetente markedstilsynsmyndighed, centrale kontaktpunkt og klageinstans for EU’s AI-lov i Tyskland er siden den 29. juli 2026 Bundesnetzagentur.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan til enhver tid indgive klager vedrørende AI-gennemsigtighed her. Vi beder dig om at kontakte os på forhånd via info@nexaluna.ai, så vi straks kan afklare din henvendelse.