Fortrolighedspolitik

5.1 Registrering og kontodata

• Ved registreringen indsamler vi følgende oplysninger:
• • E-mail-adresse (skal udfyldes)
• • Brugernavn (skal udfyldes)
• • Adgangskode (krypteret med bcrypt, mindst 8 tegn)
• • Kontotype (privat eller virksomhed)
• • Registreringstidspunkt
• • To-faktor-godkendelse (2FA) – valgfri, men anbefales
• Formål: Oprettelse og administration af din konto, autentificering, sikkerhed
• 2FA-dataene gemmes udelukkende lokalt på din enhed (scanning af QR-kode). Vi gemmer kun aktiveringsstatus.
• Bemærk: Du kan også vælge at registrere dig/logge ind via Google, Meta (Facebook), LinkedIn, TikTok eller X – se afsnit 5.1a for de oplysninger og tilladelser, der kræves i hvert enkelt tilfælde.
• For at beskytte mod automatiserede registreringer (bots) anvender vi Cloudflare Turnstile (se afsnit 10a.2).

5.1a Registrering og login via tredjepartsudbydere (social login)

• Ud over den klassiske registrering med e-mail og adgangskode kan du registrere dig eller logge ind på PostMaestro.ai via følgende tredjepartsudbydere. Disse forbindelser tjener udelukkende til oprettelse af konto og login og er uafhængige af de sociale medieforbindelser, der bruges til at offentliggøre indlæg (se afsnit 5.5) – der anmodes i hvert tilfælde om separate OAuth-tilladelser (scopes) med betydeligt mere begrænsede rettigheder:
• • Google (Scopes: openid, profile, email) – der overføres Google-ID, e-mail-adresse, fornavn/efternavn, profilbillede og sprog
• • Meta / Facebook-login (Scopes: public_profile, email) – følgende oplysninger overføres: Facebook-ID, e-mail-adresse, fornavn og efternavn, profilbillede og sprog
• • Instagram Business-login (omfang: instagram_business_basic) – der overføres Instagram-ID, brugernavn, visningsnavn og profilbillede (ingen e-mail-adresse – denne indhentes separat under onboarding)
• • LinkedIn (OpenID Connect, omfang: openid, profile, email) – der overføres LinkedIn-ID, e-mail-adresse, fornavn/efternavn, profilbillede og sprog
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – følgende oplysninger overføres: TikTok Open-ID, brugernavn, visningsnavn og profilbillede (TikTok stiller ikke en e-mailadresse til rådighed – indtil den indtastes under onboarding, anvendes der internt en pladsholderadresse)
• • X / Twitter (OAuth 2.0 med PKCE, omfang: users.read, users.email, tweet.read) – der overføres X-ID, brugernavn, visningsnavn, profilbillede samt – hvis det er godkendt på X – den bekræftede e-mail-adresse
• Disse scopes giver udelukkende adgang til at hente de grundlæggende profildata til oprettelse af en konto. Der offentliggøres ingen indlæg, der læses ingen beskeder, og der gives ingen adgang til dine kontakter.
• Hvis en allerede registreret e-mail-adresse oprettes på ny via en anden udbyder, genkender vi den eksisterende konto ud fra e-mail-adressen (uafhængigt af store og små bogstaver) og knytter den nye udbyder-ID til den efterfølgende (kontokobling) i stedet for at oprette en dobbelt konto.
• Hvis denne funktion er aktiveret i dine sikkerhedsindstillinger, sender vi ved hver login (også via social login) en e-mail-besked med tidspunkt, enhed, browser og omtrentlig placering. Placeringen fastslås på baggrund af din IP-adresse via tredjepartsudbyderen ipinfo.io (se afsnit 10a.1).
• Sletning af Meta-konto: Ved login via Meta (Facebook/Instagram) stiller vi de af Meta foreskrevne callback-endepunkter til rådighed til tilbagekaldelse af tilladelse og sletning af data. Hvis du fjerner appen i dine Facebook-kontoindstillinger eller anmoder om sletning af data der, modtager vi automatisk en tilsvarende anmodning og viser behandlingsstatus via en status-URL, der angives af Meta.

5.2 Brandprofiler og branddata

• Når vi opretter en brandprofil, gemmer vi:
• - Mærkenavn og beskrivelse
• - Websteds-URL (for Brand Analyser)
• - Uploadede brand guidelines og dokumenter
• - Analyserede branddata (farver, skrifttyper, tone of voice)
• - Logo og visuelle aktiver
• - Definitioner af målgrupper
• - Branche og kategori
• Formål: Oprettelse af markedskonformt indhold, håndtering af brandidentitet

5.3 Indholdsdata (indlæg, medier, kampagner)

• Når du bruger funktionen til indholdsoprettelse, gemmer vi:
• • Udarbejdede og planlagte indlæg på sociale medier (tekst, billedtekster, hashtags)
• • Uploaded og genererede billeder, videoer og grafik
• • Kampagnedata og skabeloner
• • Validering af ideer (swipe-data i Idea Generator)
• • Forskningsdokumenter
• • Indholdsstatus (Udkast, Gennemgang, Planlagt, Offentliggjort)
• • Udgivelsestidspunkter og -platforme
• • Mærknings- og oprindelsesoplysninger om genererede medier (indholdsklasse, mærkningsstatus, metadatastatus) samt Deres bekræftelse af den redaktionelle gennemgang af genererede tekster
• Formål: Indholdsstyring, planlægning, automatisering, arkivering samt dokumentation af forpligtelserne vedrørende AI-gennemsigtighed
• I det omfang det er teknisk muligt, indeholder genererede mediefiler mærkningsoplysninger, metadata eller tilsvarende tekniske indikatorer, der angiver, at der er tale om AI-genereret eller AI-understøttet indhold (se afsnit 8.2).

5.4 Brugsdata og analyser

• Vi gemmer data for at forbedre platformen:
• - Login-tider og sessionsvarighed
• - Anvendte egenskaber og funktioner
• - Token-forbrug og faktureringsdata
• - Fejlrapporter og præstationsdata
• - Feedback og supportanmodninger
• Formål: Forbedring af platformen, fejlanalyse, support, fakturering

5.5 Links til sociale medieplatforme (offentliggørelse)

• Når du forbinder sociale medie-konti med henblik på offentliggørelse (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, egen hjemmeside), anmoder hver platform via OAuth kun om de tilladelser (scopes), der er nødvendige i den forbindelse. Disse forbindelser er uafhængige af social login til kontooprettelse (se afsnit 5.1a).
• OAuth-adgangs- og opdateringstokener gemmes i databasen med AES-256-GCM-kryptering for hver platform (se afsnit 10). Udløbne tokener, der ikke kan fornyes, ugyldiggøres automatisk.
• I de følgende afsnit beskrives det for hver platform, hvilke data der behandles, hvad de bruges til, og hvornår de slettes. Platformsdataene anvendes udelukkende til administration af den pågældende kundes tilknyttede tilstedeværelse.
• Du kan til enhver tid afbryde enhver forbindelse i indstillingerne. Vi anbefaler desuden, at du tilbagekalder appens tilladelse direkte på den pågældende platform (f.eks. i indstillingerne for din LinkedIn- eller Meta-konto).

5.6 Team- og firmakontodata

• For virksomhedskonti med flere brugere gemmer vi også data:
• - Teammedlemmer og deres roller
• - Autorisationer og adgangskontrol
• - Godkendelsesworkflows og kommentarer
• - Aktivitetslogs (revisionslog)
• Formål: Teamsamarbejde, adgangskontrol, overholdelse af regler

5.7 Notifikationer (i appen, push-beskeder og e-mail)

• PostMaestro.ai informerer dig om begivenheder på din konto, f.eks. kommentarer og omtaler, afsluttede genereringer, offentliggørelser, team-invitationer, afregning, sikkerhed og vedligeholdelse. I den forbindelse behandler vi:
• • Notifikationer i din indbakke (klokke), herunder status for læst og skjult
• • Dine notifikationsindstillinger for hver kanal, kategori, område og teamgruppe
• • Til push-beskeder (mobilapp og browser): enhedstoken, et tilfældigt enheds-ID, enhedsnavn, platform, app-version samt tidspunktet for sidste brug
• • Om appen er åben på en enhed i øjeblikket (synlighedssignal, gyldigt i 90 sekunder), så du ikke modtager en ekstra push-besked på den enhed, du lige nu bruger
• Vi sender push-beskeder via Firebase Cloud Messaging (Google) og e-mail-beskeder via SendGrid (se afsnit 6.3).
• Du kan slå valgfri notifikationer til og fra for hver kanal under Indstillinger → Notifikationer; push-notifikationer kan desuden konfigureres i indstillingerne på din enhed eller i din browser.
• Meddelelser, der er nødvendige for brugen af din konto (f.eks. betalingsproblemer, krav om tofaktorautentificering, vedligeholdelse, ændringer i de generelle vilkår), sender vi uafhængigt af disse indstillinger i appen og via e-mail. Login-meddelelser er undtaget herfra og er frivillige (se afsnit 12.1). I undtagelsestilfælde – f.eks. ved vedligeholdelsesarbejde eller sikkerhedsrelevante meddelelser – kan vi også vise meddelelser uafhængigt af dine kategorindstillinger i appen og via push-beskeder; sådanne meddelelser er markeret som »Vigtigt«.
• Du modtager kun reklamemails (f.eks. om nye funktioner), hvis du har tilmeldt dig nyhedsbrevet (afsnit 6).

5.8 Nyheder, forskning og RSS-feeds

• Platformen tilbyder en nyhedsfunktion, der som standard bruger AI-støttet forskning (via Perplexity AI) til at levere relevante branchenyheder. Du kan også tilføje dine egne RSS-feeds. På den måde behandler vi:
• - Søgeforespørgsler og emnepræferencer for AI-understøttede nyhedssøgninger
• - URL'erne til de RSS-feeds, du har tilføjet
• - Dine præferencer og kategoriseringer for disse feeds
• - Læs eller gem artikler
• Platformen henter indholdet af tredjepartsfeeds via vores servere, så din IP-adresse ikke overføres til operatørerne af RSS-feeds. Når du bruger den AI-understøttede nyhedssøgning, overføres dine søgeforespørgsler til Perplexity AI (se afsnit 7.3).
• Formål: At levere personaliserede branchenyheder, forskning og inspiration til indhold.

6.1 Double-opt-in-procedure

Efter tilmelding via hjemmesiden modtager du en e-mail med et bekræftelseslink. Først når du har klikket på det, tilføjer vi dig til mailinglisten. Ikke-bekræftede tilmeldinger sletter vi efter 30 dage; vi sender ikke en påmindelse.

Når du registrerer dig i appen, bekræfter du abonnementet ved at klikke på linket i bekræftelses-e-mailen til din konto, hvor vi gør særskilt opmærksom på dette.

Dette forhindrer tilmelding med fremmede e-mail-adresser.

6.2 Bevis for dit samtykke

For at kunne dokumentere, at du har givet dit samtykke (art. 7, stk. 1, i GDPR), registrerer vi tilmelding, bekræftelse og afmelding med tidspunkt, oprindelse, IP-adresse, browser-ID og versionen af den viste samtykketekst.

Vi opbevarer denne logfil i 3 år efter din afmelding og sletter den derefter automatisk.

6.3 SendGrid (e-mail-udsendelse)

Til udsendelse af nyhedsbrevet samt service- og notifikations-e-mails bruger vi SendGrid (Twilio Inc., USA).

SendGrid behandler din e-mailadresse og indholdet af e-mailen på vores vegne og rapporterer tekniske leveringshændelser til os (leveret, ikke leverbar, rapporteret som spam, afmeldt). Vi bruger disse hændelser til at holde adresselisten opdateret: Adresser, der ikke kan leveres til, og spam-anmeldelser fører til, at adressen spærres.

Vi har indgået en databehandleraftale (DBA) med SendGrid i henhold til artikel 28 i GDPR. SendGrid er certificeret i henhold til EU-US Data Privacy Framework.

Yderligere oplysninger: https://www.twilio.com/legal/privacy

Twilio (SendGrid)s privatlivspolitik

6.4 Sporing af nyhedsbreve

Vi måler i øjeblikket hverken åbninger eller klik.

Inden vi indfører sådanne statistikker, informerer vi dig på forhånd og indhenter – i det omfang det er nødvendigt – dit samtykke.

6.5 Afmelding

Du kan til enhver tid afmelde dig nyhedsbrevet:

• via afmeldingslinket i hver e-mail eller afmeldingsfunktionen i dit e-mailprogram

• via formularen nederst i dette afsnit: Indtast din e-mail-adresse, så sender vi dig et link til bekræftelse af afmeldingen

• i din PostMaestro-konto under Indstillinger → Notifikationer

• via e-mail til support@postmaestro.ai

Efter afmelding modtager du ikke længere nyhedsbreve. Din adresse er da ikke længere på adresselisten; kun dokumentationen i henhold til afsnit 6.2 opbevares.

8.1 Offentliggørelse af interaktion med et AI-system

• I PostMaestro.ai interagerer du direkte med AI-systemer. Alle funktioner, der genererer, vurderer, opsummerer, oversætter eller omskriver indhold, er AI-baserede og markeret som sådan i brugergrænsefladen.
• Meddelelsen skal vises inden den første interaktion og skal være klar, forståelig og tydeligt adskilt fra de øvrige betjeningselementer (artikel 50, stk. 1, i EU’s AI-lov).
• Vi stiller disse oplysninger til rådighed på en tilgængelig måde og tilpasser dem til de anerkendte krav til tilgængelighed (artikel 50, stk. 5, i EU’s lov om kunstig intelligens).
• AI’s svar og forslag kan være ufuldstændige, forældede eller faktuelt forkerte. De udgør ikke juridisk, skattemæssig, medicinsk eller finansiel rådgivning.

8.2 Maskinlæsbar mærkning af genereret indhold

• I henhold til artikel 50, stk. 2, i EU’s AI-lov skal indhold genereret af AI-systemer, der frembringer syntetiske billed-, lyd-, video- eller tekstindhold, mærkes som kunstigt genereret eller manipuleret i et maskinlæsbart format. Mærkningen skal være effektiv, interoperabel, robust og pålidelig.
• Vi opfylder dette krav ved hjælp af flere, indbyrdes supplerende metoder, da ingen enkelt metode i sig selv – ud fra den nuværende tekniske stand – kan opnå den krævede robusthed:
• • Metadata om oprindelse i filen: Ved eksporten indsætter vi XMP- og IPTC-metadata i de genererede mediefiler, især IPTC-feltet „Digital Source Type“ med værdien „trainedAlgorithmicMedia“ samt oplysninger om det anvendte AI-system, modelversion og genereringstidspunkt.
• • Content Credentials (C2PA): For genererede billed- og videofiler integrerer vi en kryptografisk signeret oprindelsesangivelse i henhold til C2PA-standarden i udgivelsespipeline.
• • Vandmærker fra udbyderen: I det omfang den pågældende modeludbyder leverer usynlige vandmærker, bevares disse og fjernes ikke. For billedmodellerne fra Google Gemini er der tale om vandmærkemetoden SynthID.
• • Validering: Efter skrivningen læser vi markeringen ind igen og registrerer en status for hver fil (udestående, gyldig, mangler, fjernet). Hvis indlejringen mislykkes, pålægger vi en synlig markering for følsomme indholdsklasser.
• Mærkningen indstilles på serversiden, inden en fil gemmes eller leveres, så den overlever rendering, upload og download. Teknisk set kan det ikke udelukkes, at tredjeparter eller målplatforme fjerner metadata ved genupload, komprimering eller beskæring. I dette tilfælde er den synlige markering din sikkerhedsforanstaltning (se 8.3).
• Gennemførelsesstatus og frist: Gennemsigtighedskravene i artikel 50 i EU’s AI-lov træder i kraft den 2. august 2026. For AI-systemer, der – ligesom PostMaestro.ai – allerede var på markedet før dette tidspunkt, gælder en overgangsperiode frem til den 2. december 2026. Vi gennemfører de ovenfor beskrevne procedurer fuldt ud inden for denne frist og dokumenterer implementeringsstatus internt.
• En henvisning i denne privatlivspolitik alene opfylder ikke artikel 50, stk. 2, i EU’s AI-lov. Det afgørende er den maskinlæsbare markering på selve filen.

8.3 Dine forpligtelser som udbyder i forbindelse med deepfakes

• Når du offentliggør indhold, der er genereret med PostMaestro.ai, er du »operatør« i henhold til EU’s AI-lov. I dette tilfælde påhviler oplysningspligten i henhold til artikel 50, stk. 4, i EU’s AI-lov dig og ikke os.
• Hvis du skaber eller redigerer billed-, lyd- eller videoindhold, der ligner virkelige personer, genstande, steder, institutioner eller begivenheder på en måde, der kan forveksles med virkeligheden („deepfakes“), skal du ved offentliggørelsen oplyse, at indholdet er kunstigt fremstillet eller manipuleret.
• Ifølge Europa-Kommissionens retningslinjer gælder denne forpligtelse uafhængigt af, om der foreligger en hensigt om vildledning, og også selvom der ikke er afbildet en konkret, virkelig person. Den finder derfor regelmæssigt anvendelse på indlæg på sociale medier.
• Som hjælp stiller vi følgende til rådighed: en synlig markering som standardindstilling for følsomme indholdskategorier, et forslag til en advarselstekst ved eksport og en bemærkning i publiceringsforløbet.
• Standardindstillingen er altid »markeret«. Deaktivering skal dokumenteres: Vi gemmer tidspunktet, brugerkontoen, arbejdsområdet og versionen af bekræftelsesteksten. For fotorealistiske personafbildninger og syntetiske stemmer er deaktivering ikke mulig.
• Du må ikke fjerne, deaktivere, omgå eller forringe funktionen af de mærknings- og oplysningsmekanismer, som vi stiller til rådighed (se afsnit 6.4 i de generelle forretningsbetingelser).
• Denne forpligtelse gælder ud over de mærkningskrav, der gælder på den pågældende sociale medieplatform. Det er op til dig selv at vurdere, om der i det enkelte tilfælde foreligger en oplysningspligt.

8.4 AI-genererede tekster og redaktionelt ansvar

• Hvad angår tekster, er artikel 50 i EU AI Act formuleret betydeligt snævrere end for billeder, lyd og video. Der foreligger kun en oplysningspligt, hvis alle tre følgende betingelser er opfyldt:
• 1. Teksten er genereret eller manipuleret ved hjælp af kunstig intelligens.
• 2. Teksten offentliggøres.
• 3. Formålet med offentliggørelsen er at informere offentligheden om forhold af almen interesse – f.eks. nyheder, politiske eller samfundsmæssige udtalelser og bidrag til offentlige debatter.
• Mærkningspligten bortfalder, hvis indholdet er blevet underkastet en manuel gennemgang eller redaktionel kontrol, og en fysisk eller juridisk person bærer det redaktionelle ansvar for offentliggørelsen.
• Der findes ikke et generelt krav om mærkning af alle AI-genererede tekster. Den, der bruger AI som et hjælpeværktøj, redaktionelt gennemgår teksterne og selv påtager sig ansvaret for dem, er som regel ikke underlagt noget yderligere mærkningskrav.
• PostMaestro.ai er netop udviklet med dette formål for øje: De genererede tekster er forslag. Inden planlægning eller offentliggørelse kræver vi en udtrykkelig bekræftelse på, at du har gennemgået teksten og påtager dig det redaktionelle ansvar. Vi registrerer denne bekræftelse med tidspunkt, brugerkonto og tekstversion, så undtagelsen forbliver dokumenterbar.
• I vejledningen står der: »Denne tekst er et forslag. Kontroller den venligst inden offentliggørelsen. Ved at kontrollere den påtager du dig det redaktionelle ansvar.«
• Uden denne kontrol må De ikke offentliggøre genererede tekster som redaktionelt ansvarligt indhold; i så fald kan oplysningspligten i henhold til artikel 50, stk. 4, i EU’s AI-lov finde anvendelse.

8.5 Ingen følelsesgenkendelse og ingen biometrisk kategorisering

• PostMaestro.ai anvender ikke systemer til følelsesgenkendelse og udleder ikke følelser, følelsestilstande eller intentioner ud fra biometriske data.
• Vi foretager ingen biometrisk kategorisering, ingen ansigtsgenkendelse, ingen biometrisk identifikation og ingen registrering af beskyttede karakteristika såsom etnisk oprindelse, politisk overbevisning, religion, fagforeningsmedlemskab, helbred eller seksuel orientering.
• Evalueringsfunktioner som Idea Validation, Brand Analyser eller præstationsanalyser vedrører udelukkende indhold, mærke- og rækkeviddeoplysninger – ikke personer og ikke biometriske kendetegn.
• Oplysningsforpligtelserne i henhold til artikel 50, stk. 3, i EU’s AI-lovgivning vedrørende systemer til genkendelse af følelser og biometrisk kategorisering finder derfor ikke anvendelse hos os.

8.6 Forbudt brug: intime billeder uden samtykke og billeder af overgreb mod børn

• Artikel 5 i EU’s AI-lov forbyder AI-systemer, hvis rimeligt forudsigelige resultat er ikke-samtykkende intime fremstillinger (NCII) eller fremstillinger af seksuelt misbrug af børn (CSAM). Som udbyder af et generelt værktøj til generering af billeder og videoer vurderer vi allerede denne risiko for misbrug i udkastfasen og sørger for tekniske beskyttelsesforanstaltninger.
• Gennemførte beskyttelsesforanstaltninger:
• • Indtastningsfiltre, der blokerer relevante prompter, allerede inden billed- og videomodellerne aktiveres
• • Udskriftsfiltre samt sikkerhedsindstillingerne hos de anvendte modeludbydere
• • Blokering af indlæg, der er rettet mod mindreårige i en seksuel sammenhæng eller mod intime afbildninger af identificerbare personer
• • Spærring af Persona- og Voice-funktionerne uden den berørte persons dokumenterede samtykke (se afsnit 5.9)
• • Logning af blokerede forespørgsler med henblik på at opdage misbrug samt muligheden for at spærre de berørte konti
• Enhver brug af platformen til disse formål er strengt forbudt og medfører øjeblikkelig spærring af kontoen samt, hvis der er tegn på strafbare handlinger, inddragelse af de kompetente myndigheder.
• Anmeld misbrug: Du og tredjeparter kan til enhver tid anmelde overtrædelser på info@nexaluna.ai med emnet »Anmeld misbrug af AI«. Vi behandler indkomne anmeldelser med høj prioritet og bekræfter modtagelsen.
• Vi dokumenterer vores risikovurdering fra projekteringsfasen, de anvendte filtre og behandlingen af indberetninger internt og fremlægger disse på anmodning fra de kompetente myndigheder.

8.7 Rollfordeling: udbyder og operatør

• Udbyderen i henhold til EU’s AI-lov er Nexaluna AI Solutions UG (med begrænset ansvar) for AI-systemet PostMaestro.ai. Vi er underlagt udbyderforpligtelserne, herunder især den maskinlæsbare mærkning af udgivelser i henhold til artikel 50, stk. 2, og offentliggørelsen af AI-interaktionen i henhold til artikel 50, stk. 1.
• Du betragtes som operatør, så snart du bruger platformen på eget ansvar og offentliggør indhold, du selv har skabt. Du er underlagt operatørforpligtelserne, især oplysningspligten i henhold til artikel 50, stk. 4, vedrørende deepfakes og tekster af offentlig interesse.
• De anvendte basismodeller stammer fra tredjeparter (se afsnit 7). Deres udbydere er udbydere af de respektive AI-modeller; vi er udbydere af det AI-system, der bygger på disse.
• Vi fører internt et register over alle anvendte modeller med den respektive rollefordeling og opdaterer det, når der sker ændringer.
• Med henblik på AI-kompetence i henhold til artikel 4 i EU’s AI-lov uddanner vi vores medarbejdere i brugen af de anvendte AI-systemer og dokumenterer uddannelserne.

8.8 Tilsyn og klager

• Den kompetente markedstilsynsmyndighed, centrale kontaktpunkt og klageinstans for EU’s AI-lov i Tyskland er siden den 29. juli 2026 Bundesnetzagentur.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan til enhver tid indgive klager vedrørende AI-gennemsigtighed her. Vi beder dig om at kontakte os på forhånd via info@nexaluna.ai, så vi straks kan afklare din henvendelse.