Privacybeleid

5.1 Registratie en accountgegevens

• Bij de registratie verzamelen wij:
• • E-mailadres (verplicht)
• • Gebruikersnaam (verplicht)
• • Wachtwoord (versleuteld met bcrypt, minimaal 8 tekens)
• • Accounttype (persoonlijk of zakelijk)
• • Tijdstip van registratie
• • Tweefactorauthenticatie (2FA) – optioneel, maar aanbevolen
• Doel: het aanmaken en beheren van uw account, authenticatie, beveiliging
• De 2FA-gegevens worden uitsluitend lokaal op uw apparaat opgeslagen (scannen van de QR-code). Wij slaan alleen de activeringsstatus op.
• Opmerking: U kunt zich ook registreren of aanmelden via Google, Meta (Facebook), LinkedIn, TikTok of X – zie paragraaf 5.1a voor de gegevens en machtigingen die daarbij worden gevraagd.
• Om ons te beschermen tegen geautomatiseerde registraties (bots) maken we gebruik van Cloudflare Turnstile (zie paragraaf 10a.2).

5.1a Registratie en aanmelding via derde partijen (social login)

• Naast de klassieke registratie met e-mailadres en wachtwoord kunt u zich bij PostMaestro.ai registreren of aanmelden via de volgende externe diensten. Deze koppelingen dienen uitsluitend voor het aanmaken van een account en het inloggen en staan los van de koppelingen met sociale media voor het publiceren van berichten (zie paragraaf 5.5) – er worden telkens aparte, aanzienlijk beperktere OAuth-machtigingen (scopes) aangevraagd:
• • Google (Scopes: openid, profile, email) – de volgende gegevens worden doorgegeven: Google-ID, e-mailadres, voor- en achternaam, profielfoto en taal
• • Meta / Facebook-login (Scopes: public_profile, email) – de volgende gegevens worden doorgegeven: Facebook-ID, e-mailadres, voor- en achternaam, profielfoto en taal
• • Instagram Business-login (Scope: instagram_business_basic) – de volgende gegevens worden doorgegeven: Instagram-ID, gebruikersnaam, weergavenaam en profielfoto (geen e-mailadres – dit wordt apart gevraagd tijdens de onboarding)
• • LinkedIn (OpenID Connect, scopes: openid, profile, email) – de volgende gegevens worden doorgegeven: LinkedIn-ID, e-mailadres, voor- en achternaam, profielfoto en taal
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – de volgende gegevens worden doorgegeven: TikTok Open-ID, gebruikersnaam, weergavenaam en profielfoto (TikTok verstrekt geen e-mailadres – totdat dit tijdens de onboarding wordt ingevoerd, wordt intern een tijdelijk adres gebruikt)
• • X / Twitter (OAuth 2.0 met PKCE, scopes: users.read, users.email, tweet.read) – de volgende gegevens worden doorgegeven: X-ID, gebruikersnaam, weergavenaam, profielfoto en – indien bij X vrijgegeven – het bevestigde e-mailadres
• Met deze scopes kunnen uitsluitend de basisprofielgegevens worden uitgelezen voor het aanmaken van een account. Er worden geen berichten gepubliceerd, geen berichten gelezen en er wordt geen toegang tot uw contacten verleend.
• Als een reeds geregistreerd e-mailadres zich via een andere provider opnieuw aanmeldt, herkennen we het bestaande account aan de hand van het e-mailadres (ongeacht hoofdletters en kleine letters) en koppelen we de nieuwe provider-ID achteraf (accountkoppeling), in plaats van een dubbel account aan te maken.
• Indien dit in uw beveiligingsinstellingen is ingeschakeld, sturen wij bij elke aanmelding (ook via social login) een e-mailmelding met het tijdstip, het apparaat, de browser en de geschatte locatie. De locatie wordt op basis van uw IP-adres bepaald via de derde partij ipinfo.io (zie paragraaf 10a.1).
• Verwijdering van een Meta-account: Voor het inloggen via Meta (Facebook/Instagram) stellen wij de door Meta voorgeschreven callback-eindpunten voor het intrekken van de autorisatie en het verwijderen van gegevens ter beschikking. Als u de app verwijdert in uw Facebook-accountinstellingen of daar een verzoek indient om uw gegevens te verwijderen, ontvangen wij automatisch een desbetreffend verzoek en maken wij de verwerkingsstatus beschikbaar via een door Meta weergegeven status-URL.

5.2 Merkprofielen en merkgegevens

• Bij het maken van een merkprofiel slaan we op:
• - Merknaam en beschrijving
• - Website URL (voor Merkanalysator)
• - Upload merkrichtlijnen en documenten
• - Merkgegevens geanalyseerd (kleuren, lettertypen, tone of voice)
• - Logo en visuele middelen
• - Doelgroepdefinities
• - Industrie en categorie
• Doel: Creëren van marktconforme inhoud, beheer van merkidentiteit

5.3 Inhoudelijke gegevens (berichten, media, campagnes)

• Bij het gebruik van de functie voor het aanmaken van content slaan we het volgende op:
• • Opgestelde en geplande posts op sociale media (tekst, bijschriften, hashtags)
• • Geüploade en gegenereerde afbeeldingen, video's en grafieken
• • Campagnegegevens en sjablonen
• • Validering van ideeën (swipe-gegevens in de Idea Generator)
• • Onderzoeksdocumenten
• • Status van de inhoud (concept, ter beoordeling, gepland, gepubliceerd)
• • Publicatietijdstippen en -platforms
• • Kenmerk- en herkomstgegevens van gegenereerde media (inhoudsklasse, kenmerkstatus, metadatastatus) en uw bevestiging van de redactionele controle van gegenereerde teksten
• Doel: contentbeheer, planning, automatisering, archivering en het aantonen van de transparantieverplichtingen op het gebied van AI
• Voor zover dit technisch haalbaar is, bevatten gegenereerde mediabestanden identificatiegegevens, metagegevens of vergelijkbare technische indicatoren die aangeven dat het om door AI gegenereerde of door AI ondersteunde inhoud gaat (zie paragraaf 8.2).

5.4 Gebruiksgegevens en analyses

• We slaan gegevens op om het platform te verbeteren:
• - Inlogtijden en duur van sessies
• - Gebruikte functies en kenmerken
• - Verbruiks- en factureringsgegevens van tokens
• - Foutrapporten en prestatiegegevens
• - Feedback en ondersteuningsverzoeken
• Doel: Platformverbetering, foutenanalyse, ondersteuning, facturering

5.5 Koppelingen naar sociale-mediaplatforms (publicatie)

• Wanneer u socialemedia-accounts koppelt om berichten te publiceren (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, eigen website), vraagt elk platform via OAuth alleen de daarvoor benodigde machtigingen (scopes) op. Deze koppelingen staan los van de social login voor het inloggen op uw account (zie paragraaf 5.1a). Wij slaan daarbij het volgende op:
• • OAuth-toegangs- en vernieuwingstokens per platform, versleuteld met AES-256-GCM en opgeslagen in de database (zie paragraaf 10)
• • ID’s van platformaccounts, pagina’s en kanalen, evenals de weergavenaam, profielfoto of logo
• • Op LinkedIn bovendien: door u beheerde bedrijfspagina’s (ID, naam, logo) voor het selecteren van de publicatiebestemming
• • Op Facebook/Instagram/WhatsApp: automatisch herkende koppelingen tussen een Facebook-pagina, een Instagram-zakelijk account en een WhatsApp-zakelijk account (het ‘meenemen’ van gekoppelde accounts bij het tot stand brengen van de verbinding)
• • Vervaldatum van het toegangstoken voor automatische verlenging (bijvoorbeeld bij X en Wix)
• • Bij WordPress, eigen website: de door u opgegeven inloggegevens (applicatiewachtwoord of endpoint-URL en secret) in plaats van een OAuth-token
• Deze gegevens worden uitsluitend gebruikt om namens u berichten op de gekoppelde accounts te publiceren en de bijbehorende statistieken (Analytics) binnen PostMaestro.ai weer te geven. Toegang tot privéberichten of contacten vindt uitsluitend plaats in het kader van de door u geactiveerde Community Manager-functie (Facebook Messenger, Instagram Direct, WhatsApp).
• U kunt elke verbinding op elk moment in de instellingen verbreken. Daarnaast raden we u aan om de app-toestemming rechtstreeks op het betreffende platform in te trekken (bijvoorbeeld in de Meta-accountinstellingen).

5.6 Team- en bedrijfsaccountgegevens

• Voor bedrijfsaccounts met meerdere gebruikers slaan we ook gegevens op:
• - Teamleden en hun rollen
• - Autorisaties en toegangscontrole
• - Goedkeuringsworkflows en opmerkingen
• - Activiteitenlogboeken (auditlogboek)
• Doel: Teamsamenwerking, toegangscontrole, naleving

5.7 Pushmeldingen (mobiele app)

• Als u onze mobiele app gebruikt en pushmeldingen inschakelt, verwerken wij:
• • Apparaattoken (Device Token) voor het verzenden van meldingen
• • Voorkeuren voor meldingen
• Voor het verzenden van pushmeldingen maken we gebruik van Firebase Cloud Messaging (Google).
• U kunt pushmeldingen op elk moment uitschakelen in de instellingen van uw apparaat.

5.8 Nieuws, onderzoek en RSS-feeds

• Het platform biedt een nieuwsfunctie die standaard gebruikmaakt van AI-ondersteund onderzoek (via Perplexity AI) om relevant nieuws uit de branche te bieden. Je kunt ook je eigen RSS-feeds toevoegen. Daarbij verwerken we:
• - Zoekopdrachten en onderwerpvoorkeuren voor AI-ondersteunde nieuwszoekopdrachten
• - De URL's van de RSS-feeds die je hebt toegevoegd
• - Je voorkeuren en categorisaties voor deze feeds
• - Artikelen lezen of opslaan
• Het platform haalt de inhoud van de feeds van derden op via onze servers, zodat je IP-adres niet wordt doorgegeven aan de beheerders van de RSS-feeds. Als je de AI-ondersteunde nieuwszoekfunctie gebruikt, worden je zoekopdrachten doorgestuurd naar Perplexity AI (zie sectie 7.3).
• Doel: Gepersonaliseerd nieuws, onderzoek en inspiratie bieden voor de sector

6.1 Dubbele opt-in procedure

Nadat je je hebt ingeschreven voor de nieuwsbrief, ontvang je een bevestigingsmail.

Je wordt pas toegevoegd aan de mailinglijst voor de nieuwsbrief nadat je op de bevestigingslink hebt geklikt.

Dit dient ter bescherming tegen misbruik van uw e-mailadres.

6.2 SendGrid (e-mailverzending)

We gebruiken SendGrid (Twilio Inc., VS) om nieuwsbrieven te versturen.

SendGrid verwerkt uw e-mailadres namens ons voor het verzenden van de nieuwsbrief.

We hebben een orderverwerkingsovereenkomst (AVV) gesloten met SendGrid in overeenstemming met art. 28 GDPR.

SendGrid is EU-VS Data Privacy Framework gecertificeerd.

Meer informatie: https://www.twilio.com/legal/privacy

Privacybeleid van Twilio (SendGrid)

6.3 Nieuwsbrief bijhouden

Huidig: geen tracking van open rates of kliks

Gepland: Opt-in voor nieuwsbriefstatistieken (openingspercentage, klikken bijhouden)

U wordt geïnformeerd voordat tracking wordt geactiveerd en u kunt uw toestemming geven of weigeren.

6.4 Annulering

U kunt zich op elk gewenst moment afmelden voor de nieuwsbrief:

- Via de afmeldlink in elke nieuwsbriefmail

- Per e-mail naar newsletter@nexaluna.ai

- In de instellingen van je account (indien beschikbaar)

Na annulering worden uw gegevens verwijderd uit de distributielijst van de nieuwsbrief.

8.1 Bekendmaking van de interactie met een AI-systeem

• In PostMaestro.ai werkt u rechtstreeks met AI-systemen. Alle functies die inhoud genereren, beoordelen, samenvatten, vertalen of herschrijven, zijn AI-gestuurd en worden in de gebruikersinterface als zodanig aangeduid.
• De mededeling wordt vóór de eerste interactie gegeven, is duidelijk, begrijpelijk en duidelijk te onderscheiden van de overige bedieningselementen (art. 50, lid 1, EU AI-wet).
• Wij stellen deze informatie toegankelijk beschikbaar en stemmen deze af op de erkende toegankelijkheidseisen (art. 50, lid 5, EU AI Act).
• Antwoorden en suggesties van de AI kunnen onvolledig, verouderd of feitelijk onjuist zijn. Ze vormen geen juridisch, fiscaal, medisch of financieel advies.

8.2 Machinaal leesbare markering van gegenereerde inhoud

• Volgens artikel 50, lid 2, van de EU AI Act moeten de outputs van AI-systemen die synthetische beeld-, audio-, video- of tekstinhoud genereren, in een machinaal leesbaar formaat worden gemarkeerd als kunstmatig gegenereerd of gemanipuleerd. De markering moet doeltreffend, interoperabel, robuust en betrouwbaar zijn.
• We voldoen aan deze eis door middel van meerdere, elkaar aanvullende procedures, aangezien volgens de huidige stand van de techniek geen enkele procedure op zichzelf de vereiste robuustheid bereikt:
• • Metagegevens over de herkomst in het bestand: Bij het exporteren voegen we XMP- en IPTC-metadata toe aan de gegenereerde mediabestanden, met name het IPTC-veld „Digital Source Type“ met de waarde „trainedAlgorithmicMedia“, evenals informatie over het gebruikte AI-systeem, de modelversie en het tijdstip van generatie.
• • Content Credentials (C2PA): Voor gegenereerde beeld- en videobestanden integreren we een cryptografisch ondertekende herkomstvermelding volgens de C2PA-standaard in de uitvoerpijplijn.
• • Watermerken van de aanbieder: Voor zover de betreffende modelaanbieder onzichtbare watermerken meelevert, blijven deze behouden en worden ze niet verwijderd. Bij de beeldmodellen van Google Gemini gaat het om de SynthID-watermerkmethode.
• • Validatie: Na het schrijven lezen we de markering opnieuw uit en registreren we per bestand een status (in behandeling, geldig, ontbreekt, verwijderd). Als het insluiten mislukt, zorgen we ervoor dat gevoelige inhoudsklassen zichtbaar worden gemarkeerd.
• De markering wordt aan de serverzijde aangebracht voordat een bestand wordt opgeslagen of verzonden, zodat deze het renderen, uploaden en downloaden doorstaat. Technisch gezien kan niet worden uitgesloten dat derden of doelplatforms metadata verwijderen bij het opnieuw uploaden, comprimeren of bijsnijden. In dat geval blijft de zichtbare markering uw waarborg (zie 8.3).
• Stand van zaken en termijn: De transparantieverplichtingen van artikel 50 van de EU AI-wet zijn van kracht sinds 2 augustus 2026. Voor AI-systemen die – zoals PostMaestro.ai – al vóór die datum op de markt waren, geldt een overgangsperiode tot 2 december 2026. Wij zullen de hierboven beschreven procedures binnen deze termijn volledig implementeren en de stand van zaken intern documenteren.
• Een vermelding in deze privacyverklaring alleen voldoet niet aan artikel 50, lid 2, van de EU AI-wet. Doorslaggevend is de machinaal leesbare markering op het bestand zelf.

8.3 Uw verplichtingen als exploitant met betrekking tot deepfakes

• Als u met PostMaestro.ai gegenereerde inhoud publiceert, bent u de „exploitant“ in de zin van de EU-AI-wet. De openbaarmakingsplicht overeenkomstig artikel 50, lid 4, van de EU-AI-wet rust in dit geval op u en niet op ons.
• Als u beeld-, audio- of videocontent maakt of bewerkt die tot op het eerste gezicht lijkt op echte personen, voorwerpen, plaatsen, instellingen of gebeurtenissen („deepfakes“), moet u bij de publicatie vermelden dat de content kunstmatig is gegenereerd of gemanipuleerd.
• Volgens de richtsnoeren van de Europese Commissie geldt deze verplichting ongeacht of er sprake is van bedrieglijke opzet en ook wanneer er geen concrete, bestaande persoon wordt afgebeeld. Voor publicaties op sociale media is deze verplichting dan ook doorgaans van toepassing.
• Ter ondersteuning bieden we het volgende aan: een zichtbare markering als standaardinstelling voor gevoelige inhoudsklassen, een voorstel voor een waarschuwingstekst bij het exporteren en een melding in het publicatieproces.
• De standaardinstelling is altijd „gemarkeerd“. Het uitschakelen hiervan moet worden gedocumenteerd: we slaan het tijdstip, het gebruikersaccount, de werkruimte en de versie van de bevestigingstekst op. Voor fotorealistische afbeeldingen van personen en synthetische stemmen is uitschakeling uitgesloten.
• U mag de door ons ter beschikking gestelde identificatie- en openbaarmakingsmechanismen niet verwijderen, uitschakelen, omzeilen of in hun werking belemmeren (zie Algemene Voorwaarden, paragraaf 6.4).
• Deze verplichting geldt naast de etiketteringsvoorschriften van het betreffende sociale-mediaplatform. U moet zelf nagaan of er in een concreet geval sprake is van een openbaarmakingsverplichting.

8.4 Door AI gegenereerde teksten en redactionele verantwoordelijkheid

• Voor teksten is artikel 50 van de EU AI Act aanzienlijk strakker geformuleerd dan voor beeld, audio en video. Er geldt alleen een openbaarmakingsplicht als aan alle drie de volgende voorwaarden is voldaan:
• 1. De tekst is door AI gegenereerd of gemanipuleerd.
• 2. De tekst wordt gepubliceerd.
• 3. De publicatie heeft tot doel het publiek te informeren over zaken van algemeen belang – zoals nieuws, politieke of maatschappelijke standpunten en bijdragen aan publieke debatten.
• De vermeldingsplicht vervalt wanneer de inhoud door een mens is gecontroleerd of redactioneel is beoordeeld en een natuurlijke of rechtspersoon de redactionele verantwoordelijkheid voor de publicatie draagt.
• Er bestaat geen algemene verplichting om elke door AI gegenereerde tekst te markeren. Wie AI als hulpmiddel gebruikt, de teksten redactioneel controleert en daar zelf verantwoordelijkheid voor draagt, is in de regel niet onderworpen aan een aanvullende markeerverplichting.
• PostMaestro.ai is precies daarop afgestemd: gegenereerde teksten zijn voorstellen. Voordat de tekst wordt ingepland of gepubliceerd, vragen wij om een uitdrukkelijke bevestiging dat u de tekst hebt gecontroleerd en de redactionele verantwoordelijkheid op u neemt. Deze bevestiging registreren wij met het tijdstip, het gebruikersaccount en de tekstversie, zodat de uitzondering aantoonbaar blijft.
• De opmerking in de applicatie luidt: „Deze tekst is een voorstel. Controleer deze alstublieft vóór publicatie. Door deze te controleren neemt u de redactionele verantwoordelijkheid op u.”
• Zonder deze controle mag u gegenereerde teksten niet publiceren als inhoud waarvoor u redactionele verantwoordelijkheid draagt; in dat geval kan de openbaarmakingsverplichting op grond van artikel 50, lid 4, van de EU AI Act van toepassing zijn.

8.5 Geen emotieherkenning en geen biometrische categorisering

• PostMaestro.ai maakt geen gebruik van systemen voor emotieherkenning en leidt geen emoties, gemoedstoestanden of intenties af uit biometrische gegevens.
• Wij maken geen gebruik van biometrische categorisering, gezichtsherkenning, biometrische identificatie of het herkennen van beschermde kenmerken zoals etnische afkomst, politieke overtuiging, religie, lidmaatschap van een vakbond, gezondheid of seksuele geaardheid.
• Beoordelingsfuncties zoals Idea Validation, Brand Analyser of prestatieanalyses hebben uitsluitend betrekking op inhoud, merk- en bereikgegevens – niet op personen en niet op biometrische kenmerken.
• De informatieverplichtingen op grond van artikel 50, lid 3, van de EU AI-wet voor systemen voor emotieherkenning en biometrische categorisering zijn bij ons dan ook niet van toepassing.

8.6 Verboden gebruik: intieme afbeeldingen zonder toestemming en afbeeldingen van kindermisbruik

• Artikel 5 van de EU-AI-wet verbiedt AI-systemen waarvan het redelijkerwijs te verwachten resultaat niet-consensuele intieme afbeeldingen (NCII) of afbeeldingen van seksueel misbruik van kinderen (CSAM) is. Als aanbieder van een algemene tool voor het genereren van afbeeldingen en video's beoordelen wij dit risico op misbruik al in de ontwerpfase en voorzien wij in technische beschermingsmaatregelen.
• Genomen beschermingsmaatregelen:
• • Invoerfilters die relevante prompts al blokkeren voordat de beeld- en videomodellen worden aangeroepen
• • Uitvoerfilters en de beveiligingsinstellingen van de gebruikte modelleveranciers
• • Het blokkeren van bijdragen die gericht zijn op minderjarigen in een seksuele context of op intieme afbeeldingen van identificeerbare personen
• • Het uitschakelen van de Persona- en Voice-functies zonder gedocumenteerde toestemming van de betrokkene (zie paragraaf 5.9)
• • Het registreren van geblokkeerde verzoeken ter opsporing van misbruik, evenals de mogelijkheid om de betreffende accounts te blokkeren
• Elk gebruik van het platform voor deze doeleinden is ten strengste verboden en leidt tot onmiddellijke blokkering van het account en, indien er aanwijzingen zijn voor strafbare feiten, tot inschakeling van de bevoegde autoriteiten.
• Misbruik melden: u en derden kunnen overtredingen te allen tijde melden via info@nexaluna.ai met als onderwerp „AI-misbruik melden“. Wij behandelen binnenkomende meldingen met voorrang en bevestigen de ontvangst ervan.
• Onze risicobeoordeling uit de ontwerpfase, de gebruikte filters en de afhandeling van meldingen documenteren we intern en leggen we op verzoek van de bevoegde autoriteiten voor.

8.7 Rolverdeling: aanbieder en exploitant

• De aanbieder in de zin van de EU AI Act is Nexaluna AI Solutions UG (met beperkte aansprakelijkheid) voor het AI-systeem PostMaestro.ai. Wij zijn onderworpen aan de verplichtingen voor aanbieders, in het bijzonder de machinaal leesbare markering van uitgaven overeenkomstig artikel 50, lid 2, en de openbaarmaking van AI-interactie overeenkomstig artikel 50, lid 1.
• U wordt als exploitant beschouwd zodra u het platform onder uw verantwoordelijkheid gebruikt en gegenereerde inhoud publiceert. U bent gehouden aan de verplichtingen van de exploitant, met name de openbaarmakingsverplichting overeenkomstig artikel 50, lid 4, met betrekking tot deepfakes en teksten van algemeen belang.
• De gebruikte basismodellen zijn afkomstig van derden (zie paragraaf 7). De aanbieders daarvan zijn de aanbieders van de betreffende AI-modellen; wij zijn de aanbieder van het daarop gebaseerde AI-systeem.
• We houden intern een register bij van alle gebruikte modellen met de bijbehorende roltoewijzing en werken dit bij wanneer er wijzigingen zijn.
• Wat betreft AI-competentie overeenkomstig artikel 4 van de EU AI Act leiden wij onze medewerkers op in het omgaan met de gebruikte AI-systemen en leggen wij de opleidingen vast.

8.8 Toezicht en klachten

• De bevoegde markttoezichtautoriteit, het centrale aanspreekpunt en de klachteninstantie voor de EU-AI-wet in Duitsland is sinds 29 juli 2026 het Bundesnetzagentur.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Klachten over de transparantie van AI kunt u daar te allen tijde indienen. Wij verzoeken u om vooraf contact met ons op te nemen via info@nexaluna.ai, zodat wij uw kwestie direct kunnen afhandelen.