Retningslinjer for personvern

5.1 Registrering og kontodata

• Ved registrering innhenter vi følgende opplysninger:
• • E-postadresse (obligatorisk opplysning)
• • Brukernavn (obligatorisk)
• • Passord (kryptert med bcrypt, minst 8 tegn)
• • Kontotype (privat eller bedrift)
• • Registreringstidspunkt
• • To-faktor-autentisering (2FA) – valgfritt, men anbefalt
• Formål: Opprettelse og administrasjon av kontoen din, autentisering, sikkerhet
• 2FA-dataene lagres kun lokalt på enheten din (skanning av QR-kode). Vi lagrer kun aktiveringsstatusen.
• Merk: Du kan også registrere deg/logge inn via Google, Meta (Facebook), LinkedIn, TikTok eller X – se avsnitt 5.1a for informasjon om hvilke opplysninger og tillatelser som kreves i hvert enkelt tilfelle.
• For å beskytte mot automatiserte registreringer (bots) bruker vi Cloudflare Turnstile (se avsnitt 10a.2).

5.1a Registrering og pålogging via tredjepartsleverandører (sosial pålogging)

• I tillegg til den vanlige registreringen med e-postadresse og passord kan du registrere deg eller logge inn på PostMaestro.ai via følgende tredjepartsleverandører. Disse koblingene brukes utelukkende til å opprette kontoer og logge inn, og er uavhengige av koblingene til sosiale medier for publisering av innlegg (se avsnitt 5.5) – det blir i hvert tilfelle bedt om egne OAuth-tillatelser (Scopes) med betydelig svakere rettigheter:
• • Google (Scopes: openid, profile, email) – følgende opplysninger overføres: Google-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • Meta / Facebook-pålogging (omfang: public_profile, email) – følgende opplysninger overføres: Facebook-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • Instagram Business-pålogging (omfang: instagram_business_basic) – følgende opplysninger overføres: Instagram-ID, brukernavn, visningsnavn og profilbilde (ingen e-postadresse – denne blir bedt om separat under registreringen)
• • LinkedIn (OpenID Connect, omfang: openid, profile, email) – følgende opplysninger overføres: LinkedIn-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – følgende opplysninger overføres: TikTok Open-ID, brukernavn, visningsnavn og profilbilde (TikTok oppgir ingen e-postadresse – inntil denne oppgis under onboarding, brukes en midlertidig adresse internt)
• • X / Twitter (OAuth 2.0 med PKCE, omfang: users.read, users.email, tweet.read) – følgende opplysninger overføres: X-ID, brukernavn, visningsnavn, profilbilde samt – dersom dette er godkjent på X – den bekreftede e-postadressen
• Disse omfangene tillater utelukkende utlesing av grunnleggende profildata for opprettelse av konto. Det publiseres ingen innlegg, ingen meldinger leses, og det gis ingen tilgang til kontaktene dine.
• Hvis en allerede registrert e-postadresse registreres på nytt via en annen leverandør, gjenkjenner vi den eksisterende kontoen ut fra e-postadressen (uavhengig av store og små bokstaver) og knytter den nye leverandør-ID-en til den i etterkant (kontokobling), i stedet for å opprette en dobbel konto.
• Dersom dette er aktivert i sikkerhetsinnstillingene dine, sender vi ved hver pålogging (også via sosial pålogging) en e-postmelding med tidspunkt, enhet, nettleser og omtrentlig posisjon. Posisjonen fastslås ut fra IP-adressen din via tredjepartsleverandøren ipinfo.io (se avsnitt 10a.1).
• Sletting av Meta-konto: For pålogging via Meta (Facebook/Instagram) stiller vi til rådighet de callback-endepunktene som Meta krever for tilbakekalling av autorisasjon og sletting av data. Hvis du fjerner appen i innstillingene for Facebook-kontoen din eller ber om sletting av data der, mottar vi automatisk en tilsvarende forespørsel og viser behandlingsstatusen via en status-URL som Meta oppgir.

5.2 Merkevareprofiler og merkevaredata

• Når vi oppretter en merkevareprofil, lagrer vi:
• - Merkenavn og beskrivelse
• - Nettstedets URL (for Brand Analyser)
• - Lastet opp retningslinjer og dokumenter for merkevaren
• - Analysert merkevaredata (farger, skrifttyper, tone of voice)
• - Logo og visuelle ressurser
• - Definisjoner av målgruppen
• - Bransje og kategori
• Formål: Opprettelse av markedskompatibelt innhold, forvaltning av merkevareidentitet

5.3 Innholdsdata (innlegg, medier, kampanjer)

• Når du bruker funksjonen for innholdsproduksjon, lagrer vi:
• • Utarbeidede og planlagte innlegg på sosiale medier (tekst, bildetekster, hashtags)
• • Opplastede og genererte bilder, videoer og grafikk
• • Kampanjedata og maler
• • Validering av ideer (swipe-data i Idea Generator)
• • Forskningsdokumenter
• • Innholdsstatus (utkast, gjennomgang, planlagt, publisert)
• • Publiseringsdatoer og -plattformer
• • Merkings- og opprinnelsesdata for genererte medier (innholdsklasse, merkingsstatus, metadatastatus) samt din bekreftelse på den redaksjonelle gjennomgangen av genererte tekster
• Formål: Innholdsadministrasjon, planlegging, automatisering, arkivering samt dokumentasjon av forpliktelser knyttet til AI-transparens
• I den grad det er teknisk mulig, inneholder genererte mediefiler merkningsinformasjon, metadata eller tilsvarende tekniske indikatorer som viser at det dreier seg om AI-generert eller AI-støttet innhold (se avsnitt 8.2).

5.4 Bruksdata og analyse

• Vi lagrer data for å forbedre plattformen:
• - Innloggingstider og øktvarighet
• - Funksjoner og egenskaper som brukes
• - Tokenforbruk og faktureringsdata
• - Feilrapporter og ytelsesdata
• - Tilbakemeldinger og supportforespørsler
• Formål: Forbedring av plattformen, feilanalyse, support, fakturering

5.5 Lenker til sosiale medier (publisering)

• Når du kobler til sosiale mediekontoer for publisering (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, egen nettside), ber hver plattform via OAuth kun om de nødvendige tillatelsene (scopes) for dette. Disse tilkoblingene er uavhengige av sosial pålogging for å logge inn på kontoen (se avsnitt 5.1a).
• OAuth-tilgangs- og oppdateringstokener lagres i databasen med AES-256-GCM-kryptering for hver plattform (se avsnitt 10). Utløpte tokener som ikke kan fornyes, blir automatisk ugyldiggjort.
• I de følgende avsnittene beskrives det for hver plattform hvilke opplysninger som behandles, hva de brukes til og når de slettes. Plattformopplysningene brukes utelukkende til å administrere den tilknyttede profilen til den aktuelle kunden.
• Du kan når som helst avbryte enhver tilkobling i innstillingene. Vi anbefaler dessuten at du trekker tilbake appens tilgang direkte på den aktuelle plattformen (f.eks. i innstillingene for LinkedIn- eller Meta-kontoen).

5.6 Team- og firmakontodata

• For bedriftskontoer med flere brukere lagrer vi også data:
• - Teammedlemmer og deres roller
• - Autorisasjoner og tilgangskontroll
• - Arbeidsflyt for godkjenning og kommentarer
• - Aktivitetslogger (revisjonslogg)
• Formål: Teamsamarbeid, tilgangskontroll, samsvar

5.7 Varsler (i appen, push-varsler og e-post)

• PostMaestro.ai holder deg oppdatert om hendelser på kontoen din, for eksempel kommentarer og omtaler, fullførte genereringer, publiseringer, invitasjoner til teamet, fakturering, sikkerhet og vedlikehold. I den forbindelse behandler vi:
• • Varsler i innboksen din (klokke), inkludert status for lest og skjult
• • Dine varslingsinnstillinger for hver kanal, kategori, område og teamgruppe
• • For push-varsler (mobilapp og nettleser): enhetstoken, en tilfeldig enhets-ID, enhetsnavn, plattform, appversjon samt tidspunktet for siste bruk
• • Om appen er åpen på en enhet akkurat nå (synlighetssignal, gyldig i 90 sekunder), slik at du ikke mottar et ekstra push-varsel på enheten du bruker akkurat nå
• Vi sender push-varsler via Firebase Cloud Messaging (Google) og e-postvarsler via SendGrid (se avsnitt 6.3).
• Du kan slå valgfrie varsler på og av for hver kanal under Innstillinger → Varsler; push-varsler kan du i tillegg slå på eller av i innstillingene på enheten eller i nettleseren din.
• Vi sender ut meldinger som er nødvendige for bruken av kontoen din (f.eks. betalingsproblemer, krav om tofaktorautentisering, vedlikehold, endringer i vilkårene) uavhengig av disse innstillingene, både i appen og via e-post. Påloggingsvarsler er unntatt fra dette og er valgfrie (se avsnitt 12.1). I unntakstilfeller – for eksempel ved vedlikeholdsarbeid eller sikkerhetsrelevante meldinger – kan vi også vise varsler uavhengig av dine kategoriinnstillinger i appen og via push-varsler; slike meldinger er merket som «Viktig».
• Du mottar kun markedsførings-e-poster (f.eks. om nye funksjoner) hvis du har abonnert på nyhetsbrevet (punkt 6).

5.8 Nyheter, forskning og RSS-feeds

• Plattformen tilbyr en nyhetsfunksjon som bruker AI-støttet research (via Perplexity AI) som standard for å levere relevante bransjenyheter. Du kan også legge til dine egne RSS-feeder. Ved å gjøre dette behandler vi:
• - Søkeord og emnepreferanser for AI-støttede nyhetssøk
• - URL-adressene til RSS-feedene du har lagt til
• - Dine preferanser og kategoriseringer for disse strømmene
• - Leste eller lagrede artikler
• Plattformen henter innholdet i tredjepartsstrømmene via våre servere, slik at IP-adressen din ikke overføres til operatørene av RSS-feedene. Når du bruker det AI-støttede nyhetssøket, overføres søkene dine til Perplexity AI (se avsnitt 7.3).
• Formål: Å tilby personlig tilpassede bransjenyheter, forskning og inspirasjon til innhold

6.1 Double-opt-in-prosedyre

Etter at du har registrert deg via nettstedet, mottar du en e-post med en bekreftelseslenke. Først når du har klikket på denne, blir du lagt til i adresselisten. Ubekreftede registreringer slettes etter 30 dager; vi sender ikke ut noen påminnelse.

Når du registrerer deg i appen, bekrefter du abonnementet ved å klikke på lenken i bekreftelses-e-posten til kontoen din, der vi gjør deg oppmerksom på dette separat.

Dette hindrer at fremmede e-postadresser registreres.

6.2 Bevis på ditt samtykke

For å kunne dokumentere at du har gitt ditt samtykke (art. 7 nr. 1 i GDPR), loggfører vi påmelding, bekreftelse og avmelding med tidspunkt, opprinnelse, IP-adresse, nettleser-ID og versjonen av den viste samtykketeksten.

Vi oppbevarer denne loggen i 3 år etter at du har meldt deg av, og sletter den deretter automatisk.

6.3 SendGrid (e-postutsendelse)

For utsendelse av nyhetsbrev samt service- og varslings-e-poster bruker vi SendGrid (Twilio Inc., USA).

SendGrid behandler e-postadressen din og innholdet i e-posten på våre vegne og rapporterer tekniske leveringshendelser til oss (levert, ikke leverbar, rapportert som spam, avmeldt). Vi bruker disse hendelsene til å holde adresselisten oppdatert: Adresser som ikke kan leveres til og spam-meldinger fører til at adressen blir sperret.

Vi har inngått en databehandleravtale (DBA) med SendGrid i henhold til art. 28 i GDPR. SendGrid er sertifisert i henhold til EU-US Data Privacy Framework.

Mer informasjon: https://www.twilio.com/legal/privacy

Personvernerklæring fra Twilio (SendGrid)

6.4 Sporing av nyhetsbrev

Vi måler for øyeblikket verken åpninger eller klikk.

Før vi innfører slike statistikker, vil vi informere deg på forhånd og – om nødvendig – innhente ditt samtykke.

6.5 Avmelding

Du kan når som helst melde deg av nyhetsbrevet:

• via avmeldingslenken i hver e-post eller avmeldingsfunksjonen i e-postprogrammet ditt

• via skjemaet nederst i denne seksjonen: Skriv inn e-postadressen din, så sender vi deg en lenke for å bekrefte avmeldingen

• i PostMaestro-kontoen din under Innstillinger → Varsler

• via e-post til support@postmaestro.ai

Etter at du har meldt deg av, vil du ikke lenger motta nyhetsbrev. Adressen din vil da ikke lenger være på adresselisten; kun dokumentasjonen i henhold til avsnitt 6.2 vil bli oppbevart.

8.1 Offentliggjøring av samhandlingen med et AI-system

• I PostMaestro.ai kommuniserer du direkte med AI-systemer. Alle funksjoner som genererer, vurderer, oppsummerer, oversetter eller omskriver innhold, er AI-støttet og merket som sådan i brukergrensesnittet.
• Informasjonen skal gis før den første interaksjonen, og den skal være klar, forståelig og tydelig skilt fra de øvrige betjeningselementene (art. 50 nr. 1 i EUs AI-lov).
• Vi gjør disse retningslinjene tilgjengelige for alle og tilpasser dem til de anerkjente kravene til tilgjengelighet (art. 50, stk. 5, i EUs lov om kunstig intelligens).
• Svar og forslag fra AI kan være ufullstendige, utdaterte eller faktuelt feilaktige. De utgjør ikke juridisk, skattemessig, medisinsk eller finansiell rådgivning.

8.2 Maskinlesbar merking av generert innhold

• I henhold til artikkel 50 nr. 2 i EUs AI-lov må innhold generert av AI-systemer som produserer syntetisk bilde-, lyd-, video- eller tekstinnhold, merkes som kunstig generert eller manipulert i et maskinlesbart format. Merkingen må være effektiv, interoperabel, robust og pålitelig.
• Vi oppfyller dette kravet gjennom flere, gjensidig utfyllende prosedyrer, ettersom ingen enkeltprosedyre i seg selv oppnår den nødvendige robustheten med dagens tekniske nivå:
• • Metadata om opprinnelse i filen: Ved eksport legger vi inn XMP- og IPTC-metadata i de genererte mediefilene, særlig IPTC-feltet «Digital Source Type» med verdien «trainedAlgorithmicMedia», samt opplysninger om hvilket AI-system som er brukt, modellversjon og tidspunkt for generering.
• • Content Credentials (C2PA): For genererte bilde- og videofiler integrerer vi en kryptografisk signert opprinnelsesangivelse i henhold til C2PA-standarden i utdatapipelineen.
• • Vannmerker fra leverandøren: Dersom den aktuelle modellleverandøren leverer usynlige vannmerker, beholdes disse og fjernes ikke. For bildemodellene fra Google Gemini er dette vannmerkemetoden SynthID.
• • Validering: Etter at teksten er skrevet, leser vi inn merkingen på nytt og registrerer en status for hver fil (ventende, gyldig, mangler, fjernet). Hvis innbyggingen mislykkes, pålegger vi en synlig merking for sensitive innholdsklasser.
• Merkingen settes på serversiden før en fil lagres eller sendes ut, slik at den overlever rendering, opplasting og nedlasting. Teknisk sett kan det ikke utelukkes at tredjeparter eller målplattformer fjerner metadata ved ny opplasting, komprimering eller beskjæring. I dette tilfellet er den synlige merkingen din sikkerhet (se 8.3).
• Gjennomføringsstatus og frist: Åpenhetskravene i artikkel 50 i EUs AI-lov trer i kraft 2. august 2026. For AI-systemer som – i likhet med PostMaestro.ai – allerede var på markedet før dette tidspunktet, gjelder overgangsfristen frem til 2. desember 2026. Vi vil fullt ut gjennomføre de ovenfor beskrevne prosedyrene innen denne fristen og dokumentere gjennomføringsstatusen internt.
• En henvisning i denne personvernerklæringen alene oppfyller ikke artikkel 50 nr. 2 i EUs AI-lov. Det avgjørende er den maskinlesbare merkingen på selve filen.

8.3 Dine forpliktelser som operatør når det gjelder deepfakes

• Når du publiserer innhold som er generert med PostMaestro.ai, regnes du som «operatør» i henhold til EUs AI-lov. Opplysningsplikten i henhold til artikkel 50, paragraf 4 i EUs AI-lov gjelder i dette tilfellet deg og ikke oss.
• Hvis du lager eller redigerer bilde-, lyd- eller videoinnhold som ligner virkelige personer, gjenstander, steder, institusjoner eller hendelser på en måte som gjør det vanskelig å skille dem fra virkeligheten («deepfakes»), må du ved publisering opplyse om at innholdet er kunstig laget eller manipulert.
• I henhold til retningslinjene fra EU-kommisjonen gjelder denne plikten uavhengig av om det foreligger en hensikt om å villede, og også selv om det ikke er avbildet noen konkret, virkelig person. For publiseringer på sosiale medier er den derfor som regel relevant.
• For å hjelpe deg tilbyr vi følgende: en synlig merking som standardinnstilling for sensitive innholdsklasser, et forslag til en informasjonstekst ved eksport og en påminnelse i publiseringsprosessen.
• Standardinnstillingen er alltid «merket». Deaktivering må dokumenteres: Vi lagrer tidspunkt, brukerkonto, arbeidsområde og versjonen av bekreftelsesteksten. For fotorealistiske personfremstillinger og syntetiske stemmer er deaktivering ikke mulig.
• Du må ikke fjerne, deaktivere, omgå eller forstyrre funksjonen til de merke- og opplysningsmekanismene vi stiller til rådighet (se vilkårene for bruk, punkt 6.4).
• Denne plikten gjelder i tillegg til merkingskravene til den aktuelle sosiale medieplattformen. Du må selv vurdere om det foreligger en opplysningsplikt i det enkelte tilfellet.

8.4 AI-genererte tekster og redaksjonelt ansvar

• Når det gjelder tekster, er artikkel 50 i EUs AI-lov betydelig snevrere formulert enn for bilder, lyd og video. Det foreligger kun en opplysningsplikt dersom alle de tre følgende vilkårene er oppfylt:
• 1. Teksten er generert eller manipulert av kunstig intelligens.
• 2. Teksten blir publisert.
• 3. Formålet med publiseringen er å informere allmennheten om saker av allmenn interesse – for eksempel nyheter, politiske eller samfunnsmessige uttalelser og bidrag til offentlige debatter.
• Merkingsplikten bortfaller dersom innholdet har vært gjenstand for en menneskelig gjennomgang eller redaksjonell kontroll, og en fysisk eller juridisk person bærer det redaksjonelle ansvaret for publiseringen.
• Det finnes ingen generell merkningsplikt for tekst generert av kunstig intelligens. Den som bruker kunstig intelligens som et hjelpeverktøy, redigerer tekstene og selv tar ansvar for dem, er som regel ikke underlagt noen ytterligere merkningsplikt.
• PostMaestro.ai er nettopp utviklet med dette for øye: Genererte tekster er forslag. Før planlegging eller publisering krever vi en uttrykkelig bekreftelse på at du har gjennomgått teksten og påtar deg det redaksjonelle ansvaret. Vi registrerer denne bekreftelsen med klokkeslett, brukerkonto og tekstversjon, slik at unntaket forblir dokumenterbart.
• Merknaden i applikasjonen lyder: «Denne teksten er et forslag. Vennligst sjekk den før publisering. Ved å sjekke den påtar du deg det redaksjonelle ansvaret.»
• Uten denne kontrollen har du ikke lov til å publisere genererte tekster som redaksjonelt ansvarlig innhold; da kan opplysningsplikten i henhold til artikkel 50 nr. 4 i EUs AI-lov tre i kraft.

8.5 Ingen følelsesgjenkjenning og ingen biometrisk kategorisering

• PostMaestro.ai bruker ikke systemer for følelsesgjenkjenning og utleder ikke følelser, følelsestilstander eller intensjoner fra biometriske data.
• Vi benytter oss ikke av biometrisk kategorisering, ansiktsgjenkjenning, biometrisk identifikasjon eller registrering av beskyttede kjennetegn som etnisk opprinnelse, politisk overbevisning, religion, fagforeningsmedlemskap, helse eller seksuell orientering.
• Evalueringsfunksjoner som «Idea Validation», «Brand Analyser» eller ytelsesanalyser gjelder utelukkende innhold, merkevare- og rekkeviddedata – ikke personer og ikke biometriske kjennetegn.
• Informasjonspliktene i henhold til artikkel 50 nr. 3 i EUs AI-lov for systemer for følelsesgjenkjenning og biometrisk kategorisering gjelder derfor ikke for oss.

8.6 Forbudt bruk: intime fremstillinger uten samtykke og fremstillinger av overgrep mot barn

• Art. 5 i EUs AI-lov forbyr AI-systemer hvis rimelig forutsigbare resultat er ikke-samtykkende intime fremstillinger (NCII) eller fremstillinger av seksuelt misbruk av barn (CSAM). Som leverandør av et generelt verktøy for generering av bilder og videoer vurderer vi denne risikoen for misbruk allerede i utkastfasen og sørger for tekniske sikkerhetstiltak.
• Gjennomførte beskyttelsestiltak:
• • Inndatafiltre som blokkerer relevante spørsmål allerede før bilde- og videomodellene aktiveres
• • Utdatafiltre samt sikkerhetsinnstillingene til de anvendte modellleverandørene
• • Blokkering av innlegg som er rettet mot mindreårige i en seksuell sammenheng eller som inneholder intime fremstillinger av identifiserbare personer
• • Sperring av Persona- og Voice-funksjonene uten dokumentert samtykke fra den berørte personen (se avsnitt 5.9)
• • Loggføring av blokkerte forespørsler for å oppdage misbruk, samt muligheten til å sperre berørte kontoer
• All bruk av plattformen til slike formål er strengt forbudt og vil føre til umiddelbar sperring av kontoen, samt – dersom det foreligger holdepunkter for straffbare handlinger – til at de kompetente myndighetene blir involvert.
• Rapporter misbruk: Du og andre kan når som helst rapportere brudd på info@nexaluna.ai med emnet «Rapporter misbruk av AI». Vi behandler innkomne meldinger med høy prioritet og bekrefter mottakelsen.
• Vi dokumenterer vår risikovurdering fra prosjekteringsfasen, de anvendte filtrene og behandlingen av meldinger internt, og legger dem frem på forespørsel fra de kompetente myndighetene.

8.7 Rollefordeling: leverandører og operatører

• Leverandøren i henhold til EUs AI-lov er Nexaluna AI Solutions UG (med begrenset ansvar) for AI-systemet PostMaestro.ai. Vi er underlagt leverandørforpliktelsene, særlig kravet om maskinlesbar merking av utgivelser i henhold til artikkel 50 nr. 2 og kravet om offentliggjøring av AI-interaksjon i henhold til artikkel 50 nr. 1.
• Du regnes som operatør så snart du bruker plattformen på eget ansvar og publiserer innhold du har laget. Du er underlagt operatørforpliktelsene, særlig opplysningsplikten i henhold til artikkel 50, paragraf 4, når det gjelder deepfakes og tekster av allmenn interesse.
• Basismodellene som brukes, stammer fra tredjeparter (se avsnitt 7). Leverandørene av disse er leverandørene av de respektive AI-modellene; vi er leverandøren av AI-systemet som bygger på disse.
• Vi fører internt et register over alle modeller som er tatt i bruk, med tilhørende rollefordeling, og oppdaterer det ved endringer.
• Når det gjelder AI-kompetanse i henhold til artikkel 4 i EUs AI-lov, gir vi våre ansatte opplæring i bruk av de AI-systemene vi benytter, og dokumenterer opplæringen.

8.8 Tilsyn og klager

• Siden 29. juli 2026 er Bundesnetzagentur den ansvarlige markedstilsynsmyndigheten, det sentrale kontaktpunktet og klageinstansen for EUs AI-lov i Tyskland.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan når som helst sende inn klager vedrørende AI-åpenhet der. Vi ber deg om å kontakte oss på forhånd via info@nexaluna.ai, slik at vi kan avklare saken din umiddelbart.