Retningslinjer for personvern

5.1 Registrering og kontodata

• Ved registrering innhenter vi følgende opplysninger:
• • E-postadresse (obligatorisk opplysning)
• • Brukernavn (obligatorisk)
• • Passord (kryptert med bcrypt, minst 8 tegn)
• • Kontotype (privat eller bedrift)
• • Registreringstidspunkt
• • To-faktor-autentisering (2FA) – valgfritt, men anbefalt
• Formål: Opprettelse og administrasjon av kontoen din, autentisering, sikkerhet
• 2FA-dataene lagres kun lokalt på enheten din (skanning av QR-kode). Vi lagrer kun aktiveringsstatusen.
• Merk: Du kan også registrere deg/logge inn via Google, Meta (Facebook), LinkedIn, TikTok eller X – se avsnitt 5.1a for informasjon om hvilke opplysninger og tillatelser som kreves i hvert enkelt tilfelle.
• For å beskytte mot automatiserte registreringer (bots) bruker vi Cloudflare Turnstile (se avsnitt 10a.2).

5.1a Registrering og pålogging via tredjepartsleverandører (sosial pålogging)

• I tillegg til den vanlige registreringen med e-postadresse og passord kan du registrere deg eller logge inn på PostMaestro.ai via følgende tredjepartsleverandører. Disse koblingene brukes utelukkende til å opprette kontoer og logge inn, og er uavhengige av koblingene til sosiale medier for publisering av innlegg (se avsnitt 5.5) – det blir i hvert tilfelle bedt om egne OAuth-tillatelser (Scopes) med betydelig svakere rettigheter:
• • Google (Scopes: openid, profile, email) – følgende opplysninger overføres: Google-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • Meta / Facebook-pålogging (omfang: public_profile, email) – følgende opplysninger overføres: Facebook-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • Instagram Business-pålogging (omfang: instagram_business_basic) – følgende opplysninger overføres: Instagram-ID, brukernavn, visningsnavn og profilbilde (ingen e-postadresse – denne blir bedt om separat under registreringen)
• • LinkedIn (OpenID Connect, omfang: openid, profile, email) – følgende opplysninger overføres: LinkedIn-ID, e-postadresse, fornavn/etternavn, profilbilde og språk
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – følgende opplysninger overføres: TikTok Open-ID, brukernavn, visningsnavn og profilbilde (TikTok oppgir ingen e-postadresse – inntil denne oppgis under onboarding, brukes en midlertidig adresse internt)
• • X / Twitter (OAuth 2.0 med PKCE, omfang: users.read, users.email, tweet.read) – følgende opplysninger overføres: X-ID, brukernavn, visningsnavn, profilbilde samt – dersom dette er godkjent på X – den bekreftede e-postadressen
• Disse omfangene tillater utelukkende utlesing av grunnleggende profildata for opprettelse av konto. Det publiseres ingen innlegg, ingen meldinger leses, og det gis ingen tilgang til kontaktene dine.
• Hvis en allerede registrert e-postadresse registreres på nytt via en annen leverandør, gjenkjenner vi den eksisterende kontoen ut fra e-postadressen (uavhengig av store og små bokstaver) og knytter den nye leverandør-ID-en til den i etterkant (kontokobling), i stedet for å opprette en dobbel konto.
• Dersom dette er aktivert i sikkerhetsinnstillingene dine, sender vi ved hver pålogging (også via sosial pålogging) en e-postmelding med tidspunkt, enhet, nettleser og omtrentlig posisjon. Posisjonen fastslås ut fra IP-adressen din via tredjepartsleverandøren ipinfo.io (se avsnitt 10a.1).
• Sletting av Meta-konto: For pålogging via Meta (Facebook/Instagram) stiller vi til rådighet de callback-endepunktene som Meta krever for tilbakekalling av autorisasjon og sletting av data. Hvis du fjerner appen i innstillingene for Facebook-kontoen din eller ber om sletting av data der, mottar vi automatisk en tilsvarende forespørsel og viser behandlingsstatusen via en status-URL som Meta oppgir.

5.2 Merkevareprofiler og merkevaredata

• Når vi oppretter en merkevareprofil, lagrer vi:
• - Merkenavn og beskrivelse
• - Nettstedets URL (for Brand Analyser)
• - Lastet opp retningslinjer og dokumenter for merkevaren
• - Analysert merkevaredata (farger, skrifttyper, tone of voice)
• - Logo og visuelle ressurser
• - Definisjoner av målgruppen
• - Bransje og kategori
• Formål: Opprettelse av markedskompatibelt innhold, forvaltning av merkevareidentitet

5.3 Innholdsdata (innlegg, medier, kampanjer)

• Når du bruker funksjonen for innholdsproduksjon, lagrer vi:
• • Utarbeidede og planlagte innlegg på sosiale medier (tekst, bildetekster, hashtags)
• • Opplastede og genererte bilder, videoer og grafikk
• • Kampanjedata og maler
• • Validering av ideer (swipe-data i Idea Generator)
• • Forskningsdokumenter
• • Innholdsstatus (utkast, gjennomgang, planlagt, publisert)
• • Publiseringsdatoer og -plattformer
• • Merkings- og opprinnelsesdata for genererte medier (innholdsklasse, merkingsstatus, metadatastatus) samt din bekreftelse på den redaksjonelle gjennomgangen av genererte tekster
• Formål: Innholdsadministrasjon, planlegging, automatisering, arkivering samt dokumentasjon av forpliktelser knyttet til AI-transparens
• I den grad det er teknisk mulig, inneholder genererte mediefiler merkningsinformasjon, metadata eller tilsvarende tekniske indikatorer som viser at det dreier seg om AI-generert eller AI-støttet innhold (se avsnitt 8.2).

5.4 Bruksdata og analyse

• Vi lagrer data for å forbedre plattformen:
• - Innloggingstider og øktvarighet
• - Funksjoner og egenskaper som brukes
• - Tokenforbruk og faktureringsdata
• - Feilrapporter og ytelsesdata
• - Tilbakemeldinger og supportforespørsler
• Formål: Forbedring av plattformen, feilanalyse, support, fakturering

5.5 Lenker til sosiale medier (publisering)

• Når du kobler til sosiale medier-kontoer for publisering (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, egen nettside), ber hver plattform via OAuth kun om de nødvendige tillatelsene (scopes) for dette formålet. Disse tilkoblingene er uavhengige av sosial pålogging for å logge inn på kontoen (se avsnitt 5.1a). Vi lagrer følgende:
• • OAuth-tilgangs- og oppdateringstoken for hver plattform, lagret i databasen med AES-256-GCM-kryptering (se avsnitt 10)
• • Plattformkonto-, side- og kanal-ID-er, samt visningsnavn, profilbilde og logo
• • I tillegg på LinkedIn: bedriftssider du administrerer (ID, navn, logo) for valg av publiseringsmål
• • På Facebook/Instagram/WhatsApp: automatisk gjenkjente koblinger mellom Facebook-siden, Instagram-bedriftskontoen og WhatsApp-bedriftskontoen («overføring» av tilknyttede kontoer når tilkoblingen opprettes)
• • Utløpstidspunkt for tilgangstokenet for automatisk fornyelse (f.eks. hos X og Wix)
• • Ved bruk av WordPress eller egen nettside: påloggingsopplysningene du har oppgitt (applikasjonspassord eller endepunkt-URL og hemmelig nøkkel) i stedet for OAuth-token
• Disse opplysningene brukes utelukkende til å publisere innlegg på de tilknyttede kontoene på dine vegne og til å vise tilhørende statistikk (Analytics) i PostMaestro.ai. Tilgang til private meldinger eller kontakter skjer utelukkende innenfor rammen av den Community Manager-funksjonen du har aktivert (Facebook Messenger, Instagram Direct, WhatsApp).
• Du kan når som helst avbryte enhver tilkobling i innstillingene. Vi anbefaler i tillegg at du trekker tilbake appens tilgang direkte på den aktuelle plattformen (f.eks. i Meta-kontoinnstillingene).

5.6 Team- og firmakontodata

• For bedriftskontoer med flere brukere lagrer vi også data:
• - Teammedlemmer og deres roller
• - Autorisasjoner og tilgangskontroll
• - Arbeidsflyt for godkjenning og kommentarer
• - Aktivitetslogger (revisjonslogg)
• Formål: Teamsamarbeid, tilgangskontroll, samsvar

5.7 Push-varsler (mobilapp)

• Hvis du bruker mobilappen vår og aktiverer push-varsler, behandler vi:
• • Enhetstoken (Device Token) for utsendelse av varsler
• • Innstillinger for varsler
• Vi bruker Firebase Cloud Messaging (Google) til å sende push-varsler.
• Du kan når som helst deaktivere push-varsler i innstillingene på enheten din.

5.8 Nyheter, forskning og RSS-feeds

• Plattformen tilbyr en nyhetsfunksjon som bruker AI-støttet research (via Perplexity AI) som standard for å levere relevante bransjenyheter. Du kan også legge til dine egne RSS-feeder. Ved å gjøre dette behandler vi:
• - Søkeord og emnepreferanser for AI-støttede nyhetssøk
• - URL-adressene til RSS-feedene du har lagt til
• - Dine preferanser og kategoriseringer for disse strømmene
• - Leste eller lagrede artikler
• Plattformen henter innholdet i tredjepartsstrømmene via våre servere, slik at IP-adressen din ikke overføres til operatørene av RSS-feedene. Når du bruker det AI-støttede nyhetssøket, overføres søkene dine til Perplexity AI (se avsnitt 7.3).
• Formål: Å tilby personlig tilpassede bransjenyheter, forskning og inspirasjon til innhold

6.1 Prosedyre for dobbel tilmelding

Etter at du har registrert deg for nyhetsbrevet, vil du motta en bekreftelse på e-post.

Du blir først lagt til i nyhetsbrevlisten når du klikker på bekreftelseslenken.

Dette er for å beskytte mot misbruk av e-postadressen din.

6.2 SendGrid (utsendelse av e-post)

Vi bruker SendGrid (Twilio Inc., USA) til å sende nyhetsbrev.

SendGrid behandler e-postadressen din på våre vegne for å sende nyhetsbrevet.

Vi har inngått en ordrebehandlingsavtale (AVV) med SendGrid i henhold til art. 28 GDPR.

SendGrid er EU-US Data Privacy Framework-sertifisert.

Mer informasjon: https://www.twilio.com/legal/privacy

Personvernerklæring for Twilio (SendGrid)

6.3 Sporing av nyhetsbrev

Nåværende: Ingen sporing av åpningsrater eller klikk

Planlagt: Opt-in for nyhetsbrevstatistikk (åpningsfrekvens, klikksporing)

Du vil bli informert før sporing aktiveres, og du kan gi eller nekte ditt samtykke.

6.4 Avbestilling

Du kan når som helst melde deg av nyhetsbrevet:

- Via avmeldingslenken i hver e-post med nyhetsbrev

- Via e-post til newsletter@nexaluna.ai

- I innstillingene for kontoen din (hvis tilgjengelig)

Etter at du har sagt opp abonnementet, slettes opplysningene dine fra distribusjonslisten for nyhetsbrevet.

8.1 Offentliggjøring av samhandlingen med et AI-system

• I PostMaestro.ai kommuniserer du direkte med AI-systemer. Alle funksjoner som genererer, vurderer, oppsummerer, oversetter eller omskriver innhold, er AI-støttet og merket som sådan i brukergrensesnittet.
• Informasjonen skal gis før den første interaksjonen, og den skal være klar, forståelig og tydelig skilt fra de øvrige betjeningselementene (art. 50 nr. 1 i EUs AI-lov).
• Vi gjør disse retningslinjene tilgjengelige for alle og tilpasser dem til de anerkjente kravene til tilgjengelighet (art. 50, stk. 5, i EUs lov om kunstig intelligens).
• Svar og forslag fra AI kan være ufullstendige, utdaterte eller faktuelt feilaktige. De utgjør ikke juridisk, skattemessig, medisinsk eller finansiell rådgivning.

8.2 Maskinlesbar merking av generert innhold

• I henhold til artikkel 50 nr. 2 i EUs AI-lov må innhold generert av AI-systemer som produserer syntetisk bilde-, lyd-, video- eller tekstinnhold, merkes som kunstig generert eller manipulert i et maskinlesbart format. Merkingen må være effektiv, interoperabel, robust og pålitelig.
• Vi oppfyller dette kravet gjennom flere, gjensidig utfyllende prosedyrer, ettersom ingen enkeltprosedyre i seg selv oppnår den nødvendige robustheten med dagens tekniske nivå:
• • Metadata om opprinnelse i filen: Ved eksport legger vi inn XMP- og IPTC-metadata i de genererte mediefilene, særlig IPTC-feltet «Digital Source Type» med verdien «trainedAlgorithmicMedia», samt opplysninger om hvilket AI-system som er brukt, modellversjon og tidspunkt for generering.
• • Content Credentials (C2PA): For genererte bilde- og videofiler integrerer vi en kryptografisk signert opprinnelsesangivelse i henhold til C2PA-standarden i utdatapipelineen.
• • Vannmerker fra leverandøren: Dersom den aktuelle modellleverandøren leverer usynlige vannmerker, beholdes disse og fjernes ikke. For bildemodellene fra Google Gemini er dette vannmerkemetoden SynthID.
• • Validering: Etter at teksten er skrevet, leser vi inn merkingen på nytt og registrerer en status for hver fil (ventende, gyldig, mangler, fjernet). Hvis innbyggingen mislykkes, pålegger vi en synlig merking for sensitive innholdsklasser.
• Merkingen settes på serversiden før en fil lagres eller sendes ut, slik at den overlever rendering, opplasting og nedlasting. Teknisk sett kan det ikke utelukkes at tredjeparter eller målplattformer fjerner metadata ved ny opplasting, komprimering eller beskjæring. I dette tilfellet er den synlige merkingen din sikkerhet (se 8.3).
• Gjennomføringsstatus og frist: Åpenhetskravene i artikkel 50 i EUs AI-lov trer i kraft 2. august 2026. For AI-systemer som – i likhet med PostMaestro.ai – allerede var på markedet før dette tidspunktet, gjelder overgangsfristen frem til 2. desember 2026. Vi vil fullt ut gjennomføre de ovenfor beskrevne prosedyrene innen denne fristen og dokumentere gjennomføringsstatusen internt.
• En henvisning i denne personvernerklæringen alene oppfyller ikke artikkel 50 nr. 2 i EUs AI-lov. Det avgjørende er den maskinlesbare merkingen på selve filen.

8.3 Dine forpliktelser som operatør når det gjelder deepfakes

• Når du publiserer innhold som er generert med PostMaestro.ai, regnes du som «operatør» i henhold til EUs AI-lov. Opplysningsplikten i henhold til artikkel 50, paragraf 4 i EUs AI-lov gjelder i dette tilfellet deg og ikke oss.
• Hvis du lager eller redigerer bilde-, lyd- eller videoinnhold som ligner virkelige personer, gjenstander, steder, institusjoner eller hendelser på en måte som gjør det vanskelig å skille dem fra virkeligheten («deepfakes»), må du ved publisering opplyse om at innholdet er kunstig laget eller manipulert.
• I henhold til retningslinjene fra EU-kommisjonen gjelder denne plikten uavhengig av om det foreligger en hensikt om å villede, og også selv om det ikke er avbildet noen konkret, virkelig person. For publiseringer på sosiale medier er den derfor som regel relevant.
• For å hjelpe deg tilbyr vi følgende: en synlig merking som standardinnstilling for sensitive innholdsklasser, et forslag til en informasjonstekst ved eksport og en påminnelse i publiseringsprosessen.
• Standardinnstillingen er alltid «merket». Deaktivering må dokumenteres: Vi lagrer tidspunkt, brukerkonto, arbeidsområde og versjonen av bekreftelsesteksten. For fotorealistiske personfremstillinger og syntetiske stemmer er deaktivering ikke mulig.
• Du må ikke fjerne, deaktivere, omgå eller forstyrre funksjonen til de merke- og opplysningsmekanismene vi stiller til rådighet (se vilkårene for bruk, punkt 6.4).
• Denne plikten gjelder i tillegg til merkingskravene til den aktuelle sosiale medieplattformen. Du må selv vurdere om det foreligger en opplysningsplikt i det enkelte tilfellet.

8.4 AI-genererte tekster og redaksjonelt ansvar

• Når det gjelder tekster, er artikkel 50 i EUs AI-lov betydelig snevrere formulert enn for bilder, lyd og video. Det foreligger kun en opplysningsplikt dersom alle de tre følgende vilkårene er oppfylt:
• 1. Teksten er generert eller manipulert av kunstig intelligens.
• 2. Teksten blir publisert.
• 3. Formålet med publiseringen er å informere allmennheten om saker av allmenn interesse – for eksempel nyheter, politiske eller samfunnsmessige uttalelser og bidrag til offentlige debatter.
• Merkingsplikten bortfaller dersom innholdet har vært gjenstand for en menneskelig gjennomgang eller redaksjonell kontroll, og en fysisk eller juridisk person bærer det redaksjonelle ansvaret for publiseringen.
• Det finnes ingen generell merkningsplikt for tekst generert av kunstig intelligens. Den som bruker kunstig intelligens som et hjelpeverktøy, redigerer tekstene og selv tar ansvar for dem, er som regel ikke underlagt noen ytterligere merkningsplikt.
• PostMaestro.ai er nettopp utviklet med dette for øye: Genererte tekster er forslag. Før planlegging eller publisering krever vi en uttrykkelig bekreftelse på at du har gjennomgått teksten og påtar deg det redaksjonelle ansvaret. Vi registrerer denne bekreftelsen med klokkeslett, brukerkonto og tekstversjon, slik at unntaket forblir dokumenterbart.
• Merknaden i applikasjonen lyder: «Denne teksten er et forslag. Vennligst sjekk den før publisering. Ved å sjekke den påtar du deg det redaksjonelle ansvaret.»
• Uten denne kontrollen har du ikke lov til å publisere genererte tekster som redaksjonelt ansvarlig innhold; da kan opplysningsplikten i henhold til artikkel 50 nr. 4 i EUs AI-lov tre i kraft.

8.5 Ingen følelsesgjenkjenning og ingen biometrisk kategorisering

• PostMaestro.ai bruker ikke systemer for følelsesgjenkjenning og utleder ikke følelser, følelsestilstander eller intensjoner fra biometriske data.
• Vi benytter oss ikke av biometrisk kategorisering, ansiktsgjenkjenning, biometrisk identifikasjon eller registrering av beskyttede kjennetegn som etnisk opprinnelse, politisk overbevisning, religion, fagforeningsmedlemskap, helse eller seksuell orientering.
• Evalueringsfunksjoner som «Idea Validation», «Brand Analyser» eller ytelsesanalyser gjelder utelukkende innhold, merkevare- og rekkeviddedata – ikke personer og ikke biometriske kjennetegn.
• Informasjonspliktene i henhold til artikkel 50 nr. 3 i EUs AI-lov for systemer for følelsesgjenkjenning og biometrisk kategorisering gjelder derfor ikke for oss.

8.6 Forbudt bruk: intime fremstillinger uten samtykke og fremstillinger av overgrep mot barn

• Art. 5 i EUs AI-lov forbyr AI-systemer hvis rimelig forutsigbare resultat er ikke-samtykkende intime fremstillinger (NCII) eller fremstillinger av seksuelt misbruk av barn (CSAM). Som leverandør av et generelt verktøy for generering av bilder og videoer vurderer vi denne risikoen for misbruk allerede i utkastfasen og sørger for tekniske sikkerhetstiltak.
• Gjennomførte beskyttelsestiltak:
• • Inndatafiltre som blokkerer relevante spørsmål allerede før bilde- og videomodellene aktiveres
• • Utdatafiltre samt sikkerhetsinnstillingene til de anvendte modellleverandørene
• • Blokkering av innlegg som er rettet mot mindreårige i en seksuell sammenheng eller som inneholder intime fremstillinger av identifiserbare personer
• • Sperring av Persona- og Voice-funksjonene uten dokumentert samtykke fra den berørte personen (se avsnitt 5.9)
• • Loggføring av blokkerte forespørsler for å oppdage misbruk, samt muligheten til å sperre berørte kontoer
• All bruk av plattformen til slike formål er strengt forbudt og vil føre til umiddelbar sperring av kontoen, samt – dersom det foreligger holdepunkter for straffbare handlinger – til at de kompetente myndighetene blir involvert.
• Rapporter misbruk: Du og andre kan når som helst rapportere brudd på info@nexaluna.ai med emnet «Rapporter misbruk av AI». Vi behandler innkomne meldinger med høy prioritet og bekrefter mottakelsen.
• Vi dokumenterer vår risikovurdering fra prosjekteringsfasen, de anvendte filtrene og behandlingen av meldinger internt, og legger dem frem på forespørsel fra de kompetente myndighetene.

8.7 Rollefordeling: leverandører og operatører

• Leverandøren i henhold til EUs AI-lov er Nexaluna AI Solutions UG (med begrenset ansvar) for AI-systemet PostMaestro.ai. Vi er underlagt leverandørforpliktelsene, særlig kravet om maskinlesbar merking av utgivelser i henhold til artikkel 50 nr. 2 og kravet om offentliggjøring av AI-interaksjon i henhold til artikkel 50 nr. 1.
• Du regnes som operatør så snart du bruker plattformen på eget ansvar og publiserer innhold du har laget. Du er underlagt operatørforpliktelsene, særlig opplysningsplikten i henhold til artikkel 50, paragraf 4, når det gjelder deepfakes og tekster av allmenn interesse.
• Basismodellene som brukes, stammer fra tredjeparter (se avsnitt 7). Leverandørene av disse er leverandørene av de respektive AI-modellene; vi er leverandøren av AI-systemet som bygger på disse.
• Vi fører internt et register over alle modeller som er tatt i bruk, med tilhørende rollefordeling, og oppdaterer det ved endringer.
• Når det gjelder AI-kompetanse i henhold til artikkel 4 i EUs AI-lov, gir vi våre ansatte opplæring i bruk av de AI-systemene vi benytter, og dokumenterer opplæringen.

8.8 Tilsyn og klager

• Siden 29. juli 2026 er Bundesnetzagentur den ansvarlige markedstilsynsmyndigheten, det sentrale kontaktpunktet og klageinstansen for EUs AI-lov i Tyskland.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan når som helst sende inn klager vedrørende AI-åpenhet der. Vi ber deg om å kontakte oss på forhånd via info@nexaluna.ai, slik at vi kan avklare saken din umiddelbart.