Integritetspolicy

5.1 Registrering och kontouppgifter

• Vid registreringen samlar vi in följande uppgifter:
• • E-postadress (obligatoriskt)
• • Användarnamn (obligatoriskt)
• • Lösenord (krypterat med bcrypt, minst 8 tecken)
• • Kontotyp (privat eller företag)
• • Registreringstidpunkt
• • Tvåfaktorsautentisering (2FA) – valfritt men rekommenderas
• Syfte: Tillhandahållande och hantering av ditt konto, autentisering, säkerhet
• 2FA-uppgifterna sparas endast lokalt på din enhet (QR-kodskanning). Vi sparar endast aktiveringsstatusen.
• Obs! Du kan alternativt också registrera dig/logga in via Google, Meta (Facebook), LinkedIn, TikTok eller X – se avsnitt 5.1a för information om vilka uppgifter och behörigheter som begärs i respektive fall.
• För att skydda oss mot automatiserade registreringar (bots) använder vi Cloudflare Turnstile (se avsnitt 10a.2).

5.1a Registrering och inloggning via tredjepartsleverantörer (social inloggning)

• Utöver den vanliga registreringen med e-postadress och lösenord kan du registrera dig eller logga in på PostMaestro.ai via följande tredjepartsleverantörer. Dessa kopplingar används uteslutande för att skapa ett konto och logga in och är oberoende av kopplingarna till sociala medier för att publicera inlägg (se avsnitt 5.5) – i varje fall begärs separata OAuth-behörigheter (Scopes) med betydligt mer begränsade rättigheter:
• • Google (Scopes: openid, profile, email) – följande uppgifter överförs: Google-ID, e-postadress, för- och efternamn, profilbild och språk
• • Meta/Facebook-inloggning (behörighetsområden: public_profile, email) – följande uppgifter överförs: Facebook-ID, e-postadress, för- och efternamn, profilbild och språk
• • Inloggning på Instagram Business (omfattning: instagram_business_basic) – följande uppgifter överförs: Instagram-ID, användarnamn, visningsnamn och profilbild (ingen e-postadress – den efterfrågas separat under onboarding-processen)
• • LinkedIn (OpenID Connect, omfattning: openid, profile, email) – följande uppgifter överförs: LinkedIn-ID, e-postadress, för- och efternamn, profilbild och språk
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – följande uppgifter överförs: TikTok Open-ID, användarnamn, visningsnamn och profilbild (TikTok tillhandahåller ingen e-postadress – tills en adress anges under onboarding används en platshållaradress internt)
• • X / Twitter (OAuth 2.0 med PKCE, behörighetsområden: users.read, users.email, tweet.read) – följande uppgifter överförs: X-ID, användarnamn, visningsnamn, profilbild samt – om detta har godkänts på X – den bekräftade e-postadressen
• Dessa behörigheter tillåter endast inläsning av grundläggande profiluppgifter för att skapa ett konto. Inga inlägg publiceras, inga meddelanden läses och ingen åtkomst till dina kontakter beviljas.
• Om en redan registrerad e-postadress registreras på nytt via en annan leverantör, identifierar vi det befintliga kontot utifrån e-postadressen (oavsett om det är stora eller små bokstäver) och kopplar sedan ihop det med det nya leverantörs-ID:t (kontokoppling), istället för att skapa ett dubbelt konto.
• Om detta är aktiverat i dina säkerhetsinställningar skickar vi vid varje inloggning (även via social inloggning) ett e-postmeddelande med tidpunkt, enhet, webbläsare och ungefärlig plats. Platsen fastställs utifrån din IP-adress via tredjepartsleverantören ipinfo.io (se avsnitt 10a.1).
• Radering av Meta-konto: För inloggning via Meta (Facebook/Instagram) tillhandahåller vi de av Meta föreskrivna callback-ändpunkterna för återkallande av behörighet och radering av data. Om du tar bort appen i dina Facebook-kontoinställningar eller begär radering av data där, får vi automatiskt en motsvarande begäran och visar behandlingsstatusen via en status-URL som anges av Meta.

5.2 Varumärkesprofiler och varumärkesdata

• När vi skapar en varumärkesprofil sparar vi:
• - Varumärkesnamn och beskrivning
• - Webbplatsens URL (för Brand Analyser)
• - Uppladdade riktlinjer och dokument för varumärket
• - Analyserade varumärkesdata (färger, typsnitt, tonalitet)
• - Logotyp och visuella tillgångar
• - Målgruppsdefinitioner
• - Bransch och kategori
• Syfte: Skapande av marknadskompatibelt innehåll, hantering av varumärkesidentitet

5.3 Innehållsdata (inlägg, media, kampanjer)

• När du använder funktionen för innehållsskapande lagrar vi följande:
• • Skapade och planerade inlägg på sociala medier (text, bildtexter, hashtags)
• • Uppladdade och genererade bilder, videor och grafik
• • Kampanjdata och mallar
• • Validering av idéer (swipe-data i Idea Generator)
• • Forskningsdokument
• • Innehållsstatus (utkast, granskning, planerad, publicerad)
• • Publiceringstidpunkter och plattformar
• • Märknings- och ursprungsuppgifter för genererade medier (innehållsklass, märkningsstatus, metadatastatus) samt din bekräftelse av den redaktionella granskningen av genererade texter
• Syfte: Innehållshantering, planering, automatisering, arkivering samt dokumentation av skyldigheterna avseende AI-transparens
• I den mån det är tekniskt möjligt innehåller genererade mediefiler märkningsinformation, metadata eller liknande tekniska indikatorer som visar att det rör sig om AI-genererat eller AI-stött innehåll (se avsnitt 8.2).

5.4 Användningsdata och analys

• Vi lagrar data för att förbättra plattformen:
• - Inloggningstider och sessionslängd
• - Använda egenskaper och funktioner
• - Tokenförbrukning och faktureringsdata
• - Felrapporter och prestandadata
• - Feedback och supportförfrågningar
• Syfte: Förbättring av plattformen, felanalys, support, fakturering

5.5 Länkar till sociala medier (publicering)

• När du kopplar samman sociala mediekonto för publicering (LinkedIn, Instagram, Facebook, Threads, WhatsApp Business, X, YouTube, TikTok, Wix, WordPress, egen webbplats) begär varje plattform via OAuth endast de behörigheter (scopes) som är nödvändiga för detta. Dessa kopplingar är oberoende av inloggningen via sociala medier för att logga in på kontot (se avsnitt 5.1a).
• OAuth-åtkomst- och uppdateringstoken lagras i databasen, krypterade med AES-256-GCM för respektive plattform (se avsnitt 10). Utgångna token som inte kan förnyas ogiltigförklaras automatiskt.
• I följande avsnitt beskrivs för varje plattform vilka uppgifter som behandlas, vad de används till och när de raderas. Plattformsuppgifterna används uteslutande för att administrera den berörda kundens närvaro på plattformen.
• Du kan när som helst avbryta varje anslutning i inställningarna. Vi rekommenderar dessutom att du återkallar appens behörighet direkt på respektive plattform (t.ex. i inställningarna för ditt LinkedIn- eller Meta-konto).

5.6 Uppgifter om team- och företagskonton

• För företagskonton med flera användare lagrar vi också data:
• - Teammedlemmar och deras roller
• - Behörigheter och åtkomstkontroll
• - Arbetsflöden för godkännande och kommentarer
• - Aktivitetsloggar (granskningslogg)
• Syfte: Teamsamarbete, åtkomstkontroll, efterlevnad

5.7 Meddelanden (i appen, push-meddelanden och e-post)

• PostMaestro.ai informerar dig om händelser på ditt konto, t.ex. kommentarer och omnämnanden, slutförda genereringar, publiceringar, inbjudningar till teamet, fakturering, säkerhet och underhåll. För detta behandlar vi:
• • Meddelanden i din inkorg (klockikon) inklusive status för läst och dold
• • Dina meddelandeinställningar per kanal, kategori, område och teamgrupp
• • För push-meddelanden (mobilapp och webbläsare): enhetstoken, ett slumpmässigt enhets-ID, enhetsnamn, plattform, appversion samt tidpunkten för senaste användningen
• • Om appen för närvarande är öppen på en enhet (synlighetssignal, giltig i 90 sekunder), så att du inte får ytterligare push-meddelanden på den enhet du just använder
• Vi skickar push-meddelanden via Firebase Cloud Messaging (Google) och e-postmeddelanden via SendGrid (se avsnitt 6.3).
• Du kan aktivera och inaktivera valfria aviseringar för varje kanal under Inställningar → Aviseringar; push-aviseringar kan dessutom ställas in i inställningarna för din enhet eller webbläsare.
• Information som är nödvändig för användningen av ditt konto (t.ex. betalningsproblem, krav på tvåfaktorsautentisering, underhåll, ändringar i användarvillkoren) skickar vi oavsett dessa inställningar via appen och via e-post. Inloggningsmeddelanden undantas från detta och är frivilliga (se avsnitt 12.1). I undantagsfall – till exempel vid underhållsarbeten eller säkerhetsrelaterade meddelanden – kan vi även visa meddelanden oberoende av dina kategoriinställningar i appen och via push-meddelanden; sådana meddelanden är markerade som ”Viktigt”.
• Du får endast reklammejl (t.ex. om nya funktioner) om du har prenumererat på nyhetsbrevet (avsnitt 6).

5.8 Nyheter, forskning och RSS-flöden

• Plattformen erbjuder en nyhetsfunktion som använder AI-stödd forskning (via Perplexity AI) som standard för att tillhandahålla relevanta branschnyheter. Du kan också lägga till dina egna RSS-flöden. Genom att göra det bearbetar vi:
• - Sökfrågor och ämnespreferenser för AI-stödda nyhetssökningar
• - URL-adresserna till de RSS-flöden som du har lagt till
• - Dina preferenser och kategoriseringar för dessa flöden
• - Lästa eller sparade artiklar
• Plattformen hämtar innehållet i tredjepartsflödena via våra servrar så att din IP-adress inte överförs till operatörerna av RSS-flödena. När du använder den AI-stödda nyhetssökningen överförs dina sökfrågor till Perplexity AI (se avsnitt 7.3).
• Syfte: Att tillhandahålla personligt anpassade branschnyheter, forskning och innehållsinspiration

6.1 Double-opt-in-förfarande

Efter att du har registrerat dig via webbplatsen får du ett e-postmeddelande med en bekräftelselänk. Först när du har klickat på den lägger vi till dig i distributionslistan. Obekräftade registreringar raderas efter 30 dagar; vi skickar ingen påminnelse.

När du registrerar dig i appen bekräftar du prenumerationen genom att klicka på länken i bekräftelsemejlet till ditt konto, där vi särskilt uppmärksammar detta.

Detta förhindrar att främmande e-postadresser registreras.

6.2 Bevis på ditt samtycke

För att kunna bevisa att du har gett ditt samtycke (art. 7.1 i GDPR) loggar vi anmälan, bekräftelse och avregistrering med tidpunkt, ursprung, IP-adress, webbläsar-ID och versionen av den visade samtyckestexten.

Vi sparar denna logg i 3 år efter att du har avregistrerat dig och raderar den därefter automatiskt.

6.3 SendGrid (e-postutskick)

För utskick av nyhetsbrev samt service- och meddelandemejl använder vi SendGrid (Twilio Inc., USA).

SendGrid behandlar din e-postadress och e-postens innehåll på vårt uppdrag och rapporterar tekniska leveranshändelser till oss (levererad, ej levererbar, rapporterad som skräppost, avregistrerad). Vi använder dessa händelser för att hålla adresslistan uppdaterad: Adresser som inte går att leverera till och spamrapporter leder till att adressen spärras.

Vi har ingått ett avtal om uppdragshantering (AVV) med SendGrid i enlighet med artikel 28 i GDPR. SendGrid är certifierat enligt EU-US Data Privacy Framework.

Mer information: https://www.twilio.com/legal/privacy

Twilios (SendGrid) integritetspolicy

6.4 Spårning av nyhetsbrev

Vi mäter för närvarande varken öppningar eller klick.

Innan vi inför sådana statistiska uppgifter informerar vi dig i förväg och inhämtar – i den mån det är nödvändigt – ditt samtycke.

6.5 Avregistrering

Du kan avsluta prenumerationen på nyhetsbrevet när som helst:

• via avregistreringslänken i varje e-postmeddelande eller avregistreringsfunktionen i ditt e-postprogram

• via formuläret längst ner i detta avsnitt: Ange din e-postadress så skickar vi dig en länk för att bekräfta avregistreringen

• i ditt PostMaestro-konto under Inställningar → Meddelanden

• via e-post till support@postmaestro.ai

Efter avregistreringen kommer du inte längre att få nyhetsbrev. Din adress finns då inte längre i distributionslistan; endast beviset enligt avsnitt 6.2 sparas.

8.1 Information om interaktion med ett AI-system

• I PostMaestro.ai interagerar du direkt med AI-system. Alla funktioner som skapar, utvärderar, sammanfattar, översätter eller omformulerar innehåll är AI-stödda och markerade som sådana i användargränssnittet.
• Informationen ska ges före den första interaktionen och vara tydlig, begriplig och klart urskiljbar från övriga manöverelement (artikel 50.1 i EU:s AI-lag).
• Vi tillhandahåller dessa anvisningar på ett tillgängligt sätt och anpassar dem efter de erkända kraven på tillgänglighet (artikel 50.5 i EU:s lag om artificiell intelligens).
• Svar och förslag från AI kan vara ofullständiga, inaktuella eller sakligt felaktiga. De utgör inte någon juridisk, skattemässig, medicinsk eller finansiell rådgivning.

8.2 Maskinläsbar märkning av genererat innehåll

• Enligt artikel 50.2 i EU:s AI-lag måste innehåll som genereras av AI-system och som består av syntetiska bilder, ljud, videor eller texter märkas som artificiellt genererat eller manipulerat i ett maskinläsbart format. Märkningen måste vara effektiv, interoperabel, robust och tillförlitlig.
• Vi uppfyller detta krav genom flera kompletterande metoder, eftersom ingen enskild metod enligt dagens tekniska kunskapsnivå på egen hand uppnår den erforderliga robustheten:
• • Metadata om ursprung i filen: Vid exporten skriver vi in XMP- och IPTC-metadata i de genererade mediefilerna, särskilt IPTC-fältet ”Digital Source Type” med värdet ”trainedAlgorithmicMedia” samt uppgifter om det använda AI-systemet, modellversionen och tidpunkten för genereringen.
• • Content Credentials (C2PA): För genererade bild- och videofiler integrerar vi en kryptografiskt signerad upphovsangivelse enligt C2PA-standarden i utmatningsprocessen.
• • Vattenmärken från leverantören: Om den aktuella modellleverantören tillhandahåller osynliga vattenmärken behålls dessa och tas inte bort. För bildmodellerna från Google Gemini är detta vattenmärkningsmetoden SynthID.
• • Validering: Efter skrivningen läser vi av markeringen på nytt och registrerar en status för varje fil (väntande, giltig, saknas, borttagen). Om inbäddningen misslyckas tvingar vi fram en synlig markering för känsliga innehållsklasser.
• Markeringen läggs till på serversidan innan en fil lagras eller levereras, så att den klarar rendering, uppladdning och nedladdning. Tekniskt sett kan det inte uteslutas att tredje part eller målplattformar tar bort metadata vid omladdning, komprimering eller beskärning. I sådana fall utgör den synliga markeringen din säkerhet (se 8.3).
• Genomförandestatus och tidsfrist: Öppenhetskraven i artikel 50 i EU:s AI-lag gäller från och med den 2 augusti 2026. För AI-system som – liksom PostMaestro.ai – redan fanns på marknaden före detta datum gäller en övergångsperiod fram till den 2 december 2026. Vi kommer att genomföra de ovan beskrivna förfarandena fullt ut inom denna tidsfrist och dokumentera genomförandestatusen internt.
• En hänvisning i denna integritetspolicy räcker inte i sig för att uppfylla artikel 50.2 i EU:s AI-lag. Det avgörande är den maskinläsbara markeringen på själva filen.

8.3 Dina skyldigheter som operatör när det gäller deepfakes

• Om du publicerar innehåll som skapats med PostMaestro.ai är du ”operatör” i den mening som avses i EU:s AI-lag. I detta fall är det du, och inte vi, som omfattas av informationsskyldigheten enligt artikel 50.4 i EU:s AI-lag.
• Om du skapar eller redigerar bild-, ljud- eller videoinnehåll som är förväxlingsbart likt verkliga personer, föremål, platser, anläggningar eller händelser (”deepfakes”), måste du vid publiceringen uppge att innehållet är artificiellt skapat eller manipulerat.
• Enligt Europeiska kommissionens riktlinjer gäller denna skyldighet oavsett om det föreligger ett bedrägligt uppsåt eller inte, och även om ingen konkret, verklig person avbildas. För inlägg på sociala medier är den därför regelbundet tillämplig.
• Som stöd tillhandahåller vi följande: en synlig markering som standardinställning för känsliga innehållsklasser, ett förslag till varningstext vid export samt en påminnelse i publiceringsflödet.
• Standardinställningen är alltid ”markerad”. Om funktionen inaktiveras måste detta dokumenteras: Vi sparar tidpunkt, användarkonto, arbetsområde och versionen av bekräftelsetexten. För fotorealistiska personavbildningar och syntetiska röster är det inte möjligt att inaktivera funktionen.
• Du får inte ta bort, inaktivera, kringgå eller på annat sätt påverka funktionen hos de märknings- och informationsmekanismer som vi tillhandahåller (se användarvillkoren, avsnitt 6.4).
• Denna skyldighet gäller utöver märkningskraven på respektive social medieplattform. Det är upp till dig att själv kontrollera om det föreligger en skyldighet att offentliggöra information i det enskilda fallet.

8.4 AI-genererade texter och redaktionellt ansvar

• När det gäller texter är artikel 50 i EU:s AI-lag betydligt snävare formulerad än för bild, ljud och video. En skyldighet att offentliggöra uppgifter föreligger endast om samtliga tre följande villkor är uppfyllda:
• 1. Texten har skapats eller manipulerats med hjälp av AI.
• 2. Texten publiceras.
• 3. Syftet med publiceringen är att informera allmänheten om frågor av allmänt intresse – till exempel nyheter, politiska eller samhälleliga ställningstaganden och bidrag till offentliga debatter.
• Märkningsskyldigheten upphör att gälla om innehållet har genomgått en manuell granskning eller redaktionell kontroll och om en fysisk eller juridisk person bär det redaktionella ansvaret för publiceringen.
• Det finns ingen allmän skyldighet att märka varje text som genererats av AI. Den som använder AI som ett hjälpverktyg, granskar texterna redaktionellt och själv tar ansvar för dem, omfattas i regel inte av någon ytterligare märkningsskyldighet.
• PostMaestro.ai är utformat just för detta: De genererade texterna är förslag. Innan texten schemaläggs eller publiceras kräver vi en uttrycklig bekräftelse på att du har granskat texten och tar på dig det redaktionella ansvaret. Vi dokumenterar denna bekräftelse med tidpunkt, användarkonto och textversion, så att undantaget kan spåras.
• Anvisningen i applikationen lyder: ”Denna text är ett förslag. Kontrollera den innan den publiceras. Genom att kontrollera den tar du på dig det redaktionella ansvaret.”
• Utan denna granskning får ni inte publicera genererade texter som redaktionellt ansvarigt innehåll; då kan upplysningsplikten enligt artikel 50.4 i EU:s AI-lag träda i kraft.

8.5 Ingen känsligenkänning och ingen biometrisk kategorisering

• PostMaestro.ai använder inga system för känsligenkänning och drar inga slutsatser om känslor, känslotillstånd eller avsikter utifrån biometriska data.
• Vi använder oss inte av biometrisk kategorisering, ansiktsigenkänning, biometrisk identifiering eller identifiering av skyddade egenskaper såsom etniskt ursprung, politisk åsikt, religion, fackföreningstillhörighet, hälsa eller sexuell läggning.
• Utvärderingsfunktioner som Idea Validation, Brand Analyser eller prestationsanalyser avser uteslutande innehåll, varumärkes- och räckviddsdata – inte personer och inte biometriska egenskaper.
• Informationsskyldigheterna enligt artikel 50.3 i EU:s AI-lag för system för känsligenkänning och biometrisk kategorisering är därför inte tillämpliga i vårt fall.

8.6 Förbjuden användning: intima bilder utan samtycke och bilder som visar övergrepp mot barn

• Artikel 5 i EU:s AI-lag förbjuder AI-system vars rimligt förutsebara resultat är icke-samtyckande intima avbildningar (NCII) eller avbildningar av sexuella övergrepp mot barn (CSAM). Som leverantör av ett allmänt verktyg för bild- och videogenerering utvärderar vi denna risk för missbruk redan i utformningsfasen och vidtar tekniska skyddsåtgärder.
• Genomförda skyddsåtgärder:
• • Inmatningsfilter som blockerar relevanta uppmaningar redan innan bild- och videomodellerna anropas
• • Utmatningsfilter samt säkerhetsinställningarna hos de använda modellleverantörerna
• • Blockering av inlägg som riktar sig mot minderåriga i ett sexualiserat sammanhang eller som innehåller intima avbildningar av identifierbara personer
• • Spärrning av Persona- och Voice-funktionerna utan dokumenterat samtycke från den berörda personen (se avsnitt 5.9)
• • Loggning av blockerade förfrågningar för att upptäcka missbruk samt möjligheten att spärra berörda konton
• All användning av plattformen för dessa ändamål är strängt förbjuden och leder till omedelbar spärrning av kontot samt, om det finns tecken på brott, till att de behöriga myndigheterna tillkallas.
• Anmäla missbruk: Du och tredje part kan när som helst anmäla överträdelser via info@nexaluna.ai med ämnesraden ”Anmäla missbruk av AI”. Vi behandlar inkommande anmälningar med hög prioritet och bekräftar mottagandet.
• Vi dokumenterar vår riskbedömning från utkastfasen, de filter som används och hanteringen av anmälningar internt och lämnar ut dessa på begäran av de behöriga myndigheterna.

8.7 Rollfördelning: leverantörer och operatörer

• Leverantör i den mening som avses i EU:s AI-lag är Nexaluna AI Solutions UG (med begränsat ansvar) för AI-systemet PostMaestro.ai. Vi är skyldiga att uppfylla leverantörsskyldigheterna, särskilt den maskinläsbara märkningen av utgåvor enligt artikel 50.2 och offentliggörandet av AI-interaktionen enligt artikel 50.1.
• Du betraktas som operatör så snart du använder plattformen på eget ansvar och publicerar skapat innehåll. Du är skyldig att uppfylla operatörens skyldigheter, särskilt informationsplikten enligt artikel 50.4 när det gäller deepfakes och texter av allmänt intresse.
• De basmodeller som används kommer från tredje part (se avsnitt 7). Dessa leverantörer tillhandahåller respektive AI-modeller; vi är leverantörer av det AI-system som bygger på dessa.
• Vi för internt ett register över alla modeller som används, med respektive rolltilldelning, och uppdaterar det vid ändringar.
• När det gäller AI-kompetens enligt artikel 4 i EU:s AI-lag utbildar vi våra medarbetare i hur de ska hantera de AI-system som används och dokumenterar utbildningarna.

8.8 Tillsyn och klagomål

• Sedan den 29 juli 2026 är Bundesnetzagentur den behöriga marknadsövervakningsmyndigheten, den centrala kontaktpunkten och klagomålsinstansen för EU:s AI-lag i Tyskland.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan när som helst lämna in klagomål gällande AI-transparens där. Vi ber dig att först kontakta oss på info@nexaluna.ai så att vi omedelbart kan utreda ditt ärende.