Integritetspolicy

5.1 Registrering och kontouppgifter

• Vid registreringen samlar vi in följande uppgifter:
• • E-postadress (obligatoriskt)
• • Användarnamn (obligatoriskt)
• • Lösenord (krypterat med bcrypt, minst 8 tecken)
• • Kontotyp (privat eller företag)
• • Registreringstidpunkt
• • Tvåfaktorsautentisering (2FA) – valfritt men rekommenderas
• Syfte: Tillhandahållande och hantering av ditt konto, autentisering, säkerhet
• 2FA-uppgifterna sparas endast lokalt på din enhet (QR-kodskanning). Vi sparar endast aktiveringsstatusen.
• Obs! Du kan alternativt också registrera dig/logga in via Google, Meta (Facebook), LinkedIn, TikTok eller X – se avsnitt 5.1a för information om vilka uppgifter och behörigheter som begärs i respektive fall.
• För att skydda oss mot automatiserade registreringar (bots) använder vi Cloudflare Turnstile (se avsnitt 10a.2).

5.1a Registrering och inloggning via tredjepartsleverantörer (social inloggning)

• Utöver den vanliga registreringen med e-postadress och lösenord kan du registrera dig eller logga in på PostMaestro.ai via följande tredjepartsleverantörer. Dessa kopplingar används uteslutande för att skapa ett konto och logga in och är oberoende av kopplingarna till sociala medier för att publicera inlägg (se avsnitt 5.5) – i varje fall begärs separata OAuth-behörigheter (Scopes) med betydligt mer begränsade rättigheter:
• • Google (Scopes: openid, profile, email) – följande uppgifter överförs: Google-ID, e-postadress, för- och efternamn, profilbild och språk
• • Meta/Facebook-inloggning (behörighetsområden: public_profile, email) – följande uppgifter överförs: Facebook-ID, e-postadress, för- och efternamn, profilbild och språk
• • Inloggning på Instagram Business (omfattning: instagram_business_basic) – följande uppgifter överförs: Instagram-ID, användarnamn, visningsnamn och profilbild (ingen e-postadress – den efterfrågas separat under onboarding-processen)
• • LinkedIn (OpenID Connect, omfattning: openid, profile, email) – följande uppgifter överförs: LinkedIn-ID, e-postadress, för- och efternamn, profilbild och språk
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) – följande uppgifter överförs: TikTok Open-ID, användarnamn, visningsnamn och profilbild (TikTok tillhandahåller ingen e-postadress – tills en adress anges under onboarding används en platshållaradress internt)
• • X / Twitter (OAuth 2.0 med PKCE, behörighetsområden: users.read, users.email, tweet.read) – följande uppgifter överförs: X-ID, användarnamn, visningsnamn, profilbild samt – om detta har godkänts på X – den bekräftade e-postadressen
• Dessa behörigheter tillåter endast inläsning av grundläggande profiluppgifter för att skapa ett konto. Inga inlägg publiceras, inga meddelanden läses och ingen åtkomst till dina kontakter beviljas.
• Om en redan registrerad e-postadress registreras på nytt via en annan leverantör, identifierar vi det befintliga kontot utifrån e-postadressen (oavsett om det är stora eller små bokstäver) och kopplar sedan ihop det med det nya leverantörs-ID:t (kontokoppling), istället för att skapa ett dubbelt konto.
• Om detta är aktiverat i dina säkerhetsinställningar skickar vi vid varje inloggning (även via social inloggning) ett e-postmeddelande med tidpunkt, enhet, webbläsare och ungefärlig plats. Platsen fastställs utifrån din IP-adress via tredjepartsleverantören ipinfo.io (se avsnitt 10a.1).
• Radering av Meta-konto: För inloggning via Meta (Facebook/Instagram) tillhandahåller vi de av Meta föreskrivna callback-ändpunkterna för återkallande av behörighet och radering av data. Om du tar bort appen i dina Facebook-kontoinställningar eller begär radering av data där, får vi automatiskt en motsvarande begäran och visar behandlingsstatusen via en status-URL som anges av Meta.

5.2 Varumärkesprofiler och varumärkesdata

• När vi skapar en varumärkesprofil sparar vi:
• - Varumärkesnamn och beskrivning
• - Webbplatsens URL (för Brand Analyser)
• - Uppladdade riktlinjer och dokument för varumärket
• - Analyserade varumärkesdata (färger, typsnitt, tonalitet)
• - Logotyp och visuella tillgångar
• - Målgruppsdefinitioner
• - Bransch och kategori
• Syfte: Skapande av marknadskompatibelt innehåll, hantering av varumärkesidentitet

5.3 Innehållsdata (inlägg, media, kampanjer)

• När du använder funktionen för innehållsskapande lagrar vi följande:
• • Skapade och planerade inlägg på sociala medier (text, bildtexter, hashtags)
• • Uppladdade och genererade bilder, videor och grafik
• • Kampanjdata och mallar
• • Validering av idéer (swipe-data i Idea Generator)
• • Forskningsdokument
• • Innehållsstatus (utkast, granskning, planerad, publicerad)
• • Publiceringstidpunkter och plattformar
• • Märknings- och ursprungsuppgifter för genererade medier (innehållsklass, märkningsstatus, metadatastatus) samt din bekräftelse av den redaktionella granskningen av genererade texter
• Syfte: Innehållshantering, planering, automatisering, arkivering samt dokumentation av skyldigheterna avseende AI-transparens
• I den mån det är tekniskt möjligt innehåller genererade mediefiler märkningsinformation, metadata eller liknande tekniska indikatorer som visar att det rör sig om AI-genererat eller AI-stött innehåll (se avsnitt 8.2).

5.4 Användningsdata och analys

• Vi lagrar data för att förbättra plattformen:
• - Inloggningstider och sessionslängd
• - Använda egenskaper och funktioner
• - Tokenförbrukning och faktureringsdata
• - Felrapporter och prestandadata
• - Feedback och supportförfrågningar
• Syfte: Förbättring av plattformen, felanalys, support, fakturering

5.5 Länkar till sociala medier (publicering)

• När du kopplar samman sociala medier-konton för publicering (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, egen webbplats) begär varje plattform via OAuth endast de behörigheter (scopes) som är nödvändiga för detta. Dessa kopplingar är oberoende av inloggningen via sociala medier för att logga in på kontot (se avsnitt 5.1a). Vi lagrar då följande:
• • OAuth-åtkomst- och uppdateringstoken per plattform, lagrade i databasen med AES-256-GCM-kryptering (se avsnitt 10)
• • Plattformskonto-/sida-/kanal-ID samt visningsnamn, profilbild eller logotyp
• • På LinkedIn dessutom: företagssidor som du administrerar (ID, namn, logotyp) för val av publiceringsmål
• • På Facebook/Instagram/WhatsApp: automatiskt identifierade kopplingar mellan Facebook-sidan, Instagram-företagskontot och WhatsApp-företagskontot (”överföring” av kopplade konton när anslutningen upprättas)
• • Giltighetstid för åtkomsttoken för automatisk förnyelse (t.ex. hos X och Wix)
• • För WordPress och egna webbplatser: de inloggningsuppgifter som du har angett (applikationslösenord eller endpoint-URL och hemlig nyckel) istället för OAuth-token
• Dessa uppgifter används uteslutande för att på dina vägnar publicera inlägg på de kopplade kontona och visa tillhörande statistik (Analytics) inom PostMaestro.ai. Åtkomst till privata meddelanden eller kontakter sker uteslutande inom ramen för den Community Manager-funktion som du har aktiverat (Facebook Messenger, Instagram Direct, WhatsApp).
• Du kan när som helst avbryta varje anslutning i inställningarna. Vi rekommenderar dessutom att du återkallar appens behörighet direkt på respektive plattform (t.ex. i Meta-kontoinställningarna).

5.6 Uppgifter om team- och företagskonton

• För företagskonton med flera användare lagrar vi också data:
• - Teammedlemmar och deras roller
• - Behörigheter och åtkomstkontroll
• - Arbetsflöden för godkännande och kommentarer
• - Aktivitetsloggar (granskningslogg)
• Syfte: Teamsamarbete, åtkomstkontroll, efterlevnad

5.7 Push-meddelanden (mobilapp)

• Om du använder vår mobilapp och aktiverar push-meddelanden behandlar vi följande uppgifter:
• • Enhetstoken (Device Token) för att skicka meddelanden
• • Inställningar för aviseringar
• För att skicka push-meddelanden använder vi Firebase Cloud Messaging (Google).
• Du kan när som helst inaktivera push-meddelanden i enhetens inställningar.

5.8 Nyheter, forskning och RSS-flöden

• Plattformen erbjuder en nyhetsfunktion som använder AI-stödd forskning (via Perplexity AI) som standard för att tillhandahålla relevanta branschnyheter. Du kan också lägga till dina egna RSS-flöden. Genom att göra det bearbetar vi:
• - Sökfrågor och ämnespreferenser för AI-stödda nyhetssökningar
• - URL-adresserna till de RSS-flöden som du har lagt till
• - Dina preferenser och kategoriseringar för dessa flöden
• - Lästa eller sparade artiklar
• Plattformen hämtar innehållet i tredjepartsflödena via våra servrar så att din IP-adress inte överförs till operatörerna av RSS-flödena. När du använder den AI-stödda nyhetssökningen överförs dina sökfrågor till Perplexity AI (se avsnitt 7.3).
• Syfte: Att tillhandahålla personligt anpassade branschnyheter, forskning och innehållsinspiration

6.1 Förfarande med dubbel opt-in

Efter att du har anmält dig till nyhetsbrevet får du ett bekräftelsemeddelande via e-post.

Du kommer endast att läggas till i e-postlistan för nyhetsbrevet efter att ha klickat på bekräftelselänken.

Detta för att skydda mot missbruk av din e-postadress.

6.2 SendGrid (utskick av e-post)

Vi använder SendGrid (Twilio Inc., USA) för att skicka nyhetsbrev.

SendGrid behandlar din e-postadress för vår räkning för att skicka nyhetsbrevet.

Vi har ingått ett avtal om orderbehandling (AVV) med SendGrid i enlighet med artikel 28 i GDPR.

SendGrid är certifierat enligt EU-US Data Privacy Framework.

Ytterligare information: https://www.twilio.com/legal/privacy

Integritetspolicy för Twilio (SendGrid)

6.3 Spårning av nyhetsbrev

Nuvarande: Ingen spårning av öppningsfrekvenser eller klick

Planerad: Opt-in för statistik över nyhetsbrev (öppningsfrekvens, klickspårning)

Du kommer att informeras innan spårningen aktiveras och kan ge eller neka ditt samtycke.

6.4 Uppsägning

Du kan när som helst avregistrera dig från nyhetsbrevet:

- Via avregistreringslänken i varje nyhetsbrevsmail

- Via e-post till newsletter@nexaluna.ai

- I inställningarna för ditt konto (om tillgängligt)

Efter avbeställning kommer dina uppgifter att raderas från nyhetsbrevets distributionslista.

8.1 Information om interaktion med ett AI-system

• I PostMaestro.ai interagerar du direkt med AI-system. Alla funktioner som skapar, utvärderar, sammanfattar, översätter eller omformulerar innehåll är AI-stödda och markerade som sådana i användargränssnittet.
• Informationen ska ges före den första interaktionen och vara tydlig, begriplig och klart urskiljbar från övriga manöverelement (artikel 50.1 i EU:s AI-lag).
• Vi tillhandahåller dessa anvisningar på ett tillgängligt sätt och anpassar dem efter de erkända kraven på tillgänglighet (artikel 50.5 i EU:s lag om artificiell intelligens).
• Svar och förslag från AI kan vara ofullständiga, inaktuella eller sakligt felaktiga. De utgör inte någon juridisk, skattemässig, medicinsk eller finansiell rådgivning.

8.2 Maskinläsbar märkning av genererat innehåll

• Enligt artikel 50.2 i EU:s AI-lag måste innehåll som genereras av AI-system och som består av syntetiska bilder, ljud, videor eller texter märkas som artificiellt genererat eller manipulerat i ett maskinläsbart format. Märkningen måste vara effektiv, interoperabel, robust och tillförlitlig.
• Vi uppfyller detta krav genom flera kompletterande metoder, eftersom ingen enskild metod enligt dagens tekniska kunskapsnivå på egen hand uppnår den erforderliga robustheten:
• • Metadata om ursprung i filen: Vid exporten skriver vi in XMP- och IPTC-metadata i de genererade mediefilerna, särskilt IPTC-fältet ”Digital Source Type” med värdet ”trainedAlgorithmicMedia” samt uppgifter om det använda AI-systemet, modellversionen och tidpunkten för genereringen.
• • Content Credentials (C2PA): För genererade bild- och videofiler integrerar vi en kryptografiskt signerad upphovsangivelse enligt C2PA-standarden i utmatningsprocessen.
• • Vattenmärken från leverantören: Om den aktuella modellleverantören tillhandahåller osynliga vattenmärken behålls dessa och tas inte bort. För bildmodellerna från Google Gemini är detta vattenmärkningsmetoden SynthID.
• • Validering: Efter skrivningen läser vi av markeringen på nytt och registrerar en status för varje fil (väntande, giltig, saknas, borttagen). Om inbäddningen misslyckas tvingar vi fram en synlig markering för känsliga innehållsklasser.
• Markeringen läggs till på serversidan innan en fil lagras eller levereras, så att den klarar rendering, uppladdning och nedladdning. Tekniskt sett kan det inte uteslutas att tredje part eller målplattformar tar bort metadata vid omladdning, komprimering eller beskärning. I sådana fall utgör den synliga markeringen din säkerhet (se 8.3).
• Genomförandestatus och tidsfrist: Öppenhetskraven i artikel 50 i EU:s AI-lag gäller från och med den 2 augusti 2026. För AI-system som – liksom PostMaestro.ai – redan fanns på marknaden före detta datum gäller en övergångsperiod fram till den 2 december 2026. Vi kommer att genomföra de ovan beskrivna förfarandena fullt ut inom denna tidsfrist och dokumentera genomförandestatusen internt.
• En hänvisning i denna integritetspolicy räcker inte i sig för att uppfylla artikel 50.2 i EU:s AI-lag. Det avgörande är den maskinläsbara markeringen på själva filen.

8.3 Dina skyldigheter som operatör när det gäller deepfakes

• Om du publicerar innehåll som skapats med PostMaestro.ai är du ”operatör” i den mening som avses i EU:s AI-lag. I detta fall är det du, och inte vi, som omfattas av informationsskyldigheten enligt artikel 50.4 i EU:s AI-lag.
• Om du skapar eller redigerar bild-, ljud- eller videoinnehåll som är förväxlingsbart likt verkliga personer, föremål, platser, anläggningar eller händelser (”deepfakes”), måste du vid publiceringen uppge att innehållet är artificiellt skapat eller manipulerat.
• Enligt Europeiska kommissionens riktlinjer gäller denna skyldighet oavsett om det föreligger ett bedrägligt uppsåt eller inte, och även om ingen konkret, verklig person avbildas. För inlägg på sociala medier är den därför regelbundet tillämplig.
• Som stöd tillhandahåller vi följande: en synlig markering som standardinställning för känsliga innehållsklasser, ett förslag till varningstext vid export samt en påminnelse i publiceringsflödet.
• Standardinställningen är alltid ”markerad”. Om funktionen inaktiveras måste detta dokumenteras: Vi sparar tidpunkt, användarkonto, arbetsområde och versionen av bekräftelsetexten. För fotorealistiska personavbildningar och syntetiska röster är det inte möjligt att inaktivera funktionen.
• Du får inte ta bort, inaktivera, kringgå eller på annat sätt påverka funktionen hos de märknings- och informationsmekanismer som vi tillhandahåller (se användarvillkoren, avsnitt 6.4).
• Denna skyldighet gäller utöver märkningskraven på respektive social medieplattform. Det är upp till dig att själv kontrollera om det föreligger en skyldighet att offentliggöra information i det enskilda fallet.

8.4 AI-genererade texter och redaktionellt ansvar

• När det gäller texter är artikel 50 i EU:s AI-lag betydligt snävare formulerad än för bild, ljud och video. En skyldighet att offentliggöra uppgifter föreligger endast om samtliga tre följande villkor är uppfyllda:
• 1. Texten har skapats eller manipulerats med hjälp av AI.
• 2. Texten publiceras.
• 3. Syftet med publiceringen är att informera allmänheten om frågor av allmänt intresse – till exempel nyheter, politiska eller samhälleliga ställningstaganden och bidrag till offentliga debatter.
• Märkningsskyldigheten upphör att gälla om innehållet har genomgått en manuell granskning eller redaktionell kontroll och om en fysisk eller juridisk person bär det redaktionella ansvaret för publiceringen.
• Det finns ingen allmän skyldighet att märka varje text som genererats av AI. Den som använder AI som ett hjälpverktyg, granskar texterna redaktionellt och själv tar ansvar för dem, omfattas i regel inte av någon ytterligare märkningsskyldighet.
• PostMaestro.ai är utformat just för detta: De genererade texterna är förslag. Innan texten schemaläggs eller publiceras kräver vi en uttrycklig bekräftelse på att du har granskat texten och tar på dig det redaktionella ansvaret. Vi dokumenterar denna bekräftelse med tidpunkt, användarkonto och textversion, så att undantaget kan spåras.
• Anvisningen i applikationen lyder: ”Denna text är ett förslag. Kontrollera den innan den publiceras. Genom att kontrollera den tar du på dig det redaktionella ansvaret.”
• Utan denna granskning får ni inte publicera genererade texter som redaktionellt ansvarigt innehåll; då kan upplysningsplikten enligt artikel 50.4 i EU:s AI-lag träda i kraft.

8.5 Ingen känsligenkänning och ingen biometrisk kategorisering

• PostMaestro.ai använder inga system för känsligenkänning och drar inga slutsatser om känslor, känslotillstånd eller avsikter utifrån biometriska data.
• Vi använder oss inte av biometrisk kategorisering, ansiktsigenkänning, biometrisk identifiering eller identifiering av skyddade egenskaper såsom etniskt ursprung, politisk åsikt, religion, fackföreningstillhörighet, hälsa eller sexuell läggning.
• Utvärderingsfunktioner som Idea Validation, Brand Analyser eller prestationsanalyser avser uteslutande innehåll, varumärkes- och räckviddsdata – inte personer och inte biometriska egenskaper.
• Informationsskyldigheterna enligt artikel 50.3 i EU:s AI-lag för system för känsligenkänning och biometrisk kategorisering är därför inte tillämpliga i vårt fall.

8.6 Förbjuden användning: intima bilder utan samtycke och bilder som visar övergrepp mot barn

• Artikel 5 i EU:s AI-lag förbjuder AI-system vars rimligt förutsebara resultat är icke-samtyckande intima avbildningar (NCII) eller avbildningar av sexuella övergrepp mot barn (CSAM). Som leverantör av ett allmänt verktyg för bild- och videogenerering utvärderar vi denna risk för missbruk redan i utformningsfasen och vidtar tekniska skyddsåtgärder.
• Genomförda skyddsåtgärder:
• • Inmatningsfilter som blockerar relevanta uppmaningar redan innan bild- och videomodellerna anropas
• • Utmatningsfilter samt säkerhetsinställningarna hos de använda modellleverantörerna
• • Blockering av inlägg som riktar sig mot minderåriga i ett sexualiserat sammanhang eller som innehåller intima avbildningar av identifierbara personer
• • Spärrning av Persona- och Voice-funktionerna utan dokumenterat samtycke från den berörda personen (se avsnitt 5.9)
• • Loggning av blockerade förfrågningar för att upptäcka missbruk samt möjligheten att spärra berörda konton
• All användning av plattformen för dessa ändamål är strängt förbjuden och leder till omedelbar spärrning av kontot samt, om det finns tecken på brott, till att de behöriga myndigheterna tillkallas.
• Anmäla missbruk: Du och tredje part kan när som helst anmäla överträdelser via info@nexaluna.ai med ämnesraden ”Anmäla missbruk av AI”. Vi behandlar inkommande anmälningar med hög prioritet och bekräftar mottagandet.
• Vi dokumenterar vår riskbedömning från utkastfasen, de filter som används och hanteringen av anmälningar internt och lämnar ut dessa på begäran av de behöriga myndigheterna.

8.7 Rollfördelning: leverantörer och operatörer

• Leverantör i den mening som avses i EU:s AI-lag är Nexaluna AI Solutions UG (med begränsat ansvar) för AI-systemet PostMaestro.ai. Vi är skyldiga att uppfylla leverantörsskyldigheterna, särskilt den maskinläsbara märkningen av utgåvor enligt artikel 50.2 och offentliggörandet av AI-interaktionen enligt artikel 50.1.
• Du betraktas som operatör så snart du använder plattformen på eget ansvar och publicerar skapat innehåll. Du är skyldig att uppfylla operatörens skyldigheter, särskilt informationsplikten enligt artikel 50.4 när det gäller deepfakes och texter av allmänt intresse.
• De basmodeller som används kommer från tredje part (se avsnitt 7). Dessa leverantörer tillhandahåller respektive AI-modeller; vi är leverantörer av det AI-system som bygger på dessa.
• Vi för internt ett register över alla modeller som används, med respektive rolltilldelning, och uppdaterar det vid ändringar.
• När det gäller AI-kompetens enligt artikel 4 i EU:s AI-lag utbildar vi våra medarbetare i hur de ska hantera de AI-system som används och dokumenterar utbildningarna.

8.8 Tillsyn och klagomål

• Sedan den 29 juli 2026 är Bundesnetzagentur den behöriga marknadsövervakningsmyndigheten, den centrala kontaktpunkten och klagomålsinstansen för EU:s AI-lag i Tyskland.
• Bundesnetzagentur, Tulpenfeld 4, 53113 Bonn, https://www.bundesnetzagentur.de
• Du kan när som helst lämna in klagomål gällande AI-transparens där. Vi ber dig att först kontakta oss på info@nexaluna.ai så att vi omedelbart kan utreda ditt ärende.