Політика конфіденційності

5.1 Дані реєстрації та облікового запису

• Під час реєстрації ми збираємо:
• • Адреса електронної пошти (обов’язкове поле)
• • Ім’я користувача (обов’язкове поле)
• • Пароль (зашифрований за допомогою bcrypt, щонайменше 8 символів)
• • Тип облікового запису (особистий або корпоративний)
• • Дата реєстрації
• • Двофакторна автентифікація (2FA) — необов’язкова, але рекомендується
• Мета: створення та управління вашим обліковим записом, аутентифікація, безпека
• Дані 2FA зберігаються виключно локально на вашому пристрої (сканування QR-коду). Ми зберігаємо лише статус активації.
• Примітка: Ви також можете зареєструватися або увійти через Google, Meta (Facebook), LinkedIn, TikTok або X — див. розділ 5.1a, де наведено перелік даних та дозволів, які запитуються в кожному з цих випадків.
• Для захисту від автоматизованих реєстрацій (ботів) ми використовуємо Cloudflare Turnstile (див. розділ 10a.2).

5.1a Реєстрація та вхід через сторонні сервіси (соціальний вхід)

• Окрім класичної реєстрації за допомогою електронної пошти та пароля, ви можете зареєструватися або увійти в систему PostMaestro.ai через такі сторонні сервіси. Ці підключення призначені виключно для створення облікового запису та входу в систему і не пов’язані з підключенням до соціальних мереж для публікації дописів (див. розділ 5.5) — у кожному випадку запитуються окремі, значно обмеженіші повноваження OAuth (Scopes):
• • Google (Scopes: openid, profile, email) — передаються ідентифікатор Google, адреса електронної пошти, ім’я та прізвище, фотографія профілю та мова
• • Вхід через Meta / Facebook (області доступу: public_profile, email) — передаються ідентифікатор Facebook, адреса електронної пошти, ім’я та прізвище, фото профілю та мова
• • Вхід в Instagram Business (область доступу: instagram_business_basic) — передаються ідентифікатор Instagram, ім’я користувача, ім’я для відображення та фото профілю (адреса електронної пошти не передається — її запитують окремо під час реєстрації)
• • LinkedIn (OpenID Connect, сфери доступу: openid, profile, email) — передаються ідентифікатор LinkedIn, адреса електронної пошти, ім’я та прізвище, фотографія профілю та мова
• • TikTok Login Kit (Scopes: user.info.basic, user.info.profile) — передаються TikTok Open-ID, ім’я користувача, ім’я для відображення та фото профілю (TikTok не надає адресу електронної пошти — до її введення під час реєстрації внутрішньо використовується тимчасова адреса)
• • X / Twitter (OAuth 2.0 з PKCE, сфери доступу: users.read, users.email, tweet.read) — передаються X-ID, ім’я користувача, ім’я для відображення, фото профілю, а також — за умови, що ця інформація надана в X — підтверджена адреса електронної пошти
• Ці сфери доступу дозволяють виключно зчитувати базові дані профілю для створення облікового запису. При цьому не публікуються дописи, не читаються повідомлення та не надається доступ до ваших контактів.
• Якщо вже зареєстрована електронна адреса повторно реєструється через іншого провайдера, ми розпізнаємо існуючий обліковий запис за електронною адресою (незалежно від регістру) і згодом пов’язуємо новий ідентифікатор провайдера (об’єднання облікових записів), замість того щоб створювати дублікат облікового запису.
• Якщо ця функція увімкнена у ваших налаштуваннях безпеки, ми надсилаємо повідомлення електронною поштою про кожен вхід у систему (у тому числі через соціальні мережі) із зазначенням часу, пристрою, браузера та приблизного місцезнаходження. Місцезнаходження визначається на основі вашої IP-адреси за допомогою стороннього сервісу ipinfo.io (див. розділ 10a.1).
• Видалення облікового запису Meta: Для входу через Meta (Facebook/Instagram) ми надаємо передбачені Meta кінцеві точки зворотного виклику для скасування авторизації та видалення даних. Якщо ви видалите додаток у налаштуваннях свого облікового запису Facebook або подасте там запит на видалення даних, ми автоматично отримаємо відповідний запит і надамо інформацію про стан обробки за URL-адресою статусу, вказаною Meta.

5.2 Профілі брендів та дані про бренди

• Створюючи профіль бренду, ми економимо:
• - Назва та опис бренду
• - URL-адреса веб-сайту (для Аналізатора брендів)
• - Завантажені керівні принципи та документи бренду
• - Проаналізовано дані бренду (кольори, шрифти, тон голосу)
• - Логотип та візуальні активи
• - Визначення цільової групи
• - Галузь та категорія
• Мета: Створення контенту, що відповідає вимогам ринку, управління ідентичністю бренду

5.3 Дані про контент (дописи, медіа, кампанії)

• Під час створення контенту ми зберігаємо:
• • Створені та заплановані публікації в соціальних мережах (текст, підписи, хештеги)
• • Завантажені та створені зображення, відео, графічні елементи
• • Дані кампаній та шаблони
• • Перевірка ідей (дані про прокручування в Idea Generator)
• • Документи з досліджень
• • Статус контенту (чернетка, на розгляді, заплановано, опубліковано)
• • Терміни та платформи публікації
• • Дані щодо маркування та походження створених медіафайлів (клас вмісту, статус маркування, статус метаданих), а також ваше підтвердження редакційної перевірки створених текстів
• Мета: управління контентом, планування, автоматизація, архівування, а також підтвердження дотримання вимог щодо прозорості штучного інтелекту
• У разі технічної можливості згенеровані медіафайли містять маркувальну інформацію, метадані або аналогічні технічні показники, які вказують на те, що це контент, згенерований штучним інтелектом або створений за його допомогою (див. розділ 8.2).

5.4 Дані про використання та аналітика

• Ми зберігаємо дані, щоб покращити платформу:
• - Час входу та тривалість сеансу
• - Особливості та використовувані функції
• - Дані про використання токенів та білінг
• - Звіти про помилки та дані про продуктивність
• - Відгуки та запити на підтримку
• Мета: вдосконалення платформи, аналіз помилок, підтримка, білінг

5.5 Посилання на соціальні мережі (публікація)

• Якщо ви підключаєте акаунти в соціальних мережах для публікації (Instagram, Facebook, Threads, WhatsApp Business, LinkedIn, X, YouTube, TikTok, Wix, WordPress, власний веб-сайт), кожна платформа через OAuth запитує лише ті дозволи (Scopes), які необхідні для цього. Ці підключення не пов’язані з входом через соціальні мережі для авторизації в обліковому записі (див. розділ 5.1a). При цьому ми зберігаємо:
• • Токени доступу та оновлення OAuth для кожної платформи, зашифровані за алгоритмом AES-256-GCM та збережені в базі даних (див. розділ 10)
• • Ідентифікатори облікового запису, сторінки та каналу на платформі, а також ім’я для відображення, фото профілю або логотип
• • У LinkedIn додатково: сторінки компаній, якими ви керуєте (ідентифікатор, назва, логотип), для вибору місця публікації
• • У Facebook/Instagram/WhatsApp: автоматичне розпізнавання зв’язків між сторінкою у Facebook, бізнес-акаунтом в Instagram та бізнес-акаунтом у WhatsApp («перенесення» пов’язаних акаунтів під час встановлення з’єднання)
• • Термін дії токена доступу для автоматичного поновлення (наприклад, у X та Wix)
• • У разі використання WordPress або власного веб-сайту: введені вами дані для входу (пароль додатка або URL-адреса кінцевої точки та секретний ключ) замість токена OAuth
• Ці дані використовуються виключно для публікації дописів у пов’язаних акаунтах від вашого імені та для відображення відповідної статистики (аналітики) у PostMaestro.ai. Доступ до приватних повідомлень або контактів здійснюється виключно в рамках активованої вами функції менеджера спільноти (Facebook Messenger, Instagram Direct, WhatsApp).
• Ви можете будь-коли відключити будь-яке з’єднання в налаштуваннях. Крім того, ми рекомендуємо скасувати дозвіл для додатка безпосередньо на відповідній платформі (наприклад, у налаштуваннях облікового запису Meta).

5.6 Дані облікового запису команди та компанії

• Для облікових записів компаній з кількома користувачами ми також зберігаємо дані:
• - Члени команди та їхні ролі
• - Авторизація та контроль доступу
• - Робочі процеси затвердження та коментарі
• - Журнали активності (журнал аудиту)
• Призначення: Командна робота, контроль доступу, дотримання нормативних вимог

5.7 Push-повідомлення (мобільний додаток)

• Якщо ви користуєтеся нашим мобільним додатком і вмикаєте push-сповіщення, ми обробляємо:
• • Токен пристрою (Device Token) для надсилання сповіщень
• • Налаштування сповіщень
• Для розсилки push-повідомлень ми використовуємо Firebase Cloud Messaging (Google).
• Ви можете у будь-який час вимкнути push-сповіщення в налаштуваннях вашого пристрою.

5.8 Новини, дослідження та RSS-канали

• Платформа пропонує функцію новин, яка використовує дослідження з підтримкою ШІ (через Perplexity AI) для надання актуальних галузевих новин. Ви також можете додавати власні RSS-канали. При цьому ми їх обробляємо:
• - Пошукові запити та тематичні уподобання для пошуку новин з підтримкою ШІ
• - URL-адреси доданих вами RSS-каналів
• - Ваші уподобання та категорії для цих каналів
• - Прочитані або збережені статті
• Платформа отримує вміст сторонніх каналів через наші сервери, тому ваша IP-адреса не передається операторам RSS-каналів. При використанні пошуку новин за допомогою штучного інтелекту ваші пошукові запити передаються до Perplexity AI (див. розділ 7.3).
• Мета: Надавати персоналізовані галузеві новини, дослідження та натхнення для створення контенту

6.1 Процедура подвійної реєстрації

Після реєстрації на розсилку ви отримаєте лист із підтвердженням.

Ви будете додані до списку розсилки тільки після того, як перейдете за посиланням для підтвердження.

Це служить для захисту від неправомірного використання вашої адреси електронної пошти.

6.2 SendGrid (розсилка електронною поштою)

Ми використовуємо SendGrid (Twilio Inc., США) для розсилки новин.

SendGrid обробляє вашу електронну адресу від нашого імені для відправки розсилки.

Ми уклали угоду про обробку замовлень (AVV) з SendGrid відповідно до ст. 28 GDPR.

SendGrid має сертифікат EU-US Data Privacy Framework.

Додаткова інформація: https://www.twilio.com/legal/privacy

Політика конфіденційності Twilio (SendGrid)

6.3 Відстеження розсилки

Поточний: Немає відстеження ставок за кліки та переходи

Заплановано: Підписка на статистику розсилки (відсоток відкриття, відстеження кліків)

Ви будете проінформовані перед активацією відстеження і зможете дати згоду або відмовитися від нього.

6.4 Скасування

Ви можете відписатися від розсилки в будь-який час:

- За посиланням для відписки в кожному листі розсилки

- електронною поштою на адресу newsletter@nexaluna.ai

- У налаштуваннях вашого облікового запису (за наявності)

Після скасування підписки ваші дані будуть видалені зі списку розсилки.

8.1 Розкриття інформації про взаємодію з системою штучного інтелекту

• У PostMaestro.ai ви безпосередньо взаємодієте з системами штучного інтелекту. Усі функції, що створюють, оцінюють, узагальнюють, перекладають або перефразовують контент, працюють на основі штучного інтелекту та позначені як такі в інтерфейсі користувача.
• Повідомлення має з’являтися перед першою взаємодією, бути чітким, зрозумілим та чітко відрізнятися від інших елементів управління (ст. 50, ч. 1 Закону ЄС про штучний інтелект).
• Ми надаємо ці вказівки у форматі, доступному для людей з обмеженими можливостями, та приводимо їх у відповідність до визнаних вимог щодо доступності (ст. 50, ч. 5 Закону ЄС про інвалідність).
• Відповіді та пропозиції штучного інтелекту можуть бути неповними, застарілими або фактично невірними. Вони не є юридичною, податковою, медичною чи фінансовою консультацією.

8.2 Машиночитане маркування створеного контенту

• Відповідно до ст. 50, ч. 2 Закону ЄС про штучний інтелект (EU AI Act), матеріали, створені системами штучного інтелекту, що генерують синтетичний візуальний, аудіо-, відео- або текстовий контент, повинні бути позначені у машиночитаному форматі як штучно створені або оброблені. Таке маркування має бути ефективним, сумісним, стійким та надійним.
• Ми реалізуємо цю вимогу за допомогою декількох взаємодоповнюючих методів, оскільки, з урахуванням сучасного рівня техніки, жоден окремий метод сам по собі не забезпечує необхідної надійності:
• • Метадані про походження у файлі: Під час експорту ми записуємо метадані XMP та IPTC у створені мультимедійні файли, зокрема поле IPTC «Digital Source Type» із значенням «trainedAlgorithmicMedia», а також інформацію про використану систему штучного інтелекту, версію моделі та час створення.
• • Content Credentials (C2PA): Для створених графічних та відеофайлів ми інтегруємо в конвеєр виведення криптографічно підписану інформацію про походження відповідно до стандарту C2PA.
• • Водяні знаки, що додаються постачальником: якщо відповідний постачальник моделей надає невидимі водяні знаки, вони зберігаються і не видаляються. У випадку з моделями зображень від Google Gemini це технологія водяних знаків SynthID.
• • Перевірка: Після запису ми знову зчитуємо позначку та фіксуємо статус кожного файлу (очікує на обробку, дійсний, відсутній, видалений). Якщо вбудовування не вдається, для класів контенту, що містять конфіденційну інформацію, ми застосовуємо обов’язкове видиме маркування.
• Позначка встановлюється на стороні сервера до того, як файл буде збережено в пам’яті або передано, щоб вона збереглася під час візуалізації, завантаження та скачування. З технічної точки зору не можна виключити, що треті особи або цільові платформи можуть видалити метадані під час повторного завантаження, стиснення або обрізки. У цьому випадку видима позначка залишається вашою гарантією (див. 8.3).
• Стан впровадження та термін: Вимоги щодо прозорості, передбачені статтею 50 Закону ЄС про штучний інтелект, набирають чинності з 2 серпня 2026 року. Для систем штучного інтелекту, які — як, наприклад, PostMaestro.ai — вже були представлені на ринку до цієї дати, діє перехідний період до 2 грудня 2026 року. Ми повністю впровадимо описані вище процедури протягом цього терміну та задокументуємо стан впровадження всередині компанії.
• Сама лише згадка в цій політиці конфіденційності не відповідає вимогам статті 50, пункту 2 Закону ЄС про штучний інтелект. Вирішальне значення має машиночитане позначення безпосередньо у самому файлі.

8.3 Ваші обов’язки як оператора у зв’язку з «діпфейками»

• Якщо ви публікуєте контент, створений за допомогою PostMaestro.ai, ви є «оператором» у розумінні Закону ЄС про штучний інтелект. У цьому випадку обов’язок щодо розкриття інформації, передбачений статтею 50, пунктом 4 Закону ЄС про штучний інтелект, покладається на вас, а не на нас.
• Якщо ви створюєте або редагуєте зображення, аудіо- чи відеоматеріали, які до нерозрізнення схожі на реальних осіб, предмети, місця, об’єкти чи події («діпфейки»), ви зобов’язані під час публікації вказати, що цей контент було штучно створено або підроблено.
• Згідно з рекомендаціями Європейської комісії, цей обов’язок діє незалежно від наявності наміру ввести в оману, а також у тих випадках, коли зображено не конкретну реальну особу. Тому він, як правило, застосовується до публікацій у соціальних мережах.
• Для полегшення роботи ми пропонуємо: видиме маркування як стандартне налаштування для класів контенту, що містять конфіденційну інформацію, пропозицію щодо тексту попередження під час експорту та відповідне повідомлення в процесі публікації.
• За замовчуванням завжди встановлено опцію «позначено». Вимкнення цієї функції підлягає документуванню: ми зберігаємо час, обліковий запис користувача, робочу область та версію тексту підтвердження. Для фотореалістичних зображень людей та синтезованих голосів вимкнення цієї функції неможливе.
• Ви не маєте права видаляти, вимикати, обходити або порушувати функціонування механізмів маркування та розкриття інформації, які ми надаємо (див. розділ 6.4 Загальних умов користування).
• Цей обов’язок діє на додаток до вимог щодо маркування, встановлених відповідною соціальною мережею. Чи існує в конкретному випадку обов’язок розкриття інформації, вам слід перевірити самостійно.

8.4 Тексти, створені за допомогою штучного інтелекту, та редакційна відповідальність

• Що стосується текстів, стаття 50 Закону ЄС про штучний інтелект сформульована значно вужче, ніж щодо зображень, аудіо та відео. Обов’язок розкриття інформації виникає лише за умови одночасного виконання всіх трьох наведених нижче умов:
• 1. Цей текст було створено або змінено за допомогою штучного інтелекту.
• 2. Текст опубліковано.
• 3. Публікація має на меті інформувати громадськість про питання, що становлять суспільний інтерес, — наприклад, новини, політичні чи суспільні заяви та матеріали, присвячені громадським дебатам.
• Вимога щодо маркування не застосовується, якщо вміст пройшов перевірку людиною або редакційний контроль, а редакційну відповідальність за публікацію несе фізична або юридична особа.
• Загального обов’язку маркування кожного тексту, створеного за допомогою штучного інтелекту, не існує. Той, хто використовує штучний інтелект як допоміжний інструмент, перевіряє тексти з редакційної точки зору та несе за них відповідальність, як правило, не підпадає під додатковий обов’язок маркування.
• PostMaestro.ai саме для цього і призначений: згенеровані тексти є лише пропозиціями. Перед плануванням або публікацією ми вимагаємо чіткого підтвердження того, що ви перевірили текст і берете на себе редакційну відповідальність. Це підтвердження ми фіксуємо із зазначенням часу, облікового запису користувача та версії тексту, щоб цей виняток залишався задокументованим.
• У додатку міститься таке зауваження: «Цей текст є пропозицією. Будь ласка, перевірте його перед публікацією. Проводячи перевірку, ви берете на себе редакційну відповідальність».
• Без такої перевірки ви не маєте права публікувати згенеровані тексти як контент, за який несе редакційну відповідальність; у такому випадку може бути застосовано обов’язок розкриття інформації відповідно до ст. 50, ч. 4 Закону ЄС про штучний інтелект.

8.5 Відсутність розпізнавання емоцій та біометричної класифікації

• PostMaestro.ai не використовує системи розпізнавання емоцій і не робить висновків щодо емоцій, емоційних станів чи намірів на основі біометричних даних.
• Ми не застосовуємо біометричну класифікацію, розпізнавання обличчя, біометричну ідентифікацію та не здійснюємо розпізнавання захищених ознак, таких як етнічне походження, політичні погляди, релігія, членство в профспілках, стан здоров’я або сексуальна орієнтація.
• Оціночні функції, такі як «Idea Validation», «Brand Analyser» або аналіз ефективності, стосуються виключно контенту, даних про бренди та охоплення аудиторії — а не осіб і не біометричних ознак.
• Отже, вимоги щодо інформування, передбачені статтею 50, абзац 3 Закону ЄС про штучний інтелект (EU AI Act) стосовно систем розпізнавання емоцій та біометричної класифікації, до нас не застосовуються.

8.6 Заборонене використання: зображення інтимного характеру без згоди та зображення сексуального насильства над дітьми

• Стаття 5 Закону ЄС про штучний інтелект забороняє системи штучного інтелекту, результатом використання яких, як можна обґрунтовано передбачити, є зображення інтимного характеру без згоди учасників (NCII) або зображення сексуального насильства над дітьми (CSAM). Як постачальник універсального інструменту для створення зображень та відео, ми оцінюємо цей ризик зловживання ще на етапі розробки та передбачаємо технічні заходи захисту.
• Вжиті заходи безпеки:
• • Фільтри вхідних даних, які блокують відповідні підказки ще до виклику моделей обробки зображень та відео
• • Фільтри виводу, а також налаштування безпеки використовуваних постачальників моделей
• • Блокування матеріалів, що стосуються неповнолітніх у сексуальному контексті або містять інтимні зображення осіб, яких можна впізнати
• • Блокування функцій «Персона» та «Голос» без задокументованої згоди відповідної особи (див. розділ 5.9)
• • Реєстрація заблокованих запитів для виявлення зловживань, а також можливість блокування відповідних облікових записів
• Будь-яке використання платформи з цією метою суворо заборонено і призводить до негайного блокування облікового запису, а також, у разі наявності підстав для підозри у вчиненні злочину, до звернення до відповідних органів.
• Повідомити про зловживання: Ви та треті особи можете в будь-який час повідомити про порушення на адресу info@nexaluna.ai, вказавши в темі листа «Повідомити про зловживання ШІ». Ми розглядаємо отримані повідомлення в першу чергу та підтверджуємо їх отримання.
• Ми ведемо внутрішню документацію щодо нашої оцінки ризиків, проведеної на етапі проектування, використовуваних фільтрів та обробки повідомлень, і надаємо її на запит відповідних органів влади.

8.7 Розподіл ролей: постачальники та оператори

• Постачальником у розумінні Закону ЄС про штучний інтелект (EU AI Act) є компанія Nexaluna AI Solutions UG (з обмеженою відповідальністю) щодо системи штучного інтелекту PostMaestro.ai. На нас поширюються обов’язки постачальника, зокрема щодо маркування видань у форматі, придатному для машинного зчитування, відповідно до ст. 50, ч. 2, та розкриття інформації про взаємодію зі штучним інтелектом відповідно до ст. 50, ч. 1.
• Ви вважаєтеся оператором, щойно починаєте користуватися платформою під власну відповідальність та публікуєте створений контент. Ви несете обов’язки оператора, зокрема щодо розкриття інформації відповідно до ст. 50, ч. 4, у випадках з «діпфейками» та текстами, що становлять суспільний інтерес.
• Використовувані базові моделі належать третім сторонам (див. розділ 7). Їхні постачальники є розробниками відповідних моделей штучного інтелекту; ми ж є розробниками системи штучного інтелекту, створеної на їхній основі.
• Ми ведемо внутрішній реєстр усіх використовуваних моделей із зазначенням відповідних ролей та оновлюємо його у разі змін.
• Щодо компетентності у сфері штучного інтелекту відповідно до ст. 4 Закону ЄС про штучний інтелект (EU AI Act) ми проводимо навчання наших співробітників щодо роботи з використовуваними системами штучного інтелекту та документуємо ці тренінги.

8.8 Нагляд та скарги

• З 29 липня 2026 року компетентним органом з нагляду за ринком, центральним контактним пунктом та органом для розгляду скарг щодо Закону ЄС про штучний інтелект у Німеччині є Федеральне агентство з питань мереж.
• Федеральне агентство з питань мереж, Tulpenfeld 4, 53113 Бонн, https://www.bundesnetzagentur.de
• Скарги щодо прозорості штучного інтелекту ви можете подати там у будь-який час. Просимо вас попередньо зв’язатися з нами за адресою info@nexaluna.ai, щоб ми могли негайно розібратися у вашому запиті.