Política de privacidad

1. Introducción

Esta Política de privacidad explica cómo Mostly Tiny Ltd ("nosotros", "nos", "nuestro") recopila, utiliza, comparte y protege tus datos personales cuando utilizas id.mostlytiny.io, y los derechos que tienes sobre esos datos. Se aplica a los datos personales para los cuales actuamos como responsable del tratamiento. Fecha efectiva: 2026-10-08.

2. Quiénes somos y cómo contactarnos

Mostly Tiny Ltd es el responsable del tratamiento de tus datos personales. Puedes contactarnos sobre esta política, o para ejercer tus derechos, en privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Datos personales que recopilamos

Recopilamos: información que proporcionas directamente (por ejemplo your email and name; passkeys (public keys only) and signed-in devices; your organisations, roles and invitations; details your employer's identity provider sends us; Google/Apple sign-in details; your subscriptions; your wallet top-ups, auto-recharge settings, receipts and usage ledger; apps you allow to act for you (such as an AI assistant using our MCP server); and sign-in and security logs); información que se recopila automáticamente cuando utilizas id.mostlytiny.io, como tu dirección IP, tipo de dispositivo y navegador, páginas visitadas e identificadores de cookies; e información que recibimos de terceros cuando sea relevante.

Recopilamos datos personales en las categorías anteriores para los fines establecidos en esta política.

5. Where we get your data

Besides what you give us, we receive payment status from Stripe; if you choose to sign in with Google or Apple, your account identifier, email address and name from them; and, if your organisation connects one, your details from its identity provider. We have no advertising partners.

6. Cómo y por qué utilizamos tus datos

Utilizamos tus datos personales para: proporcionar, operar y mejorar id.mostlytiny.io y nuestros servicios; crear y gestionar tu cuenta; responder consultas y proporcionar soporte; personalizar tu experiencia; enviar mensajes de servicio y, donde está permitido, de marketing; mantener el servicio seguro y prevenir fraudes; y cumplir con nuestras obligaciones legales.

7. Data from your employer

If your employer or another organisation connects its identity provider to Mostly Tiny with SAML single sign-on or SCIM provisioning, it sends us your name, work email address, and the groups or roles it assigns you, and tells us when to add or remove you. We use them only to sign you in and give you the right access in that organisation. For this data the organisation is the controller and we act on its instructions under our Data Processing Agreement; ask the organisation first about it.

8. Signing in with Google or Apple

You can sign in with your Google or Apple account instead of an emailed link. If you do, Google or Apple confirms who you are and sends us your account identifier, your email address (and whether they have verified it) and, if you allow it, your name. We use these only to sign you in, to recognise you next time, and to connect you to the Mostly Tiny account that already uses the same verified email address, so you never end up with two accounts. We do not receive your Google or Apple password, contacts or anything else in that account, and we do not post anything to it.

If you use Apple's "Hide My Email", we receive a private relay address that forwards to you, and your Mostly Tiny account uses that address. Google and Apple decide independently how they handle your sign-in with them; their own privacy policies apply to that. We keep the link between your Google or Apple account and your Mostly Tiny account for as long as your account exists.

9. Nuestras bases legales para el procesamiento

Si se aplica el GDPR de la UE o del Reino Unido, procesamos tus datos personales conforme a una o más bases legales bajo el Artículo 6: tu consentimiento, la ejecución de un contrato contigo, el cumplimiento de una obligación legal, la protección de intereses vitales, la ejecución de una tarea de interés público, o nuestros intereses legítimos (o los de un tercero), excepto cuando tus intereses o derechos prevalezcan.

Cuando nos basamos en intereses legítimos, estos incluyen operar y asegurar nuestros servicios, entender cómo se utilizan, y marketing limitado — puedes objetar en cualquier momento. Cuando procesamos categorías especiales de datos personales bajo el Artículo 9 (por ejemplo, datos de salud o biométricos), lo hacemos solo con tu consentimiento explícito u otra condición permitida por la ley.

10. Con quién compartimos tus datos

Compartimos datos personales con: proveedores de servicios y procesadores que operan id.mostlytiny.io en nuestro nombre (por ejemplo Google Cloud and Firebase: hosting, sign-in, database and functions (where, see "Where your data is stored"); Stripe: payments, saved cards and the billing record shared by every Mostly Tiny product; Resend: sign-in links, receipts and notices; Cloudflare: edge hosting for the Mostly Tiny agent (MCP) endpoint and Turnstile bot protection; and the Mostly Tiny products you sign in to (MostlyQR, MostlyPDF, MostlyRender, MostlyPrivacy), which receive your identity, organisation and plan so they can let you in), quienes solo pueden usarlo según nuestras instrucciones; asesores profesionales, proveedores de pago, y agencias de aplicación de la ley o reguladores cuando sea necesario; y partes en una transacción corporativa como una fusión o adquisición. No vendemos tus datos personales por dinero.

11. Transferencias internacionales de datos

Algunos de nuestros proveedores de servicios se encuentran fuera de tu país, incluso fuera del EEE, el Reino Unido o Australia. Cuando transferimos datos personales internacionalmente, confiamos en un mecanismo de transferencia legal — como una decisión de adecuación, las Cláusulas Contractuales Estándar de la UE (con la Adenda de Transferencia de Datos Internacionales del Reino Unido donde corresponda), u otra salvaguarda permitida por la ley — y tomamos medidas para mantener tus datos protegidos. Los detalles están disponibles bajo solicitud en privacy@mostlytiny.io.

12. Where your data is stored

Mostly Tiny ID runs on Google Cloud and Firebase: database in the United States (nam5 multi-region); server functions in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Cuánto tiempo conservamos sus datos

Conservamos datos personales solo el tiempo necesario para los fines descritos en esta política; después los eliminamos o anonimizamos. Los criterios que utilizamos para establecer períodos de retención incluyen la naturaleza y sensibilidad de los datos, el propósito del tratamiento, y nuestras obligaciones legales, contables y de reporte (your account, passkeys, devices and organisation memberships until you delete your account or are removed from the organisation; data from your employer's identity provider until it deprovisions you or disconnects; wallet top-ups, receipts and the usage ledger for six years, the period UK tax law requires us to keep accounting records; and sign-in and security logs for up to 12 months).

14. Cómo protegemos sus datos

Utilizamos medidas técnicas y organizativas apropiadas —incluida la encriptación en tránsito, controles de acceso y revisión periódica— para proteger datos personales contra pérdida, mal uso y acceso no autorizado. Ningún método de transmisión o almacenamiento es completamente seguro, por lo que no podemos garantizar seguridad absoluta.

15. Toma de decisiones automatizada

No tomamos decisiones que produzcan efectos legales o igualmente significativos sobre usted basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, a menos que lo permita la ley. Si alguna vez lo hacemos, le informaremos, explicaremos la lógica involucrada y le ofreceremos el derecho a obtener revisión humana.

16. Privacidad de los menores

id.mostlytiny.io no está dirigido a menores. No recopilamos conscientemente datos personales de menores por debajo de la edad de consentimiento digital que les aplica (16 conforme al GDPR, sujeto a edades nacionales inferiores hasta 13), y no vendemos ni compartimos conscientemente la información personal de consumidores que sabemos son menores de 16. Si crees que un menor nos ha proporcionado datos, contacta con nosotros en privacy@mostlytiny.io y los eliminaremos.

17. Tus derechos conforme al GDPR

Si el GDPR de la UE o el UK GDPR te aplican, tienes derecho a: ser informado; acceder a tus datos personales; rectificar datos inexactos; suprimir tus datos; limitar el tratamiento; la portabilidad de tus datos; y oponerte al tratamiento, incluido el marketing directo. Cuando el tratamiento se basa en el consentimiento, puedes retirarlo en cualquier momento sin afectar al tratamiento realizado con anterioridad.

Para ejercer cualquiera de estos derechos, contacta con nosotros en privacy@mostlytiny.io. Responderemos en el plazo de un mes, que podemos prorrogar hasta dos meses más para solicitudes complejas o numerosas, informándote en el primer mes. También tienes derecho a presentar una reclamación ante tu autoridad supervisora de protección de datos.

18. Autoridad supervisora del Reino Unido

Si estás en el Reino Unido, te aplican el UK GDPR y la Data Protection Act 2018, y puedes presentar una reclamación ante la Information Commissioner's Office (ICO) en ico.org.uk.

19. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

20. Cambios a esta política

Podemos actualizar esta Política de Privacidad de vez en cuando. Publicaremos la versión actualizada aquí con una nueva fecha de vigencia y, donde los cambios sean significativos, tomaremos pasos razonables para notificarte.

21. Your wallet and its ledger

If you top up a Mostly Tiny wallet, we keep a ledger of each top-up, each automatic recharge and each charge a product makes against the balance (which product, what for, when and how much), so you can see where your money went and we can meet our accounting duties. Your card details stay with Stripe. An organisation's owners and admins can see its wallet ledger, including usage by its members.

22. Emails and your choices across Mostly Tiny products

Your Mostly Tiny ID sends what you need to use it: sign-in links, receipts for your wallet and shared billing, and security and account notices. These are part of the service, so you cannot turn them off while your account is open.

Your Mostly Tiny ID also holds your marketing-email choices for every Mostly Tiny product, in one place, so that one decision is respected everywhere. When you first sign in to a product you see two boxes: one, ticked by default, for tips and offers about that product (in the UK, the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis is our legitimate interest in telling customers about the product they signed up for); and one, never ticked for you, for news about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta), which we send only with your consent and at most once a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. The linked preferences page, and the Email preferences section of id.mostlytiny.io/settings, let you change each choice or stop all marketing email from every Mostly Tiny product at once. Withdrawing is as easy as agreeing and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, the language it was shown in, when, and a keyed one-way hash of your IP address, never the address itself. Choices are stored against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, so it continues to protect you after you close your account.

We keep your email choices and their records while they apply, so we can show we had your agreement, and delete them with your account; the do-not-email hash is kept for as long as it is needed to honour an unsubscribe.

23. Contáctanos

Para cualquier pregunta, solicitud o queja sobre privacidad respecto a cómo manejamos tus datos personales, contacta con Mostly Tiny Ltd en privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom