Politique de confidentialité

1. Introduction

Cette politique de confidentialité explique comment Mostly Tiny Ltd (« nous », « nous », « nos ») collecte, utilise, partage et protège vos données personnelles lorsque vous utilisez id.mostlytiny.io, et les droits que vous avez sur ces données. Elle s'applique aux données personnelles pour lesquelles nous agissons en tant que responsable du traitement. Date d'entrée en vigueur : 2026-10-08.

2. Qui nous sommes et comment nous contacter

Mostly Tiny Ltd est le responsable du traitement de vos données personnelles. Vous pouvez nous contacter au sujet de cette politique, ou pour exercer vos droits, à privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Données personnelles que nous collectons

Nous collectons : les informations que vous nous fournissez directement (par exemple your email and name; passkeys (public keys only) and signed-in devices; your organisations, roles and invitations; details your employer's identity provider sends us; Google/Apple sign-in details; your subscriptions; your wallet top-ups, auto-recharge settings, receipts and usage ledger; apps you allow to act for you (such as an AI assistant using our MCP server); and sign-in and security logs) ; les informations collectées automatiquement lors de votre utilisation de id.mostlytiny.io, comme votre adresse IP, le type d'appareil et navigateur, les pages consultées et les identifiants de cookies ; et, le cas échéant, les informations que nous recevons de tiers.

Nous collectons des données personnelles dans les catégories ci-dessus pour les fins énoncées dans cette politique.

5. Where we get your data

Besides what you give us, we receive payment status from Stripe; if you choose to sign in with Google or Apple, your account identifier, email address and name from them; and, if your organisation connects one, your details from its identity provider. We have no advertising partners.

6. Comment et pourquoi nous utilisons vos données

Nous utilisons vos données personnelles pour : fournir, exploiter et améliorer id.mostlytiny.io et nos services ; créer et gérer votre compte ; répondre aux demandes et fournir une assistance ; personnaliser votre expérience ; envoyer des messages de service et, si autorisé, de marketing ; sécuriser le service et prévenir la fraude ; et nous conformer à nos obligations légales.

7. Data from your employer

If your employer or another organisation connects its identity provider to Mostly Tiny with SAML single sign-on or SCIM provisioning, it sends us your name, work email address, and the groups or roles it assigns you, and tells us when to add or remove you. We use them only to sign you in and give you the right access in that organisation. For this data the organisation is the controller and we act on its instructions under our Data Processing Agreement; ask the organisation first about it.

8. Signing in with Google or Apple

You can sign in with your Google or Apple account instead of an emailed link. If you do, Google or Apple confirms who you are and sends us your account identifier, your email address (and whether they have verified it) and, if you allow it, your name. We use these only to sign you in, to recognise you next time, and to connect you to the Mostly Tiny account that already uses the same verified email address, so you never end up with two accounts. We do not receive your Google or Apple password, contacts or anything else in that account, and we do not post anything to it.

If you use Apple's "Hide My Email", we receive a private relay address that forwards to you, and your Mostly Tiny account uses that address. Google and Apple decide independently how they handle your sign-in with them; their own privacy policies apply to that. We keep the link between your Google or Apple account and your Mostly Tiny account for as long as your account exists.

9. Nos bases légales de traitement

Lorsque le RGPD de l'UE ou du Royaume-Uni s'applique, nous traitons vos données personnelles sur la base d'une ou plusieurs bases légales en vertu de l'article 6 : votre consentement ; l'exécution d'un contrat avec vous ; le respect d'une obligation légale ; la protection d'intérêts vitaux ; l'exécution d'une tâche d'intérêt public ; ou nos intérêts légitimes (ou ceux d'un tiers), sauf s'ils sont remplacés par vos intérêts ou droits.

Lorsque nous nous appuyons sur les intérêts légitimes, ceux-ci incluent l'exploitation et la sécurisation de nos services, la compréhension de leur utilisation et le marketing limité — vous pouvez vous opposer à tout moment. Lorsque nous traitons des catégories spéciales de données personnelles en vertu de l'article 9 (par exemple les données de santé ou biométriques), nous le faisons uniquement avec votre consentement explicite ou une autre condition autorisée par la loi.

10. Avec qui nous partageons vos données

Nous partageons les données personnelles avec : les prestataires de services et les processeurs qui exploitent id.mostlytiny.io en notre nom (par exemple Google Cloud and Firebase: hosting, sign-in, database and functions (where, see "Where your data is stored"); Stripe: payments, saved cards and the billing record shared by every Mostly Tiny product; Resend: sign-in links, receipts and notices; Cloudflare: edge hosting for the Mostly Tiny agent (MCP) endpoint and Turnstile bot protection; and the Mostly Tiny products you sign in to (MostlyQR, MostlyPDF, MostlyRender, MostlyPrivacy), which receive your identity, organisation and plan so they can let you in), qui ne peuvent l'utiliser que selon nos instructions ; les conseillers professionnels, les prestataires de paiement et les autorités chargées de l'application de la loi ou les autorités de régulation le cas échéant ; et les parties à une opération de fusion-acquisition. Nous ne vendons pas vos données personnelles contre rémunération.

11. Transferts de données internationaux

Certains de nos prestataires de services sont situés en dehors de votre pays, y compris en dehors de l'EEA, du Royaume-Uni ou de l'Australie. Lorsque nous transférons des données personnelles à l'international, nous nous appuyons sur un mécanisme de transfert légal — tel qu'une décision d'adéquation, les clauses contractuelles types de l'UE (avec l'avenant de transfert de données international du Royaume-Uni le cas échéant), ou une autre garantie autorisée par la loi — et prenons des mesures pour protéger vos données. Des détails sont disponibles sur demande à privacy@mostlytiny.io.

12. Where your data is stored

Mostly Tiny ID runs on Google Cloud and Firebase: database in the United States (nam5 multi-region); server functions in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Durée de conservation de vos données

Nous conservons les données personnelles uniquement aussi longtemps que nécessaire aux fins décrites dans cette politique. Après cela, nous les supprimons ou les anonymisons. Les critères que nous utilisons pour fixer les périodes de conservation incluent la nature et la sensibilité des données, la finalité du traitement, et nos obligations légales, comptables et de reporting (your account, passkeys, devices and organisation memberships until you delete your account or are removed from the organisation; data from your employer's identity provider until it deprovisions you or disconnects; wallet top-ups, receipts and the usage ledger for six years, the period UK tax law requires us to keep accounting records; and sign-in and security logs for up to 12 months).

14. Comment nous protégeons vos données

Nous utilisons des mesures techniques et organisationnelles appropriées — notamment le chiffrement en transit, les contrôles d'accès et l'examen régulier — pour protéger les données personnelles contre la perte, l'utilisation abusive et l'accès non autorisé. Aucune méthode de transmission ou de stockage n'est complètement sécurisée, nous ne pouvons donc pas garantir une sécurité absolue.

15. Prise de décision automatisée

Nous ne prenons pas de décisions produisant des effets juridiques ou similaires significatifs vous concernant basées uniquement sur un traitement automatisé, y compris le profilage, sauf si la loi le permet. Dans l'hypothèse où nous le ferions, nous vous l'indiquerons, expliquerons la logique impliquée et offrirons le droit d'obtenir un examen humain.

16. Confidentialité des enfants

id.mostlytiny.io n'est pas destiné aux enfants. Nous ne collectons pas sciemment de données personnelles auprès des enfants au-dessous de l'âge du consentement numérique qui s'applique à eux (16 ans selon le GDPR, sauf pour les âges nationaux inférieurs jusqu'à 13 ans), et nous ne vendons ni ne partageons sciemment les informations personnelles des consommateurs que nous savons être âgés de moins de 16 ans. Si vous pensez qu'un enfant nous a communiqué des données, contactez-nous à privacy@mostlytiny.io et nous les supprimerons.

17. Vos droits en vertu du GDPR

Si le GDPR de l'UE ou du Royaume-Uni s'applique à vous, vous avez le droit de : être informé ; accéder à vos données personnelles ; faire rectifier les données inexactes ; faire supprimer vos données ; restreindre le traitement ; la portabilité des données ; et vous opposer au traitement, y compris au marketing direct. Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment sans affecter le traitement effectué auparavant.

Pour exercer l'un de ces droits, contactez-nous à privacy@mostlytiny.io. Nous répondrons dans un délai d'un mois, que nous pouvons prolonger de deux mois supplémentaires pour les demandes complexes ou nombreuses, en vous informant dans le premier mois. Vous avez également le droit de déposer une plainte auprès de votre autorité de contrôle de la protection des données.

18. Autorité de contrôle du Royaume-Uni

Si vous êtes au Royaume-Uni, le GDPR du Royaume-Uni et la Loi de 2018 sur la protection des données s'appliquent, et vous pouvez vous plaindre auprès du Bureau du Commissaire à l'information (ICO) à ico.org.uk.

19. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

20. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps en temps. Nous afficherons la version mise à jour ici avec une nouvelle date d'entrée en vigueur et, lorsque les modifications sont importantes, prendrons des mesures raisonnables pour vous informer.

21. Your wallet and its ledger

If you top up a Mostly Tiny wallet, we keep a ledger of each top-up, each automatic recharge and each charge a product makes against the balance (which product, what for, when and how much), so you can see where your money went and we can meet our accounting duties. Your card details stay with Stripe. An organisation's owners and admins can see its wallet ledger, including usage by its members.

22. Emails and your choices across Mostly Tiny products

Your Mostly Tiny ID sends what you need to use it: sign-in links, receipts for your wallet and shared billing, and security and account notices. These are part of the service, so you cannot turn them off while your account is open.

Your Mostly Tiny ID also holds your marketing-email choices for every Mostly Tiny product, in one place, so that one decision is respected everywhere. When you first sign in to a product you see two boxes: one, ticked by default, for tips and offers about that product (in the UK, the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis is our legitimate interest in telling customers about the product they signed up for); and one, never ticked for you, for news about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta), which we send only with your consent and at most once a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. The linked preferences page, and the Email preferences section of id.mostlytiny.io/settings, let you change each choice or stop all marketing email from every Mostly Tiny product at once. Withdrawing is as easy as agreeing and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, the language it was shown in, when, and a keyed one-way hash of your IP address, never the address itself. Choices are stored against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, so it continues to protect you after you close your account.

We keep your email choices and their records while they apply, so we can show we had your agreement, and delete them with your account; the do-not-email hash is kept for as long as it is needed to honour an unsubscribe.

23. Nous contacter

Pour toute question, demande ou plainte concernant la façon dont nous gérons vos données personnelles, contactez Mostly Tiny Ltd à privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom