Informativa sulla privacy

1. Introduzione

Questa informativa sulla privacy spiega come Mostly Tiny Ltd ("we", "us", "our") raccoglie, utilizza, condivide e protegge i tuoi dati personali quando utilizzi id.mostlytiny.io, e i diritti che hai su tali dati. Si applica ai dati personali per i quali agiamo come titolare del trattamento. Data effettiva: 2026-10-08.

2. Chi siamo e come contattarci

Mostly Tiny Ltd è il titolare responsabile dei tuoi dati personali. Puoi contattarci in merito a questa informativa sulla privacy, o per esercitare i tuoi diritti, a privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Dati personali che raccogliamo

Raccogliamo: informazioni che fornisci direttamente (ad esempio your email and name; passkeys (public keys only) and signed-in devices; your organisations, roles and invitations; details your employer's identity provider sends us; Google/Apple sign-in details; your subscriptions; your wallet top-ups, auto-recharge settings, receipts and usage ledger; apps you allow to act for you (such as an AI assistant using our MCP server); and sign-in and security logs); informazioni raccolte automaticamente quando utilizzi id.mostlytiny.io, come il tuo indirizzo IP, tipo di dispositivo e browser, pagine visualizzate e identificatori dei cookie; e, ove pertinente, informazioni che riceviamo da terze parti.

Raccogliamo dati personali nelle categorie sopra indicate per gli scopi descritti in questa informativa.

5. Where we get your data

Besides what you give us, we receive payment status from Stripe; if you choose to sign in with Google or Apple, your account identifier, email address and name from them; and, if your organisation connects one, your details from its identity provider. We have no advertising partners.

6. Come e perché utilizziamo i tuoi dati

Utilizziamo i tuoi dati personali per: fornire, gestire e migliorare id.mostlytiny.io e i nostri servizi; creare e gestire il tuo account; rispondere alle richieste e fornire supporto; personalizzare la tua esperienza; inviare messaggi di servizio e, ove consentito, messaggi di marketing; mantenere il servizio sicuro e prevenire frodi; e adempiere ai nostri obblighi legali.

7. Data from your employer

If your employer or another organisation connects its identity provider to Mostly Tiny with SAML single sign-on or SCIM provisioning, it sends us your name, work email address, and the groups or roles it assigns you, and tells us when to add or remove you. We use them only to sign you in and give you the right access in that organisation. For this data the organisation is the controller and we act on its instructions under our Data Processing Agreement; ask the organisation first about it.

8. Signing in with Google or Apple

You can sign in with your Google or Apple account instead of an emailed link. If you do, Google or Apple confirms who you are and sends us your account identifier, your email address (and whether they have verified it) and, if you allow it, your name. We use these only to sign you in, to recognise you next time, and to connect you to the Mostly Tiny account that already uses the same verified email address, so you never end up with two accounts. We do not receive your Google or Apple password, contacts or anything else in that account, and we do not post anything to it.

If you use Apple's "Hide My Email", we receive a private relay address that forwards to you, and your Mostly Tiny account uses that address. Google and Apple decide independently how they handle your sign-in with them; their own privacy policies apply to that. We keep the link between your Google or Apple account and your Mostly Tiny account for as long as your account exists.

9. Le nostre basi legali per il trattamento

Quando si applica il GDPR dell'UE o del Regno Unito, elaboriamo i tuoi dati personali su una o più basi legittime secondo l'Articolo 6: il tuo consenso; l'adempimento di un contratto con te; il rispetto di un obbligo legale; la protezione di interessi vitali; l'adempimento di un compito di interesse pubblico; oppure i nostri interessi legittimi (o quelli di terzi), salvo quando i tuoi interessi o diritti prevalgono.

Quando facciamo affidamento su interessi legittimi, questi includono il funzionamento e la sicurezza dei nostri servizi, la comprensione di come vengono utilizzati, e il marketing limitato — puoi opporti in qualsiasi momento. Quando elaboriamo categorie speciali di dati personali secondo l'Articolo 9 (per esempio dati sanitari o biometrici), lo facciamo solo con il tuo consenso esplicito o un'altra condizione consentita dalla legge.

10. Con chi condividiamo i tuoi dati

Condividiamo dati personali con: fornitori di servizi ed elaboratori che gestiscono id.mostlytiny.io per nostro conto (per esempio Google Cloud and Firebase: hosting, sign-in, database and functions (where, see "Where your data is stored"); Stripe: payments, saved cards and the billing record shared by every Mostly Tiny product; Resend: sign-in links, receipts and notices; Cloudflare: edge hosting for the Mostly Tiny agent (MCP) endpoint and Turnstile bot protection; and the Mostly Tiny products you sign in to (MostlyQR, MostlyPDF, MostlyRender, MostlyPrivacy), which receive your identity, organisation and plan so they can let you in), che possono utilizzarli solo secondo le nostre istruzioni; consulenti professionali, fornitori di pagamenti, e forze dell'ordine o autorità di regolamentazione quando richiesto; e parti a una transazione aziendale come una fusione o un'acquisizione. Non vendiamo i tuoi dati personali per denaro.

11. Trasferimenti internazionali di dati

Alcuni dei nostri fornitori di servizi si trovano al di fuori del tuo paese, incluso al di fuori del SEE, del Regno Unito o dell'Australia. Quando trasferiamo dati personali a livello internazionale, facciamo affidamento su un meccanismo di trasferimento legale — come una decisione di adeguatezza, le Clausole contrattuali standard dell'UE (con l'Addendum per il trasferimento internazionale di dati del Regno Unito dove applicabile), o un'altra salvaguardia consentita dalla legge — e prendiamo misure per mantenere i tuoi dati protetti. I dettagli sono disponibili su richiesta all'indirizzo privacy@mostlytiny.io.

12. Where your data is stored

Mostly Tiny ID runs on Google Cloud and Firebase: database in the United States (nam5 multi-region); server functions in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Per quanto tempo conserviamo i tuoi dati

Conserviamo i dati personali solo per il tempo necessario ai fini descritti in questa politica, dopodiché li eliminiamo o li rendiamo anonimi. I criteri che utilizziamo per impostare i periodi di conservazione includono la natura e la sensibilità dei dati, lo scopo del trattamento e i nostri obblighi legali, contabili e di rendicontazione (your account, passkeys, devices and organisation memberships until you delete your account or are removed from the organisation; data from your employer's identity provider until it deprovisions you or disconnects; wallet top-ups, receipts and the usage ledger for six years, the period UK tax law requires us to keep accounting records; and sign-in and security logs for up to 12 months).

14. Come proteggiamo i tuoi dati

Utilizziamo misure tecniche e organizzative appropriate, inclusa la crittografia in transito, i controlli di accesso e la revisione regolare, per proteggere i dati personali da perdita, uso improprio e accesso non autorizzato. Nessun metodo di trasmissione o archiviazione è completamente sicuro, quindi non possiamo garantire una sicurezza assoluta.

15. Processi decisionali automatici

Non prendiamo decisioni che producono effetti legali o altrettanto significativi riguardanti te basate unicamente su processi automatizzati, inclusa la profilazione, a meno che non sia consentito dalla legge. Qualora lo facessimo, te lo comunicheremo, spiegheremo la logica coinvolta e ti offriremo il diritto di ottenere una revisione umana.

16. Privacy dei bambini

id.mostlytiny.io non è destinato ai bambini. Non raccogliamo consapevolmente dati personali da bambini al di sotto dell'età di consenso digitale che si applica loro (16 secondo il GDPR, soggetto a età nazionali inferiori fino a 13), e non vendiamo né condividiamo consapevolmente le informazioni personali di consumatori che sappiamo essere al di sotto dei 16 anni. Se ritieni che un bambino ci abbia fornito dati, contattaci a privacy@mostlytiny.io e li cancelleremo.

17. I tuoi diritti secondo il GDPR

Se il GDPR dell'UE o del Regno Unito si applica a te, hai il diritto di: essere informato; accedere ai tuoi dati personali; far rettificare i dati inesatti; far cancellare i tuoi dati; limitare il trattamento; la portabilità dei dati; e opporti al trattamento, inclusa la commercializzazione diretta. Quando il trattamento è basato sul consenso, puoi ritirarlo in qualsiasi momento senza influire sul trattamento già effettuato.

Per esercitare uno qualsiasi di questi diritti, contattaci a privacy@mostlytiny.io. Risponderemo entro un mese, che possiamo estendere fino a due mesi ulteriori per richieste complesse o numerose, informandoti entro il primo mese. Hai anche il diritto di presentare un reclamo alla tua autorità di controllo della protezione dei dati.

18. Autorità di controllo britannica

Se ti trovi nel Regno Unito, si applica il GDPR del Regno Unito e il Data Protection Act 2018, e puoi presentare un reclamo all'Information Commissioner's Office (ICO) su ico.org.uk.

19. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

20. Modifiche a questa politica

Potremmo aggiornare questa Politica sulla Privacy di tanto in tanto. Pubblicheremo la versione aggiornata qui con una nuova data di efficacia e, ove i cambiamenti siano significativi, adotteremo misure ragionevoli per notificarti.

21. Your wallet and its ledger

If you top up a Mostly Tiny wallet, we keep a ledger of each top-up, each automatic recharge and each charge a product makes against the balance (which product, what for, when and how much), so you can see where your money went and we can meet our accounting duties. Your card details stay with Stripe. An organisation's owners and admins can see its wallet ledger, including usage by its members.

22. Emails and your choices across Mostly Tiny products

Your Mostly Tiny ID sends what you need to use it: sign-in links, receipts for your wallet and shared billing, and security and account notices. These are part of the service, so you cannot turn them off while your account is open.

Your Mostly Tiny ID also holds your marketing-email choices for every Mostly Tiny product, in one place, so that one decision is respected everywhere. When you first sign in to a product you see two boxes: one, ticked by default, for tips and offers about that product (in the UK, the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis is our legitimate interest in telling customers about the product they signed up for); and one, never ticked for you, for news about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta), which we send only with your consent and at most once a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. The linked preferences page, and the Email preferences section of id.mostlytiny.io/settings, let you change each choice or stop all marketing email from every Mostly Tiny product at once. Withdrawing is as easy as agreeing and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, the language it was shown in, when, and a keyed one-way hash of your IP address, never the address itself. Choices are stored against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, so it continues to protect you after you close your account.

We keep your email choices and their records while they apply, so we can show we had your agreement, and delete them with your account; the do-not-email hash is kept for as long as it is needed to honour an unsubscribe.

23. Contattaci

Per qualsiasi domanda, richiesta o reclamo sulla privacy riguardante il modo in cui trattiamo i tuoi dati personali, contatta Mostly Tiny Ltd a privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom