Privacybeleid

1. Inleiding

Dit Privacybeleid legt uit hoe Mostly Tiny Ltd ("we", "us", "our") uw persoonlijke gegevens verzamelt, gebruikt, deelt en beschermt wanneer u id.mostlytiny.io gebruikt, en de rechten die u over die gegevens hebt. Dit is van toepassing op persoonlijke gegevens waarvoor wij optreden als verantwoordelijke. Effectieve datum: 2026-10-08.

2. Wie we zijn en hoe u ons kunt bereiken

Mostly Tiny Ltd is verantwoordelijk voor uw persoonlijke gegevens. U kunt ons contacteren over dit beleid, of om uw rechten uit te oefenen, op privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Persoonlijke gegevens die we verzamelen

We verzamelen: informatie die u rechtstreeks verstrekt (bijvoorbeeld your email and name; passkeys (public keys only) and signed-in devices; your organisations, roles and invitations; details your employer's identity provider sends us; Google/Apple sign-in details; your subscriptions; your wallet top-ups, auto-recharge settings, receipts and usage ledger; apps you allow to act for you (such as an AI assistant using our MCP server); and sign-in and security logs); informatie die automatisch wordt verzameld wanneer u id.mostlytiny.io gebruikt, zoals uw IP-adres, apparaat en browsertype, bekeken pagina's en cookie-identificatoren; en, voorzover relevant, informatie die we van derden ontvangen.

We verzamelen persoonlijke gegevens in de bovengenoemde categorieën voor de doeleinden vermeld in dit privacybeleid.

5. Where we get your data

Besides what you give us, we receive payment status from Stripe; if you choose to sign in with Google or Apple, your account identifier, email address and name from them; and, if your organisation connects one, your details from its identity provider. We have no advertising partners.

6. Hoe en waarom we uw gegevens gebruiken

We gebruiken uw persoonlijke gegevens om: id.mostlytiny.io en onze services aan te bieden, uit te voeren en te verbeteren; uw account te maken en te beheren; vragen te beantwoorden en ondersteuning te bieden; uw ervaring te personaliseren; service- en, voorzover toegestaan, marketingberichten te versturen; de service veilig te houden en fraude te voorkomen; en onze wettelijke verplichtingen na te komen.

7. Data from your employer

If your employer or another organisation connects its identity provider to Mostly Tiny with SAML single sign-on or SCIM provisioning, it sends us your name, work email address, and the groups or roles it assigns you, and tells us when to add or remove you. We use them only to sign you in and give you the right access in that organisation. For this data the organisation is the controller and we act on its instructions under our Data Processing Agreement; ask the organisation first about it.

8. Signing in with Google or Apple

You can sign in with your Google or Apple account instead of an emailed link. If you do, Google or Apple confirms who you are and sends us your account identifier, your email address (and whether they have verified it) and, if you allow it, your name. We use these only to sign you in, to recognise you next time, and to connect you to the Mostly Tiny account that already uses the same verified email address, so you never end up with two accounts. We do not receive your Google or Apple password, contacts or anything else in that account, and we do not post anything to it.

If you use Apple's "Hide My Email", we receive a private relay address that forwards to you, and your Mostly Tiny account uses that address. Google and Apple decide independently how they handle your sign-in with them; their own privacy policies apply to that. We keep the link between your Google or Apple account and your Mostly Tiny account for as long as your account exists.

9. Onze wettelijke grondslagen voor verwerking

Waar de EU of UK GDPR van toepassing is, verwerken wij uw persoonsgegevens op een of meer rechtmatige grondslagen onder artikel 6: uw toestemming; de nakoming van een overeenkomst met u; naleving van een wettelijke verplichting; bescherming van vitale belangen; de vervulling van een taak in het algemeen belang; of onze gerechtvaardige belangen (of die van een derde), behalve waar uw belangen of rechten zwaarder wegen.

Wanneer wij ons beroepen op gerechtvaardigd belangen, hieronder vallen het beheer en beveiligen van onze diensten, begrijpen hoe zij worden gebruikt, en beperkte marketing — u kunt op elk moment bezwaar maken. Wanneer wij bijzondere categorieën van persoonsgegevens verwerken onder artikel 9 (bijvoorbeeld gezondheids- of biometrische gegevens), doen wij dit alleen met uw expliciete toestemming of onder een wettelijk toegestane grond.

10. Met wie wij uw gegevens delen

Wij delen persoonsgegevens met: dienstverleners en verwerkers die id.mostlytiny.io namens ons bedrijven (bijvoorbeeld Google Cloud and Firebase: hosting, sign-in, database and functions (where, see "Where your data is stored"); Stripe: payments, saved cards and the billing record shared by every Mostly Tiny product; Resend: sign-in links, receipts and notices; Cloudflare: edge hosting for the Mostly Tiny agent (MCP) endpoint and Turnstile bot protection; and the Mostly Tiny products you sign in to (MostlyQR, MostlyPDF, MostlyRender, MostlyPrivacy), which receive your identity, organisation and plan so they can let you in), die het alleen op onze instructies mogen gebruiken; professionele adviseurs, betalingsverleners, en wettelijke handhavingsinstanties of toezichthouders waar vereist; en partijen bij een bedrijfstransactie zoals een fusie of overname. Wij verkopen uw persoonsgegevens niet voor geld.

11. Internationale gegevensoverdrachten

Sommige van onze dienstverleners bevinden zich buiten uw land, met inbegrip van buiten de EER, het Verenigd Koninkrijk of Australië. Wanneer wij persoonsgegevens internationaal overdragen, vertrouwen wij op een rechtmatig overdrachtsmechanisme — zoals een adequaatheidsbesluit, de Standaardcontractbepalingen van de EU (met het International Data Transfer Addendum van het Verenigd Koninkrijk waar van toepassing), of een ander wettelijk toegestaan waarborg — en nemen wij stappen om uw gegevens beschermd te houden. Details zijn beschikbaar op aanvraag op privacy@mostlytiny.io.

12. Where your data is stored

Mostly Tiny ID runs on Google Cloud and Firebase: database in the United States (nam5 multi-region); server functions in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Hoe lang bewaren we uw gegevens

We bewaren persoonlijke gegevens alleen zolang nodig voor de doeleinden beschreven in dit beleid, waarna we deze verwijderen of anonimiseren. De criteria die we gebruiken om retentieperioden vast te stellen, omvatten de aard en gevoeligheid van de gegevens, het verwerkingsdoel en onze wettelijke, boekhoudings- en rapportageverplichtingen (your account, passkeys, devices and organisation memberships until you delete your account or are removed from the organisation; data from your employer's identity provider until it deprovisions you or disconnects; wallet top-ups, receipts and the usage ledger for six years, the period UK tax law requires us to keep accounting records; and sign-in and security logs for up to 12 months).

14. Hoe we uw gegevens beschermen

We gebruiken passende technische en organisatorische maatregelen — waaronder encryptie tijdens verzending, toegangscontroles en regelmatige controles — om persoonlijke gegevens te beschermen tegen verlies, misbruik en ongeautoriseerde toegang. Geen verzend- of opslagmethode is volledig veilig, dus we kunnen absolute veiligheid niet garanderen.

15. Geautomatiseerde besluitvorming

We nemen geen beslissingen met wettelijke of soortgelijke belangrijke gevolgen over u op basis van alleen geautomatiseerde verwerking, inclusief profilering, tenzij dit wettelijk is toegestaan. Indien we dit ooit doen, zullen we dit aan u vertellen, de betrokken logica uitleggen en u het recht bieden om een menselijke beoordeling in te roepen.

16. Privacy van kinderen

id.mostlytiny.io is niet gericht op kinderen. Wij verzamelen niet opzettelijk persoonsgegevens van kinderen onder de geldende wettelijke leeftijd voor digitale toestemming (16 onder de GDPR, onder voorbehoud van lagere nationale leeftijdslimieten tot 13), en wij verkopen of delen niet opzettelijk persoonsgegevens van consumenten waarvan wij weten dat zij jonger zijn dan 16 jaar. Indien u denkt dat een kind ons gegevens heeft verstrekt, neem dan contact met ons op via privacy@mostlytiny.io en wij zullen deze verwijderen.

17. Uw rechten onder de GDPR

Indien de EU of UK GDPR op u van toepassing is, hebt u het recht om: te worden geïnformeerd; uw persoonsgegevens in te zien; onjuiste gegevens te corrigeren; uw gegevens te laten verwijderen; de verwerking te beperken; gegevensportabiliteit; en bezwaar te maken tegen verwerking, inclusief tegen direct marketing. Waar verwerking op toestemming is gebaseerd, kunt u deze op elk moment intrekken zonder gevolgen voor reeds uitgevoerde verwerking.

Om deze rechten uit te oefenen, neem contact met ons op via privacy@mostlytiny.io. Wij zullen binnen één maand antwoorden, wat we voor complexe of talrijke verzoeken met maximaal twee verdere maanden kunnen verlengen, mits we u dit binnen de eerste maand mededelen. U hebt ook het recht om een klacht in te dienen bij uw toezichthoudende autoriteit voor gegevensbescherming.

18. UK toezichthoudende autoriteit

Indien u in het Verenigd Koninkrijk bent, zijn de UK GDPR en de Data Protection Act 2018 van toepassing, en kunt u een klacht indienen bij het Information Commissioner's Office (ICO) via ico.org.uk.

19. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

20. Wijzigingen in dit privacybeleid

We kunnen dit privacybeleid van tijd tot tijd bijwerken. We zullen de bijgewerkte versie hier plaatsen met een nieuwe ingangsdatum en, waar wijzigingen significant zijn, redelijke stappen ondernemen om u in kennis te stellen.

21. Your wallet and its ledger

If you top up a Mostly Tiny wallet, we keep a ledger of each top-up, each automatic recharge and each charge a product makes against the balance (which product, what for, when and how much), so you can see where your money went and we can meet our accounting duties. Your card details stay with Stripe. An organisation's owners and admins can see its wallet ledger, including usage by its members.

22. Emails and your choices across Mostly Tiny products

Your Mostly Tiny ID sends what you need to use it: sign-in links, receipts for your wallet and shared billing, and security and account notices. These are part of the service, so you cannot turn them off while your account is open.

Your Mostly Tiny ID also holds your marketing-email choices for every Mostly Tiny product, in one place, so that one decision is respected everywhere. When you first sign in to a product you see two boxes: one, ticked by default, for tips and offers about that product (in the UK, the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis is our legitimate interest in telling customers about the product they signed up for); and one, never ticked for you, for news about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta), which we send only with your consent and at most once a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. The linked preferences page, and the Email preferences section of id.mostlytiny.io/settings, let you change each choice or stop all marketing email from every Mostly Tiny product at once. Withdrawing is as easy as agreeing and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, the language it was shown in, when, and a keyed one-way hash of your IP address, never the address itself. Choices are stored against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, so it continues to protect you after you close your account.

We keep your email choices and their records while they apply, so we can show we had your agreement, and delete them with your account; the do-not-email hash is kept for as long as it is needed to honour an unsubscribe.

23. Contact ons

Voor vragen, verzoeken of klachten over privacy en hoe we uw persoonlijke gegevens verwerken, neem contact op met Mostly Tiny Ltd via privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom