Política de Privacidade

1. Introdução

Esta Política de Privacidade explica como Mostly Tiny Ltd ("nós", "nos", "nosso") coleta, usa, compartilha e protege seus dados pessoais quando você usa id.mostlytiny.io, e os direitos que você tem sobre esses dados. Aplica-se aos dados pessoais dos quais atuamos como controlador. Data de vigência: 2026-10-08.

2. Quem somos e como nos contatar

Mostly Tiny Ltd é o controlador responsável pelos seus dados pessoais. Você pode nos contatar sobre esta política ou para exercer seus direitos em privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Dados pessoais que coletamos

Coletamos: informações que você fornece diretamente (por exemplo your email and name; passkeys (public keys only) and signed-in devices; your organisations, roles and invitations; details your employer's identity provider sends us; Google/Apple sign-in details; your subscriptions; your wallet top-ups, auto-recharge settings, receipts and usage ledger; apps you allow to act for you (such as an AI assistant using our MCP server); and sign-in and security logs); informações coletadas automaticamente quando você usa id.mostlytiny.io, como seu endereço IP, tipo de dispositivo e navegador, páginas visualizadas e identificadores de cookies; e, quando relevante, informações que recebemos de terceiros.

Coletamos dados pessoais nas categorias acima para os fins descritos nesta política.

5. Where we get your data

Besides what you give us, we receive payment status from Stripe; if you choose to sign in with Google or Apple, your account identifier, email address and name from them; and, if your organisation connects one, your details from its identity provider. We have no advertising partners.

6. Como e por que usamos seus dados

Usamos seus dados pessoais para: fornecer, operar e melhorar id.mostlytiny.io e nossos serviços; criar e gerenciar sua conta; responder a perguntas e fornecer suporte; personalizar sua experiência; enviar mensagens de serviço e, quando permitido, de marketing; manter o serviço seguro e prevenir fraudes; e cumprir nossas obrigações legais.

7. Data from your employer

If your employer or another organisation connects its identity provider to Mostly Tiny with SAML single sign-on or SCIM provisioning, it sends us your name, work email address, and the groups or roles it assigns you, and tells us when to add or remove you. We use them only to sign you in and give you the right access in that organisation. For this data the organisation is the controller and we act on its instructions under our Data Processing Agreement; ask the organisation first about it.

8. Signing in with Google or Apple

You can sign in with your Google or Apple account instead of an emailed link. If you do, Google or Apple confirms who you are and sends us your account identifier, your email address (and whether they have verified it) and, if you allow it, your name. We use these only to sign you in, to recognise you next time, and to connect you to the Mostly Tiny account that already uses the same verified email address, so you never end up with two accounts. We do not receive your Google or Apple password, contacts or anything else in that account, and we do not post anything to it.

If you use Apple's "Hide My Email", we receive a private relay address that forwards to you, and your Mostly Tiny account uses that address. Google and Apple decide independently how they handle your sign-in with them; their own privacy policies apply to that. We keep the link between your Google or Apple account and your Mostly Tiny account for as long as your account exists.

9. Nossas bases legais para o processamento

Quando o GDPR da UE ou o UK GDPR se aplica, processamos seus dados pessoais com base em uma ou mais bases legais conforme o Artigo 6: seu consentimento; o cumprimento de um contrato com você; conformidade com obrigação legal; proteção de interesses vitais; o cumprimento de tarefa de interesse público; ou nossos interesses legítimos (ou de terceiros), exceto quando substituídos pelos seus interesses ou direitos.

Quando nos baseamos em interesses legítimos, estes incluem a operação e segurança de nossos serviços, compreensão de como são usados, e marketing limitado — você pode se opor a qualquer momento. Quando processamos categorias especiais de dados pessoais conforme o Artigo 9 (por exemplo, dados de saúde ou biométricos), o fazemos apenas com seu consentimento explícito ou outra condição permitida por lei.

10. Com quem compartilhamos seus dados

Compartilhamos dados pessoais com: prestadores de serviços e processadores que operam id.mostlytiny.io em nosso nome (por exemplo Google Cloud and Firebase: hosting, sign-in, database and functions (where, see "Where your data is stored"); Stripe: payments, saved cards and the billing record shared by every Mostly Tiny product; Resend: sign-in links, receipts and notices; Cloudflare: edge hosting for the Mostly Tiny agent (MCP) endpoint and Turnstile bot protection; and the Mostly Tiny products you sign in to (MostlyQR, MostlyPDF, MostlyRender, MostlyPrivacy), which receive your identity, organisation and plan so they can let you in), que podem usá-los apenas conforme nossas instruções; consultores profissionais, provedores de pagamento, e autoridades de aplicação da lei ou órgãos reguladores quando necessário; e partes em uma transação corporativa como fusão ou aquisição. Não vendemos seus dados pessoais por dinheiro.

11. Transferências internacionais de dados

Alguns de nossos prestadores de serviços estão localizados fora de seu país, incluindo fora da EEA, Reino Unido ou Austrália. Quando transferimos dados pessoais internacionalmente, nos baseamos em um mecanismo de transferência legal — como uma decisão de adequação, as Cláusulas Contratuais Padrão da UE (com o Adendo de Transferência Internacional de Dados do Reino Unido quando relevante), ou outra salvaguarda permitida por lei — e tomamos medidas para manter seus dados protegidos. Os detalhes estão disponíveis mediante solicitação em privacy@mostlytiny.io.

12. Where your data is stored

Mostly Tiny ID runs on Google Cloud and Firebase: database in the United States (nam5 multi-region); server functions in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Quanto tempo mantemos seus dados

Mantemos dados pessoais apenas pelo tempo necessário para os fins descritos nesta política, após o qual deletamos ou anonimizamos. Os critérios que usamos para definir períodos de retenção incluem a natureza e sensibilidade dos dados, o propósito do processamento e nossas obrigações legais, contábeis e de relatório (your account, passkeys, devices and organisation memberships until you delete your account or are removed from the organisation; data from your employer's identity provider until it deprovisions you or disconnects; wallet top-ups, receipts and the usage ledger for six years, the period UK tax law requires us to keep accounting records; and sign-in and security logs for up to 12 months).

14. Como protegemos seus dados

Usamos medidas técnicas e organizacionais apropriadas — incluindo criptografia em trânsito, controles de acesso e análise regular — para proteger dados pessoais contra perda, uso indevido e acesso não autorizado. Nenhum método de transmissão ou armazenamento é completamente seguro, por isso não podemos garantir segurança absoluta.

15. Tomada de decisão automatizada

Não fazemos decisões que produzam efeitos legais ou similarmente significativos sobre você baseadas unicamente em processamento automatizado, incluindo criação de perfil, a menos que permitido pela lei. Quando o fizermos, informaremos, explicaremos a lógica envolvida e ofereceremos o direito de obter revisão humana.

16. Privacidade das crianças

id.mostlytiny.io não é direcionado a crianças. Não coletamos deliberadamente dados pessoais de crianças abaixo da idade de consentimento digital que se aplica a elas (16 sob o GDPR, sujeito a idades nacionais mais baixas a partir dos 13), e não vendemos ou compartilhamos deliberadamente as informações pessoais de consumidores que sabemos ter menos de 16 anos. Se você acreditar que uma criança nos forneceu dados, entre em contato conosco em privacy@mostlytiny.io e os apagaremos.

17. Seus direitos sob o GDPR

Se o GDPR da UE ou UK se aplica a você, você tem direito de: ser informado; acessar seus dados pessoais; ter seus dados imprecisos retificados; ter seus dados apagados; restringir o processamento; portabilidade de dados; e se opor ao processamento, inclusive marketing direto. Quando o processamento se baseia em consentimento, você pode revogá-lo a qualquer momento sem afetar o processamento realizado anteriormente.

Para exercer qualquer um desses direitos, entre em contato conosco em privacy@mostlytiny.io. Responderemos em até um mês, que pode ser prorrogado por até dois meses adicionais para solicitações complexas ou numerosas, informando-o dentro do primeiro mês. Você também tem direito de apresentar uma reclamação à sua autoridade supervisora de proteção de dados.

18. Autoridade supervisora do Reino Unido

Se você estiver no Reino Unido, o GDPR do Reino Unido e a Lei de Proteção de Dados de 2018 se aplicam, e você pode apresentar uma reclamação ao Information Commissioner's Office (ICO) em ico.org.uk.

19. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

20. Alterações nesta política

Podemos atualizar esta Política de Privacidade de tempos em tempos. Publicaremos a versão atualizada aqui com uma nova data de vigência e, quando as alterações forem significativas, tomaremos medidas razoáveis para notificá-lo.

21. Your wallet and its ledger

If you top up a Mostly Tiny wallet, we keep a ledger of each top-up, each automatic recharge and each charge a product makes against the balance (which product, what for, when and how much), so you can see where your money went and we can meet our accounting duties. Your card details stay with Stripe. An organisation's owners and admins can see its wallet ledger, including usage by its members.

22. Emails and your choices across Mostly Tiny products

Your Mostly Tiny ID sends what you need to use it: sign-in links, receipts for your wallet and shared billing, and security and account notices. These are part of the service, so you cannot turn them off while your account is open.

Your Mostly Tiny ID also holds your marketing-email choices for every Mostly Tiny product, in one place, so that one decision is respected everywhere. When you first sign in to a product you see two boxes: one, ticked by default, for tips and offers about that product (in the UK, the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis is our legitimate interest in telling customers about the product they signed up for); and one, never ticked for you, for news about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta), which we send only with your consent and at most once a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. The linked preferences page, and the Email preferences section of id.mostlytiny.io/settings, let you change each choice or stop all marketing email from every Mostly Tiny product at once. Withdrawing is as easy as agreeing and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, the language it was shown in, when, and a keyed one-way hash of your IP address, never the address itself. Choices are stored against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, so it continues to protect you after you close your account.

We keep your email choices and their records while they apply, so we can show we had your agreement, and delete them with your account; the do-not-email hash is kept for as long as it is needed to honour an unsubscribe.

23. Entre em contato conosco

Para qualquer dúvida sobre privacidade, solicitação ou reclamação sobre como gerenciamos seus dados pessoais, entre em contato com Mostly Tiny Ltd em privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom