Politique de confidentialité

1. Introduction

Cette politique de confidentialité explique comment Mostly Tiny Ltd (« nous », « nous », « nos ») collecte, utilise, partage et protège vos données personnelles lorsque vous utilisez mostlysign.com, et les droits que vous avez sur ces données. Elle s'applique aux données personnelles pour lesquelles nous agissons en tant que responsable du traitement. Date d'entrée en vigueur : 2026-10-06.

2. Qui nous sommes et comment nous contacter

Mostly Tiny Ltd est le responsable du traitement de vos données personnelles. Vous pouvez nous contacter au sujet de cette politique, ou pour exercer vos droits, à privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Représentant UE/Royaume-Uni et responsable de la protection des données

Lorsque nous sommes tenus de désigner un représentant dans l'EEE ou au Royaume-Uni parce que nous sommes établis en dehors de celui-ci mais que nous offrons des services à, ou surveillons, les personnes qui s'y trouvent, et lorsque nous sommes tenus de nommer un responsable de la protection des données, leurs coordonnées sont disponibles sur demande à privacy@mostlytiny.io.

4. Données personnelles que nous collectons

Nous collectons : les informations que vous nous fournissez directement (par exemple your name and email address (from the Mostly Tiny account you sign in with); the documents you upload to send for signature and their contents; the name and email address of each person you send a document to; the signature each signer draws or types; and, for every envelope, an audit trail of the UTC time, IP address and browser of each view, signature and completion event) ; les informations collectées automatiquement lors de votre utilisation de mostlysign.com, comme votre adresse IP, le type d'appareil et navigateur, les pages consultées et les identifiants de cookies ; et, le cas échéant, les informations que nous recevons de tiers.

Nous collectons des données personnelles dans les catégories ci-dessus pour les fins énoncées dans cette politique.

5. D'où proviennent vos données

Lorsque nous ne collectons pas vos données personnelles directement auprès de vous, nous les obtenons auprès de sources telles que nos prestataires de services, partenaires en analyse et publicité, sources accessibles au public, et d'autres tiers que vous avez autorisés à les partager.

6. Comment et pourquoi nous utilisons vos données

Nous utilisons vos données personnelles pour : fournir, exploiter et améliorer mostlysign.com et nos services ; créer et gérer votre compte ; répondre aux demandes et fournir une assistance ; personnaliser votre expérience ; envoyer des messages de service et, si autorisé, de marketing ; sécuriser le service et prévenir la fraude ; et nous conformer à nos obligations légales.

7. Emails we send you

We email you what you need to use MostlySign: sign-in links, receipts, billing and security notices, and messages about your account. These are part of the service, so you cannot turn them off while your account is open.

We may also send you tips and offers about MostlySign. The sign-up form has a box for these, ticked by default: untick it and we never send them. In the UK this is the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis under the UK GDPR is our legitimate interest in telling customers about the product they signed up for, and you can object at any time.

We email you about other Mostly Tiny products (MostlyQR, MostlyPDF, MostlyPrivacy, MostlyRender and Vekta) only if you asked us to, by ticking a box that is never ticked for you, either when you sign up or later in a product. Our lawful basis is your consent. We send at most one such email a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. One click stops that kind of email; the linked preferences page lets you choose exactly what you get, or stop all marketing email from every Mostly Tiny product at once. You can also change this in your Mostly Tiny account at id.mostlytiny.io/settings. Withdrawing is as easy as agreeing, and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, when, and a keyed one-way hash of your IP address. We store your choices against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, never your address, so it continues to protect you after you close your account.

8. Nos bases légales de traitement

Lorsque le RGPD de l'UE ou du Royaume-Uni s'applique, nous traitons vos données personnelles sur la base d'une ou plusieurs bases légales en vertu de l'article 6 : votre consentement ; l'exécution d'un contrat avec vous ; le respect d'une obligation légale ; la protection d'intérêts vitaux ; l'exécution d'une tâche d'intérêt public ; ou nos intérêts légitimes (ou ceux d'un tiers), sauf s'ils sont remplacés par vos intérêts ou droits.

Lorsque nous nous appuyons sur les intérêts légitimes, ceux-ci incluent l'exploitation et la sécurisation de nos services, la compréhension de leur utilisation et le marketing limité — vous pouvez vous opposer à tout moment. Lorsque nous traitons des catégories spéciales de données personnelles en vertu de l'article 9 (par exemple les données de santé ou biométriques), nous le faisons uniquement avec votre consentement explicite ou une autre condition autorisée par la loi.

9. Avec qui nous partageons vos données

Nous partageons les données personnelles avec : les prestataires de services et les processeurs qui exploitent mostlysign.com en notre nom (par exemple Google Firebase and Google Cloud, which host the site, the database, the functions and the stored documents (where, see "Where your data is stored"); Stripe, which processes payments and holds the billing details you enter; Resend, which delivers signature requests, reminders and sign-in email; and DigiCert’s RFC 3161 timestamping authority, which receives only a cryptographic hash of a completed document, never the document or its contents, in order to attest the time it was sealed), qui ne peuvent l'utiliser que selon nos instructions ; les conseillers professionnels, les prestataires de paiement et les autorités chargées de l'application de la loi ou les autorités de régulation le cas échéant ; et les parties à une opération de fusion-acquisition. Nous ne vendons pas vos données personnelles contre rémunération.

10. Vente et partage des informations personnelles

Les catégories d'informations personnelles que nous avons « vendues » ou « partagées » (telles que définies en vertu de la CCPA/CPRA) au cours des 12 derniers mois, ainsi que les catégories de tiers auxquels elles ont été divulguées, sont décrites dans la section Californie ci-dessous. Si nous partageons des informations personnelles pour des publicités comportementales multi-contextes, vous pouvez refuser comme décrit ci-dessous.

11. Transferts de données internationaux

Certains de nos prestataires de services sont situés en dehors de votre pays, y compris en dehors de l'EEA, du Royaume-Uni ou de l'Australie. Lorsque nous transférons des données personnelles à l'international, nous nous appuyons sur un mécanisme de transfert légal — tel qu'une décision d'adéquation, les clauses contractuelles types de l'UE (avec l'avenant de transfert de données international du Royaume-Uni le cas échéant), ou une autre garantie autorisée par la loi — et prenons des mesures pour protéger vos données. Des détails sont disponibles sur demande à privacy@mostlytiny.io.

12. Where your data is stored

MostlySign runs on Google Cloud and Firebase: the database, the functions and the stored documents and audit trails are in the UK (europe-west2, London).

Sign-in uses Firebase Authentication, which Google runs only in the United States, and your Mostly Tiny account (Mostly Tiny ID), whose database is in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

13. Durée de conservation de vos données

Nous conservons les données personnelles uniquement aussi longtemps que nécessaire aux fins décrites dans cette politique. Après cela, nous les supprimons ou les anonymisons. Les critères que nous utilisons pour fixer les périodes de conservation incluent la nature et la sensibilité des données, la finalité du traitement, et nos obligations légales, comptables et de reporting (while your account is open we keep each envelope, its sealed PDF and audit trail, which prove a signature later; closing your account cancels pending requests and API keys at once, and we delete your envelopes, PDFs, audit trails, templates and keys 30 days after you close your account; Stripe keeps payment records as its obligations require; hosting logs are kept up to 12 months).

14. Comment nous protégeons vos données

Nous utilisons des mesures techniques et organisationnelles appropriées — notamment le chiffrement en transit, les contrôles d'accès et l'examen régulier — pour protéger les données personnelles contre la perte, l'utilisation abusive et l'accès non autorisé. Aucune méthode de transmission ou de stockage n'est complètement sécurisée, nous ne pouvons donc pas garantir une sécurité absolue.

15. Cookies et technologies similaires

Nous utilisons des cookies et des technologies similaires sur mostlysign.com. Pour plus d'informations sur les cookies que nous utilisons, leur finalité, leur durée de conservation et comment les contrôler, consultez notre Politique relative aux cookies.

16. Prise de décision automatisée

Nous ne prenons pas de décisions produisant des effets juridiques ou similaires significatifs vous concernant basées uniquement sur un traitement automatisé, y compris le profilage, sauf si la loi le permet. Dans l'hypothèse où nous le ferions, nous vous l'indiquerons, expliquerons la logique impliquée et offrirons le droit d'obtenir un examen humain.

17. Confidentialité des enfants

mostlysign.com n'est pas destiné aux enfants. Nous ne collectons pas sciemment de données personnelles auprès des enfants au-dessous de l'âge du consentement numérique qui s'applique à eux (16 ans selon le GDPR, sauf pour les âges nationaux inférieurs jusqu'à 13 ans), et nous ne vendons ni ne partageons sciemment les informations personnelles des consommateurs que nous savons être âgés de moins de 16 ans. Si vous pensez qu'un enfant nous a communiqué des données, contactez-nous à privacy@mostlytiny.io et nous les supprimerons.

18. Vos droits en vertu du GDPR

Si le GDPR de l'UE ou du Royaume-Uni s'applique à vous, vous avez le droit de : être informé ; accéder à vos données personnelles ; faire rectifier les données inexactes ; faire supprimer vos données ; restreindre le traitement ; la portabilité des données ; et vous opposer au traitement, y compris au marketing direct. Lorsque le traitement est fondé sur le consentement, vous pouvez le retirer à tout moment sans affecter le traitement effectué auparavant.

Pour exercer l'un de ces droits, contactez-nous à privacy@mostlytiny.io. Nous répondrons dans un délai d'un mois, que nous pouvons prolonger de deux mois supplémentaires pour les demandes complexes ou nombreuses, en vous informant dans le premier mois. Vous avez également le droit de déposer une plainte auprès de votre autorité de contrôle de la protection des données.

19. Autorité de contrôle du Royaume-Uni

Si vous êtes au Royaume-Uni, le GDPR du Royaume-Uni et la Loi de 2018 sur la protection des données s'appliquent, et vous pouvez vous plaindre auprès du Bureau du Commissaire à l'information (ICO) à ico.org.uk.

20. Droits à la vie privée en Californie (CCPA/CPRA)

Si vous résidez en Californie, vous avez le droit de : connaître les informations personnelles que nous collectons, utilisons, divulguons et vendons ou partageons ; supprimer les informations personnelles que nous détenons à votre sujet ; corriger les informations personnelles inexactes ; refuser la vente ou le partage de vos informations personnelles ; limiter l'utilisation et la divulgation de vos informations personnelles sensibles ; et ne pas être discriminé ou victime de représailles pour avoir exercé ces droits.

Pour exercer le droit de connaître, supprimer ou corriger, contactez-nous à privacy@mostlytiny.io ou utilisez le lien « Vos choix en matière de confidentialité » sur mostlysign.com ; nous ne vous obligerons pas à créer un compte pour effectuer une demande, et vous pouvez utiliser un mandataire autorisé. Pour refuser la vente ou le partage, utilisez le lien « Ne pas vendre ou partager mes informations personnelles » sur mostlysign.com ou envoyez un signal Global Privacy Control, que nous respectons.

21. Modifications de cette politique

Nous pouvons mettre à jour cette Politique de confidentialité de temps en temps. Nous afficherons la version mise à jour ici avec une nouvelle date d'entrée en vigueur et, lorsque les modifications sont importantes, prendrons des mesures raisonnables pour vous informer.

22. Nous contacter

Pour toute question, demande ou plainte concernant la façon dont nous gérons vos données personnelles, contactez Mostly Tiny Ltd à privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom