Privacybeleid

1. Inleiding

Dit Privacybeleid legt uit hoe Mostly Tiny Ltd ("we", "us", "our") uw persoonlijke gegevens verzamelt, gebruikt, deelt en beschermt wanneer u mostlyqr.com gebruikt, en de rechten die u over die gegevens hebt. Dit is van toepassing op persoonlijke gegevens waarvoor wij optreden als verantwoordelijke. Effectieve datum: 2026-10-07.

2. Wie we zijn en hoe u ons kunt bereiken

Mostly Tiny Ltd is verantwoordelijk voor uw persoonlijke gegevens. U kunt ons contacteren over dit beleid, of om uw rechten uit te oefenen, op privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom

3. Our representative in the European Union

Mostly Tiny Ltd is established in the United Kingdom. We are appointing a representative in the European Union under Article 27 of the EU GDPR and will name them here. Until then, people in the EU can contact us directly at privacy@mostlytiny.io.

4. Persoonlijke gegevens die we verzamelen

We verzamelen: informatie die u rechtstreeks verstrekt (bijvoorbeeld account details (name, email); the QR codes, short links, hosted pages and forms you create (destinations and content); Batch QR details (see below); scan analytics about the people who scan your codes (see "Scan data we hold for you"); payment and billing details; product usage; and, only with your consent, how you arrived (see "How we learn where visitors come from")); informatie die automatisch wordt verzameld wanneer u mostlyqr.com gebruikt, zoals uw IP-adres, apparaat en browsertype, bekeken pagina's en cookie-identificatoren; en, voorzover relevant, informatie die we van derden ontvangen.

We verzamelen persoonlijke gegevens in de bovengenoemde categorieën voor de doeleinden vermeld in dit privacybeleid.

5. Waar we uw gegevens vandaan halen

Wanneer we persoonlijke gegevens niet rechtstreeks van u verzamelen, verkrijgen we deze van bronnen zoals onze serviceproviders, analyse- en advertentiepartners, openbaar beschikbare bronnen en andere derden die u hebt geautoriseerd om deze te delen.

6. Hoe en waarom we uw gegevens gebruiken

We gebruiken uw persoonlijke gegevens om: mostlyqr.com en onze services aan te bieden, uit te voeren en te verbeteren; uw account te maken en te beheren; vragen te beantwoorden en ondersteuning te bieden; uw ervaring te personaliseren; service- en, voorzover toegestaan, marketingberichten te versturen; de service veilig te houden en fraude te voorkomen; en onze wettelijke verplichtingen na te komen.

7. Scan data we hold for you

When someone scans a MostlyQR code or opens an mqr.sh link on a paid plan, we record for the code's owner: the time; the country and region (not the city); the type of browser, operating system and device (not the full browser identification string); the browser's preferred language; the referring page; an approximate location derived from the IP address and rounded to about 1 km; a salted one-way hash of the IP address, used to count unique scans; and how the scan was routed. We do not store the IP address itself. If a person chooses to share their location on a hosted page, we store it rounded to the same ~1 km. On the free plan we keep only a scan count and the time of the last scan.

We process scan data and form submissions on behalf of the code's owner, who is the controller, under our Data Processing Agreement. If the owner connects an integration — their own webhook, or Meta's Conversions API — we send scan events to that recipient on their instruction; it is their recipient, not ours. If the owner has set a webhook to receive exact location, a location the scanner chose to share is forwarded to it unrounded (we do not store it). If you scanned a code, contact the business that published it first.

8. Batch QR details

A Batch QR code gives each person or product in a list its own code. The details you add to each one — for example a name, title or photo, which can appear on that person's profile page — are held on behalf of the account owner, who is the controller, under our Data Processing Agreement. Profile pages are not listed in search engines and their addresses cannot be guessed.

When the owner deletes a person or their account, those details are erased. When a batch is archived, its details are erased 30 days later. An erased person's code keeps working, but points to the batch's archive page and shows none of their details. If you are in someone's batch, contact the business that created it first.

9. The free QR code checker

The QR code checker at mostlyqr.com/qr-code-checker works without an account. If you upload a photo, the code in it is read inside your browser; the photo is never sent to us. We receive only the link the code contains (or the link you paste). Our servers then follow that link and any redirects once, to show you where it ends up, and send the result back to you. The websites along the way see a request from our servers, identified as "MostlyQR-LinkCheck/1.0 (+https://mostlyqr.com/qr-code-checker)". We do not keep the link or the result.

To keep the checker free, we limit how often it can be used. We count your requests under a keyed hash of your IP address, a scrambled form that cannot be turned back into the address without a secret key we hold, and each count is deleted automatically after its one-hour window, usually within about two days. We do this in our legitimate interest in preventing abuse of a free service.

10. How we learn where visitors come from

Fathom Analytics counts visits to mostlyqr.com without cookies and without identifying you, including which website, campaign or AI assistant referred a visit. In the UK we rely on the statistical-purposes exception in the Privacy and Electronic Communications Regulations. You can object at any time by switching off "Analytics" in Cookie settings, which turns Fathom off for your browser.

We also keep our own anonymous daily totals of visitors who arrive from an advert: how many land, open our editor, sign up and buy, by ad platform and landing page. The ad platform and page name travel in the web address of our own pages; nothing is stored on or read from your device, no cookie is used, and the totals are never linked to you or your account. Because no storage on your device is involved, this counting continues whatever you choose in Cookie settings.

If you accept Analytics or Marketing cookies, our site also remembers in your browser how you first and most recently arrived (campaign tags, the referring site and the page you landed on) and attaches it to your account when you sign up, so we can see which channels bring us customers. If you do not accept, we keep none of this. The one exception is a referral code, if you followed a friend's referral link: we keep it only to credit that referral.

When you sign up, subscribe or cancel, our servers record that event against your account in PostHog (EU), to measure how our business is doing. We rely on our legitimate interests for this; you can object by emailing privacy@mostlytiny.io.

11. Emails we send you

We email you what you need to use MostlyQR: sign-in links, receipts, billing and security notices, and messages about your account. These are part of the service, so you cannot turn them off while your account is open.

We may also send you tips and offers about MostlyQR (onboarding tips, a note when you reach a free-plan limit, and a note if you cancel). The sign-up form has a box for these, ticked by default: untick it and we never send them. In the UK this is the "soft opt-in" in regulation 22 of the Privacy and Electronic Communications Regulations; our lawful basis under the UK GDPR is our legitimate interest in telling customers about the product they signed up for, and you can object at any time.

We email you about other Mostly Tiny products (MostlyPDF, MostlySign, MostlyPrivacy, MostlyRender and Vekta) only if you asked us to, by ticking a box that is never ticked for you, either when you sign up or later in a product. Our lawful basis is your consent. We send at most one such email a month across all of them.

Every marketing email says why you are getting it, has an unsubscribe link, and supports your email app's one-click unsubscribe button. One click stops that kind of email; the linked preferences page lets you choose exactly what you get, or stop all marketing email from every Mostly Tiny product at once. You can also change this in your Mostly Tiny account at id.mostlytiny.io/settings. Withdrawing is as easy as agreeing, and never affects service email.

To show we had your agreement, we record each choice: which box, the exact wording you saw, when, and a keyed one-way hash of your IP address. We store your choices against a one-way hash of your email address. If an address bounces permanently or a message is reported as spam, we stop all marketing email to it. Our do-not-email list keeps only that hash, never your address, so it continues to protect you after you close your account.

12. Onze wettelijke grondslagen voor verwerking

Waar de EU of UK GDPR van toepassing is, verwerken wij uw persoonsgegevens op een of meer rechtmatige grondslagen onder artikel 6: uw toestemming; de nakoming van een overeenkomst met u; naleving van een wettelijke verplichting; bescherming van vitale belangen; de vervulling van een taak in het algemeen belang; of onze gerechtvaardige belangen (of die van een derde), behalve waar uw belangen of rechten zwaarder wegen.

Wanneer wij ons beroepen op gerechtvaardigd belangen, hieronder vallen het beheer en beveiligen van onze diensten, begrijpen hoe zij worden gebruikt, en beperkte marketing — u kunt op elk moment bezwaar maken. Wanneer wij bijzondere categorieën van persoonsgegevens verwerken onder artikel 9 (bijvoorbeeld gezondheids- of biometrische gegevens), doen wij dit alleen met uw expliciete toestemming of onder een wettelijk toegestane grond.

13. Met wie wij uw gegevens delen

Wij delen persoonsgegevens met: dienstverleners en verwerkers die mostlyqr.com namens ons bedrijven (bijvoorbeeld Google Firebase and Google Cloud: hosting, sign-in, database, functions (where, see "Where your data is stored"); Cloudflare: security and approximate location for mqr.sh scan links; Stripe: payments; Fathom Analytics: cookie-free statistics; PostHog (EU): product analytics; Resend: email; Google Safe Browsing and Web Risk: malware/phishing checks on QR destinations; and our own Mostly Tiny services MostlyID, MostlyPrivacy, MostlyRender and Vekta; the unpkg and jsDelivr CDNs and Google Fonts, which serve code and fonts to your browser in the dashboard and so see its IP address), die het alleen op onze instructies mogen gebruiken; professionele adviseurs, betalingsverleners, en wettelijke handhavingsinstanties of toezichthouders waar vereist; en partijen bij een bedrijfstransactie zoals een fusie of overname. Wij verkopen uw persoonsgegevens niet voor geld.

14. Advertising and measuring our adverts

We may advertise MostlyQR on Google, on Microsoft Advertising (Bing, Microsoft Copilot and partner sites) and in ChatGPT. Only if you accept "Marketing" cookies do we load those platforms' tags and, when you arrive from one of our adverts, keep the click identifier the platform added to the link (gclid, gbraid or wbraid for Google; msclkid for Microsoft; oppref for ChatGPT).

If you then subscribe, we tell only the platform whose advert you clicked that it led to a purchase: the click identifier, the time, the value and currency, and — for matching — your email address as a one-way SHA-256 hash. We never send your raw email address, the QR codes you create or your scan data.

Our legal basis is your consent. You can withdraw it at any time in Cookie settings: we then delete the click identifier from your browser and report nothing further, including for a subscription that starts after you withdrew.

Google receives this data under the Google Ads Data Processing Terms (as our processor for enhanced conversions, and as an independent controller for its advertising services); Microsoft and OpenAI receive it as independent controllers. Their privacy notices: policies.google.com/privacy, privacy.microsoft.com/privacystatement and openai.com/policies/privacy-policy. All three are in the United States; transfers rely on the UK Extension to the EU-US Data Privacy Framework where the recipient is certified, and otherwise on the UK International Data Transfer Addendum to the EU Standard Contractual Clauses.

15. Internationale gegevensoverdrachten

Sommige van onze dienstverleners bevinden zich buiten uw land, met inbegrip van buiten de EER, het Verenigd Koninkrijk of Australië. Wanneer wij persoonsgegevens internationaal overdragen, vertrouwen wij op een rechtmatig overdrachtsmechanisme — zoals een adequaatheidsbesluit, de Standaardcontractbepalingen van de EU (met het International Data Transfer Addendum van het Verenigd Koninkrijk waar van toepassing), of een ander wettelijk toegestaan waarborg — en nemen wij stappen om uw gegevens beschermd te houden. Details zijn beschikbaar op aanvraag op privacy@mostlytiny.io.

16. Where your data is stored

MostlyQR runs on Google Cloud and Firebase: database in the EU (eur3 multi-region: Belgium and the Netherlands, with a witness replica in Finland); server functions in the UK (europe-west2, London); uploaded logos, images and print assets in the United States (us-east1).

Sign-in uses Firebase Authentication, which Google runs only in the United States, and a Mostly Tiny account you sign in with is held by Mostly Tiny ID, whose database is in the United States. Our website is served from Google's global network (Firebase Hosting).

Transfers from the UK to the EU are approved under UK law, which treats transfers to EEA states as approved (Data Protection Act 2018, Schedule 21). Transfers to Google LLC in the United States rely on the UK Extension to the EU-US Data Privacy Framework (and, for data under the EU GDPR, on the EU-US Data Privacy Framework), to both of which Google LLC is certified. If you are in the EU, your personal data reaches our servers in the UK under the European Commission's adequacy decision for the UK (Implementing Decision (EU) 2021/1772, as amended by Implementing Decision (EU) 2025/2574).

17. Hoe lang bewaren we uw gegevens

We bewaren persoonlijke gegevens alleen zolang nodig voor de doeleinden beschreven in dit beleid, waarna we deze verwijderen of anonimiseren. De criteria die we gebruiken om retentieperioden vast te stellen, omvatten de aard en gevoeligheid van de gegevens, het verwerkingsdoel en onze wettelijke, boekhoudings- en rapportageverplichtingen (account data until you delete your account; Batch QR details as set out in "Batch QR details"; scan analytics for the account's lifetime, within your plan's limits; how you arrived (if you consented) for the account's lifetime; billing records as tax law requires; and a reported advertising conversion for as long as the subscription it relates to).

18. Hoe we uw gegevens beschermen

We gebruiken passende technische en organisatorische maatregelen — waaronder encryptie tijdens verzending, toegangscontroles en regelmatige controles — om persoonlijke gegevens te beschermen tegen verlies, misbruik en ongeautoriseerde toegang. Geen verzend- of opslagmethode is volledig veilig, dus we kunnen absolute veiligheid niet garanderen.

19. Cookies en vergelijkbare technologieën

We gebruiken cookies en vergelijkbare technologieën op mostlyqr.com. Voor de cookies die we gebruiken, hun doel en duur, en hoe u deze kunt beheren, raadpleegt u ons Cookiebeleid.

20. Geautomatiseerde besluitvorming

We nemen geen beslissingen met wettelijke of soortgelijke belangrijke gevolgen over u op basis van alleen geautomatiseerde verwerking, inclusief profilering, tenzij dit wettelijk is toegestaan. Indien we dit ooit doen, zullen we dit aan u vertellen, de betrokken logica uitleggen en u het recht bieden om een menselijke beoordeling in te roepen.

21. Privacy van kinderen

mostlyqr.com is niet gericht op kinderen. Wij verzamelen niet opzettelijk persoonsgegevens van kinderen onder de geldende wettelijke leeftijd voor digitale toestemming (16 onder de GDPR, onder voorbehoud van lagere nationale leeftijdslimieten tot 13), en wij verkopen of delen niet opzettelijk persoonsgegevens van consumenten waarvan wij weten dat zij jonger zijn dan 16 jaar. Indien u denkt dat een kind ons gegevens heeft verstrekt, neem dan contact met ons op via privacy@mostlytiny.io en wij zullen deze verwijderen.

22. Uw rechten onder de GDPR

Indien de EU of UK GDPR op u van toepassing is, hebt u het recht om: te worden geïnformeerd; uw persoonsgegevens in te zien; onjuiste gegevens te corrigeren; uw gegevens te laten verwijderen; de verwerking te beperken; gegevensportabiliteit; en bezwaar te maken tegen verwerking, inclusief tegen direct marketing. Waar verwerking op toestemming is gebaseerd, kunt u deze op elk moment intrekken zonder gevolgen voor reeds uitgevoerde verwerking.

Om deze rechten uit te oefenen, neem contact met ons op via privacy@mostlytiny.io. Wij zullen binnen één maand antwoorden, wat we voor complexe of talrijke verzoeken met maximaal twee verdere maanden kunnen verlengen, mits we u dit binnen de eerste maand mededelen. U hebt ook het recht om een klacht in te dienen bij uw toezichthoudende autoriteit voor gegevensbescherming.

23. UK toezichthoudende autoriteit

Indien u in het Verenigd Koninkrijk bent, zijn de UK GDPR en de Data Protection Act 2018 van toepassing, en kunt u een klacht indienen bij het Information Commissioner's Office (ICO) via ico.org.uk.

24. How to complain to us

If you are unhappy with how we have handled your personal data, email privacy@mostlytiny.io with "Complaint" in the subject. We will acknowledge your complaint within 30 days, look into it, and tell you the outcome without undue delay. You can also complain to the Information Commissioner's Office at any time.

25. If you are in the United States

We do not sell personal information. Measuring our adverts, described above, can count as "sharing" under some US state privacy laws; it happens only if you accept Marketing cookies, and we treat a Global Privacy Control signal from your browser as a refusal. To ask what we hold about you, or to have it corrected or deleted, email privacy@mostlytiny.io.

26. Wijzigingen in dit privacybeleid

We kunnen dit privacybeleid van tijd tot tijd bijwerken. We zullen de bijgewerkte versie hier plaatsen met een nieuwe ingangsdatum en, waar wijzigingen significant zijn, redelijke stappen ondernemen om u in kennis te stellen.

27. Contact ons

Voor vragen, verzoeken of klachten over privacy en hoe we uw persoonlijke gegevens verwerken, neem contact op met Mostly Tiny Ltd via privacy@mostlytiny.io.

Studio M, Hackney Depot, 5 Sheep Lane, London E8 4QS, United Kingdom