Tailwind CSS CDN

Le CDN Tailwind CSS ne dépose pas de cookies, n'enregistre pas de service worker, n'exécute pas de script d'analytics et ne stocke rien en localStorage. Les seules données traitées sont celles du log serveur standard généré par la requête HTTP : adresse IP, agent utilisateur, en têtes de langue, référent (URL de votre page) et horodatage. Ce log est conservé par l'opérateur du edge (Cloudflare, Fastly, Bunny CDN), par la plateforme CDN (jsDelivr, unpkg ou cdn.tailwindcss.com) et par Tailwind Labs Inc. lorsque l'endpoint officiel est utilisé.

L'article 5(3) de la directive ePrivacy n'impose un consentement que lorsque le service lit ou écrit des informations dans le terminal au delà de ce qui est strictement nécessaire. Le CDN Tailwind CSS ne fait ni l'un ni l'autre (pas de cookies, pas de localStorage, pas d'empreinte) : un consentement de bannière cookies n'est pas requis. Le traitement de l'IP au edge reste soumis au RGPD mais peut s'appuyer sur l'intérêt légitime (article 6(1)(f)). L'appel CDN doit cependant être mentionné dans la politique de confidentialité.

L'exposition de l'IP au edge CDN est traitée au titre de l'article 6(1)(f) du RGPD (intérêt légitime à livrer la mise en forme demandée). Documentez le test de mise en balance dans votre registre : nécessité (pas de copie first party sans étape de build supplémentaire), attentes raisonnables du visiteur (charger des ressources distantes est un comportement web standard) et minimisation (la requête ne porte que des en têtes techniques, sans identifiants au delà de l'IP et de l'agent utilisateur).

Souvent oui. Tailwind Labs (cdn.tailwindcss.com), unpkg, Cloudflare et Fastly sont des sociétés américaines, même si leurs nœuds de bord sont répartis mondialement. Une requête qui se termine sur un edge européen peut tout de même donner lieu à une réplication des logs vers le siège américain. Documentez le transfert dans votre registre, appuyez vous sur le EU US Data Privacy Framework lorsque l'opérateur y est certifié, sinon sur les Clauses Contractuelles Types, et envisagez d'auto héberger le bundle CSS de production pour supprimer le transfert.

Non, une AIPD n'est généralement pas requise pour un fichier CSS statique servi par un CDN public. Le traitement présente un profil de risque faible : pas de cookies, pas de profilage, pas de catégories particulières et uniquement des éléments standards de log serveur. L'AIPD n'est nécessaire que si l'appel CDN est combiné à d'autres traitements à risque plus élevé (par exemple un système de tracking massif chez le même fournisseur) ou si le régulateur sectoriel impose par défaut une AIPD pour tout transfert US.

Soit vous basculez vers le workflow de production (Tailwind CLI ou build PostCSS, puis livraison d'un CSS purgé depuis votre propre origine), soit, si vous conservez le CDN, vous épinglez une version précise et ajoutez un hash Subresource Integrity sur la balise script. Configurez une Content Security Policy qui restreint les sources de styles à votre origine et au CDN choisi. Mentionnez l'appel CDN dans la politique de confidentialité avec l'opérateur destinataire (Cloudflare, Fastly, Tailwind Labs) et la justification d'intérêt légitime.

L'alternative recommandée reste l'auto hébergement : exécutez le CLI Tailwind ou le build PostCSS au déploiement, générez un fichier CSS qui ne contient que les classes utilisées et servez le depuis la même origine que le reste du site. Cela supprime totalement la requête tierce. Si vous conservez un CDN, préférez une version épinglée jsDelivr ou unpkg avec Subresource Integrity, ou utilisez un CDN européen comme BunnyCDN avec un point de présence uniquement UE et une liste de sous traitants documentée.

Ajoutez un court paragraphe qui nomme l'endpoint CDN réellement utilisé (cdn.tailwindcss.com, cdn.jsdelivr.net ou unpkg.com), l'opérateur (Tailwind Labs Inc., Prospect One Sp. z o.o. pour jsDelivr, Cloudflare Inc. pour unpkg et les edges frontaux), les catégories de données traitées (IP, agent utilisateur, référent, horodatage), la base légale (intérêt légitime art. 6(1)(f)), l'absence de cookies et le mécanisme de transfert international (DPF ou CCT). Précisez la durée de conservation côté CDN et le contact pour l'exercice des droits.