Votre site utilise des services tiers ? Soyez conforme au RGPD en quelques minutes.
Essayer FlowConsentPlan gratuit · Installation 10 min
Service de polices web hébergées de Hoefler & Co qui livre un bundle CSS et des fichiers WOFF/WOFF2 depuis des serveurs aux États Unis, transmettant l'adresse IP des visiteurs à chaque chargement de page.
Cloud.typography est le service de polices web hébergées exploité par Hoefler & Co, la fonderie typographique américaine derrière des familles comme Gotham, Whitney, Sentinel et Mercury. Les abonnés licencient des polices via le portail client typography.com et reçoivent un bundle CSS spécifique à leur projet, hébergé sur l'infrastructure Hoefler. Un site intègre ce bundle avec une simple balise link, après quoi le navigateur du visiteur récupère le CSS et les fichiers de police WOFF ou WOFF2 directement depuis cloud.typography.com (souvent derrière Fastly ou Cloudflare). Aucun JavaScript ne s'exécute et aucun cookie n'est posé par défaut, mais chaque vue de page déclenche une requête passive vers un serveur tiers situé aux États Unis.
Par défaut Cloud.typography ne pose aucun cookie dans le navigateur et n'exécute pas de scripts côté client. L'empreinte vie privée se limite aux données automatiquement incluses dans chaque requête HTTP qui récupère le bundle CSS ou un fichier de police : l'adresse IP du visiteur, la chaîne User Agent identifiant le navigateur et le système d'exploitation, l'en tête Referer révélant la page du site à l'origine du chargement, et des métadonnées de timing standard au niveau du CDN. Ces éléments sont journalisés par Hoefler & Co et tout CDN intermédiaire (Fastly, Cloudflare) pour la sécurité, la prévention des abus et les statistiques d'usage liées au domaine du projet.
Sous le RGPD l'adresse IP est une donnée personnelle et la transmission vers un serveur américain est un traitement effectué sous la responsabilité de l'éditeur du site. Selon l'article 5(3) de la directive ePrivacy, le téléchargement d'un fichier CSS constitue lui même un stockage d'information sur le terminal de l'utilisateur, ce qui aligne dans une lecture stricte les polices hébergées sur les règles applicables aux cookies. Le jugement du Landgericht München I du 20 janvier 2022 (3 O 17493/20) sur Google Fonts est la référence : le tribunal a considéré que le transfert de l'IP du visiteur vers un serveur américain sans consentement violait le RGPD et a accordé 100 EUR de dommages moraux. Cloud.typography suit exactement le même schéma de diffusion et s'expose donc au même raisonnement juridique.
Get GDPR compliant in 10 minutes
Free plan available · No credit card required
Suivant la logique du LG München I, la base légale la plus sûre pour charger Cloud.typography est le consentement préalable explicite au titre de l'article 6(1)(a) RGPD, combiné au consentement ePrivacy de l'article 5(3) que la loi allemande TDDDG section 25 exige également pour tout accès non strictement nécessaire au terminal. L'intérêt légitime au titre de l'article 6(1)(f) est parfois invoqué, mais le tribunal de Munich l'a rejeté pour Google Fonts hébergé car une alternative auto hébergée existait. La bannière de consentement doit donc bloquer la balise link jusqu'à l'accord du visiteur, et une option de refus documentée doit rétablir les polices système en repli. Une simple mention dans la politique de confidentialité ne suffit pas.
Chaque requête Cloud.typography franchit la frontière américaine, ce qui rend applicables les règles de transfert du chapitre V du RGPD. L'éditeur du site doit s'appuyer sur le cadre transatlantique EU US Data Privacy Framework (si Hoefler & Co est certifié) ou sur les clauses contractuelles types accompagnées d'une analyse de transfert, plus des mesures supplémentaires comme la troncature d'IP lorsque cela est possible. La difficulté pratique principale est que Hoefler & Co n'autorise généralement pas l'auto hébergement des fichiers de police sous l'abonnement standard Cloud.typography, si bien que les éditeurs souhaitant supprimer totalement le transfert vers les États Unis doivent soit négocier une licence d'auto hébergement, soit changer de fonderie (Klim, Grilli, Bunny Fonts, Fontshare, Google Fonts auto hébergé), soit conditionner le chargement à un consentement granulaire.
Les sites web utilisant Cloud.typography doivent obtenir le consentement des utilisateurs conformement au RGPD.
Considerations AIPD
Une AIPD complète n'est généralement pas requise pour Cloud.typography sur un site web standard car il n'y a pas de suivi comportemental, mais un registre des traitements et une analyse de transfert (TIA) doivent documenter la transmission systématique des adresses IP des visiteurs aux serveurs de Hoefler & Co aux États Unis. Le jugement LG München I du 20 janvier 2022 (3 O 17493/20) concernant Google Fonts constitue la référence juridique directe : le tribunal a accordé des dommages et intérêts car l'exploitant du site transmettait l'IP du visiteur à un serveur américain sans consentement, et le même schéma de transmission passive s'applique ici. Documentez la base légale retenue (le consentement est plus sûr que l'intérêt légitime après ce jugement), les CCT et mesures supplémentaires négociées avec Hoefler & Co, et tout risque résiduel pour les visiteurs situés en Allemagne ou dans d'autres États membres stricts.
Exemple de texte de consentement
Nous utilisons Cloud.typography, un service de polices web hébergées par Hoefler & Co (États Unis), pour afficher les caractères de ce site. Lorsque vous chargez une page, votre navigateur récupère un fichier CSS et des fichiers de police depuis des serveurs situés aux États Unis, ce qui transmet votre adresse IP, l'User Agent du navigateur et le Referer à Hoefler & Co et à ses fournisseurs CDN. Avec votre consentement, nous activerons cette diffusion de polices. Sans consentement, nous utiliserons les polices système. Vous pouvez modifier votre choix à tout moment dans les paramètres des cookies.
Domaines tiers contactes
typography.comcloud.typography.comcdn.typography.comcloud.typography.com/cdnhoeflerco.comfastly.netcloudflare.comCookies deposes
| Nom | Type | Duree | Finalite |
|---|---|---|---|
| (no first party cookie set by Cloud.typography) | none | n/a | Cloud.typography does not set any cookies in the visitor browser by default. The CSS bundle and WOFF/WOFF2 files are delivered without cookie headers; the privacy footprint is limited to the IP address, User Agent and Referer transmitted with each HTTP request. |
| browser font cache (HTTP Cache Control) | browser cache | up to 1 year per Cache Control max age | WOFF/WOFF2 font files and the project CSS are cached locally by the browser using standard HTTP Cache Control headers to reduce repeat requests. This is not a cookie but it is the main client side persistence introduced by the service. |
| Fastly or Cloudflare edge cookies (conditional) | third party CDN | session to 1 year depending on CDN configuration | When Cloud.typography is fronted by Fastly or Cloudflare, those CDNs may set their own operational cookies (for example __cf_bm bot management or routing cookies) when challenging suspicious traffic. Exact names depend on the CDN configuration negotiated by Hoefler & Co. |
| typography.com session cookies (admin portal only) | first party (admin) | session | When a customer logs into the typography.com customer dashboard to manage projects, session cookies are set on the typography.com domain. These are not exposed to website visitors and only affect logged in subscribers managing their account. |
Cloud.typography est un service essentiel, mais la transparence compte. Gerez tous vos consentements avec FlowConsent.
Aucun par défaut. Cloud.typography livre un fichier CSS et des fichiers WOFF/WOFF2 sans cookies ni identifiants JavaScript. L'enjeu vie privée est l'adresse IP, l'User Agent et le Referer que chaque requête transmet aux serveurs de Hoefler & Co aux États Unis et à tout CDN intermédiaire comme Fastly ou Cloudflare.
Oui en lecture stricte. Le jugement LG München I du 20 janvier 2022 sur Google Fonts considère que la transmission de l'IP du visiteur à un serveur américain est un traitement de données personnelles nécessitant un consentement préalable. Cloud.typography suit le même schéma, donc il faut bloquer la balise link jusqu'à l'accord.
Le consentement au titre de l'article 6(1)(a) RGPD est la base la plus sûre après le jugement de Munich. L'intérêt légitime au titre de l'article 6(1)(f) est parfois invoqué mais il a été rejeté pour Google Fonts hébergé car une alternative auto hébergée existait. Le même raisonnement s'applique à Cloud.typography.
Oui. Hoefler & Co est une société américaine et ses points CDN (Fastly, Cloudflare) acheminent aussi le trafic via les États Unis. Chaque vue de page transmet l'IP, l'User Agent et le Referer à ces serveurs, donc les règles du chapitre V RGPD s'appliquent : CCT, cadre EU US DPF si certifié, et analyse de transfert.
Une AIPD complète n'est généralement pas requise pour un simple chargement de polices car il n'y a pas de suivi comportemental, mais un registre des traitements et une analyse de transfert sont recommandés. Documentez la base légale, les CCT avec Hoefler & Co et tout risque résiduel pour les visiteurs en Allemagne ou autres États stricts.
Conditionnez la balise link à une option de consentement granulaire et repliez vers les polices système en cas de refus. Mettez à jour la politique de confidentialité avec le contexte LG München I et le transfert vers les États Unis. Contrainte clé : Hoefler & Co n'autorise généralement pas l'auto hébergement sous l'abonnement standard, à négocier séparément si nécessaire.
Oui. Bunny Fonts basé en UE, Google Fonts auto hébergé, Fontshare de l'Indian Type Foundry, licences auto hébergées de Klim Type Foundry, Adobe Fonts (toujours hébergé aux États Unis avec des préoccupations similaires) et polices sous licence auto hébergées de fonderies indépendantes. Certains clients négocient aussi avec Hoefler & Co une licence d'auto hébergement sur mesure.
Ajoutez une section expliquant que le site charge des polices web depuis Hoefler & Co (Cloud.typography) aux États Unis, listez les données transmises (IP, User Agent, Referer), citez le jugement LG München I pour le contexte, nommez le mécanisme de transfert (CCT ou EU US DPF) et fournissez un lien clair pour retirer le consentement.