Data processing agreement (DPA)
Version of 21 October 2026. This translation is provided for convenience; the French version prevails.
This Data Processing Agreement (“DPA”) is deemed accepted by any organisation, school or foundry that is a customer of U+ TYPE as soon as it accepts the Terms of Sale.
1. Parties and purpose
This DPA is entered into between, on the one hand, U+ TYPE, a SAS (simplified joint-stock company) with share capital of €7,000, registered with the Bobigny Trade and Companies Register under number 988 253 860, whose registered office is at 26 rue des 7 arpents, 93310 Le Pré-Saint-Gervais, France, acting as processor (the “Processor”), and, on the other hand, any business customer, organisation, school or foundry using the Fontra Hive service to invite natural persons into its projects or its organisation (the “Controller”).
The purpose of this DPA is to set out the conditions under which the Processor processes, on behalf of the Controller, the personal data of the natural persons whom the Controller invites into its projects or its organisation on the Fontra Hive service (the “Service”), as well as any personal data that may be contained in the fonts uploaded by the Controller, in accordance with Article 28 of Regulation (EU) 2016/679 of 27 April 2016 (the “GDPR”).
This DPA does not apply to processing for which U+ TYPE acts as controller, namely the management of the Fontra Hive website, the management of accounts, the security of the Service, the management of its billing and the management of the waiting list, which are described in the Privacy Policy. In particular, where an individual account (Free or Solo) is not attached to any customer organisation, U+ TYPE acts as controller for all data processed in connection with that account, including activity data in its own projects; this DPA then does not apply.
2. Description of the processing
Nature of the operations: hosting, storage, display to authorised persons, backup, conversion and compilation of the fonts and their metadata; keeping the history of changes with identification of their author; transmission to an external Git repository at the express request of the Controller.
Purpose of the processing: provision of the Service to the Controller, in particular collaborative work on font projects and the traceability of the contributions of each invited person.
Categories of data subjects: natural persons invited by the Controller into its projects or its organisation (staff, students, contractors), identified by their username, display name, email address and, where applicable, photo.
Categories of data processed: account identifiers (username, email, display name, optional photo); activity data in the projects (author and date of each change and comment, presence in the editor); email address of invited persons; where applicable, personal data contained in the fonts uploaded by the Controller.
Duration of the processing: for the entire term of the contract between the Controller and U+ TYPE, then until the data is returned or deleted in accordance with Article 9 of this DPA.
3. Obligations of the Processor
In accordance with Article 28(3) of the GDPR, the Processor undertakes to:
- process the personal data only on documented instructions from the Controller, including with regard to transfers of data to a third country, unless required to do otherwise by a legal obligation to which it is subject, in which case it informs the Controller of that obligation before the processing, unless the applicable law prohibits such information on important grounds of public interest;
- ensure that the persons authorised to process the personal data have committed themselves to confidentiality or are under an appropriate statutory obligation of confidentiality; on the date of signature of this agreement, only one person within U+ TYPE has access to the servers;
- implement the appropriate technical and organisational measures within the meaning of Article 32 of the GDPR, as described in Article 6 of this DPA;
- respect the conditions referred to in Articles 28(2) and 28(4) of the GDPR for engaging another processor (sub-processor), as specified in Article 4 of this DPA;
- taking into account the nature of the processing, assist the Controller by appropriate technical and organisational measures, insofar as possible, in fulfilling its obligation to respond to requests to exercise the data subjects’ rights laid down in Chapter III of the GDPR;
- assist the Controller in ensuring compliance with the obligations under Articles 32 to 36 of the GDPR (security, notification of breaches, impact assessments, prior consultation), taking into account the nature of the processing and the information available to the Processor;
- at the choice of the Controller, delete or return all the personal data after the end of the provision of the services relating to the processing, and destroy existing copies, unless Union or Member State law requires storage of the data;
- make available to the Controller all information necessary to demonstrate compliance with the obligations laid down in Article 28 of the GDPR and to allow for audits, under the conditions laid down in Article 7 of this DPA.
4. Sub-processors
The Controller gives the Processor general authorisation to engage the following sub-processors to carry out the processing:
| Sub-processor | Service | Data processed | Location |
|---|
| Scaleway SAS | Hosting of the servers and the database, backups, sending of emails | All Content and personal data | Paris (France); encrypted backups in Amsterdam (Netherlands) |
The Processor informs the Controller of any intended change concerning the addition or replacement of other sub-processors likely to have access to the Content, at least 15 days in advance, thereby giving the Controller the opportunity to object. Any objection must be notified in writing within that period and be based on a reasonable and documented ground relating to a risk to the protection of personal data. In the absence of a reasoned objection within that period, the new sub-processor is deemed accepted. In the event of a reasoned objection that the parties are unable to resolve within a reasonable time, the Controller may terminate the contract, without penalty but without refund of the sums already paid for past periods.
5. Transfers outside the European Union
The Content and the personal data processed under this DPA are hosted exclusively within the European Union (servers and database in Paris, encrypted backups in Amsterdam).
Otherwise, no data is transferred outside the European Union by the Processor, except where the Controller itself decides to link a project to an external Git repository hosted outside the Union, such transfer then being made on the initiative and under the sole responsibility of the Controller.
6. Security measures
The Processor implements, in particular, the following measures: encryption of connections; storage of passwords in hashed form; hosting of the database on a private network; verification of access rights by the server at every action; encrypted daily backup, kept for thirty days; access to the servers restricted to one named person, currently the president of U+ TYPE; logging of each access by the team to a project (date, person, project, reason) before the project is opened, under a written procedure governing the opening of a project, the provision of an extract to the owner and the steps to take in the event of an incident, kept for twelve (12) months.
The U+ TYPE team accesses a project only in the following cases: at the request of the Controller in order to assist it; where this is essential to the security or proper functioning of the Service (incident, restoration of a backup); or where required by law or a court decision, in which case the Processor informs the Controller unless prohibited by law. Automated operations (backup, conversion, compilation) are carried out without human intervention.
7. Audit
The Controller may request from the Processor the log of the team’s accesses to its projects.
Once a year and subject to thirty days’ written notice, the Controller may also verify the Processor’s compliance with its obligations under this DPA, exclusively in the following form: the Controller sends the Processor a questionnaire on the measures implemented under this DPA. The Processor undertakes to answer the Controller’s questions within 30 days of receipt of the questionnaire.
This right of verification does not include any right of physical access to the premises or systems of the Processor, or to the data centres operated by Scaleway, nor any right to have an audit carried out on site or by a third-party auditor appointed by the Controller.
The information thus provided is confidential and may be used by the Controller only for the purpose of verifying compliance with this DPA. If the Controller’s request exceeds once a year or imposes an unreasonable burden on the Processor, the Processor may charge the costs incurred in responding to it.
8. Notification of data breaches
In the event of a personal data breach affecting the data processed under this DPA, the Processor informs the Controller as soon as possible after becoming aware of it, providing the information available to it on the nature of the breach, the measures taken and the relevant recommendations, so as to enable the Controller to comply, where applicable, with its obligation under Article 33 of the GDPR to notify the supervisory authority within seventy-two hours. The Processor will also assist the Controller in fulfilling its obligation under Article 34 of the GDPR to inform data subjects in the event of a data breach.
9. Fate of the data at the end of the contract
At the written request of the Controller, the Processor provides it, within a reasonable time not exceeding thirty days, with the complete Git repository of a project with its history, or any other export in a standard open format offered by the Service. Any request for an export in a non-standard format may be charged additionally, corresponding to the costs reasonably incurred by the Processor. When a project is permanently deleted, it disappears from the Service and then from the backups no later than thirty days afterwards. If the subscription ends, the data is not deleted immediately: the account or organisation concerned becomes accessible in read-only mode and remains downloadable for twelve (12) months from the time it becomes read-only. At the end of that period and after prior notice sent by email to the Controller at least thirty days in advance, the Processor may permanently delete the data of an account or organisation that has remained inactive in read-only mode, under the same conditions as those laid down in the Terms of Use.
10. Liability
Each party is liable for the damage caused by the processing in the event of a breach of the GDPR obligations specifically incumbent on it under that regulation, in accordance with Article 82 of the GDPR. To the fullest extent permitted by applicable law, the Processor’s total liability under this DPA, for all causes combined, is capped at the total amount paid by the Controller under the service contract during the twelve months preceding the event giving rise to the damage, and the Processor is in no event liable for indirect damage, such as loss of turnover, customers, data (other than the personal data covered by this DPA) or profits. This cap and this exclusion do not apply in the event of gross negligence of the Processor, nor in cases where their limitation would be prohibited by a mandatory provision of the GDPR or of another applicable law.
11. Term
This DPA comes into force on the date on which the Controller accepts the Terms of Sale and remains applicable for the entire term of the service contract, as well as for the time needed to perform the obligations to delete or return the data laid down in Article 9.
Accord de traitement des données (DPA)
Version du 21 octobre 2026.
Le présent Accord de traitement des données (« DPA ») est réputé accepté par toute organisation, école ou fonderie cliente de U+ TYPE dès son acceptation des Conditions Générales de Vente.
1. Parties et objet
Le présent DPA est conclu entre, d’une part, U+ TYPE, SAS au capital de 7 000 euros, immatriculée au RCS de Bobigny sous le numéro 988 253 860, siège social 26 rue des 7 arpents, 93310 Le Pré-Saint-Gervais, agissant en qualité de sous-traitant (le « Sous-traitant »), et, d’autre part, tout client professionnel, organisation, école ou fonderie utilisant le service Fontra Hive pour inviter des personnes physiques dans ses projets ou son organisation (le « Responsable de traitement »).
Le présent DPA a pour objet de définir les conditions dans lesquelles le Sous-traitant traite, pour le compte du Responsable de traitement, les données à caractère personnel des personnes physiques que le Responsable de traitement invite dans ses projets ou son organisation sur le service Fontra Hive (le « Service »), ainsi que les données à caractère personnel susceptibles d’être contenues dans les fontes déposées par le Responsable de traitement, conformément à l’article 28 du Règlement (UE) 2016/679 du 27 avril 2016 (le « RGPD »).
Le présent DPA ne s’applique pas aux traitements pour lesquels U+ TYPE agit en qualité de responsable de traitement, à savoir la gestion du site web Fontra Hive, la gestion des comptes, la sécurité du Service, la gestion de sa facturation et la gestion de la liste d’attente, lesquels sont décrits dans la Politique de confidentialité. En particulier, lorsqu’un compte individuel (Free ou Solo) n’est rattaché à aucune organisation cliente, U+ TYPE agit en qualité de responsable de traitement pour l’ensemble des données traitées au titre de ce compte, y compris les données d’activité dans ses propres projets ; le présent DPA ne s’applique alors pas.
2. Description du traitement
Nature des opérations : hébergement, stockage, affichage aux personnes autorisées, sauvegarde, conversion et compilation des fontes et de leurs métadonnées ; tenue de l’historique des modifications avec identification de leur auteur ; transmission vers un dépôt git externe sur demande expresse du Responsable de traitement.
Finalité du traitement : fourniture du Service au Responsable de traitement, notamment le travail collaboratif sur des projets de fontes et la traçabilité des contributions de chaque personne invitée.
Catégories de personnes concernées : personnes physiques invitées par le Responsable de traitement dans ses projets ou son organisation (collaborateurs, étudiants, prestataires), identifiées par leur nom d’utilisateur, nom affiché, adresse email et, le cas échéant, photo.
Catégories de données traitées : identifiants de compte (nom d’utilisateur, email, nom affiché, photo facultative) ; données d’activité dans les projets (auteur et date de chaque modification et commentaire, présence dans l’éditeur) ; adresse email des personnes invitées ; le cas échéant, données à caractère personnel contenues dans les fontes déposées par le Responsable de traitement.
Durée du traitement : pendant toute la durée du contrat liant le Responsable de traitement à U+ TYPE, puis jusqu’à restitution ou suppression des données conformément à l’article 9 du présent DPA.
3. Obligations du Sous-traitant
Conformément à l’article 28 (3) du RGPD, le Sous-traitant s’engage à :
- ne traiter les données à caractère personnel que sur instruction documentée du Responsable de traitement, y compris en ce qui concerne les transferts de données vers un pays tiers, sauf obligation légale contraire à laquelle il est soumis, auquel cas il informe le Responsable de traitement de cette obligation avant le traitement, sauf si le droit applicable interdit une telle information pour des motifs importants d’intérêt public ;
- veiller à ce que les personnes autorisées à traiter les données à caractère personnel s’engagent à respecter la confidentialité ou soient soumises à une obligation légale appropriée de confidentialité ; au jour de la signature de cet accord, une seule personne au sein de U+ TYPE dispose d’un accès aux serveurs ;
- mettre en œuvre les mesures techniques et organisationnelles appropriées au sens de l’article 32 du RGPD, telles que décrites à l’article 6 du présent DPA ;
- respecter les conditions visées aux articles 28 (2) et 28 (4) du RGPD pour recourir à un autre sous-traitant (sous-traitant ultérieur), telles que précisées à l’article 4 du présent DPA ;
- compte tenu de la nature du traitement, aider le Responsable de traitement, par des mesures techniques et organisationnelles appropriées et dans la mesure du possible, à s’acquitter de son obligation de donner suite aux demandes d’exercice des droits des personnes concernées prévues au chapitre III du RGPD ;
- aider le Responsable de traitement à garantir le respect des obligations prévues aux articles 32 à 36 du RGPD (sécurité, notification des violations, analyses d’impact, consultation préalable), compte tenu de la nature du traitement et des informations à la disposition du Sous-traitant ;
- au choix du Responsable de traitement, supprimer ou restituer toutes les données à caractère personnel à l’issue de la fourniture des services relatifs au traitement, et détruire les copies existantes, sauf si le droit de l’Union ou le droit d’un État membre impose la conservation des données ;
- mettre à la disposition du Responsable de traitement toutes les informations nécessaires pour démontrer le respect des obligations prévues à l’article 28 du RGPD et pour permettre la réalisation d’audits, dans les conditions prévues à l’article 7 du présent DPA.
4. Sous-traitants ultérieurs
Le Responsable de traitement autorise généralement le Sous-traitant à recourir aux sous-traitants ultérieurs suivants pour l’exécution du traitement :
| Sous-traitant ultérieur | Prestation | Données traitées | Localisation |
|---|
| Scaleway SAS | Hébergement des serveurs et de la base de données, sauvegardes, envoi des emails | Ensemble des Contenus et données personnelles | Paris (France) ; sauvegardes chiffrées à Amsterdam (Pays-Bas) |
Le Sous-traitant informe le Responsable de traitement de tout changement prévu concernant l’ajout ou le remplacement d’autres sous-traitants susceptibles d’avoir accès aux Contenus, au moins 15 jours à l’avance, donnant au Responsable de traitement la possibilité d’émettre des objections. Toute objection doit être notifiée par écrit dans ce délai et être fondée sur un motif raisonnable et documenté tenant à un risque pour la protection des données à caractère personnel. À défaut d’objection motivée dans ce délai, le nouveau sous-traitant ultérieur est réputé accepté. En cas d’objection motivée que les parties ne parviennent pas à résoudre dans un délai raisonnable, le Responsable de traitement peut résilier le contrat, sans pénalité mais sans remboursement des sommes déjà versées au titre des périodes échues.
5. Transferts hors de l’Union européenne
Les Contenus et les données à caractère personnel traitées au titre du présent DPA sont hébergés exclusivement au sein de l’Union européenne (serveurs et base de données à Paris, sauvegardes chiffrées à Amsterdam).
Autrement, aucune donnée n’est transférée hors de l’Union européenne par le Sous-traitant, excepté lorsque le Responsable de traitement décide lui-même de relier un projet à un dépôt git externe hébergé hors de l’Union, ce transfert étant alors effectué à l’initiative et sous la seule responsabilité du Responsable de traitement.
6. Mesures de sécurité
Le Sous-traitant met en œuvre notamment les mesures suivantes : chiffrement des connexions ; conservation des mots de passe sous une forme hachée ; hébergement de la base de données sur un réseau privé ; vérification des droits d’accès par le serveur à chaque action ; sauvegarde chiffrée quotidienne, conservée trente jours ; accès aux serveurs réservé à une personne nommément désignée, à ce jour le président de U+ TYPE ; journalisation de chaque accès de l’équipe à un projet (date, personne, projet, motif) avant l’ouverture du projet, selon une procédure écrite encadrant l’ouverture d’un projet, la remise d’un extrait au propriétaire et la conduite à tenir en cas d’incident, conservée douze (12) mois.
L’équipe de U+ TYPE n’accède à un projet que dans les cas suivants : à la demande du Responsable de traitement pour l’assister ; lorsque cela est indispensable à la sécurité ou au bon état du Service (incident, restauration d’une sauvegarde) ; ou lorsque la loi ou une décision de justice l’impose, auquel cas le Sous-traitant en informe le Responsable de traitement sauf si la loi l’interdit. Les opérations automatisées (sauvegarde, conversion, compilation) s’effectuent sans intervention humaine.
7. Audit
Le Responsable de traitement peut demander au Sous-traitant le journal des accès de l’équipe à ses projets.
Une fois par an et moyennant un préavis écrit de trente jours, le Responsable de traitement peut en outre vérifier le respect par le Sous-traitant de ses obligations au titre du présent DPA, exclusivement sous la forme suivante : la transmission par le Responsable de traitement d’un questionnaire au Sous-traitant, portant sur les mesures mises en œuvre au titre du présent DPA. Le Sous-traitant s’engage à apporter les réponses aux questions du Responsable de traitement dans un délai de 30 jours après réception du questionnaire.
Ce droit de vérification ne comprend aucun droit d’accès physique aux locaux ou aux systèmes du Sous-traitant, ni aux centres de données exploités par Scaleway, ni aucun droit de faire réaliser un audit sur place ou par un auditeur tiers mandaté par le Responsable de traitement.
Les informations ainsi communiquées sont confidentielles et ne peuvent être utilisées par le Responsable de traitement qu’aux fins de vérification du respect du présent DPA. Si la demande du Responsable de traitement excède une fois par an ou impose une charge déraisonnable au Sous-traitant, celui-ci peut facturer les frais engendrés pour y répondre.
8. Notification des violations de données
En cas de violation de données à caractère personnel affectant les données traitées au titre du présent DPA, le Sous-traitant en informe le Responsable de traitement dans les meilleurs délais après en avoir pris connaissance, en lui communiquant les informations dont il dispose sur la nature de la violation, les mesures prises et les recommandations utiles, afin de permettre au Responsable de traitement de respecter, le cas échéant, son obligation de notification à l’autorité de contrôle dans un délai de soixante-douze heures prévue à l’article 33 du RGPD. Le Sous-traitant assistera également le Responsable de traitement à s’acquitter de son obligation relative à l’information des personnes en cas de violation de données prévue à l’article 34 du RGPD.
9. Sort des données en fin de contrat
À la demande écrite du Responsable de traitement, le Sous-traitant lui remet, dans un délai raisonnable n’excédant pas trente jours, le dépôt git complet d’un projet avec son historique, ou toute autre exportation dans un format ouvert standard proposé par le Service. Toute demande d’exportation dans un format non standard pourra faire l’objet d’une facturation complémentaire correspondant aux frais raisonnablement exposés par le Sous-traitant. Lorsqu’un projet est définitivement supprimé, il disparaît du Service puis des sauvegardes au plus tard trente jours après. En cas de cessation de l’abonnement, les données ne sont pas supprimées immédiatement : le compte ou l’organisation concerné devient accessible en lecture seule et reste téléchargeable pendant douze (12) mois à compter de ce passage en lecture seule. Le Sous-traitant peut, à l’issue de ce délai et après notification préalable par email adressée au Responsable de traitement au moins trente jours à l’avance, supprimer définitivement les données d’un compte ou d’une organisation demeuré inactif en lecture seule, dans les mêmes conditions que celles prévues par les CGU.
10. Responsabilité
Chacune des parties est responsable des dommages causés par le traitement en cas de manquement aux obligations du RGPD qui lui incombent spécifiquement en vertu de ce règlement, conformément à l’article 82 du RGPD. Dans toute la mesure permise par le droit applicable, la responsabilité totale du Sous-traitant au titre du présent DPA, toutes causes confondues, est plafonnée au montant total payé par le Responsable de traitement au titre du contrat de prestation de services au cours des douze mois précédant le fait générateur du dommage, et le Sous-traitant n’est en aucun cas responsable des dommages indirects, tels que la perte de chiffre d’affaires, de clientèle, de données (autres que les données à caractère personnel visées par le présent DPA) ou de profits. Ce plafond et cette exclusion ne s’appliquent pas en cas de faute lourde du Sous-traitant, ni dans les cas où leur limitation serait interdite par une disposition impérative du RGPD ou d’une autre loi applicable.
11. Durée
Le présent DPA entre en vigueur à la date d’acceptation des CGV par le Responsable de traitement et demeure applicable pendant toute la durée du contrat de prestation de services, ainsi que pendant la durée nécessaire à l’exécution des obligations de suppression ou de restitution des données prévues à l’article 9.
