Privacy policy
Version of 21 October 2026. This translation is provided for convenience; the French version prevails.
1. Data controller
This policy describes how U+ TYPE, an SAS with a share capital of €7,000, registered with the Bobigny Trade and Companies Register under number 988 253 860, registered office 26 rue des 7 arpents, 93310 Le Pré-Saint-Gervais (“U+ TYPE”, “we”), processes the personal data of visitors and users of the Fontra Hive service (the “Service”).
For the management of the website, the accounts, the performance of the service and billing, U+ TYPE acts as data controller within the meaning of Regulation (EU) 2016/679 (“GDPR”), as detailed and presented in this Policy.
For the data of people invited by a client organization, school or foundry into its projects, U+ TYPE acts as that client's processor, under the conditions defined by the Data Processing Agreement (DPA); in that case, the client remains the data controller with respect to the people it invites. For an individual account (Free or Solo) that is not attached to any client organization, U+ TYPE remains the data controller for all the data processed in connection with that account, including the data relating to activity in its own projects.
You can contact us with any question about your data at info@uplustype.com.
2. Data we process, purposes and retention periods
The table below summarizes the categories of data processed, their purposes and the retention periods envisaged by U+ TYPE.
| Purpose | Data | Legal basis | Retention |
|---|
Enabling the creation of an account, signing in, sharing and use of the service
Sending service emails | Account data: username, email, display name, optional photo, password, organizations and roles | Performance of the contract (Article 6(1)(b) GDPR) | For as long as the account exists |
| Management of the service (in particular managing the history and enabling collaborative work) | Project data: author and date of each change and comment; activity in the editor. When the project belongs to a client organization, school or foundry, this processing is carried out by U+ TYPE as that organization's processor under the DPA; when the project belongs to an individual account, U+ TYPE acts as data controller. | Performance of the contract (Article 6(1)(b) GDPR) | For as long as the project exists |
| Showing active sessions, security | Session data: browser, dates of use | Legitimate interest in ensuring the security of the user's account (Article 6(1)(f) GDPR) | 30 days after last use |
| Security, limiting sign-in attempts, troubleshooting | Server logs: IP address, date, page requested | Legitimate interest in ensuring the security of the account, troubleshooting technical incidents and detecting fraudulent access attempts (Article 6(1)(f) GDPR) | 12 months |
| Answering and inviting people | Waiting list: email, and optionally name, foundry, message | Consent, or steps taken at the request of the person before entering into a contract (Article 6(1)(a) or (b) GDPR) | 12 months after the last contact |
| Sending the invitation link | Invitations: email of the invited person, identity of the person inviting, project concerned | Performance of the contract (Article 6(1)(b) GDPR) | Link valid for 7 days |
| Verifying the email address before an account is created | Sign-up requests awaiting verification: email address, username, name | Steps taken at the request of the person before entering into a contract (Article 6(1)(b) GDPR) | 3 days |
| Limiting the free trial to once per email address | Technical fingerprint of the email address (non-reversible value) | Legitimate interest in preventing circumvention of the free trial conditions (Article 6(1)(f) GDPR) | Three (3) years from the end of the trial period, including after the account is closed |
| Proof of acceptance of the contractual terms | Date of acceptance of the Terms of Use and of the Terms of Sale | Compliance with a legal obligation and legitimate interest in having proof of acceptance (Article 6(1)(c) and (f) GDPR) | For the life of the account, then kept until the applicable limitation periods have expired |
| Improving the service | Data relating to users' feedback (opinions) on the service | Legitimate interest in improving the service (Article 6(1)(f) GDPR) | Only for as long as necessary to take users' feedback into account |
| Managing payment for the service | Bank card data | Legitimate interest in enabling payment for the service (Article 6(1)(f) GDPR) | The data is kept in case of a possible dispute for 13 months after the debit date, or 15 months for deferred-debit cards
The security code is not kept once the transaction has been completed |
| Sales and billing | Billing: name, address, VAT number, invoices (the payment method stays with Stripe) | Compliance with a legal obligation (Article 6(1)(c) GDPR) | Periods applicable under accounting and tax law, up to 10 years |
| Connecting a project to an external Git repository | Linked GitHub account, if any: GitHub username, access tokens stored encrypted | Performance of the contract (Article 6(1)(b) GDPR) | Until the repository is disconnected |
| Keeping a log of the team's access to projects | Log of the team's access: date, person, project, reason | Legitimate interest in ensuring the traceability and control of team members' access to projects, in order to prevent unauthorized access and to be able to investigate in the event of a security incident (Article 6(1)(f) GDPR) | 12 months |
| Management of unpaid amounts and disputes | Data relating to claims and disputes (contact information, follow-up of the business relationship and bank details) | Legitimate interest in establishing proof of a right or of a contractual relationship (Article 6(1)(f) GDPR) | Until the applicable limitation periods or means of appeal have expired |
| Compliance with our legal obligations | Data relating to your identity, contact details, data relating to the business relationship and your requests, correspondence, acceptance of the Terms of Sale and/or the Terms of Use | Compliance with our legal obligations (Article 6(1)(c) GDPR) | Until the applicable limitation periods or means of appeal have expired |
| Setting cookies strictly necessary for signing in | Data related to the cookies and other trackers set on the site (strictly necessary cookies) | These cookies are strictly necessary to keep the user's session signed in and are, as such, exempt from prior consent under Article 82 of the French Data Protection Act (trackers strictly necessary for providing the service requested by the user). The processing of the data so collected is based, under the GDPR, on the legitimate interest in ensuring the technical operation of the Service (Article 6(1)(f) GDPR). | 15 minutes for the hive_access cookie
30 days for the hive_refresh cookie (renewed on each use)
30 days for the hive_signed_in cookie, which tells the pages that the person is signed in |
An account is closed on request to info@uplustype.com. The projects are deleted (after being downloaded, if so wished), then the account data is erased, including from the backups, no later than thirty days after closure. However, and in accordance with the table above, data may be kept in archives for management and evidence purposes in the event of a dispute or litigation, for the applicable limitation periods.
When using the services, the people who share a project with you can see your username, your display name, your profile photo, your presence in the editor, and your authorship of each change or comment you make. The people in charge of managing access to a project (managers and administrators) and the owners of an organization can also see the email address of the people whose access they manage.
3. Recipients and data transfers
| Provider | Service | Data | Location |
|---|
| Scaleway SAS (France) | Server, database, backups, sending emails | All Content and personal data | Paris; encrypted backups in Amsterdam |
| Stripe | Payment, VAT calculation, issuing invoices | Billing and payment data; no Content | European entity (Ireland), US group |
| GitHub or another Git host (if connected by the user) | Receiving the project voluntarily sent by the user | Content of the project sent and names of the authors of the changes | Depends on the chosen host, sometimes outside the European Union |
As Stripe belongs to a US group, some billing and payment data may be transferred outside the European Union to the United States. This transfer is governed by Stripe's certification under the Data Privacy Framework, a regime recognized as adequate by the European Commission in its Implementing Decision (EU) 2023/1795 of 10 July 2023.
Content and personal data are hosted within the European Union (Paris for the servers and the database, Amsterdam for the encrypted backups). No data is transferred outside the European Union by U+ TYPE, except the billing and payment data processed by Stripe (see the previous paragraph) and the Content that the user decides to send to an external Git repository hosted outside the Union.
Finally, in addition to the categories of recipients mentioned in the table above, we may also have to share your personal data (i) with competent administrative or judicial authorities, regulators or other public authorities, where applicable law requires it or in response to a valid legal request; (ii) with our lawyers, external advisers, auditors and other professional advisers, where necessary to handle disputes, claims or other legal or compliance matters; and (iii) with any other third party in connection with a transaction affecting our business (such as a merger, acquisition, restructuring, financing or sale of all or part of our business or assets), including in collective or similar proceedings, in which case your data may be transferred as a business asset. Where required by applicable law, such sharing of data may only take place with your explicit prior consent.
4. Your rights
In accordance with the GDPR and the amended French Act No. 78-17 of 6 January 1978, you have the right to access, rectify, erase, restrict, object to and port your data, as well as the right to set instructions regarding what happens to it after your death. You can exercise these rights by writing to info@uplustype.com.
You also have the right to lodge a complaint with a competent supervisory authority; in France, the CNIL.
5. Minors
Registration for the Service is open to minors aged fifteen (15) and over, acting alone. The registration of a minor under fifteen (15) is subject to the consent or prior authorization of the holder of parental authority. When an account is created in a school setting by an institution on behalf of a minor, that institution is responsible for opening the account.
6. Cookies
The Service uses three cookies strictly necessary for signing in, exempt from prior consent under the recommendations of the French data protection authority (Commission nationale de l'informatique et des libertés, CNIL) on cookies: hive_access, which expires after fifteen minutes; hive_refresh, which expires after thirty days and is renewed on each use; and hive_signed_in, which expires after thirty days and simply tells the pages that the person is signed in, without containing any value other than this indicator. The font editor also keeps certain display preferences locally in the user's browser. The site also keeps there, without using a cookie, the fact that the user has read the cookie information notice. The Service has no advertising tracker and no audience measurement tool.
The payment page, hosted by Stripe, uses its own cookies, governed by Stripe's privacy policy.
7. Changes to this policy
U+ TYPE may change this privacy policy. Any substantial change will be notified to you by email or by a visible notice on the Service before it takes effect.
8. Contact
For any question about this policy or the processing of your data, you can write to info@uplustype.com.
Politique de confidentialité
Version du 21 octobre 2026.
1. Le responsable de traitement de vos données
La présente politique décrit comment U+ TYPE, SAS au capital de 7 000 euros, immatriculée au RCS de Bobigny sous le numéro 988 253 860, siège social 26 rue des 7 arpents, 93310 Le Pré-Saint-Gervais (« U+ TYPE », « nous »), traite les données à caractère personnel des visiteurs et utilisateurs du service Fontra Hive (le « Service »).
Pour la gestion du site, les comptes, l'exécution du service, la facturation, U+ TYPE agit en qualité de responsable de traitement au sens du Règlement (UE) 2016/679 (« RGPD »), comme cela est détaillé et présenté dans la présente Politique.
Pour les données des personnes invitées par une organisation, une école ou une fonderie cliente dans ses projets, U+ TYPE agit en qualité de sous-traitant de ce client, dans les conditions définies par l'Accord de traitement des données (DPA) ; dans ce cas, c'est le client qui demeure responsable de traitement à l'égard des personnes qu'il invite. Pour un compte individuel (Free ou Solo) qui n'est rattaché à aucune organisation cliente, U+ TYPE demeure responsable de traitement pour l'ensemble des données traitées au titre de ce compte, y compris les données relatives à l'activité dans ses propres projets.
Vous pouvez nous contacter pour toute question relative à vos données à l'adresse info@uplustype.com.
2. Données que nous traitons, finalités et durées de conservation
Le tableau ci-dessous récapitule les catégories de données traitées, leurs finalités et les durées de conservation envisagées par U+ TYPE.
| Finalité | Catégorie de données | Base juridique | Conservation |
|---|
Afin de permettre la création, la connexion, le partage et l'utilisation du service
Envoi de mails de service | Données de compte : nom d'utilisateur, email, nom affiché, photo facultative, mot de passe, organisations et rôles | Exécution du contrat (article 6 (1) (b) RGPD) | Pendant toute la durée d'existence du compte |
| Gestion du service (notamment la gestion de l'historique et permettre le travail collaboratif) | Données liées aux projets : auteur et date de chaque modification et commentaire ; activité dans l'éditeur. Lorsque le projet appartient à une organisation, une école ou une fonderie cliente, ce traitement est réalisé par U+ TYPE en qualité de sous-traitant de cette organisation au titre du DPA ; lorsque le projet appartient à un compte individuel, U+ TYPE agit en qualité de responsable de traitement. | Exécution du contrat (article 6 (1) (b) RGPD) | Pendant toute la durée d'existence du projet |
| Affichage des connexions actives, sécurité | Données de sessions : navigateur, dates d'utilisation | Intérêt légitime d'assurer la sécurité du compte de l'utilisateur (article 6 (1) (f) RGPD) | 30 jours après la dernière utilisation |
| Sécurité, limitation des tentatives de connexion, diagnostic | Journaux techniques : adresse IP, date, page demandée | Intérêt légitime d'assurer la sécurité du compte et de pouvoir diagnostiquer des incidents techniques et détecter des tentatives d'accès frauduleuses (article 6 (1) (f) RGPD) | 12 mois |
| Répondre et inviter des personnes | Liste d'attente : email, et en option nom, fonderie, message | Consentement, ou mesures précontractuelles prises à la demande de la personne (article 6 (1) (a) ou (b) RGPD) | 12 mois après le dernier contact |
| Envoi du lien d'invitation | Invitations : email de la personne invitée, identité de l'invitant, projet concerné | Exécution du contrat (article 6 (1) (b) RGPD) | Lien valable 7 jours |
| Vérification de l'adresse email avant la création d'un compte | Demandes d'inscription en attente de vérification : adresse email, nom d'utilisateur, nom | Exécution de mesures précontractuelles prises à la demande de la personne (article 6 (1) (b) RGPD) | 3 jours |
| Limiter l'essai gratuit à une seule fois par adresse email | Empreinte technique de l'adresse email (valeur non réversible) | Intérêt légitime d'éviter le contournement des conditions de l'essai gratuit (article 6 (1) (f) RGPD) | Trois (3) ans à compter de la fin de la période d'essai, y compris après la fermeture du compte |
| Preuve de l'acceptation des conditions contractuelles | Date d'acceptation des CGU, des CGV | Respect d'une obligation légale et intérêt légitime de disposer d'une preuve de l'acceptation (article 6 (1) (c) et (f) RGPD) | Durée de vie du compte, conservée ensuite jusqu'à l'épuisement des délais de prescription applicables |
| Amélioration du service | Données relatives aux retours des utilisateurs (avis) sur le service | Intérêt légitime à améliorer le service (article 6 (1) (f) RGPD) | Uniquement pour la durée nécessaire à prendre en compte les avis des utilisateurs |
| Gestion du paiement du service | Données relatives à la carte bancaire | Intérêt légitime de permettre le paiement du service (article 6 (1) (f) RGPD) | Les données sont conservées en cas d'éventuelle contestation pour une durée de 13 mois suivant la date de débit ou de 15 mois pour les cartes de paiement à débit différé
Le cryptogramme n'est pas conservé une fois la transaction réalisée |
| Vente et facturation | Facturation : nom, adresse, numéro de TVA, factures (le moyen de paiement reste chez Stripe) | Respect d'une obligation légale (article 6 (1) (c) RGPD) | Durées applicables en matière comptable et fiscale, jusqu'à 10 ans |
| Connexion d'un projet à un dépôt git externe | Compte GitHub relié, le cas échéant : identifiant GitHub, jetons d'accès conservés chiffrés | Exécution du contrat (article 6 (1) (b) RGPD) | Jusqu'à la déconnexion du dépôt |
| Tenue d'un journal d'accès de l'équipe aux projets | Journal des accès de l'équipe : date, personne, projet, motif | Intérêt légitime de garantir la traçabilité et le contrôle des accès des membres d'une équipe aux projets, afin de prévenir les accès non autorisés et de pouvoir enquêter en cas d'incident de sécurité (article 6 (1) (f) RGPD) | 12 mois |
| Gestion des impayés et des contentieux | Données relatives aux réclamations et aux contentieux (information de contact, suivi de la relation commerciale et données bancaires) | Intérêt légitime d'établir la preuve d'un droit ou d'une relation contractuelle (article 6 (1) (f) RGPD) | Jusqu'à l'épuisement des délais de prescription applicables ou des voies de recours |
| Respect de nos obligations légales | Données relatives à votre identité, coordonnées de contact, données relatives à la relation commerciale et vos demandes, correspondance, acceptation des CGV et/ou des CGU | Respect de nos obligations légales (article 6 (1) (c) RGPD) | Jusqu'à l'épuisement des délais de prescription applicables ou des voies de recours |
| Dépôt de cookies strictement nécessaires à la connexion | Données liées aux cookies et autres traceurs déposés sur le site (cookies strictement nécessaires) | Ces cookies sont strictement nécessaires au maintien de la session de connexion de l'utilisateur et sont, à ce titre, dispensés du recueil préalable du consentement en application de l'article 82 de la loi Informatique et Libertés (traceurs strictement nécessaires à la fourniture du service demandé par l'utilisateur). Le traitement des données ainsi collectées repose, au titre du RGPD, sur l'intérêt légitime d'assurer le fonctionnement technique du Service (article 6 (1) (f) RGPD). | 15 minutes pour le cookie hive_access
30 jours pour le cookie hive_refresh (renouvellement à chaque utilisation)
30 jours pour le cookie hive_signed_in, qui indique aux pages que la personne est connectée |
La fermeture d'un compte s'effectue sur demande à info@uplustype.com. Les projets sont supprimés (après téléchargement si souhaité), puis les données de compte sont effacées, y compris des sauvegardes, au plus tard trente jours après la fermeture. Toutefois, et conformément au tableau ci-dessus, les données peuvent être conservées en archivage aux fins de gestion et de preuve en cas de litige ou contentieux, pour les délais de prescription applicables.
Dans le cadre de l'utilisation des services, les personnes qui partagent un projet avec vous peuvent voir votre nom d'utilisateur, votre nom affiché, votre photo de profil, votre présence dans l'éditeur, ainsi que votre qualité d'auteur de chaque modification ou commentaire que vous effectuez. Les personnes chargées de gérer les accès d'un projet (managers et administrateurs) ainsi que les propriétaires (« owners ») d'une organisation peuvent également voir l'adresse email des personnes dont ils gèrent les accès.
3. Destinataires et transferts de données
| Prestataire | Prestation | Données | Localisation |
|---|
| Scaleway SAS (France) | Serveur, base de données, sauvegardes, envoi des emails | Ensemble des Contenus et données personnelles | Paris ; sauvegardes chiffrées à Amsterdam |
| Stripe | Paiement, calcul de la TVA, émission des factures | Données de facturation et de paiement ; aucun Contenu | Entité européenne (Irlande), groupe américain |
| GitHub ou autre hébergeur git (si connecté par l'utilisateur) | Réception du projet envoyé volontairement par l'utilisateur | Contenu du projet envoyé et noms des auteurs des modifications | Variable selon l'hébergeur choisi, parfois hors de l'Union européenne |
Stripe appartenant à un groupe américain, certaines données de facturation et de paiement sont susceptibles d'être transférées hors de l'Union européenne à destination des États-Unis. Ce transfert est encadré par la certification de Stripe au titre du Data Privacy Framework, régime reconnu comme adéquat par la Commission européenne aux termes de sa décision d'exécution (UE) 2023/1795 du 10 juillet 2023.
Les Contenus et les données à caractère personnel sont hébergés au sein de l'Union européenne (Paris pour les serveurs et la base de données, Amsterdam pour les sauvegardes chiffrées). Aucune donnée n'est transférée hors de l'Union européenne par U+ TYPE, à l'exception des données de facturation et de paiement traitées par Stripe (voir paragraphe précédent) et des Contenus que l'utilisateur décide lui-même de transmettre vers un dépôt git externe hébergé hors de l'Union.
Enfin, en complément des catégories de destinataires mentionnées dans le tableau ci-dessus, nous pouvons également être amenés à transmettre vos données personnelles (i) aux autorités administratives ou judiciaires, organismes de régulation ou autres autorités publiques compétentes, lorsque la loi applicable l'exige ou en réponse à une demande légale valable ; (ii) à nos avocats, conseils externes, commissaires aux comptes et autres conseillers professionnels, lorsque cela est nécessaire à la gestion de litiges, de réclamations ou d'autres questions juridiques ou de conformité ; et (iii) à tout autre tiers dans le cadre d'une opération affectant notre entreprise (telle qu'une fusion, acquisition, restructuration, financement ou cession de tout ou partie de notre activité ou de nos actifs), y compris dans le cadre d'une procédure collective ou similaire, vos données étant alors susceptibles d'être transférées en tant qu'actif de l'entreprise. Lorsque cela est requis par la loi applicable, cette transmission de données ne pourra être réalisée qu'avec votre consentement explicite et préalable.
4. Vos droits
Conformément au RGPD et à la loi n° 78-17 du 6 janvier 1978 modifiée, vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation, d'opposition et de portabilité de vos données, ainsi que du droit de définir des directives relatives à leur sort après votre décès. Vous pouvez exercer ces droits en écrivant à info@uplustype.com.
Vous disposez également du droit d'introduire une réclamation auprès d'une autorité de contrôle compétente, en France, la CNIL.
5. Mineurs
L'inscription au Service est ouverte aux mineurs âgés de quinze (15) ans et plus, agissant seuls. L'inscription d'un mineur de moins de quinze (15) ans est subordonnée au consentement ou à l'autorisation préalable du titulaire de l'autorité parentale. Lorsqu'un compte est créé dans un cadre scolaire par un établissement pour le compte d'un mineur, cet établissement est responsable de l'ouverture du compte.
6. Cookies
Le Service utilise trois cookies strictement nécessaires à la connexion, dispensés du recueil du consentement préalable en application des recommandations de la Commission nationale de l'informatique et des libertés (CNIL) relatives aux cookies : hive_access, qui expire après quinze minutes ; hive_refresh, qui expire après trente jours et se renouvelle à chaque usage ; et hive_signed_in, qui expire après trente jours et indique simplement aux pages que la personne est connectée, sans contenir d'autre valeur que cet indicateur. L'éditeur de fontes conserve également certaines préférences d'affichage localement dans le navigateur de l'utilisateur. Le site y conserve aussi le fait que l'utilisateur a pris connaissance du bandeau d'information sur les cookies, sans recourir à un cookie. Le Service ne dispose d'aucun traceur publicitaire ni outil de mesure d'audience.
La page de paiement, hébergée par Stripe, utilise ses propres cookies, régis par la politique de confidentialité de Stripe.
7. Modification de la présente politique
U+ TYPE peut modifier la présente politique de confidentialité. Toute modification substantielle vous sera notifiée par email ou par une information visible sur le Service avant son entrée en vigueur.
8. Contact
Pour toute question relative à la présente politique ou au traitement de vos données, vous pouvez écrire à info@uplustype.com.
