Politique de confidentialité — Mathéquête

Application : Mathéquête
Identifiant Android : com.coresrdi.mathequete
Site web : mathequete.pages.dev
Éditeur : Jeff Gravel (Québec, Canada)
Marque : CORES RDI / coresrdi
Date d'entrée en vigueur : 15 mai 2026
Dernière mise à jour : 15 mai 2026
Version précédente : 12 mai 2026

1. Qui sommes-nous

Mathéquête est développée par Jeff Gravel, développeur indépendant établi au Québec, Canada, sous la marque CORES RDI (coresrdi). Le présent document décrit les pratiques de confidentialité applicables à l'application mobile Mathéquête distribuée sur Google Play Store sous l'identifiant com.coresrdi.mathequete, à la version Windows/Apple, et au site web mathequete.pages.dev.

2. Public visé — application pour enfants

Mathéquête est conçue spécifiquement pour un public d'enfants âgés de 4 à 12 ans. À ce titre, nous nous conformons strictement à :

• la Children's Online Privacy Protection Act (COPPA) des États-Unis ;
• le Règlement général sur la protection des données (RGPD) de l'Union européenne, incluant les dispositions spéciales pour les mineurs (RGPD-K) ;
• la Loi 25 du Québec sur la protection des renseignements personnels dans le secteur privé ;
• la Politique relative aux applications destinées aux familles de Google Play.

En conséquence : aucune publicité ciblée, aucun identifiant publicitaire, aucune analyse comportementale, aucun partage avec des tiers à des fins marketing.

3. Données que l'application collecte

3.1 Données 100 % locales par défaut

Mathéquête fonctionne par défaut entièrement en local sur l'appareil. Les données générées par l'utilisation du jeu (profils enfants, progression, scores, choix de personnages, statistiques de jeu) sont stockées dans la mémoire interne de l'appareil. Elles ne quittent l'appareil que dans les cas précis et opt-in décrits en §3.4 ci-dessous.

3.2 Données stockées localement

L'application enregistre sur l'appareil :

• les profils d'enfants créés par le parent (prénom uniquement, optionnel) ;
• la progression de jeu (niveaux complétés, ennemis capturés, récompenses) ;
• les préférences (langue, son, choix de personnage, skins) ;
• l'identifiant école optionnel (nom du prof + numéro de classe, saisi par le parent dans le profil de l'enfant — voir §3.4) ;
• le statut d'achat et le code de licence (vérifié hors-ligne grâce à une signature cryptographique HMAC-SHA256).

Ces données sont chiffrées localement à l'aide d'AES-256-CBC avec authentification HMAC-SHA256. Elles peuvent être effacées à tout moment depuis l'écran « Gérer les profils » du jeu, ou en désinstallant l'application.

3.3 Aucun identifiant publicitaire

Mathéquête n'utilise pas l'identifiant publicitaire Android (AAID / com.google.android.gms.permission.AD_ID) et ne lit aucun identifiant matériel persistant (IMEI, MAC, etc.).

3.4 Données envoyées via Internet — strictement opt-in

Internet est utilisé par Mathéquête dans trois situations précises, chacune liée à une action volontaire du parent, du prof ou de l'élève :

A) Activation de licence (1 seule fois, au moment où vous tapez votre code)

Lorsque vous activez un code de licence acheté en ligne, l'application envoie au serveur Mathéquête (mathequete-api.coresrdi.workers.dev, hébergé chez Cloudflare) :

• le code de licence (ex. MQ-CONT-X7K9-RP2M-8VHD-3NQF) ;
• un identifiant anonyme d'appareil (hash SHA-256 d'un identifiant local non personnel — pas l'IMEI, pas le numéro de téléphone) ;
• le système d'exploitation (Windows, Android, ou Apple) ;
• un horodatage UTC.

Le serveur répond OK/refus et enregistre l'activation pour limiter le nombre d'appareils actifs par code (1 pour une licence individuelle ou un code du Pack 5, N pour une licence école). Vous pouvez libérer un appareil à tout moment depuis le menu Réglages → Licence du jeu, ce qui supprime l'enregistrement côté serveur et permet de réactiver sur un autre appareil.

B) Vérification périodique de licence (transparent, hors-ligne après activation)

Une fois activée, la licence est vérifiée hors-ligne par signature HMAC sans appel réseau. L'application contacte le serveur uniquement à intervalles espacés (typiquement quelques fois par mois) pour :

• détecter si la licence a été libérée depuis un autre appareil (cas du transfert) ;
• recevoir les mises à jour de catalogue d'îles bonus annoncées par CORES RDI.

Aucune donnée personnelle n'est envoyée lors de ces vérifications, seulement le code de licence et l'identifiant anonyme d'appareil.

C) Synchronisation prof (totalement opt-in, le parent ou le prof choisit le mode)

Cette synchronisation est désactivée par défaut. Elle s'active uniquement si :

1. le parent saisit un nom de prof et un numéro de classe dans le profil de l'enfant (section « Identifiant pour l'école »), et
2. l'utilisateur choisit l'un des trois modes de synchronisation suivants :
   • Mode 1 — Automatique : une fois à chaque ouverture du jeu, en arrière-plan ;
   • Mode 2 — Sur demande : une fenêtre demande la permission à chaque ouverture ;
   • Mode 3 — Manuel : aucune synchronisation automatique, le parent ou l'élève appuie sur un bouton « 🔄 » pour déclencher l'envoi.

Lorsqu'une synchronisation prof est déclenchée, l'application envoie au serveur :

• un identifiant global de l'élève = prénom + initiale du nom + année de naissance (saisis par le parent, jamais le nom complet ni la date complète) ;
• le nom du prof et le numéro de classe saisis par le parent ;
• des statistiques agrégées de progression : nombre d'épreuves complétées par île, taux de réussite par opération mathématique (addition, soustraction, etc.), temps moyen de réponse, points faibles détectés ;
• aucune capture d'écran, aucun enregistrement vocal, aucune position GPS, aucune information sur les autres applications de l'appareil.

Le prof peut consulter ces statistiques agrégées dans son tableau de bord (application Mathéquête Prof) pour adapter ses cours. Le parent peut désactiver à tout moment la synchronisation (passer en Mode 3 manuel ou retirer le nom du prof), ce qui efface l'identifiant école côté appareil et stoppe les envois.

4. Permissions Android demandées

4.1 Permission CAMERA (android.permission.CAMERA)

La permission caméra est demandée au moment où l'enfant active la fonctionnalité de scan QR (et non au démarrage de l'application). Elle peut être refusée ou révoquée à tout moment depuis les paramètres Android, sans empêcher le reste du jeu de fonctionner.

4.2 Permission ACCÈS INTERNET (android.permission.INTERNET)

L'application demande la permission Internet pour quatre usages strictement limités :

1. Validation des achats Google Play Billing (achats intégrés Android) ;
2. Activation de licence auprès du serveur Mathéquête chez Cloudflare (voir §3.4-A) ;
3. Vérification périodique de licence + mises à jour de catalogue (voir §3.4-B) ;
4. Synchronisation prof — opt-in uniquement (voir §3.4-C).

Aucune autre communication réseau n'est effectuée par Mathéquête. Si vous bloquez l'accès Internet à l'application dans les paramètres Android, le jeu reste pleinement fonctionnel après une première activation — seules les synchronisations prof et les mises à jour de catalogue sont désactivées.

5. Achats — Stripe et Google Play Billing

Mathéquête propose deux canaux d'achat selon votre plateforme :

5.1 Achats sur le site web mathequete.pages.dev (PC, ou Android via navigateur)

Les paiements sont traités par Stripe Inc. (États-Unis). Lors d'un achat :

• vous saisissez vos informations de paiement directement sur le site Stripe Checkout — Mathéquête / CORES RDI ne voit jamais votre numéro de carte de crédit ;
• Stripe nous transmet uniquement votre adresse courriel (pour l'envoi du code de licence) et votre nom (facultatif, pour le reçu) ;
• les taxes québécoises (TPS 5 %, TVQ 9,975 %) sont calculées et collectées automatiquement par Stripe Tax.

Politique de confidentialité Stripe : stripe.com/privacy.

Une fois le paiement confirmé, votre code de licence est envoyé par courriel via Resend (service d'envoi transactionnel basé aux États-Unis). Politique : resend.com/legal/privacy-policy.

5.2 Achats intégrés Android (Google Play Billing)

Pour les achats effectués depuis l'application Android :

• les transactions sont gérées exclusivement par Google Play Billing ;
• nous ne voyons jamais les informations de paiement ;
• conformément à la politique Play Family, tout achat doit être autorisé par un parent via le contrôle parental Google Play.

6. Partage avec des tiers

Nous ne vendons, ne louons et ne partageons aucune donnée d'utilisateur à des fins marketing. Les tiers techniquement impliqués dans le fonctionnement de Mathéquête sont :

Aucun SDK d'analytique tiers (Google Analytics, Firebase Analytics, Facebook SDK, Unity Ads, AdMob, etc.) n'est intégré à l'application.

7. Sécurité

Les données stockées localement sur l'appareil sont chiffrées (AES-256-CBC + HMAC-SHA256). Toute communication réseau effectuée par l'application est protégée par TLS / HTTPS. Les codes de licence sont signés cryptographiquement (HMAC-SHA256 avec une clé secrète de 256 bits détenue uniquement par CORES RDI), ce qui permet leur vérification hors-ligne sans appel réseau.

Le serveur d'activation Cloudflare Workers est hébergé sur l'infrastructure de Cloudflare, certifiée ISO 27001 / SOC 2. La base de données D1 est répliquée géographiquement et chiffrée au repos.

8. Droits des utilisateurs et des parents

Conformément au RGPD, à la Loi 25 du Québec et à la COPPA, vous (et le parent/tuteur légal d'un enfant utilisateur) disposez des droits suivants :

• Droit d'accès : toutes les données du jeu sont visibles dans l'écran « Gérer les profils ». Pour obtenir une copie des données stockées côté serveur (activations de licence, statistiques prof synchronisées), écrivez à coresrdi@gmail.com.
• Droit de rectification : les profils, prénoms, identifiants école et préférences sont modifiables à tout moment dans le jeu.
• Droit à l'effacement : suppression d'un profil dans « Gérer les profils », désinstallation de l'application, ou demande écrite à coresrdi@gmail.com pour effacer les statistiques côté serveur.
• Droit à la portabilité : sur demande, nous exportons vos données dans un format machine (JSON ou CSV).
• Droit d'opposition : la synchronisation prof est opt-in et désactivable à tout moment. Aucune donnée n'est jamais utilisée pour du profilage publicitaire.
• Droit de retrait du consentement : pour la synchronisation prof, sélectionner « Mode 3 — Manuel » et ne plus déclencher manuellement l'envoi, ou retirer le nom du prof dans le profil de l'enfant.

Pour exercer ces droits ou poser toute question relative à la confidentialité :

9. Conservation des données

Localement (sur l'appareil) : tant que l'application est installée. Effacement automatique lors de la désinstallation ou de la suppression d'un profil.

Côté serveur Cloudflare :

• Activations de licence : conservées tant que la licence est valide (à vie pour individuelle/Pack 5, 12 mois pour les licences école).
• Statistiques prof synchronisées : conservées 1 année scolaire (10 mois) puis automatiquement archivées et anonymisées.
• Données d'achat Stripe (factures) : conservées 7 ans conformément aux obligations comptables de Revenu Québec / ARC.
• Courriels envoyés via Resend : conservés 30 jours pour audit, puis effacés.

10. Transferts internationaux

Mathéquête utilise des services hébergés hors du Canada pour certaines fonctions :

• Cloudflare opère un réseau mondial de datacenters. Les données du serveur Mathéquête peuvent transiter ou être traitées dans des datacenters situés aux États-Unis, en Europe ou ailleurs. Cloudflare adhère aux Clauses Contractuelles Types de l'UE (CCT) et au Data Privacy Framework UE-US pour les transferts hors UE.
• Stripe traite les paiements aux États-Unis. Stripe adhère aux mêmes cadres légaux (CCT, DPF).
• Resend envoie les courriels depuis les États-Unis.

Conformément au RGPD article 46 et à la Loi 25 du Québec, ces transferts s'appuient sur des garanties contractuelles (Standard Contractual Clauses) qui imposent un niveau de protection équivalent au droit européen / québécois.

11. Modifications de la présente politique

Tout changement substantiel (par exemple l'ajout d'une nouvelle catégorie de données collectées) sera signalé par :

• une mise à jour de la date « Dernière mise à jour » en haut du document ;
• un courriel à l'adresse associée à votre licence Stripe, si applicable ;
• une annonce sur le site mathequete.pages.dev.

L'historique complet des modifications est public sur notre dépôt GitHub coresrdi/mathequete-privacy.

12. Loi applicable

La présente politique est régie par les lois de la Province de Québec, Canada. Tout litige relatif à cette politique sera soumis à la juridiction des tribunaux compétents de Québec.