Politique de confidentialité de Tregom

Version 1.0 · Adoptée le 16 août 2026 · S’applique à la version 3.15.0 de l’app et aux versions ultérieures

---

La réponse courte

Si vous utilisez l’app gratuitement, nous n’envoyons rien nulle part. Il n’existe aucun compte, aucune connexion et aucun serveur vers lequel envoyer quoi que ce soit. Tout ce que fait l’enfant — chaque mot, chaque médaille, chaque série — se trouve sur l’appareil et y reste. Nous ne pouvons pas le voir, parce que nous ne le recevons jamais.

Ce n’est ni un hasard ni un état provisoire. C’est le choix de conception le plus important de toute l’app, et il a été fait parce que l’app est utilisée par des enfants de trois à douze ans. Un enfant de moins de 13 ans (16 en Allemagne, 14 en Autriche) ne peut consentir lui-même à quoi que ce soit, et la manière la plus simple de traiter correctement les données personnelles d’un enfant, c’est de ne pas en avoir.

Si vous achetez la version complète, vous créez un seul compte — le vôtre, pas celui de l’enfant. Nous avons besoin de votre adresse e-mail pour rattacher l’achat à vous et pour synchroniser la progression entre les appareils de la famille. L’enfant n’a toujours qu’un surnom que vous choisissez vous-mêmes. Nous ne demandons jamais le nom complet, la date de naissance, l’âge, l’adresse e-mail ni la position de l’enfant.

Le reste de ce document, ce sont les détails.

---

1. Qui est le responsable du traitement

Écrivez-nous au sujet de n’importe quel point de ce document. Nous répondons en norvégien, en allemand, en anglais, en albanais et en français, dans un délai d’un jour ouvré pour les questions ordinaires et au plus tard sous 30 jours pour les demandes formelles au titre du chapitre III du RGPD.

---

2. La version gratuite : aucune donnée personnelle ne quitte l’appareil

Sans achat, l’app n’effectue aucun appel réseau vers nous, absolument aucun. Ni au démarrage, ni pendant l’utilisation, ni en arrière-plan.

Tout le contenu — 957 mots, 186 phrases, 36 lettres, 1175 clips audio et 957 dessins — se trouve dans l’app dès le premier démarrage. Rien n’est téléchargé. L’app est complète en mode avion.

Voici ce qui est enregistré localement sur l’appareil, dans le localStorage du navigateur et — dans la version application — recopié dans le stockage de clés propre au système d’exploitation, afin que la progression survive à un nettoyage d’espace par le système :

Nous ne sommes pas responsables du traitement de ces données, parce que nous n’y avons pas accès et n’en décidons pas. Elles sont à vous, sur votre appareil, au même titre qu’une photo que vous avez prise. Si vous désinstallez l’app, elles disparaissent.

Le code PIN à quatre chiffres ne quitte jamais l’appareil. Pas même lorsque vous achetez la version complète. Voir le point 5.

---

3. À l’achat : un seul compte, et il vous appartient

Le compte apparaît à un seul endroit et une seule fois : lorsqu’un adulte a résolu le calcul du portail parental et choisi d’acheter. Il n’y a aucun bouton de connexion sur l’écran d’accueil, aucun « inscrivez-vous », et rien sur les comptes ou les prix où que ce soit dans l’interface de l’enfant.

La connexion se fait par lien magique. Vous indiquez votre adresse e-mail, recevez un lien, appuyez dessus. Aucun mot de passe. Aucun « Se connecter avec Google », « Se connecter avec Facebook » ni « Se connecter avec Apple » — nous n’avons aucune connexion via des tiers, et ne partageons donc rien avec un quelconque fournisseur d’identité.

3.1 Ce que nous traitons, pourquoi, et sur quelle base

3.2 Aucune décision automatisée, aucun profilage au sens de la loi

L’app s’adapte à l’enfant : les mots acquis reviennent plus rarement, les mots non acquis reviennent plus souvent, et l’objectif du jour monte ou descend un peu selon ce que l’enfant parvient à faire. Tout ce calcul s’exécute sur l’appareil, dans engine/srs.js et engine/mastery.js, à partir de nombres qui se trouvent dans le profil. Nous n’utilisons aucun modèle central, aucune comparaison entre enfants, et aucune donnée provenant d’autres sources. Il n’en résulte aucune décision produisant des effets juridiques à l’égard de l’enfant ou l’affectant de manière significative de façon similaire, cf. l’article 22.

---

4. Ce que nous ne collectons jamais

Ce n’est pas une formule de politesse. Chaque point est un champ qui n’existe pas dans la base de données, et l’app vous montre la même liste dans l’espace parents.

• Le code PIN de l’enfant. Voir le point 5.
• La date de naissance ou l’âge. Nulle part dans le formulaire.
• Le nom complet de l’enfant. Nous demandons un surnom, et le disons en toutes lettres à la création du profil. Le champ est en texte libre et limité à 14 caractères ; nous ne pouvons pas empêcher quelqu’un d’écrire autre chose, mais nous ne le demandons pas et n’en avons pas besoin.
• L’adresse e-mail de l’enfant. Les enfants n’ont pas de compte ici.
• La position. L’app ne demande jamais les services de localisation. La version web le bloque en plus avec Permissions-Policy: geolocation=().
• Micro, caméra, photos ou contacts. Le mode « Dis-le à voix haute » invite l’enfant à parler — mais l’app n’écoute pas. Il n’existe aucune fonction d’enregistrement ni aucune reconnaissance vocale. L’enfant dit le mot à la pièce ; l’app n’entend rien.
• Identifiant publicitaire (IDFA/AAID) ou suivi entre apps. Nous ne demandons jamais l’autorisation App Tracking Transparency, parce que nous n’avons rien pour quoi la demander.
• Outils d’analyse tiers. Aucun Firebase Analytics, Google Analytics, Mixpanel, Amplitude, PostHog, Segment ni SDK d’attribution. Aucun rapport de plantage envoyé à des tiers.
• Publicité. Aucun SDK publicitaire, aucune publicité, jamais.
• Cookies de suivi. L’app n’en dépose aucun. La Content-Security-Policy de la version web utilise connect-src 'self', ce qui rend en pratique impossible pour l’app d’appeler un tiers, même si quelqu’un essayait.

---

5. Le code PIN n’est jamais stocké chez nous — pas même haché

Vous pouvez donner à un profil d’enfant un code PIN à quatre chiffres. Il protège contre une seule chose : qu’une grande sœur prenne l’iPad et chamboule le profil de la petite. La menace est dans la pièce, et elle se résout par le fait que l’appareil connaît le code.

Nous ne le stockons donc pas. Ni en clair, ni sous forme de hachage. Le serveur sait seulement qu’un PIN existe, pour que l’app puisse signaler sur un nouvel appareil qu’il faudrait en définir un là aussi.

La raison pour laquelle nous ne nous contentons pas de le hacher : l’espace de clés est de 10 000. Un hachage offre un délai face à un attaquant qui possède déjà la base de données, pas de la sécurité — et il devrait s’exécuter chaque fois qu’un enfant se trompe et réessaie. Stocker le code aurait ajouté une surface d’attaque sur des données d’enfants sans améliorer ce pour quoi il existe. L’article 5(1)(c) du RGPD sur la minimisation des données pointe dans la même direction.

C’est appliqué en quatre couches, pas une : le client omet le champ quand le profil est découpé, la fonction d’enregistrement du serveur le retire, un déclencheur de base de données rejette toute ligne contenant pin, pinHash ou pin_hash — y compris venant de notre propre rôle d’administrateur — et l’import depuis l’ancien système ne l’emporte pas. Des tests automatisés vérifient que le mot n’apparaît dans aucune ligne de la base de données.

Le prix honnête : un iPad neuf affiche le profil déverrouillé jusqu’à ce qu’un adulte y définisse un PIN. Nous pensons que c’est le bon échange.

---

6. Où se trouvent les données, et qui les traite

Toutes les données sont stockées dans l’UE — Francfort, Allemagne (eu-central-1). La région est verrouillée à la création du projet et ne peut pas être changée sans tout déplacer à la main. L’app vous affiche la région dans l’espace parents, lue depuis le serveur, pour qu’aucun texte périmé ne puisse rester.

Sous-traitants et destinataires — nommés

La liste, en vigueur à tout moment, des propres sous-traitants ultérieurs de Supabase fait partie de leur accord de sous-traitance. supabase.com/legal/customer-resources/subprocessor-list — dernière mise à jour par Supabase le 1er juin 2026, contrôlée par nous le 11 août 2026. Nous la vérifions à chaque publication de la présente politique.

6.1 Apple et Google sont le vendeur, pas nous

Si vous achetez via l’App Store ou Google Play, c’est Apple ou Google qui est le vendeur (merchant of record). Ils encaissent le paiement, collectent et reversent la TVA, et détiennent la relation client pour la facturation.

Nous ne recevons jamais votre numéro de carte, votre numéro de compte bancaire ni votre adresse de facturation. Nous recevons un reçu avec un identifiant de transaction, un nom de produit et une date d’expiration.

La manière dont Apple et Google traitent vos données en tant que vendeur relève de leur propre responsabilité et est régie par leurs propres politiques de confidentialité.

6.2 Microsoft n’est pas un sous-traitant pour nous

Les clips audio de l’app ont été produits à l’avance, avec Microsoft Azure AI Speech, avant la publication de l’app. Ce qui a été envoyé à Microsoft, c’est la liste de mots albanaise — aucune donnée d’utilisateur, parce qu’il n’y avait pas encore d’utilisateurs.

L’app ne contient aucun service vocal et n’effectue aucun appel vers Microsoft pendant l’utilisation. Les clips sont des fichiers dans l’app.

La voix du narrateur est une voix de synthèse, pas un être humain. Nous le disons parce que les conditions de Microsoft exigent que cela soit indiqué — et parce qu’elles demandent expressément que l’information soit donnée aux parents quand le produit s’adresse aux enfants, afin que vous puissiez faire un choix éclairé au nom de l’enfant. La voix est claire, amicale et générée par une machine.

---

7. Transferts hors de l’EEE

Les données sont stockées dans l’UE. Mais deux de nos prestataires sont des sociétés américaines, et leur personnel peut, dans des cas de support, accéder à des données situées à Francfort. Cela compte comme un transfert.

Le transfert repose sur les clauses contractuelles types de l’UE (SCC), modules deux et trois, telles qu’elles sont intégrées dans l’accord de sous-traitance de Supabase, version 1 du 1er août 2026. Nous avons en outre évalué le besoin de mesures supplémentaires, et les mesures mises en place sont documentées dans notre programme de sécurité écrit.

Vous pouvez demander une copie des garanties en nous écrivant.

---

8. Combien de temps nous conservons les données

L’article 5(1)(e) du RGPD et la règle américaine COPPA telle que modifiée en 2025 exigent tous deux des délais concrets. « Aussi longtemps que nécessaire » n’est pas une réponse. Voici les chiffres.

---

9. Ce qui se passe quand l’abonnement expire

Rien de ce que l’enfant a accompli ne disparaît.

Il n’existe dans la base de données aucun lien du droit d’utilisation vers la progression — c’est une séparation délibérée, pas un hasard. Un abonnement qui expire ferme une porte ; il ne vole pas.

• Les médailles, l’XP, la série, la répétition et le niveau de maîtrise restent tels quels.
• Les catégories gratuites fonctionnent comme avant, indéfiniment.
• Les catégories hors du niveau gratuit deviennent inaccessibles. Elles ne sont pas affichées avec un cadenas dans l’interface de l’enfant — elles n’y sont simplement pas, parce que le § 20 de la loi norvégienne sur le contrôle du marketing interdit les incitations à l’achat adressées aux enfants.
• Votre compte reste en place, pour qu’un nouvel achat rétablisse l’accès immédiatement, et pour que la synchronisation entre les appareils continue de fonctionner.
• Après 730 jours sans connexion, le compte est supprimé automatiquement, comme décrit au point 8. Vous pouvez le supprimer à tout moment avant cela.

L’app a en plus une fenêtre de grâce de 14 jours pour les appareils qui n’arrivent pas à nous joindre — mode avion, la montagne, la route du Kosovo sans couverture. L’app croit alors la dernière réponse qu’elle a reçue. Un non du serveur, en revanche, s’applique immédiatement.

---

10. Vos droits, et comment les exercer réellement

Vous avez le droit d’accès (art. 15), de rectification (16), à l’effacement (17), à la limitation (18), à la portabilité des données (20) et d’opposition (21). Là où nous nous fondons sur l’intérêt légitime — les lignes 6, 7, 8 et 10 du tableau ci-dessus — vous pouvez vous opposer, et nous devons alors démontrer que nos raisons pèsent plus lourd que les vôtres.

Vous exercez ces droits au nom de votre enfant pour ce qui concerne l’enfant.

Comment faire dans l’app

1. Touchez Pour les parents sur l’écran d’accueil.
2. Résolvez le calcul. (Le portail existe pour qu’un enfant ne puisse pas faire cela. Il est régénéré à chaque fois, et la solution ne figure jamais dans l’écran.)
3. Touchez 🔐 Vos données. L’écran montre deux choses, et il les distingue :

• Voici ce qui se trouve sur cet appareil — et cela y est, que vous ayez un compte ou non : le surnom et le symbole animal de chaque enfant, combien de mots et de phrases ont été travaillés, l’XP et les médailles, si l’enfant a un code à quatre chiffres, les réglages de l’appareil, et combien de kilooctets tout cela occupe au total.
• Votre compte, si vous en avez un : votre adresse e-mail, quand le compte a été créé, le surnom et le symbole animal de chaque enfant, quand le profil a été modifié pour la dernière fois, combien d’octets la progression occupe, quel abonnement vous avez, dans quelle région se trouvent les données, et la propre liste du serveur de ce qu’il ne stocke pas.

Les boutons, avec le nom qu’ils portent réellement à l’écran :

• ⬇️ Télécharger les données vous donne un seul fichier avec tout ce que l’app a enregistré sur l’appareil, et — si vous avez un compte — la copie du serveur à côté. Le format est celui que l’app utilise elle-même, si bien que le fichier sert aussi de sauvegarde. Les codes à quatre chiffres des enfants n’y sont pas.
• 🗑️ Tout supprimer sur cet appareil retire chaque chose que l’app a enregistrée ici, et redémarre l’app comme une installation neuve. Si vous n’avez pas de compte — et au niveau gratuit vous n’en avez pas — c’est la suppression qui vous concerne, et elle est complète : il n’existe aucune copie ailleurs.
• 🗑️ Supprimer le compte et tout ce qu’il contient ne s’affiche que lorsque vous êtes connecté. Sont alors supprimés le compte, tous les profils d’enfants, toute la progression, le droit d’utilisation et les reçus, en une seule opération, sur tous les appareils. L’identifiant de connexion disparaît sous 30 jours. C’est irréversible.

Les deux suppressions exigent que vous écriviez le mot SUPPRIMER dans un champ. Un bouton peut être pressé par accident, et « êtes-vous sûr ? » avec deux boutons est précisément le dialogue que l’on traverse sans le lire.

Le même écran contient la politique de confidentialité en texte dans l’app (📄 La politique de confidentialité) et l’avis de confidentialité propre à l’enfant (🧒 Pour l’enfant : ce que l’application sait de toi). Les deux fonctionnent sans réseau.

Comment faire par e-mail

Écrivez à [email protected] depuis l’adresse e-mail à laquelle le compte est enregistré. Nous répondons sous 30 jours. Si la demande est complexe, nous pouvons prolonger de deux mois et, dans ce cas, vous en informons dans le premier mois. Si nous ne pouvons pas confirmer que c’est bien vous, nous devons demander quelque chose de plus — nous ne demandons jamais de pièce d’identité à un enfant.

Si vous n’êtes pas satisfait de la manière dont nous avons traité votre demande, vous pouvez adresser une réclamation :

Norvège — Datatilsynet Postboks 458 Sentrum, 0105 Oslo [email protected] · +47 22 39 69 00 · datatilsynet.no

Si vous vivez dans un autre pays de l’EEE, vous pouvez adresser une réclamation à l’autorité de contrôle de votre lieu de résidence. Pour l’Allemagne, il s’agit de l’autorité de protection des données de votre Land ; pour l’Autriche, de la Datenschutzbehörde.

---

11. Sécurité

Version courte. Le programme de sécurité complet et écrit est remis à l’autorité de contrôle sur demande.

• Aucun serveur d’application entre l’app et la base de données. L’accès est régi par la sécurité au niveau des lignes dans la base de données : un parent connecté voit son propre compte et rien d’autre. Les règles sont écrites une seule fois et éprouvées par un fichier de test écrit comme un attaquant — SQL brut, identifiants devinés, appels sur les enfants d’autrui, session non connectée. 43 assertions, et chacune est une tentative qui doit échouer.
• Personne ne peut écrire son propre droit d’utilisation. Tout ce qui touche au paiement passe par le serveur.
• Limitation de débit par compte, aussi en lecture, pour qu’un compte ne puisse pas extraire des données indéfiniment ni bloquer une autre famille.
• Tout passe par HTTPS. La version web a une Content-Security-Policy stricte qui bloque complètement les appels vers des tiers.
• Les codes PIN n’existent pas sur le serveur. Voir le point 5.
• Sauvegardes sauvegarde quotidienne avec sept jours de conservation.

Si une violation survient malgré tout et qu’elle est susceptible d’engendrer un risque pour les droits de l’enfant, nous la signalons à Datatilsynet dans un délai de 72 heures, et à vous directement si le risque est élevé.

---

12. Enfants et consentement

L’app est conçue pour des enfants d’environ trois à douze ans, et vendue aux parents.

L’âge auquel un enfant peut consentir lui-même à un service numérique est de 13 ans en Norvège, de 16 ans en Allemagne et de 14 ans en Autriche. Chaque enfant qui utilise l’app est en dessous du seuil de son propre pays.

Nous construisons donc de telle sorte que le consentement de l’enfant ne soit jamais nécessaire. Le compte est celui du parent, le contrat est conclu avec le parent, et la seule chose que l’enfant apporte est un surnom choisi par la famille et une progression dans une app d’entraînement. Notre base est le contrat avec le parent, pas le consentement de l’enfant, cf. l’article 8 du RGPD.

Nous avons écrit un avis de confidentialité distinct pour l’enfant, en phrases courtes et avec des images, qui peut être lu à voix haute. Ce n’est pas un résumé du présent document — il est écrit pour un autre lecteur. Le code britannique de conception adaptée à l’âge (Age Appropriate Design Code) exige précisément cela.

Et : il n’y a rien dans l’interface de l’enfant qui parle d’argent. Aucun prix, aucun cadenas avec un prix derrière, aucun « demande à maman ». Le contenu hors du niveau gratuit n’est pas caché — il n’y est pas. C’est plus strict que ce qu’Apple exige, et c’est parce que le § 20 de la loi norvégienne sur le contrôle du marketing interdit à la fois les incitations à l’achat adressées aux enfants et les incitations à faire pression sur un adulte.

---

13. Impression, papier et la mission du jour

Le rapport de progression, les cartes de mots, la liste de mots et le diplôme sont générés dans le navigateur, sur votre propre appareil, à partir de données qui s’y trouvent déjà. Rien n’est envoyé à un serveur, et nous n’utilisons aucun service PDF. Si vous imprimez un diplôme avec le surnom de l’enfant, c’est votre imprimante qui le reçoit, pas nous.

La mission du jour — « dis un mot à grand-mère » — est choisie par l’appareil à partir de la date et des mots que l’enfant a rencontrés. Personne ne contrôle la case cochée, et elle n’est envoyée nulle part.

---

14. Modifications de la présente politique

Si nous modifions quelque chose d’important, nous mettons à jour le numéro de version en haut et le signalons dans l’app à la prochaine ouverture de l’espace parents. Si la modification exige votre consentement, nous demandons avant qu’elle n’entre en vigueur. Les versions antérieures sont disponibles sur demande.

---

Annexe : les droits dans l’app, avec les noms techniques

Pour qui veut vérifier que tout cela est exact, ou rédige un accord de sous-traitance avec nous :

Le registre des activités de traitement au titre de l’article 30 se trouve dans docs/juridisk/06-ropa.md. L’analyse d’impact relative à la protection des données au titre de l’article 35 se trouve dans docs/juridisk/03-dpia.md. Les deux sont remis à l’autorité de contrôle sur demande.