Politique de confidentialité — application Heitini

Version 5 — applicable à l’application mobile Heitini (Android et iOS). Dernière mise à jour : 5 septembre 2026.

Cette politique concerne l’application Heitini. Le site heitini.com et sa liste d’attente sont couverts par une politique distincte.

Heitini est une application éducative bilingue français / tahitien (reo Tahiti) pour les enfants dès 3 ans. La protection des données des enfants n’est pas un chapitre de cette politique : c’est la façon dont l’application est construite. Elle fonctionne sans compte, sans connexion et sans réseau, et n’envoie aucune donnée de l’enfant tant qu’un parent n’a pas donné un consentement explicite.

Qui sommes-nous

Heitini est éditée par Thomas Cesar, personne physique établie en Suisse, connue commercialement sous le nom Heilume Studio. Contact, et point d’entrée unique pour toute demande relative à vos données : contact@heilume.com.

En résumé

Ce qui reste sur l’appareil (mode par défaut)

À l’installation, la sauvegarde en ligne est désactivée. Tout ce que fait l’enfant reste dans le stockage local de l’application :

• le prénom choisi (12 caractères maximum — un pseudonyme convient parfaitement) et l’avatar dessiné (couleur de peau, genre, coiffure : un dessin, jamais une photo) ;
• la progression pédagogique : points d’expérience, étoiles, modules terminés, mots appris, niveau choisi par module ;
• la collection d’Arikis (les créatures du jeu) et les récompenses quotidiennes ;
• un journal d’activité pédagogique (voir plus bas) ;
• le décompte de la session du jour (activités terminées, minutes de jeu, jour en cours) ;
• un journal technique des erreurs rencontrées par l’application : version, écran concerné, nature et message de l’erreur, date, nombre d’occurrences — au plus 40 erreurs différentes, sans progression, et lisible en entier dans l’Espace Parent. Nous n’y écrivons jamais le prénom de l’enfant et masquons automatiquement ceux que l’appareil connaît, mais un message d’erreur est du texte libre : c’est pourquoi il ne part jamais tout seul — seul un adulte, après l’avoir lu, peut choisir de l’envoyer (ou l’effacer) ;
• si un parent en crée un : un profil parent local — prénom, empreinte du code PIN et empreinte de l’année de naissance, calculées sur l’appareil (PBKDF2). Ni le PIN ni l’année ne sont stockés en clair, et ils ne sont jamais envoyés à nos serveurs, jamais inclus dans l’export de données.

Une exception qui ne vient pas de nous : la sauvegarde du système

Sur Android, le système d’exploitation propose une sauvegarde automatique des applications vers le compte Google du propriétaire de l’appareil. Lorsqu’elle est active côté système, elle peut inclure les données locales de Heitini décrites ci-dessus. Cette copie appartient à Google et au compte du parent : nous n’y avons aucun accès, elle n’aboutit sur aucun de nos serveurs, et nous ne pouvons ni la lire ni l’effacer.

Pour la désactiver ou la supprimer, il faut passer par les réglages du téléphone (Système → Sauvegarde) ou par le compte Google associé.

Ce qui est envoyé, uniquement avec le consentement d’un parent

La sauvegarde en ligne est facultative. Elle s’active dans l’Espace Parent, derrière un verrou parental, par un consentement explicite, horodaté, et renouvelé tous les 12 mois. Sans renouvellement, la synchronisation s’arrête d’elle-même.

Une fois activée, sont synchronisés :

• le profil : prénom, avatar, langue secondaire choisie, série de jours consécutifs, horodatage et version du consentement ;
• la progression : expérience et niveau par langue, étoiles gagnées et dépensées, modules terminés, mots appris, niveaux de difficulté choisis ;
• la collection d’Arikis et l’état de la récompense quotidienne ;
• la mémorisation espacée : pour chaque mot ou notion travaillé, la date de la prochaine révision et le nombre de réussites ;
• le journal d’activité pédagogique : une ligne par événement, horodatée, parmi application ouverte, module ouvert, module quitté (avec sa durée en secondes), module terminé, réponse (module concerné, élément travaillé, juste ou faux), étoile gagnée, Ariki éclos, erreur technique de l’application (un identifiant d’écran et un type d’erreur, jamais de message libre ni de trace de plantage). Ce journal alimente uniquement le tableau de bord du parent ; il est purgé automatiquement au-delà de 2 ans.

L’application conserve au plus 2 000 événements en attente sur l’appareil ; au-delà, les plus anciens sont abandonnés.

Le classement des jeux d’arcade

Les quatre jeux d’arcade (Saut de Lianes, Tour Infinie, Casse-Assiettes, Course de Va’a) ont un classement public. Si — et seulement si — la sauvegarde en ligne est active, le meilleur score de l’enfant y est publié avec un pseudonyme. Ce pseudonyme n’a aucun rapport avec le prénom saisi : il est tiré d’une liste fermée de quarante prénoms polynésiens (Moana, Hina, Teiva, Tiare…), attribué de façon stable à partir de l’identifiant de compte. L’enfant se reconnaît d’une partie à l’autre, mais personne ne peut le nommer. Le prénom que vous saisissez ne quitte jamais l’appareil par ce chemin. Rien d’autre ne figure au classement : ni identifiant de compte, ni âge, ni progression, ni aucune information permettant de contacter l’enfant.

Il n’y a donc rien à faire pour empêcher le prénom d’apparaître : il n’apparaît pas. Si vous préférez que l’enfant ne figure pas du tout au classement, laissez la sauvegarde en ligne désactivée.

Le compte du parent

Un parent peut relier un compte pour retrouver la progression sur un autre appareil, par Apple, Google ou une adresse e-mail. Nous recevons alors l’adresse e-mail du parent et son nom public — rien d’autre du profil. Aucune donnée de l’enfant n’est partagée avec Apple ni avec Google. Avec « Se connecter avec Apple », le parent peut choisir de masquer son adresse : nous ne recevons qu’une adresse relais fournie par Apple, jamais l’adresse réelle.

L’appairage par code, et ce qu’il crée avant tout consentement

Pour relier un appareil d’enfant à un compte parent, l’application affiche un code à usage unique. Ce mécanisme crée deux choses côté serveur, et nous préférons les décrire que les taire :

• Un compte technique anonyme est créé pour l’appareil dès la première ouverture, avant toute connexion et avant tout consentement. Il ne porte aucune donnée personnelle — ni prénom, ni adresse, ni contenu d’apprentissage — seulement un identifiant aléatoire qui permet de rattacher plus tard la progression au bon appareil. Sans consentement parental, rien d’autre n’y est jamais écrit.
• Un registre des tentatives d’appairage conserve, pendant une durée courte, les essais de saisie d’un code : la date, l’appareil concerné et le fait que l’essai ait réussi ou non. Il existe pour une seule raison — empêcher qu’on devine un code en l’essayant en boucle — et il est purgé automatiquement.

Ni l’un ni l’autre ne contient de donnée d’apprentissage, et la suppression du compte les efface avec le reste.

Le microphone et le jeu « Dire »

Un jeu, et un seul, demande le microphone : « Dire », où l’enfant répète à voix haute un mot qu’il vient d’entendre. Disons-le sans détour : l’application accède au micro de l’appareil. Ce qui compte n’est donc pas de nier cet accès, mais de dire ce qui arrive au son — et ce qui n’arrive pas.

• La voix est analysée sur l’appareil, par un moteur installé dans l’application (Vosk, un logiciel libre). Le son ne part sur aucun réseau. Nous ne le recevons pas, aucun prestataire ne le reçoit, et aucune autre application de l’appareil ne le reçoit : Heitini n’utilise pas le service de dictée du téléphone, qui aurait transmis la voix de l’enfant à un autre logiciel pour la transcrire.
• Rien n’est conservé. Le son n’est écrit dans aucun fichier, ni temporaire ni définitif ; il vit en mémoire le temps que l’enfant parle, puis disparaît. La durée de conservation de la voix est nulle — il n’y a pas de délai d’effacement parce qu’il n’y a rien à effacer. Le texte reconnu est oublié avec la manche. Ce qui subsiste est ce que garde n’importe quel autre jeu : « mot réussi » ou « mot manqué ».
• Le moteur ne transcrit pas librement. À chaque tour, il ne connaît que la courte liste des mots possibles de ce tour : une conversation d’adultes en arrière-plan ne produit aucun texte.
• Le fichier de langue (environ 41 Mo) est téléchargé une fois depuis notre hébergeur de contenu, puis conservé sur l’appareil. Il est identique pour tous ; rien de ce que dit l’enfant ne remonte par ce chemin, ni par aucun autre.
• Sans micro, on joue quand même. Le jeu « Dire » reste affiché, grisé, avec la mention « Micro nécessaire ». Tous les autres jeux fonctionnent normalement. L’autorisation est demandée à l’ouverture de ce jeu — jamais au lancement de l’application — et se retire à tout moment dans les réglages du téléphone, sans rien perdre de la progression.

Ce que nous ne collectons jamais

Photographie, enregistrement de la voix, localisation, contacts, calendrier, fichiers de l’appareil, identifiant publicitaire, identifiant de l’appareil, historique de navigation, coordonnées bancaires. Le micro fait l’objet de la section ci-dessus : l’application y accède pour un seul jeu, n’enregistre rien et ne transmet rien.

Sur Android, l’application déclare cinq permissions, et une seule est sensible : l’accès à Internet, la lecture de l’état de la connexion réseau, le téléchargement en arrière-plan, la vibration (retour tactile des boutons), et le micro. Ce dernier est le seul à faire l’objet d’une demande à l’écran, au moment où l’enfant ouvre le jeu qui en a besoin. La fonctionnalité micro est par ailleurs déclarée non requise : un appareil qui n’en a pas peut installer l’application.

Où vivent les données

• Les données de profil, de progression et d’activité sont hébergées chez Supabase, sur des serveurs situés dans l’Union européenne (Dublin). Le transfert est chiffré (HTTPS/TLS).
• Les images, sons et animations du jeu (environ 500 Mo, téléchargés après l’installation pour alléger celle-ci) sont servis par Cloudflare R2. Il s’agit de contenu de jeu public, identique pour tous : ce téléchargement ne transmet aucune donnée de profil, d’usage ou d’activité. Comme toute connexion Internet, il implique l’adresse IP technique nécessaire à l’acheminement — traitée sur la base de la nécessité du service, et non du consentement.

Supabase et Cloudflare agissent pour notre compte et n’ont aucun droit d’usage propre sur ces données.

Base légale

La sauvegarde en ligne repose sur le consentement explicite d’un parent ou tuteur légal (article 8 du RGPD), recueilli derrière un verrou parental, horodaté et renouvelé tous les 12 mois. Le fonctionnement local de l’application ne repose sur aucune collecte. La livraison du contenu de jeu repose sur la nécessité du service.

Durée de conservation

• Journal d’activité pédagogique : 2 ans, purge continue au-delà.
• Comptes inactifs depuis plus de 2 ans : suppression automatique et définitive.
• Données locales : conservées tant que l’application est installée, ou jusqu’à suppression par le parent.

Vos droits

Depuis l’Espace Parent de l’application, à tout moment et sans nous écrire :

• consulter et exporter toutes les données (fichier JSON lisible) ;
• retirer le consentement — la synchronisation cesse immédiatement ;
• supprimer définitivement le compte et les données serveur.

La marche à suivre pour la suppression est décrite pas à pas sur la page Supprimer le compte Heitini.

Pour toute autre demande (accès, rectification, opposition, limitation) : contact@heilume.com. Vous pouvez également saisir l’autorité de protection des données de votre pays de résidence — en France, la CNIL (cnil.fr).

Enfants

L’application s’adresse à des enfants qui ne peuvent pas consentir eux-mêmes. C’est pourquoi aucune donnée ne quitte l’appareil sans l’action explicite d’un adulte, vérifiée par un verrou parental. Les fonctions réservées aux adultes (compte, données, documents, offre d’abonnement) vivent toutes derrière ce verrou. Aucune sollicitation commerciale n’est adressée à l’enfant, et aucun lien vers l’extérieur ne lui est accessible.

Abonnement

À ce jour, aucun abonnement n’est ouvert : aucun achat n’est possible dans l’application et aucun prestataire de paiement ne traite de données pour Heitini.

Le décompte de la session du jour (activités terminées, minutes vues, jour en cours) est de la donnée d’usage de l’enfant : il est traité exactement comme le reste, c’est-à-dire conservé sur l’appareil et jamais transmis sans consentement parental. Il n’existe aucun compteur côté serveur.

À l’ouverture des abonnements, la transaction sera traitée par Apple ou Google, jamais par nous : nous ne recevrons ni coordonnées bancaires, ni adresse de facturation, ni identité de l’acheteur — uniquement l’information « cet appareil a un abonnement actif ou non », rattachée à un identifiant technique d’achat fourni par la plateforme, jamais au prénom, au profil ni à la progression de l’enfant. Cette section sera mise à jour à ce moment-là, avec le nom du prestataire de vérification des reçus, sa base légale et son hébergement, et le consentement parental sera à nouveau sollicité.

Modifications

Toute modification substantielle de cette politique invalide le consentement précédent : la synchronisation se met en pause jusqu’à ce qu’un parent consente à la nouvelle version.