Politique de confidentialité

ExploraCité

Dernière mise à jour : 9 octobre 2026

L'essentiel :

ExploraCité ne contient aucune publicité et ne vend jamais vos données.

Votre position GPS sert uniquement à valider votre présence aux arrêts du parcours et n'est jamais transmise à nos serveurs.

La connexion à un compte est facultative : vous pouvez jouer en mode invité.

Vos photos et vos préférences restent sur votre appareil. Sur Android, votre progression aussi ; sur iOS, avec un compte Apple connecté, une copie de votre progression est sauvegardée auprès du service ExploraCité.

Un avis sur un parcours ne devient public que si vous le publiez. Des compteurs anonymes, sans aucun identifiant, mesurent la fréquentation des parcours ; les statistiques détaillées sont facultatives et désactivées par défaut.

1. Introduction

ExploraCité est un jeu d'exploration urbaine offert sur deux plateformes :

Android (identifiant com.exploracite.app), publiée sur Google Play ;
iOS (identifiant com.karimond.exploracite), publiée sur l'App Store.

Les deux applications sont développées par l'équipe ExploraCité (Greg Chiocca et Karim Nicolas Émond, Québec, Canada). La présente politique couvre les deux plateformes et décrit quelles données sont traitées, pourquoi, et quels sont vos droits. En cas de différence entre les plateformes, elle est indiquée explicitement.

2. Compte et connexion (facultatif)

Vous pouvez utiliser ExploraCité sans aucun compte, en mode invité : votre progression reste alors sur votre appareil et vous pouvez lire les avis publics. Si vous choisissez de vous connecter :

Android : connexion avec votre compte Google. L'application reçoit un identifiant de compte, votre nom d'affichage et votre adresse courriel, conservés sur l'appareil dans un stockage chiffré pour afficher votre compte. Sur Android, le compte sert uniquement aux avis publics : la connexion Google ne sauvegarde ni ne synchronise votre progression, qui reste sur l'appareil.
iOS : connexion avec votre compte Apple (Sign in with Apple). L'application reçoit un identifiant de compte et, au premier accès seulement, le nom et le courriel que vous acceptez de partager ; ils restent sur votre appareil. Sur iOS, le compte sert à la sauvegarde de votre progression (ci-dessous) et aux avis publics.

Dans les deux cas, le jeton d'identité Google ou les justificatifs de connexion Apple sont transmis par HTTPS au service de compte ExploraCité, hébergé chez Cloudflare, pour vérifier votre identité. Le service associe un identifiant dérivé de cette identité vérifiée à votre compte, sans enregistrer votre nom, votre courriel ni le jeton reçu, puis ouvre une session privée de 30 jours dont il ne garde qu'une empreinte. Sur Android, cette session est conservée dans un stockage chiffré exclu de la sauvegarde et du transfert d'appareil. Les comptes Apple et Google restent distincts, même avec la même adresse courriel, et ne sont jamais fusionnés. Vous pouvez vous déconnecter à tout moment dans les réglages de l'application.

Sauvegarde de la progression (iOS seulement)

Sur iOS, la sauvegarde du compte contient la progression des parcours et énigmes, les brouillons de réponse, les badges, les récompenses, ainsi que les notes et commentaires que vous avez enregistrés. Elle permet de retrouver cette progression en vous reconnectant au même compte Apple sur un autre iPhone. Vos photos et leurs chemins de fichiers ne sont pas envoyés. Elle fonctionne indépendamment du consentement aux statistiques. En mode invité, la progression reste locale. Une panne réseau conserve la progression sur l'appareil et reporte la synchronisation. Cette sauvegarde n'existe pas sur Android.

Avis publics sur les parcours

La lecture des avis est accessible à tous, y compris sans compte, sur iOS et Android. Choisir des étoiles ou écrire un commentaire crée seulement un brouillon privé sur votre appareil. Lorsque vous touchez « Publier mon avis », après connexion (Apple sur iOS, Google sur Android), le service ExploraCité hébergé chez Cloudflare conserve la note, le commentaire facultatif, le parcours, la date et la plateforme de publication (iOS ou Android), ainsi que le pseudonyme que vous choisissez pour votre compte. Ces éléments sont publics : le pseudonyme est affiché sur vos avis. Votre nom, votre courriel et votre identifiant de connexion ne sont jamais affichés. Le pseudonyme est choisi une seule fois et ne peut pas être modifié ensuite ; un pseudonyme contraire aux règles (propos haineux, injurieux ou sexuels, usurpation) peut être retiré par ExploraCité, vos avis restant alors affichés sous « Explorateur » jusqu'au choix d'un nouveau pseudonyme. Il est supprimé avec le compte. Évitez d'inclure des renseignements personnels dans votre commentaire.

L'identifiant dérivé du compte permet de retrouver, modifier ou retirer votre avis, y compris après une réinstallation ; l'application garde sur l'appareil une copie de vos notes publiées pour les afficher dans le passeport. Les avis publiés sont conservés jusqu'à leur retrait ou la suppression du compte. La déconnexion et la désinstallation ne les retirent pas. Le formulaire d'avis du parcours permet de retirer un avis ; la suppression du compte retire tous ses avis publics.

Les anciennes notes et les commentaires enregistrés localement ou dans une sauvegarde privée ne sont jamais publiés automatiquement. La publication des avis, la sauvegarde de progression iOS et les statistiques facultatives sont trois fonctions distinctes.

3. Données de localisation

L'application accède à votre position GPS uniquement pendant l'utilisation. Elle sert exclusivement à valider votre proximité physique avec les arrêts du parcours et à afficher votre position sur la carte. Votre position n'est jamais transmise à nos serveurs ni conservée au-delà de la session de jeu.

Pour dessiner l'aperçu du trajet entre les arrêts, l'application utilise en priorité des tracés précalculés inclus dans le parcours (aucune requête réseau). Si un tracé venait à manquer, les coordonnées des arrêts du parcours (des lieux publics, pas votre position) seraient envoyées à un service d'itinéraires : le projet communautaire OSRM sur Android, le service Plans d'Apple sur iOS.

4. Caméra et photos

Photos souvenirs : vous pouvez capturer des photos pendant votre exploration. Elles sont stockées localement sur votre appareil, affichées dans le mur photo et le résumé de fin de quête, et ne sont jamais transmises ni partagées. Sur Android 10 et plus, une copie de chaque photo est aussi enregistrée dans la galerie de l'appareil (album « ExploraCite ») ; sur Android 8 et 9, aucune copie n'est faite ; sur iOS, cette copie dans Photos est facultative.
Énigmes utilisant la caméra : certaines énigmes analysent l'image de la caméra directement sur l'appareil (par exemple la reconnaissance de texte sur une plaque). Cette analyse se fait entièrement hors ligne : aucune image ni aucun texte reconnu n'est enregistré ou envoyé.

5. Microphone

Certaines énigmes réagissent au souffle. L'application mesure alors uniquement le niveau sonore instantané du microphone, analysé en mémoire : aucun son n'est enregistré, conservé ou transmis. L'accès au microphone n'est demandé qu'au moment de ces énigmes.

6. Capteur de mouvement (podomètre)

Certaines énigmes utilisent le détecteur de pas de votre appareil (permission « activité physique » sur Android, capteur de mouvement sur iOS) pour compter vos pas pendant l'énigme. Ce comptage se fait entièrement sur l'appareil et n'est ni conservé au-delà de l'énigme ni transmis.

7. Données de jeu et statistiques facultatives

Vos photos et vos préférences restent sur votre appareil. Votre progression, vos badges et vos brouillons d'avis y restent aussi ; sur iOS, avec un compte Apple connecté, ils sont en plus sauvegardés selon la section 2. Les statistiques facultatives décrites ci-dessous sont distinctes de cette sauvegarde et des avis publics.

Compteurs anonymes, pour tous les joueurs. Pour mesurer la fréquentation des parcours, l'application envoie par HTTPS au service ExploraCité hébergé chez Cloudflare des compteurs anonymes : parcours consulté, partie commencée (mode GPS ou manuel), arrêt atteint, indice demandé, partie terminée (avec une tranche de durée active, par exemple « 1 h à 1 h 30 »), note de 1 à 5 et récompense affichée. Chaque compteur indique seulement le parcours, sa révision, la date du jour, la langue et la plateforme (iOS ou Android). Il ne contient aucun identifiant d'installation, de partie, d'appareil ou de compte, ni heure précise, coordonnée GPS ou autre donnée vous concernant. Le serveur ne conserve que des totaux par jour et ne garde pas l'adresse IP de l'envoi : il est impossible de relier deux compteurs entre eux ou à une personne. Ces totaux servent aux rapports agrégés remis aux villes et MRC et sont conservés 3 ans au plus. Ils restent actifs que vous acceptiez ou non les statistiques détaillées ; les builds de développement n'en envoient pas au service de production.

Statistiques détaillées, facultatives. Sur iOS comme sur Android, le partage des statistiques détaillées est désactivé par défaut. Lorsque le service est disponible dans votre version, vous pouvez l'accepter dans l'application, le refuser sans perdre de fonctionnalité, puis changer ce choix dans Paramètres > Statistiques et confidentialité.

Si vous acceptez, les événements suivants peuvent être transmis par HTTPS au service ExploraCité hébergé chez Cloudflare : consultation d'un parcours, partie commencée, reprise, pause, remise à zéro ou fin, arrêt atteint ou résolu, nombre d'indices et de mauvaises réponses, photo enregistrée ou ignorée (compteur seulement), récit consulté, demande audio, note de 1 à 5 et récompense débloquée ou affichée. Le parcours, sa révision, l'identifiant public de l'arrêt, la date, la durée active, la langue, la version de l'application et le mode de navigation GPS ou manuel complètent ces événements.

Un identifiant d'installation aléatoire et un identifiant de partie permettent d'éviter les doubles comptes. Ils ne sont pas reliés à votre compte Apple ou Google, votre nom ou votre courriel. Les événements détaillés sont pseudonymisés, et non anonymes. Aucun identifiant matériel, coordonnée GPS, trace continue de déplacements, photo, réponse saisie, commentaire ou enregistrement sonore n'est transmis. Un événement « arrêt atteint » indique néanmoins quel arrêt public a été atteint ; en mode GPS, cela révèle une présence à proximité de cet arrêt.

ExploraCité accède aux résultats par un espace protégé et prépare des rapports agrégés pour les villes et MRC. Les rapports destinés au partage masquent les faibles effectifs. Les identifiants d'installation et de partie ne figurent jamais dans ces rapports. Ces données ne servent pas à la publicité et ne sont pas vendues. Les rapports portent sur 3 ans (1 095 jours) glissants. Une purge quotidienne supprime les événements plus anciens, au plus tard à 1 096 jours. Après un retrait, seule une empreinte technique de révocation est conservée pendant 180 jours pour refuser les envois retardés ; elle ne contient aucun événement de jeu. L'hébergeur traite les requêtes réseau nécessaires au fonctionnement et à la protection du service ; son infrastructure peut être située hors du Québec et du Canada.

Les événements enregistrés avant votre consentement ne sont jamais envoyés rétroactivement. Sur Android, l'ancien journal d'utilisation local, antérieur à ce consentement, a été supprimé sans être envoyé.

8. Rapports de plantage

Pour détecter et corriger les pannes, l'application Android utilise Firebase Crashlytics, un service de Google. En cas de plantage, un rapport technique est transmis : modèle de l'appareil, version du système et de l'application, état technique au moment de la panne. Ces rapports ne contiennent ni votre position, ni votre nom, ni votre courriel et servent uniquement à la stabilité de l'application. Politique de Google : firebase.google.com/support/privacy. La version iOS n'intègre pas Firebase Crashlytics.

9. Mises à jour du contenu des parcours

Au démarrage, l'application peut télécharger depuis nos serveurs des versions à jour des parcours (textes, images, narration). Cette requête ne transmet aucune donnée personnelle ; comme pour tout accès Internet, l'hébergeur du contenu (Cloudflare) voit passer l'adresse IP de la requête dans ses journaux techniques.

10. Cartes

L'affichage des cartes repose sur Google Maps sur Android et sur Plans (Apple) sur iOS. Le chargement des fonds de carte implique des requêtes réseau standard vers ces services, régies par leur propre politique de confidentialité (Google, Apple).

11. Sauvegarde de l'appareil

Comme la plupart des applications, les données locales d'ExploraCité peuvent être incluses dans la sauvegarde automatique de votre appareil (sauvegarde Android sur Google, sauvegarde iCloud sur iOS). Cette sauvegarde est gérée par votre appareil, chiffrée, rattachée à votre propre compte et désactivable dans les réglages du système. Sur Android, la session de connexion et l'identifiant des statistiques en sont exclus. Elle est distincte de la sauvegarde de progression par compte Apple (section 2).

12. Partage des données

ExploraCité ne vend aucune donnée et n'intègre aucun SDK de publicité ni de suivi publicitaire. Les seuls tiers qui interviennent sont les fournisseurs techniques décrits ci-dessus :

Google : connexion Google (Android), cartes Google Maps (Android), rapports de plantage Crashlytics (Android), sauvegarde Android, achats intégrés par Google Play (Android) ;
Apple : Sign in with Apple (iOS), Plans (iOS), sauvegarde iCloud (iOS), achats intégrés par l'App Store (iOS) ;
Cloudflare : hébergement du contenu des parcours, du service de compte (sauvegarde de progression iOS et avis publics) et du service statistique facultatif ;
OSRM : calcul d'itinéraires de repli (coordonnées d'arrêts publics seulement).

Achats intégrés. Pendant la bêta, l'application ne propose aucun achat. Lorsque des abonnements ou des pass seront offerts, l'achat sera effectué et facturé par Google Play ou l'App Store, selon leurs propres politiques de confidentialité : nous ne recevons jamais vos données de paiement, seulement la confirmation qu'un abonnement ou un pass est actif, afin de débloquer les parcours concernés.

13. Enfants

ExploraCité est une activité familiale, mais l'application ne s'adresse pas spécifiquement aux enfants et ne constitue aucun profil publicitaire. Aucune donnée n'est utilisée à des fins publicitaires, quel que soit l'âge de la personne qui joue.

14. Conservation et suppression

Les données locales (progression, photos, préférences, brouillons d'avis, compte connecté) sont supprimées en désinstallant l'application, sauf les copies de photos enregistrées dans la galerie de l'appareil, que vous gérez vous-même. La désinstallation seule n'efface ni la sauvegarde du compte iOS, ni les avis publiés, ni les statistiques déjà transmises.
Pour retirer un seul avis : ouvrez le parcours, retrouvez votre avis et choisissez « Retirer mon avis public ». Attendez la confirmation du service. Un avis retiré peut rester affiché sur un écran déjà ouvert jusqu'à son actualisation.
Sur iOS, Paramètres > Compte > Supprimer mon compte efface la sauvegarde du compte et ses avis publics sur le service, ainsi que la progression du compte sur cet appareil ; les photos souvenirs restent sur l'appareil. Si une étape reste en attente, utilisez « Terminer la suppression » avec une connexion réseau. Lorsque l'application le demande, terminez aussi la révocation Apple dans les réglages du compte Apple.
Sur Android, Paramètres > Compte > Supprimer mon compte retire tous vos avis publics, ferme vos sessions sur le service et efface sur l'appareil la connexion et les brouillons d'avis de ce compte ; la progression et les photos locales sont conservées. Si la demande reste en attente, utilisez « Réessayer la suppression », en vous reconnectant au même compte Google si l'application le demande.
Dans les deux cas, attendez la confirmation avant de désinstaller. Après suppression, seules les empreintes des anciennes sessions peuvent rester jusqu'à leur expiration initiale, pour confirmer une demande répétée sans autoriser de connexion.
Sur iOS comme sur Android, Paramètres > Statistiques et confidentialité permet d'exporter les événements encore présents sur l'appareil et d'arrêter le partage. Le retrait efface la file locale et demande l'effacement serveur de l'identifiant concerné. Hors ligne, la demande reste en attente et est réessayée. Attendez la confirmation avant de désinstaller ; désinstaller seul n'efface pas les événements déjà transmis, qui ne figurent plus dans les rapports après 3 ans (1 095 jours) et sont purgés sous 1 096 jours.
Vous pouvez révoquer l'accès de l'application à votre compte Google (myaccount.google.com) ou Apple (appleid.apple.com) à tout moment. Cette révocation ne supprime pas à elle seule les avis publiés ni la sauvegarde du compte.
Les rapports de plantage Android sont conservés selon les durées de rétention de Firebase Crashlytics (90 jours au maximum pour les rapports individuels).

15. Vos droits

Conformément à la Loi 25 du Québec (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels), vous avez le droit de :

savoir quelles données l'application détient à votre sujet et y accéder ;
demander la rectification ou la suppression de vos données ;
retirer votre consentement à tout moment : localisation, caméra, microphone et activité physique se révoquent dans les réglages de votre appareil ; la déconnexion, le retrait d'un avis, la suppression du compte et l'arrêt des statistiques se font dans les réglages de l'application.

Responsables de la protection des renseignements personnels : Greg Chiocca et Karim Nicolas Émond, joignables à l'adresse ci-dessous.

16. Modifications de cette politique

Cette politique peut être mise à jour pour refléter l'évolution de l'application (par exemple une sauvegarde de progression sur Android ou l'ouverture des achats intégrés). La date de dernière mise à jour en tête de page fait foi ; toute nouvelle collecte significative sera signalée dans l'application avant son activation.

17. Contact

Pour toute question relative à cette politique ou à vos données :

Équipe ExploraCité (Québec, Canada)
Courriel : info@exploracite.com
Site : exploracite.com

Privacy Policy

ExploraCité

Last updated: October 9, 2026

In short:

ExploraCité contains no advertising and never sells your data.

Your GPS location is used only to confirm you are near circuit stops and is never sent to our servers.

Signing in is optional: you can play as a guest.

Your photos and preferences stay on your device. On Android, so does your progress; on iOS, when signed in with Apple, a copy of your progress is backed up to the ExploraCité service.

A trail review becomes public only if you publish it. Anonymous counters, with no identifier at all, measure route usage; detailed statistics are optional and off by default.

1. Introduction

ExploraCité is an urban exploration game available on two platforms:

Android (application ID com.exploracite.app), published on Google Play;
iOS (bundle ID com.karimond.exploracite), published on the App Store.

Both applications are developed by the ExploraCité team (Greg Chiocca and Karim Nicolas Émond, Quebec, Canada). This policy covers both platforms and describes which data is processed, why, and what your rights are. Wherever the platforms differ, the difference is stated explicitly.

2. Account and Sign-In (Optional)

You can use ExploraCité without any account, in guest mode: your progress then stays on your device and you can read public reviews. If you choose to sign in:

Android: sign in with your Google account. The application receives an account identifier, your display name, and your email address, kept on the device in encrypted storage to show your account. On Android, the account is used only for public reviews: Google sign-in neither backs up nor syncs your progress, which stays on the device.
iOS: sign in with your Apple account (Sign in with Apple). The application receives an account identifier and, on the very first sign-in only, the name and email you agree to share; they stay on your device. On iOS, the account is used for progress backup (below) and public reviews.

In both cases, the Google identity token or the Apple sign-in credentials are sent over HTTPS to the ExploraCité account service, hosted by Cloudflare, to verify your identity. The service associates an identifier derived from that verified identity with your account, without storing your name, your email or the token it received, then opens a private 30-day session of which it keeps only a hash. On Android, this session is kept in encrypted storage excluded from backup and device transfer. Apple and Google accounts remain separate, even with the same email address, and are never merged. You can sign out at any time in the application settings.

Progress backup (iOS only)

On iOS, account backup contains route and puzzle progress, draft answers, badges, rewards, and the ratings and comments you have saved. You can restore it by signing in to the same Apple account on another iPhone. Photos and their file paths are not uploaded. It works independently of statistics consent. Guest progress stays local. During a network outage, progress remains on the device and synchronization is deferred. This backup does not exist on Android.

Public trail reviews

Everyone can read reviews on iOS and Android, including guests. Selecting stars or writing a comment only creates a private draft on your device. When you tap “Publish my review” after signing in (Apple on iOS, Google on Android), the ExploraCité service hosted by Cloudflare stores the rating, optional comment, trail, date and publishing platform (iOS or Android), as well as the nickname you choose for your account. These details are public: the nickname is shown on your reviews. Your name, email and sign-in identifier are never displayed. The nickname is chosen once and cannot be changed afterwards; a nickname that breaks the rules (hateful, insulting or sexual content, impersonation) may be removed by ExploraCité, and your reviews then show “Explorer” until you choose a new one. It is deleted with the account. Avoid including personal information in your comment.

The identifier derived from the account lets you retrieve, edit or remove your review, including after reinstalling; the application keeps a copy of your published ratings on the device to show them in the passport. Published reviews are kept until removed or the account is deleted. Signing out or uninstalling does not remove them. The trail's review form lets you remove a review; deleting the account removes all of its public reviews.

Previous ratings and comments stored locally or in a private backup are never published automatically. Publishing reviews, iOS progress backup and optional statistics are three separate features.

3. Location Data

The application accesses your GPS location only while in use. It is used exclusively to confirm your physical proximity to circuit stops and to show your position on the map. Your location is never sent to our servers nor kept beyond the current play session.

To draw the route preview between stops, the application first uses precomputed paths bundled with the circuit (no network request). If a path were missing, the coordinates of the circuit stops (public landmarks, not your position) would be sent to a routing service: the community-run OSRM project on Android, Apple Maps directions on iOS.

4. Camera and Photos

Souvenir photos: you can capture photos during your exploration. They are stored locally on your device, shown in the app's photo wall and quest completion summary, and are never transmitted or shared. On Android 10 and later, a copy of each photo is also saved to the device gallery ("ExploraCite" album); on Android 8 and 9, no copy is made; on iOS, this copy in Photos is optional.
Camera-based puzzles: some puzzles analyze the camera image directly on the device (for example, recognizing text on a plaque). This analysis runs entirely offline: no image and no recognized text is ever stored or sent.

5. Microphone

Some puzzles react to blowing. The application then measures only the instantaneous sound level from the microphone, analyzed in memory: no audio is ever recorded, stored, or transmitted. Microphone access is requested only when such a puzzle starts.

6. Motion Sensor (Pedometer)

Some puzzles use your device's step detector ("physical activity" permission on Android, motion sensor on iOS) to count your steps during the puzzle. Counting happens entirely on the device and is neither kept beyond the puzzle nor transmitted.

7. Game Data and Optional Statistics

Your photos and preferences stay on your device. Your progress, badges and review drafts stay there too; on iOS, when signed in with Apple, they are also backed up as described in section 2. The optional statistics below are separate from that backup and from public reviews.

Anonymous counters, for every player. To measure how routes are used, the app sends anonymous counters over HTTPS to the ExploraCité service hosted by Cloudflare: route viewed, run started (GPS or manual mode), stop reached, hint requested, run completed (with an active-duration range, for example “1 h to 1 h 30”), 1-to-5 rating and reward displayed. Each counter only states the route, its revision, the calendar day, the language and the platform (iOS or Android). It contains no installation, run, device or account identifier, and no precise time, GPS coordinate or other information about you. The server keeps only daily totals and does not keep the sender's IP address: two counters cannot be linked to each other or to a person. These totals feed the aggregated reports given to towns and RCMs and are kept for at most 3 years. They stay active whether or not you accept detailed statistics; development builds do not send them to the production service.

Detailed statistics, optional. On both iOS and Android, detailed statistics sharing is off by default. When the service is available in your build, you may accept it in the app, decline without losing features and change your choice under Settings > Statistics and privacy.

If you agree, these events may be sent over HTTPS to the ExploraCité service hosted by Cloudflare: route views, runs started, resumed, paused, reset or completed, stops reached or solved, hint and wrong-answer counts, photos saved or skipped (counts only), stories viewed, audio requests, 1-to-5 ratings, and rewards unlocked or displayed. Route and revision, public stop identifier, date, active duration, language, app version and GPS/manual navigation mode accompany these events.

A random installation identifier and a run identifier prevent double counting. They are not linked to your Apple or Google account, name or email. Detailed events are pseudonymous, not anonymous. No hardware identifier, GPS coordinates, continuous movement trail, photo, entered answer, comment or sound recording is sent. A “stop reached” event does indicate the public stop reached; in GPS mode, it therefore indicates presence near that stop.

ExploraCité accesses results through a protected portal and prepares grouped reports for municipalities and MRCs. Reports intended for sharing suppress small groups. Installation and run identifiers never appear in these reports. Data is not sold or used for advertising. Reports cover a rolling 3-year (1,095-day) window. A daily purge removes older events, no later than day 1,096. After withdrawal, only a technical revocation hash remains for 180 days to reject delayed uploads; it contains no gameplay event. The hosting provider processes network requests needed to operate and protect the service; its infrastructure may be outside Quebec and Canada.

Events recorded before your consent are never uploaded retroactively. On Android, the former local usage log, which predates this consent, was deleted without being sent.

8. Crash Reports

To detect and fix crashes, the Android application uses Firebase Crashlytics, a Google service. When a crash occurs, a technical report is transmitted: device model, operating system and application versions, and the technical state at the time of the crash. These reports contain neither your location, nor your name, nor your email and are used solely for application stability. Google's policy: firebase.google.com/support/privacy. The iOS version does not include Firebase Crashlytics.

9. Circuit Content Updates

At startup, the application may download updated circuit content (texts, images, narration) from our servers. This request carries no personal data; as with any Internet access, the content host (Cloudflare) sees the request's IP address in its technical logs.

10. Maps

Map display relies on Google Maps on Android and on Apple Maps on iOS. Loading map tiles involves standard network requests to those services, governed by their own privacy policies (Google, Apple).

11. Device Backup

Like most applications, ExploraCité's local data may be included in your device's automatic backup (Android backup to Google, iCloud backup on iOS). This backup is managed by your device, encrypted, tied to your own account, and can be disabled in your system settings. On Android, the sign-in session and the statistics identifier are excluded from it. It is separate from Apple account progress backup (section 2).

12. Data Sharing

ExploraCité sells no data and integrates no advertising or ad-tracking SDK. The only third parties involved are the technical providers described above:

Google: Google sign-in (Android), Google Maps (Android), Crashlytics crash reports (Android), Android backup, in-app purchases through Google Play (Android);
Apple: Sign in with Apple (iOS), Apple Maps (iOS), iCloud backup (iOS), in-app purchases through the App Store (iOS);
Cloudflare: hosting of circuit content, the account service (iOS progress backup and public reviews) and the optional statistics service;
OSRM: fallback route computation (coordinates of public stops only).

In-app purchases. During the beta, the app offers no purchases. When subscriptions or passes are offered, the purchase will be made and billed by Google Play or the App Store, under their own privacy policies: we never receive your payment details, only the confirmation that a subscription or a pass is active, in order to unlock the trails concerned.

13. Children

ExploraCité is a family-friendly activity, but the application is not specifically directed at children and builds no advertising profiles. No data is used for advertising, regardless of the player's age.

14. Retention and Deletion

Local data (progress, photos, preferences, review drafts, signed-in account) is deleted by uninstalling the application, except photo copies saved to the device gallery, which you manage yourself. Uninstalling alone does not erase the iOS account backup, published reviews or statistics already uploaded.
To remove a single review: open the trail, find your review and choose “Remove my public review.” Wait for service confirmation. A removed review may remain on an already open screen until it refreshes.
On iOS, Settings > Account > Delete my account erases the account backup and its public reviews from the service, as well as the account progress on this device; souvenir photos stay on the device. If a step is pending, use “Finish deletion” with a network connection. When prompted by the app, also finish Apple revocation in your Apple account settings.
On Android, Settings > Account > Delete my account removes all your public reviews, closes your sessions on the service and erases this account's sign-in and review drafts from the device; local progress and photos are kept. If the request is pending, use “Retry deletion,” signing in again with the same Google account if the app asks.
In both cases, wait for confirmation before uninstalling. After deletion, only hashes of old sessions may remain until their original expiry, to confirm repeated requests without authorizing access.
On both iOS and Android, Settings > Statistics and privacy lets you export events still on this device and stop sharing. Withdrawal clears the local queue and requests server deletion for the current identifier. Offline requests remain pending and are retried. Wait for confirmation before uninstalling; uninstalling alone does not remove uploaded events, which leave reports after 3 years (1,095 days) and are purged within 1,096 days.
You can revoke the application's access to your Google account (myaccount.google.com) or Apple account (appleid.apple.com) at any time. This alone does not delete published reviews or the account backup.
Android crash reports are kept according to Firebase Crashlytics retention periods (at most 90 days for individual reports).

15. Your Rights

In accordance with Quebec's Law 25 (Act to modernize legislative provisions as regards the protection of personal information), you have the right to:

know which data the application holds about you and access it;
request rectification or deletion of your data;
withdraw your consent at any time: location, camera, microphone, and physical activity can be revoked in your device settings; signing out, removing a review, deleting the account and stopping statistics are done in the application settings.

Persons responsible for the protection of personal information: Greg Chiocca and Karim Nicolas Émond, reachable at the address below.

16. Changes to This Policy

This policy may be updated to reflect the application's evolution (for example, progress backup on Android or the opening of in-app purchases). The "last updated" date at the top of this page prevails; any significant new collection will be announced in the application before it is enabled.

17. Contact

For any question about this policy or your data:

ExploraCité team (Quebec, Canada)
Email: info@exploracite.com
Website: exploracite.com