Dernière mise à jour : 25 août 2026
Cette page décrit la manière dont l'application Android DUNA traite les données de ses utilisateurs.
DUNA se joue entièrement hors ligne. Le jeu se connecte au serveur dans les quatre cas suivants, et dans aucun autre :
Tant que la carte d'adhésion attend une réponse, aucune requête n'est émise, pas même une lecture : ni l'écran du classement, ni celui de la Grande Traversée, qui se tait alors et dit pourquoi. Le quatrième cas ci-dessus suppose une adhésion passée, donc il ne peut pas se produire sur une installation neuve. Le classement s'active depuis les réglages du jeu, à la rubrique Classement, ou depuis l'écran du classement lui-même ; ces mêmes réglages permettent d'en sortir à tout moment.
Le reste du jeu ne touche jamais au réseau : les niveaux, les indices, la meilleure route rejouée à la fin d'une partie et les Sables Profonds se calculent entièrement sur l'appareil.
Si, et seulement si, le joueur rejoint le classement, l'application transmet et le serveur conserve :
L'application transmet aussi la suite des coups joués, mais le serveur ne la conserve pas : il la rejoue pour vérifier la partie, en compte lui-même les coups, et n'enregistre que ce nombre. C'est ce qui permet de valider un score sans avoir à croire l'appareil sur parole — et c'est pourquoi la suite elle-même ne figure pas dans ce qui est conservé.
Le jeu propose un rendez-vous hebdomadaire, la Grande Traversée : cinq haltes tirées pour la semaine, les mêmes pour tout le monde, et une seule tentative comptée par halte. Quand la partie jouée en fait partie, l'envoi porte en plus le numéro de la semaine, et le serveur en garde une ligne de plus, à côté de la première : le même pseudonyme, le même identifiant, le même niveau, le même nombre de coups, la même date, et ce numéro. Rien d'autre : c'est la même partie, comptée deux fois — une fois pour le classement du niveau, une fois pour celui de la semaine. Le numéro de semaine se compte depuis une date fixe et désigne le rendez-vous, non le joueur. Dans le reste de cette page, le mot scores désigne les deux.
Le pseudonyme choisi est affiché à tous les joueurs qui consultent le classement : c'est la fonction même de ce classement. Mieux vaut donc n'y mettre ni son nom réel, ni rien qui permette de vous reconnaître.
L'identifiant est tiré au sort et ne dérive d'aucune propriété de l'appareil : il n'est lié ni à un compte, ni à un courriel, ni à quoi que ce soit d'autre, et il ne suffit pas à identifier une personne. Pendant au plus une heure, cependant, il figure à côté de l'adresse IP dans le journal décrit ci-dessous. Réinstaller l'application en crée un nouveau, sans lien avec l'ancien : le classement précédent devient alors inaccessible, et les lignes de l'ancien identifiant ne peuvent plus être effacées depuis l'application — l'adresse de contact ci-dessous reste le seul recours.
Le menu du jeu affiche les pays en tête. Pour cela, l'application demande au serveur, au lancement, la liste publique des pays classés. C'est une consultation au sens décrit plus haut : elle ne transmet ni pseudonyme, ni identifiant, ni partie — seule l'adresse IP est vue, comme pour toute requête sur Internet, et elle est traitée par le journal de cadence décrit plus bas.
Si le serveur ne répond pas, ou si l'appareil est hors ligne, le bandeau ne s'affiche pas et le jeu reste entièrement jouable.
Le jeu propose un défi entre pays, la Coupe des Nations, qui compare les résultats de la semaine par pays. Y figurer demande d'en déclarer un, et cette déclaration est facultative : on peut rejoindre le classement, jouer et être classé sans jamais en donner. Le choix se fait dans une liste, à l'adhésion ou plus tard dans les réglages du jeu, et il peut être retiré à tout moment — le retrait part avec la partie suivante et le pays est alors effacé du serveur.
Le serveur ne géolocalise jamais l'adresse IP. Il la voit — toute requête sur Internet la porte — et il s'en sert uniquement pour le journal de cadence décrit plus bas, jamais pour en déduire un pays. Le réglage de région du téléphone sert seulement à pré-sélectionner une ligne dans la liste, sur l'appareil : tant que le joueur n'a pas confirmé, rien de tel n'est transmis.
La valeur conservée est un code de deux lettres — « FR », « BE » — soit un pays entier. Ce n'est ni une ville, ni une région, ni une position.
L'application ne transmet jamais l'identifiant de l'appareil, une adresse de courriel, les contacts, la position, un identifiant publicitaire, ni le contenu de la sauvegarde locale de la partie. Aucune publicité, aucun traqueur. Le pays déclaré décrit plus haut n'est pas une position : il est choisi par le joueur, il vaut pour un pays entier, et le jeu ne demande aucune autorisation de localisation.
Deux mécanismes d'Android méritent d'être nommés, car ils ne sont pas le fait de ce serveur mais le joueur a le droit de le savoir. La proposition de noter le jeu passe par la bibliothèque prévue à cet effet par Google Play : c'est Google qui affiche la fenêtre, et l'application n'apprend jamais si un avis a été laissé. Et la sauvegarde locale de la partie — progression, réglages, scores hors ligne — participe à la sauvegarde automatique d'Android, si elle est activée sur le téléphone : elle est alors copiée sur le compte Google du joueur, pour qu'un changement d'appareil ne lui fasse pas tout perdre. Le fichier qui porte l'identité de classement, lui, en est exclu : voir plus haut.
Pour limiter les abus, le serveur tient un journal technique, distinct du classement, où il inscrit l'adresse IP d'origine :
Ces lignes sont purgées à la première requête reçue après l'heure écoulée : la purge est déclenchée par les requêtes elles-mêmes, et non par une horloge. Sur un serveur qui ne reçoit rien pendant une journée, une ligne peut donc survivre à son heure jusqu'à la requête suivante. Ce journal ne constitue pas pour autant un historique de jeu, et il ne permet pas de reconstituer qui a consulté quoi.
Les scores servent uniquement à afficher le classement dans l'application. Ils ne sont ni vendus, ni partagés avec des tiers, ni utilisés à des fins publicitaires.
Les scores sont hébergés en France sur un serveur privé, et conservés tant que le joueur ne demande pas leur effacement.
Un bouton d'effacement, dans les réglages du jeu, supprime les scores que le serveur conserve pour le joueur — ceux de la piste comme les lignes du rendez-vous hebdomadaire, avec le pseudonyme, le pays déclaré et les dates qu'elles portent —, son identifiant étant la seule preuve nécessaire, dès que la demande lui parvient. Ce qu'il advient des lignes du journal de cadence, qui ne sont pas des scores, est dit juste en dessous. Il est aussi possible d'écrire à l'adresse de contact ci-dessous.
Les scores, donc, sont supprimés. Les lignes du journal de cadence décrites plus haut, elles, ne le sont pas : leur identifiant de joueur est remplacé par une marque, et ce qui subsiste est une ligne faite de cette marque, de l'adresse IP d'origine et de l'heure de la requête. C'est une pseudonymisation, et non une anonymisation : le lien avec l'identifiant du joueur est rompu, mais l'adresse IP demeure — et elle se recoupe avec les autres requêtes venues de la même adresse à la même minute. Ces lignes s'en vont ensuite avec le reste du journal, à la première requête reçue après l'heure écoulée : comme dit plus haut, cette purge est déclenchée par les requêtes, donc une ligne peut survivre à son heure jusqu'à la requête suivante. Elles ne partent pas tout de suite parce qu'elles seules limitent le nombre de requêtes qu'une même adresse peut envoyer ; les effacer permettrait à n'importe qui de remettre sa propre limite à zéro à volonté.
La demande peut ne pas aboutir du premier coup : appareil hors ligne au moment où le joueur s'en va, refus du serveur quand trop de demandes d'effacement sont venues de la même adresse dans la minute qui précède, erreur du serveur, ou simple absence de réponse dans le délai imparti. Ce décompte-là ne concerne que les demandes d'effacement : l'activité ordinaire du jeu, la sienne ou celle d'autres joueurs partageant la même adresse, ne peut pas retarder une suppression. Dans tous ces cas la suppression ne peut pas avoir lieu tout de suite : l'application le dit à l'écran plutôt que d'annoncer un effacement qui n'a pas eu lieu. Elle conserve alors, sur l'appareil et pour ce seul usage, l'identifiant tiré au sort — sans le pseudonyme ni aucune donnée de jeu — et rejoue la demande à chaque lancement, jusqu'à ce qu'elle aboutisse. Sans cet identifiant, plus rien ne permettrait de retrouver les lignes à supprimer, et elles resteraient au classement pour toujours. Un joueur qui part, revient et repart de nouveau sans connexion voit ses demandes s'accumuler : chacune est rejouée et retirée pour son propre compte, aucune n'en efface une autre.
Cette reprise ne survit pas à une désinstallation. L'identifiant retenu vit dans un fichier volontairement exclu des sauvegardes automatiques d'Android — c'est ce qui garantit qu'une réinstallation crée une identité neuve, sans lien avec l'ancienne. Désinstaller le jeu, ou effacer ses données depuis les réglages du téléphone, détruit donc cette demande en attente : les lignes concernées resteront au classement, et l'adresse de contact ci-dessous devient le seul moyen de les faire retirer. Un joueur qui quitte le classement sans réseau a donc intérêt à relancer le jeu une fois connecté avant de le désinstaller.
Le jeu convient à tous les publics, et n'exige jamais de compte, de courriel ni d'âge. Hors classement, il ne collecte aucune donnée personnelle ; consulter le classement fait journaliser l'adresse IP au titre décrit ci-dessus, et y participer transmet le pseudonyme choisi.
Ce pseudonyme est public : il s'affiche chez tous les joueurs qui consultent le classement. Un enfant qui y inscrirait son prénom et son nom les rendrait visibles de tous. Le jeu ne vérifie pas ce qui est saisi : il ne peut pas savoir qu'un nom en est un.
Pour toute question relative à cette politique : jerome.andrieu@gmail.com