Les traceurs réellement embarqués par les lecteurs de manuels, les applications d'éditeurs et les sites gratuits, comparés à leurs déclarations

Rapport corrigé et complété le 16/10/2026 d'après Q25-verif.md.

Complété le 16/10/2026 d'après le lot navigateur Q31 (§ 1.6 : les 11 sites relevés au navigateur pour un premier visiteur, avant toute réponse puis après refus, reportés au nouveau § 3.5 bis ; traceurs publicitaires déposés avant tout consentement par Kartable, sans bandeau, et par SchoolMouv, AdRoll ; Microsoft Clarity, absent de la liste de partenaires Didomi, chargé sur l'accueil et sur le manuel gratuit de Lelivrescolaire.fr et maintenu après refus ; Piano en mode « optin » sur ce manuel, avant et après refus ; régie du conjugueur Bescherelle maintenue et étendue après un refus enregistré ; consentement par poursuite de navigation, sans refus au premier niveau et avec quatre finalités précochées au second, sur mesmanuels.fr, dont le SDK Didomi se charge à l'exécution ; Google Tag Manager seul, sans mesure vue, chez Nathan, Bordas et Belin ; Matomo sans bandeau chez Magnard et hatier-clic ; site lumni.fr relevé, Piano passant en mode « exempt » après refus quand NPAW, mPulse et nmrodam.com restent ; § 2 : la page mesmanuels.fr/acces-libre/9782017329022 répond « Cette page est introuvable » ; la ligne « à lire au navigateur » du § 5 est faite et réécrite pour ce qui reste ouvert).

Corrigé le 16/10/2026 d'après le relevé de la vague 8 (§ 1.1, § 3.1, § 6 : les « 44 paquets » deviennent 41 identifiants demandés et 39 paquets analysés le 12/10/2026, 41 avec le CNED et Lumni ; § 3.2 et § 4 point 1 : le « tous » des dix lecteurs est borné à une version Android, à la présence d'un kit et, pour Biblio Exos, à un module web d'activation non établie ; § 3.2 : les cinq changements de kits sont listés, Lib Manuels compris, Nathan Live ne changeant que de permissions ; § 3.2 et § 4 point 2 : les écarts aux déclarations sont des écarts entre kit et déclaration, pas une collecte mesurée, non qualifiés par une autorité ; § 3.3 : les 22 permissions de SchoolMouv sont détaillées ; § 3.6 et § 4 point 3 : les deux formules de l'annexe 5 coexistent, le contrat réserve des audits sans contrôle continu et le contrôle effectif n'est pas établi ; § 3.7 : la campagne de contrôles de la CNIL est une intention ; § 4 point 4 : les 395 jours de Piano sont une valeur par défaut de la bibliothèque, la conformité des Matomo n'est ni établie ni infirmée, et le niveau du GAR vaut pour la ressource qu'il sert, pas pour les pages publiques ; § 4 point 5 : le critère des permissions est celui des écoles de Paris, sans généralisation aux acheteurs).

Vague 8, relevé du 12/10/2026. Sujet : ce que les applications Android de lecture de manuels, les applications d'activités des éditeurs, les compléments et les sites gratuits contiennent et appellent réellement en kits tiers (SDK) et en traceurs ; l'écart avec leurs déclarations dans les magasins (section « Sécurité des données » de Google Play, étiquette « Confidentialité de l'app » de l'App Store, relevées par Z21 § 3.7) et avec les règles du contrat GAR v2026 (annexes 3, 4 et 5). Complète Z21 § 3.7 et § 5 (« la conformité réelle des applications à leurs déclarations […] demanderait l'analyse des paquets »), 12-vague7 § 3.3 et § 9, 07-vague3 § 6.3, 10-vague5 § 6.6.

Choix de périmètre, annoncés en une ligne chacun :

• Android seulement pour les applications : un paquet iOS (IPA) chiffré par Apple ne se lit pas sans appareil ; l'App Store est confronté par les déclarations que Z21 a relevées.
• Applications retenues : les 13 fiches Google Play de Z21 (10 lecteurs de manuels, Kartable, SchoolMouv, Kalulu) ; côté activités, les 18 applications Android d'Éditions Jocatop que le magasin a servies (dont Zoum et les Enig'maths, en catégorie Enfants sur l'App Store d'après Z21), les 3 d'Accès Éditions (vendeur en catégorie Enfants chez Apple) ; et cinq applications d'éditeurs déjà relevées par Z21 (MEDIA+, Bescherelle Conjugaison, Le Robert Ortho, BOOSTIN, KLAPSO learning). Les applications d'activités de Sejer, Hatier et Hachette Livre en catégorie Enfants chez Apple (LudiTab, Maxiloto, Cap maths, Sami et Julie) n'ont pas de version trouvée sur Google Play France (recherches du § 1.1). Ajoutées le 16/10/2026 comme étalons publics à côté de Kalulu : l'application du CNED (fr.cned.sam) et celle de Lumni (fr.lumni.www.twa, France Télévisions), dont les rapports εxodus avaient été relevés le 12/10 sans être exploités (§ 3.3).
• Sites : 22 pages (accueil et une page d'élève quand elle existe) de mesmanuels.fr, de six sites compagnons ou d'accès élève (Nathan, Bordas, Magnard, Hatier), de Lelivrescolaire.fr, SchoolMouv, Kartable, Belin Éducation, Hachette Éducation (espace enseignants), libmanuels.fr, de la page web qu'ouvre l'application Bescherelle Conjugaison, et de manuel.sesamath.net comme étalon public.
• Méthode web bornée à ce qu'exige la mission : HTML servi et en-têtes, sans exécuter le JavaScript. Elle dit ce que la page charge d'office ou subordonne au gestionnaire de consentement ; elle ne mesure pas les cookies déposés par les scripts une fois exécutés : ils ont été relevés au navigateur le 16/10/2026 sur 11 sites (Q31 § 1.6 ; § 3.5 bis).

#1. Sujet, requêtes, jeux de données interrogés

#1.1 Données et requêtes

Aucun jeu du GAR ni de la commande publique ne décrit les SDK ou les traceurs des ressources ; le GAR demande à l'éditeur une déclaration de conformité par ressource (§ 3.6), qui n'est pas publiée.

#1.2 Textes lus

• Contrat d'adhésion GAR v2026 (texte extrait par W10, etude/vague4/_travail_W10/dl/contrat_gar_2026.pdf.txt) : annexe 3 § 1.2 et § 2.2 (p. 23 à 27), annexe 4 (conservation des cookies, p. 35), annexe 5 (p. 43 à 47).
• CNIL : « Cookies : solutions pour les outils de mesure d'audience » (04/07/2025) ; « Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandation » (29/09/2020 ; lignes directrices et recommandation adoptées le 17/09/2020) ; « Applications mobiles : la CNIL publie ses recommandations » (24/09/2024, mise à jour le 08/04/2025) et la recommandation elle-même (PDF de 98 pages, recommandation-applications-mobiles-modifiee.pdf, § 6.3 p. 55 à 57 et listes de vérifications) ; fiche « outils collaboratifs en ligne » du 24/08/2026 (lue par V21).
• Microsoft Learn, « Consent Management » (Clarity), texte brut lu le 12/10/2026.
• Documentation de l'API d'εxodus (github.com/Exodus-Privacy/exodus/raw/v1/doc/api.md).
• Mentions affichées par εxodus sur chaque rapport.
• Human Rights Watch, « "How Dare They Peep into My Private Life?" Children's Rights Violations by Governments that Endorsed Online Learning During the Covid-19 Pandemic » (25/05/2022), texte brut de la page du rapport lu le 16/10/2026 (~/.cache/manuels-vague8/Q25-integ/hrw/rep.html).

#2. Recensement

#3. Fiches détaillées et mesures

#3.1 Méthode et fiabilité de la mesure

Ce que mesure εxodus. Chaque rapport affiche : « Ce rapport liste les signatures des pisteurs que nous avons trouvés par l'analyse statique de cet APK. Cela ne constitue pas une preuve de l'activité de ces pisteurs. L'application pourrait contenir un ou plusieurs pisteurs que nous n'avons pas encore identifiés. » Le rapport donne la version analysée, les pisteurs (nom et catégorie), les permissions et, pour les rapports anciens, l'empreinte du certificat. La recherche publique (POST /api/search) se fait sans compte ; les détails par l'API (GET /api/search/<id>/details) demandent une clé, obtenue par courriel (« In order to use this REST API, you have to request an API key », à api@exodus-privacy.eu.org).

Ce qu'a mesuré ce rapport en plus. Les rapports d'εxodus portent presque tous sur des versions anciennes (tableau du § 3.2). Les paquets courants ont donc été récupérés sur le miroir APKPure et analysés avec la même liste de signatures que celle d'εxodus, sans les exécuter. Authenticité : l'empreinte SHA-1 du certificat du paquet récupéré est identique à celle qu'affiche εxodus pour les 8 applications où il l'affiche (Biblio Manuels 5c6cf066…, Lib Manuels 8e1c3e20…, Manuel max 1f46bca7…, Lelivrescolaire.fr 78d81054…, Bordas FlashPage 8ebf4735…, Nathan Live e3d5cbba…, Kartable 2015af5d…, Le Robert Ortho db11d2e7…) ; pour les autres (FLEX Manuel 444b5359…, par exemple), la concordance n'a pas de point de comparaison public. Les versions, certificats, permissions et kits des 39 paquets du 12/10/2026 ont été recomptés le 16/10/2026 par un script indépendant (contre-vérification). La version récupérée est celle de Google Play au 12/10/2026 pour Lib Manuels, Biblio Manuels, éducadhoc, Biblio Exos, Kartable, SchoolMouv et Kalulu ; APKPure n'avait pas la dernière version de trois applications (Manuel max 1.14.25 contre 1.16.2 ; FLEX Manuel 2.2.0 contre 2.4.2 ; Bordas FlashPage 5.1.1 contre 5.1.2) ; Google Play affiche « Varies with device » pour SOLAIRE, Lelivrescolaire.fr et Nathan Live (versions récupérées : 1.1.2, 4.3.1, 6.0.4).

Limites communes aux deux mesures. Une signature de code présente dit qu'un kit est embarqué, pas qu'il est activé ni ce qu'il transmet ; une application hybride (Cordova, Capacitor, React Native) ou un moteur (Unity, Flutter) peut porter ses traceurs dans du code que les signatures de classes ne voient pas : les domaines cherchés dans les fichiers texte (§ 1.1) et le contexte de chaque occurrence (scripts/contexte.py) comblent une partie de ce trou. Les occurrences dont le contexte n'établit pas un traceur ont été écartées : « batch.com » dans Biblio Exos est un fragment de « WriteBatch.commit » (Firestore) ; « google.com » est une signature réseau générique d'εxodus ; les chaînes googletagmanager.com et connect.facebook.net du paquet de Manuel max sont une page HTML enregistrée par erreur dans assets/fonts/Verdana.ttf, pas un traceur (contre-vérification du 16/10/2026).

Ce que la contre-vérification du 16/10/2026 a corrigé dans la méthode. La recherche d'un préfixe de signature (sans point final) dans tout le contenu des dex, et celle des domaines dans un contenu mis en minuscules, trouvent aussi des noms seulement cités par le code d'un autre kit. Quatre lectures du relevé du 12/10 en étaient des faux positifs, relevés en distinguant les classes définies dans les dex des noms de types seulement référencés (~/.cache/manuels-vague8/Q25-verif/, scripts verif_apk.py, defs.py) :

• « OneTrust » dans Lib Manuels : le fragment « getFromAlreadyDoneTrustedFuture », aucune classe ni chaîne OneTrust ;
• l'identifiant publicitaire de Google (com/google/android/gms/ads/identifier) et de Huawei dans Biblio Manuels et SOLAIRE : deux noms de type par fournisseur, référencés par AT Internet et Piano, sans classe définie ;
• Huawei Mobile Services dans FLEX Manuel : les noms com/huawei/hms/push et …/location cités par OneSignal, sans classe Huawei définie ;
• AdMob dans Accès EPS, BOOSTIN et KLAPSO learning : la signature com.google.ads. d'εxodus est déclenchée par neuf noms d'interface de l'API Google IMA (com/google/ads/interactivemedia/v3/api/AdError, AdEvent, ImaSdkFactory…), sans aucune classe d'implémentation (…/internal/ absent) : le SDK publicitaire n'est pas embarqué, le lecteur vidéo le référence. Une signature se confirme donc par une classe définie, pas par un nom de type cité. Le même contrôle, fait le 16/10/2026 sur le paquet courant de l'application du CNED, y trouve le même faux positif AdMob (§ 3.3).

#3.2 Les dix lecteurs et compléments de manuels : mesure et déclarations

Constats :

• Les dix lecteurs et compléments embarquent tous au moins un kit tiers de mesure ou de rapport de plantage ; aucun ne porte de kit publicitaire au sens d'εxodus (AdMob, Facebook Audience, réseaux d'annonces). Les kits sont de trois sortes : mesure d'audience (AT Internet, Piano, Matomo, Firebase Analytics), rapport de plantage (Crashlytics, Sentry, Bugsnag), enregistrement de sessions (Microsoft Clarity chez Lelivrescolaire.fr). Le constat vaut pour une version Android de chaque application et pour la présence d'un kit, pas son activation ; pour Biblio Exos, il repose sur le module d'analyse du SDK web Firebase présent dans le code, dont l'activation n'est pas établie (aucun identifiant de mesure trouvé) ; il ne vaut ni pour iOS ni pour les versions plus récentes de Manuel max (1.16.2), FLEX Manuel (2.4.2) et Bordas FlashPage (5.1.2), non analysées.
• Trois kits courants ne sont pas vus par εxodus : Piano Analytics dans SOLAIRE, Microsoft Clarity dans Lelivrescolaire.fr, Braze (nouveau paquet) dans SchoolMouv. Un rapport εxodus « 0 pisteur » ou court ne suffit donc pas à établir l'absence de kit.
• Les kits changent d'une version à l'autre chez cinq lecteurs et compléments : Lib Manuels passe de Google Analytics, Tag Manager et Sentry (2.0.11) à Sentry seul (9.0.0) ; Biblio Manuels passe de Google Analytics et Tag Manager (2.7.0) à AT Internet (3.13.1) ; éducadhoc retire Firebase Analytics et la permission AD_ID entre 9.4 et 9.6 ; Bordas FlashPage ajoute Firebase Analytics à Crashlytics ; Lelivrescolaire.fr passe de Firebase et AT Internet à Bugsnag et Clarity. Nathan Live garde les mêmes kits ; avec Bordas FlashPage, il abandonne la localisation précise (versions de 2018-2020) et ajoute les permissions publicitaires ADSERVICES que tire le SDK Firebase. Chaque comparaison porte sur deux points (version εxodus, version courante). La déclaration d'un magasin vaut pour une version.
• Écarts entre code et déclaration Google Play : FLEX Manuel déclare « aucune donnée collectée » et « aucune partagée » en embarquant Crashlytics, Matomo et OneSignal (version 2.2.0, et mêmes signatures en 2.3.0 chez εxodus ; la 2.4.2 n'est pas analysée ; la signature HMS est un faux positif, § 3.1) ; Lib Manuels déclare « aucune donnée collectée » en embarquant Sentry (journaux de plantage) et une mesure Matomo (sans cookie avant consentement, mais mesure tout de même), alors qu'il déclare des diagnostics chez Apple. Bordas FlashPage déclare « Données non collectées » chez Apple quand sa version Android porte Firebase Analytics et Crashlytics (la version iOS n'est pas analysable). La définition de Google (une donnée traitée « éphémère » n'est pas déclarée ; Z21 § 3.5) et le statut de Matomo auto-hébergé, que le développeur peut tenir pour non partagé, laissent une marge d'interprétation ; la contradiction reste entière pour Crashlytics et OneSignal, services de tiers. Ces écarts opposent un kit embarqué à une déclaration ; ils ne prouvent pas une collecte, que seule la mesure à l'exécution établirait (§ 5), et aucune autorité ne les a qualifiés.
• Les identifiants publicitaires : dans Biblio Manuels et SOLAIRE, les kits de mesure (AT Internet, Piano) cherchent l'identifiant publicitaire de Google et de Huawei, mais les bibliothèques qui le fournissent ne sont pas dans le paquet (aucune classe com/google/android/gms/ads/identifier ni com/huawei définie, contre-vérification du 16/10/2026) : l'appel est prévu par le kit et reste sans effet tant que l'application n'embarque pas la bibliothèque. Bordas FlashPage et Nathan Live, eux, embarquent Firebase Analytics et déclarent les permissions ACCESS_ADSERVICES_AD_ID et ATTRIBUTION. Biblio Manuels, éducadhoc et SOLAIRE portent le badge « S'engage à respecter les règles pour les contenus familiaux de Play » (Z21). La Families Policy interdit de transmettre l'AAID pour un enfant ou un utilisateur d'âge inconnu (Z21 § 3.4) : la présence d'une permission ne prouve pas la transmission ; la mesure d'exécution (§ 5) le dirait.

#3.3 Kartable, SchoolMouv, et les étalons publics Kalulu, CNED, Lumni

Kartable s'engage aux règles Familles de Google tout en embarquant trois kits Facebook et en demandant les permissions de publicité ciblée par centres d'intérêt (TOPICS) et d'audiences personnalisées (CUSTOM_AUDIENCE) ; ses déclarations Google et Apple annoncent bien un usage publicitaire : le code et la déclaration concordent, c'est l'engagement Familles qui jure avec eux. Kalulu, application publique, ne porte aucun kit ni en 3.0.0 ni en 3.1.5.

Les deux autres applications publiques ne tiennent pas ce niveau de la même façon. L'application du CNED embarque Firebase Analytics, Crashlytics et la bibliothèque de l'identifiant publicitaire Google, avec la permission AD_ID, sous badge Familles et avec une déclaration Google réduite aux fichiers et aux journaux de plantage : le même écart que celui d'Accès éditions (§ 3.4) ; sa signature AdMob, en revanche, est le faux positif IMA du § 3.1. Lumni ne porte aucun kit dans sa coque, mais sa déclaration Google annonce un partage pour « Publicité ou marketing » : ce qui part se joue sur le site lumni.fr, que la coque affiche. Relevé au navigateur le 16/10/2026 pour un premier visiteur (Q31 § 1.6), l'accueil de lumni.fr affiche un bandeau Didomi (« Continuer sans accepter », « Paramétrer », « Tout Accepter ») et appelle, avant toute réponse, Piano (tag.aticdn.net, pa-cd.com, xiti.com), NPAW (mesure vidéo), Akamai mPulse, nmrodam.com et maxwell.france.tv ; après « Continuer sans accepter », Piano passe en mode « exempt » et xiti.com n'est plus appelé, mais NPAW, mPulse et nmrodam.com restent. Le relevé porte sur le site ouvert dans Chrome, pas sur la coque Android (§ 3.5 bis). Sources : pages εxodus brutes du 12/10/2026 (Q25/exodus/L_fr.cned.sam.html, L_fr.lumni.www.twa.html) ; paquets et fiches Google Play du 16/10/2026 (Q25-integ/).

Analyse publique antérieure : le rapport de Human Rights Watch du 25/05/2022 a analysé, entre mars et août 2021, 163 produits éducatifs recommandés par 49 gouvernements pendant les fermetures d'écoles, France comprise ; 145 (89 %) « appeared to engage in data practices that put children's rights at risk ». Pour la France, il range Jules, MaSpéMaths et Ma classe à la maison parmi les neuf produits publics « found to protect children's data by not installing any tracking technologies », et Deutsch für Schulen et English for Schools parmi les 56 produits publics « transmitting children's data to AdTech companies ». C'est, avec εxodus, la seule mesure publique trouvée des traceurs de ressources scolaires recommandées en France ; elle date de 2021 et les produits français qu'elle nomme ne comprennent aucun lecteur de manuels. Source : texte brut de https://www.hrw.org/report/2022/05/25/how-dare-they-peep-my-private-life/childrens-rights-violations-governments, lu le 16/10/2026.

Base d'échantillon pour d'autres étalons publics : le jeu « Catalogue des applications mobiles (Android et iOS) proposées par la puissance publique… - 2026 » (data.gouv.fr, version 1.0-RC3 du 23/06/2026, publié par un compte utilisateur et non par une administration) recense 1 038 applications (feuille « Somme » : 974 actives, 980 sous Android), avec éditeur et liens magasins. Il porte Lumni, Gallica, Gallicadabra, Fabricabrac et BDnF, la fabrique à BD (BnF), mais ni Kalulu ni l'application du CNED ; du ministère de l'Éducation nationale, il ne recense que CycladesVerif et e-colibris, deux applications de gestion. Il sert de point de départ, pas de liste complète des applications scolaires publiques. Source : fichier catalogue-applications-puissance-publique-rc3.ods, lu le 16/10/2026.

#3.4 Les applications d'activités et compléments d'éditeurs

Constats :

• Les 18 applications Jocatop, toutes pour l'école primaire, ne portent aucun kit tiers, en catégorie Enfants chez Apple ou non ; neuf demandent le micro et l'état du téléphone (READ_PHONE_STATE), Contes numériques compris, et une dixième, Lecthème+ Texte, le micro seul ; leur fiche ne commente pas ces permissions. Zoum déclare un « ID de l'appareil » collecté à des fins d'analyse sans kit pour le faire : la déclaration annonce plus que le code ne montre (collecte possible par le serveur de l'éditeur, non vérifiable statiquement).
• Accès éditions concentre l'écart le plus net : badge Familles, déclaration réduite à une adresse e-mail facultative, mais Firebase Analytics, Sentry, permission AD_ID et localisation précise dans le paquet. La Families Policy interdit la permission AD_ID à une application qui ne vise que des enfants et toute localisation précise (Z21 § 3.4) ; le public cible exact déclaré par l'éditeur n'est pas public (Z21 § 5). L'application du CNED montre un écart de même forme (Firebase Analytics, AD_ID, badge Familles, déclaration limitée aux fichiers et plantages, § 3.3).
• Aucune des applications d'activités ne porte de SDK publicitaire : les signatures AdMob d'Accès EPS, de BOOSTIN et de KLAPSO learning sont des noms d'interface de l'API Google IMA cités par le lecteur vidéo (§ 3.1).
• Le Robert Ortho et MEDIA+ montrent qu'un éditeur peut sortir les kits : Le Robert Ortho portait Adjust, Google Analytics et Tag Manager en 1.0.13 et n'en porte plus en 1.1.1 ; MEDIA+ n'en porte dans aucune des deux versions.

#3.5 Les sites : collecte bornée du HTML et des en-têtes (12/10/2026, 09 h 01)

« Chargé d'office » : le script est dans un bloc <script> sans type ou de type text/javascript, exécuté dès l'analyse de la page, avant toute réponse au bandeau. « Réservé au consentement » : bloc type="didomi/javascript" que Didomi n'exécute qu'après accord pour le fournisseur nommé (data-vendor).

Pages relues le 16/10/2026 par la contre-vérification (15 pages, ~/.cache/manuels-vague8/Q25-verif/web/) ; mesmanuels.fr y renvoie 502 (pare-feu « HL WAAP ») et sa page brute du 12/10 a été relue.

Ce que la lecture du code de Lelivrescolaire.fr ajoute (bundle client-j3z6zx7b.js, enregistré le 12/10/2026 ; le 16/10, le bundle porte un autre nom, client-CxiVPC_B.js, que le site ne sert pas au client scripté) :

• la fonction qui initialise Clarity s'arrête quand l'utilisateur n'est pas connecté ou est un utilisateur du GAR (forbidAccessToGarUser:o=!0, puis i=o&&(!e||e?.isGarUser) et if(i)return) ; pour un utilisateur connecté hors GAR, elle appelle UH.init(t),UH.consent(!0) — le signal de consentement de Clarity est envoyé à « vrai » par le code — puis étiquette la session avec user_type (« teacher » ou « student ») et user_plan ;
• un bandeau du lecteur affiche « Lors de votre navigation sur ce site, des cookies nécessaires au bon fonctionnement et exemptés de consentement sont déposés » ; le code servi ne règle aucun mode de confidentialité de Piano, dont la configuration par défaut lue dans piano-analytics.esm.js est privacyDefaultMode:"optin", avec une durée de vie du visiteur de 395 jours (storageLifetimeVisitor:395). Le mode « exempt » existe dans la bibliothèque. Au navigateur le 16/10/2026, le cookie pa_privacy du manuel gratuit vaut « optin » pour un premier visiteur et reste « optin » après un refus Didomi donné sur l'accueil (Q31 § 1.6) : le mode que le site enregistre chez le visiteur est « optin », pas « exempt » ;
• le même relevé trouve Clarity (cookies _clck, _clsk, appels à clarity.ms) sur la page du manuel gratuit pour un visiteur non connecté, avant toute réponse et après refus (Q31 § 1.6) ; le bundle servi ce jour-là n'est pas celui lu ci-dessus.

Constats :

• Tous les sites d'éditeurs lus chargent une mesure d'audience d'office, sauf l'espace enseignants d'Hachette : Google Tag Manager en balise <script> (mesmanuels.fr, sites compagnons Nathan et Bordas, Belin), Matomo (Magnard, avec un conteneur Matomo Tag Manager ; Hatier), Piano et Clarity (Lelivrescolaire.fr). Chez SchoolMouv, GTM est déclaré dans la configuration du rendu Next.js et appliqué par le JavaScript : son chargement avant le bandeau ne se lit pas dans le HTML. Google Tag Manager n'écrit pas de cookie par lui-même ; ce qu'il déclenche dépend du conteneur, qui ne se lit qu'à l'exécution. Les marqueurs Google Analytics des sites compagnons Nathan et Bordas, eux, sont subordonnés au consentement Didomi. À l'exécution, le 16/10/2026, les conteneurs de mesmanuels.fr, de Nathan, de Bordas et de Belin ne déclenchent aucune requête d'analytique ni de publicité vue, avant toute réponse comme après refus ; celui de SchoolMouv est appelé avant toute réponse au bandeau, avec AdRoll (§ 3.5 bis).
• Le manuel gratuit de Lelivrescolaire.fr, les ressources élève de Magnard et hatier-clic.fr mesurent sans bandeau : Piano chez le premier, Matomo auto-hébergé chez Magnard, Matomo Cloud chez Hatier, dont la page ne charge aucun gestionnaire de consentement. Ces outils peuvent entrer dans l'exemption de la CNIL s'ils sont configurés pour (§ 3.7) ; le HTML ne montre ni l'anonymisation ni la durée des cookies. Au navigateur le 16/10/2026, le manuel gratuit de Lelivrescolaire.fr charge aussi Microsoft Clarity, avec ses cookies, sous un simple encart d'information sur des cookies « exemptés de consentement », et Piano y est en mode « optin » ; Magnard n'a ni bandeau ni mention des cookies dans la page ; hatier-clic.fr dépose les cookies Matomo _pk_id et _pk_ses (§ 3.5 bis).
• Microsoft Clarity est chargé d'office sur l'accueil de Lelivrescolaire.fr, et le site lui envoie le consentement pour tout visiteur. Microsoft écrit que depuis le 31/10/2025 Clarity « does not place cookies in the EEA, UK, or Switzerland unless valid consent is received » ; le script d'accueil appelle, à l'événement load, window.clarity('consent') pour tout visiteur, anonyme compris, sans condition liée à Didomi : le signal de consentement de Clarity est donc envoyé par le site dès l'accueil, et pas seulement dans l'appli web du lecteur pour les comptes hors GAR. Au navigateur le 16/10/2026, Clarity dépose ses cookies _clck et _clsk avant toute réponse au bandeau Didomi ; il ne figure pas dans la liste de partenaires de Didomi et continue après refus, sur l'accueil (3 requêtes) comme sur le manuel gratuit (4 requêtes) (§ 3.5 bis).
• La seule régie publicitaire trouvée est sur le site qu'affiche l'application Bescherelle Conjugaison (The Moneytizer), chargée sans attribut de consentement, pour une application qui déclare « aucune donnée collectée » sur Google Play. Au navigateur le 16/10/2026, cette régie et ses partenaires sont appelés avant toute réponse et continuent après un refus enregistré (§ 3.5 bis). Elle n'est plus la seule trouvée : Kartable et SchoolMouv appellent des services publicitaires dès l'arrivée (§ 3.5 bis).
• Le seul cookie d'identifiant posé par le serveur avant tout consentement est celui de SchoolMouv (cid, un an) ; les en-têtes Set-Cookie de Belin suppriment des cookies au lieu d'en poser. Les cookies déposés par les scripts, relevés au navigateur, sont au § 3.5 bis.

#3.5 bis Les sites au navigateur : premier visiteur, puis refus (16/10/2026)

Relevé fait dans Chrome le 16/10/2026 (Q31 § 1.6), avec l'accord de PF pour effacer les cookies des 11 sites. Sur chaque site : effacement par script de tous les cookies lisibles et du stockage local, contrôle que plus aucun cookie ne reste, rechargement comme premier visiteur, attente de 8 secondes, relevé des cookies lisibles par script, des hôtes tiers appelés (Performance API) et du bandeau ; puis réponse « refuser » quand le bandeau l'offre, rechargement, même relevé. La méthode ne voit pas les cookies HttpOnly ni les cookies déposés sous un domaine tiers ; elle établit des appels et des dépôts, pas l'usage que les partenaires font des données. Quand la capture d'écran a échoué (rendu figé), le bandeau a été contrôlé par script (texte de la page, éléments fixes, iframes, shadow DOM, API de consentement). La page mesmanuels.fr/acces-libre/9782017329022 répondant « Cette page est introuvable », le relevé de mesmanuels.fr porte sur cette page puis sur l'accueil (Q31 § 2).

Constats, à la date du 16/10/2026, pour un premier visiteur :

• Deux sites déposent des traceurs publicitaires avant tout consentement : Kartable, qui n'a aucun bandeau (Google Ads, Microsoft Advertising, Criteo, pixel Meta, Google Analytics 4), et SchoolMouv (AdRoll, consentement non donné ; ses deux cookies restent après refus).
• Lelivrescolaire.fr charge un service d'analyse comportementale qui ne figure pas dans sa liste de partenaires et qui continue après refus : Microsoft Clarity, y compris sur le manuel gratuit en accès libre.
• Le conjugueur Bescherelle continue d'appeler sa régie après un refus enregistré. La chaîne de consentement transmet ce refus aux partenaires, et les appels peuvent servir une publicité non personnalisée : le profilage n'est pas établi par ce relevé.
• mesmanuels.fr propose un consentement par poursuite de navigation, sans refus au premier niveau, avec des finalités précochées au second.
• Nathan, Bordas et Belin ne chargent que leur outil de consentement et Google Tag Manager, avant toute réponse comme après refus. Lumni, après refus, passe Piano en mode « exempt » et garde ses mesures d'audience vidéo et de performance (NPAW, mPulse) et nmrodam.com.
• Magnard (ressources élève) et hatier-clic n'ont pas de bandeau et utilisent Matomo ; la configuration d'exemption de ces Matomo n'est pas visible par cette méthode.
• Le relevé porte sur les sites web ; les applications (§ 3.1 à § 3.4) ne sont pas mesurées par cette méthode.

#3.6 Les règles du contrat GAR qui s'appliquent à ces mesures

• Annexe 3 § 1.2 (p. 23-24), « Absence de demande de DCP et principes associés » : « absence de toute collecte de données par l'application en dehors des DCP fournies par le GAR et justifiées dans la déclaration de conformité » ; « absence de toute transmission de données à des tiers quels qu'ils soient, que ce soit par l'éditeur, le DTR, le DCR ou un de leurs partenaires ou sous-traitants, non concernés par l'exécution du service » ; « absence de tout lien aux réseaux sociaux (sous forme d'icône ou autre) sur l'ensemble de la ressource, à l'exception des ressources à destination des seuls enseignants ».
• Annexe 3 § 2.2 (p. 26-27), éléments de la déclaration de conformité : « description des éventuels outils de traçage et/ou de mesure d'audience utilisés au sein de la ressource. L'éditeur s'engage à n'utiliser que des solutions exemptées de consentement (pour les usages scolaires) et respectant les recommandations de la CNIL et les termes du contrat GAR ».
• Annexe 4 (p. 35) : « Données conservées via des cookies : durée de conservation limitée à 13 mois au maximum ».
• Annexe 5 (p. 43-45) : les contenus multimédias intégrés doivent être « dépourvus de tout traceur publicitaire et ne déposant que des traceurs pour lesquels il n'est pas nécessaire de recueillir le consentement » ; l'éditeur doit « vérifier que l'intégration de ces contenus externes ne déclenche aucun dépôt ou lecture de traceur, en activant, par exemple, un mode de confidentialité proposé par le fournisseur tiers » ; « À défaut de telles garanties, l'usage de contenus multimédias externes intégrés […] est réputé non conforme » ; « En cas de détection de contenu non acceptable, le ministère se réserve le droit de bloquer l'accès à la ressource ». L'annexe 5 porte deux formules : « exempts de tout traceur publicitaire » dans les recommandations de la CNIL qu'elle reprend (p. 43), « dépourvus de tout traceur publicitaire » dans les attendus du ministère ; elles coexistent dans le texte.
• Annexe 4 § 10 : « Le responsable de traitement se réserve le droit d'effectuer, à sa seule discrétion, tout audit du sous-traitant » ; le texte ne prévoit pas de contrôle continu des ressources, et les déclarations de conformité par ressource n'étant pas publiées, le contrôle effectivement mené n'est pas établi.

Ces règles visent la ressource servie par le GAR, pas les sites publics des éditeurs ni leurs ventes hors GAR. Le code du lecteur de Lelivrescolaire.fr montre une séparation explicite : Clarity n'y est pas lancé pour un utilisateur du GAR (§ 3.5) ; l'accueil public du site, qui n'est pas la ressource servie par le GAR, envoie en revanche le consentement à Clarity pour tout visiteur. Les autres lecteurs servent le même paquet aux utilisateurs du GAR et aux autres (aucun paquet distinct trouvé sur Google Play) ; si leurs kits tiers sont désactivés pour les sessions GAR, cela ne se voit pas statiquement.

#3.7 Ce que dit la CNIL de ces kits

• Mesure d'audience exemptée (04/07/2025) : traceurs « utilisés pour une finalité strictement limitée à la seule mesure de l'audience […] pour le compte exclusif de l'éditeur », servant « à produire des données statistiques anonymes uniquement », sans « recoupement des données avec d'autres traitements » ni transmission « à des tiers » de données non anonymes ; durée de vie de treize mois « non prorogée automatiquement », conservation de vingt-cinq mois. La page ne publie plus de liste de solutions : « La CNIL met à disposition des fournisseurs […] un outil d'auto-évaluation » ; « il ne vous est pas possible de la présenter comme "certifiée" ou "validée par la CNIL" ». Elle vise expressément « un site web ou […] une application mobile ».
• Lignes directrices et recommandation du 17/09/2020 (page du 29/09/2020) : sans acte positif, « aucun traceur non essentiel au fonctionnement du service ne pourra être déposé ».
• Recommandation « applications mobiles » (08/04/2025), § 6.3 : « toute opération de lecture et/ou écriture au sens de l'article 82 de la loi Informatique et Libertés qui nécessite un consentement qui serait effectuée au premier lancement de l'application est à proscrire » ; « Ces recommandations s'appliquent également aux SDK fournis par les fournisseurs d'OS » ; « Point d'attention […] effet "poupées russes" : lorsque l'intégration d'un SDK implique celle d'autres SDK » ; liste de vérifications 2.2.2 : « Tout SDK mis en œuvre est analysé […] pour identifier s'il procède à des traitements de données personnelles » ; 1.2.6 : « Des mesures additionnelles sont appliquées sur les données des personnes mineures ». L'annonce du 24/09/2024 prévoit « dès 2025 » « une campagne spécifique de contrôles » : c'est une intention annoncée ; aucun contrôle visant un éditeur scolaire n'a été trouvé (§ 5). Ces textes sont la doctrine et les recommandations de la CNIL, non des règlements.
• Fiche « outils collaboratifs en ligne » du 24/08/2026 (V21 § 3) : traceurs publicitaires « en principe interdits, au regard du principe de neutralité du service public de l'éducation, incluant la neutralité commerciale ».

Rattachement des kits mesurés à ces règles (lecture du rapport, aucune autorité n'a qualifié ces applications) : Matomo, Piano et AT Internet sont des outils qui peuvent être configurés pour l'exemption ; Firebase Analytics, Microsoft Clarity, Amplitude, AppsFlyer et les kits Facebook ne s'y rangent pas tels quels, parce que leur fournisseur réutilise des données ou suit l'utilisateur entre applications, ou parce qu'il exige lui-même un consentement (Clarity) ; les rapports de plantage (Crashlytics, Sentry, Bugsnag) relèvent d'une analyse au cas par cas (transmission à un tiers, données d'appareil).

#4. Ce que ce sujet apprend pour une solution qui édite des manuels et les met à disposition

1. Aucun des lecteurs de manuels actuels n'est sans kit tiers, et un concurrent peut le vérifier en une journée. Les dix lecteurs et compléments Android embarquent au moins un kit de mesure ou de rapport de plantage, dans la version analysée de chacun (présence, pas activation ; pour Biblio Exos, module d'analyse du SDK web Firebase dont l'activation n'est pas établie ; iOS non mesuré) (§ 3.2) ; Lelivrescolaire.fr y ajoute un enregistreur de sessions. Le même contrôle, avec les outils publics employés ici (rapports εxodus, liste de signatures ouverte, paquets du magasin), peut être fait sur l'application d'un entrant par un acheteur, un journaliste ou la CNIL ; il doit alors distinguer les classes définies des noms seulement cités, sous peine de faux positifs (OneTrust, AdMob, HMS, identifiants publicitaires, § 3.1). Un lecteur sans aucun kit tiers, avec une mesure d'audience auto-hébergée configurée pour l'exemption, est un niveau que personne ne tient parmi les lecteurs mesurés, et que Kalulu (public) et les 18 applications Jocatop (privées, primaire) montrent tenable ; une application publique ne le garantit pas d'elle-même : celle du CNED embarque Firebase Analytics et la bibliothèque de l'identifiant publicitaire. Human Rights Watch avait déjà trouvé en 2021 trois produits publics français sans aucune technologie de suivi (Jules, MaSpéMaths, Ma classe à la maison) et deux qui transmettaient des données à des sociétés publicitaires (Deutsch für Schulen, English for Schools). Sources : § 3.1 à § 3.4.
2. Les déclarations des magasins ne sont pas un contrôle : des écarts nets sont mesurés. FLEX Manuel déclare « aucune donnée collectée » chez Google avec trois kits tiers (Crashlytics, OneSignal, Matomo) ; Lib Manuels déclare « aucune donnée collectée » avec Sentry et Matomo ; Accès éditions déclare une adresse e-mail facultative avec Firebase Analytics, AD_ID et localisation précise sous badge Familles ; l'application du CNED déclare seulement des fichiers et des journaux de plantage avec Firebase Analytics et AD_ID sous badge Familles ; l'application Bescherelle Conjugaison déclare « aucune donnée collectée » en affichant une régie publicitaire, que le site continue d'appeler après un refus enregistré (§ 3.5 bis). Ces écarts opposent un kit embarqué à une déclaration, pas une collecte mesurée, et aucune autorité ne les a qualifiés. La règle qui en découle pour une solution : établir la déclaration à partir de l'inventaire du paquet compilé (kits, permissions, domaines appelés), la refaire à chaque version (les kits changent d'une version à l'autre chez cinq lecteurs et compléments, § 3.2), et la tenir identique dans les deux magasins (Z21 § 3.7). Sources : § 3.2, § 3.3, § 3.4, § 3.5, § 3.5 bis.
3. Le contrat GAR fixe le niveau sans prévoir de contrôle continu ; la mesure sert donc aussi d'argument de vente. L'annexe 3 interdit toute transmission à des tiers non concernés par le service et n'admet que des outils de mesure exemptés de consentement ; l'annexe 5 fait vérifier par l'éditeur qu'aucun contenu intégré ne lit ni n'écrit de traceur ; le ministère se réserve des audits à sa discrétion (annexe 4) et le blocage d'une ressource (annexe 5), mais les déclarations de conformité n'étant pas publiées, le contrôle effectivement mené n'est pas établi (§ 3.6). Un seul éditeur montre dans son code une séparation entre sessions GAR et hors GAR (Lelivrescolaire.fr, pour Clarity). Une solution qui sert la même application dans le GAR et hors du GAR doit soit n'embarquer que ce que le GAR admet, soit prouver la désactivation par session ; la première voie est la seule qui se vérifie sur le paquet publié. Sources : § 3.5, § 3.6 ; 04-formats § 4 ; 10-vague5 § 6.6.
4. Hors GAR, l'existant mesure les mineurs d'office sur ses pages gratuites. Le manuel gratuit de Lelivrescolaire.fr (Piano, sans bandeau, en mode « optin » relevé au navigateur, avec une durée de vie du visiteur de 395 jours par défaut dans la bibliothèque lue le 12/10/2026, le code servi ne réglant pas cette durée, et Microsoft Clarity avec ses cookies), les ressources élève de Magnard (Matomo et un conteneur Matomo Tag Manager, sans bandeau) et hatier-clic.fr (Matomo Cloud, sans gestionnaire de consentement, cookies _pk_id et _pk_ses) mesurent d'office (la configuration de ces Matomo n'étant pas visible, leur conformité à l'exemption de la CNIL n'est ni établie ni infirmée) ; l'accueil de Lelivrescolaire.fr envoie le consentement à Clarity pour tout visiteur, et Clarity continue après un refus ; mesmanuels.fr, les sites compagnons Nathan et Bordas et Belin chargent Google Tag Manager par une balise <script> exécutée avant le bandeau, sans requête d'analytique vue au navigateur ; SchoolMouv pose un identifiant d'un an par le serveur et appelle AdRoll, régie de reciblage, avant toute réponse au bandeau ; Kartable, sans bandeau, dépose dès l'arrivée les cookies de Google Ads, Microsoft Advertising et Criteo et appelle le pixel Meta (§ 3.5 bis). Pour une solution qui publie un accès libre élève (le modèle de mesmanuels.fr et de Lelivrescolaire.fr, 01-existant), la page d'élève sans aucun script tiers chargé d'office et la mesure exemptée configurée et documentée (durée de 13 mois, 25 mois de conservation) sont le niveau que le contrat GAR exige de la ressource qu'il sert (il ne vise pas ces pages publiques, § 3.6) et que l'exemption de la CNIL permet de tenir sans bandeau (§ 3.7), et qu'aucun des sites d'éditeurs lus ne tient entièrement ; Sésamath et libmanuels.fr ne chargent rien. Sources : § 3.5, § 3.5 bis, § 3.7.
5. Les permissions se lisent aussi, et un acheteur public au moins les regarde. Les écoles de Paris retiennent « l'absence de publicité et les autorisations demandées » pour sélectionner une application (12-vague7 § 3.2), un cas qui ne se généralise pas aux autres collectivités : FLEX Manuel demande 26 permissions, SchoolMouv 22 (§ 3.3), BOOSTIN et KLAPSO 23 (agenda, détection de capture d'écran ; sans SDK publicitaire, leur signature AdMob étant un faux positif, § 3.1) ; neuf applications Jocatop demandent le micro et l'état du téléphone, une dixième le micro seul ; Bordas FlashPage et Nathan Live ne demandent plus la localisation précise qu'elles demandaient en 2018-2020. Une application de manuel qui se limite à INTERNET, l'état du réseau et, au besoin, le micro pour les langues, se distingue sur ce critère lisible par un groupe de travail de collectivité. Sources : § 3.2, § 3.3, § 3.4.
6. Les identifiants publicitaires viennent souvent d'un kit de mesure, pas d'une intention publicitaire. Les permissions ACCESS_ADSERVICES de Bordas FlashPage, Nathan Live, Accès éditions et de l'application du CNED accompagnent Firebase Analytics, qui les embarque. AT Internet et Piano, dans Biblio Manuels et SOLAIRE, cherchent l'identifiant publicitaire de Google et de Huawei, mais les bibliothèques qui le fournissent ne sont pas dans le paquet : l'appel est prévu par le kit et reste sans effet tant que l'application n'embarque pas la bibliothèque. Sous la Families Policy, ces identifiants ne doivent pas être transmis pour un enfant ou un utilisateur d'âge inconnu (Z21 § 3.4) ; sous la recommandation CNIL, aucune lecture soumise au consentement au premier lancement. Le choix d'un kit de mesure qui embarque lui-même ces permissions, comme Firebase Analytics, engage donc la conformité « enfants » de l'application entière (effet « poupées russes » de la CNIL). Sources : § 3.1 à § 3.4, § 3.7.
7. εxodus seul ne suffit pas à établir l'absence de traceurs. Sa liste ignore Piano Analytics, Microsoft Clarity, le paquet actuel de Braze et RevenueCat, et ses rapports datent de 2018 à 2025 pour huit des dix lecteurs ; il n'a aucun rapport pour SOLAIRE ni Biblio Exos. À l'inverse, ses signatures par préfixe signalent des kits absents (AdMob pour l'API IMA d'un lecteur vidéo dans Accès EPS, BOOSTIN, KLAPSO et l'application du CNED ; HMS pour les noms cités par OneSignal dans FLEX Manuel). Pour tenir le niveau qu'elle affiche, une solution doit faire sa propre analyse de chaque version publiée (classes définies, domaines, et mesure du trafic à l'exécution), pas s'en remettre à un rapport tiers. Sources : § 3.1, § 3.2, § 3.3.

#5. Ce que la recherche n'a pas pu établir

• Le trafic réel des applications à l'exécution (quels kits s'activent, quels identifiants partent, avant ou après consentement, pour un compte GAR et pour un compte direct) : il faut lancer chaque application sur un appareil ou un émulateur Android derrière un proxy d'interception, avec des comptes de démonstration. Les comptes des lecteurs sont déjà demandés dans docs/demarches/03-comptes.md § 2 (Édulib, CNS, Hachette) ; la mesure elle-même n'est pas faite.
• Les applications iOS : les paquets IPA ne se lisent pas sans appareil ; l'écart entre les étiquettes d'Apple et le code (Bordas FlashPage « Données non collectées » chez Apple, Firebase dans sa version Android) reste à mesurer.
• Les dernières versions de Manuel max (1.16.2), FLEX Manuel (2.4.2) et Bordas FlashPage (5.1.2), absentes du miroir : leurs kits peuvent avoir changé.
• Les cookies déposés par les sites une fois les scripts exécutés : relevés au navigateur le 16/10/2026 sur les 11 sites (Q31 § 1.6), pour un premier visiteur avant toute réponse puis après refus, aux adresses https://www.lumni.fr/ ; https://mesmanuels.fr/acces-libre/9782017329022 (« Cette page est introuvable », relevé fait sur cette page puis sur l'accueil, Q31 § 2) ; https://hg-college.nathan.fr/9782091716534 ; https://college.editions-bordas.fr/9782047326671 ; https://ressources.eleve.magnard.fr/9782210107854 ; https://www.hatier-clic.fr/ ; https://www.lelivrescolaire.fr/ et https://www.lelivrescolaire.fr/manuels/mathematiques-6eme-2025 ; https://www.schoolmouv.fr/6eme/francais/grammaire ; https://www.kartable.fr/ressources/mathematiques/cours/manipuler-les-nombres-reels/54476 ; https://www.belin-education.com/ ; https://conjugaison-app.bescherelle.com/ (résultats au § 3.5 bis). Restent ouverts : les cookies HttpOnly et ceux déposés sous un domaine tiers, que la méthode ne voit pas ; ce que les conteneurs GTM-WQZ265F, GTM-MNXNC5M, GTM-T47Q33C2 et GTM-TFT98Q9 déclenchent après acceptation, le relevé n'ayant jamais accepté de bandeau ; l'usage que les partenaires de la régie Bescherelle font des appels maintenus après refus (publicité non personnalisée ou profilage), que le relevé n'établit pas.
• Le mode de confidentialité de Piano dans SOLAIRE (exempt ou non) : il se règle aussi côté plateforme de collecte et ne se voit pas dans le code. Sur le manuel gratuit de Lelivrescolaire.fr, le cookie pa_privacy vaut « optin » avant toute réponse et après refus ; sur lumni.fr, il passe à « exempt » après refus (Q31 § 1.6 ; § 3.5, § 3.5 bis).
• La configuration des Matomo d'Édulib, de Belin (Matomo Cloud), de Magnard et d'Hatier (anonymisation des adresses IP, durée des cookies, absence de recoupement) : à demander aux éditeurs ou à lire dans leur politique de cookies ; non lue ici. Le relevé au navigateur du 16/10/2026 (Q31 § 1.6) établit seulement que Magnard appelle son Matomo sans cookie lisible et qu'hatier-clic.fr dépose _pk_id et _pk_ses, sans bandeau dans les deux cas ; la configuration d'exemption n'est pas visible par cette méthode.
• Les déclarations de conformité GAR des ressources (annexe 3 § 2.2), qui décrivent les outils de traçage de chaque ressource : non publiées ; à demander au ministère (DNE, bureau du GAR) par la demande de communication déjà prévue dans docs/demarches/ si elle couvre ces pièces, sinon à ajouter.
• Le public cible déclaré par chaque éditeur dans la Play Console (enfants seulement ou mixte), qui décide si la permission AD_ID d'Accès éditions ou de Kartable est interdite : non public (Z21 § 5).
• Les rapports εxodus de SOLAIRE et de Biblio Exos : aucun n'existe ; une analyse peut être demandée sur le site public d'εxodus (formulaire « analyser », démarche tournée vers l'extérieur, non faite).
• La clé d'API d'εxodus : la recherche publique a suffi ici ; l'appel détaillé (/api/search/<id>/details, historique complet et horodatage des versions) demande une clé gratuite, obtenue par courriel à api@exodus-privacy.eu.org (nom d'utilisateur, adresse, description du projet, adresse IP fixe le cas échéant). Démarche à ajouter à docs/demarches/03-comptes.md ou à 09-demarches-vague7.md § 4, où elle ne figure pas ; elle établirait le suivi des versions des lecteurs dans le temps.
• Une sanction ou un contrôle de la CNIL visant un éditeur scolaire pour ses traceurs : le jeu ouvert des sanctions de la CNIL ne donne que des agrégats annuels ; le jeu « Observatoire SansTrace » (export du 16/10/2026, 390 sanctions, dont 260 publiées par la CNIL et 130 sur Légifrance) nomme ou décrit les organismes, mais n'a pas de colonne de motif (la colonne categories porte « amende », « injonction »…) ; aucun de ses organismes n'est un éditeur de manuels ou de ressources scolaires ; les entrées du secteur de l'enseignement visent des établissements (« ETABLISSEMENT PUBLIC NATIONAL (ENSEIGNEMENT) », 23/05/2024, 6 000 € ; « ASSOCIATION GERANT UN LYCEE ET UN INTERNAT POUR LES JEUNES EN SITUATION DE DECROCHAGE SCOLAIRE », 11/09/2025, 7 000 € ; plusieurs universités), sans motif lisible dans le jeu. Aucune décision visant les traceurs d'un éditeur scolaire n'a été trouvée.
• La signature AdMob de l'application du CNED dans la version 0.20.8 analysée par εxodus : le contrôle des classes définies est fait sur la version 1.3 (§ 3.3), pas sur la 0.20.8, dont le paquet n'a pas été récupéré.

#6. Sources

εxodus

• Recherche publique : https://reports.exodus-privacy.eu.org/api/search (POST) ; liste des pisteurs : https://reports.exodus-privacy.eu.org/api/trackers
• Rapports : https://reports.exodus-privacy.eu.org/fr/reports/{ean3133091123925.com.bordasnathan.bibliomanuels, fr.libmanuels, com.hachette.hereaderepubv2, com.humensis.cosmos, fr.lelivrescolaire.lycee, com.magnard.flex.manuel, com.sejer.bordasflashpageun1703, ean3133092217593.com.nathan.u4live, com.kartable.android, com.schoolmouv, org.godotengine.kalulu, com.lerobert.ortho, com.diagonal.bcw_bescherellecwebview, fr.cned.sam, fr.lumni.www.twa}/latest/ ; anciens : https://reports.exodus-privacy.eu.org/fr/reports/{320318, 110552, 232903, 198621, 150391, 110780, 21932, 50147}/
• Historiques : https://reports.exodus-privacy.eu.org/fr/reports/search/{identifiant}/
• Documentation de l'API : https://github.com/Exodus-Privacy/exodus/raw/v1/doc/api.md

Paquets et magasins

• API APKPure : https://api.pureapk.com/m/v3/cms/app_version?hl=en-US&package_name={identifiant} (41 identifiants demandés le 12/10/2026, 39 paquets récupérés ; fr.cned.sam et fr.lumni.www.twa le 16/10/2026)
• Google Play : https://play.google.com/store/apps/datasafety?id={identifiant}&hl=fr&gl=FR et https://play.google.com/store/apps/details?id={identifiant}&hl=fr&gl=FR ; https://play.google.com/store/apps/developer?id={SEJER, %C3%89ditions+JOCATOP, ACC%C3%88S+%C3%89ditions, Editions+Hatier, Hachette+Livre+SA, Magnard-Vuibert+Delagrave, EDITIONS+BELIN, Lelivrescolaire.fr, %C3%89dulib}&hl=fr&gl=FR
• Déclarations relevées par Z21 : etude/vague7/Z21-donnees/ (Google Play et App Store, 12/10/2026)
• Ajoutés le 16/10/2026 : https://play.google.com/store/apps/datasafety?id=fr.cned.sam&hl=fr&gl=FR ; https://play.google.com/store/apps/details?id=fr.cned.sam&hl=fr&gl=FR ; https://play.google.com/store/apps/datasafety?id=fr.lumni.www.twa&hl=fr&gl=FR ; https://play.google.com/store/apps/details?id=fr.lumni.www.twa&hl=fr&gl=FR ; paquets APKPure fr.cned.sam (1.3) et fr.lumni.www.twa (2.0.7)
• Contre-vérification du 16/10/2026 : etude/vague8/verif/Q25-verif.md et ~/.cache/manuels-vague8/Q25-verif/

Sites (collecte du 12/10/2026)

• https://mesmanuels.fr/ ; https://mesmanuels.fr/acces-libre/9782017329022 ; https://hg-college.nathan.fr/ ; https://hg-college.nathan.fr/9782091716534 ; https://transmath-college.nathan.fr/ ; https://college.editions-bordas.fr/ ; https://college.editions-bordas.fr/9782047326671 ; https://myriade.editions-bordas.fr/ ; https://ressources.eleve.magnard.fr/ ; https://ressources.eleve.magnard.fr/9782210107854 ; https://www.hatier-clic.fr/ ; https://www.lelivrescolaire.fr/ ; https://www.lelivrescolaire.fr/manuels/mathematiques-6eme-2025 ; https://www.lelivrescolaire.fr/assets/client-j3z6zx7b.js ; https://www.lelivrescolaire.fr/assets/piano-analytics.esm.js ; https://www.schoolmouv.fr/ ; https://www.schoolmouv.fr/6eme/francais/grammaire ; https://www.kartable.fr/ ; https://www.kartable.fr/ressources/mathematiques/cours/manipuler-les-nombres-reels/54476 ; https://www.belin-education.com/ ; https://www.enseignants.hachette-education.com/ ; https://www.libmanuels.fr/ ; https://conjugaison-app.bescherelle.com/ ; https://manuel.sesamath.net/

Sites (relevé au navigateur du 16/10/2026, etude/vague8/Q31-sources-lues-au-navigateur.md § 1.6 et Q31-donnees/notes-de-lecture.md)

• https://www.lelivrescolaire.fr/ ; https://www.lelivrescolaire.fr/manuels/mathematiques-6eme-2025 ; https://www.lumni.fr/ ; https://mesmanuels.fr/ ; https://mesmanuels.fr/acces-libre/9782017329022 (« Cette page est introuvable ») ; https://hg-college.nathan.fr/9782091716534 ; https://college.editions-bordas.fr/9782047326671 ; https://ressources.eleve.magnard.fr/9782210107854 ; https://www.hatier-clic.fr/ ; https://www.schoolmouv.fr/6eme/francais/grammaire ; https://www.kartable.fr/ressources/mathematiques/cours/manipuler-les-nombres-reels/54476 ; https://www.belin-education.com/ ; https://conjugaison-app.bescherelle.com/

Listes de traceurs

• EasyPrivacy : https://easylist.to/easylist/easyprivacy.txt (version 202610120645)
• Disconnect : https://raw.githubusercontent.com/disconnectme/disconnect-tracking-protection/master/services.json

Textes

• Contrat d'adhésion GAR v2026 : https://gar.education.fr/wp-content/uploads/2026/06/Contrat-GAR_v2026.pdf (texte extrait par W10, annexes 3, 4 et 5)
• CNIL, « Cookies : solutions pour les outils de mesure d'audience » (04/07/2025) : https://www.cnil.fr/fr/cookies-solutions-pour-les-outils-de-mesure-daudience
• CNIL, « Cookies et autres traceurs : la CNIL publie des lignes directrices modificatives et sa recommandation » (29/09/2020) : https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/lignes-directrices-modificatives-et-recommandation
• CNIL, « Applications mobiles : la CNIL publie ses recommandations » : https://www.cnil.fr/fr/recommandations-applications-mobiles ; recommandation modifiée : https://www.cnil.fr/sites/cnil/files/2025-04/recommandation-applications-mobiles-modifiee.pdf
• Microsoft Learn, Clarity « Consent Management » : https://learn.microsoft.com/en-us/clarity/setup-and-installation/consent-management

Rapports et études

• Human Rights Watch, « "How Dare They Peep into My Private Life?" Children's Rights Violations by Governments that Endorsed Online Learning During the Covid-19 Pandemic » (25/05/2022) : https://www.hrw.org/report/2022/05/25/how-dare-they-peep-my-private-life/childrens-rights-violations-governments

Données ouvertes

• data.gouv.fr, API de recherche des jeux : https://www.data.gouv.fr/api/1/datasets/?q=… ; « Sanctions prononcées par la CNIL » : https://www.data.gouv.fr/datasets/sanctions-prononcees-par-la-cnil
• data.education.gouv.fr, catalogue : https://data.education.gouv.fr/api/explore/v2.1/catalog/datasets
• data.gouv.fr, « Catalogue des applications mobiles (Android et iOS) proposées par la puissance publique ou des entités privées dans le cadre de leur mission de service public - 2026 » : https://www.data.gouv.fr/datasets/catalogue-des-applications-mobiles-android-et-ios-proposees-par-la-puissance-publique-ou-des-entites-privees-dans-le-cadre-de-leur-mission-de-service-public-2026 (fichier catalogue-applications-puissance-publique-rc3.ods)
• data.gouv.fr, « Observatoire SansTrace des fuites de données et des sanctions de la CNIL » : https://www.data.gouv.fr/datasets/observatoire-sanstrace-des-fuites-de-donnees-et-des-sanctions-de-la-cnil (fichier https://sanstrace.fr/observatoire/fuites.csv)

Rapports de l'étude : Z21 § 3.4, § 3.5, § 3.7, § 5 ; Z22 § 3.2 ; V21 § 3, § 4.10 ; R15 § 3.2 ; X27 § 3.5 ; Y26 § 3.5 ; 04-formats § 4 ; 07-vague3 § 6.3 ; 10-vague5 § 6.6 ; 12-vague7 § 3.2, § 3.3, § 9, § 10.