feat(legal): B-2.9 6 pages légales (CGU, Loi 25, cookies, remboursement, accessibilité, mentions)

- src/legal/__init__.py: define canonical LEGAL_VERSION='2026-04-27' constant
  (single source of truth — auth.py now imports it as SIGNUP_LEGAL_VERSION).
- src/legal/routes.py: add /legal/<page> + /legal/ index routes; markdown rendered
  from src/legal/content/*.md with toc, tables, fenced_code, attr_list extensions.
- src/legal/content/: 6 French (Québec) markdown documents — DictIA Inc. /
  InnovA AI S.E.N.C. branding, Loi 25-compliant 12-section privacy policy,
  WCAG 2.2 AA accessibility statement, AGPL-3.0 attribution. All marked
  DRAFT v1.0 pending legal review by Allison Rioux.
- templates/legal/_layout.html + index.html: extends marketing/base.html;
  inline .legal-content typographic styles (no CSS rebuild required).
- .gitignore: allow-rule for src/legal/content/*.md so markdown is tracked
  despite the global *.md ignore.
- tests/test_legal_pages.py: 9 tests covering 200 responses, DictIA branding,
  rprp@dictia.ca presence, 12 mandatory Loi 25 sections, public indexability
  (no X-Robots-Tag noindex), shared layout, marketing/base.html extension,
  DRAFT callout, and LEGAL_VERSION/SIGNUP_LEGAL_VERSION equivalence.
- tests/_run_legal_pages_windows.py: manual driver (Windows fcntl stub).
- static/css/marketing.css: regenerated by `npm run build:css` to include
  new utility classes referenced from templates/legal/*.html.

Tests: 9/9 pass. No off-limits files modified beyond the 2-line auth.py
constant move spec'd in B-2.9. No schema changes; markdown==3.5.1 already
pinned in requirements.txt (B-1.1). Pages publicly indexable by design
(Loi 25 transparency).

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

src/legal/content/cookies.md

@@ -0,0 +1,62 @@
+<div class="legal-draft-callout" role="note" aria-label="Document en cours de révision juridique">
+<strong>DRAFT v1.0</strong> &mdash; pending legal review by Allison Rioux. Ce document a valeur informative jusqu'à la revue finale par la responsable légale de DictIA Inc.
+</div>
+
+## 1. Que sont les cookies
+
+Un cookie est un petit fichier texte qu'un site web dépose sur votre navigateur lorsque vous le visitez. Les cookies permettent au site de mémoriser vos préférences, de maintenir votre session ouverte et — lorsqu'autorisés — de mesurer la fréquentation du site.
+
+DictIA Inc. (filiale d'InnovA AI S.E.N.C., 77 chemin de la Seigneurie, Inverness QC G0S 1K0) utilise un nombre minimal de cookies, dans le strict respect de la Loi 25 du Québec.
+
+## 2. Cookies essentiels — sans consentement requis
+
+Ces cookies sont strictement nécessaires au fonctionnement du Service et ne requièrent pas de consentement préalable.
+
+| Nom du cookie | Finalité | Durée |
+| --- | --- | --- |
+| `session` | Session Flask authentifiée (maintien de la connexion) | 30 jours ou jusqu'à déconnexion |
+| `csrf_token` | Protection contre les attaques *Cross-Site Request Forgery* | Durée de la session |
+| `cookie_consent` | Mémorise vos choix de consentement | 12 mois |
+
+Ces cookies sont déposés exclusivement par le domaine `dictia.ca` (cookies *first-party*) et ne sont jamais partagés avec des tiers.
+
+## 3. Cookies analytiques — consentement requis (opt-in)
+
+Si vous l'avez explicitement accepté lors de votre inscription ou via la bannière de consentement, DictIA dépose des cookies analytiques :
+
+- **Plausible Analytics auto-hébergé** sur l'infrastructure DictIA au Québec (OVH Beauharnois). Aucune donnée n'est transmise à un tiers.
+- Identifiants de session anonymisés générés via le hachage de l'adresse IP (jamais stockée en clair).
+- Aucun profil utilisateur n'est constitué et aucune donnée n'est revendue.
+
+Vous pouvez retirer ce consentement à tout moment depuis votre console DictIA &rarr; Paramètres &rarr; Confidentialité, ou en écrivant à <rprp@dictia.ca>.
+
+## 4. Aucun cookie publicitaire ni de traçage tiers
+
+DictIA s'engage à **ne jamais** utiliser :
+
+- Cookies publicitaires (Google Ads, Meta Pixel, TikTok Pixel, etc.) ;
+- Cookies de réseaux sociaux (boutons de partage tiers, *like* tracking) ;
+- Trackers de profilage cross-site (Hotjar, FullStory, etc.) ;
+- *Fingerprinting* du navigateur ou de l'appareil.
+
+Cette politique reflète notre positionnement : **la confidentialité est un produit, pas un compromis.**
+
+## 5. Comment gérer vos cookies
+
+Vous pouvez à tout moment :
+
+- **Modifier vos consentements** dans la console DictIA &rarr; Paramètres &rarr; Confidentialité ;
+- **Bloquer les cookies** via les paramètres de votre navigateur (Chrome, Firefox, Safari, Edge — voir la documentation officielle de chaque navigateur) ;
+- **Supprimer les cookies déjà déposés** via les outils de votre navigateur (sachant que cela peut entraîner une déconnexion automatique de votre session DictIA).
+
+Le blocage des cookies essentiels rendra le Service inutilisable (impossibilité de maintenir la session). Le blocage des cookies analytiques n'a aucun impact sur l'utilisation du Service.
+
+## 6. Pour aller plus loin
+
+Pour une description détaillée du traitement des renseignements personnels par DictIA, consultez la [Politique de confidentialité (Loi 25)](/legal/confidentialite).
+
+Pour toute question sur la présente Politique de cookies, écrivez à <rprp@dictia.ca>.
+
+## 7. Date de mise à jour
+
+Version 2026-04-27 — Inverness, Québec.