Est-il sûr de partager les données de votre entreprise via Dropbox ? Une réponse honnête

Le travail de votre équipe est stocké sur leurs téléphones et dans votre propre Dropbox. Voici ce que cela protège, ce que cela ne protège pas, et ce qu'il restera si ToolBerry venait à disparaître.

Publié le 17 octobre 2026.

Est-il sûr de partager les données de mon entreprise via Dropbox ?

Oui, pour la plupart des petites équipes, à condition d’activer quelques paramètres. Dans l’espace partagé multi-utilisateurs de ToolBerry, vos missions et vos clients sont stockés sur les téléphones de votre équipe et dans votre propre compte Dropbox. ToolBerry ne conserve aucune copie sur ses serveurs ; il y a donc une entreprise de moins susceptible de divulguer, vendre ou transmettre votre liste de clients. Et si ToolBerry venait à disparaître, vous pourriez conserver un fichier de sauvegarde accessible sans notre intervention.

J’ai délibérément conçu le système ainsi. Les chefs d’entreprise avec lesquels je m’entretiens s’inquiètent de la destination finale de leurs données : vendues à des spécialistes du marketing, victimes d’une fuite chez un tiers, transmises à des personnes auxquelles ils n’ont jamais donné leur accord. Le moyen le plus simple que je connaisse pour écarter ce risque est de ne jamais conserver ces données. Pourquoi cela est-il important pour une petite entreprise ? Vous le découvrirez dans l’article « Leur faille, votre lettre : pourquoi la protection des données clients est si difficile pour une petite entreprise de services ».

Comment mes données sont-elles protégées ?

Quatre verrous les protègent : votre compte Dropbox, les verrous des téléphones de votre équipe, les liens d’invitation à durée limitée et le chiffrement optionnel. Vous contrôlez ces quatre éléments. Aucun d’entre eux ne nécessite de compte ToolBerry, et aucun ne vous demande de faire confiance à un serveur ToolBerry.

• ToolBerry n’accède qu’à un seul dossier de votre Dropbox. Il demande uniquement l’accès à son propre dossier d’application (Apps/ToolBerry), et non à vos déclarations d’impôts ou à vos photos de famille.
• Les liens d’invitation ont une durée de validité limitée. Un lien expire au bout de 24 heures et permet d’ajouter un seul téléphone. Un ancien SMS transféré plus tard ne permettra à personne d’accéder au service.
• Chaque personne dispose de son propre accès, et vous pouvez le révoquer. La suppression d’un utilisateur annule uniquement son accès. Personne d’autre n’a besoin de se reconnecter.
• Les identifiants de connexion restent sur le téléphone. Les identifiants Dropbox sont conservés dans la mémoire sécurisée du téléphone et ne sont pas copiés dans les sauvegardes de l’appareil.
• Vous pouvez crypter les fichiers partagés. Activez le cryptage avant d’inviter qui que ce soit : le contenu déposé dans Dropbox sera alors illisible pour Dropbox, pour nous et pour toute personne qui piraterait le compte. La clé est transmise dans chaque invitation, ce qui évite à votre équipe d’avoir à saisir un mot de passe.

À quoi cela ressemble-t-il dans la pratique ?

C’est vous qui décidez qui peut rejoindre l’équipe, et lorsqu’une personne quitte le groupe, vous la désactivez depuis un seul écran. Son téléphone cesse immédiatement de recevoir de nouvelles tâches et efface sa copie des données professionnelles lors de sa prochaine connexion. Tous les autres continuent de travailler sans s’en rendre compte. Voici un exemple de saison, du début à la fin.

Imaginez que vous dirigiez une entreprise de nettoyage à haute pression avec deux camions : vous, votre beau-frère et un assistant pour la période de forte activité du printemps. Vous connectez votre compte Dropbox, activez le partage multi-utilisateurs et le chiffrement, puis envoyez une invitation par SMS à chacun d’entre eux. Ils cliquent dessus et le tour est joué.

En juin, l’aide laisse son téléphone sur le hayon d’un client. Vous ouvrez la page « Personnes » et appuyez sur « Supprimer l’accès partagé ». Dès que votre téléphone est en ligne, cet accès est annulé. La personne qui trouve le téléphone ne reçoit plus de nouvelles missions, et si jamais il se connecte, ToolBerry efface les données de l’entreprise qui s’y trouvent.

En octobre, l’assistant change d’emploi. Deux clics suffisent. Le téléphone de votre beau-frère et le vôtre continuent de fonctionner.

En décembre, vous ajoutez une tablette pour le camion, afin que l’entreprise ne dépende plus d’un seul téléphone.

Et si ToolBerry venait à disparaître ?

Vos données restent en votre possession. L’application déjà installée sur chaque téléphone conserve sa propre copie et continue de fonctionner pendant un certain temps. Le partage entre les téléphones cesserait probablement, et toute personne utilisant ToolBerry dans un navigateur web perdrait l’application. Les données elles-mêmes n’ont jamais dépendu de nous ; conservez donc une copie que vous pouvez ouvrir sans l’application.

Cette copie est accessible en un seul clic. Le propriétaire peut appuyer sur « Télécharger la sauvegarde » (Paramètres, Avancé) pour enregistrer l’ensemble de l’activité sous forme de fichier de base de données SQLite standard, ou exporter n’importe quelle liste vers un fichier tableur.

SQLite est un format recommandé par la Bibliothèque du Congrès américain pour la conservation à long terme des données, et ses développeurs prévoient de le prendre en charge jusqu’en 2050. Un ami féru de technologie pourra ouvrir le fichier à l’aide d’outils gratuits.

La copie hebdomadaire stockée dans votre Dropbox est optimisée pour l’application, et si vous avez activé le chiffrement, seuls les téléphones de votre équipe peuvent la lire. La sauvegarde sur votre propre ordinateur constitue donc votre véritable issue de secours.

Les compromis à prendre en compte

Deux risques sont particulièrement importants : toutes les personnes que vous invitez ont l’intégralité de l’activité sur leur téléphone, et votre compte Dropbox devient le coffre-fort. Le reste concerne des détails que vous devez connaître avant d’activer cette fonctionnalité. Les voici.

• Les rôles de la version gratuite masquent les écrans, ils ne verrouillent pas les données. Invitez uniquement les personnes à qui vous confieriez la clé de votre magasin (pour en savoir plus, consultez l’article « Ce que vos collaborateurs sur le terrain voient sur ToolBerry Free – et pourquoi c’est le strict minimum »).
• L’effacement est un nettoyage, pas une garantie. Un téléphone qui ne se reconnecte jamais conserve ce qu’il contenait déjà.
• L’accès d’un collaborateur s’étend à l’ensemble du dossier ToolBerry, et une personne mal intentionnée pourrait l’utiliser en dehors de l’application jusqu’à ce que vous le supprimiez.
• Si quelqu’un accède à votre Dropbox, il a accès à vos données professionnelles. Lorsque le chiffrement est activé, les fichiers sont brouillés, mais le nom de votre entreprise et ceux de vos appareils restent lisibles.
• Un lien d’invitation inutilisé est une clé. Toute personne en possession de ce lien peut rejoindre le groupe jusqu’à ce qu’il soit utilisé ou qu’il expire ; veillez donc à ne l’envoyer qu’à la personne à qui il est destiné.
• Le chiffrement est une décision définitive. Il doit être activé avant la première invitation et ne peut pas être désactivé. Il chiffrera tout ce qui sera enregistré à partir de ce moment-là ; ce qui se trouvait déjà dans votre Dropbox, comme les anciennes photos, reste tel quel.
• Un fichier de sauvegarde est une copie en clair de chaque client et de chaque mission. Traitez-le comme votre liste de clients : ne l’envoyez pas par e-mail et ne le stockez pas sur un ordinateur partagé.
• Vous ne pouvez pas exporter la clé de chiffrement. Si tous les téléphones de l’équipe sont perdus et que ToolBerry disparaît, la copie chiffrée sur Dropbox ne pourra pas être ouverte.
• ToolBerry n’est pas open source. Ce qui nous survivra, ce sont vos données au format standard, pas l’application.

Que dois-je faire cette semaine ?

Quatre habitudes, environ quinze minutes de configuration. Activez la validation en deux étapes pour Dropbox, optez pour le chiffrement avant d’envoyer votre première invitation, assurez-vous que chaque téléphone dispose d’un code d’accès et effectuez une sauvegarde mensuelle sur votre propre ordinateur. Ensemble, ces mesures réduisent les principaux risques mentionnés ci-dessus.

1. Activez la validation en deux étapes pour votre compte Dropbox (dropbox.com, Paramètres, Sécurité). C’est l’étape la plus importante.
2. Activez le chiffrement dès que vous avez activé le mode « Partagé multi-utilisateurs », avant que quiconque ne rejoigne le groupe, si votre travail implique des codes d’accès, des codes d’alarme ou toute autre information que vous ne voudriez surtout pas voir divulguée.
3. Assurez-vous que chaque téléphone de l’équipe dispose d’un véritable code d’accès. La copie stockée sur le téléphone est protégée par le verrouillage propre à l’appareil.
4. Appuyez sur « Télécharger la sauvegarde » une fois par mois et enregistrez le fichier dans un endroit sûr, autre que votre téléphone.

Si vous n’avez pas encore configuré votre équipe, commencez par consulter « Comment ajouter votre équipe à ToolBerry, étape par étape (y compris votre propre tablette) ».

Vous avez des questions ou vous pensez que j’ai commis une erreur ? Envoyez un e-mail à contact@toolberry.net. ToolBerry est une application gratuite de gestion des interventions sur le terrain, conçue pour fonctionner en priorité hors ligne, destinée aux petites entreprises du secteur des services.

Pour les curieux de technique

• Aucun serveur n’intervient dans le chemin des données. Chaque appareil écrit ses propres fichiers de modification dans le dossier de l’application Dropbox de son propriétaire et lit ceux de tous les autres. La connexion à Dropbox utilise OAuth avec PKCE directement entre l’appareil et Dropbox. Les serveurs de ToolBerry hébergent l’application web, la page d’accueil des invitations et les indicateurs de fonctionnalités, et conservent un enregistrement éphémère des codes à six chiffres propres à chaque appareil (un hachage salé, aucune donnée commerciale).
• Autorisations individuelles. Pour chaque invitation, l’appareil du propriétaire génère un jeton de rafraîchissement Dropbox distinct sur le compte du propriétaire. Celui-ci est transmis dans le lien après le #, que les navigateurs n’envoient jamais à un serveur, et est chiffré avec AES-GCM. La suppression de l’accès partagé révoque ce jeton chez Dropbox.
• Chiffrement au repos. AES-GCM avec une clé d’espace de travail de 256 bits ; chaque blob est composé d’un en-tête de 1 octet, d’un IV de 12 octets et du texte chiffré. Le manifeste (nom de l’espace de travail, étiquettes des appareils, membres) n’est pas chiffré. La base de données sur l’appareil s’appuie sur le chiffrement propre au téléphone.
• L’instantané. Une base de données SQLite complète, compressée au format gzip, avec un en-tête d’un octet, actualisée chaque semaine. Les fichiers modifiés datant de plus de 14 jours sont supprimés ; un appareil déconnecté depuis plus longtemps se resynchronise à partir de l’instantané.

Pour en savoir plus

• Une équipe peut-elle partager une application sans serveur, en termes simples (à venir) : comment l’équipe partage un espace de travail sans serveur
• Vos données, votre Dropbox : comment fonctionne le « Bring-Your-Own-Storage » (BYOS) de ToolBerry : le modèle Dropbox sur lequel cela repose
• Qui a réellement accès à votre liste de clients ? Un regard honnête sur la confidentialité chez ToolBerry : tout ce qui quitte ou ne quitte pas votre appareil
• Dropbox : comment activer la vérification en deux étapes
• Prise en charge à long terme de SQLite et format recommandé par la Bibliothèque du Congrès