Leur faille, votre lettre : pourquoi la protection des données clients est-elle si difficile pour une petite entreprise de services ?

Vous êtes sans doute trop petit pour être concerné par les lois sur la protection de la vie privée. Mais vous n'êtes pas trop petit pour être concerné par les lois relatives aux violations de données. Voici en quoi consiste le fossé, et comment y remédier.

Par L'équipe Toolberry13 août 202610 Temps de lecture :

Mise à jour de l'13 août 2026

Vous êtes sans doute trop petit pour être concerné par les lois sur la protection de la vie privée. Mais vous n’êtes pas trop petit pour être concerné par les lois sur les violations de données. Voici en quoi réside le problème, et comment y remédier.

Protéger les données de vos clients est difficile, car vous n’en détenez pas la majeure partie. Ce sont vos fournisseurs de logiciels qui les détiennent. Et lorsqu’un d’entre eux subit une fuite de données, la loi, dans la plupart des régions, n’envoie pas la lettre d’information à vos clients. Elle vous oblige à l’envoyer.

C’est la partie que personne ne vous explique lorsqu’on vous vend un logiciel de prise de rendez-vous. Vous trouverez ci-dessous la version honnête : pourquoi cela est structurellement difficile pour un petit exploitant, ce que cela vous coûte réellement en cas de problème, et quelle est la position de ToolBerry.

Pourquoi ne pouvez-vous pas simplement protéger vos propres données ?

Parce que ce n’est pas vous qui les détenez. Une entreprise de services type saisit les coordonnées d’un client une seule fois, et ces informations se retrouvent dans les bases de données de cinq ou six entreprises différentes : l’application de planification, le prestataire de paiement, l’outil de messagerie, la plateforme d’avis, le portail du comptable. Vous pouvez verrouiller votre téléphone et choisir de bons mots de passe. Mais vous ne pouvez contrôler aucune de ces entreprises.

Et c’est là que le risque s’est déplacé. Le rapport DBIR (Data Breach Investigations Report) de Verizon suit cette évolution chaque année, et la tendance est inquiétante :

Édition du DBIR	Fuites impliquant un tiers
2024	15 %
2025	30 %
2026	48 %

Près de la moitié des violations de données passent désormais par les systèmes de tiers (rapport DBIR 2026 de Verizon, couvrant la période de novembre 2024 à octobre 2025). La sécurité de votre fournisseur est votre sécurité. Vous n’avez tout simplement pas votre mot à dire.

Cela concerne tout particulièrement les outils de gestion des services sur le terrain

En août 2024, le chercheur en sécurité Jeremiah Fowler a découvert une base de données appartenant à ServiceBridge, un fournisseur de solutions de gestion des services sur le terrain, accessible en ligne sans aucun mot de passe. Elle contenait 31 524 107 fichiers, soit environ 2,68 To : ordres de travail, factures, rapports d’inspection, devis et contrats d’achèvement. Ces documents contenaient des noms, des adresses postales, des adresses e-mail, des numéros de téléphone et des données partielles de cartes de crédit. Parmi les clients exposés figuraient des particuliers propriétaires, des prestataires de soins médicaux, des établissements scolaires et des casinos de Las Vegas (selon des informations rapportées par Bitdefender et Website Planet).

Voici le détail qui devrait vous marquer : ces documents remontaient à 2012. Un bon de travail rédigé il y a douze ans s’y trouvait toujours, comportait toujours l’adresse d’un client et a donc été divulgué.

On ne peut pas supprimer ce à quoi on n’a pas accès

C’est là le deuxième problème structurel. Dans la plupart des logiciels, « Supprimer mon compte » signifie « masquer cela de votre écran ». Ce qu’il advient réellement des copies, des sauvegardes et des compartiments d’archivage est régi par une politique de conservation figurant dans un document que vous n’avez pas lu.

Personne ne les lit, et ce n’est pas un défaut de caractère. Des chercheurs de Carnegie Mellon l’ont mesuré : la politique de confidentialité médiane comptait 2 514 mots, et la lecture des politiques des sites qu’une personne lambda visite prendrait environ 76 jours ouvrés par an (McDonald et Cranor, I/S : A Journal of Law and Policy, 2008). À cette échelle, le consentement n’est qu’une formalité.

Il n’est pas surprenant que 67 % des Américains déclarent ne comprendre que peu ou pas du tout ce que les entreprises font de leurs données personnelles, et que 73 % estiment n’avoir que peu ou pas de contrôle sur celles-ci (Pew Research Center, octobre 2023).

Quelle différence cela fait-il réellement ?

C’est là que les choses deviennent concrètes. Vous êtes presque certainement exempté des grandes lois sur la protection de la vie privée. Vous n’êtes presque certainement pas exempté des lois sur la notification des violations de données. La plupart des opérateurs ont tout faux à ce sujet.

Les lois qui ne s’appliquent pas à vous

La CCPA californienne, dont tout le monde a entendu parler, ne s’applique qu’aux entreprises qui répondent à l’un des trois critères suivants : un chiffre d’affaires brut supérieur à 25 millions de dollars (ajusté chaque année en fonction de l’inflation, soit environ 28 millions de dollars pour 2026), ou le traitement des données à caractère personnel de 100 000 consommateurs californiens ou plus, ou la réalisation d’au moins la moitié de son chiffre d’affaires grâce à la vente de données à caractère personnel (IAPP).

Une équipe disposant de trois fourgons est bien loin de ces critères. Bonne nouvelle, en bref.

La loi qui s’applique

La notification des violations relève d’une loi totalement différente, qui ne prévoit aucune exemption liée à la taille de l’entreprise. Les 50 États, Washington DC et trois territoires en ont tous une. Il n’existe toujours pas de loi fédérale unique (Privacy Rights Clearinghouse, enquête de 2026). Le champ d’application dépend du lieu de résidence de vos clients, et non de l’État où vous êtes agréé ; ainsi, un seul trajet à travers une zone métropolitaine peut vous soumettre simultanément aux règles de trois États.

Voyons maintenant comment la version californienne répartit cette obligation. En vertu de l’article 1798.82 du Code civil, une entreprise qui gère des données dont elle n’est pas propriétaire doit en informer le propriétaire de ces données. Une entreprise qui est propriétaire des données doit quant à elle en informer les résidents concernés.

Votre éditeur de logiciels gère votre liste de clients. Vous en êtes le propriétaire.

La chaîne se déroule donc ainsi : le fournisseur subit une violation, il vous en informe, puis vous écrivez à vos clients. En vertu du projet de loi SB 446, qui entrera en vigueur le 1er janvier 2026, la Californie vous accorde un délai de 30 jours calendaires à compter de la découverte de la violation pour vous acquitter de cette obligation, et si plus de 500 résidents sont concernés, vous disposez de 15 jours supplémentaires pour en informer le procureur général (texte du projet de loi).

C’est quelqu’un d’autre qui a commis l’erreur. Vous envoyez la lettre, dans les délais qu’il a fixés, en y apposant votre nom.

À propos de cette statistique effrayante

Vous l'avez sûrement déjà vue : « 60 % des petites entreprises ferment leurs portes dans les six mois suivant une cyberattaque. » Elle figure dans toutes les présentations des fournisseurs de solutions de sécurité.

Elle est inventée de toutes pièces. La National Cybersecurity Alliance (NCSA), à laquelle on l’attribue généralement, s’en est publiquement désolidarisée le 8 mai 2022 : « Cette statistique n’est pas issue des recherches de la NCSA, et nous ne pouvons pas vérifier sa source d’origine. » Elle a supprimé toute référence à ce chiffre et a demandé aux gens de cesser de le citer. Le chercheur en sécurité Adrian Sanabria s’est penché sur les fermetures sous-jacentes et a recensé environ 35 entreprises dans le monde ayant cessé leur activité à la suite d’une violation de données depuis 2001, contre les plusieurs milliers par an que cette statistique laisse entendre.

Nous n’allons pas vous faire peur avec un chiffre erroné. Le véritable inconvénient est plus banal et plus probable : les lettres de notification, le temps que vous n’avez pas, le client professionnel qui vous demande comment vous stockez les données de ses locataires et qui n’apprécie pas la réponse, et un long fil de discussion dans un groupe Facebook de quartier.

Pourquoi la situation est-elle pire dans les services sur le terrain que dans la plupart des autres secteurs ?

Parce que vos dossiers ne contiennent pas seulement des coordonnées. Ce sont des instructions d’accès. C’est ce qui distingue les métiers de service, et on en parle rarement ouvertement.

Regardez ce que contient réellement le dossier d’un client de longue date :

Le code du portail
Le code de l’alarme, et la zone où se trouve le chien
L'emplacement du coffret de sécurité et ce qui permet de l'ouvrir
« La porte coulissante arrière est bloquée, utilisez la porte latérale »
Les semaines où il se trouve en Arizona

Une fuite de liste d’e-mails est un problème de spam. Une fuite d’ordres de travail est un problème d’accès physique. Et notez bien ce que contenait exactement le dump de ServiceBridge : des ordres de travail et des inspections. C’est dans ce type de dossier que tout cela se trouve.

C’est là que réside le véritable enjeu. Vous ne vous contentez pas de tenir une promesse faite à vos clients concernant leur vie privée. Vous détenez les clés de leur maison, dans une application que vous n’avez pas développée, gérée par une entreprise que vous ne pouvez pas auditer.

Quelle est la position de ToolBerry à ce sujet ?

Par défaut, ToolBerry ne transfère jamais vos données professionnelles hors de votre appareil ; il n’y a donc rien de notre côté qui puisse faire l’objet d’une violation. Ouvrez l’application sans vous connecter : vos clients, vos chantiers, vos missions et vos plannings sont enregistrés dans une véritable base de données sur votre téléphone. Pas de compte, pas de mot de passe, pas de serveur hébergeant votre liste.

Deux précisions méritent d’être ajoutées. Nous avons revérifié l’application elle-même pour confirmer ces deux points avant de publier cet article :

ToolBerry ne contient aucun traceur publicitaire ni outil d’analyse marketing. Pas de Google Analytics, pas de pixel Facebook, aucun de ces outils qui vous suivent d’une application à l’autre et d’un site web à l’autre. La seule entreprise externe à laquelle l’application envoie des informations est Sentry, et ce uniquement pour nous signaler un plantage afin que nous puissions le corriger.
La synchronisation est un choix, pas une condition d’accès. De nombreuses applications vous obligent à créer un compte avant même de pouvoir saisir un seul client. ToolBerry fonctionne parfaitement sur un seul appareil, sans connexion, dès le premier jour.

Nous avons déjà publié une analyse complète et sans concession de ce qui quitte exactement votre appareil et à quel moment. Plutôt que de la répéter ici, lisez l’article « Qui voit réellement votre liste de clients ? », qui traite du modèle de sauvegarde Dropbox, de la phrase de passe de chiffrement que nous ne pouvons pas récupérer, ainsi que des données de diagnostic que nous collectons effectivement.

Quels sont les compromis réels ?

En bref : notre configuration par défaut garantit une véritable confidentialité, et dès que vous souhaitez utiliser les fonctionnalités d’équipe, vous y renoncez en partie.

Activez la synchronisation et vos données professionnelles sont transférées vers nos serveurs. C’est le principe même de la synchronisation, et nous ne le dissimulerons pas. Vos clients, vos sites, vos bons de travail et vos factures sont copiés dans notre base de données afin que vos autres appareils puissent les récupérer. Chaque entreprise est isolée des autres, mais soyons clairs : nous conservons ces données sous une forme lisible par notre propre personnel. Si vous souhaitez une version où vos données ne passent jamais par nous, utilisez un seul appareil et ne créez pas de compte.
À l’heure actuelle, il n’est pas possible de désactiver les rapports d’erreur dans l’application. Ces rapports sont envoyés dans les deux modes, et il n’existe aucun bouton pour les désactiver. Si cela constitue pour vous un critère rédhibitoire, vous avez tout à fait le droit de nous le faire savoir.
Les adresses que vous recherchez sont transmises à Mapbox. Lorsque vous saisissez une adresse et que l’application vous suggère la suite, ce texte est envoyé à Mapbox pour être converti en un point sur la carte. C’est ainsi que fonctionne la carte, et il est utile de le savoir.
Conserver les données sur votre appareil fait de celui-ci la porte d’entrée. Si vous perdez votre téléphone et qu’il n’est pas verrouillé, votre liste de clients disparaîtra avec lui. C’est là que votre code d’accès joue un rôle essentiel.
Nous sommes une application de gestion des interventions sur le terrain, pas une entreprise de sécurité. Nous n’avons pas fait l’objet des audits de sécurité officiels dont se vantent les grands fournisseurs d’entreprise, et nous n’allons pas prétendre le contraire.

Comment renforcer cette sécurité cette semaine ?

Vous n’avez pas besoin d’un consultant. Quatre étapes, peut-être une heure.

Dressez la liste de tous les outils qui contiennent le nom d'un client : planification, facturation, paiements, e-mails, avis clients, le portail de votre comptable, votre système téléphonique. La plupart des opérateurs sont surpris d'en compter plus de cinq.
Posez trois questions à chaque entreprise. Puis-je télécharger toutes les données que vous détenez sur mes clients ? Qui d’autre en reçoit une copie ? Et si vous êtes piratés, dans quel délai m’en informerez-vous ? Cette dernière question est la plus importante, car le délai de 30 jours commence à courir dès qu’ils vous appellent.
Fermez les comptes que vous n’utilisez plus. L’essai abandonné de 2021 contient toujours votre liste de clients. C’est la leçon à retenir de ServiceBridge.
Verrouillez correctement votre téléphone. Un vrai code d’accès et un chiffrement de l’appareil. Sur toute application qui conserve des données sur l’appareil, y compris la nôtre, c’est le véritable verrou sur la porte.

Ensuite, choisissez de synchroniser vos données de manière délibérée, plutôt que par défaut. Pour de nombreuses entreprises, c’est un compromis acceptable. Assurez-vous simplement d’en prendre conscience pleinement.

Vous avez une question à ce sujet ou vous pensez que nous nous sommes trompés ? Envoyez-nous un e-mail à contact@toolberry.net. ToolBerry est une application gratuite de gestion des interventions sur le terrain, conçue pour fonctionner en priorité hors ligne, destinée aux petites entreprises du secteur des services.

Pour en savoir plus

Qui a réellement accès à votre liste de clients ? : le détail complet de ce qui quitte votre appareil dans ToolBerry, et à quel moment
Pourquoi ToolBerry privilégie le mode hors ligne : pourquoi votre appareil est la source de vérité
Vos données, votre Dropbox : comment fonctionne la sauvegarde « apportez votre propre espace de stockage »
Qui peut voir quoi : rôles et autorisations : contrôler les accès au sein de votre propre équipe
Rapport Verizon 2026 sur les enquêtes relatives aux violations de données : les données sur les violations impliquant des tiers
Privacy Rights Clearinghouse, enquête sur les lois de notification des violations dans les 50 États (2026) : ce qu’exige votre État

Notes à l'attention des relecteurs (à supprimer avant publication)

Blocker. Notre Politique de confidentialité publiée indique toujours « Pas de serveurs backend : nous n'exploitons pas de serveurs stockant vos données professionnelles » et « jamais transmises à nos serveurs ». La synchronisation contredit ces deux affirmations. Ce brouillon l'indique clairement, tout comme l'article publié en juillet. La politique doit être mise à jour avant que nous n'attirions davantage l'attention sur le compromis lié à la synchronisation.

Chevauchement, résolu. L’article « Qui a réellement accès à votre liste de clients ? » explique « comment ToolBerry procède ». Cet article garde délibérément cette section concise et renvoie vers celle-ci au lieu de réexpliquer les mécanismes de Dropbox et de la phrase de passe.

Statistiques que nous avons délibérément omises, au cas où quelqu’un demanderait pourquoi :

« 60 % des petites entreprises ferment leurs portes dans les six mois » : cette idée reçue a été réfutée, et nous la réfutons désormais dans l'article.
La moyenne de 3,31 millions de dollars d’IBM pour les entreprises de moins de 500 salariés : ce chiffre provient du rapport de 2023. IBM a cessé de ventiler les coûts par taille d’entreprise ; il ne peut donc plus être cité comme étant d’actualité.
Les chiffres sur la prolifération des applications SaaS (87 / 152 / 50 à 70 applications) : argumentaire marketing des fournisseurs, écarts considérables entre les sources, absence de méthodologie crédible.

Question en suspens. Tout ce qui concerne ToolBerry ici a été vérifié par rapport au code source de l’application, y compris l’affirmation selon laquelle nous ne diffusons ni publicité ni traceurs d’analyse. Il serait utile qu’une deuxième personne jette un œil à la liste des compromis en particulier, car c’est la section qui vieillit le plus rapidement.