Centre de Seguretat

Com Tempus AI PM protegeix les teves dades, a què accedeix i com reportar vulnerabilitats.

Principi central: Tempus és una extensió de Chrome local-first. Les teves dades de Jira, Calendar i projectes es processen al teu navegador. Tempus no opera cap servidor d'aplicació central que rebi o emmagatzemi les teves dades.

1. Visió general de l'arquitectura

Tempus és una extensió de Chrome (Manifest V3) que s'executa completament al teu navegador com a service worker més panell lateral. Es comunica directament amb les APIs SaaS que ja uses — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — amb les teves sessions autenticades. Cap dada passa per servidors de Tempus.

Què es connecta amb què

Connexió	Direcció	Dades	Propòsit
Jira Cloud	Navegador → Jira	Incidències, worklogs, projectes	Funcionalitat principal
Tempo	Navegador → Tempo	Plans, assignacions, horaris	Capacitat i compliment
Google Calendar	Navegador → Google	Esdeveniments (només lectura)	Visibilitat de reunions
Confluence	Navegador → Confluence	Creació de pàgines	Publicació d'informes
Dynamics 365 / Salesforce	Navegador → CRM	Camps de projecte	Sincronització de dades CRM
Claude / Gemini	Navegador → proveïdor d'IA	Mètriques de projecte seleccionades	Anàlisi amb IA (opcional, iniciat per l'usuari)
Supabase	Navegador → Supabase	Clau de llicència + ID de dispositiu	Només validació de llicència

2. Permisos i scopes d'OAuth

Tempus sol·licita els scopes mínims necessaris per a cada integració:

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — llegir worklogs, incidències, projectes
write:jira-work — crear i actualitzar worklogs
read:jira-user — llegir perfils d'usuari per a les vistes d'equip
read:confluence-content.all — llegir espais de Confluence (destí de publicació)
write:confluence-content — crear pàgines de Confluence (informes)

Google Calendar (OAuth 2.0)

calendar.events.readonly — accés de només lectura als esdeveniments del calendari. Tempus no pot crear, modificar ni eliminar esdeveniments.

Tempo

Token d'API personal — l'indiques tu a Ajustos. S'usa per a plans, assignacions, horaris i dades de jornada.

Dynamics 365 / Salesforce

Sessió basada en cookies o OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). L'accés es limita només als camps d'entitat/objecte configurats.

3. Emmagatzematge de tokens

Tempus usa les APIs d'emmagatzematge d'extensions de Chrome amb bones pràctiques de seguretat:

Els tokens d'accés es desen a chrome.storage.session — emmagatzematge efímer que s'esborra en tancar el navegador i no és accessible per a content scripts ni pàgines web.
Els tokens de refresc es desen a chrome.storage.local amb l'accés restringit mitjançant setAccessLevel només a contextos d'extensió de confiança (service worker i popup).
Els tokens mai no s'exposen a pàgines web, content scripts ni altres extensions.
Pots revocar tots els tokens a l'instant desconnectant les integracions a Ajustos o desinstal·lant l'extensió.

4. Retenció i emmagatzematge de dades

Tipus de dada	Emmagatzematge	Retenció
Incidències de Jira, worklogs	chrome.storage.local	En memòria cau; s'esborra en desconnectar
Esdeveniments de calendari	Només en memòria	Es descarta en tancar el popup
Dades de Tempo	Memòria cau en memòria (TTL 60s)	No es persisteix
Dades de camps CRM	chrome.storage.local	Només configuració; les dades en viu s'obtenen per vista
Resultats d'anàlisi amb IA	chrome.storage.local (optional)	Gestionats per l'usuari; es poden esborrar a Informes
Registre d'activitat passiva	chrome.storage.local	Neteja automàtica als 30 dies
Clau de llicència	chrome.storage.local	Fins que et desconnectes

5. Content Security Policy

El manifest.json de l'extensió aplica una Content Security Policy estricta. No s'usen scripts inline — tots els gestors d'esdeveniments s'enllacen per codi. No es carreguen scripts externs en temps d'execució. L'extensió no injecta content scripts a pàgines web.

6. Serveis de tercers

Servei	Propòsit	Dades enviades
Supabase	Validació de llicència i activació de dispositiu	Clau de llicència, empremta de dispositiu anonimitzada
Stripe	Processament de pagaments	Gestionat completament per Stripe — Tempus mai no veu les dades de la targeta
Resend	Correu transaccional (lliurament de llicència)	Adreça de correu + clau de llicència
Claude API / Gemini API	Anàlisi amb IA (opcional, iniciat per l'usuari)	Mètriques de projecte seleccionades: títols, estats, hores, noms dels membres de l'equip

7. El que Tempus NO fa

No recull analítiques d'ús ni dades de comportament
No mostra anuncis
No ven ni comparteix dades amb tercers
No opera cap backend central que processi les teves dades de Jira
No injecta scripts a pàgines web
No accedeix a l'historial del navegador, els marcadors ni altres extensions
No emmagatzema credencials — només tokens OAuth gestionats per les APIs de Chrome

8. Report de vulnerabilitats

Si descobreixes una vulnerabilitat de seguretat a Tempus, reporta-la de manera responsable. Tots els reports es tracten amb serietat i es responen amb promptitud.

Correu: hello@tempus-ai-pm.com (assumpte: "Security Report")

Inclou:

Descripció de la vulnerabilitat
Passos per reproduir-la
Avaluació de l'impacte
La teva solució proposada (si en tens)

Els reports es confirmen en un termini de 48 hores, amb un calendari de resolució en un termini de 5 dies hàbils.

9. Actualitzacions

Aquesta pàgina s'actualitza amb cada versió. Les actualitzacions de l'extensió es lliuren automàticament a través de la Chrome Web Store. Els canvis en scopes, permisos o tractament de dades es comuniquen al changelog de l'extensió i en aquesta pàgina.

Última actualització: setembre de 2026 · Versió de l'extensió: 4.5.0