Centro de Seguridad

Cómo Tempus AI PM protege tus datos, a qué accede y cómo reportar vulnerabilidades.

Principio central: Tempus es una extensión de Chrome local-first. Tus datos de Jira, Calendar y proyectos se procesan en tu navegador. Tempus no opera ningún servidor de aplicación central que reciba o almacene tus datos.

1. Visión general de la arquitectura

Tempus es una extensión de Chrome (Manifest V3) que se ejecuta por completo en tu navegador como service worker más panel lateral. Se comunica directamente con las APIs SaaS que ya usas — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — usando tus sesiones autenticadas. Ningún dato pasa por servidores de Tempus.

Qué se conecta con qué

Conexión	Dirección	Datos	Propósito
Jira Cloud	Navegador → Jira	Incidencias, worklogs, proyectos	Funcionalidad principal
Tempo	Navegador → Tempo	Planes, asignaciones, horarios	Capacidad y cumplimiento
Google Calendar	Navegador → Google	Eventos (solo lectura)	Visibilidad de reuniones
Confluence	Navegador → Confluence	Creación de páginas	Publicación de informes
Dynamics 365 / Salesforce	Navegador → CRM	Campos de proyecto	Sincronización de datos CRM
Claude / Gemini	Navegador → proveedor de IA	Métricas de proyecto seleccionadas	Análisis con IA (opcional, iniciado por el usuario)
Supabase	Navegador → Supabase	Clave de licencia + ID de dispositivo	Solo validación de licencia

2. Permisos y scopes de OAuth

Tempus solicita los scopes mínimos necesarios para cada integración:

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — leer worklogs, incidencias, proyectos
write:jira-work — crear y actualizar worklogs
read:jira-user — leer perfiles de usuario para las vistas de equipo
read:confluence-content.all — leer espacios de Confluence (destino de publicación)
write:confluence-content — crear páginas de Confluence (informes)

Google Calendar (OAuth 2.0)

calendar.events.readonly — acceso de solo lectura a los eventos del calendario. Tempus no puede crear, modificar ni eliminar eventos.

Tempo

Token de API personal — lo indicas tú en Ajustes. Se usa para planes, asignaciones, horarios y datos de jornada.

Dynamics 365 / Salesforce

Sesión basada en cookies u OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). El acceso se limita solo a los campos de entidad/objeto configurados.

3. Almacenamiento de tokens

Tempus usa las APIs de almacenamiento de extensiones de Chrome con buenas prácticas de seguridad:

Los tokens de acceso se guardan en chrome.storage.session — almacenamiento efímero que se borra al cerrar el navegador y no es accesible para content scripts ni páginas web.
Los tokens de refresco se guardan en chrome.storage.local con el acceso restringido mediante setAccessLevel solo a contextos de extensión de confianza (service worker y popup).
Los tokens nunca se exponen a páginas web, content scripts ni otras extensiones.
Puedes revocar todos los tokens al instante desconectando las integraciones en Ajustes o desinstalando la extensión.

4. Retención y almacenamiento de datos

Tipo de dato	Almacenamiento	Retención
Incidencias de Jira, worklogs	chrome.storage.local	En caché; se borra al desconectar
Eventos de calendario	Solo en memoria	Se descarta al cerrar el popup
Datos de Tempo	Caché en memoria (TTL 60s)	No se persiste
Datos de campos CRM	chrome.storage.local	Solo configuración; los datos en vivo se obtienen por vista
Resultados de análisis con IA	chrome.storage.local (optional)	Gestionados por el usuario; se pueden borrar en Informes
Registro de actividad pasiva	chrome.storage.local	Limpieza automática a los 30 días
Clave de licencia	chrome.storage.local	Hasta que te desconectas

5. Content Security Policy

El manifest.json de la extensión aplica una Content Security Policy estricta. No se usan scripts inline — todos los manejadores de eventos se enlazan por código. No se cargan scripts externos en tiempo de ejecución. La extensión no inyecta content scripts en páginas web.

6. Servicios de terceros

Servicio	Propósito	Datos enviados
Supabase	Validación de licencia y activación de dispositivo	Clave de licencia, huella de dispositivo anonimizada
Stripe	Procesamiento de pagos	Gestionado por completo por Stripe — Tempus nunca ve los datos de la tarjeta
Resend	Correo transaccional (entrega de licencia)	Dirección de correo + clave de licencia
Claude API / Gemini API	Análisis con IA (opcional, iniciado por el usuario)	Métricas de proyecto seleccionadas: títulos, estados, horas, nombres de miembros del equipo

7. Lo que Tempus NO hace

No recopila analíticas de uso ni datos de comportamiento
No muestra anuncios
No vende ni comparte datos con terceros
No opera un backend central que procese tus datos de Jira
No inyecta scripts en páginas web
No accede al historial del navegador, los marcadores ni otras extensiones
No almacena credenciales — solo tokens OAuth gestionados por las APIs de Chrome

8. Reporte de vulnerabilidades

Si descubres una vulnerabilidad de seguridad en Tempus, repórtala de forma responsable. Todos los reportes se tratan con seriedad y se responden con prontitud.

Correo: hello@tempus-ai-pm.com (asunto: "Security Report")

Incluye:

Descripción de la vulnerabilidad
Pasos para reproducirla
Evaluación del impacto
Tu solución propuesta (si la tienes)

Los reportes se confirman en un plazo de 48 horas, con un calendario de resolución en un plazo de 5 días hábiles.

9. Actualizaciones

Esta página se actualiza con cada versión. Las actualizaciones de la extensión se entregan automáticamente a través de Chrome Web Store. Los cambios en scopes, permisos o tratamiento de datos se comunican en el changelog de la extensión y en esta página.

Última actualización: septiembre de 2026 · Versión de la extensión: 4.5.0