Politique de confidentialité

Quelles données Tempus AI PM consulte, comment elles sont traitées dans votre navigateur et comment elles sont protégées.

Dernière mise à jour : 23 août 2026

Tempus — AI Project Manager (« Tempus », « nous ») est une extension du navigateur Chrome qui aide les utilisateurs à suivre leur temps et à gérer des projets dans Jira Cloud. Cette politique de confidentialité explique quelles données Tempus consulte, comment elles sont traitées et comment elles sont protégées.

1. Données auxquelles nous accédons

Tempus accède aux données suivantes via des API autorisées :

2. Comment nous protégeons les données sensibles

2.1 Données Google Calendar

Tempus utilise exclusivement le scope calendar.events.readonly. Cela signifie que :

• Tempus peut uniquement lire les événements du calendrier. Il ne peut ni créer, ni modifier, ni supprimer d'événements.
• Les données du calendrier sont traitées entièrement dans votre navigateur (JavaScript côté client). Elles ne sont jamais transmises à un serveur externe exploité par Tempus.
• Les événements du calendrier sont conservés en mémoire uniquement pendant la session active du navigateur. Ils ne sont pas écrits dans chrome.storage.local ni dans aucun stockage persistant.
• Lorsque vous fermez la fenêtre de l'extension ou l'onglet du navigateur, les données du calendrier sont supprimées de la mémoire.
• Les données du calendrier servent uniquement à afficher vos réunions aux côtés des worklogs Jira, ce qui vous permet de voir comment votre journée se répartit entre réunions et travail concentré.

2.2 Données Jira

Les données Jira (tickets, worklogs, métadonnées de projet) sont consultées via OAuth 2.0 avec le consentement explicite de l'utilisateur. Ces données :

• Mises en cache localement dans chrome.storage.local (isolées par extension et profil Chrome — inaccessibles aux sites web ou aux autres extensions).
• Jamais transmises à des serveurs exploités par Tempus.
• Utilisées exclusivement pour afficher les informations de projet, saisir le temps et générer des rapports d'analyse au sein de l'extension.

2.3 Analyse par IA (facultatif)

Lorsque les utilisateurs choisissent d'envoyer des données de projet à un fournisseur d'IA (Claude d'Anthropic ou Google Gemini) pour analyse :

• Cette fonctionnalité exige que l'utilisateur fournisse sa propre clé API (BYOK — Bring Your Own Key). Tempus ne fournit ni ne partage de clés API.
• Seules des métriques de projet agrégées sont envoyées au fournisseur d'IA : clés de tickets, titres, statuts, heures saisies et noms des membres de l'équipe. Les descriptions, commentaires et pièces jointes bruts ne sont jamais envoyés.
• L'appel à l'API d'IA est effectué directement depuis le navigateur de l'utilisateur vers le fournisseur d'IA. Tempus n'intervient pas comme intermédiaire serveur.
• Les utilisateurs sont pleinement informés avant tout envoi de données à un fournisseur d'IA et doivent initier l'action de manière explicite.

2.4 Mécanismes de protection technique

• Content Security Policy (CSP) : L'extension applique script-src 'self'; object-src 'self', empêchant l'injection de code.
• Aucun script inline : Tout le JavaScript s'exécute à partir de fichiers locaux, et non de gestionnaires inline.
• Assainissement des entrées : Tout le contenu dynamique est rendu via les fonctions escHtml() et escAttr() afin de prévenir les attaques XSS.
• OAuth 2.0 avec PKCE : L'authentification Jira utilise le flux standard OAuth 2.0 Authorization Code.
• Stockage des jetons : Les jetons OAuth sont stockés via les API de stockage d'extension de Chrome, avec un accès restreint aux seuls contextes d'extension de confiance (service worker et popup). Les jetons ne sont pas accessibles aux pages web ni aux content scripts.
• Rafraîchissement automatique des jetons : Les jetons d'accès sont de courte durée et rafraîchis automatiquement. Les jetons de rafraîchissement sont stockés de manière sécurisée dans chrome.storage.local.

2.5 Conformité aux services d'API Google

L'utilisation et le transfert par Tempus des informations reçues des API Google sont conformes à la Google API Services User Data Policy, y compris les exigences d'usage limité. Plus précisément :

• Usage limité : Tempus n'utilise les données Google Calendar que dans le seul but d'afficher les événements de calendrier aux côtés des worklogs Jira au sein de l'interface de l'extension. Ces données ne sont pas utilisées à des fins publicitaires, d'études de marché, de campagnes d'e-mailing ou à toute fin étrangère à la fonctionnalité principale de l'extension.
• Aucun transfert à des tiers : Les données utilisateur Google ne sont jamais transférées, vendues ni divulguées à des tiers. Lorsque les utilisateurs envoient facultativement des données de projet à un fournisseur d'IA, les données Google Calendar sont exclues de cette transmission.
• Aucun usage secondaire : Les données utilisateur Google ne sont pas utilisées pour créer des profils d'utilisateur, entraîner des modèles d'apprentissage automatique, diffuser de la publicité ou enrichir d'autres sources de données.
• Sécurité en transit et au repos : Toutes les communications avec les API Google s'effectuent via HTTPS/TLS (chiffrées en transit). Les données de calendrier sont conservées exclusivement dans la mémoire volatile du navigateur (non persistées sur disque, en base de données ou dans chrome.storage.local) et sont supprimées à la fermeture de la fenêtre de l'extension. Les jetons OAuth sont stockés dans le stockage d'extension de Chrome, avec un accès restreint aux contextes d'extension de confiance.
• Accès minimal aux données : Tempus demande uniquement le scope calendar.events.readonly, le scope le plus restreint remplissant sa fonctionnalité. Il ne demande aucun accès en écriture, données de contacts, contenu d'e-mails ni aucune autre donnée utilisateur Google.
• Contrôle par l'utilisateur : Les utilisateurs peuvent révoquer à tout moment l'accès de Tempus à leurs données Google Calendar via les Autorisations du compte Google. Après révocation, l'extension perd immédiatement l'accès, sans aucune donnée résiduelle conservée.

3. Données que nous NE collectons PAS

• Nous ne collectons aucune donnée d'analyse, de télémétrie ni de statistiques d'utilisation.
• Nous n'utilisons ni cookies ni pixels de suivi.
• Nous ne diffusons aucune publicité.
• Nous ne vendons, ne partageons ni ne transférons aucune donnée utilisateur à des tiers.
• Nous n'exploitons aucun serveur backend recevant des données utilisateur.
• Nous n'accédons pas au contenu des e-mails (le scope Gmail a été délibérément supprimé).

4. Services tiers

Tempus communique directement avec les services suivants à l'aide d'identifiants que l'utilisateur fournit explicitement :

Chacun de ces services dispose de sa propre politique de confidentialité. Tempus ne contrôle pas la façon dont ces services traitent les données une fois reçues.

5. Validation de licence

Pour les utilisateurs Pro, Tempus communique avec une edge function Supabase pour valider les clés de licence. Les seules données transmises sont :

• Clé de licence
• Identifiant d'appareil (un UUID généré aléatoirement, non lié à l'identité personnelle)
• Type d'appareil (p. ex. « Windows », « macOS »)

Aucune donnée Jira, donnée de calendrier ni information personnelle n'est transmise lors de la validation de la licence.

6. Conservation et suppression des données

• Données locales : Toutes les données de l'extension (tickets en cache, paramètres, jetons) sont stockées dans chrome.storage.local. Vous pouvez supprimer toutes les données en désinstallant l'extension ou en effaçant les données de l'extension dans les paramètres de Chrome.
• Données de calendrier : Jamais conservées. Elles n'existent que dans la mémoire du navigateur pendant la session active.
• Aucun serveur d'application central : Tempus n'exploite aucun serveur backend central traitant vos données Jira. La validation de licence n'envoie que des identifiants de licence et d'appareil à notre service de licences (Supabase). L'analyse par IA facultative n'envoie que des métriques de projet sélectionnées, directement à votre fournisseur d'IA choisi (Claude ou Gemini).

7. Vos droits

Vous pouvez à tout moment :

• Révoquer l'accès à Google Calendar : Rendez-vous dans les Autorisations du compte Google et supprimez Tempus.
• Révoquer l'accès à Jira : Accédez aux paramètres de votre compte Atlassian et supprimez la connexion OAuth.
• Supprimer toutes les données locales : Désinstallez l'extension ou allez dans Chrome → Extensions → Tempus → Effacer les données.
• Nous contacter : Pour toute question relative à la confidentialité, écrivez à hello@tempus-ai-pm.com.

8. Modifications de la présente politique

Nous pouvons mettre à jour cette politique de confidentialité de temps à autre. Les modifications seront publiées sur cette page avec une date de « Dernière mise à jour » actualisée. La poursuite de l'utilisation de l'extension après les modifications vaut acceptation.

9. Contact

Si vous avez des questions sur cette politique de confidentialité ou sur la façon dont Tempus traite vos données :

E-mail : hello@tempus-ai-pm.com · Site web : www.tempus-ai-pm.com