Centre de sécurité

Comment Tempus AI PM protège vos données, ce à quoi il accède et comment signaler des vulnérabilités.

Principe fondamental : Tempus est une extension Chrome local-first. Vos données Jira, Calendar et projet sont traitées dans votre navigateur. Tempus n'exploite aucun serveur applicatif central qui reçoive ou stocke vos données.

1. Vue d'ensemble de l'architecture

Tempus est une extension Chrome (Manifest V3) qui s'exécute entièrement dans votre navigateur en tant que service worker et panneau latéral. Elle communique directement avec vos API SaaS existantes — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — via vos sessions authentifiées. Aucune donnée ne transite par les serveurs de Tempus.

Ce qui se connecte où

Connexion	Direction	Données	Objectif
Jira Cloud	Navigateur → Jira	Tickets, worklogs, projets	Fonctionnalité principale
Tempo	Navigateur → Tempo	Plans, affectations, plannings	Capacité et conformité
Google Calendar	Navigateur → Google	Événements (lecture seule)	Visibilité des réunions
Confluence	Navigateur → Confluence	Création de pages	Publication de rapports
Dynamics 365 / Salesforce	Navigateur → CRM	Champs de projet	Synchro des données CRM
Claude / Gemini	Navigateur → fournisseur IA	Métriques de projet sélectionnées	Analyse IA (facultative, lancée par l'utilisateur)
Supabase	Navigateur → Supabase	Clé de licence + identifiant d'appareil	Validation de licence uniquement

2. Scopes et autorisations OAuth

Tempus demande les scopes minimaux requis pour chaque intégration :

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — lire les worklogs, tickets, projets
write:jira-work — créer et mettre à jour les worklogs
read:jira-user — lire les profils utilisateur pour les vues d'équipe
read:confluence-content.all — lire les espaces Confluence (cible de publication)
write:confluence-content — créer des pages Confluence (rapports)

Google Calendar (OAuth 2.0)

calendar.events.readonly — accès en lecture seule aux événements du calendrier. Tempus ne peut pas créer, modifier ou supprimer d'événements.

Tempo

Jeton d'API personnel — fourni par vous dans les Paramètres. Utilisé pour les plans, affectations, plannings et données de journée.

Dynamics 365 / Salesforce

Session par cookie ou OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). Accès limité aux seuls champs d'entité/objet configurés.

3. Stockage des jetons

Tempus utilise les API de stockage d'extension de Chrome selon les bonnes pratiques de sécurité :

Les jetons d'accès sont stockés dans chrome.storage.session — un stockage éphémère effacé à la fermeture du navigateur et inaccessible aux content scripts et aux pages web.
Les jetons de rafraîchissement sont stockés dans chrome.storage.local, l'accès étant limité via setAccessLevel aux seuls contextes d'extension de confiance (service worker et popup).
Les jetons ne sont jamais exposés aux pages web, aux content scripts ou à d'autres extensions.
Vous pouvez révoquer tous les jetons instantanément en déconnectant les intégrations dans les Paramètres ou en désinstallant l'extension.

4. Conservation et stockage des données

Type de donnée	Stockage	Conservation
Tickets Jira, worklogs	chrome.storage.local	En cache ; effacé à la déconnexion
Événements de calendrier	En mémoire uniquement	Supprimé à la fermeture du popup
Données Tempo	Cache en mémoire (TTL 60s)	Non persisté
Données de champs CRM	chrome.storage.local	Configuration seulement ; données en direct récupérées par vue
Résultats d'analyse IA	chrome.storage.local (optional)	Gérés par l'utilisateur ; supprimables dans Rapports
Journal d'activité passif	chrome.storage.local	Nettoyage automatique au bout de 30 jours
Clé de licence	chrome.storage.local	Jusqu'à votre déconnexion

5. Content Security Policy

Le manifest.json de l'extension applique une Content Security Policy stricte. Aucun script inline n'est utilisé — tous les gestionnaires d'événements sont liés par programmation. Aucun script externe n'est chargé à l'exécution. L'extension n'injecte pas de content scripts dans les pages web.

6. Services tiers

Service	Objectif	Données envoyées
Supabase	Validation de licence et activation d'appareil	Clé de licence, empreinte d'appareil anonymisée
Stripe	Traitement des paiements	Géré entièrement par Stripe — Tempus ne voit jamais les données de carte
Resend	E-mail transactionnel (livraison de licence)	Adresse e-mail + clé de licence
Claude API / Gemini API	Analyse IA (facultative, lancée par l'utilisateur)	Métriques de projet sélectionnées : titres, statuts, heures, noms des membres de l'équipe

7. Ce que Tempus NE fait PAS

Ne collecte pas d'analyses d'usage ni de données comportementales
N'affiche pas de publicités
Ne vend ni ne partage de données avec des tiers
N'exploite pas de backend central traitant vos données Jira
N'injecte pas de scripts dans les pages web
N'accède pas à l'historique du navigateur, aux favoris ou à d'autres extensions
Ne stocke pas d'identifiants — uniquement des jetons OAuth gérés par les API de Chrome

8. Signalement de vulnérabilités

Si vous découvrez une vulnérabilité de sécurité dans Tempus, signalez-la de manière responsable. Tous les signalements sont pris au sérieux et traités rapidement.

E-mail : hello@tempus-ai-pm.com (objet : "Security Report")

Veuillez inclure :

Description de la vulnérabilité
Étapes pour reproduire
Évaluation de l'impact
Votre correctif suggéré (le cas échéant)

Les signalements sont accusés réception sous 48 heures, avec un calendrier de résolution fourni sous 5 jours ouvrés.

9. Mises à jour

Cette page est mise à jour à chaque version. Les mises à jour de l'extension sont livrées automatiquement via le Chrome Web Store. Les changements de scopes, d'autorisations ou de traitement des données sont communiqués dans le changelog de l'extension et sur cette page.

Dernière mise à jour : septembre 2026 · Version de l'extension : 4.5.0