Centro Sicurezza

Come Tempus AI PM protegge i tuoi dati, a cosa accede e come segnalare vulnerabilità.

Principio centrale: Tempus è un'estensione di Chrome local-first. I tuoi dati di Jira, Calendar e progetto vengono elaborati nel tuo browser. Tempus non gestisce alcun server applicativo centrale che riceva o memorizzi i tuoi dati.

1. Panoramica dell'architettura

Tempus è un'estensione di Chrome (Manifest V3) che funziona interamente nel tuo browser come service worker più pannello laterale. Comunica direttamente con le tue API SaaS esistenti — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — usando le tue sessioni autenticate. Nessun dato passa dai server di Tempus.

Cosa si collega a cosa

Connessione	Direzione	Dati	Scopo
Jira Cloud	Browser → Jira	Issue, worklog, progetti	Funzionalità principale
Tempo	Browser → Tempo	Piani, allocazioni, pianificazioni	Capacità e compliance
Google Calendar	Browser → Google	Eventi (sola lettura)	Visibilità delle riunioni
Confluence	Browser → Confluence	Creazione di pagine	Pubblicazione di report
Dynamics 365 / Salesforce	Browser → CRM	Campi di progetto	Sincronizzazione dati CRM
Claude / Gemini	Browser → provider IA	Metriche di progetto selezionate	Analisi IA (facoltativa, avviata dall'utente)
Supabase	Browser → Supabase	Chiave di licenza + ID dispositivo	Solo validazione della licenza

2. Scope e permessi OAuth

Tempus richiede gli scope minimi necessari per ogni integrazione:

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — leggere worklog, issue, progetti
write:jira-work — creare e aggiornare worklog
read:jira-user — leggere i profili utente per le viste del team
read:confluence-content.all — leggere gli spazi di Confluence (destinazione di pubblicazione)
write:confluence-content — creare pagine Confluence (report)

Google Calendar (OAuth 2.0)

calendar.events.readonly — accesso in sola lettura agli eventi del calendario. Tempus non può creare, modificare o eliminare eventi.

Tempo

Token API personale — fornito da te nelle Impostazioni. Usato per piani, allocazioni, pianificazioni e dati della giornata lavorativa.

Dynamics 365 / Salesforce

Sessione basata su cookie o OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). Accesso limitato ai soli campi di entità/oggetto configurati.

3. Archiviazione dei token

Tempus usa le API di archiviazione delle estensioni di Chrome con le migliori pratiche di sicurezza:

I token di accesso sono archiviati in chrome.storage.session — archivio effimero che viene cancellato alla chiusura del browser e non è accessibile a content script o pagine web.
I token di refresh sono archiviati in chrome.storage.local con accesso limitato tramite setAccessLevel ai soli contesti di estensione affidabili (service worker e popup).
I token non sono mai esposti a pagine web, content script o altre estensioni.
Puoi revocare tutti i token all'istante disconnettendo le integrazioni nelle Impostazioni o disinstallando l'estensione.

4. Conservazione e archiviazione dei dati

Tipo di dato	Archiviazione	Conservazione
Issue di Jira, worklog	chrome.storage.local	In cache; cancellati alla disconnessione
Eventi di calendario	Solo in memoria	Scartati alla chiusura del popup
Dati di Tempo	Cache in memoria (TTL 60s)	Non persistiti
Dati dei campi CRM	chrome.storage.local	Solo configurazione; i dati live vengono recuperati per vista
Risultati dell'analisi IA	chrome.storage.local (optional)	Gestiti dall'utente; eliminabili in Report
Registro di attività passiva	chrome.storage.local	Pulizia automatica dopo 30 giorni
Chiave di licenza	chrome.storage.local	Fino alla disconnessione

5. Content Security Policy

Il manifest.json dell'estensione applica una Content Security Policy rigorosa. Non vengono usati script inline — tutti i gestori di eventi sono collegati via codice. Nessuno script esterno viene caricato a runtime. L'estensione non inietta content script nelle pagine web.

6. Servizi di terze parti

Servizio	Scopo	Dati inviati
Supabase	Validazione della licenza e attivazione del dispositivo	Chiave di licenza, impronta del dispositivo anonimizzata
Stripe	Elaborazione dei pagamenti	Gestito interamente da Stripe — Tempus non vede mai i dati della carta
Resend	Email transazionale (consegna della licenza)	Indirizzo email + chiave di licenza
Claude API / Gemini API	Analisi IA (facoltativa, avviata dall'utente)	Metriche di progetto selezionate: titoli, stati, ore, nomi dei membri del team

7. Cosa Tempus NON fa

Non raccoglie analisi d'uso o dati comportamentali
Non mostra annunci
Non vende né condivide dati con terze parti
Non gestisce un backend centrale che elabora i tuoi dati di Jira
Non inietta script nelle pagine web
Non accede alla cronologia del browser, ai segnalibri o ad altre estensioni
Non memorizza credenziali — solo token OAuth gestiti dalle API di Chrome

8. Segnalazione di vulnerabilità

Se scopri una vulnerabilità di sicurezza in Tempus, segnalala in modo responsabile. Tutte le segnalazioni vengono prese sul serio e gestite tempestivamente.

Email: hello@tempus-ai-pm.com (oggetto: "Security Report")

Includi:

Descrizione della vulnerabilità
Passi per riprodurla
Valutazione dell'impatto
La tua correzione proposta (se presente)

Le segnalazioni vengono confermate entro 48 ore, con una tempistica di risoluzione fornita entro 5 giorni lavorativi.

9. Aggiornamenti

Questa pagina viene aggiornata a ogni rilascio. Gli aggiornamenti dell'estensione vengono distribuiti automaticamente tramite il Chrome Web Store. Le modifiche a scope, permessi o gestione dei dati sono comunicate nel changelog dell'estensione e in questa pagina.

Ultimo aggiornamento: settembre 2026 · Versione dell'estensione: 4.5.0