Centro de Segurança

Como o Tempus AI PM protege os teus dados, a que acede e como reportar vulnerabilidades.

Princípio central: o Tempus é uma extensão do Chrome local-first. Os teus dados do Jira, Calendar e projetos são processados no teu navegador. O Tempus não opera nenhum servidor de aplicação central que receba ou armazene os teus dados.

1. Visão geral da arquitetura

O Tempus é uma extensão do Chrome (Manifest V3) que corre inteiramente no teu navegador como service worker mais painel lateral. Comunica diretamente com as tuas APIs SaaS existentes — Jira, Tempo, Google Calendar, Confluence, Dynamics 365, Salesforce — usando as tuas sessões autenticadas. Nenhum dado passa pelos servidores do Tempus.

O que se liga a quê

Ligação	Direção	Dados	Finalidade
Jira Cloud	Navegador → Jira	Incidências, worklogs, projetos	Funcionalidade principal
Tempo	Navegador → Tempo	Planos, alocações, horários	Capacidade e conformidade
Google Calendar	Navegador → Google	Eventos (só de leitura)	Visibilidade de reuniões
Confluence	Navegador → Confluence	Criação de páginas	Publicação de relatórios
Dynamics 365 / Salesforce	Navegador → CRM	Campos de projeto	Sincronização de dados de CRM
Claude / Gemini	Navegador → fornecedor de IA	Métricas de projeto selecionadas	Análise com IA (opcional, iniciada pelo utilizador)
Supabase	Navegador → Supabase	Chave de licença + ID de dispositivo	Apenas validação de licença

2. Scopes e permissões OAuth

O Tempus solicita os scopes mínimos necessários para cada integração:

Jira / Atlassian (OAuth 2.0 — 3LO)

read:jira-work — ler worklogs, incidências, projetos
write:jira-work — criar e atualizar worklogs
read:jira-user — ler perfis de utilizador para as vistas de equipa
read:confluence-content.all — ler espaços do Confluence (destino de publicação)
write:confluence-content — criar páginas do Confluence (relatórios)

Google Calendar (OAuth 2.0)

calendar.events.readonly — acesso só de leitura aos eventos do calendário. O Tempus não pode criar, modificar ou eliminar eventos.

Tempo

Token de API pessoal — indicado por ti nas Definições. Usado para planos, alocações, horários e dados do dia de trabalho.

Dynamics 365 / Salesforce

Sessão baseada em cookies ou OAuth 2.0 (Dynamics), OAuth 2.0 (Salesforce). Acesso limitado apenas aos campos de entidade/objeto configurados.

3. Armazenamento de tokens

O Tempus usa as APIs de armazenamento de extensões do Chrome com boas práticas de segurança:

Os tokens de acesso são guardados em chrome.storage.session — armazenamento efémero que é limpo ao fechar o navegador e não é acessível a content scripts ou páginas web.
Os tokens de atualização são guardados em chrome.storage.local com o acesso restringido via setAccessLevel apenas a contextos de extensão de confiança (service worker e popup).
Os tokens nunca são expostos a páginas web, content scripts ou outras extensões.
Podes revogar todos os tokens instantaneamente desligando as integrações nas Definições ou desinstalando a extensão.

4. Retenção e armazenamento de dados

Tipo de dado	Armazenamento	Retenção
Incidências do Jira, worklogs	chrome.storage.local	Em cache; limpo ao desligar
Eventos de calendário	Apenas em memória	Descartados ao fechar o popup
Dados do Tempo	Cache em memória (TTL 60s)	Não persistido
Dados de campos de CRM	chrome.storage.local	Apenas configuração; dados em direto obtidos por vista
Resultados de análise com IA	chrome.storage.local (optional)	Geridos pelo utilizador; elimináveis em Relatórios
Registo de atividade passiva	chrome.storage.local	Limpeza automática ao fim de 30 dias
Chave de licença	chrome.storage.local	Até te desligares

5. Content Security Policy

O manifest.json da extensão aplica uma Content Security Policy rigorosa. Não são usados scripts inline — todos os handlers de eventos são ligados por código. Não são carregados scripts externos em tempo de execução. A extensão não injeta content scripts em páginas web.

6. Serviços de terceiros

Serviço	Finalidade	Dados enviados
Supabase	Validação de licença e ativação de dispositivo	Chave de licença, impressão digital de dispositivo anonimizada
Stripe	Processamento de pagamentos	Gerido inteiramente pela Stripe — o Tempus nunca vê os dados do cartão
Resend	Email transacional (entrega de licença)	Endereço de email + chave de licença
Claude API / Gemini API	Análise com IA (opcional, iniciada pelo utilizador)	Métricas de projeto selecionadas: títulos, estados, horas, nomes dos membros da equipa

7. O que o Tempus NÃO faz

Não recolhe análises de uso nem dados comportamentais
Não exibe anúncios
Não vende nem partilha dados com terceiros
Não opera um backend central que processe os teus dados do Jira
Não injeta scripts em páginas web
Não acede ao histórico do navegador, aos favoritos ou a outras extensões
Não armazena credenciais — apenas tokens OAuth geridos pelas APIs do Chrome

8. Reporte de vulnerabilidades

Se descobrires uma vulnerabilidade de segurança no Tempus, reporta-a de forma responsável. Todos os reportes são levados a sério e respondidos prontamente.

Email: hello@tempus-ai-pm.com (assunto: "Security Report")

Inclui:

Descrição da vulnerabilidade
Passos para reproduzir
Avaliação do impacto
A tua correção sugerida (se houver)

Os reportes são confirmados no prazo de 48 horas, com um calendário de resolução fornecido no prazo de 5 dias úteis.

9. Atualizações

Esta página é atualizada a cada versão. As atualizações da extensão são entregues automaticamente através da Chrome Web Store. As alterações a scopes, permissões ou tratamento de dados são comunicadas no changelog da extensão e nesta página.

Última atualização: setembro de 2026 · Versão da extensão: 4.5.0