Centre de confiance

Non. L’application fonctionne sur Atlassian Forge et ne déclare aucun accès réseau externe : aucune sortie de données, aucune ressource distante ni aucun module Connect, et un test fait échouer la compilation si l’on en ajoute. Des données ne franchissent la frontière d’Atlassian que si vous le choisissez : si vous activez l’analyse automatique, un expéditeur que vous exécutez envoie l’analyse caviardée à l’application (l’application n’envoie rien vers l’extérieur), et un administrateur peut nous envoyer un paquet de soutien. L’expéditeur lit d’abord le texte réel des règles par l’API d’Atlassian, sur le système que vous choisissez, ce qui peut être ScriptRunner Cloud, une application de scripts d’un autre éditeur que vous avez installée. Voir Sous-traitants.

Non. Chaque texte des réglages d’un flux (JQL, adresses Web et en-têtes, adresses courriel, valeurs intelligentes, noms de champs personnalisés, valeurs comparées, commentaires et secrets) est remplacé par un marqueur dans votre navigateur, ou dans votre propre expéditeur, avant que quoi que ce soit soit envoyé. L’application refuse un flux qui n’est pas caviardé. Les noms des flux ne sont pas des réglages : ils atteignent l’application et sont conservés. Le JQL d’un flux va uniquement vers le Jira de votre propre site, pour être vérifié et compté. Si vous utilisez l’analyse automatique, son expéditeur lit d’abord le texte réel des règles, avec votre propre jeton d’API Atlassian, là où vous l’exécutez (comme tâche planifiée dans ScriptRunner Cloud, une application de scripts d’un autre éditeur, si vous en avez choisi une). Le jeton n’atteint jamais l’application. Voir Minimisation des données.

Seulement les personnes que vos administrateurs Jira autorisent : les administrateurs Jira, les groupes qu’ils autorisent, et les administrateurs d’un projet pour ce projet. Les outils de nettoyage sont réservés aux administrateurs Jira. Tout ce que l’application lit ou modifie dans Jira en tant qu’une personne se fait avec les droits Jira propres à cette personne. Les alertes sont créées, et les vérifications en arrière-plan lisent, en tant qu’application. Voir Contrôle d’accès.

L’application n’envoie aucune donnée à Plugincraft. Ce que nous pouvons lire de l’application est technique : ses journaux (seulement des identifiants, des nombres, des statuts et des codes d’erreur), les statistiques d’utilisation qu’Atlassian montre à un éditeur pour chaque site, la licence et les coordonnées que le Marketplace d’Atlassian nous donne, et un paquet de soutien si un administrateur choisit d’en envoyer un. Voir Journalisation des données et la politique de confidentialité.

Non. Atlassian ne donne aux applications aucun accès aux règles d’automatisation Jira, ni pour les lire ni pour les modifier. TuneCraft travaille à partir de l’export de vos règles, ou de ce qu’envoie un expéditeur que vous exécutez, et prépare un flux corrigé que vous importez vous-même dans Jira.

L’application ne garde aucune copie hors de votre installation. Lorsqu’un administrateur la désinstalle, Atlassian garde les données stockées pendant 30 jours, puis les supprime définitivement. Une demande faite à Atlassian dans les 21 jours suivant la désinstallation peut rattacher une réinstallation aux anciennes données. Voir Comment les données sont supprimées.

Pas encore pour Plugincraft elle-même. TuneCraft garde toutes ses données dans Forge : son hébergement, son stockage, son chiffrement et ses contrôles d’infrastructure sont donc ceux d’Atlassian, couverts par l’attestation SOC 2 et la certification ISO/IEC 27001 de la plateforme Forge. Ce sont les certifications d’Atlassian pour la plateforme, et elles ne couvrent qu’une partie de ce qu’exigent SOC 2 et ISO 27001, pour les données à l’intérieur de Forge; le reste relève des propres processus de l’entreprise. Plugincraft n’a pas encore terminé son propre audit SOC 2 ou ISO 27001; un audit SOC 2 de type II est prévu. Voir les contrôles hérités et la page d’Atlassian sur ce dont les applications Forge héritent.

Pas encore. Une fois l’application inscrite sur le Marketplace d’Atlassian, nous prévoyons la faire tester une fois par an, par le programme de tests d’intrusion d’Atlassian ou par un fournisseur accrédité CREST, et adhérer au programme de primes aux bogues de sécurité du Marketplace d’Atlassian. Voir Test d’intrusion et prime aux bogues.

Seulement par son assistant Rovo, qui fonctionne sur la plateforme d’Atlassian avec le modèle d’Atlassian. L’application n’appelle aucun service d’IA hors d’Atlassian, l’assistant lit avec les permissions de la personne qui le sollicite, et il ne change rien dans Jira. Plugincraft ne reçoit aucune des données : elle ne peut donc pas s’en servir pour entraîner un modèle. Voir la Politique d’utilisation de l’IA.

Écrivez à info@plugincraft.ca, en français ou en anglais, et mettez « URGENT » au début de l’objet pour une question urgente. Nous accusons réception d’un signalement dans les 2 jours ouvrables et corrigeons les vulnérabilités dans les délais de la politique de correction des bogues de sécurité d’Atlassian. Voir la Politique de divulgation des vulnérabilités.