Sécurité et confidentialité

Elle décrit ce que l'app fait, et ne promet rien de plus.

Où sont stockées mes données ?#

L'app tourne sur Atlassian Forge. Elle n'a ni serveur propre, ni service distant, ni module webtrigger : elle est conçue pour répondre aux conditions du programme « Runs on Atlassian », dont Atlassian reste seule juge.

• Forge SQL. La base de données de l'app, une par installation. Elle contient la déclaration d'applicabilité, les réponses à l'évaluation, les tâches, les références des preuves, les requêtes Jira figées (pour un préréglage JSM : au plus 100 demandes avec leurs approbations), les risques, les actifs, les audits, les revues d'accès, les résultats du suivi, le journal d'audit, les attributions de rôles et les rôles sur mesure. Elle garde aussi les politiques, les incidents, les systèmes d'IA, les fournisseurs, le personnel et les registres du système de management, ainsi que le texte « Comment nous le mettons en œuvre » de chaque contrôle et, pour chaque personne qui a utilisé l'assistant, son identifiant de compte avec le nombre de jetons du mois. Pour un objet lu dans JSM Assets, l'app ne garde que son identifiant, sa clé, son nom, son type et la date de lecture, plus le propriétaire si vous avez indiqué l'attribut qui le porte. Elle ne recopie pas les autres attributs. Les données sont classées « contenu saisi par les utilisateurs » (justifications, notes), « données personnelles » (identifiants de compte Atlassian des responsables, approbateurs, relecteurs) et « autre » (états, dates).
• Stockage d'objets Forge. Les fichiers de preuve que vous joignez (25 Mo au plus par fichier). Ils ne passent que par l'app. À la rédaction de cette page, Atlassian présente le stockage d'objets comme une fonction en préversion : voyez sa documentation pour son état actuel.
• Jira. Les tickets que l'app crée dans votre projet, avec une propriété et des libellés qui relient le ticket à sa tâche.
• Résidence. L'app ne fait appel à aucun hébergeur autre qu'Atlassian et n'a ni remotes, ni providers, ni permissions.external. Où Atlassian héberge Forge SQL et le stockage d'objets pour votre site, et ce qu'il advient de ces données si le site change de région, relève des engagements d'Atlassian : vérifiez-les dans sa documentation sur la résidence des données, nous ne les garantissons pas ici. Une exception à noter : la requête au modèle d'IA de l'assistant (édition Advanced) passe par Forge LLMs, dont nous n'avons pas vérifié la résidence.

Avec quelle identité l'app parle-t-elle à Jira ?#

Par défaut, avec la vôtre (asUser) : Jira applique alors vos droits et l'app ne voit que ce que vous voyez.

L'identité de l'app voit tous les projets où elle a accès. Pour cette raison, ses lectures sont limitées aux projets que vous avez choisis dans les réglages du suivi et aux tickets que l'app a elle-même créés, et elle ne garde que des comptes.

Les objets lus dans JSM Assets ne sont montrés qu'aux personnes qui peuvent modifier les risques et les actifs (administrateurs, responsables conformité, gestionnaires des risques et des actifs) ; les autres personnes voient le registre léger de l'app seul. Les rappels par e-mail ne contiennent que le titre de la tâche, son échéance ou la date de la preuve, et un lien vers l'app.

Que voit le modèle d'IA ?#

L'assistant (édition Advanced) s'appuie sur Forge LLMs, un service d'Atlassian. Aucun appel ne part vers un autre fournisseur. Il a douze fonctions, listées avec leurs droits dans Assistant IA ; le tableau complet de ce qui est envoyé, avec les limites de taille, y est aussi. En résumé, le modèle reçoit, selon la fonction que vous lancez :

• Une tâche (« Expliquer cette tâche », « Suggérer des preuves ») : son titre, sa description, son guide de mise en œuvre, une courte piste de preuve rédigée par nous, les exigences qu'elle couvre (référentiel, code, titre), son statut, sa priorité et son cycle de revue.
• Une politique : le texte de la section que vous travaillez (« Demander une proposition », « Proposer un logigramme »), ou le texte entier de la politique (« Suggérer des contrôles »), ou le texte avant et après de chaque section modifiée (« Résumer pour l'approbateur »), avec le titre de la politique et la liste des contrôles du catalogue.
• Un risque : la phrase que vous tapez ou l'intitulé et la description du risque, la matrice de risques de l'installation, les actifs (identifiant et nom) et les contrôles du catalogue (identifiant et titre).
• Un contrôle (« Comment nous le mettons en œuvre ») : son titre et sa description, les exigences qu'il couvre, le nom et le type des pièces rattachées, le titre et le statut de ses tâches, les réponses à l'évaluation avec leurs notes, l'état déclaré et le texte actuel.
• Une ligne de la déclaration d'applicabilité : l'exigence, le référentiel, applicable ou non, la description du contrôle, le titre et l'état des contrôles qui la couvrent, le texte actuel de la justification.
• Une pièce de preuve (« Relire avec l'assistant ») : ce que le contrôle attend, son nom (le nom d'origine du fichier), son type, sa date de dépôt ; pour une requête Jira figée, la requête, la période, le nombre de tickets et les dix premières clés de tickets.
• Un test en échec : le nom du test, son dernier résultat (statut, code de raison, mesure), la date depuis laquelle il échoue, les titres des contrôles qu'il vérifie.

Retiré ou remplacé avant l'envoi, pour les dix fonctions les plus récentes : les adresses e-mail, les adresses web, les identifiants de compte Atlassian et les mentions @nom ; le nom de chaque personne que l'objet nomme (responsable, approbateur, personnes assignées aux tâches) et le vôtre, remplacés par leur rôle. Limite : le nettoyage ne connaît que ces personnes. Le nom d'un tiers que vous écririez dans un texte libre part tel quel. Le nettoyage s'applique aux douze fonctions, les deux plus anciennes (« Expliquer cette tâche », « Suggérer des preuves ») comprises.

Jamais envoyé : le contenu d'un fichier de preuve ou d'une pièce (le modèle ne reçoit que son nom, son type et ses dates), l'adresse d'un fichier, la personne qui l'a déposé, les adresses e-mail, le journal d'audit, les revues d'accès, le personnel, les fournisseurs, les incidents, les systèmes d'IA.

Une proposition n'est ni enregistrée ni appliquée : c'est à vous de la relire, de la reprendre, puis d'enregistrer avec le bouton de l'écran. Le journal garde la fonction, l'objet, le nombre de jetons et votre décision, jamais le texte envoyé ni le texte reçu.

Budget. Par défaut, 750 000 jetons par mois et par installation, dont une même personne ne peut utiliser que 40 %. L'éditeur de l'app le fixe pour tous les sites ; aucun réglage de l'app ne le change ni ne coupe l'assistant. Au-delà, vous recevez une réponse standard, sans IA.

Où la requête est traitée et combien de temps Atlassian la garde n'a pas été vérifié pour cette app : voyez la documentation de Forge LLMs.

Quelles portées l'app demande-t-elle, et pourquoi ?#

Toutes les portées de la version 1 sont déclarées dès le départ : en ajouter plus tard imposerait à chaque administrateur de réapprouver. Aucune portée « manage » n'est demandée.

Les portées demandées#

Le journal chaîné et la vérification se font dans l'app, sans portée particulière.

L'app envoie-t-elle des données hors d'Atlassian ?#

Non. Le manifeste ne déclare aucune sortie réseau (ni remotes, ni providers, ni permissions.external). Les appels partent vers Jira, Forge SQL, le stockage d'objets Forge et Forge LLMs, tous chez Atlassian. L'interface s'exécute avec la politique de sécurité de contenu par défaut de Forge : aucun style ni script en ligne. Le code de l'app ne charge aucune ressource extérieure. Une exception, qui n'est pas un appel de l'app : la miniature du gadget de tableau de bord est une image statique, https://academy.nexusgrc.net/icons/nexusgrc-compliance-192.png, sur un site que nous exploitons ; c'est le navigateur de la personne qui voit le gadget qui la demande. L'app ne lui envoie rien.

Le rapport et le classeur du dossier d'audit sont créés dans votre navigateur, sans script ni ressource extérieure. Il en va de même des fichiers Word et PDF des politiques et de la lecture des classeurs Excel d'import : ils sont faits et lus dans votre navigateur, et ne passent par aucun serveur extérieur.

Le journal chaîné, et comment le vérifier#

Chaque changement important (évaluation, statut, preuve, approbation, risque, audit, revue d'accès, réglage) est inscrit au journal avec l'acteur, la date et une empreinte qui dépend de l'entrée précédente. Modifier, retirer, ajouter ou réordonner une entrée casse la chaîne.

Pour vérifier : page « Journal », « Vérifier l'intégrité ». Le résultat est « Journal intact » ou « Journal altéré à l'entrée n° N ». Le détail est dans Journal. Les commentaires libres des relecteurs ne sont pas inscrits au journal.

Le journal est lisible par les administrateurs (dont les administrateurs Jira), les responsables conformité et, pendant la durée de leur attribution, les auditeurs. Les autres rôles ne le lisent pas.

Effacement et export des données#

En résumé :

• Désinstallation. Les données hébergées par Forge (Forge SQL, stockage d'objets) sont d'abord supprimées « en douceur », puis détruites à la fin de la période de rétention d'Atlassian : 28 jours après la désinstallation selon la page du stockage de Forge, 60 jours selon la page du cycle de vie (deux pages d'Atlassian, deux chiffres : le délai exact n'est pas tranché). Réinstaller ne restaure rien automatiquement. Les tickets créés dans Jira restent chez vous, avec leur propriété et leurs libellés nexusgrc.
• Comptes Atlassian fermés. Le passage quotidien déclare les identifiants de compte à l'API de données personnelles d'Atlassian. Pour un compte fermé, l'app retire ses rôles et remplace le nom mis en cache par « Compte fermé ». Le journal d'audit n'est pas réécrit (sa chaîne d'empreintes ne se vérifierait plus) : l'identifiant reste, mais les écrans et les exports affichent « Compte fermé » à la place du nom.
• Export (droit d'accès). Le bloc « Vos données » de la page Dossier d'audit fournit un zip (fichiers CSV, réglages, manifeste d'empreintes). Il est ouvert à toutes les éditions, licence inactive comprise, aux auditeurs, aux responsables conformité et aux administrateurs. Les fichiers de preuve ne sont pas dans le zip : ils se téléchargent dans l'app. Le dossier d'audit complet reste réservé à l'édition Advanced.

Signaler une vulnérabilité#

Ne publiez rien et n'ouvrez pas de ticket public. Écrivez en privé à l'adresse indiquée sur la page Support, en mettant « SECURITY » dans l'objet.