Sécurité

On Behalf est conçu sur Atlassian Forge et fonctionne entièrement sur l’infrastructure d’Atlassian. Cette page explique comment l’app protège vos données et comment nous traitons les questions de sécurité. Pour ce que l’app stocke et pourquoi, voir Confidentialité et données.

Où l’app fonctionne

Le code de l’app s’exécute sur Atlassian Forge, dans le cloud d’Atlassian. Systematic n’exploite aucun serveur pour elle.
Elle est éligible au programme Runs on Atlassian : aucune sortie réseau, rien n’est envoyé hors de votre site et aucun service tiers n’est utilisé.
La résidence des données suit votre site Atlassian : le stockage de l’app se trouve là où Atlassian conserve les données Forge de votre site.

Qui peut soumettre pour qui

Un client ne peut choisir qu’un collègue qui partage l’une de ses organisations, et seulement les organisations ajoutées au projet de service. Un administrateur peut limiter cela à des organisations choisies.
Le choix fait sur le formulaire est vérifié à nouveau sur le serveur avant tout changement. Une demande modifiée pour désigner quelqu’un hors des organisations du client est refusée et laissée telle quelle.
Seul le client qui a rempli le formulaire peut transmettre une demande.
La personne qui a soumis la demande y est ajoutée avant qu’elle change de mains, pour qu’elle n’en perde jamais l’accès.

Traitement des données

L’app stocke uniquement ses paramètres et un journal d’activité de 90 jours (ID de compte, clés de demande et résultats).
Le sélecteur de collègues ne renvoie que des noms, jamais d’adresses e-mail, et seulement pour les membres des organisations du client.
Les ID de compte sont signalés chaque semaine via l’API de signalement des données personnelles d’Atlassian, afin de supprimer les comptes fermés.

Chiffrement

Tout le trafic entre les navigateurs, Jira et l’app passe en HTTPS (TLS), fourni par la plateforme Forge.
Les données stockées par l’app sont chiffrées au repos par le stockage Forge d’Atlassian.

Contrôle d’accès

L’app ne demande que les permissions Jira nécessaires : lire et modifier les demandes, lire les utilisateurs et les organisations, et son propre stockage.
Les changements sont faits par le compte de l’app et apparaissent dans l’historique de chaque demande.
Seuls les administrateurs Jira peuvent ouvrir la page d’administration et modifier les paramètres.
Personne chez Systematic n’a accès à votre site ni à vos données.

Développement sécurisé

Chaque version est revue et testée avant sa sortie, et déployée via le pipeline Forge d’Atlassian.
Les règles qui définissent qui peut soumettre pour qui sont couvertes par des tests automatiques.
Les dépendances sont tenues à jour et vérifiées contre les vulnérabilités connues avant chaque version.

Signaler une vulnérabilité

Si vous pensez avoir trouvé un problème de sécurité dans On Behalf, écrivez à info@systematic.com.lb avec l’objet Security. Indiquez les étapes pour le reproduire et, si possible, l’adresse de votre site Jira.

Nous accusons réception sous un jour ouvré.
Nous examinons chaque signalement et vous tenons informé jusqu’à sa résolution.
Les problèmes critiques sont corrigés en priorité et publiés dès qu’un correctif est prêt.
Merci de ne pas rendre le problème public avant sa correction.

Incidents de sécurité

Si un incident de sécurité touche vos données, nous prévenons les clients concernés et Atlassian sans délai injustifié, et suivons le processus de gestion des incidents d’Atlassian pour les apps du Marketplace.