Gambit

安全与隐私

Gambit 将您的客户数据保存在您自己的 Atlassian 云中，只向每个人显示 Jira 允许其查看的内容，并遵循您 Jira 站点的数据驻留设置。

信任文档

Gambit 运行在 Atlassian 托管的基础设施上；第三方渗透测试计划于 2027 年初进行。

访问机制

  • Jira 允许查看某条记录的人，可以看到该记录的全部内容。 Gambit 的记录是 Jira 工作项，由 Jira 自身的权限方案和工作项安全级别保护，因此 Jira 搜索、仪表板、Rovo、Jira 移动应用和 Gambit 会向相同的人显示相同的记录。
  • Gambit 的 AI 只能看到您有权查看的内容。 Gambit 的 AI 运行在由 Atlassian 托管的模型上。它只读取您在 Jira 中有权查看的内容，不会读取更多。您的数据不会用于训练模型。
  • 您的数据保留在您的 Atlassian 云中。 Gambit 没有自己的服务器来存放客户数据。您的记录存放在 Jira 中，Gambit 自身的数据存放在您站点上的 Forge 存储中。
  • Gambit Mail Sync 连接您的邮箱。 它会在您的 IT 管理员或用户本人批准的访问范围内读取 Google Workspace 邮件和日历，并将客户邮件写入您的 Jira 工作项。

您的整个团队都能看到客户和商机下的每封客户邮件；将邮件对话标记为“私有”后，只有您以及 Jira 允许的人员可以查看。默认情况下，这些人员是负责人和 rainbook-admins 的成员。商机负责人可以将商机设为仅限其选定的人员可见。有关访问设置、私有商机和 Jira Free，请参阅管理员指南。

Jira 订阅限制

在 Jira Free 上，站点中的所有人都能看到每条记录；私有商机和私有邮件对话需要 Jira Standard 或更高版本。

Jira 通过工作项安全功能将工作项限制为少数人可见，而 Jira Free 没有这项功能。因此在 Jira Free 上，初始设置向导会跳过“访问权限”步骤，Gambit 也会隐藏 私有 开关及其他隐私控制。升级到 Jira Standard 后，Gambit 会在一天内发现这一变化，并提示添加其安全级别，随后为每条记录设置合适的级别。

Gambit 申请的权限

Atlassian 会在您批准安装之前显示每个应用的权限。以下是每项权限的用途。

Gambit用途
read:jira-work读取工作项、评论、属性和搜索，并检查权限，使每个界面只向 Jira 允许查看的人显示记录
write:jira-work创建和编辑 CRM 的工作项、评论、附件、属性和链接，并在用户提出要求时清除其个人数据
read:jira-user查找用户及其所属群组，用于权限检查
read:email-address:jira将支持请求的报告人与客户联系人匹配
read:servicedesk-request将支持请求及其服务级别和参与者关联到客户
manage:servicedesk-customer读取服务台组织及其成员，以便将支持请求关联到客户
manage:jira-project创建 Gambit 的空间，包括其组件、角色和空间属性
manage:jira-configuration通过管理员的浏览器设置工作类型、字段、工作流、界面，以及权限、通知和安全方案，并读取许可证数量
read:license:jira, read:application-role:jira读取站点的用户数量和应用程序角色，以确定您的订阅规模
read:app-data:jira, write:app-data:jira读取 Gambit 的功能开关和已安装的套件，并在工作项上写入 Gambit 的字段值
storage:app将 Gambit 的索引、设置和队列保存在您站点上的 Forge 存储中
report:personal-data告知 Atlassian Gambit 存储了哪些账户，以便处理个人数据请求
redact:issue:jira在用户要求清除其数据时，对变更历史记录进行脱敏
Gambit Mail Sync用途
read:jira-work查找 Jira 中已有的对话和会议，使每个邮件对话和会议只写入一次，并读取 Gambit 保存在其系统工作项上的共享设置；即将推出的收件箱侧边栏也会以配对用户的身份、在其权限范围内读取它所显示的记录
write:jira-work创建对话和会议及其评论、附件和属性，并以配对用户的身份从收件箱侧边栏记录邮件对话（侧边栏即将推出）
read:jira-user将邮箱所有者以及配对侧边栏的用户与 Atlassian 账户匹配
read:group:jira, read:user:jira列出您的 Gambit 用户群组的成员及其姓名和电子邮件地址，以便管理员选择要采集哪些人的邮箱
read:avatar:jira属于同一群组列表的一部分，用于管理员选择要采集哪些人邮箱的列表
storage:app将采集台账、同步游标和连接密钥保存在您站点上的 Forge 存储中
report:personal-data告知 Atlassian Mail Sync 存储了哪些账户，以便处理个人数据请求

两个应用可以访问的所有 Atlassian 以外的服务，连同它们接收的内容和接收时机，都列在范围之外中。

数据驻留

Gambit 仅在 Atlassian 产品和 Forge 托管存储中存储最终用户数据，两者都支持数据驻留。如果您的 Jira 站点已固定到某个位置，或您将其迁移到其他位置，Gambit 的数据会托管在同一位置，并随站点一起迁移。

Gambit 在 Forge 存储中保存的内容

Gambit 存储在 Jira 工作项之外的所有内容，都位于您站点上的 Forge 托管存储中（Forge SQL、Key-Value Store、Custom Entity Store 和 Forge Object Store）。这些内容属于数据驻留的范围，并跟随您 Jira 站点的位置：

  • 人员索引和邮件搜索索引，包括简短的邮件预览和搜索词；
  • 为询问、报表和仪表板提供数据的报表镜像；
  • 活动历史，较早的条目保存在归档文件中；
  • AI 结果（摘要、健康度原因、简报和草稿），以及“显示来源”所依据的 30 天追踪记录；
  • 参考数据、导入映射，以及 90 天前的已导入邮件历史；
  • 设置、已保存的视图和 Gambit 的作业状态；
  • 对于 Gambit Mail Sync：邮箱连接令牌、同步游标、邮件台账和短期采集缓冲区。

保存在 Jira 中的内容

您的客户记录是 Jira 工作项，因此与其他 Jira 数据一样，完全遵循您 Jira 站点的数据驻留：

  • 客户、联系人、线索、商机、续约、跟进和行业套件记录，以及它们的所有字段；
  • 邮件对话和会议，包括完整的邮件正文、发件人和收件人、附件和内嵌图片；
  • Gambit 存储在每个工作项上的值，卸载后您的数据仍可读取；
  • 每晚生成的 Gambit Archive 工作项及其归档文件。

范围内的最终用户数据

Gambit 将以下所有内容视为范围内的最终用户数据。这些数据仅存储在您的 Jira 站点，或您站点上 Gambit 的 Forge 存储中。最后一列说明卸载后这些数据会如何处理（请参阅卸载与保留的数据）。

最终用户数据Gambit 的存储位置卸载后
联系人和线索：姓名、电子邮件地址、电话号码、职位和其他详细信息Jira 工作项保留在 Jira 中
客户、商机、续约、跟进、承诺事项和行业套件记录，包括金额、日期、阶段、备注和每个字段Jira 工作项保留在 Jira 中
邮件和日历内容：主题、正文、发件人、收件人、参与者、附件、内嵌图片和会议详情Jira 工作项（对话和会议）保留在 Jira 中
记录上您团队成员的 Jira 账户 ID，例如负责人、客户团队，以及私有商机的共享对象，还有 Gambit 在每个工作项上的值Jira 字段和工作项属性保留在 Jira 中
每晚生成的 Gambit Archive 工作项及其归档集Jira 工作项保留在 Jira 中
人员和邮件搜索索引：姓名、电子邮件地址、对话参与者、简短的邮件预览和搜索词Forge SQL已移除
报表镜像和报表历史：用于询问、报表和仪表板的记录字段副本、字段变更、每日快照、目标和预测判断Forge SQL已移除
活动历史：谁更改了什么，包括旧值和新值Forge SQL，较早月份的数据保存在 Forge Object Store 的归档文件中已移除；请先从 设置 › 活动历史记录 导出
用户向 Gambit 的 AI 提出的问题，以及它的回答、摘要、健康度原因、简报、草稿和提案Forge SQL已移除
“显示来源”所依据的 AI 追踪记录：提示词、读取的来源和输出，保留 30 天Forge SQL 和 Forge Object Store已移除
您从其他 CRM 导入的文件、导入映射，以及 90 天前的已导入邮件历史Forge SQL 和 Forge Object Store已移除
隐私请求：请求所涉及的地址，请求结束时会替换为指纹Forge SQL已移除
设置、已保存的视图、交付模板、已屏蔽的地址和域名，以及 Gambit 的作业状态Key-Value Store 和 Custom Entity Store已移除
Gambit Mail Sync 的邮箱连接、同步状态和邮件台账Custom Entity Store，其中连接令牌加密存储在 Key-Value Store 中卸载 Gambit Mail Sync 时，采集会停止，Mail Sync 会撤销已连接自己 Google 邮箱的用户的 Google 登录令牌，优先撤销最近使用的。Atlassian 会在卸载 28 天后删除该应用在 Forge 托管的数据；在 21 天内申请重新安装的，可以重新关联到这些数据。重新安装后，请重新连接邮箱。
Gambit Mail Sync 的采集缓冲区：正在进入 Jira 的邮件Forge Object Store，短暂保存已移除

Atlassian 会在标准恢复期内保留已移除的 Gambit 存储数据，并且可以将其重新关联到您在 21 天内申请的重新安装。

范围之外

以下内容不存储在 Gambit 的存储中，除非另有说明，否则均不包含记录内容：

  • 产品分析（PostHog）：匿名化的站点和用户 ID、界面、使用的功能和耗时。错误报告（Sentry）：错误类型、堆栈帧和经过混淆处理的站点 ID，不含任何个人标识符。两者均不包含上述任何范围内的数据。
  • Atlassian Forge 平台中的应用日志：Atlassian 账户 ID、您站点的 cloud ID 和主机，以及记录键，保留 30 天。绝不包含姓名、电子邮件地址、主题、邮件正文、文件名、字段值、提示词或 AI 输出。
  • AI 处理。 Gambit 的 AI 运行在由 Atlassian 托管的模型上，位于 Atlassian 的 AI 处理位置，并遵循适用于这些模型的 Atlassian 条款。处理结果如上所述，存储在您的 Jira 站点和 Gambit 的存储中。
  • 您的邮件提供商。 Gambit Mail Sync 从您自己的 Google Workspace 读取邮件和日历，这些数据由 Google 保存。
  • Gmail 侧边栏即将推出。 推出后，它将运行在 Google Apps Script 上，仅向使用者本人显示记录详情，并且只保存配对令牌，不保存任何记录数据。
  • 公司徽标。 Gambit Mail Sync 只会将公司的网站域名发送到 logo.dev 以获取其徽标，不发送其他任何内容，Gambit 随后会将该徽标存储在 Jira 中的客户上。Logos by Logo.dev。
  • Gambit 网站。 gambit.humanr.ai 托管这些页面，不保存任何客户数据。
  • 您选择与 Gambit 支持团队共享的诊断信息，只有在您将其附加到支持请求时，才会通过您自己的浏览器离开您的站点。

产品分析和错误报告

Gambit 会向 PostHog 发送使用情况分析数据，向 Sentry 发送错误报告，以便我们了解哪些功能对您有帮助，并尽快修复问题。分析事件包含所用界面、所用功能和耗时，并以经过假名化处理的站点 ID 和用户 ID 作为标识。错误报告包含错误类型、堆栈帧和经过混淆的站点 ID，不含任何可识别个人的信息。两者都不会包含姓名、电子邮件地址、记录内容或提示词，错误报告在发出前也会经过清理。

分析功能在安装时默认开启。您的管理员可以在 Atlassian 的管理员控制中将其关闭，关闭后 Gambit 的所有功能照常使用。

银行卡号和 SSN 屏蔽

Gambit 会在所有写入内容的位置屏蔽银行卡号和美国社会安全号码（SSN）：包括采集的邮件正文和主题、日历事件、导入内容、Gambit 的表单以及 AI 输出。在保存任何内容之前，银行卡号会变为“[card ending 4242 removed]”，社会安全号码会变为“[SSN removed]”，消息的其余部分则保持不变。

设置 › 隐私和数据 会显示 Gambit 本月已移除的号码数量。屏蔽功能始终处于开启状态。它覆盖 Gambit 写入的文本；附件以及用户直接在 Jira 中所做的编辑不会被扫描。

Gambit 专为客户关系管理而构建，不适用于健康记录、政府身份标识符或其他特殊类别数据，最终用户条款也不允许存储此类数据。

报告漏洞

如果您发现 Gambit 或 Gambit Mail Sync 存在安全问题，请通过安全页面告知我们，或发送电子邮件至 security@gambit.humanr.ai。我们会确认收到每一份报告，并在问题修复前持续向您通报进展。如有隐私方面的问题或数据请求，请发送电子邮件至 privacy@gambit.humanr.ai。