Permisos y tus datos

Esta página responde las preguntas que recibimos con más frecuencia de revisores de TI y seguridad: qué permisos de Google solicita Mail Merge, si puede leer tu Gmail, a qué archivos puede acceder, y qué sucede con tus listas de destinatarios en nuestros servidores.

Los permisos mostrados durante la instalación

Cuando instalas Mail Merge desde Google Workspace Marketplace, Google muestra la lista de permisos del complemento. Estos son los alcances que el complemento solicita y para qué sirve cada uno:

Permiso (alcance OAuth)	Por qué Mail Merge lo necesita
script.send_mail — Enviar correo en tu nombre	Enviar los correos que compones. Este alcance solo puede enviar — no puede leer, buscar o listar nada en tu bandeja de entrada.
spreadsheets — Ver, editar, crear y eliminar tus hojas de cálculo	Leer la hoja de destinatarios desde la que ejecutas la combinación, y escribir la columna de estado 📮 (Enviado / Abierto / Error…) en ella.
drive.readonly — Ver y descargar tus archivos de Drive	Descargar los archivos que adjuntas a una campaña, incluidos los adjuntos por fila referenciados por una URL de Drive en tu hoja. Mail Merge nunca modifica ni elimina archivos de Drive.
drive.file — Acceder a archivos que abres o creas con esta aplicación	Acceso por archivo utilizado por el selector de archivos.
userinfo.email	Identificar tu cuenta (tu dirección de correo es tu ID de cuenta de Mail Merge).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Infraestructura estándar de complementos de Google Workspace: mostrar la barra lateral y diálogos dentro de Sheets/Gmail, llamar a nuestro backend, y mostrar la interfaz en tu idioma.

¿Puede leer mensajes de Gmail, o solo enviar?

No puede leer tu correo. El complemento no solicita ningún alcance de lectura de Gmail: el envío se realiza a través de script.send_mail, que es solo para enviar. La conexión opcional de Gmail descrita a continuación añade gmail.send (también solo para enviar) y gmail.metadata, que Mail Merge utiliza únicamente para la detección de respuestas y rebotes en conversaciones que tus propias campañas iniciaron — lee metadatos de mensajes (encabezados), nunca cuerpos de mensajes, y nunca toca conversaciones no relacionadas con tus campañas. Este uso ha pasado la verificación de seguridad independiente de Google (CASA) para alcances restringidos.

¿Todos los archivos de Drive/Sheets, o solo archivos seleccionados?

El alcance spreadsheets es de toda la cuenta por naturaleza — así es como funciona el modelo de complemento de Sheets de Google, ya que el complemento tiene que leer cualquier hoja de cálculo en la que lo abras y escribir estados de entrega en ella. En la práctica, Mail Merge solo toca la hoja de cálculo desde la que lanzas una campaña. El acceso a Drive es solo lectura (drive.readonly) y se utiliza exclusivamente para descargar los adjuntos que explícitamente seleccionas o referencias en tu hoja; el alcance separado drive.file se limita a archivos que seleccionas en el selector.

Contactos

Mail Merge no solicita ningún alcance de Google Contacts y nunca lee tu lista de contactos. Los destinatarios provienen únicamente de la hoja de cálculo que proporcionas.

Acceso sin conexión (actuar en tu nombre mientras estás desconectado)

Sí, por una razón específica: campañas programadas y limitadas. Cuando conectas tu cuenta de Gmail, Google emite un token de actualización que permite a nuestro backend enviar tus correos programados y actualizar la columna de estado en el momento que elegiste, incluso cuando la hoja de cálculo está cerrada. Ese token se almacena encriptado, se utiliza solo para los propósitos anteriores, y se invalida en el momento en que revocas el acceso de Mail Merge en myaccount.google.com/connections.

Qué sucede con tu lista de destinatarios

Qué reciben nuestros servidores

Cuando lanzas una campaña, las filas de destinatarios necesarias para enviarla — direcciones de correo, cc/bcc, y los valores de campos de combinación utilizados para personalizar cada mensaje — se envían a nuestro backend (Google Cloud / Firebase, alojado en Estados Unidos), junto con la plantilla de mensaje y cualquier adjunto. Esto es lo que hace posible la programación, limitación, manejo de cuota diaria, y seguimiento de aperturas/clics.

Cuánto tiempo se almacena y cómo se elimina

• Los datos de campaña (destinatarios, contenido personalizado, adjuntos) son temporales. Cada documento de campaña lleva una marca de tiempo de vencimiento establecida en 7 días después del final esperado de la campaña (para una campaña limitada distribuida durante semanas, 7 días después del último correo enviado). El proceso TTL de Google Cloud Firestore luego elimina la campaña automáticamente, típicamente dentro de 24 horas del vencimiento, en cascada a cada registro por destinatario y los adjuntos cargados. La eliminación es automática — no se requiere acción de tu parte.
• Eliminar una campaña programada elimina sus datos inmediatamente (la misma cascada: registros de destinatarios y adjuntos incluidos).
• Los estados de entrega/participación (Enviado, Abierto, Hizo clic, Error) se escriben de nuevo en tu propia hoja de cálculo — esa copia es tuya y vive solo en tu cuenta de Google.
• Los desuscripciones se conservan. Cuando un destinatario hace clic en el enlace de desuscripción, almacenamos esa dirección marcada como desuscrita bajo tu cuenta para que futuras campañas la excluyan automáticamente. Mantener esta lista es necesario para cumplir con la elección del destinatario.
• Tu registro de cuenta (correo, estado de suscripción/facturación, plantillas guardadas, contadores de cuota) persiste mientras tengas una cuenta.

Para que tu cuenta y todos los datos asociados se eliminen, contáctanos — manejamos solicitudes de eliminación rápidamente.