Permisos y tus datos

Esta página responde las preguntas más frecuentes que recibimos de revisores de TI y seguridad: qué permisos de Google solicita Mail Merge, si puede leer tu Gmail, a qué archivos puede acceder, y qué sucede con tus listas de destinatarios en nuestros servidores.

Para obtener la información completa sobre cuentas, campañas, IA, análisis y datos de soporte, incluidos destinatarios, retención y controles de usuario, consulta nuestra política de privacidad.

Los permisos mostrados durante la instalación

Cuando instalas Mail Merge desde Google Workspace Marketplace, Google muestra la lista de permisos del complemento. Estos son los alcances que solicita el complemento y para qué sirve cada uno:

Permiso (alcance OAuth)	Por qué Mail Merge lo necesita
script.send_mail, Enviar correo electrónico en tu nombre	Enviar los correos electrónicos que compones. Este alcance solo puede enviar, no puede leer, buscar o listar nada en tu buzón.
spreadsheets, Ver, editar, crear y eliminar tus hojas de cálculo	Leer la hoja de destinatarios desde la que ejecutas la combinación, y escribir la columna de estado 📮 (Enviado / Abierto / Error…) en ella.
drive.readonly, Ver y descargar tus archivos de Drive	Leer contenido seleccionado y descargar archivos adjuntos de campaña, incluidos archivos adjuntos por fila referenciados por una URL de Drive en tu hoja. Este alcance no permite modificar ni eliminar archivos de Drive.
drive.file, Acceder a archivos que abres o creas con esta aplicación	Acceso por archivo utilizado por el selector de archivos.
userinfo.email	Identificar tu cuenta (tu dirección de correo electrónico es tu ID de cuenta de Mail Merge).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Infraestructura estándar de complementos de Google Workspace: mostrar la barra lateral y el diálogo dentro de Sheets/Gmail, llamar a nuestro backend, y mostrar la interfaz en tu idioma. script.scriptapp también es lo que permite que una automatización de formulario instale su disparador de “nueva respuesta de formulario” en tu hoja de cálculo.
forms.currentonly, Ver y administrar formularios en los que se ha instalado esta aplicación	Solo dentro del editor de Google Forms: encontrar la hoja de cálculo a la que envía respuestas un formulario, y vincular una cuando no la hay, para que una automatización de formulario pueda configurarse desde el formulario mismo. Mail Merge nunca lee las respuestas a través de este alcance.

Esta tabla describe el complemento de Workspace. Los permisos para la aplicación web y las conexiones del asistente de IA dependen de las características que autorices; el calentamiento de buzón opcional tiene una conexión separada.

¿Puede leer mensajes de Gmail, o solo enviar?

El permiso de envío del complemento es solo para envío. El complemento no solicita ningún alcance de lectura de Gmail: el envío se realiza a través de script.send_mail, que es solo para envío. La conexión opcional de Gmail descrita a continuación añade gmail.send (también solo para envío) y gmail.metadata, que Mail Merge utiliza para detección de respuestas y rebotes en hilos que tus propias campañas iniciaron, lee metadatos de mensajes (incluidos encabezados de remitente), en lugar de cuerpos de mensajes, para esta función.

El calentamiento de buzón opcional utiliza una contraseña de aplicación de Google separada y una conexión SMTP/IMAP. Puede encontrar mensajes de calentamiento coincidentes, moverlos fuera del spam, marcarlos como leídos, responder y archivarlos. Esto es independiente del permiso de solo envío del complemento y la detección de respuestas de campaña.

¿Todos los archivos de Drive/Sheets, o solo archivos seleccionados?

El alcance spreadsheets es de cuenta completa por naturaleza, es decir, así funciona el modelo de complemento de Sheets de Google, ya que el complemento tiene que leer cualquier hoja de cálculo que abras en él y escribir estados de entrega en ella. Las herramientas de aplicación y IA solicitadas también pueden leer vistas previas de hojas de cálculo, crear hojas de cálculo de ejemplo, importar contenido de Google Docs como plantillas y procesar archivos adjuntos seleccionados. El alcance drive.readonly permite leer, no modificar, archivos de Drive. El alcance drive.file separado otorga acceso por archivo a archivos que seleccionas o creas con la aplicación; no es un alcance de solo lectura.

Contactos

Mail Merge no solicita ningún alcance de Google Contacts para rellenar listas de destinatarios. Los destinatarios pueden provenir de hojas de cálculo, contactos y listas guardados de Mail Merge, o entradas directas de aplicación/herramienta. Los contactos guardados y campos personalizados se almacenan en nuestro backend para reutilización.

Acceso sin conexión (actuar en tu nombre mientras estás desconectado)

Las características de fondo autorizadas pueden continuar mientras estés desconectado, incluidas campañas programadas y limitadas, actualizaciones de hojas de cálculo, y detección de respuestas/rebotes de campaña. Los tokens de actualización de Google se almacenan cifrados. Revoca el acceso de Google en myaccount.google.com/connections para detener operaciones futuras que requieran ese permiso. La revocación no borra datos ya procesados.

El calentamiento opcional utiliza su propia contraseña de aplicación almacenada y cifrada. Detén el calentamiento por separado y revoca la contraseña de aplicación en tu cuenta de Google cuando ya no desees esa conexión.

Qué sucede con tu lista de destinatarios

Qué reciben nuestros servidores

Cuando lanzas una campaña, las filas de destinatarios necesarias para enviarla (direcciones de correo electrónico, cc/bcc, y los valores de campos de combinación utilizados para personalizar cada mensaje) se envían a nuestro backend (Google Cloud / Firebase), junto con la plantilla de mensaje y cualquier archivo adjunto. Esto es lo que hace posible la programación, limitación, manejo de cuota diaria, y seguimiento de aperturas/clics.

Cuando conectas un asistente de IA, envía entradas de herramientas a Mail Merge y recibe resultados como campos de contacto, vistas previas de hojas de cálculo, contenido de plantilla y actividad de campaña. Estos resultados pueden contener información personal. La generación de IA propia de Mail Merge también envía indicaciones enviadas a través de sus proveedores de servicios de IA. La política de privacidad describe estos destinatarios y procesamiento en detalle.

Cuánto tiempo se almacena y cómo se elimina

• Campañas en cola y activas: la caducidad se calcula a partir de la finalización esperada más siete días, y se ajusta cuando cambia la programación, limitación o piloto automático. Pausar generalmente establece un período de gracia de 30 días.
• Campañas completadas o detenidas: el historial del plan gratuito se vuelve elegible para eliminación después de tres días. Las campañas completadas o detenidas durante una suscripción de pago activa no tienen un temporizador de caducidad de historial automático. Una degradación posterior no añade uno; solicita la eliminación del historial retenido que ya no necesites.
• Campañas programadas eliminadas: la cancelación detiene el envío adicional, pero sus datos generalmente se vuelven elegibles para limpieza después de aproximadamente 24 horas. La caducidad y limpieza se ejecutan de forma asincrónica; estos no son plazos de borrado garantizados. La limpieza de campaña también intenta eliminar trabajos de destinatarios en cola y archivos adjuntos de campaña asociados.
• Contactos guardados, listas, plantillas y archivos de plantilla se retienen para uso continuo hasta que se eliminen o se manejen a través de una solicitud de eliminación de datos. Eliminar una lista no elimina sus contactos.
• Estados de entrega/participación (Enviado, Abierto, Hizo clic, Error) pueden almacenarse en registros de campaña, seguimiento y análisis del backend y escribirse en tu hoja de cálculo. La caducidad de campaña no borra todos estos registros separados o la copia de tu cuenta de Google.
• Los desuscriptores se mantienen. Cuando un destinatario hace clic en el enlace de desuscripción, almacenamos esa dirección marcada como desuscrita bajo tu cuenta para que futuras campañas la excluyan automáticamente. Mantener esta lista ayuda a respetar la elección del destinatario.
• Tu registro de cuenta (correo electrónico, estado de suscripción/facturación, plantillas guardadas, contadores de cuota) persiste mientras tengas una cuenta.

Los registros de cuenta, seguimiento, análisis, diagnóstico, supresión y proveedor no comparten todos una caducidad automática fija. Consulta la política de privacidad para criterios de retención y controles en estas categorías.

Para una solicitud de eliminación de cuenta o datos, envía un correo electrónico a contact@merge.email con la dirección de la cuenta y el alcance de tu solicitud. Desinstalar el complemento, revocar acceso o eliminar un registro de cuenta principal solo no borra todos los registros asociados o copias ya mantenidas por destinatarios y proveedores.