Autorisations et vos données

Cette page répond aux questions les plus fréquemment posées par les examinateurs informatiques et de sécurité : quelles autorisations Google Mail Merge demande, s’il peut lire votre Gmail, quels fichiers il peut consulter et ce qui advient de vos listes de destinataires sur nos serveurs.

Pour un compte complet incluant les données de campagne, d’IA, d’analyse et d’assistance, notamment les destinataires, la conservation et les contrôles utilisateur, consultez notre politique de confidentialité.

Les autorisations affichées lors de l’installation

Lorsque vous installez Mail Merge depuis Google Workspace Marketplace, Google affiche la liste des autorisations de l’extension. Ce sont les portées que l’extension demande et leur utilité :

Autorisation (portée OAuth)	Pourquoi Mail Merge en a besoin
script.send_mail - Envoyer des emails en votre nom	Envoyer les emails que vous composez. Cette portée peut uniquement envoyer - elle ne peut pas lire, rechercher ou lister quoi que ce soit dans votre boîte aux lettres.
spreadsheets - Voir, modifier, créer et supprimer vos feuilles de calcul	Lire la feuille de destinataires à partir de laquelle vous lancez la fusion et écrire la colonne de statut 📮 (Envoyé / Ouvert / Erreur…) dans celle-ci.
drive.readonly - Voir et télécharger vos fichiers Drive	Lire le contenu sélectionné et télécharger les pièces jointes de campagne, y compris les pièces jointes par ligne référencées par une URL Drive dans votre feuille. Cette portée ne permet pas de modifier ou supprimer des fichiers Drive.
drive.file - Accéder aux fichiers que vous ouvrez ou créez avec cette application	Accès par fichier utilisé par le sélecteur de fichiers.
userinfo.email	Identifier votre compte (votre adresse email est votre identifiant de compte Mail Merge).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Infrastructure standard des extensions Google Workspace : affichage de la barre latérale et des dialogues dans Sheets/Gmail, appel de notre backend et affichage de l’interface dans votre langue.

Ce tableau décrit l’extension Workspace. Les autorisations pour l’application web et les connexions d’assistant IA dépendent des fonctionnalités que vous autorisez ; l’échauffement optionnel de la boîte aux lettres dispose d’une connexion séparée.

Peut-elle lire les messages Gmail ou seulement envoyer ?

L’autorisation d’envoi de l’extension est réservée à l’envoi. L’extension ne demande aucune portée de lecture Gmail : l’envoi se fait via script.send_mail, qui est réservé à l’envoi. La connexion Gmail optionnelle décrite ci-dessous ajoute gmail.send (également réservé à l’envoi) et gmail.metadata, que Mail Merge utilise pour la détection des réponses et rebonds sur les threads que vos propres campagnes ont lancés - elle lit les métadonnées des messages (y compris les en-têtes d’expéditeur), plutôt que les corps des messages, pour cette fonctionnalité.

L’échauffement optionnel de la boîte aux lettres utilise un mot de passe d’application Google séparé et une connexion SMTP/IMAP. Il peut trouver les messages d’échauffement correspondants, les déplacer hors du spam, les marquer comme lus, y répondre et les archiver. Ceci est séparé de l’autorisation réservée à l’envoi de l’extension et de la détection des réponses aux campagnes.

Tous les fichiers Drive/Sheets ou seulement les fichiers sélectionnés ?

La portée spreadsheets est de nature à l’échelle du compte - c’est ainsi que fonctionne le modèle d’extension Sheets de Google, puisque l’extension doit lire la feuille de calcul dans laquelle vous l’ouvrez et écrire les statuts de livraison dans celle-ci. Les outils d’application et d’IA demandés peuvent également lire les aperçus de feuilles de calcul, créer des feuilles de calcul d’exemple, importer du contenu Google Docs comme modèles et traiter les pièces jointes sélectionnées. La portée drive.readonly permet de lire, non de modifier, les fichiers Drive. La portée drive.file séparée accorde un accès par fichier aux fichiers que vous sélectionnez ou créez avec l’application ; ce n’est pas une portée en lecture seule.

Contacts

Mail Merge ne demande aucune portée Google Contacts pour remplir les listes de destinataires. Les destinataires peuvent provenir de feuilles de calcul, de contacts et listes Mail Merge enregistrés ou d’entrées directes d’application/outil. Les contacts enregistrés et les champs personnalisés sont stockés dans notre backend pour réutilisation.

Accès hors ligne (agir en votre nom lorsque vous êtes déconnecté)

Les fonctionnalités d’arrière-plan autorisées peuvent continuer pendant que vous êtes déconnecté, y compris les campagnes programmées et limitées, les mises à jour de feuilles de calcul et la détection des réponses/rebonds de campagne. Les jetons d’actualisation Google sont stockés chiffrés. Révoquez l’accès Google sur myaccount.google.com/connections pour arrêter les opérations futures nécessitant cette autorisation. La révocation n’efface pas les données déjà traitées.

L’échauffement optionnel utilise son propre mot de passe d’application stocké et chiffré. Arrêtez l’échauffement séparément et révoquez le mot de passe d’application dans votre compte Google lorsque vous ne voulez plus cette connexion.

Ce qui advient de votre liste de destinataires

Ce que nos serveurs reçoivent

Lorsque vous lancez une campagne, les lignes de destinataires nécessaires pour l’envoyer - adresses email, cc/cci et les valeurs de champ de fusion utilisées pour personnaliser chaque message - sont envoyées à notre backend (Google Cloud / Firebase), ainsi que le modèle de message et les pièces jointes. C’est ce qui rend possible la programmation, la limitation, la gestion des quotas quotidiens et le suivi des ouvertures/clics.

Lorsque vous connectez un assistant IA, il envoie les entrées d’outil à Mail Merge et reçoit des résultats tels que les champs de contact, les aperçus de feuilles de calcul, le contenu du modèle et l’activité de campagne. Ces résultats peuvent contenir des informations personnelles. La génération d’IA propre à Mail Merge envoie également les invites soumises via ses fournisseurs de services d’IA. La politique de confidentialité décrit ces destinataires et ce traitement en détail.

Durée de stockage et suppression

• Campagnes en attente et actives. L’expiration est calculée à partir de l’achèvement prévu plus sept jours et ajustée lors de modifications de programmation, limitation ou pilote automatique. La mise en pause définit généralement une période de grâce de 30 jours.
• Campagnes terminées ou arrêtées. L’historique du plan gratuit devient admissible à la suppression après trois jours. Les campagnes terminées ou arrêtées lors d’un abonnement payant actif n’ont pas de minuteur d’expiration d’historique automatique. Un passage ultérieur à un plan inférieur n’en ajoute pas un ; demandez la suppression de l’historique conservé dont vous n’avez plus besoin.
• Campagnes programmées supprimées. L’annulation arrête l’envoi ultérieur, mais leurs données deviennent généralement admissibles au nettoyage après environ 24 heures. L’expiration et le nettoyage s’exécutent de manière asynchrone ; ce ne sont pas des délais d’effacement garantis. Le nettoyage des campagnes tente également de supprimer les travaux de destinataires en attente et les pièces jointes de campagne associées.
• Contacts, listes, modèles et fichiers de modèles enregistrés sont conservés pour un usage continu jusqu’à suppression ou traitement via une demande de suppression de données. La suppression d’une liste ne supprime pas ses contacts.
• Les statuts de livraison/engagement (Envoyé, Ouvert, Cliqué, Erreur) peuvent être stockés dans les dossiers de campagne, de suivi et d’analyse du backend et réécrits dans votre feuille de calcul. L’expiration de la campagne n’efface pas tous ces dossiers séparés ou la copie de votre compte Google.
• Les désinscriptions sont conservées. Lorsqu’un destinataire clique sur le lien de désinscription, nous stockons cette adresse marquée comme désinscrite sous votre compte afin que les campagnes futures l’excluent automatiquement. Conserver cette liste aide à respecter le choix du destinataire.
• Votre dossier de compte (email, statut d’abonnement/facturation, modèles enregistrés, compteurs de quota) persiste aussi longtemps que vous avez un compte.

Les dossiers de compte, de suivi, d’analyse, de diagnostic, de suppression et de fournisseur ne partagent pas tous une expiration automatique fixe. Consultez la politique de confidentialité pour les critères de conservation et les contrôles dans ces catégories.

Pour une demande de suppression de compte ou de données, envoyez un email à contact@merge.email avec l’adresse du compte et l’étendue de votre demande. La désinstallation de l’extension, la révocation de l’accès ou la suppression d’un dossier de compte principal seul n’efface pas tous les dossiers associés ou les copies déjà détenues par les destinataires et les fournisseurs.