Autorisations et vos données

Cette page répond aux questions les plus fréquemment posées par les responsables informatiques et de sécurité : quelles autorisations Google Mail Merge demande, s’il peut lire votre Gmail, quels fichiers il peut accéder, et ce qui advient de vos listes de destinataires sur nos serveurs.

Pour le compte complet, les divulgations relatives aux campagnes, à l’IA, aux analyses et au support, y compris les destinataires, la rétention et les contrôles utilisateur, consultez notre politique de confidentialité.

Les autorisations affichées lors de l’installation

Lorsque vous installez Mail Merge depuis Google Workspace Marketplace, Google affiche la liste des autorisations du module complémentaire. Ce sont les portées que le module complémentaire demande et leur utilité :

Autorisation (portée OAuth)	Pourquoi Mail Merge en a besoin
script.send_mail - Envoyer des e-mails en votre nom	Envoyer les e-mails que vous composez. Cette portée peut uniquement envoyer - elle ne peut pas lire, rechercher ou lister quoi que ce soit dans votre boîte aux lettres.
spreadsheets - Voir, modifier, créer et supprimer vos feuilles de calcul	Lire la feuille de destinataires à partir de laquelle vous lancez la fusion, et écrire la colonne d’état 📮 (Envoyé / Ouvert / Erreur…) dans celle-ci.
drive.readonly - Voir et télécharger vos fichiers Drive	Lire le contenu sélectionné et télécharger les pièces jointes de campagne, y compris les pièces jointes par ligne référencées par une URL Drive dans votre feuille. Cette portée ne permet pas de modifier ou supprimer les fichiers Drive.
drive.file - Accéder aux fichiers que vous ouvrez ou créez avec cette application	Accès par fichier utilisé par le sélecteur de fichiers.
userinfo.email	Identifier votre compte (votre adresse e-mail est votre identifiant de compte Mail Merge).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Plomberie standard du module complémentaire Google Workspace : affichage de la barre latérale et des dialogues dans Sheets/Gmail, appel de notre backend, et affichage de l’interface utilisateur dans votre langue. script.scriptapp est aussi ce qui permet à une automatisation de formulaire d’installer son déclencheur “nouvelle réponse de formulaire” dans votre feuille de calcul.
forms.currentonly - Afficher et gérer les formulaires dans lesquels cette application a été installée	Uniquement dans l’éditeur Google Forms : trouver la feuille de calcul vers laquelle un formulaire envoie ses réponses, et en lier une s’il n’y en a pas, pour qu’une automatisation de formulaire puisse être configurée à partir du formulaire lui-même. Mail Merge ne lit jamais les réponses via cette portée.

Ce tableau décrit le module complémentaire Workspace. Les autorisations pour l’application web et les connexions d’assistant IA dépendent des fonctionnalités que vous autorisez ; l’échauffement optionnel de la boîte aux lettres a une connexion séparée.

Peut-il lire les messages Gmail, ou seulement envoyer ?

L’autorisation d’envoi du module complémentaire est réservée à l’envoi. Le module complémentaire ne demande aucune portée de lecture Gmail : l’envoi se fait via script.send_mail, qui est réservé à l’envoi. La connexion Gmail optionnelle décrite ci-dessous ajoute gmail.send (également réservé à l’envoi) et gmail.metadata, que Mail Merge utilise pour la détection des réponses et des rebonds sur les threads que vos propres campagnes ont lancés - il lit les métadonnées des messages (y compris les en-têtes d’expéditeur), plutôt que les corps des messages, pour cette fonctionnalité.

L’échauffement optionnel de la boîte aux lettres utilise un mot de passe d’application Google séparé et une connexion SMTP/IMAP. Il peut trouver les messages d’échauffement correspondants, les sortir du courrier indésirable, les marquer comme lus, y répondre et les archiver. Ceci est séparé de l’autorisation réservée à l’envoi du module complémentaire et de la détection des réponses de campagne.

Tous les fichiers Drive/Sheets, ou seulement les fichiers sélectionnés ?

La portée spreadsheets est de nature à l’échelle du compte - c’est ainsi que fonctionne le modèle de module complémentaire Google Sheets, puisque le module complémentaire doit lire la feuille de calcul que vous ouvrez et écrire les statuts de livraison dans celle-ci. Les applications et outils IA demandés peuvent également lire les aperçus de feuilles de calcul, créer des feuilles de calcul d’exemple, importer du contenu Google Docs comme modèles et traiter les pièces jointes sélectionnées. La portée drive.readonly permet de lire, non de modifier, les fichiers Drive. La portée drive.file séparée accorde un accès par fichier aux fichiers que vous sélectionnez ou créez avec l’application ; ce n’est pas une portée en lecture seule.

Contacts

Mail Merge ne demande aucune portée Google Contacts pour remplir les listes de destinataires. Les destinataires peuvent provenir de feuilles de calcul, de contacts et listes Mail Merge enregistrés, ou d’entrées directes d’application/outil. Les contacts enregistrés et les champs personnalisés sont stockés dans notre backend pour réutilisation.

Accès hors ligne (agir en votre nom pendant que vous êtes déconnecté)

Les fonctionnalités d’arrière-plan autorisées peuvent continuer pendant que vous êtes déconnecté, y compris les campagnes programmées et limitées, les mises à jour de statut de feuille de calcul, et la détection des réponses/rebonds de campagne. Les jetons d’actualisation Google sont stockés chiffrés. Révoquez l’accès Google sur myaccount.google.com/connections pour arrêter les opérations futures qui nécessitent cette autorisation. La révocation n’efface pas les données déjà traitées.

L’échauffement optionnel utilise son propre mot de passe d’application stocké et chiffré. Arrêtez l’échauffement séparément et révoquez le mot de passe d’application dans votre compte Google lorsque vous ne voulez plus cette connexion.

Ce qui advient de votre liste de destinataires

Ce que nos serveurs reçoivent

Lorsque vous lancez une campagne, les lignes de destinataires nécessaires pour l’envoyer - adresses e-mail, cc/cci, et les valeurs de champ de fusion utilisées pour personnaliser chaque message - sont envoyées à notre backend (Google Cloud / Firebase), ainsi que le modèle de message et toutes les pièces jointes. C’est ce qui rend possible la programmation, la limitation, la gestion des quotas quotidiens, et le suivi des ouvertures/clics.

Lorsque vous connectez un assistant IA, il envoie les entrées d’outil à Mail Merge et reçoit des résultats tels que les champs de contact, les aperçus de feuilles de calcul, le contenu du modèle et l’activité de campagne. Ces résultats peuvent contenir des informations personnelles. La génération IA propre à Mail Merge envoie également les invites soumises via ses fournisseurs de services IA. La politique de confidentialité décrit ces destinataires et ce traitement en détail.

Durée de stockage et suppression

• Campagnes en attente et actives : l’expiration est calculée à partir de l’achèvement prévu plus sept jours, et ajustée lorsque la programmation, la limitation ou l’autopilote change. La mise en pause définit généralement une période de grâce de 30 jours.
• Campagnes terminées ou arrêtées : l’historique du plan gratuit devient admissible à la suppression après trois jours. Les campagnes terminées ou arrêtées pendant un abonnement payant actif n’ont pas de minuteur d’expiration d’historique automatique. Une rétrogradation ultérieure n’en ajoute pas une ; demandez la suppression de l’historique conservé dont vous n’avez plus besoin.
• Campagnes programmées supprimées : l’annulation arrête l’envoi ultérieur, mais leurs données deviennent généralement admissibles au nettoyage après environ 24 heures. L’expiration et le nettoyage s’exécutent de manière asynchrone ; ce ne sont pas des délais d’effacement garantis. Le nettoyage de campagne tente également de supprimer les travaux de destinataires en attente et les pièces jointes de campagne associées.
• Contacts enregistrés, listes, modèles et fichiers de modèles sont conservés pour une utilisation continue jusqu’à suppression ou traitement via une demande de suppression de données. La suppression d’une liste ne supprime pas ses contacts.
• Les statuts de livraison/engagement (Envoyé, Ouvert, Cliqué, Erreur) peuvent être stockés dans les enregistrements de campagne, de suivi et d’analyse du backend et réécrits dans votre feuille de calcul. L’expiration de la campagne n’efface pas tous ces enregistrements séparés ou la copie de votre compte Google.
• Les désinscriptions sont conservées. Lorsqu’un destinataire clique sur le lien de désinscription, nous stockons cette adresse marquée comme désinscrite sous votre compte afin que les futures campagnes l’excluent automatiquement. Conserver cette liste aide à respecter le choix du destinataire.
• Votre enregistrement de compte (e-mail, statut d’abonnement/facturation, modèles enregistrés, compteurs de quota) persiste aussi longtemps que vous avez un compte.

Les enregistrements de compte, de suivi, d’analyse, de diagnostic, de suppression et de fournisseur n’ont pas tous une expiration automatique fixe. Consultez la politique de confidentialité pour les critères de rétention et les contrôles dans ces catégories.

Pour une demande de suppression de compte ou de données, envoyez un e-mail à contact@merge.email avec l’adresse du compte et l’étendue de votre demande. La désinstallation du module complémentaire, la révocation de l’accès ou la suppression d’un enregistrement de compte principal seul n’efface pas tous les enregistrements associés ou les copies déjà détenues par les destinataires et les fournisseurs.