権限とデータ

このページでは、IT部門とセキュリティレビュアーからよく寄せられる質問に答えています。Mail Mergeが要求するGoogle権限、Gmailを読み取ることができるかどうか、アクセスできるファイル、受信者リストがサーバーでどのように処理されるかについてです。

アカウント、キャンペーン、AI、分析、サポートデータの開示の完全な説明（受信者、保持期間、ユーザーコントロールを含む）については、プライバシーポリシーをご覧ください。

インストール時に表示される権限

Google Workspace Marketplaceからmail Mergeをインストールすると、Googleはアドオンの権限リストを表示します。これらはアドオンが要求するスコープと、各スコープの用途です。

権限（OAuthスコープ）	Mail Mergeが必要とする理由
script.send_mail - メールをあなたの代わりに送信	作成したメールを送信するため。このスコープは送信のみが可能で、メールボックスの読み取り、検索、リスト表示はできません。
spreadsheets - スプレッドシートを表示、編集、作成、削除	マージを実行する受信者シートを読み取り、📮ステータス列（送信済み/開封済み/エラーなど）に書き込むため。
drive.readonly - Driveファイルを表示・ダウンロード	選択したコンテンツを読み取り、キャンペーン添付ファイルをダウンロードするため。シート内のDrive URLで参照される行ごとの添付ファイルを含みます。このスコープはDriveファイルの変更や削除を許可しません。
drive.file - このアプリで開いたまたは作成したファイルにアクセス	ファイルピッカーで使用される、ファイル単位のアクセス。
userinfo.email	アカウントを識別するため（メールアドレスはMail Mergeアカウントのidです）。
script.container.ui、gmail.addons.execute、script.scriptapp、script.external_request、script.locale	標準的なGoogle Workspaceアドオンの機能。Sheets/Gmail内のサイドバーとダイアログを表示し、バックエンドを呼び出し、UIを言語に合わせて表示します。script.scriptappはフォーム自動化がスプレッドシートに「新しいフォーム回答」トリガーをインストールするのを可能にします。
forms.currentonly - このアプリケーションがインストールされているフォームを表示・管理	Google Formsエディタ内のみ。フォームが回答を送信するスプレッドシートを見つけ、ない場合はリンクするため。これによりフォーム自動化をフォーム自体から設定できます。Mail Mergeはこのスコープを通じて回答を読み取ることはありません。

このテーブルはWorkspaceアドオンについて説明しています。Webアプリとai-assistantの接続の権限は、認可する機能によって異なります。オプションのメールボックスウォームアップには別の接続があります。

Gmailメッセージを読み取ることができますか、それとも送信のみですか。

アドオンの送信権限は送信のみです。 アドオンはGmail読み取りスコープを要求しません。送信はscript.send_mailを通じて行われ、これは送信のみです。以下で説明するオプションのGmail接続はgmail.send（これも送信のみ）とgmail.metadataを追加します。Mail Mergeはこれを自分のキャンペーンが開始したスレッドの返信とバウンス検出に使用します。メッセージ本文ではなくメッセージメタデータ（送信者ヘッダーを含む）を読み取ります。

オプションのメールボックスウォームアップは別のGoogle App Passwordとsmtp/IMAP接続を使用します。マッチしたウォームアップメッセージを見つけ、スパムから移動し、既読にマーク、返信、アーカイブできます。これはアドオンの送信のみ権限とキャンペーン返信検出とは別です。

すべてのDrive/Sheetsファイル、それとも選択したファイルのみですか。

spreadsheetsスコープは本質的にアカウント全体です。これはGoogleのSheetsアドオンモデルの仕組みです。アドオンは開いたスプレッドシートを読み取り、配信ステータスを書き込む必要があるからです。要求されたアプリとAIツールはスプレッドシートプレビューの読み取り、サンプルスプレッドシートの作成、Google Docsコンテンツをテンプレートとしてインポート、選択した添付ファイルを処理することもできます。drive.readonlyスコープはDriveファイルの読み取りを許可し、変更は許可しません。別のdrive.fileスコープはアプリで選択または作成したファイルへのファイル単位のアクセスを付与します。これは読み取り専用スコープではありません。

連絡先

Mail Mergeは受信者リストを入力するためにGoogle連絡先スコープを要求しません。受信者はスプレッドシート、保存されたMail Merge連絡先とリスト、またはダイレクトアプリ/ツール入力から取得できます。保存された連絡先とカスタムフィールドは再利用のためバックエンドに保存されます。

オフラインアクセス（サインアウト中にあなたの代わりに動作）

認可されたバックグラウンド機能は、サインアウト中も続行できます。スケジュール済みおよびスロットルされたキャンペーン、スプレッドシートステータス更新、キャンペーン返信/バウンス検出を含みます。Googleリフレッシュトークンは暗号化されて保存されます。myaccount.google.com/connectionsでGoogleアクセスを取り消して、その権限が必要な今後の操作を停止してください。取り消しは既に処理されたデータを消去しません。

オプションのウォームアップは独自の保存された暗号化App Passwordを使用します。その接続が不要になった場合、ウォームアップを別途停止し、Googleアカウントでapp Passwordを取り消してください。

受信者リストはどうなりますか

サーバーが受け取るもの

キャンペーンを開始すると、送信に必要な受信者行（メールアドレス、cc/bcc、各メッセージをパーソナライズするために使用されるマージフィールド値）がバックエンド（Google Cloud/Firebase）に送信されます。メッセージテンプレートと添付ファイルも含まれます。これによりスケジューリング、スロットリング、日次クォータ処理、開封/クリック追跡が可能になります。

AIアシスタントを接続すると、ツール入力がMail Mergeに送信され、連絡先フィールド、スプレッドシートプレビュー、テンプレートコンテンツ、キャンペーンアクティビティなどの結果が返されます。これらの結果には個人情報が含まれる可能性があります。Mail Merge独自のAI生成は、送信されたプロンプトをAIサービスプロバイダーに送信します。プライバシーポリシーはこれらの受信者と処理について詳しく説明しています。

保存期間と削除方法

• キューに入れられたアクティブなキャンペーン。 有効期限は予想完了時刻プラス7日から計算され、スケジューリング、スロットリング、オートパイロットの変更時に調整されます。一時停止は通常30日の猶予期間を設定します。
• 完了または停止したキャンペーン。 無料プランの履歴は3日後に削除対象になります。有効な有料サブスクリプション中に完了または停止したキャンペーンには、自動履歴有効期限タイマーがありません。後で無料プランにダウングレードしても追加されません。不要になった保持履歴の削除をリクエストしてください。
• 削除されたスケジュール済みキャンペーン。 キャンセルは今後の送信を停止しますが、データは通常約24時間後にクリーンアップ対象になります。有効期限とクリーンアップは非同期で実行されます。これらは保証された消去期限ではありません。キャンペーンクリーンアップはキューに入れられた受信者ジョブと関連するキャンペーン添付ファイルの削除も試みます。
• 保存された連絡先、リスト、テンプレート、テンプレートファイル。 削除されるか、データ削除リクエストで処理されるまで保持されます。リストを削除しても、その連絡先は削除されません。
• 配信/エンゲージメントステータス。 （送信済み、開封済み、クリック済み、エラー）バックエンドキャンペーン、追跡、分析レコードに保存でき、スプレッドシートに書き込まれます。キャンペーン有効期限はこれらすべての個別レコードやGoogleアカウントのコピーを消去しません。
• 登録解除は保持されます。 受信者が登録解除リンクをクリックすると、そのアドレスをアカウント下で登録解除済みとしてフラグ付けして保存し、今後のキャンペーンで自動的に除外します。このリストを保持することで受信者の選択を尊重します。
• アカウントレコード。 （メール、サブスクリプション/請求ステータス、保存されたテンプレート、クォータカウンター）アカウントがある限り保持されます。

アカウント、追跡、分析、診断、抑制、プロバイダーレコードはすべて固定の自動有効期限を共有しません。これらのカテゴリ全体の保持基準とコントロールについては、プライバシーポリシーをご覧ください。

アカウントまたはデータ削除リクエストについては、contact@merge.emailにアカウントアドレスとリクエストの範囲を記載して送信してください。アドオンのアンインストール、アクセスの取り消し、またはメインアカウントレコードの削除だけでは、すべての関連レコードや受信者とプロバイダーが既に保持しているコピーは消去されません。