権限とデータ

このページでは、IT部門とセキュリティレビュー担当者からよく寄せられる質問に答えています。Mail Mergeが要求するGoogle権限、Gmailを読み取ることができるかどうか、アクセスできるファイル、受信者リストがサーバーで何が起こるかについてです。

アカウント、キャンペーン、AI、分析、サポートデータの開示の完全な説明(受信者、保持期間、ユーザーコントロールを含む)については、プライバシーポリシーを参照してください。

インストール時に表示される権限

Google Workspace Marketplaceからmail Mergeをインストールすると、Googleはアドオンの権限リストを表示します。これらはアドオンが要求するスコープと、各スコープの用途です。

権限(OAuthスコープ)	Mail Mergeが必要な理由
script.send_mail: メールをあなたの代わりに送信	作成したメールを送信するため。このスコープは送信のみが可能で、メールボックス内の何かを読み取り、検索、またはリストすることはできません。
spreadsheets: スプレッドシートを表示、編集、作成、削除	マージを実行する受信者シートを読み取り、📮ステータス列(送信済み/開封/エラーなど)を書き込むため。
drive.readonly: Driveファイルを表示・ダウンロード	選択したコンテンツを読み取り、キャンペーン添付ファイルをダウンロードするため。シートのDrive URLで参照される行ごとの添付ファイルを含みます。このスコープはDriveファイルの変更または削除を許可しません。
drive.file: このアプリで開いたまたは作成したファイルにアクセス	ファイルピッカーで使用されるファイルごとのアクセス。
userinfo.email	アカウントを識別するため(メールアドレスがMail Mergeアカウントidです)。
script.container.ui、gmail.addons.execute、script.scriptapp、script.external_request、script.locale	標準的なGoogle Workspaceアドオンの機能。Sheets/Gmail内のサイドバーとダイアログを表示し、バックエンドを呼び出し、UIをあなたの言語で表示します。

このテーブルはWorkspaceアドオンについて説明しています。Webアプリとai アシスタント接続の権限は、認可する機能によって異なります。オプションのメールボックスウォームアップには別の接続があります。

Gmailメッセージを読み取ることができますか、それとも送信のみですか?

アドオンの送信権限は送信のみです。 アドオンはGmail読み取りスコープを要求しません。送信はscript.send_mailを通じて行われ、これは送信のみです。以下で説明するオプションのGmail接続はgmail.send(これも送信のみ)とgmail.metadataを追加します。Mail Mergeはこれを使用して、あなた自身のキャンペーンが開始したスレッドの返信とバウンス検出を行います。メッセージ本文ではなく、メッセージメタデータ(送信者ヘッダーを含む)を読み取ります。

オプションのメールボックスウォームアップは別のGoogle App Passwordとsmtp/IMAP接続を使用します。マッチしたウォームアップメッセージを見つけ、スパムから移動し、既読にマークし、返信してアーカイブできます。これはアドオンの送信のみの権限とキャンペーン返信検出とは別です。

すべてのDrive/Sheetsファイル、それとも選択したファイルのみですか?

spreadsheetsスコープは本質的にアカウント全体です。これはGoogleのSheetsアドオンモデルの仕組みです。アドオンは開いたスプレッドシートを読み取り、配信ステータスを書き込む必要があるためです。要求されたアプリとAIツールはスプレッドシートプレビューを読み取り、サンプルスプレッドシートを作成し、Google Docsコンテンツをテンプレートとしてインポートし、選択した添付ファイルを処理することもできます。drive.readonlyスコープは読み取りを許可し、Driveファイルの変更は許可しません。別のdrive.fileスコープは、選択したまたはアプリで作成したファイルへのファイルごとのアクセスを付与します。これは読み取り専用スコープではありません。

連絡先

Mail Mergeは受信者リストを入力するためにGoogle連絡先スコープを要求しません。受信者はスプレッドシート、保存されたMail Merge連絡先とリスト、または直接アプリ/ツール入力から取得できます。保存された連絡先とカスタムフィールドは再利用のためにバックエンドに保存されます。

オフラインアクセス(サインアウト中にあなたの代わりに行動)

認可されたバックグラウンド機能は、サインアウト中も続行できます。スケジュール済みおよびスロットルされたキャンペーン、スプレッドシートステータス更新、キャンペーン返信/バウンス検出を含みます。Googleリフレッシュトークンは暗号化されて保存されます。myaccount.google.com/connectionsでGoogleアクセスを取り消して、その権限を必要とする今後の操作を停止してください。取り消しは既に処理されたデータを消去しません。

オプションのウォームアップは独自の保存された暗号化されたApp Passwordを使用します。その接続が不要になったときは、ウォームアップを別に停止し、Googleアカウントでapp Passwordを取り消してください。

受信者リストに何が起こるか

サーバーが受け取るもの

キャンペーンを開始すると、送信に必要な受信者行(メールアドレス、cc/bcc、各メッセージをパーソナライズするために使用されるマージフィールド値)がバックエンド(Google Cloud/Firebase)に送信されます。メッセージテンプレートと添付ファイルも含まれます。これにより、スケジューリング、スロットリング、日次クォータ処理、開封/クリック追跡が可能になります。

AIアシスタントを接続すると、ツール入力がMail Mergeに送信され、連絡先フィールド、スプレッドシートプレビュー、テンプレートコンテンツ、キャンペーンアクティビティなどの結果を受け取ります。これらの結果には個人情報が含まれる場合があります。Mail Merge独自のAI生成は、送信されたプロンプトをAIサービスプロバイダーを通じて送信します。プライバシーポリシーはこれらの受信者と処理について詳しく説明しています。

保存期間と削除方法

• キューに入っているアクティブなキャンペーン: 有効期限は予想完了時刻プラス7日から計算され、スケジューリング、スロットリング、またはオートパイロットの変更時に調整されます。一時停止は通常30日の猶予期間を設定します。
• 完了または停止したキャンペーン: 無料プランの履歴は3日後に削除の対象になります。アクティブな有料サブスクリプション中に完了または停止したキャンペーンには、自動履歴有効期限タイマーがありません。後でダウンレードしても追加されません。不要になった保持履歴の削除をリクエストしてください。
• 削除されたスケジュール済みキャンペーン: キャンセルは今後の送信を停止しますが、データは通常約24時間後にクリーンアップの対象になります。有効期限とクリーンアップは非同期で実行されます。これらは保証された消去期限ではありません。キャンペーンクリーンアップはキューに入っている受信者ジョブと関連するキャンペーン添付ファイルの削除も試みます。
• 保存された連絡先、リスト、テンプレート、テンプレートファイル は、削除されるか、データ削除リクエストで処理されるまで保持されます。リストを削除しても、その連絡先は削除されません。
• 配信/エンゲージメントステータス(送信済み、開封、クリック、エラー)はバックエンドキャンペーン、追跡、分析レコードに保存でき、スプレッドシートに書き込まれます。キャンペーン有効期限はこれらのすべての個別レコードまたはGoogleアカウントのコピーを消去しません。
• 購読解除は保持されます。 受信者が購読解除リンクをクリックすると、そのアドレスをアカウント下で購読解除としてフラグ付けして保存し、今後のキャンペーンが自動的に除外されます。このリストを保持することで、受信者の選択を尊重します。
• アカウントレコード(メール、サブスクリプション/請求ステータス、保存されたテンプレート、クォータカウンター)はアカウントがある限り保持されます。

アカウント、追跡、分析、診断、抑制、プロバイダーレコードはすべて固定の自動有効期限を共有しません。これらのカテゴリ全体の保持基準とコントロールについては、プライバシーポリシーを参照してください。

アカウントまたはデータ削除リクエストについては、アカウントアドレスとリクエストの範囲を記載してcontact@merge.emailにメールしてください。アドオンをアンインストールしたり、アクセスを取り消したり、メインアカウントレコードを削除したりするだけでは、すべての関連レコードまたは受信者とプロバイダーが既に保持しているコピーは消去されません。