Permissões e seus dados

Esta página responde às perguntas mais frequentes de revisores de TI e segurança: quais permissões do Google Mail Merge solicita, se pode ler seu Gmail, quais arquivos pode acessar e o que acontece com suas listas de destinatários em nossos servidores.

Para a divulgação completa de dados de conta, campanha, IA, análises e suporte, incluindo destinatários, retenção e controles do usuário, consulte nossa política de privacidade.

As permissões mostradas durante a instalação

Quando você instala Mail Merge do Google Workspace Marketplace, o Google mostra a lista de permissões do complemento. Estes são os escopos que o complemento solicita e para que cada um é usado:

Permissão (escopo OAuth)	Por que Mail Merge precisa
script.send_mail - Enviar email em seu nome	Enviar os emails que você compõe. Este escopo apenas envia - não pode ler, pesquisar ou listar nada em sua caixa de correio.
spreadsheets - Ver, editar, criar e excluir suas planilhas	Ler a planilha de destinatários de onde você executa a mesclagem e escrever a coluna de status 📮 (Enviado / Aberto / Erro…) de volta nela.
drive.readonly - Ver e baixar seus arquivos do Drive	Ler conteúdo selecionado e baixar anexos de campanha, incluindo anexos por linha referenciados por uma URL do Drive em sua planilha. Este escopo não permite modificar ou excluir arquivos do Drive.
drive.file - Acessar arquivos que você abre ou cria com este aplicativo	Acesso por arquivo usado pelo seletor de arquivos.
userinfo.email	Identificar sua conta (seu endereço de email é seu ID de conta Mail Merge).
script.container.ui, gmail.addons.execute, script.scriptapp, script.external_request, script.locale	Infraestrutura padrão de complementos Google Workspace: mostrar a barra lateral e diálogo dentro do Sheets/Gmail, chamar nosso backend e exibir a interface em seu idioma. script.scriptapp também permite que uma automação de formulário instale seu gatilho de “nova resposta de formulário” em sua planilha.
forms.currentonly - Visualizar e gerenciar formulários em que este aplicativo foi instalado	Apenas dentro do editor do Google Forms: encontrar a planilha para a qual um formulário envia suas respostas e vincular uma quando não houver nenhuma, para que uma automação de formulário possa ser configurada a partir do próprio formulário. Mail Merge nunca lê as respostas através deste escopo.

Esta tabela descreve o complemento Workspace. As permissões para o aplicativo web e conexões de assistente de IA dependem dos recursos que você autoriza; o aquecimento de caixa de correio opcional tem uma conexão separada.

Pode ler mensagens do Gmail ou apenas enviar?

A permissão de envio do complemento é apenas para envio. O complemento não solicita nenhum escopo de leitura do Gmail: o envio passa por script.send_mail, que é apenas para envio. A conexão opcional do Gmail descrita abaixo adiciona gmail.send (também apenas para envio) e gmail.metadata, que Mail Merge usa para detecção de respostas e devoluções em threads que suas próprias campanhas iniciaram - lê metadados de mensagens (incluindo cabeçalhos de remetente), em vez de corpos de mensagens, para este recurso.

O aquecimento de caixa de correio opcional usa uma Senha de Aplicativo do Google separada e conexão SMTP/IMAP. Pode encontrar mensagens de aquecimento correspondentes, movê-las para fora do spam, marcá-las como lidas, responder e arquivá-las. Isto é separado da permissão apenas para envio do complemento e detecção de resposta de campanha.

Todos os arquivos do Drive/Sheets ou apenas arquivos selecionados?

O escopo spreadsheets é de conta inteira por natureza - é assim que o modelo de complemento Sheets do Google funciona, já que o complemento precisa ler qualquer planilha que você abra nele e escrever status de entrega de volta nela. Aplicativos solicitados e ferramentas de IA também podem ler visualizações de planilhas, criar planilhas de exemplo, importar conteúdo do Google Docs como modelos e processar anexos selecionados. O escopo drive.readonly permite ler, não modificar, arquivos do Drive. O escopo drive.file separado concede acesso por arquivo a arquivos que você seleciona ou cria com o aplicativo; não é um escopo somente leitura.

Contatos

Mail Merge não solicita nenhum escopo do Google Contatos para preencher listas de destinatários. Os destinatários podem vir de planilhas, contatos e listas Mail Merge salvos ou entradas diretas de aplicativo/ferramenta. Contatos salvos e campos personalizados são armazenados em nosso backend para reutilização.

Acesso offline (agindo em seu nome enquanto você está desconectado)

Recursos de fundo autorizados podem continuar enquanto você está desconectado, incluindo campanhas agendadas e limitadas, atualizações de planilha e detecção de resposta/devolução de campanha. Tokens de atualização do Google são armazenados criptografados. Revogue o acesso do Google em myaccount.google.com/connections para parar operações futuras que exijam essa permissão. A revogação não apaga dados já processados.

O aquecimento opcional usa sua própria Senha de Aplicativo armazenada e criptografada. Pare o aquecimento separadamente e revogue a Senha de Aplicativo em sua conta do Google quando não quiser mais essa conexão.

O que acontece com sua lista de destinatários

O que nossos servidores recebem

Quando você inicia uma campanha, as linhas de destinatários necessárias para enviá-la - endereços de email, cc/bcc e os valores de campo de mesclagem usados para personalizar cada mensagem - são enviados para nosso backend (Google Cloud / Firebase), junto com o modelo de mensagem e quaisquer anexos. Isto é o que torna possível agendamento, limitação, tratamento de cota diária e rastreamento de abertura/clique.

Quando você conecta um assistente de IA, ele envia entradas de ferramenta para Mail Merge e recebe resultados como campos de contato, visualizações de planilhas, conteúdo de modelo e atividade de campanha. Esses resultados podem conter informações pessoais. A geração de IA própria do Mail Merge também envia prompts enviados através de seus provedores de serviço de IA. A política de privacidade descreve esses destinatários e processamento em detalhes.

Por quanto tempo é armazenado e como é excluído

• Campanhas enfileiradas e ativas: a expiração é calculada a partir da conclusão esperada mais sete dias e ajustada quando agendamento, limitação ou piloto automático mudam. Pausar geralmente define um período de carência de 30 dias.
• Campanhas concluídas ou paradas: o histórico do plano gratuito se torna elegível para exclusão após três dias. Campanhas concluídas ou paradas durante uma assinatura paga ativa não têm temporizador automático de expiração de histórico. Um downgrade posterior não adiciona um; solicite exclusão do histórico retido que você não precisa mais.
• Campanhas agendadas excluídas: o cancelamento interrompe o envio futuro, mas seus dados geralmente se tornam elegíveis para limpeza após aproximadamente 24 horas. Expiração e limpeza são executadas de forma assíncrona; estes não são prazos de apagamento garantidos. A limpeza de campanha também tenta remover trabalhos de destinatários enfileirados e anexos de campanha associados.
• Contatos salvos, listas, modelos e arquivos de modelo são retidos para uso contínuo até serem excluídos ou tratados através de uma solicitação de exclusão de dados. Excluir uma lista não exclui seus contatos.
• Status de entrega/engajamento (Enviado, Aberto, Clicado, Erro) podem ser armazenados em registros de campanha, rastreamento e análise de backend e escritos de volta em sua planilha. A expiração de campanha não apaga todos esses registros separados ou a cópia de sua conta do Google.
• Cancelamentos de inscrição são mantidos. Quando um destinatário clica no link de cancelamento de inscrição, armazenamos esse endereço marcado como cancelado sob sua conta para que futuras campanhas o excluam automaticamente. Manter essa lista ajuda a honrar a escolha do destinatário.
• Seu registro de conta (email, status de assinatura/faturamento, modelos salvos, contadores de cota) persiste enquanto você tiver uma conta.

Registros de conta, rastreamento, análise, diagnóstico, supressão e provedor não compartilham todos uma expiração automática fixa. Consulte a política de privacidade para critérios de retenção e controles nessas categorias.

Para uma solicitação de exclusão de conta ou dados, envie um email para contact@merge.email com o endereço da conta e o escopo de sua solicitação. Desinstalar o complemento, revogar acesso ou excluir um registro de conta principal sozinho não apaga todos os registros associados ou cópias já mantidas por destinatários e provedores.