权限和您的数据

本页回答了我们从 IT 和安全审查人员那里最常收到的问题：Mail Merge 请求哪些 Google 权限、它是否可以读取您的 Gmail、它可以访问哪些文件，以及您的收件人列表在我们的服务器上会发生什么。

如需完整的账户、活动、AI、分析和支持数据披露信息（包括收件人、保留期和用户控制），请参阅我们的隐私政策。

安装期间显示的权限

当您从 Google Workspace Marketplace 安装 Mail Merge 时，Google 会显示该插件的权限列表。这些是插件请求的范围及其用途：

权限（OAuth 范围）	Mail Merge 需要它的原因
script.send_mail, 代表您发送电子邮件	发送您撰写的电子邮件。此范围只能发送, 它无法读取、搜索或列出您邮箱中的任何内容。
spreadsheets, 查看、编辑、创建和删除您的电子表格	读取您运行合并的收件人工作表，并将 📮 状态列（已发送/已打开/错误等）写回其中。
drive.readonly, 查看和下载您的 Drive 文件	读取选定内容并下载活动附件，包括工作表中由 Drive URL 引用的按行附件。此范围不允许修改或删除 Drive 文件。
drive.file, 访问您使用此应用打开或创建的文件	文件选择器使用的按文件访问。
userinfo.email	识别您的账户（您的电子邮件地址是您的 Mail Merge 账户 ID）。
script.container.ui、gmail.addons.execute、script.scriptapp、script.external_request、script.locale	标准 Google Workspace 插件基础设施：在 Sheets/Gmail 中显示侧边栏和对话框、调用我们的后端，以及以您的语言显示 UI。

此表描述了 Workspace 插件。Web 应用和 AI 助手连接的权限取决于您授权的功能；可选的邮箱预热有单独的连接。

它能读取 Gmail 消息吗，还是只能发送？

插件的发送权限是仅发送的。 插件不请求任何 Gmail 读取范围：发送通过 script.send_mail 进行，这是仅发送的。下面描述的可选 Gmail 连接添加了 gmail.send（也是仅发送的）和 gmail.metadata，Mail Merge 将其用于您自己的活动启动的线程上的回复和退回检测, 它读取消息元数据（包括发件人标头），而不是消息正文，用于此功能。

可选的邮箱预热使用单独的 Google 应用密码和 SMTP/IMAP 连接。它可以找到匹配的预热消息、将其移出垃圾邮件、标记为已读、回复和存档。这与插件的仅发送权限和活动回复检测分开。

所有 Drive/Sheets 文件，还是仅选定的文件？

spreadsheets 范围本质上是账户范围的，这是 Google Sheets 插件模型的工作方式，因为插件必须读取您在其中打开它的任何电子表格，并将传递状态写回其中。请求的应用和 AI 工具也可以读取电子表格预览、创建示例电子表格、导入 Google Docs 内容作为模板并处理选定的附件。drive.readonly 范围允许读取而不是修改 Drive 文件。单独的 drive.file 范围授予对您使用该应用选择或创建的文件的按文件访问权限；它不是只读范围。

联系人

Mail Merge 不请求任何 Google 联系人范围来填充收件人列表。收件人可以来自电子表格、已保存的 Mail Merge 联系人和列表，或直接应用/工具输入。已保存的联系人和自定义字段存储在我们的后端以供重复使用。

离线访问（在您登出时代表您行动）

授权的后台功能可以在您登出时继续，包括计划和限流活动、电子表格状态更新以及活动回复/退回检测。Google 刷新令牌存储为加密状态。在 myaccount.google.com/connections 撤销 Google 访问权限以停止需要该权限的未来操作。撤销不会删除已处理的数据。

可选的预热使用其自己的存储、加密的应用密码。当您不再需要该连接时，单独停止预热并在您的 Google 账户中撤销应用密码。

您的收件人列表会发生什么

我们的服务器接收的内容

当您启动活动时，发送所需的收件人行（电子邮件地址、抄送/密件抄送和用于个性化每条消息的合并字段值）被发送到我们的后端（Google Cloud/Firebase），以及消息模板和任何附件。这使得计划、限流、每日配额处理和打开/点击跟踪成为可能。

当您连接 AI 助手时，它将工具输入发送到 Mail Merge 并接收结果，例如联系字段、电子表格预览、模板内容和活动活动。这些结果可能包含个人信息。Mail Merge 自己的 AI 生成也通过其 AI 服务提供商发送提交的提示。隐私政策详细描述了这些收件人和处理。

存储多长时间，以及如何删除

• 排队和活跃的活动： 过期时间从预期完成加七天计算，并在计划、限流或自动驾驶更改时调整。暂停通常设置 30 天的宽限期。
• 已完成或已停止的活动： 免费计划历史记录在三天后符合删除条件。在活跃付费订阅期间完成或停止的活动没有自动历史记录过期计时器。后来的降级不会添加一个；请求删除您不再需要的保留历史记录。
• 已删除的计划活动： 取消停止进一步发送，但其数据通常在大约 24 小时后符合清理条件。过期和清理异步运行；这些不是保证的删除截止日期。活动清理也尝试删除排队的收件人作业和相关的活动附件。
• 已保存的联系人、列表、模板和模板文件保留供持续使用，直到删除或通过数据删除请求处理。删除列表不会删除其联系人。
• 传递/参与状态（已发送、已打开、已点击、错误）可以存储在后端活动、跟踪和分析记录中，并写回您的电子表格。活动过期不会删除所有这些单独的记录或您的 Google 账户的副本。
• 取消订阅被保留。 当收件人点击取消订阅链接时，我们在您的账户下存储该地址，标记为已取消订阅，以便未来的活动自动排除它。保留此列表有助于尊重收件人的选择。
• 您的账户记录（电子邮件、订阅/计费状态、已保存的模板、配额计数器）只要您有账户就会保留。

账户、跟踪、分析、诊断、抑制和提供商记录不共享固定的自动过期。有关这些类别中的保留标准和控制，请参阅隐私政策。

如需账户或数据删除请求，请使用账户地址和请求范围向 contact@merge.email 发送电子邮件。仅卸载插件、撤销访问权限或删除主账户记录不会删除每个相关记录或收件人和提供商已持有的副本。