Authentification et autorisations
Lorsqu'un utilisateur installe Gmelius, nous créons un compte Gmelius pour l'utilisateur et le lions à son compte Google. Nous demandons à l'utilisateur l'autorisation de se connecter à son compte Google et authentifions cette connexion via Google Apps OAuth. Cela signifie que le compte Gmelius de chaque utilisateur bénéficie de la même sécurité de connexion de pointe que son compte Google. Les utilisateurs peuvent ajouter une authentification à deux facteurs via Google s'ils le souhaitent.
Gmelius demande l'accès aux informations Google suivantes afin que nos fonctionnalités puissent fonctionner :
Lire, envoyer, supprimer et gérer vos email
Gmelius demande ces autorisations afin de pouvoir vous fournir des fonctionnalités telles que le suivi des ouvertures, des clics et des réponses, la boîte de réception partagée, les étiquettes partagées et les campagnes.
Gérer les paramètres de base de votre courrier
Gmelius doit avoir accès à vos paramètres de messagerie pour pouvoir reproduire vos préférences existantes, notamment les alias email et les signatures email .
Gérez vos calendriers
Gmelius vous permet de synchroniser vos tableaux Kanban Gmelius avec des calendriers spécifiques, ce qui permet de lier une carte ou une tâche à un événement du calendrier.
Collecte des données
Lors de l'installation, nous demandons à l'utilisateur son accord pour se connecter à son compte Google et authentifier cette connexion via Google Apps OAuth. Il s'agit d'un processus en deux étapes. Dans la première étape, Gmelius informe l'utilisateur que l'utilisation des produits Gmelius est soumise aux conditions d'utilisation et à la politique de confidentialité de Gmelius, qui décrivent chacune la manière dont nous traitons les données de l'utilisateur. L'utilisateur doit ensuite cliquer sur "Activer Gmelius" pour passer à la deuxième étape. Au cours de la deuxième étape, Google Apps fournit un avis sur les types d'informations qui seront accessibles par Gmelius et sur l'étendue de l'autorisation que l'utilisateur donne à Google et à Gmelius pour permettre la connexion, et l'utilisateur doit cliquer sur " Autoriser " pour continuer à utiliser le produit Gmelius.
La politique primordiale de notre entreprise est de recueillir le moins d'informations possible sur les utilisateurs. Nous ne stockons jamais le contenu de votre emails. Gmelius peut récupérer et stocker vos données :
- Nom
- AdresseEmail
- Photo de profil ou Gravatar
- Fuseau horaire et langue
- Signatures et alias Gmail
- Liste d'étiquettes et de calendriers
- Configuration et données Gmelius (par exemple, détails de l'abonnement, modèles, notes, campagnes)
- ID des fils, ID des projets, ID des messages s'ils sont liés à une caractéristique Gmelius (par exemple, étiquette partagée, séquence).
Nous conservons également l'objet et les destinataires de votre suivi emails afin de vous informer des ouvertures et des activités liées à l'affichage.
Protection des données
Nous protégeons vos données tout au long des flux de données du produit Gmelius, de la création de compte et de l'intégration via le service OAuth de Google, au cryptage des données en transit vers les serveurs de Gmelius (à l'aide de TLS basé sur le navigateur) et au cryptage de ces données au repos, en passant par une variété de mesures de protection administratives, physiques et techniques conçues pour créer un environnement sécurisé pour les données de nos clients.
Nous sommes un partenaire officiel de Google Cloud et utilisons Google Cloud Platform ("GCP") pour stocker de manière persistante les données des utilisateurs, ce qui signifie que nous ne stockons pas de données dans nos locaux. Toutes les applications Gmelius comprennent des instances de basculement et de sauvegarde et notre infrastructure respecte et maintient les certifications de sécurité standard du secteur, notamment ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3, FedRAMP ATO et PCI DSS v3.2. Les données de Google Cloud Platform sont divisées en sous-fichiers pour le stockage, et chaque sous-fichier est crypté au niveau du stockage avec une clé de cryptage individuelle. La clé utilisée pour chiffrer les données d'un bloc est appelée clé de chiffrement des données (DEK). En raison du volume élevé de clés chez Google, et de la nécessité d'une faible latence et d'une haute disponibilité, ces clés sont stockées à proximité des données qu'elles chiffrent. Les DEK sont cryptées avec (ou "enveloppées" par) une clé de cryptage (KEK). Pour plus d'informations, veuillez consulter Google Cloud.
Toutes les données des utilisateurs sont étiquetées avec un jeton spécifique au projet, et un client doit avoir accès à la clé et au secret API correspondants afin de récupérer ces données via API. Cela permet une séparation logique entre les données appartenant à plusieurs clients. Gmelius est le seul locataire de notre infrastructure. Les données d'un utilisateur peuvent résider dans des systèmes de base de données qui hébergent des données appartenant à d'autres utilisateurs, mais nos contrôles logiques (jeton, clé et secret) séparent un client des données d'un autre client.
Notre extension Chrome est soumise à un processus d'examen par l'équipe Chrome de Google, conformément aux règles du programme pour développeurs de Google Chromes. Notre architecture et nos pratiques sont auditées chaque année par un cabinet indépendant, ce qui inclut des tests de pénétration externes et de l'application ; en 2019 et 2020, les audits ont été réalisés par Bishop Fox(voir rapport 2020 | voir rapport 2019).
Confidentialité et conservation des données
Nous ne louons, ne vendons ni n'échangeons vos informations personnelles avec des tiers. Nous pouvons divulguer certaines de vos informations personnelles à des tiers de confiance spécifiques ou à des sous-traitants, comme indiqué dans notre politique de confidentialité.
L'accès aux données des utilisateurs par les employés de Gmelius est limité aux cas où cela est nécessaire, par exemple pour résoudre des problèmes de clients. Lorsqu'un tel accès est nécessaire, seul le personnel ayant un besoin direct accédera aux données liées à Gmelius, et cet accès sera limité autant que possible. La violation de cette politique par un employé de Gmelius est une affaire grave, qui nécessite une enquête et une action disciplinaire appropriée, pouvant aller jusqu'au licenciement et à une action en justice.
Un utilisateur Gmelius peut supprimer à tout moment son compte Gmelius et supprimer toutes les données associées à ce compte à partir de la page Compte Gmelius.
GDPR
Nous sommes prêts à soutenir les droits et obligations découlant du règlement général sur la protection des données (RGPD). Vous pouvez consulter notre addendum sur le traitement des données ici.
ACCP
La loi californienne sur la protection de la vie privée des consommateurs (California Consumer Privacy Act, CCPA) établit et renforce les droits des résidents de Californie en matière de protection de la vie privée et impose des règles aux entreprises qui traitent leurs informations personnelles. Sous réserve de certaines restrictions, la CCPA donne aux résidents de Californie le droit de demander à en savoir plus sur les catégories et les éléments spécifiques d'informations personnelles que nous collectons (y compris la manière dont nous utilisons et divulguons ces informations), de supprimer leurs informations personnelles, de se retirer de toute activité promotionnelle en cours et de ne pas faire l'objet de discrimination pour avoir exercé ces droits.
Gmelius ne vend pas (tel que ce terme est défini dans le CCPA) les informations personnelles que nous recueillons.
Réponse aux incidents et remédiation
Nous surveillons nos systèmes 24 heures sur 24, 7 jours sur 7 et 365 jours par an à l'aide de divers outils de mesure des performances et de vérification des erreurs. Lorsque des problèmes sont détectés, notre équipe d'exploitation en est immédiatement informée et les problèmes sont examinés. Nous travaillons en étroite collaboration avec nos fournisseurs de services d'hébergement pour garantir la sécurité des systèmes sous-jacents. Toute violation de la sécurité est examinée, corrigée et corrigée rapidement.
Les opérations de notre système sont enregistrées, et les journaux sont conservés pendant au moins sept jours dans le nuage. Si nécessaire, ces journaux peuvent être exploités pour enquêter sur des incidents ou pour reconstituer une chaîne d'événements.
Lorsqu'un incident grave se produit ou qu'un long intervalle d'indisponibilité est prévu, nous en informons nos utilisateurs via notre blog, Twitter et/ou email. En cas de violation de la sécurité, nous informerons rapidement les utilisateurs concernés de la nature et de l'étendue de la violation, et nous prendrons des mesures pour minimiser les dommages.
