Seguridad

Autenticación y permisos

Cuando un usuario instala Gmelius, creamos una cuenta de Gmelius para el usuario y la vinculamos con la cuenta de Google del usuario. Solicitamos permiso al usuario para conectarse a su cuenta de Google y autenticar esa conexión mediante OAuth de Google Apps. Esto significa que la cuenta de Gmelius de cada usuario tiene la misma seguridad de inicio de sesión líder del sector que su cuenta de Google. Los usuarios pueden añadir la autenticación de dos factores a través de Google si así lo desean.

Gmelius solicita acceso a la siguiente información de Google para que nuestras funciones puedan funcionar:

Lea, envíe, elimine y administre su correo electrónico

Gmelius solicita estos permisos para poder ofrecerte funciones como el seguimiento de aperturas, clics y respuestas, bandeja de entrada compartida, etiquetas compartidas y campañas.

Administra tu configuración básica de correo

Gmelius necesita acceder a tu configuración de correo para poder replicar tus preferencias actuales, incluidos los alias y las firmas de correo electrónico.

Gestiona tus calendarios

Gmelius te permite sincronizar tus tableros Kanban de Gmelius con calendarios específicos, lo que permite vincular una tarjeta o una tarea con un evento del calendario.

Recopilación de datos

Tras la instalación, solicitamos al usuario su consentimiento para conectarse a su cuenta de Google y autenticar esa conexión mediante OAuth de Google Apps. Se trata de un proceso de dos pasos. En el primer paso, Gmelius notifica al usuario que el uso de los productos de Gmelius está sujeto a los términos de los Términos de servicio y la Política de privacidad de Gmelius, cada uno de los cuales describe cómo procesamos los datos de un usuario. A continuación, el usuario debe hacer clic en «Activar Gmelius» para continuar con el segundo paso. En el segundo paso, Google Apps informa de los tipos de información a los que tendrá acceso Gmelius y del alcance de la autorización que el usuario concede a Google y a Gmelius para habilitar la conexión, y el usuario debe hacer clic en «Permitir» para continuar utilizando el producto Gmelius.

La política principal de nuestra empresa es recopilar la menor cantidad posible de información de los usuarios. Nunca almacenamos el contenido de sus correos electrónicos. Gmelius puede recuperar y almacenar su:

• Nombre
• Dirección de correo electrónico
• Foto de perfil de Gravatar
• Zona horaria e idioma
• Firmas y alias de Gmail
• Lista de etiquetas y calendarios
• Configuración y datos de Gmelius (p. ej., detalles de suscripción, plantillas, notas, campañas)
• ID de hilo, ID de borrador, ID de mensaje si están vinculados a una función de Gmelius (por ejemplo, etiqueta compartida, secuencia)

También almacenamos el asunto y los destinatarios de sus correos electrónicos rastreados para notificarle las aperturas y mostrar las actividades relacionadas.

Protección de datos

Protegemos sus datos en todos los flujos de datos del producto Gmelius, desde la creación e integración de cuentas a través del servicio OAuth de Google, hasta el cifrado de los datos en tránsito a los servidores de Gmelius (mediante TLS basado en el navegador) y el cifrado de los datos en reposo, hasta una variedad de medidas de seguridad administrativas, físicas y técnicas diseñadas para crear un entorno seguro para los datos de nuestros clientes.

Somos un socio oficial de Google Cloud y utilizamos Google Cloud Platform («GCP») para almacenar de forma persistente los datos de los usuarios, lo que significa que no almacenamos datos en nuestras instalaciones. Todas las aplicaciones de Gmelius incluyen instancias de respaldo y conmutación por error, y nuestra infraestructura respeta y mantiene las certificaciones de seguridad estándar del sector, incluidas las normas ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3, FedRAMP ATO y PCI DSS v3.2. Los datos de Google Cloud Platform se dividen en subarchivos para su almacenamiento, y cada fragmento se cifra en el nivel de almacenamiento con una clave de cifrado individual. La clave que se usa para cifrar los datos de un fragmento se denomina clave de cifrado de datos (DEK). Debido al gran volumen de claves de Google y a la necesidad de una latencia baja y una alta disponibilidad, estas claves se almacenan cerca de los datos que cifran. Las DEK se cifran con una clave de cifrado clave (KEK) (o se «envuelven» con ella). Para obtener más información, consulte Google Cloud.

Todos los datos de los usuarios se etiquetan con un token específico del proyecto, y el cliente debe tener acceso a la clave y el secreto de la API correspondientes para poder recuperar esos datos a través de la API. Esto proporciona una separación lógica entre los datos que pertenecen a varios clientes. Gmelius es el único inquilino de nuestra infraestructura. Los datos de un usuario pueden residir en sistemas de bases de datos que alojan datos que pertenecen a otros usuarios, pero nuestros controles lógicos (token, clave y secreto) separan los datos de un cliente de los de otro cliente.

Nuestra extensión de Chrome se somete a un proceso de revisión por parte del equipo de Chrome de Google, de acuerdo con la Políticas del programa para desarrolladores. Nuestra arquitectura y nuestras prácticas son auditadas cada año por una empresa independiente, lo que incluye pruebas externas y de penetración de aplicaciones; en 2019 y 2020, Bishop Fox llevó a cabo las auditorías (ver informe 2020 | ver informe 2019).

Confidencialidad y retención de datos

No alquilamos, vendemos ni intercambiamos su información personal con terceros. Es posible que divulguemos parte de su información personal a terceros o subprocesadores específicos de confianza, tal como se especifica en nuestra Política de privacidad.

El acceso a los datos de los usuarios por parte de los empleados de Gmelius se limita a la medida en que sea necesario, por ejemplo, para resolver los problemas de los clientes. Cuando se requiera dicho acceso, solo el personal con una necesidad directa tendrá acceso a los datos relacionados con Gmelius, y dicho acceso se limitará en la medida de lo posible. El incumplimiento de esta política por parte de un empleado de Gmelius es un asunto grave que requiere una investigación y la adopción de las medidas disciplinarias adecuadas, que pueden incluir el despido y emprender acciones legales.

Un usuario de Gmelius puede eliminar en cualquier momento su cuenta de Gmelius y eliminar todos los datos asociados a esa cuenta del Página de la cuenta de Gmelius.

GDPR

Estamos preparados para respaldar los derechos y obligaciones en virtud del Reglamento General de Protección de Datos (GDPR). Puede ver nuestro apéndice de procesamiento de datos aquí.

CCPA

La Ley de Privacidad del Consumidor de California (CCPA) establece y mejora los derechos de privacidad del consumidor para los residentes de California e impone normas a las empresas que manejan su información personal. Sujeto a ciertas limitaciones, la CCPA otorga a los residentes de California el derecho a solicitar más información sobre las categorías y los datos personales específicos que recopilamos (incluida la forma en que usamos y divulgamos esta información), a eliminar su información personal, a excluirse de cualquier actividad promocional que pueda estar teniendo lugar y a no ser discriminados por ejercer estos derechos.

Gmelius no vende (tal y como se define el término en la CCPA) la información personal que recopilamos.

Respuesta y remediación de incidentes

Supervisamos nuestros sistemas las 24 horas del día, los 7 días de la semana, los 365 días del año con una variedad de herramientas de medición del rendimiento y verificación de errores. Cuando se detectan problemas, nuestro equipo de operaciones recibe una notificación inmediata y se investigan los problemas. Trabajamos en estrecha colaboración con nuestros proveedores de alojamiento para garantizar que los sistemas subyacentes permanezcan seguros y que cualquier brecha de seguridad se investigue, corrija y solucione con prontitud.

Las operaciones de nuestro sistema se registran y los registros se almacenan durante al menos un período de 7 días en la nube. Si es necesario, estos registros se pueden extraer para investigar incidentes o reconstruir una cadena de eventos.

Cuando se produce un incidente grave o se prevé un intervalo prolongado de tiempo de inactividad, se lo notificamos a nuestros usuarios a través de nuestro blog, Twitter o correo electrónico. En caso de que se produzca una brecha de seguridad, notificaremos de inmediato a los usuarios afectados la naturaleza y el alcance de la violación y tomaremos medidas para minimizar cualquier daño.