Segurança

Autenticação e permissões

Quando um usuário instala o Gmelius, criamos uma conta Gmelius para o usuário e a vinculamos à conta do Google do usuário. Pedimos permissão ao usuário para se conectar à sua conta do Google e autenticar essa conexão por meio do Google Apps OAuth. Isso significa que a conta Gmelius de cada usuário tem a mesma segurança de login líder do setor que sua conta do Google. Os usuários podem adicionar a autenticação de dois fatores por meio do Google, se quiserem.

O Gmelius solicita acesso às seguintes informações do Google para que nossos recursos possam funcionar:

Leia, envie, exclua e gerencie seu e-mail

O Gmelius solicita essas permissões para que possamos fornecer recursos como rastreamento de abertura, cliques e respostas, caixa de entrada compartilhada, rótulos compartilhados e campanhas.

Gerencie suas configurações básicas de e-mail

O Gmelius precisa acessar suas configurações de e-mail para que você possa replicar suas preferências existentes, incluindo aliases e assinaturas de e-mail.

Gerencie seus calendários

O Gmelius permite que você sincronize seus quadros Gmelius Kanban com calendários específicos, possibilitando vincular um cartão ou tarefa a um evento do calendário.

Coleta de dados

Após a instalação, solicitamos o consentimento do usuário para se conectar à sua conta do Google e autenticar essa conexão por meio do Google Apps OAuth. Esse é um processo em duas etapas. Na primeira etapa, a Gmelius notifica o usuário de que o uso dos produtos Gmelius está sujeito aos termos dos Termos de Serviço e da Política de Privacidade da Gmelius, cada um dos quais descreve como processamos os dados de um usuário. O usuário deve então clicar em “Ativar Gmelius” para prosseguir para a segunda etapa. Na segunda etapa, o Google Apps notifica os tipos de informações que serão acessíveis pelo Gmelius e o escopo da autorização que o usuário está concedendo ao Google e ao Gmelius para ativar a conexão, e o usuário deve clicar em “Permitir” para continuar usando o produto Gmelius.

A política primordial da nossa empresa é coletar o mínimo possível de informações do usuário. Nunca armazenamos o conteúdo de seus e-mails. O Gmelius pode recuperar e armazenar seu:

• Nome
• Endereço de e-mail
• Foto do perfil de Gravatar
• Fuso horário e idioma
• Assinaturas e aliases do Gmail
• Lista de etiquetas e calendários
• Configuração e dados do Gmelius (por exemplo, detalhes da assinatura, modelos, notas, campanhas)
• IDs de tópicos, IDs de rascunho, IDs de mensagens, se vinculados a um recurso do Gmelius (por exemplo, rótulo compartilhado, sequência)

Também armazenamos o assunto e os destinatários de seus e-mails rastreados para notificá-lo sobre aberturas e exibir atividades relacionadas.

Proteção de dados

Protegemos seus dados em todos os fluxos de dados do produto Gmelius, desde a criação e integração da conta por meio do serviço OAuth do Google até a criptografia de dados em trânsito para os servidores Gmelius (usando TLS baseado em navegador) e a criptografia desses dados em repouso, até uma variedade de proteções administrativas, físicas e técnicas projetadas para criar um ambiente seguro para os dados de nossos clientes.

Somos um parceiro oficial do Google Cloud usamos o Google Cloud Platform (“GCP”) para armazenar persistentemente os dados do usuário, o que significa que não armazenamos dados em nossas instalações. Todos os aplicativos Gmelius incluem instâncias de failover e backup, e nossa infraestrutura respeita e mantém as certificações de segurança padrão do setor, incluindo ISO 27001, ISO 27017, ISO 27018, SOC 1, SOC 2, SOC 3, FedRAMP ATO e PCI DSS v3.2. Os dados no Google Cloud Platform são divididos em blocos de subarquivo para armazenamento, e cada bloco é criptografado no nível do armazenamento com uma chave de criptografia individual. A chave usada para criptografar os dados em um bloco é chamada de chave de criptografia de dados (DEK). Devido ao alto volume de chaves no Google e à necessidade de baixa latência e alta disponibilidade, essas chaves são armazenadas perto dos dados que elas criptografam. As DEKs são criptografadas com (ou “encapsuladas” por) uma chave de criptografia (KEK). Para obter mais informações, consulte Nuvem do Google.

Todos os dados do usuário são marcados com um token específico do projeto, e o cliente deve ter acesso à chave e ao segredo da API correspondente para recuperar esses dados por meio da API. Isso fornece uma separação lógica entre os dados pertencentes a vários clientes. Gmelius é o único inquilino de nossa infraestrutura. Os dados de um usuário podem residir em sistemas de banco de dados que abrigam dados pertencentes a outros usuários, mas nossos controles lógicos (token, chave e segredo) separam um cliente dos dados de outro cliente.

Nossa extensão do Chrome passa por um processo de revisão pela equipe do Google Chrome, de acordo com o Google Chromes Políticas do programa para desenvolvedores. Nossa arquitetura e práticas são auditadas todos os anos por uma empresa independente, o que inclui testes de penetração externa e de aplicativos; em 2019 e 2020, as auditorias foram realizadas pela Bishop Fox (ver relatório 2020 | ver relatório 2019).

Confidencialidade e retenção de dados

Não alugamos, vendemos ou negociamos suas informações pessoais com terceiros. Podemos divulgar algumas de suas informações pessoais com terceiros ou subprocessadores confiáveis específicos, conforme especificado em nosso Política de privacidade.

O acesso aos dados do usuário pelos funcionários da Gmelius é limitado conforme necessário, por exemplo, para resolver problemas do cliente. Quando esse acesso for necessário, somente o pessoal com uma necessidade direta acessará os dados relacionados ao Gmelius, e esse acesso será limitado tanto quanto possível. A violação desta política por um funcionário da Gmelius é um assunto sério, exigindo investigação e ação disciplinar apropriada, incluindo demissão e ação legal.

Um usuário do Gmelius pode excluir a qualquer momento sua conta do Gmelius e remover todos os dados associados a essa conta do Página da conta Gmelius.

GDPR

Estamos prontos para apoiar os direitos e obrigações do Regulamento Geral de Proteção de Dados (GDPR). Você pode ver nosso adicionando processamento de dados aqui.

CCPA

A Lei de Privacidade do Consumidor da Califórnia (CCPA) estabelece e aprimora os direitos de privacidade do consumidor para residentes da Califórnia e impõe regras às empresas que lidam com suas informações pessoais. Sujeito a certas limitações, a CCPA oferece aos residentes da Califórnia o direito de solicitar mais informações sobre as categorias e informações pessoais específicas que coletamos (incluindo como usamos e divulgamos essas informações), excluir suas informações pessoais, optar por não participar de quaisquer atividades promocionais que possam estar ocorrendo e não serem discriminados pelo exercício desses direitos.

A Gmelius não vende (conforme o termo é definido na CCPA) as informações pessoais que coletamos.

Resposta e remediação de incidentes

Monitoramos nossos sistemas 24 horas por dia, 7 dias por semana, 365 dias por ano com uma variedade de ferramentas de medição de desempenho e verificação de erros. Quando problemas são detectados, nossa equipe de operações é notificada imediatamente e os problemas são investigados. Trabalhamos em estreita colaboração com nossos provedores de hospedagem para garantir que os sistemas subjacentes permaneçam seguros e que quaisquer violações de segurança sejam investigadas, corrigidas e corrigidas imediatamente.

Nossas operações do sistema são registradas e os registros são armazenados por pelo menos um período de 7 dias na nuvem. Se necessário, esses registros podem ser extraídos para investigar incidentes ou reconstruir uma cadeia de eventos.

Quando ocorre um incidente grave ou se prevê um longo intervalo de inatividade, notificamos nossos usuários por meio de nosso blog, Twitter e/ou e-mail. Caso ocorra uma violação de segurança, notificaremos imediatamente os usuários afetados sobre a natureza e a extensão da violação e tomaremos medidas para minimizar qualquer dano.