In qualità di sviluppatore che utilizza le API Google Workspace, spesso raccogli e gestisci dati utente sensibili. Tieni presenti i seguenti principi chiave:
- Proteggi la privacy: non utilizzare i dati utente di Workspace per usi vietati. Me vietare a terze parti di vendere dati utente o di utilizzare questi dati per per scopi pubblicitari.
- Sii trasparente: rappresenta e spiega in modo accurato agli utenti i dati che raccoglierà, perché e come lo userai.
- Sii rispettoso: rispetta le richieste degli utenti di eliminare i propri dati.
- Sicurezza: gestisci tutti i dati utente in modo sicuro e dimostra di rispettare le alcune pratiche di sicurezza.
- Indica informazioni specifiche: non richiedere l'accesso a dati che non ti servono. Tutti i dati dovrebbe essere solo per fornire all'utente le funzionalità del tuo un'applicazione o un servizio.
Norme relative ai dati utente dei servizi API Workspace
La Norme relative ai dati utente dei servizi API di Google regola l'utilizzo di tutti i servizi API di Google quando l'utente, in qualità di sviluppatore, richiede accedere ai dati utente. Queste norme relative ai dati utente e agli sviluppatori dei servizi API Workspace contiene informazioni aggiuntive che regolano il tuo utilizzo e accesso a Workspace le API inclusi Gmail, Chat, Drive, Fogli e altri prodotti Google Workspace, quando richiedi di accedere ai dati utente.
Oltre alle norme riportate di seguito, Termini di servizio delle API di Google, Norme di utilizzo accettabile di Google Chat, Guida per gli sviluppatori di Google Chat, Termini di servizio dell'API Google Drive, Norme del programma Google Drive, Guida per gli sviluppatori di Google Drive, Norme del programma Gmail, Guida per gli sviluppatori di Gmail, Termini di servizio di Google Apps Script e Norme relative a OAuth 2.0 nonché l'utilizzo e l'accesso alle API Workspace e all'utente associato e i dati di Google Cloud. L'utilizzo potrebbe essere regolato anche dai Contratto con gli sviluppatori di Google Workspace Marketplace. Richiediamo inoltre il rispetto di tutte le leggi e normative vigenti.
Controlla di tanto in tanto queste norme perché vengono aggiornate occasionalmente. È tua responsabilità monitorare e garantire la conformità a questi norme. Se, in qualsiasi momento, non riesci a soddisfare i requisiti delle nostre norme (o se esiste un rischio significativo che tu non possa soddisfarli), interrompi immediatamente l'utilizzo dei nostri servizi e contattaci. Me si riserva il diritto di rimuovere o limitare l'accesso ai dati utente di Google se non rispettino queste norme.
Accesso adeguato e utilizzo delle API Gmail di Google
Le richieste di accesso ai dati utente devono essere chiare e comprensibili. Google Workspace Le API possono essere utilizzate solo in conformità alle norme, ai termini e ai condizioni e per i casi d'uso approvati, come stabilito nella presente Informativa. Ciò significa puoi richiedere l'accesso alle autorizzazioni solo quando la tua applicazione o il tuo servizio che soddisfi uno dei casi d'uso approvati. Richiedi l'accesso alle API Workspace solo quando la tua applicazione o il tuo servizio soddisfi uno dei nostri casi d'uso approvati.
Casi d'uso approvati per l'accesso a Ambiti dell'API Gmail autorizzazioni sono:
- Client di posta elettronica integrati e web che consentono agli utenti di scrivere, inviare, leggere ed elaborare le email tramite un'interfaccia utente.
- Applicazioni che eseguono automaticamente il backup delle email
- Applicazioni che migliorano l'esperienza email per scopi di produttività (ad esempio applicazioni per la gestione dei rapporti con i clienti, invio ritardato di email o unione dinamica, né fornendo riepiloghi con l'IA generativa)
- Applicazioni che utilizzano informazioni provenienti da email per fornire report o servizi di monitoraggio a vantaggio degli utenti che migliorano l'email dell'utente (come applicazioni che automatizzano gli itinerari di viaggio o voli o stati di consegna dei pacchi)
Di seguito sono riportati alcuni tipi di app non approvate per accedere agli ambiti API di Gmail. I casi includono, a titolo esemplificativo, i seguenti:
- Tastiere mobile.
- Applicazioni che esportano le email una tantum o manualmente.
- Applicazioni che memorizzano o eseguono il backup di dati diversi dai messaggi email in Gmail.
- Le applicazioni che utilizzano più account per abusare delle norme di Google, ignorano limitazioni degli account Gmail, eludere i filtri e lo spam o altrimenti sovvertire limitazioni.
- Applicazioni che distribuiscono spam o posta commerciale non richiesta. Per Ad esempio, le applicazioni che inviano posta commerciale collettiva, come le applicazioni gestione dei rapporti, vengono approvati purché l'utente abbia acconsentito ricevi email.
Accesso e utilizzo appropriati delle API di Google Drive
Richiedi l'accesso alle API Google Drive solo quando la tua applicazione o il tuo servizio che soddisfi uno dei nostri casi d'uso approvati.
I casi d'uso approvati per l'accesso alle autorizzazioni relative agli ambiti dell'API Google Drive sono:
- App web e integrate che forniscono la sincronizzazione locale o il backup automatico dei File di Drive.
- Produttività e applicazioni didattiche (ad esempio, una gestione di attività, prendere appunti, comunicare con un gruppo di lavoro e collaborare in classe applicazioni) che utilizzano Ambiti con restrizioni solo per gestire i file di Drive (o i relativi metadati o autorizzazioni) tramite l'interfaccia utente dell'applicazione.
- Applicazioni di reporting e sicurezza che forniscono informazioni su utenti o clienti le modalità di condivisione o accesso ai file.
L'API Google Drive non è consentita per alcuni casi d'uso, tra cui seguenti:
- Backup dei contenuti dell'utente o dell'app dall'app o dal progetto di uno sviluppatore a Drive.
- Mining di criptovalute.
- Ampia distribuzione di video o diffusione di contenuti protetti da copyright senza autorizzazione.
- Utilizzo di Drive come sostituzione di una rete CDN (Content Delivery Network) su larga scala (CDN).
- Strumenti di clonazione dei file che consentono lo sharding dello spazio di archiviazione degli utenti e/o la circonvenzione dei limiti di spazio di archiviazione di Drive.
- Le applicazioni che utilizzano più account per abusare delle norme di Google, ignorano limitazioni dell'account Google Drive o altrimenti sovvertire restrizioni.
- Applicazioni che distribuiscono spam o messaggi commerciali non richiesti. Per Ad esempio, le applicazioni che inviano messaggi commerciali di massa, come gestione dei rapporti, vengono approvati purché l'utente abbia acconsentito ricevere messaggi.
Accesso e utilizzo appropriati delle API di Google Chat
Richiedi l'accesso alle API Google Chat solo quando la tua applicazione o il tuo servizio che soddisfi uno dei nostri casi d'uso approvati.
I casi d'uso approvati per l'accesso alle autorizzazioni relative agli ambiti dell'API Google Chat sono:
- App web e integrate che consentono agli utenti di scrivere, inviare, leggere ed elaborare Messaggi di chat o comunicazioni simili tramite un'interfaccia utente.
- Applicazioni che migliorano l'esperienza di Chat per scopi di produttività (ad Ad esempio, un'app di Google Chat per la gestione delle attività che ti consente di assegnare attività ad altri membri dello spazio).
- Applicazioni che utilizzano informazioni dei messaggi di Chat per fornire report o servizi di monitoraggio a vantaggio degli utenti (ad esempio, un'app che invia notifiche quando un collega è fuori sede).
- Applicazioni che importano messaggi, iscrizioni, gruppi o altri elementi simili Funzionalità di Google Chat.
- Applicazioni che scambiano e utilizzano dati ottenuti tramite Google Chat API per interagire con altri prodotti, servizi o funzionalità di messaggistica.
L'API Google Chat non è consentita per alcuni casi d'uso, tra cui seguenti:
- Utilizzo di Chat come sostituzione di una rete CDN (Content Delivery Network) su larga scala (CDN).
- Le applicazioni che utilizzano più account per abusare delle norme di Google, ignorano limitazioni dell'account Google Chat o sovvertire le restrizioni.
- Applicazioni che distribuiscono spam o messaggi commerciali non richiesti. Per Ad esempio, le applicazioni che inviano messaggi commerciali di massa, come gestione dei rapporti, vengono approvati purché l'utente abbia acconsentito ricevere messaggi.
Richiedi le autorizzazioni minime pertinenti
Puoi richiedere l'accesso solo alle autorizzazioni fondamentali per l'implementazione la funzionalità dell'applicazione o del servizio. Ciò significa che:
Non richiedere l'accesso a informazioni che non ti servono. Richiedi solo l'accesso alle autorizzazioni necessarie per implementare le funzioni della tua applicazione i servizi di machine learning. Se la tua applicazione non richiede l'accesso ad autorizzazioni specifiche, non devi richiedere l'accesso a queste autorizzazioni. Non cercare di "futuro" prova" il tuo accesso ai dati utente richiedendo l'accesso a informazioni che potrebbero di benefit e funzionalità non ancora implementati.
Richiedi le autorizzazioni nel contesto, ove possibile. Richiedi l'accesso solo all'utente i dati nel contesto (tramite autenticazione incrementale) ogni volta che puoi, in modo che gli utenti capiscano perché hai bisogno di questi dati.
Notifiche e controlli trasparenti e precisi
Devi disporre di norme sulla privacy che indichino in che modo la tua applicazione o i tuoi raccoglie, utilizza e condivide i dati utente.
Le applicazioni e i servizi devono inoltre richiedere l'accesso ai dati utente nel contesto (tramite autenticazione incrementale) ti servono i dati e come verranno utilizzati. Oltre alla sezione ai sensi della legge vigente, devi inoltre rispettare le seguenti requisiti, che riflettono i nostri OAuth 2.0 e Dati utente dei servizi API di Google norme:
Devi fornire un'informativa relativa ad accesso, raccolta, utilizzo e condivisione. L'informativa:
- Deve rappresentare con precisione l'identità dell'applicazione o del servizio che Cerca l'accesso ai dati utente;
- Deve trovarsi all'interno dell'applicazione stessa se è basata sull'applicazione o in una finestra di dialogo separata se basata sul web;
- Deve essere visualizzata durante il normale utilizzo dell'applicazione se basato sull'applicazione o sul sito web se è basato sul web e non richiede all'utente di aprire un menu o le impostazioni;
- Fornire informazioni chiare e precise che spieghino i tipi di dati l'accesso, la richiesta e/o la raccolta;
- Deve spiegare in che modo i dati verranno utilizzati e/o condivisi: se richiedi i dati per un motivo, ma i dati verranno utilizzati anche per un devi informare gli utenti di entrambi i casi d'uso;
- Non può essere inserita esclusivamente nelle norme sulla privacy o nei Termini di servizio. e
- Non può essere inclusa in altre informative non correlate a informazioni personali e raccolta di dati sensibili.
La comunicazione deve essere accompagnata e precedere immediatamente una richiesta da parte dell'utente consenso. Non devi iniziare la raccolta prima di aver ottenuto conferma da consenso. La richiesta di consenso:
- Deve presentare la finestra di dialogo per il consenso in modo chiaro e non ambiguo.
- Deve richiedere un intervento dell'utente (ad esempio tocco per accettazione, selezione di una casella di controllo, un comando verbale e così via) per accettare;
- Non deve interpretare la navigazione al di fuori dell'informativa (tra cui tocco fuori dalla finestra o pressione del pulsante Home o Indietro) per dare il consenso; e
- Non deve utilizzare messaggi con scadenza o chiusura automatica.
Devi fornire una documentazione di assistenza che spieghi come gli utenti possono gestire ed eliminare i propri dati dalla tua app o dal tuo servizio.
Utilizzo limitato dei dati utente
Una volta effettuato l'accesso alle API Workspace per un uso appropriato, il tuo utilizzo dei dati devono essere conformi ai requisiti riportati di seguito. Questi requisiti si applicano Dati derivati da ambiti Sensibile e Con restrizioni.
- Limita l'utilizzo dei dati per fornire o migliorare il caso d'uso appropriato o le funzionalità che siano visibili e in evidenza nell'elenco a riga di comando.
Non è consentito trasferire dati, ad eccezione di:
- Per fornire o migliorare il caso d'uso appropriato o le funzionalità rivolte agli utenti che siano visibili e in evidenza nell'utente dell'applicazione richiedente e solo con il consenso dell'utente;
- Per motivi di sicurezza (ad esempio per indagare su comportamenti illeciti).
- Per rispettare le leggi e/o normative vigenti; o
- Nell'ambito di una fusione, acquisizione o vendita di beni dello sviluppatore dopo aver ottenuto il consenso esplicito da parte dell'utente.
Non consentire a persone fisiche di leggere i dati utente, a meno che:
- Hai ottenuto e documentato il consenso esplicito dell'utente a leggere. dati specifici (ad esempio, aiutare un utente ad accedere nuovamente al prodotto o dopo aver perso la password);
- I dati (incluse le derivate) vengono aggregati, resi anonimi e utilizzati per le operazioni interne in conformità con le norme sulla privacy applicabili e altre requisiti legali giurisdizionali;
- Sono necessari per motivi di sicurezza (ad esempio per indagare su comportamenti illeciti). o
- Per rispettare le leggi e/o normative vigenti.
Tutti gli altri trasferimenti, utilizzi o vendite di dati utente sono completamente vietati. tra cui:
- Il trasferimento o la vendita di dati utente a terze parti, ad esempio per la pubblicità piattaforme, intermediari di dati o qualsiasi rivenditore di informazioni.
- Il trasferimento, la vendita o l'uso dei dati utente per pubblicare annunci, inclusi retargeting, pubblicità personalizzata o basata sugli interessi.
- Il trasferimento, la vendita o l'uso di dati utente per determinare l'affidabilità creditizia o per finalità di prestito.
- Il trasferimento, la vendita o l'uso di dati utente per creare, addestrare o migliorare una di machine learning o un modello di intelligenza artificiale al di là di modello personalizzato dell'utente per il caso d'uso appropriato o rivolto all'utente funzionalità.
Un dichiarazione affermativa o altre dichiarazioni simili che l'utilizzo dei dati da parte tua sia conforme alle restrizioni relative all'utilizzo limitato, divulgati nella tua applicazione o su un sito web appartenente al tuo servizio web o applicazione; ad esempio un link sulla home page che rimanda a una pagina dedicata o che osserva: "L'utilizzo delle informazioni ricevute dalle API Workspace rispetterà alla Norme relative ai dati utente di Google, che include Requisiti per l'utilizzo limitato."
Mantieni un ambiente operativo sicuro
Tratta tutti i dati utente in modo sicuro, in transito e at-rest. Prendi decisioni ragionevoli e le misure appropriate per proteggere tutte le applicazioni o i sistemi che utilizzano API Workspace e tutti i dati da essi derivanti da attività non autorizzate o illegali accesso, utilizzo, distruzione, perdita, alterazione o divulgazione.
Le applicazioni che accedono agli Ambiti limitati devono dimostrare di ottemperare ad alcune pratiche di sicurezza.
Le prassi di sicurezza consigliate includono l'implementazione e il mantenimento di Sistema di gestione della sicurezza delle informazioni, come descritto in ISO/IEC 27001 e assicurarti che la tua applicazione o il tuo servizio web siano solidi e privi di sicurezza come stabilito OWASP Top 10.
Le misure di sicurezza richieste includono:
Utilizzo di uno standard di crittografia accettato dal settore per criptare i dati utente:
- Archiviati su dispositivi portatili o supporti elettronici portatili
- Mantenuti al di fuori dei sistemi di Google o dell'utente;
- trasferiti su qualsiasi rete esterna non gestita esclusivamente da te; e
- At-rest sui tuoi sistemi.
Trasmissione di dati mediante protocolli sicuri e moderni (ad esempio, tramite HTTPS).
Conservare i dati e le credenziali degli utenti, in particolare token come l'accesso OAuth e i token di aggiornamento, criptati at-rest.
Assicurarsi che le chiavi e i relativi materiali siano gestiti in modo appropriato, ad esempio archiviati in un un modulo di sicurezza hardware o un sistema di gestione delle chiavi di potenza equivalente.
Le misure di sicurezza richieste per gli Ambiti limitati includono anche le seguenti Valutazione della sicurezza delle applicazioni cloud (CASA). Inoltre, a seconda dell'API a cui si accede e del numero di concessioni o utenti, potremmo anche richiedere che la tua applicazione o il tuo servizio vengano sottoposti periodicamente a una valutazione della sicurezza e di ottenere una lettera di valutazione da un di terze parti.
Accetti di informare tempestivamente Google all'indirizzo security@google.com di accessi non autorizzati noti o sospetti a sistemi, reti, o in altre posizioni in cui sono archiviati i Dati di Google ("Incidente alla sicurezza"). L'utente accetta di collaborare pienamente con Google per correggere qualsiasi problema noto o sospetto a un incidente di sicurezza, e in tal caso, informare Google all'indirizzo security@google.com prima di rilasciare qualsiasi dichiarazione pubblica in merito a qualsiasi Incidente.
Ambiti con restrizioni
Gli ambiti con restrizioni di Workspace includono:
Qualsiasi ambito dell'API di Gmail che consenta a un'applicazione di:
- Leggere, creare o modificare il corpo dei messaggi (inclusi gli allegati) metadati, o intestazioni; o
- Controlla l'accesso alle caselle di posta, l'inoltro delle email o le impostazioni di amministrazione.
Qualsiasi ambito dell'API Google Drive che consenta a un'applicazione di:
- Leggere, modificare o gestire i contenuti o i metadati dei file di Drive di un utente. senza che l'utente conceda singolarmente l'accesso file per file.
Qualsiasi ambito dell'API Google Chat che consenta a un'applicazione di:
- Leggere, modificare o gestire i contenuti o i metadati di Chat di un utente messaggi.
Per ulteriori dettagli, consulta elenco di Ambiti con restrizioni.