Política para Desarrolladores y datos del usuario de la API de Workspace

Como desarrollador que usa APIs de Google Workspace, sueles recopilar y administrar sensibles del usuario. Ten en cuenta estos principios clave:

• Protege la privacidad: No uses los datos del usuario de Workspace para usos prohibidos. Mié prohibir a terceros que vendan los datos del usuario o los usen para con fines publicitarios.
• Ser transparente: Representa y explica de forma precisa a los usuarios los datos que recopilarás, por qué lo harás y cómo lo utilizarás.
• Sé respetuoso: Respeta las solicitudes de los usuarios de borrar sus datos.
• Sé seguro: Maneja todos los datos de los usuarios de forma segura y demuestra que cumples con los ciertas prácticas de seguridad.
• Sé específico: No solicites acceso a datos que no necesitas. Todos los datos solo debe brindar al usuario funciones que beneficien para cada aplicación o servicio.

Política de Datos del Usuario de los Servicios de la API de Workspace

El Política de Datos del Usuario de los Servicios de las APIs de Google rige el uso de todos los Servicios de las APIs de Google cuando usted, el desarrollador, solicita lo siguiente: acceder a los datos del usuario. Esta Política para Desarrolladores y los Datos del Usuario de los Servicios de la API de Workspace contiene información adicional que rige el uso y el acceso a Workspace APIs; como Gmail, Chat, Drive, Hojas de cálculo y otros productos de Google Workspace, cuando solicitas acceso a los datos del usuario.

Además de la política mencionada, la Condiciones del Servicio de las APIs de Google, Política de Uso Aceptable de Google Chat, Guía para desarrolladores de Google Chat, Condiciones del Servicio de la API de Google Drive, Políticas del Programa de Google Drive, Guía para desarrolladores de Google Drive, Políticas del Programa de Gmail, Guía para desarrolladores de Gmail, Condiciones del Servicio de Google Apps Script y Políticas de OAuth 2.0 también rigen el uso de las APIs de Workspace y el acceso a ellas, así como el acceso de datos no estructurados. Su uso también puede estar regido por las Acuerdo para Desarrolladores de Google Workspace Marketplace. También requerimos que cumpla con todas las leyes y reglamentaciones aplicables.

Revisa estas políticas de forma periódica, ya que estas se actualizan ocasionalmente. Es tu responsabilidad supervisar y garantizar el cumplimiento de estas las políticas de forma periódica. Si en algún momento no puedes cumplir con los requisitos de nuestras políticas (o si existe un riesgo significativo de que no puedas cumplir con ellos), deje de usar nuestros servicios de inmediato y comuníquese con nosotros. Mié se reserva el derecho de quitar o restringir el acceso a los datos del usuario de Google si no cumplan con esta política.

Nota: Ciertos Alcances de la API de OAuth de Google (el "Alcances restringidos") están sujetas a requisitos adicionales que se describen en este lineamiento. Hay también excepciones al proceso de verificación que te recomendamos que revises. Si una app solo es utilizadas por los usuarios de su propia organización, estos requisitos adicionales no se aplican. Además, Administradores de Google Workspace puede controlar el acceso a las aplicaciones conectadas a través de la lista de entidades permitidas. Obtén más información sobre prácticas recomendadas para administrar un ecosistema empresarial de OAuth. Más información sobre los requisitos de evaluación para obtener (o conservar) acceso a Los permisos restringidos están disponibles en Preguntas frecuentes sobre la verificación de aplicaciones de OAuth.

Acceso y uso adecuados de las APIs de Gmail de Google

Las solicitudes para acceder a los datos del usuario deben ser claras y comprensibles. Google Workspace Las APIs solo se pueden usar de acuerdo con las políticas, las condiciones y y para los casos de uso aprobados según se describe en esta Política. Esto significa Solo puede solicitar acceso a los permisos cuando su aplicación o servicio cumpla con uno de los casos de uso aprobados. Solo solicita acceso a las APIs de Workspace cuando tu aplicación o servicio cumpla con uno de nuestros casos de uso aprobados.

Casos de uso aprobados para acceder a Permisos de la API de Gmail permisos son los siguientes:

1. Los clientes de correo electrónico web y integrados que permiten a los usuarios redactar, enviar, leer y procesar correos electrónicos a través de una interfaz de usuario.
2. Aplicaciones que crean copias de seguridad automáticas del correo electrónico
3. Aplicaciones que mejoran la experiencia de correo electrónico con fines de productividad (como aplicaciones para la administración de relaciones con clientes, retrasos en el envío de correos electrónicos o de combinación de correo electrónico, o proporcionar resúmenes de IA generativa).
4. Las aplicaciones que usan información de correos electrónicos para proporcionar informes o servicios de supervisión para beneficio de los usuarios que mejoran el servicio de (como aplicaciones que automatizan itinerarios de viajes o rastrean estados de entrega de vuelos o paquetes)

Los siguientes tipos de aplicaciones son ejemplos de apps que no están aprobadas para acceder a los permisos de la API de Gmail. A continuación, se incluyen algunos ejemplos de estos casos:

1. Teclados móviles.
2. Aplicaciones que exportan correos electrónicos de forma única o manual.
3. Aplicaciones que almacenan o crean copias de seguridad de datos que no son mensajes de correo electrónico en Gmail.
4. Las aplicaciones que usan múltiples cuentas para abusar de las políticas de Google, omitir Limitaciones de las cuentas de Gmail, eludir filtros y spam, o subvertir de algún otro modo de manera predeterminada.
5. Aplicaciones que distribuyen spam o correos electrónicos comerciales no solicitados. Para ejemplo, las aplicaciones que envían correo comercial masivo, como correos electrónicos administración de relaciones, se aprueban siempre y cuando el usuario haya dado su consentimiento recibir correos electrónicos.

Acceso y uso adecuados de las APIs de Google Drive

Solo solicita acceso a las APIs de Google Drive cuando tu aplicación o servicio cumpla con uno de nuestros casos de uso aprobados.

Estos son los casos de uso aprobados para acceder a los permisos de permisos de la API de Google Drive:

1. Apps web y integradas que ofrecen sincronización local o copia de seguridad automática de los datos de los usuarios Archivos de Drive
2. Aplicaciones educativas y de productividad (por ejemplo, administración de tareas, toma de notas, comunicaciones de grupos de trabajo y colaboración en el aula aplicaciones) que solo usan permisos restringidos para manejar archivos de Drive (o sus metadatos o permisos) a través de la interfaz de usuario de la aplicación.
3. Aplicaciones de informes y seguridad que proporcionan estadísticas de usuarios o clientes sobre cómo se comparten los archivos o cómo se accede a ellos.

La API de Google Drive no se permite para ciertos casos de uso, como el lo siguiente:

1. Copia de seguridad del contenido de los usuarios o las apps de la app o el proyecto de un desarrollador en Drive
2. Minería de criptomonedas:
3. Distribución amplia de videos o difusión de contenido protegido por derechos de autor sin autorización.
4. Uso de Drive como reemplazo de una red de distribución de contenidos a gran escala (CDN).
5. Herramientas de clonación de archivos que permiten la fragmentación del almacenamiento del usuario o la elusión de los límites de almacenamiento en Drive.
6. Las aplicaciones que usan múltiples cuentas para abusar de las políticas de Google, omitir Limitaciones de las cuentas de Google Drive, o bien puede subvertir restricciones
7. Aplicaciones que distribuyen spam o mensajes comerciales no solicitados. Para Por ejemplo, aplicaciones que envían mensajes comerciales masivos, como clientes administración de relaciones, se aprueban siempre y cuando el usuario haya dado su consentimiento pueden recibir mensajes.

Acceso y uso adecuados de las APIs de Google Chat

Solicita acceso a las APIs de Google Chat solo cuando tu aplicación o servicio cumpla con uno de nuestros casos de uso aprobados.

Estos son los casos de uso aprobados para acceder a los permisos de permisos de la API de Google Chat:

1. Apps web y integradas que permiten a los usuarios redactar, enviar, leer y procesar Mensajes de chat o comunicaciones similares a través de una interfaz de usuario
2. Las aplicaciones que mejoran la experiencia de Chat por motivos de productividad (para ejemplo, una app de Google Chat de administración de tareas que te permite asignar tareas a otros miembros del espacio).
3. Las aplicaciones que usan información de mensajes de Chat para proporcionar informes o de supervisión en beneficio de los usuarios (por ejemplo, una aplicación que notifica usuarios en los que un colega está fuera de la oficina).
4. Las aplicaciones que importan mensajes, membresías, grupos y otros Función de Google Chat
5. Aplicaciones que intercambian y usan datos obtenidos mediante Google Chat APIs para interoperar con otros productos, servicios o funciones de mensajería.

La API de Google Chat no se permite en ciertos casos de uso, como el lo siguiente:

1. Usa Chat como reemplazo de una red de distribución de contenidos a gran escala (CDN).
2. Las aplicaciones que usan múltiples cuentas para abusar de las políticas de Google, omitir Limitaciones de las cuentas de Google Chat, o bien puede subvertir restricciones
3. Aplicaciones que distribuyen spam o mensajes comerciales no solicitados. Para Por ejemplo, aplicaciones que envían mensajes comerciales masivos, como clientes administración de relaciones, se aprueban siempre y cuando el usuario haya dado su consentimiento pueden recibir mensajes.

Solicita el mínimo de permisos relevantes

Solo puede solicitar acceso a permisos que sean fundamentales para la implementación la funcionalidad de tu aplicación o servicio. Esto significa lo siguiente:

No solicites acceso a información que no necesites. Solo solicitar acceso a los permisos necesarios para implementar las funciones de tu aplicación o de Google Cloud. Si tu aplicación no requiere acceso a permisos específicos, no debe solicitar acceso a ellos. No intente "futuras prueba" su acceso a los datos del usuario al solicitar acceso a información que podría benefician servicios o funciones que aún no se implementaron.

Solicita permisos en contexto cuando sea posible. Solicitar acceso solo al usuario datos en contexto (mediante autenticación incremental) siempre que puedas, para que los usuarios entiendan por qué necesitas los datos.

Notificación y control transparentes y precisos

Es necesario tener una política de privacidad que divulgue cómo tu aplicación o sitio web servicio recopila, usa y comparte datos del usuario.

Las aplicaciones y los servicios también deben solicitar acceso a los datos del usuario en contexto (mediante autenticación incremental) necesitas los datos y cómo se usarán. Además del artículo requisitos legales según la ley aplicable, también debe cumplir con lo siguiente que reflejan nuestros OAuth 2.0 y Datos del usuario de los servicios de las APIs de Google políticas:

1. Debes proporcionar una divulgación sobre el acceso, la recopilación y el uso de los datos, así como para compartir. La divulgación:

   1. Debe representar con precisión la identidad de la aplicación o el servicio que busca acceso a los datos del usuario;
   2. Debe estar dentro de la aplicación si se basa en ella o en un Ventana de diálogo independiente si se basa en la Web
   3. Se debe mostrar durante el uso normal de la aplicación si basada en aplicaciones o en un sitio web si se basa en la Web y no requiere que el usuario navegas a un menú o a la configuración.
   4. Debe proporcionar información clara y precisa en la que se expliquen los tipos de datos a la que se accede, se solicita o recopila;
   5. Debe explicar cómo se usarán o compartirán los datos si solicitas datos. por una razón, pero los datos también se usarán propósito, debes notificar a los usuarios de ambos casos de uso;
   6. No puede colocarse únicamente en la política de privacidad o en las condiciones del servicio. y
   7. No se puede incluir con otras divulgaciones que no estén relacionadas con datos personales y la recopilación de datos sensibles.

2. La divulgación debe ir acompañada de una solicitud de acceso del usuario inmediatamente posterior a ella consentimiento. No debe comenzar la recopilación antes de obtener una respuesta consentimiento. La solicitud de consentimiento tiene las siguientes características:

   1. Debe presentar el cuadro de diálogo de consentimiento de manera clara y sin ambigüedades.
   2. Debe exigir acciones afirmativas del usuario (por ejemplo, presionar para aceptar, marcar una casilla de verificación, un comando verbal, etc.) para aceptar;
   3. No debe interpretar la navegación fuera de la divulgación (incluida la presionar para salir o presionar el botón de inicio o atrás) como consentimiento y
   4. No debe usar mensajes que caduquen ni se descarten automáticamente.

3. Debes proporcionar documentación de ayuda para los usuarios que explique cómo estos pueden administrar y borrar sus datos de tu app o servicio.

Uso limitado de los datos del usuario

Cuando accedes a las APIs de Workspace para hacer un uso adecuado, tu uso de los datos obtenidos deben cumplir con los requisitos que se indican a continuación. Estos requisitos se aplican a datos derivados de permisos sensibles y restringidos.

1. Limita tu uso de los datos a proporcionar o mejorar tu caso de uso adecuado o funciones que son visibles y destacadas en la solicitud interfaz de usuario.

2. No se permiten las transferencias de datos, excepto las siguientes:

   1. Proporcionar o mejorar un caso de uso adecuado o las funciones para el usuario visibles y destacados en la ventana de usuario de la aplicación solicitante y solo con el consentimiento del usuario;
   2. Con fines de seguridad (por ejemplo, investigar abusos)
   3. Para cumplir con las leyes o reglamentaciones aplicables o
   4. Como parte de una fusión, adquisición o venta de activos del desarrollador después de obtener el consentimiento previo explícito del usuario.

3. No permitas que seres humanos lean datos del usuario, a menos que ocurra lo siguiente:

   1. Obtuviste y documentaste el consentimiento explícito del usuario para leer datos específicos (por ejemplo, ayudar a un usuario a volver a acceder al producto o una servicio después de haber perdido la contraseña);
   2. Los datos (incluidas las derivaciones) se agregan, anonimizan y usan. para las operaciones internas de acuerdo con las disposiciones de privacidad aplicables y otras requisitos legales jurisdiccionales;
   3. Es necesaria por motivos de seguridad (por ejemplo, investigar abusos). o
   4. Para cumplir con las leyes o reglamentaciones aplicables

Está completamente prohibido cualquier otro uso, transferencia o venta de datos del usuario. que incluye lo siguiente:

1. Transferir o vender datos del usuario a terceros, como publicidad plataformas, agentes de datos o cualquier revendedor de información.
2. Transferir, vender o usar datos del usuario para publicar anuncios, lo que incluye resegmentación, publicidad personalizada o basada en intereses.
3. Transferir, vender o usar datos de los usuarios para determinar la solvencia crediticia con fines de préstamos.
4. Transferir, vender o usar datos de los usuarios para crear, entrenar o mejorar un modelo de aprendizaje automático o Inteligencia Artificial más allá de ese modelo modelo personalizado de los usuarios para el caso de uso adecuado o para .

Los afirmación o afirmación similar que tu uso de los datos cumple con las restricciones de uso limitado se divulgue en su aplicación o en un sitio web que pertenezca a su servicio web o aplicación; por ejemplo, un vínculo en una página principal a una página dedicada o la política indica: "El uso de la información recibida de las APIs de Workspace cumplirá al Política de Datos del Usuario de Google, incluido el Requisitos de Uso Limitado".

Nota: Recuerda que nuestras Condiciones del Servicio prohíban la extracción de datos, la creación de bases de datos (incluidas las bases de datos para modelos con fines de capacitación) o crear copias permanentes de los datos del Usuario de Google de otro modo. Esto incluye mantener las copias almacenadas en caché durante más tiempo del que permite el encabezado de la caché.

Mantener un entorno operativo seguro

Trata todos los datos del usuario en tránsito y en reposo de forma segura. Toma decisiones razonables y pasos adecuados para proteger todas las aplicaciones o sistemas que usan el las APIs de Workspace y cualquier dato derivado de estas contra amenazas el acceso, el uso, la destrucción, la pérdida, la alteración o la divulgación.

Las aplicaciones que acceden a Permisos restringidos deben demostrar que cumplen a ciertas prácticas de seguridad.

Las prácticas de seguridad recomendadas incluyen implementar y mantener Sistema de gestión de la seguridad de la información como se describe en ISO/IEC 27001 y garantizar que tu aplicación o servicio web sea robusto y libre de problemas de seguridad, tal como lo indica el OWASP Top 10.

Las medidas de seguridad requeridas incluyen lo siguiente:

1. Usar un estándar de encriptación aceptado en la industria para encriptar datos del usuario con las siguientes características:

   1. Almacenados en dispositivos o medios electrónicos portátiles
   2. Se mantienen fuera de los sistemas de Google o de Google.
   3. Se transfieren a través de cualquier red externa y no solo usted la administra. y
   4. en reposo en tus sistemas.

2. Transmitir datos con protocolos modernos y seguros (por ejemplo, a través de HTTPS)

3. Conservar los datos y credenciales del usuario, en especial tokens como el acceso OAuth y tokens de actualización, encriptados en reposo.

4. Garantizar que las claves y el material de claves se administren adecuadamente, por ejemplo, se almacenen en una de seguridad de hardware o un sistema de administración de claves de seguridad equivalente.

Las medidas de seguridad obligatorias para los Alcances restringidos también incluyen cumplir con lo siguiente: Evaluación de la seguridad para aplicaciones en la nube (CASA). Además, según la API a la que se acceda y la cantidad de otorgamientos o también podemos exigir que su aplicación o servicio se someta a de seguridad de la información y obtener una carta de evaluación de un tercero.

Usted acepta notificar de inmediato a Google a través de [e-mail] cualquier acceso no autorizado conocido o presunto a los sistemas, las redes, u otras ubicaciones donde se almacenen los Datos de Google ("Incidente de Seguridad"). Usted acepta cooperar completamente con Google para corregir cualquier problema conocido o sospechoso, de seguridad, y en cualquiera de tal caso, notificar a Google a [e-mail] antes de hacer cualquier declaración pública con respecto a cualquier política de Seguridad conocida Incidente.

Permisos restringidos

Entre los permisos restringidos de Workspace, se incluyen los siguientes:

1. Cualquier alcance de la API de Gmail que permita que una aplicación haga lo siguiente:

   1. Leer, crear o modificar el cuerpo de los mensajes (incluidos los archivos adjuntos) metadatos o encabezados; o
   2. Controla el acceso al buzón de correo, el reenvío de correo electrónico o la configuración de administrador.

2. Cualquier alcance de la API de Google Drive que permita que una aplicación haga lo siguiente:

   1. Leer, modificar o administrar el contenido o los metadatos de los archivos de Drive de un usuario sin que el usuario otorgue acceso archivo por archivo.

3. Cualquier alcance de la API de Google Chat que permita que una aplicación haga lo siguiente:

   1. Leer, modificar o administrar el contenido o los metadatos del Chat de un usuario mensajes nuevos.

Para obtener más detalles, consulta la lista de Permisos Restringidos.