Esta página explica, de forma específica, qué hacemos con los datos a los que accedemos cuando un despacho conecta su cuenta de Google en 360 Sistemas MG para usar SecretarIA MG. Complementa nuestra Política de Privacidad, que sigue siendo la que rige el tratamiento de datos personales.
1. Qué permisos pedimos a Google
https://www.googleapis.com/auth/gmail.readonly— leer los correos que llegan a la bandeja de entrada de la cuenta conectada. Es de solo lectura: no permite borrar, mover, marcar como leído ni etiquetar mensajes, y la aplicación no modifica el buzón en ningún caso.https://www.googleapis.com/auth/gmail.send— enviar correo desde la cuenta conectada.openidyemail— la dirección de correo de la cuenta, para saber de qué buzón se trata y mostrarlo en pantalla.
No pedimos acceso a contactos, calendario, Drive ni a ningún otro servicio de Google.
2. Para qué los usamos
Lectura (gmail.readonly). Los clientes de un despacho le mandan su documentación por correo. La aplicación revisa periódicamente la bandeja de entrada de la cuenta del despacho y, con cada correo nuevo:
- descarga los documentos adjuntos (facturas, modelos, contratos, nóminas, notificaciones…), los lee para saber de qué cliente del despacho son y los archiva en la carpeta de ese cliente, dentro del archivo del propio despacho;
- deja el texto del mensaje en la bandeja de trabajo del despacho, para que una persona del despacho lo lea y lo atienda.
Qué se lee y qué no:
- Solo la bandeja de entrada; se excluyen las pestañas de Promociones y Redes sociales.
- Solo lo que llega después de conectar la cuenta: la primera revisión únicamente anota por dónde va el buzón, sin procesar nada de lo anterior.
- Se descartan sin procesar los boletines, las respuestas automáticas, los avisos de entrega fallida y los correos que envía el propio despacho.
- Las imágenes de las firmas y los logotipos no se archivan.
Envío (gmail.send). Únicamente para enviar la respuesta que una persona del despacho ha escrito o aprobado en la plataforma, dirigida a quien había escrito a ese mismo buzón. No se envía correo masivo, ni comunicaciones comerciales, ni mensajes a destinatarios que no hayan escrito antes.
3. Uso limitado (Limited Use)
El uso y la transferencia de la información recibida de las API de Google por parte de esta aplicación se ajustan a la Política de datos de usuario de los servicios de API de Google, incluidos sus requisitos de uso limitado. En concreto:
- Los datos se usan únicamente para prestar y mejorar las funciones que el despacho ve y usa, descritas en el apartado 2.
- No se transfieren a terceros salvo que sea necesario para prestar esas funciones (apartado 5), para cumplir la ley, por motivos de seguridad, o en una fusión o adquisición con el consentimiento previo del despacho.
- No se usan ni se transfieren para mostrar publicidad, tampoco personalizada o basada en intereses.
- No se usan para desarrollar, mejorar ni entrenar modelos generalizados de inteligencia artificial o de aprendizaje automático, ni por nuestra parte ni por la de ningún tercero.
- No se venden ni se usan para determinar la solvencia de nadie ni con fines de préstamo.
- Ninguna persona lee esos datos, salvo con el consentimiento expreso del despacho para mensajes concretos (por ejemplo, para resolver una incidencia que él nos plantea), cuando sea necesario por motivos de seguridad —como investigar un abuso—, para cumplir la ley, o cuando estén agregados y anonimizados para operaciones internas.
4. Qué guardamos de cada correo
- Los documentos adjuntos, archivados en la carpeta del cliente del despacho al que pertenecen. Antes de guardarlos pasan una revisión de seguridad; lo que no es un documento o parece peligroso se aparta y no se abre.
- El texto de los mensajes que el despacho tiene que atender (remitente, asunto y cuerpo), en su bandeja de trabajo.
- El identificador interno de Gmail de los últimos mensajes revisados, únicamente para no procesar dos veces el mismo correo.
No guardamos los correos promocionales, los boletines ni las respuestas automáticas, ni copiamos el buzón: lo que no se archiva ni se atiende no se conserva.
5. Inteligencia artificial: qué sale del servidor y qué no
Para saber de qué cliente es un documento y para ordenar los mensajes, su contenido se procesa con un modelo de lenguaje, de una de estas dos formas, y la elige el despacho:
- Con la clave de API del propio despacho: el contenido se envía al proveedor que él haya contratado (por ejemplo Anthropic u OpenAI), bajo su cuenta y sus condiciones, solo para obtener esa respuesta.
- Con su suscripción, desde su propio ordenador: el contenido se procesa en un equipo del despacho, con el programa que él tiene instalado.
En ningún caso ese contenido se usa para entrenar modelos, ni se comparte con otros despachos.
6. Dónde se guarda y durante cuánto tiempo
- En servidores situados en la Unión Europea.
- El permiso de acceso se guarda cifrado; la contraseña de la cuenta de Google no se conoce ni se guarda nunca.
- Los documentos archivados y los mensajes atendidos se conservan mientras el despacho mantenga el servicio, porque son su archivo de trabajo, y se eliminan a su solicitud o al cerrar la cuenta.
- Los documentos que no se pueden asignar a ningún cliente del despacho se le avisan varias veces y, si nadie los coloca, se borran a los 30 días.
- Al desconectar la cuenta se revoca el permiso en Google y se deja de leer el buzón de inmediato.
7. Cómo protegemos los datos
Aplicamos medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD. En concreto, sobre los datos que intervienen en esta integración:
- En tránsito. Todo el tráfico, tanto con Google como entre los componentes de la plataforma, viaja exclusivamente sobre TLS. No se admiten conexiones sin cifrar.
- En reposo. El permiso de acceso que concede Google (el token de OAuth) se guarda cifrado con AES-256-GCM, con vector de inicialización único por registro y verificación de integridad. La clave de cifrado no está en la base de datos: reside en la configuración del servidor, de modo que una copia de la base de datos, por sí sola, no permite usar ningún permiso.
- La contraseña de la cuenta de Google no se conoce ni se guarda nunca: el acceso se concede siempre mediante el consentimiento de Google, y se puede retirar en cualquier momento.
- Documentos fuera del alcance público. Los documentos archivados solo se descargan con una sesión válida de una persona autorizada del propio despacho. Los que la revisión de seguridad aparta se guardan fuera del directorio web y no se abren.
- Control de acceso. Cada despacho está aislado de los demás: toda consulta queda acotada a los datos de quien la realiza, y ningún cliente puede ver los de otro. Dentro del despacho, el titular decide qué ve cada miembro de su equipo. Nuestro personal no accede al contenido de los correos salvo en los casos del apartado 3; ese acceso queda registrado.
- Trazabilidad. Las operaciones sobre datos sensibles quedan en un registro de auditoría con fecha, usuario, dirección IP y resultado, que el propio cliente puede consultar.
- Copias de seguridad periódicas, guardadas fuera del directorio público del servidor y con verificación de que son restaurables.
- Minimización. Se solicitan los permisos mínimos para la función descrita y solo se conserva lo indicado en el apartado 4.
Violaciones de seguridad. Si se produjera una violación de la seguridad de los datos personales que suponga un riesgo para los derechos y libertades de los interesados, la notificaremos a la Agencia Española de Protección de Datos en un plazo máximo de 72 horas desde que tengamos constancia de ella (art. 33 RGPD) y, cuando el riesgo sea alto, la comunicaremos también sin dilación indebida a las personas afectadas (art. 34 RGPD).
8. Cómo retirar el acceso y pedir el borrado
Desde Mis conexiones en 360 Sistemas MG, desconectando la cuenta (el permiso se revoca en Google en ese momento), o desde la propia cuenta de Google. Para pedir la supresión de los documentos y mensajes guardados, basta escribir a info@sistemasmg.es desde la cuenta del despacho.
9. Responsable y contacto
SISTEMAS DIGITALES MG, S.L.U. — CIF B55474068
Plaza de Covadonga, 3, 28600 Navalcarnero (Madrid), España
info@sistemasmg.es
