이 문서는 법무 확인 전 초안이며 게시용이 아닙니다. This document is a draft pending legal review and is not final.

노란 표시의 "확인 필요" 항목은 게시 전에 채워야 합니다. Items marked "to be confirmed" must be completed before publication.

MailPip Chrome에 추가 주소 미정

개인정보 처리방침

MailPip은 Gmail에서 보낸 메일의 수신자별 열람 신호를 보여 주는 Chrome 확장과 웹 서비스입니다. 이 문서는 MailPip이 어떤 정보에 접근하고, 무엇을 서버에 보관하며, 어떻게 삭제하는지 설명합니다.

버전
2026-09-28(초안)
시행일
확인 필요: 시행일

1. 운영자와 문의처

운영자
확인 필요: 운영자 명칭, 대표자, 주소
지원·개인정보 문의
support@mailpip.app
개인정보 보호책임자
확인 필요: 성명과 연락처

안내 사이트(홈, 방침, 약관, 쿠키 정책, 개인정보 및 보안 센터)와 로그인 후 쓰는 웹 앱(https://mailpip.app/app), API(https://mailpip.app/api), Google 로그인 콜백은 https://mailpip.app 아래에서 제공됩니다. 메일에 들어가는 추적 이미지만 https://t.approxup.com에서 제공됩니다.

MailPip은 데이터에 따라 지위가 다릅니다. 사용자(메일을 보내는 사람)의 계정, 연결, 사용 기록은 MailPip이 처리 목적과 방법을 정해 직접 처리하는 주체(개인정보처리자)로서 다룹니다.

사용자가 보낸 메일의 수신자 데이터(수신자 주소, 제목, 발송 시각, 열람 신호)는 MailPip이 사용자를 대신해 처리하는 수탁자로서 다루며, 처리 목적과 수신자는 사용자가 정합니다. 수신자의 요청을 처리하는 길은 10절에 있습니다. 확인 필요: 법무 검토(역할 구분)

2. MailPip이 하는 일

  • 유료 요금제의 기능은 새 계정이 처음 14일 동안 체험으로 쓸 때도 같게 적용되므로, 이 방침에서 유료 요금제로 적은 동작은 체험 동안에도 같습니다. 체험이 끝나면 무료 요금제로 바뀌며 기록은 지우지 않습니다. 체험의 조건은 약관 2절에 있습니다.
  • 유료 요금제에서 받는 사람이 둘 이상인 메일은 사용자가 Gmail에서 보내기를 누르면 확장이 작성 중인 메일(수신자, 제목, 본문, 첨부)을 MailPip 서버에 전달하고, 서버가 사용자의 Google 권한으로 Gmail SMTP(smtp.gmail.com)를 통해 사용자를 대신해 메일을 보냅니다.
  • 유료 요금제에서는 수신자마다 별도 사본을 만들고, 각 사본에는 그 수신자 전용 추적 이미지(1x1 이미지)가 들어갑니다. 수신자의 메일 앱이 이 이미지를 불러오면 "열람 신호"가 기록되어 웹 앱에서 수신자별로 보입니다.
  • 받는 사람이 한 명인 메일과, Gmail 비밀 모드나 수신자 50명 초과 같은 예외 상황의 메일은 확장이 작성 창에 추적 이미지만 넣고 Gmail이 사용자 계정에서 직접 보냅니다. 이때 서버가 받는 것은 제목, 수신자 표시값, 확장이 만든 준비 식별값뿐이며 메일 본문과 첨부는 받지 않습니다. 추적 이미지 주소의 비밀 토큰은 서버가 그 준비 식별값에서 만들고, 서버에는 토큰의 해시만 저장합니다. 보내기를 시작할 때 링크 클릭 추적이 켜져 있는 메일에 한해 확장이 Gmail이 직접 보내는 메일(예외 상황의 메일 제외)의 본문 링크 주소와 링크 글자(최대 40쌍)를 서버로 보내고(같은 메일의 재시도·취소 요청에 다시 실릴 수 있습니다), 서버는 그중 서명한 링크 주소(최대 20개)만 저장합니다. 링크 글자는 수신 거부 링크를 가려내는 데만 쓰고 저장하지 않습니다(4절). 보내기를 시작할 때 꺼져 있으면 이 정보를 보내지 않습니다. 꺼진 상태에서 받은 링크 정보는 저장하지 않습니다. 작성창에서 이 메일의 이메일 알림 선택을 처음 값과 다르게 바꾼 메일에 한해, 확장이 보낸 직후 별도 요청으로 메일 식별값(MailPip이 만든 값입니다)과 바꾼 알림 종류의 켜기 또는 끄기를 서버로 보냅니다. 추적을 끈 메일과 선택을 바꾸지 않은 메일은 보내지 않고, 데스크톱 알림 선택은 서버로 보내지 않습니다.
  • 무료 요금제에서는 받는 사람이 둘 이상이어도 위와 같이 Gmail이 사용자 계정에서 직접 보내고 메일 하나에 추적 이미지 하나만 넣습니다. 이때 서버가 받는 것은 제목, 수신자 표시값, 준비 식별값에 더해 확장이 알려 주는 받는 사람 주소 목록(받는 사람(To)과 참조(Cc) 칸의 주소와 역할, 최대 100개, 숨은 참조 제외)이며 메일 본문과 첨부는 받지 않습니다. 이 주소 목록은 Gmail 보낸편지함의 열람 표시(✓✓)를 그 메일에 맞추는 데만 쓰고, 열람 신호는 메일 단위로만 기록되어 받는 사람별로 구분하지 않습니다. 보내기를 시작할 때 링크 클릭 추적이 켜져 있는 메일에 한해 확장이 Gmail이 직접 보내는 메일(예외 상황의 메일 제외)의 본문 링크 주소와 링크 글자(최대 40쌍)를 서버로 보내고(같은 메일의 재시도·취소 요청에 다시 실릴 수 있습니다), 서버는 그중 서명한 링크 주소(최대 20개)만 저장합니다. 링크 글자는 수신 거부 링크를 가려내는 데만 쓰고 저장하지 않습니다(4절). 보내기를 시작할 때 꺼져 있으면 이 정보를 보내지 않습니다. 꺼진 상태에서 받은 링크 정보는 저장하지 않습니다. 작성창에서 이 메일의 이메일 알림 선택을 처음 값과 다르게 바꾼 메일에 한해, 확장이 보낸 직후 별도 요청으로 메일 식별값(MailPip이 만든 값입니다)과 바꾼 알림 종류의 켜기 또는 끄기를 서버로 보냅니다. 추적을 끈 메일과 선택을 바꾸지 않은 메일은 보내지 않고, 데스크톱 알림 선택은 서버로 보내지 않습니다.
  • 링크 클릭 추적을 제공할 때에는 확장이나 서버가 본문의 링크(http·https 주소, 메일당 최대 20개)를 MailPip 이동 서버를 거치는 서명 주소로 바꿉니다. 링크 클릭 추적이 켜져 있다는 것은 MailPip이 이 기능을 제공하고 계정의 링크 추적 설정(기본 켬)이 켜져 있다는 뜻이며, 확장은 보내기를 시작할 때 이를 확인해 꺼져 있으면 본문의 링크 쌍을 따로 보내지 않고 링크도 바꾸지 않습니다. 보내기를 시작한 뒤에 끈 경우에는 이미 모은 링크 쌍이 같은 메일의 재시도·취소 요청에 다시 실릴 수 있지만, 서버는 꺼진 상태에서 받은 링크 정보를 저장하지 않습니다. 받는 사람이 한 명이거나 무료 요금제인 메일은 확장이 보내기 직전에 작성 창의 링크를 바꾸고, 유료 요금제에서 받는 사람이 둘 이상인 메일은 서버가 수신자별 사본마다 바꿉니다. 예약 발송, Gmail 비밀 모드, 유료 요금제에서 수신자 50명 초과, Drive 파일 칩이 든 메일처럼 추적 이미지만 넣고 보내는 예외의 메일과 추적을 끈 메일은 링크를 바꾸지 않습니다. 인용한 글, Gmail 서명, 수신 거부로 보이는 링크, MailPip 자체 주소, IP 주소, 토큰이나 비밀번호 같은 이름의 값이 든 주소는 바꾸지 않습니다. 서버가 보내는 보낸 사람 본인 사본의 링크는 원래 주소 그대로이지만 Gmail이 직접 보내는 메일은 보낸편지함 사본에도 서명 주소가 남습니다. 그래서 보낸 사람이 Gmail 화면에서 자기 메일의 서명 주소 링크를 누르면 확장이 MailPip 서버를 거치지 않고 원래 주소를 새 탭으로 열어 클릭 기록이 생기지 않으며, 확장이 없는 기기나 브라우저, 연결이 끊긴 계정의 화면, 링크를 만든 계정이 아닌 다른 Gmail 계정 화면, 우클릭으로 연 새 탭, 복사한 주소는 이를 막지 못합니다.
  • Gmail 화면에 열람 신호를 표시하기 위해 확장은 MailPip 서버에서 사용자의 메시지 목록을 받아 기기 안에서 Gmail 화면과 맞추며, Gmail 메시지 목록과 내용은 서버로 보내지 않습니다.
  • 데스크톱 열람 알림이 켜져 있으면(기본 켬) 알림에 메일 제목과 수신자 주소가 표시되고 운영체제의 알림 센터가 이를 표시하거나 보관할 수 있으며, 알림 설정과 알림을 끈 메일 목록은 이 기기의 브라우저 안에, 직전 비교 기준과 알림 클릭 정보는 브라우저를 닫으면 사라지는 이 기기의 임시 저장소에만 저장되고 서버로 보내지 않습니다. 작성창의 MailPip 메뉴에서 메일마다 열람 알림이나 링크 클릭 알림만 따로 끈 경우 그 메일의 식별값과 끈 종류도 이 기기의 브라우저 안에만 저장하고 서버로 보내지 않습니다.
  • 작성창에서 이메일 알림 선택을 바꾼 메일은, 서버로 보내기 전까지 확장이 그 선택(Gmail 계정 주소, 메일 식별값, 알림 종류별 선택, 기록 시각과 시도 횟수 같은 처리 표지)을 이 기기의 브라우저 안에 최대 50건 잠시 둡니다. 서버로 보낸 뒤에는 지우고, 보내지 못했으면 확장이 다시 켜질 때 다시 보내되 10분이 지난 기록은 서버로 보내지 않고 버립니다. 저장하지 못했다는 사실을 알릴 곳이 없을 때 남기는 실패 기록(Gmail 계정 주소, 메일 식별값(있을 때), 시각, 최대 20건)도 10분이 지나면 버립니다.
  • Gmail 탭이 열려 있는 동안 확장이 서버에서 보낸 메일의 열람 상태 목록을 다시 받아 오는 간격은 서버가 알려 주며, 무료 요금제 150초, 유료 요금제(체험 포함) 60초입니다. Gmail 화면의 열람 표시와 데스크톱 알림이 이 간격으로 갱신되므로 무료 요금제에서는 데스크톱 알림이 몇 분 늦을 수 있고, 열람 신호의 기록 자체는 늦어지지 않습니다.
  • 무료 요금제의 웹 앱 화면이나 Gmail 열람 카드에서 잠금 표시(유료에서 볼 수 있는 항목의 표시)를 누르면, 확장이나 웹 앱이 어느 종류(여러 번 열림, 받는 사람별 열람, 알림, 링크 클릭, 보고서, 그 밖)의 표시를 눌렀는지만 서버에 보내 종류마다 누른 횟수와 시각을 셉니다. 메일, 수신자, 열람 내용은 보내지 않으며 이 값은 4절의 "잠금 표시를 누른 횟수"에 저장됩니다.
  • 알림·보고서 메일을 제공할 때 MailPip은 알림 설정(기본값 포함)에 따라 로그인한 Google 계정의 이메일 주소로 알림 메일(첫 열람 신호, 미열람, 반복·다시 열람, 링크 클릭, 답장 미확인)과 보고서 메일(일간·주간·월간)을 보냅니다. 알림 메일과 보고서 메일은 유료 요금제(체험 포함)에서만 쓸 수 있고 무료 요금제에는 보내지 않습니다. 답장 미확인 알림은 3절의 받은편지함 답장 확인을 켠 계정에만 해당합니다. 알림 메일에는 원래 메일 제목(최대 60자), 받는 사람 표시값(최대 3명), 신호 시각(계정 시간대), 링크 클릭 알림이면 클릭된 링크의 호스트(경로와 쿼리는 없음), 웹 상세 링크, 알림 설정 링크, 문의 안내와 서명한 끄기 링크가 들어가고, 보고서 메일에는 보낸 메일 수·받는 사람 수·신호가 관측된 메일 수 같은 숫자와 웹 성과 링크, 해당 보고서의 서명한 끄기 링크, 알림 설정 링크, 문의 안내가 들어가며 받는 사람 주소와 제목은 없습니다. 이 메일에는 추적 이미지, 원격 이미지, 클릭 추적이 없습니다. 끄기 링크는 서명된 주소(90일 유효)이고, 두 메일 모두 머리글에 List-Unsubscribe(한 번 클릭으로 끄기)가 있습니다. 알림 메일의 것은 본문의 "알림 메일 모두 끄기" 링크와, 보고서 메일의 것은 그 보고서의 끄기 링크와 같습니다. 이 메일은 사용자의 Gmail이 아니라 MailPip의 발신 주소에서 외부 메일 발송 서비스(SMTP)를 거쳐 나갑니다.
  • 유료 요금제에서는 이메일 알림 종류(첫 열람, 여러 번 열람, 오랜 뒤 다시 열람, 링크 클릭, 미열람, 답장 미확인)를 메일마다 다르게 정할 수 있으며, 처음 값은 계정의 알림 설정입니다. 어느 종류든 이 메일에서만 끄거나, 계정에서 꺼 두었어도 이 메일에서만 켤 수 있습니다. 미열람과 답장 미확인의 시간은 계정에서 정한 시간이고, 계정에서 꺼 둔 경우 미열람은 24시간, 답장 미확인은 72시간이며, 그 시간이 이미 지난 메일에는 새로 켤 수 없습니다. 답장 미확인을 이 메일에 켜면 그 메일의 답장을 받은편지함에서 확인합니다(3절). 선택은 Gmail 작성창의 MailPip 메뉴("알림 받기"), 보낸 메일의 MailPip 카드("답장이 없으면 알림 받기"), 웹 앱 메일 상세의 "이 메일의 알림 종류"에서 하고, 서버에는 메일 식별값, 알림 종류, 켜기 또는 끄기만 저장하며 시각은 저장하지 않습니다(4절).
  • 계정의 "기본적으로 이메일 추적"(웹 앱 설정 > 추적, 기본 켬)을 끄면, 작성창에서 따로 켜지 않은 새 메일은 추적 이미지를 넣지 않고 Gmail이 그대로 보내며 그 메일의 정보를 서버로 보내지 않습니다(이미 추적 이미지가 든 작성창은 제외). 작성창의 MailPip 메뉴("이 메일 열람 추적")에서 메일마다 다시 켤 수 있고, 이 설정은 요금제와 무관합니다.

3. 접근하는 Google 사용자 데이터와 이유

MailPip은 Google 로그인 때 아래 권한을 한 번에 요청합니다. 계정 비밀번호는 받지 않습니다.

openid, email

사용 목적
로그인과 계정 확인
실제로 하는 일
Google이 확인한 이메일 주소와 계정 식별값(sub)을 받아 MailPip 계정과 연결합니다.
하지 않는 일
비밀번호를 받지 않습니다.

https://mail.google.com/ (Gmail 전체 메일)

사용 목적
사용자를 대신한 발송, 보낸편지함 보호 확인, 무응답 알림용 답장 확인
실제로 하는 일
  • 유료 요금제에서 받는 사람이 둘 이상인 메일은 Gmail SMTP(XOAUTH2)로 발송합니다. 사용자 본인에게 가는 사본(추적 이미지 없음)을 먼저 보내 보낸편지함에 이 사본이 보관되게 하고, 이어서 수신자별 사본을 보냅니다.
  • 발송 직후, 방금 보낸 메일 하나를 Message-ID로 찾아 라벨 목록만 읽어 추적 이미지 없는 사본이 보관됐는지 확인합니다(읽기 전용, 본문과 헤더 원문은 읽지 않음). 결과(적용, 미적용, 불명) 외에 메시지 ID나 라벨은 저장하지 않습니다.
  • 숨김 라벨 "MailPip 자기 사본" 1개를 만들고, 연결 해제 때 지웁니다.
  • 무응답 알림을 켠 유료 요금제(체험 포함) 계정(기본 꺼짐)에 한해 서버가 15분마다 사용자의 Gmail 받은편지함에 들어온 메일을 Gmail API 읽기 전용 요청(GET)으로 확인합니다. 확인할 메일이 있는 계정만 읽고, 읽는 범위는 보낸 메일의 등록 시각 이후이며 최대 7일 전까지입니다. 먼저 받은편지함 안에서 보낸편지함 라벨이 붙은 메일, 내가 보낸 메일, MailPip 자기 수신 사본을 뺀 메일 목록을 구간별로 받고, 메일마다 머리글(보낸 사람, 제목, In-Reply-To, References와 자동 응답을 가리는 Auto-Submitted, Precedence, Content-Type)만 읽어 자동 응답·반송·대량 메일과 본인 발신을 버립니다. 머리글(In-Reply-To·References)로 보낸 메일에 대한 답장임을 알 수 없는 메일 가운데, 확인 중인 메일 중에 Gmail이 직접 보낸 메일이 있고 그 메일이 In-Reply-To를 가지며 보낸 사람이 확인 중인 메일의 받는 사람이거나 제목이 같은(답장 접두는 뺌) 경우에 한해서만 그 메일 전체(format=full)를 받아 그중 HTML 본문에서만 인용된 MailPip 추적 이미지 주소가 있는지 찾으며, 이렇게 전체를 받는 메일은 한 번에 최대 30통입니다. 읽은 메일의 본문, 제목, 보낸 사람, 목록은 저장하지 않고 Gmail 메시지·스레드 ID도 남기지 않으며, 남기는 것은 답장 확인 기록(메일, 받는 사람 사본, 확인 방법, 답장 시각)과 어디까지 읽었는지(점검 진행 시각)뿐입니다. 스레드·초안 읽기와 쓰기 요청은 없습니다. 제목과 보낸 사람으로 추정하는 경우도 있어 답장 확인은 정확하지 않을 수 있습니다.
하지 않는 일
서버는 받은편지함의 메일 목록과 본문을 저장하지 않으며, 다음 한 경우를 빼고는 읽거나 분석하지 않습니다. 무응답 알림을 켠 유료 요금제(체험 포함) 계정에 한해(기본 꺼짐) 서버가 정해진 주기로 받은편지함에 들어온 메일 가운데 보낸 메일에 대한 답장인지 확인하기 위해 머리글을 읽고, 머리글로 정할 수 없는 일부 메일은 메일 전체(format=full)를 받아 그중 HTML 본문에서만 인용된 추적 표지를 찾아 대조하며, 읽은 메일의 본문과 목록은 저장하지 않고 남기는 것은 답장 확인 기록(메일·받는 사람·확인 방법·시각)과 점검 진행 시각뿐입니다. 위 네 가지 외의 Gmail API 호출이 없으며, Gmail API로 메일을 만들거나 고치거나 지우지 않습니다.

https://www.googleapis.com/auth/gmail.settings.basic (Gmail 기본 설정)

사용 목적
자기 수신 사본이 받은편지함에 쌓이지 않게 하는 필터 1개 관리
실제로 하는 일
필터 1개를 만듭니다. 조건은 list:(self-copy.mailpip.approxup.com)이고 동작은 받은편지함 건너뛰기, 읽음 표시, 위 라벨 적용입니다. 필터 목록은 같은 필터가 이미 있는지 확인하는 데만 읽고 저장하지 않으며, 연결 해제와 계정 삭제 때 이 필터를 지웁니다.
하지 않는 일
다른 필터와 설정(전달, 부재중 응답, 서명 등)을 읽어 저장하거나 바꾸지 않습니다. 이 권한을 허용하지 않아도 연결은 되며 필터만 만들어지지 않습니다.

확장이 Gmail 화면에서 MailPip 서버로 보내는 정보는 사용자가 보내려는 메일의 발신 주소, 수신자, 제목, 본문, 첨부, 시간대 오프셋, 요청 식별값, 답장이나 전달일 때 원본 메시지의 Message-ID와 References 헤더 값뿐입니다. 서버는 정해진 항목 외의 입력을 거절합니다. 보내기를 시작할 때 링크 클릭 추적이 켜져 있는 메일에 한해 확장이 Gmail이 직접 보내는 메일(예외 상황의 메일 제외)의 본문 링크 주소와 링크 글자(최대 40쌍)를 서버로 보내고(같은 메일의 재시도·취소 요청에 다시 실릴 수 있습니다), 서버는 그중 서명한 링크 주소(최대 20개)만 저장합니다. 링크 글자는 수신 거부 링크를 가려내는 데만 쓰고 저장하지 않습니다(4절). 보내기를 시작할 때 꺼져 있으면 이 정보를 보내지 않습니다. 꺼진 상태에서 받은 링크 정보는 저장하지 않습니다. 작성창에서 이 메일의 이메일 알림 선택을 처음 값과 다르게 바꾼 메일에 한해, 확장이 보낸 직후 별도 요청으로 메일 식별값(MailPip이 만든 값입니다)과 바꾼 알림 종류의 켜기 또는 끄기를 서버로 보냅니다. 추적을 끈 메일과 선택을 바꾸지 않은 메일은 보내지 않고, 데스크톱 알림 선택은 서버로 보내지 않습니다.

4. 서버에 보관하는 정보와 기간

보관 항목, 목적, 기간
정보목적보관 방식과 기간
Google 계정 식별값(sub), 확인된 이메일, 약관 동의 버전과 시각 계정 식별, 약관 동의 기록 계정을 삭제할 때까지 보관하고, 삭제하면 지웁니다.
Gmail 접근용 refresh token 사용자를 대신한 발송 AES-256-GCM으로 암호화해 저장합니다. 연결 해제나 계정 삭제 때 지우고 Google에 폐기를 요청하며, Google이 권한을 철회한 것이 확인되면 암호문을 비웁니다. access token은 저장하지 않습니다.
작성 원문(본문, 인라인 이미지)과 첨부 발송 완료까지의 임시 보관 객체마다 다른 키로 암호화한 임시 보관소에 둡니다. 발송이 끝나면 곧바로 지웁니다. 발송에 쓰이지 않은 업로드는 마지막 사용 15분 뒤(최대 24시간)에, 발송 접수 뒤 멈춘 작업의 원문은 1시간 안에 지우며, 내용이 없는 삭제 기록은 24시간 뒤 지웁니다.
메시지 정보(제목, 수신자 주소와 역할, 발신 주소, 보낸 시각, 발송 상태, 원문 SHA-256) 보낸 메일 목록과 열람 신호 표시 계정이 있는 동안 보관합니다. 본문과 첨부 원문은 포함하지 않습니다. 계정을 삭제하면 바로 지웁니다. 1년 넘게 이용하지 않은 무료 계정은 이 정보도 함께 11절의 정리로 지워집니다.
요금제 값(무료·유료)과 바뀐 시각 기록 범위, 수신자별 추적, 링크 클릭 추적, 수신 확인서 같은 기능 구분 계정이 있는 동안 보관하며, 계정을 삭제하면 지웁니다. 값이 없는 계정은 체험 중이 아니면 무료로 다룹니다. 결제는 아직 연결되어 있지 않아 결제 정보는 받거나 저장하지 않습니다.
체험 기간(체험 시작·종료 시각) 14일 체험 중인지 알아보고, 체험이 끝나면 무료 요금제로 바꾸기 체험을 시작할 때 기록하며 계정이 있는 동안 보관합니다. 체험이 끝난 뒤에도 기록은 남고 계정을 삭제하면 지웁니다.
체험 사용 기록(Google 계정 식별값을 해시한 값과 기록한 시각) 같은 Google 계정이 14일 체험을 되풀이해 받지 못하게 하기 Google 계정 식별값(sub)에 고정 접두사를 붙여 SHA-256으로 만든 해시와 기록한 시각만 저장합니다. 이 해시는 원래 식별값으로 되돌릴 수 없고, 계정이나 이메일과 이어 주는 값은 함께 저장하지 않습니다. 체험 반복을 막으려는 기록이라 계정을 삭제해도 지우지 않고 기간으로 지우는 정리도 없습니다.
마지막 사용 시각(계정, 마지막으로 쓴 시각) 1년 넘게 쓰지 않은 무료 계정을 찾아 지우기(11절) 로그인한 웹 앱·확장의 요청, 확장 인증값의 회전·해제, 추적 메일 준비가 있으면 하루에 한 번 갱신하며 요청 내용은 담지 않고 시각만 저장합니다. 계정이 있는 동안 보관하고 계정을 삭제하면 지웁니다.
잠금 표시를 누른 횟수(계정, 종류, 누른 횟수, 처음·마지막 누른 시각) 무료 요금제에서 어떤 유료 기능에 관심이 있는지 세어 요금제 구성을 조정하기 종류(여러 번 열림, 받는 사람별 열람, 알림, 링크 클릭, 보고서, 그 밖) 여섯 가지 가운데 어느 것을 눌렀는지와 횟수·시각만 담고 메일, 수신자, 열람 내용은 담지 않습니다. 계정이 있는 동안 보관하고 계정을 삭제하면 지웁니다. 기간으로 지우는 정리는 없습니다.
무료 요금제 그룹 메일의 받는 사람 주소 목록(받는 사람과 참조 칸의 주소와 역할, 메일당 최대 100개, 숨은 참조 제외) Gmail 보낸편지함의 열람 표시(✓✓)를 그 메일에 맞추기 위한 대응. 연락처나 성과에 주소별로 넣지 않습니다. 메시지 정보와 같은 규칙입니다. 계정이 있는 동안 보관하고, 웹 앱에서 그 메일의 "이메일 데이터 삭제"를 하거나 계정을 삭제하면 함께 지웁니다. 1년 넘게 이용하지 않은 무료 계정은 이 정보도 함께 11절의 정리로 지워집니다.
열람 신호 기록(수신자별 식별값, 신호 시각, 요청 출처 분류값) 수신자별 열람 신호 표시 새로 발급하는 추적 이미지는 계정이 있는 동안 신호를 기록합니다(발급 뒤 기간 제한이 없습니다). 이미 발급한 추적 이미지도 같은 규칙으로 기록합니다. 기록은 계정이 있는 동안 보관합니다. 무료 요금제에서도 열람 신호는 모두 저장하고, 화면과 내려받는 CSV에는 첫 신호만 보여 줍니다. 유료로 바꾸면 전체 열람 기록이 보입니다. 계정을 삭제하면 매일 한 번 도는 정리 작업이 지웁니다(삭제 뒤 늦어도 2일 안). 1년 넘게 이용하지 않은 무료 계정은 이 정보도 함께 11절의 정리로 지워집니다. MailPip 수집기는 수신자의 IP 주소와 User-Agent를 출처 분류 계산에만 쓰고 저장하거나 로그에 남기지 않습니다. 호스팅 제공자 로그에 남는 IP 주소는 아래 서버 로그 항목을 참고하십시오.
서명한 본문 링크 주소(http·https, 메일당 최대 20개) 링크 클릭 추적을 제공할 때, 어느 링크가 눌렸는지 링크별로 보여 주기. 유료 요금제에서 켠 경우 링크 클릭 알림 메일(링크는 호스트만) 링크 클릭 추적을 제공할 때만 저장합니다. 메시지 정보와 같은 규칙입니다. 계정이 있는 동안 보관하고, 웹 앱에서 그 메일의 "이메일 데이터 삭제"를 하거나 계정을 삭제하면 바로 지웁니다. 1년 넘게 이용하지 않은 무료 계정은 이 정보도 함께 11절의 정리로 지워집니다. 링크 글자는 저장하지 않습니다.
링크 클릭 기록(수신자별 식별값, 클릭 시각, 링크 번호, 요청 출처 분류값) 링크별 클릭 신호 표시. 유료 요금제에서 켠 경우 링크 클릭 알림 메일(링크는 호스트만) 링크 클릭 추적을 제공할 때만 기록합니다. 클릭은 메일을 보낸 뒤 7일 동안만 기록하고, 그 뒤에는 서비스가 운영되고 서명에 쓴 비밀 키가 유효한 동안 링크가 원래 주소로 이동하기만 합니다. 링크 클릭 추적을 제공할 때 무료 요금제에서도 링크 클릭 기록은 모두 저장하고, 화면과 내려받는 CSV에는 메일의 링크마다 첫 클릭만 보여 줍니다. 유료로 바꾸면 전체 클릭 기록이 보입니다. 기록된 행은 열람 신호 기록처럼 그 메일이 있는 동안 보관하며, 그 메일의 데이터를 삭제하거나 계정을 삭제하면 매일 한 번 도는 정리 작업이 지웁니다(삭제 뒤 늦어도 2일 안). 1년 넘게 이용하지 않은 무료 계정은 이 정보도 함께 11절의 정리로 지워집니다. 이동 서버는 클릭한 사람의 IP 주소와 User-Agent를 요청 출처 분류에만 쓰고 저장하거나 로그에 남기지 않습니다. 호스팅 제공자 로그에 남는 정보는 아래 서버 로그 항목을 참고하십시오.
링크 서명 기록(계정, 메일 식별값, 서명 시각, 취소 여부) 링크 서명 남용 방지(계정당 24시간 상한 계산) 링크 클릭 추적을 제공할 때만 기록합니다. 링크 주소나 메일 내용은 담지 않습니다. 어느 메일의 서명인지 가리키는 메일 식별값은 그 메일을 지우기 전까지만 담습니다. 서명한 지 35일이 지나면 매일 한 번 도는 정리 작업이 지웁니다. 메일 하나를 지우면 메일 식별값을 바로 지워 그 메일과의 연결을 끊고 계정 단위 횟수 정보만 남기며(발송이 진행 중인 메일은 끝난 뒤에 지울 수 있습니다), 계정을 삭제하면 지웁니다.
알림 설정(알림 종류별 켜기와 기한 시간, 보고서 설정, 시간대, 언어, 알림 시작 시각, 끄기 링크용 무작위 식별값)과 메일별 알림 끄기 목록 알림·보고서 메일 설정 저장과 끄기 링크 서명 웹 앱을 처음 열 때 저장된 알림 설정이 없으면 브라우저의 시간대·언어를 기본값으로 한 번 저장하고(무료 요금제 포함), 그 뒤에는 사용자가 바꾼 값을 저장합니다. 알림 메일의 받는 주소는 따로 저장하지 않고 로그인한 Google 계정의 확인된 이메일을 씁니다. 계정이 있는 동안 보관하고 계정을 삭제하면 지웁니다. 메일별 알림 끄기 목록(메일 식별값)은 그 메일의 데이터를 삭제하면 지웁니다.
메일별 알림 선택(메일 식별값, 알림 종류, 켜기 또는 끄기. 시각 없음) 계정의 알림 설정과 다르게 이 메일에서만 알림 종류를 켜거나 끄기 사용자가 이 메일의 알림 종류를 바꿀 때만 저장합니다. 시각은 담지 않습니다. 계정이 있는 동안 보관하고, 그 메일의 데이터를 삭제하거나 계정을 삭제하면 바로 지웁니다. "계정 설정대로"를 고르면 그 종류의 행을 지웁니다. 기간으로 지우는 정리는 없습니다.
기본 추적 설정(계정, 켜기 또는 끄기, 바뀐 시각) 새 메일을 기본으로 추적할지 정하기("기본적으로 이메일 추적") 웹 앱에서 설정을 저장하면 기록하며 요금제와 무관합니다. 저장된 설정이 없으면 켠 것으로 다룹니다. 계정이 있는 동안 보관하고 계정을 삭제하면 지웁니다. 기간으로 지우는 정리는 없습니다.
알림·보고서 발송 기록(알림: 메일 식별값, 알림 종류, 묶음 구분(수신자별 식별값 또는 날짜), 발송 메일 참조값, 상태, 시각 / 보고서: 계정, 보고서 종류, 기간, 상태, 시각) 같은 알림·보고서를 다시 보내지 않기(중복 방지)와 발송 상태 확인 알림·보고서 메일을 제공할 때만 기록합니다. 메일 제목·받는 사람·메일 내용은 담지 않습니다. 알림 발송 기록은 만든 지 30일, 보고서 발송 기록은 45일이 지나면 매일 한 번 도는 정리 작업이 지우고, 그 메일의 데이터를 삭제하거나 계정을 삭제해도 지웁니다.
링크 클릭 알림 발송 기록(수신자별 식별값, 링크 번호, 보낸 시각) 같은 링크 클릭을 알림 메일로 다시 알리지 않기 알림·보고서 메일을 제공할 때 유료 요금제에서 링크 클릭 알림(기본 켬)이 켜져 있으면 클릭 알림을 판정할 때 기록합니다. 알림 메일에 실은 클릭은 보낸 시각과 함께 남기고, 오래됐거나 상한에 닿아 알리지 않기로 한 클릭도 보낸 시각 없이 표지만 남깁니다. 그 메일의 데이터를 삭제하거나 계정을 삭제하면 지웁니다. 기간으로 지우는 정리는 없고 그 메일이 있는 동안 보관합니다.
답장 확인 기록(메일 식별값, 받는 사람 사본 식별값, 확인 방법, 답장 시각)과 받은편지함 점검 진행 시각(계정, 어디까지 읽었는지) 무응답 알림과 웹 상세의 답장 확인 표시, 같은 구간을 다시 읽지 않기 무응답 알림을 켠 유료 요금제(체험 포함) 계정에서만 기록합니다. 읽은 메일의 본문·제목·보낸 사람·Gmail 메시지 ID는 담지 않습니다. 확인 방법은 보낸 메일의 Message-ID 인용, 인용된 추적 이미지 주소, 제목과 보낸 사람으로 하는 추정 가운데 하나입니다. 답장 확인 기록은 그 메일의 데이터를 삭제하면, 점검 진행 시각은 계정을 삭제하면 지웁니다. 기간으로 지우는 정리는 없고 그 메일과 계정이 있는 동안 보관합니다.
계정, 세션, 확장 연결 정보 로그인 유지와 확장 연결 비밀값은 원문 없이 해시만 저장합니다. 웹 세션은 마지막 사용 뒤 14일, 로그인 뒤 최대 30일, 확장 인증값은 한 세대 30일(24시간마다 회전하며 쓰지 않으면 만료), 확장 연결용 1회용 코드는 120초, 로그인 진행 기록은 10분 동안 유효합니다. 만료된 웹 세션, 확장 인증값, 1회용 연결 코드, 로그인 진행 기록은 매일 한 번 도는 정리 작업이 지웁니다(만료 뒤 늦어도 2일 안).
서버 로그 장애 대응 API와 앞단 서버(Caddy), 수집기는 접근 로그를 남기지 않고, 수집기와 API의 오류 로그는 고정 문구만 남깁니다(주소, 제목, 본문, 토큰 없음). MailPip 코드는 수신자의 IP 주소와 User-Agent를 저장하지 않습니다. 다만 호스팅 제공자(Railway)의 플랫폼 로그에는 HTTP 요청마다 요청한 클라이언트 IP 주소, User-Agent, 요청 방식, 경로, 호스트, 응답 상태가 최대 30일 남습니다(호스팅 제공자의 Pro 요금제 보관 기간 기준). 링크 클릭 추적을 제공할 때 링크 이동 요청의 주소에는 목적지 정보가 든 쿼리가 있어, 호스팅 제공자가 요청 주소의 쿼리를 로그에 남기면 목적지 정보도 같은 기간 남을 수 있습니다.

5. 쿠키와 브라우저 저장소

  • 이 안내 사이트의 페이지(홈, 방침, 약관, 쿠키 정책, 개인정보 및 보안 센터)는 쿠키를 설정하지 않고 분석이나 광고 스크립트를 쓰지 않습니다.
  • 웹 앱은 로그인 유지용 쿠키 __Host-MailPip(HttpOnly, Secure, SameSite=Strict, 마지막 사용 뒤 14일, 로그인 뒤 최대 30일)과 Google 로그인 진행 중에만 쓰는 __Host-MailPip-OAuth(10분)만 씁니다. 광고와 분석 쿠키는 없습니다.
  • 확장은 Chrome 확장 저장소(chrome.storage)에 Gmail 계정별 연결 기록과 인증값을 저장합니다. Chrome 동기화를 켠 경우 Chrome이 이 기록을 사용자의 다른 Chrome 기기로 동기화할 수 있습니다.
  • 쿠키의 이름, 목적, 기간과 지우는 방법은 쿠키 정책에 있습니다.

6. Google 사용자 데이터 정책(Limited Use)

MailPip's use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

위 두 문장은 영문 원문 그대로입니다. 첫째 문장의 문구 출처는 Google Cloud 도움말이며, 각 문장의 링크는 해당 정책 문서로 연결됩니다.

MailPip은 Google 사용자 데이터를 사용자에게 보이는 기능(발송, 열람 신호 표시, 보호 확인, 무응답 확인)을 제공하고 개선하는 데만 쓰며, 광고 게재나 광고 분석에 쓰지 않고, 일반 AI/ML 모델의 개발이나 학습에 쓰지 않으며, 판매하지 않습니다.

7. 제3자 제공, 위탁, 판매, 광고

  • 사용자 데이터를 판매하지 않고, 데이터 중개업체에 제공하지 않으며, 광고에 쓰지 않습니다.
  • 서비스 운영에 필요한 인프라는 다음 업체를 씁니다. 호스팅(안내 사이트, 웹 앱, API, 수집기, 데이터 보관)은 Railway(Railway Corporation, 미국 회사)이며 서버는 Southeast Asia(싱가포르) 리전에 있습니다. 첨부와 작성 원문의 임시 보관은 별도 저장 서비스 없이 같은 서버의 볼륨 안, 객체마다 다른 키로 암호화한 보관소를 씁니다. mailpip.app의 도메인 등록과 mailpip.app·approxup.com의 DNS는 Cloudflare입니다. 국외 이전 고지는 12절에 있습니다.
  • 그 밖의 제3자에게는 사용자의 동의가 있거나 법령에 따른 요구가 있는 경우에만 제공합니다. 메일 자체는 사용자의 요청에 따라 Gmail과 수신자의 메일 서비스를 거쳐 전달됩니다.

8. 사람이 데이터를 읽는 경우

MailPip 운영자는 다음 경우를 빼고 Google 사용자 데이터(메일 내용, 수신자, 제목 등)를 사람이 읽지 않습니다. 첫째 사용자의 명시적 동의가 있는 경우, 둘째 버그나 악용 조사 같은 보안 목적에 필요한 경우, 셋째 법령을 지키기 위해 필요한 경우, 넷째 관련 법에 따라 집계하거나 익명화한 데이터를 서비스 내부 운영에 쓰는 경우입니다.

운영 데이터에 접근하는 사람은 운영자 본인으로 한정하고, 접근 경로는 호스팅 제공자(Railway)의 대시보드와 명령줄 도구뿐이며, 접근할 때마다 날짜, 사유(위 네 경우 중 무엇인지), 범위를 기록해 1년 보관합니다. 메일 본문과 첨부는 발송이 끝나면 서버에 남지 않습니다(4절).

9. 보안 조치

  • Google API와 SMTP 연결은 TLS로 하며 인증서와 호스트 이름을 검증합니다.
  • 저장된 refresh token과 첨부·작성 원문 임시 보관소는 AES-256-GCM으로 암호화합니다.
  • 세션, 확장 인증값, 1회용 코드 같은 비밀값은 원문 없이 해시만 저장합니다.
  • Google 로그인은 PKCE, state, nonce와 ID 토큰 검증을 거칩니다.

10. 수신자 안내

MailPip 사용자가 보낸 메일에는 수신자 전용 추적 이미지가 들어 있을 수 있습니다. 메일 앱이 이 이미지를 불러오면 t.approxup.com 서버가 요청이 왔다는 사실과 시각을 기록합니다. MailPip 코드는 수신자의 IP 주소와 브라우저 정보(User-Agent)를 저장하지 않고 열람 신호의 출처 분류에만 씁니다. 다만 호스팅 제공자(Railway)의 플랫폼 로그에는 추적 이미지를 요청한 IP 주소 등이 최대 30일 남습니다(4절의 서버 로그 항목). 이 요청이 사람의 열람인지 메일 앱이나 보안 검사의 자동 요청인지는 확정할 수 없어 "열람 신호"로만 표시합니다. 메일 앱에서 원격 이미지 불러오기를 끄면 이 신호가 생기지 않습니다.

링크 클릭 추적을 제공할 때 MailPip 사용자가 보낸 메일의 일부 링크는 MailPip 이동 서버를 거쳐 원래 주소로 갑니다. 링크 요청이 오면 이동 서버가 수신자별 식별값, 클릭 시각, 링크 번호, 요청 출처 분류만 기록하고 곧바로 원래 주소로 보냅니다. 클릭 시각은 링크 요청이 이동 서버에 도착한 시각입니다. MailPip 코드는 수신자의 IP 주소와 브라우저 정보(User-Agent)를 저장하지 않고 요청 출처 분류에만 씁니다. 다만 호스팅 제공자(Railway)의 플랫폼 로그에는 이 요청의 IP 주소와 User-Agent 등이 최대 30일 남고, 링크 이동 요청 주소에 든 쿼리(목적지 정보)도 로그에 남을 수 있습니다(4절의 서버 로그 항목). 메일 보안 검사나 링크 미리보기가 링크를 열면 사람이 누르지 않아도 신호가 생길 수 있으며, MailPip은 그런 요청을 클릭 수에서 빼려고 분류하지만 완전히 가르지 못해 "클릭 신호"로만 표시합니다. 클릭은 메일을 보낸 뒤 7일 동안만 기록하고, 그 뒤에는 서비스가 운영되고 서명에 쓴 비밀 키가 유효한 동안 링크가 원래 주소로 이동하기만 합니다. 보낸 사람이 유료 요금제에서 링크 클릭 알림을 켜 두었다면 이 클릭 기록이 보낸 사람에게 알림 메일로 전달될 수 있으며, 그 메일에는 클릭된 링크의 호스트만 담깁니다.

MailPip은 메일을 보낸 사용자를 대신해 수신자 데이터를 처리하는 수탁자이고 처리 목적과 수신자는 보낸 사용자가 정하므로, 열람, 정정, 삭제, 처리정지 같은 요청은 먼저 메일을 보낸 사람에게 하십시오. MailPip은 support@mailpip.app으로 받은 요청을 보낸 사용자에게 전달하고 처리를 돕습니다. 열람이나 정정 같은 요청에 응하는 일은 결국 보낸 사용자에게 달려 있습니다.

보낸 사용자는 웹 앱의 이메일 추적에서 메일 하나의 데이터를 "이메일 데이터 삭제"로 지울 수 있으며, 그러면 그 메일의 수신자 주소와 제목 같은 메시지 정보가 바로 지워지고 열람 신호 기록은 이어서 정리 작업이 지웁니다.

보낸 사용자를 거치지 않고 MailPip에 직접 삭제나 처리정지를 요청할 수도 있습니다. 위에 적은 지원 주소로 받은 요청은 운영자가 처리합니다. 운영자는 그 주소가 든 메일의 데이터를 MailPip을 쓰는 모든 계정에서 메일 단위로(계정 전체가 아니라 그 메일만) 지우고 그 주소로 보내는 메일의 추적을 멈추며, 요청을 받은 날부터 30일 안에 처리합니다.

11. 삭제, 연결 해제, 권리 행사

  • Gmail 연결 해제. 웹 앱의 발신자 연결 화면에서 해제하면 MailPip 서버의 refresh token 암호문을 먼저 지우고, 이어서 Gmail 필터와 라벨을 차례로 지운 뒤 refresh token의 폐기를 Google에 요청합니다. Google 쪽 정리는 실패하더라도 해제는 되돌려지지 않습니다.
  • 계정 삭제. 웹 앱의 "계정 삭제"는 MailPip 계정, 키와 세션, 확장 연결, Google 계정 연결, 연결된 Gmail 권한(필터와 라벨 정리, 토큰 폐기 포함), 요금제 값, 체험 기간, 마지막 사용 시각, 잠금 표시를 누른 횟수, 메시지 정보를 바로 삭제하며 되돌릴 수 없습니다. 다만 체험 사용 기록(Google 계정 식별값을 해시한 값과 기록한 시각)은 체험 반복을 막으려고 지우지 않습니다(4절). Google 쪽 정리가 일부 실패하면 웹 앱이 알려 주고 Google 계정 설정에서 직접 확인하도록 안내합니다.
  • 보내는 중인 메일이 있으면 발송 취소를 요청하고 끝난 뒤 삭제를 마칩니다. 열람 신호 기록은 매일 한 번 도는 정리 작업이 지우며 삭제 뒤 늦어도 2일 안에 지워집니다.
  • 1년 넘게 이용하지 않은 무료 계정의 정리. 무료 요금제 계정 가운데 마지막 사용 시각(4절)과 추적 메일을 준비한 시각이 모두 1년(365일) 넘게 지난 계정은 매일 한 번 도는 정리 작업이 웹 앱의 "계정 삭제"와 같은 범위로 지웁니다. 연결된 Gmail의 MailPip 필터와 라벨을 해제하고 Google 접근 권한을 폐기하는 것도 같으며(Google 쪽 정리가 실패해도 삭제는 되돌려지지 않습니다), 열람 신호와 링크 클릭 기록은 같은 날 정리 작업이 지웁니다. 유료 요금제와 체험 중인 계정은 이 정리의 대상이 아닙니다. 무료 요금제에는 메일을 보내지 않으므로 지우기 전에 알리는 메일은 보내지 않습니다. 같은 Google 계정으로 다시 가입하면 새 계정이 만들어지고 체험은 다시 받지 않습니다. 운영자가 이용을 정지한 계정은 정지 뒤 1년이 지나면 요금제와 관계없이 같은 범위로 지웁니다.
  • Google 계정에서 직접 철회. Google 계정 설정의 "서드파티 앱 및 서비스"에서 MailPip의 접근 권한을 삭제할 수 있습니다. 이 경우 MailPip은 다음 발송 때 권한이 없음을 확인하고 저장된 refresh token 암호문을 비우며, 웹 앱이 다시 연결하도록 안내합니다.
  • 확장 제거. 확장을 제거하면 안내 페이지가 열립니다. 서버의 확장 인증값은 쓰지 않으면 30일 안에 만료됩니다. 데이터까지 지우려면 웹 앱에서 계정을 삭제하십시오.
  • 메일 하나의 데이터 삭제. 웹 앱의 이메일 추적에서 메일 줄 끝의 ⋯ 메뉴로 "이메일 데이터 삭제"를 고르면 그 메일의 메시지 정보를 바로 지우고 열람 신호 기록은 이어서 정리 작업이 지웁니다. Gmail에 있는 메일은 지워지지 않으며, 발송이 진행 중인 메일은 끝난 뒤에 지울 수 있습니다.
  • 링크 주소와 링크 기록의 삭제. 링크 클릭 추적을 제공할 때, 메일 하나의 데이터를 삭제하면 그 메일의 본문 링크 주소를 바로 지우고 링크 클릭 기록은 열람 신호 기록처럼 이어서 정리 작업이 지웁니다. 링크 서명 기록은 그 메일과의 연결을 바로 끊어 메일 식별값을 지우고 계정 단위 횟수만 남기며(발송이 진행 중인 메일은 끝난 뒤에 지울 수 있습니다), 서명한 지 35일 뒤에 지웁니다. 계정을 삭제하면 링크 주소와 서명 기록을 바로 지우고 링크 클릭 기록은 열람 신호 기록처럼 늦어도 2일 안에 지웁니다.
  • 알림·보고서 메일 관련 기록의 삭제. 알림·보고서 메일을 제공할 때, 메일 하나의 데이터를 삭제하면 그 메일의 알림 발송 기록, 메일별 알림 끄기, 링크 클릭 알림 발송 기록을 지우고, 계정을 삭제하면 보고서 발송 기록도 지웁니다. 알림 발송 기록은 30일, 보고서 발송 기록은 45일이 지나면 정리 작업이 지웁니다. 알림 설정은 계정을 삭제하면 지우고, 무응답 알림을 켠 유료 요금제(체험 포함) 계정의 답장 확인 기록은 메일 하나의 데이터를 삭제하면, 받은편지함 점검 진행 시각은 계정을 삭제하면 지웁니다. 알림 메일을 더 받고 싶지 않으면 메일의 끄기 링크나 웹 앱의 알림 설정에서 끌 수 있습니다.
  • 메일별 알림 선택과 기본 추적 설정의 삭제. 메일 하나의 데이터를 삭제하면 그 메일의 메일별 알림 선택을 바로 지우고, 계정을 삭제하면 메일별 알림 선택과 기본 추적 설정을 모두 지웁니다. 기간으로 지우는 정리는 없습니다.
  • 내 데이터 내려받기. 웹 앱 설정 및 계정의 개인정보 구역에서 보낸 모든 이메일의 제목, 발송 시각, 수신자와 열람 정보를 CSV 파일로 내려받을 수 있습니다. 유료 요금제(체험 포함)의 CSV에는 열람 신호 수와 마지막 신호가, 무료 요금제의 CSV에는 열람 여부와 첫 열람 시각만 들어갑니다.
  • 열람, 정정, 삭제, 처리정지 요청. support@mailpip.app으로 요청할 수 있습니다.

13. 방침 변경

방침을 바꾸면 이 페이지의 버전과 시행일을 바꾸고, 웹 앱이 동의를 받을 때 기록하는 약관 버전과 맞춥니다.

MailPip Add to Chrome address TBC

Privacy Policy

MailPip is a Chrome extension and web service that shows per-recipient open signals for emails you send from Gmail. This document explains which information MailPip accesses, what it keeps on its servers, and how you can delete it.

Version
2026-09-28 (draft)
Effective date
To be confirmed: effective date

1. Operator and contact

Operator
To be confirmed: operator name, representative, address
Support and privacy contact
support@mailpip.app
Privacy officer
To be confirmed: name and contact

The information site (home, privacy policy, terms, cookie policy and privacy and security center), the signed-in web app (https://mailpip.app/app), the API (https://mailpip.app/api) and the Google sign-in callback are served under https://mailpip.app. Only the tracking image inside emails is served from https://t.approxup.com.

MailPip's role differs by the kind of data. For data about the user who sends email (account, connections, usage records), MailPip decides the purposes and means of processing and handles it directly as a data controller.

For recipient data of the emails a user sends (recipient address, subject, send time, open signals), MailPip handles it on the user's behalf as a processor, and the user decides the purposes and the recipients. How requests from recipients are handled is in section 10. To be confirmed: legal review (roles)

2. What MailPip does

  • The features of the paid plan apply in the same way while a new account tries them for its first 14 days, so what is described as the paid plan in this policy applies during the trial too. When the trial ends the account switches to the free plan and its records are not deleted. The conditions of the trial are in section 2 of the Terms.
  • On the paid plan, for an email with two or more recipients, when you click Send in Gmail the extension passes the message you are writing (recipients, subject, body, attachments) to the MailPip server, and the server sends it on your behalf through Gmail SMTP (smtp.gmail.com) using your Google authorization.
  • On the paid plan, MailPip creates a separate copy for each recipient, and each copy contains a tracking image (1x1) unique to that recipient. When the recipient's mail app loads the image, an "open signal" is recorded and shown per recipient in the web app.
  • An email with only one recipient, and an email in an exceptional case such as Gmail confidential mode or more than 50 recipients, is sent by Gmail itself from your account after the extension inserts only a tracking image into the compose window. In that case the server receives only the subject, the recipient display value and a preparation identifier created by the extension, and does not receive the body or attachments. The secret token in the tracking image address is created by the server from that identifier, and the server stores only a hash of the token. Only for an email that has link click tracking turned on when sending starts, the extension sends the link addresses and link texts of the body (up to 40 pairs) of an email that Gmail sends directly, except in exceptional cases (they may be attached again to a retry or cancel request for the same email), and the server stores only the signed link addresses among them (up to 20). The server uses the link text only to tell unsubscribe links apart and does not store it (section 4). If it is off when sending starts, this information is not sent, and link information received while it is off is not stored. For an email whose email alert choices you changed from the starting values in the compose window, the extension sends, in a separate request right after sending, only the email identifier (a value created by MailPip) and, for each kind you changed, on or off to the server. It sends nothing for an email with tracking turned off or for an email you did not change, and the desktop notification choice is not sent to the server.
  • On the free plan, even with two or more recipients, Gmail sends it directly from your account as above, and only one tracking image goes into each email. In that case the server receives the subject, the recipient display value and a preparation identifier and, in addition, the recipient address list the extension reports (the addresses and roles of the To and Cc recipients, up to 100, excluding Bcc), and it does not receive the body or attachments. The address list is used only to match the open mark (✓✓) in your Gmail Sent folder to that email, and open signals are recorded per email only, so they are not told apart by recipient. Only for an email that has link click tracking turned on when sending starts, the extension sends the link addresses and link texts of the body (up to 40 pairs) of an email that Gmail sends directly, except in exceptional cases (they may be attached again to a retry or cancel request for the same email), and the server stores only the signed link addresses among them (up to 20). The server uses the link text only to tell unsubscribe links apart and does not store it (section 4). If it is off when sending starts, this information is not sent, and link information received while it is off is not stored. For an email whose email alert choices you changed from the starting values in the compose window, the extension sends, in a separate request right after sending, only the email identifier (a value created by MailPip) and, for each kind you changed, on or off to the server. It sends nothing for an email with tracking turned off or for an email you did not change, and the desktop notification choice is not sent to the server.
  • When link click tracking is offered, the extension or the server replaces the links in the body (http and https addresses, up to 20 per email) with signed addresses that go through the MailPip redirect server. Link click tracking is on when MailPip offers it and the account's link tracking setting (on by default) is on; the extension checks this when sending starts, and while it is off, it neither sends separate link pairs of the body to the server nor replaces the links. If tracking is turned off after sending started, the link pairs already collected may be attached again to a retry or cancel request for the same email, but the server does not store link information received while it is off. For an email with only one recipient, or any email on the free plan, the extension replaces the links in the compose window just before sending, and for an email with two or more recipients on the paid plan the server replaces them in each per-recipient copy. A scheduled send, an email in Gmail confidential mode, an email with more than 50 recipients on the paid plan, an email that contains a Drive file chip, and other exceptional emails that are sent with only a tracking image, as well as an email with tracking turned off, do not get their links replaced. MailPip does not replace quoted text, the Gmail signature, links that look like unsubscribe links, MailPip's own addresses, IP addresses, or addresses that contain a value named like a token or a password. The copy of the email that the server sends to the sender keeps the original links, but an email that Gmail sends directly keeps the signed addresses in the Sent folder copy as well. So when the sender clicks a signed link in their own email in the Gmail page, the extension opens the original address in a new tab without going through the MailPip server and no click is recorded. This does not work on a device or browser without the extension, on the screen of a disconnected account, on the screen of another Gmail account than the one that made the link, in a new tab opened from the right-click menu, or from a copied address.
  • To show open signals in the Gmail screen, the extension receives your message list from the MailPip server and matches it with the Gmail screen on your device, and does not send the Gmail message list or contents to the server.
  • When desktop open-signal notifications are on (default on), a notification shows the email subject and the recipient address, and the operating system's notification center may display and keep it; the notification settings and the list of emails with notifications turned off are stored only in the browser on this device, and the comparison baseline and notification click information are kept only in temporary storage on this device that disappears when the browser is closed, and none of it is sent to the server. If you turned off only the open alert or only the link click alert for an email in the MailPip menu of the compose window, the identifier of that email and the kinds turned off are also stored only inside the browser on this device and are not sent to the server.
  • For an email whose email alert choices you changed in the compose window, the extension keeps the choice (the Gmail account address, the email identifier, the choice per alert kind, the time it was recorded and processing flags such as the number of attempts) inside the browser on this device, up to 50 records, until it has been sent to the server. It deletes the record after sending; if sending failed it sends again when the extension starts again, and a record that is more than 10 minutes old is not sent to the server and is discarded. A failure record kept when there is nowhere to tell you that saving failed (the Gmail account address, the email identifier if known, the time, up to 20 records) is also discarded once it is more than 10 minutes old.
  • While a Gmail tab is open, the interval at which the extension fetches the open-status list of your sent emails from the server is set by the server: 150 seconds on the free plan, 60 seconds on the paid plan (trial included). The open marks in the Gmail screen and desktop notifications are refreshed at that interval, so on the free plan a desktop notification can arrive a few minutes late, and the recording of open signals itself is not delayed.
  • When you press a lock mark (a mark for something the paid plan shows) on the free plan, in the web app or on the Gmail open card, the extension or the web app sends only which kind of mark you pressed (opened more than once, who opened, alerts, link clicks, reports, other) to the server, which counts the number of presses and the time for each kind. No email, recipient or open content is sent, and the count is stored in "Lock mark presses" in section 4.
  • When alert and report emails are offered, MailPip sends, according to your alert settings (defaults included), alert emails (first open signal, unopened, repeated or renewed opens, link clicks, no reply confirmed) and report emails (daily, weekly and monthly) to the email address of the Google account you signed in with. Alert and report emails are available only on the paid plan (trial included) and are not sent on the free plan. The no-reply alert applies only to accounts that turned on the inbox reply check in section 3. An alert email contains the subject of the original email (up to 60 characters), the recipient display values (up to 3 recipients), the signal time (in your account's time zone), for a link click alert the host of the clicked link (no path or query), links to the web detail, the alert settings, a support notice and signed turn-off links. A report email contains only numbers such as the number of emails sent, recipients and emails with an observed signal, a link to the web performance page, the signed turn-off link of that report, a link to the alert settings and a support notice, and has no recipient addresses or subjects. These emails have no tracking image, remote image or click tracking. The turn-off links are signed addresses (valid for 90 days), and both emails carry a List-Unsubscribe header (turn off with one click): in an alert email it is the same as the "Turn off all alert emails" link in the body, and in a report email it is the turn-off link of that report. These emails are not sent through your Gmail but from a MailPip sender address through an external email delivery service (SMTP).
  • On the paid plan, the email alert kinds (first open, repeated opens, open after a long time, link click, unopened, no reply) can be set for each email, and the starting values are your account's alert settings. Any kind can be turned off for this email only, or turned on for this email only even when the account has it off. The time for unopened and no reply is the time set in the account; when the account has it off, unopened is 24 hours and no reply is 72 hours, and a kind cannot be newly turned on for an email whose time has already passed. When you turn on no reply for an email, the replies to that email are checked in your inbox (section 3). You choose in the MailPip menu of the Gmail compose window ("Get notified"), on the MailPip card of a sent email ("Get notified if no reply"), or under "Alert kinds for this email" in the email detail of the web app. The server stores only the email identifier, the alert kind and on or off, and stores no time (section 4).
  • If you turn off "Track emails by default" in your account (web app Settings > Tracking, on by default), a new email that you have not turned tracking on for in the compose window gets no tracking image and is sent by Gmail as it is, and no information about that email is sent to the server (a compose window that already holds a tracking image is excluded). You can turn tracking back on for an individual email in the MailPip menu of the compose window ("Track opens of this email"). This setting does not depend on the plan.

3. Google user data we access, and why

MailPip requests the permissions below together when you sign in with Google. It never receives your account password.

openid, email

Purpose
Sign-in and account identification
What MailPip does
Receives your Google-verified email address and account identifier (sub) and links them to your MailPip account.
What MailPip does not do
Does not receive your password.

https://mail.google.com/ (full Gmail access)

Purpose
Sending on your behalf, checking Sent-folder protection and checking replies for no-reply alerts
What MailPip does
  • On the paid plan, for an email with two or more recipients, sends through Gmail SMTP (XOAUTH2). It first sends a copy addressed only to you (without a tracking image) so that this copy is the one kept in your Sent folder, then sends the per-recipient copies.
  • Right after sending, it finds the one message it just sent by Message-ID and reads only its label list to confirm that the copy without a tracking image was kept (read-only, without reading the body or raw headers). It stores only the result (applied, not applied, unknown), not message IDs or labels.
  • Creates one hidden label named "MailPip 자기 사본" and deletes it when you disconnect.
  • Only for accounts on the paid plan (trial included) that have turned on no-reply alerts (off by default), the server checks the mail that arrives in your Gmail inbox every 15 minutes with read-only Gmail API requests (GET). It reads only accounts that have email to watch, and only from the time the watched email was registered, going back up to 7 days. It first receives a list of mail in the inbox without mail that has the Sent label, emails you sent yourself and MailPip self-addressed copies, in time slices, then reads only the headers (sender, subject, In-Reply-To, References, and Auto-Submitted, Precedence and Content-Type to recognise automatic mail) of each mail and discards automatic replies, bounces and bulk mail and mail from yourself. Only for a mail whose headers (In-Reply-To and References) cannot show that it is a reply to an email you sent, when one of the emails being checked was sent directly by Gmail, the mail has In-Reply-To, and its sender is a recipient of a checked email or its subject is the same (ignoring reply prefixes), the server fetches the full message (format=full) and searches only its HTML part for a quoted MailPip tracking image address; it fetches the full message of up to 30 mails per run. It does not store the body, subject, sender or list of the mail it read and does not keep Gmail message or thread IDs; it keeps only a reply record (email, recipient copy, method, reply time) and how far it has read (the check progress time). There are no requests for threads or drafts and no write requests. Some replies are estimated from the subject and sender, so a reply check may not be accurate.
What MailPip does not do
The server does not store the message list or message contents of your inbox and, apart from one case, does not read or analyze them. Only for accounts on the paid plan (trial included) that have turned on no-reply alerts (off by default), on a fixed schedule the server reads the headers of the mail that arrives in the inbox to check whether a message is a reply to an email you sent and, for some mail the headers cannot settle, fetches the full message (format=full) and searches only its HTML part for a quoted tracking marker to match it; it does not store the body or the list of the mail it read, and keeps only a reply record (email, recipient, method, time) and the check progress time. There are no Gmail API calls other than these four, and MailPip does not create, edit or delete messages through the Gmail API.

https://www.googleapis.com/auth/gmail.settings.basic (Gmail basic settings)

Purpose
Managing one filter that keeps self-addressed copies out of your inbox
What MailPip does
Creates one filter. The criteria is list:(self-copy.mailpip.approxup.com), and the actions are skip the inbox, mark as read and apply the label above. MailPip reads the filter list only to check whether its own filter already exists and does not store it, and deletes the filter when you disconnect or delete your account.
What MailPip does not do
Does not read, store or change any other filter or setting (forwarding, vacation responder, signature and so on). If you do not grant this permission, the connection still works and only the filter is not created.

The only information the extension sends from the Gmail page to the MailPip server is the sender address, recipients, subject, body and attachments of the message you are sending, your time zone offset, request identifiers, and, for replies and forwards, the Message-ID and References header values of the original message. The server rejects any other input. Only for an email that has link click tracking turned on when sending starts, the extension sends the link addresses and link texts of the body (up to 40 pairs) of an email that Gmail sends directly, except in exceptional cases (they may be attached again to a retry or cancel request for the same email), and the server stores only the signed link addresses among them (up to 20). The server uses the link text only to tell unsubscribe links apart and does not store it (section 4). If it is off when sending starts, this information is not sent, and link information received while it is off is not stored. For an email whose email alert choices you changed from the starting values in the compose window, the extension sends, in a separate request right after sending, only the email identifier (a value created by MailPip) and, for each kind you changed, on or off to the server. It sends nothing for an email with tracking turned off or for an email you did not change, and the desktop notification choice is not sent to the server.

4. What we keep on our servers, and for how long

Stored items, purpose and retention
InformationPurposeHow it is kept, and for how long
Google account identifier (sub), verified email, terms version and acceptance time Account identification and a record of terms acceptance Kept until you delete your account, then deleted.
Refresh token for Gmail access Sending on your behalf Stored encrypted with AES-256-GCM. Deleted, and revocation requested from Google, when you disconnect or delete your account. If Google reports that you have withdrawn the permission, the ciphertext is cleared. Access tokens are not stored.
Message content as composed (body, inline images) and attachments Temporary holding until sending finishes Held in a temporary store encrypted with a different key per object. Deleted immediately once sending finishes. Uploads that are not used for sending are deleted 15 minutes after last use (24 hours at most), content of a job that stalls after being accepted is deleted within 1 hour, and the content-free deletion record is removed after 24 hours.
Message information (subject, recipient addresses and roles, sender address, send time, send status, SHA-256 of the original) Showing your sent-mail list and open signals Kept while your account exists. It does not include the body or attachment content. It is deleted immediately when you delete your account. For a free-plan account that has gone unused for more than 1 year, this information is also deleted by the cleanup in section 11.
Plan value (free or paid) and when it last changed Telling the plans' features apart, such as history scope, per-recipient tracking, link click tracking and the receipt certificate Kept while your account exists and deleted when you delete your account. An account with no value is treated as free unless a trial is running. Payment is not connected yet, so no payment information is received or stored.
Trial period (start and end time of the trial) Telling whether the 14-day trial is running and switching to the free plan when it ends Recorded when a trial starts and kept while your account exists. The record stays after the trial ends and is deleted when you delete your account.
Trial use record (hash of the Google account identifier and the time it was recorded) Keeping the same Google account from being able to repeat the trial Only a SHA-256 hash of the Google account identifier (sub) with a fixed prefix and the time it was recorded are stored. The hash cannot be turned back into the original identifier, and nothing that links it to an account or an email is stored with it. Because the record exists to stop the trial from being repeated, it is not deleted when you delete your account, and there is no cleanup that deletes it by age.
Last-use time (account, time it was last used) Finding free-plan accounts unused for more than 1 year and deleting them (section 11) Updated once a day when there is a request from the signed-in web app or extension, a rotation or revocation of the extension credential, or a tracked email preparation; only the time is stored, not the content of the request. Kept while your account exists and deleted when you delete your account.
Lock mark presses (account, kind, number of presses, first and last time pressed) Counting which paid features free-plan users are interested in, to adjust the plan setup Holds only which of six kinds (opened more than once, who opened, alerts, link clicks, reports, other) was pressed, with the number of presses and the time; no email, recipient or open content is held. Kept while your account exists and deleted when you delete your account. There is no cleanup that deletes by age.
Recipient address list of a free-plan group email (To and Cc addresses and roles, up to 100 per email, excluding Bcc) Matching the open mark (✓✓) in your Gmail Sent folder to that email. It is not added to contacts or performance by address. It follows the same rules as message information. Kept while your account exists, and deleted together when you use "Delete email data" for that email in the web app or delete your account. For a free-plan account that has gone unused for more than 1 year, this information is also deleted by the cleanup in section 11.
Open signal records (per-recipient identifier, signal time, request-source classification) Showing per-recipient open signals A newly issued tracking image records signals while your account exists (there is no time limit after it is issued). Tracking images already issued follow the same rule. Records are kept while your account exists. On the free plan, all open signals are still stored, and the screen and the downloaded CSV show only the first signal. If you switch to the paid plan, the full open history is shown. When you delete your account, a cleanup job that runs once a day deletes them (within 2 days after deletion). For a free-plan account that has gone unused for more than 1 year, this information is also deleted by the cleanup in section 11. The MailPip collector uses the recipient's IP address and User-Agent only to compute the classification and neither stores nor logs them. The IP address kept in the hosting provider's logs is described in the server logs row below.
Signed link addresses in the body (http and https, up to 20 per email) While link click tracking is offered, showing which link was clicked, link by link, and, if you turn it on on the paid plan, a link click alert email (host of the link only) Stored only while link click tracking is offered. It follows the same rules as message information. Kept while your account exists, and deleted immediately when you use "Delete email data" for that email in the web app or delete your account. For a free-plan account that has gone unused for more than 1 year, this information is also deleted by the cleanup in section 11. The link text is not stored.
Link click records (per-recipient identifier, click time, link number, request-source classification) Showing link click signals and, if you turn it on on the paid plan, a link click alert email (host of the link only) Recorded only while link click tracking is offered. A click is recorded only during the 7 days after the email is sent. After that, while the service is running and the signing secret key is still valid, the link only redirects to the original address. When link click tracking is offered, all link click records are still stored on the free plan, and the screen and the downloaded CSV show only the first click of each link in an email. If you switch to the paid plan, the full click history is shown. A recorded row is kept like open signal records, while the email exists, and a cleanup job that runs once a day deletes it after you delete the data of that email or your account (within 2 days after deletion). For a free-plan account that has gone unused for more than 1 year, this information is also deleted by the cleanup in section 11. The redirect server uses the clicker's IP address and User-Agent only to compute the request-source classification and neither stores nor logs them. What the hosting provider's logs keep is described in the server logs row below.
Link signing records (account, email identifier, signing time, whether cancelled) Preventing abuse of link signing (counting toward the 24-hour cap per account) Recorded only while link click tracking is offered. A record holds neither the link addresses nor email content. It holds an email identifier, which points to the email it was made for, only until that email is deleted. A cleanup job that runs once a day deletes a record 35 days after it was made. When you delete one email, the email identifier is deleted immediately to cut the connection to that email and only the account-level count remains (an email that is still being sent can be deleted after it finishes), and the record is deleted when you delete your account.
Alert settings (which alerts are on and their time limits, report settings, time zone, language, alert start time, a random identifier for turn-off links) and the list of emails with alerts turned off Keeping the alert and report email settings and signing turn-off links The first time you open the web app, if no alert settings are stored yet, they are stored once with the time zone and language of your browser as defaults (free plan included), and after that the values you change are stored. The address that alert emails go to is not stored separately: the verified email of the Google account you signed in with is used. Kept while your account exists and deleted when you delete your account. The list of emails with alerts turned off for individual emails (email identifiers) is deleted when you delete the data of that email.
Per-email alert choices (email identifier, alert kind, on or off; no time) Turning an alert kind on or off for one email only, differently from the account's alert settings Stored only when you change an alert kind for an email. No time is stored. Kept while the account exists, and deleted at once when you delete that email's data or delete the account. Choosing "follow the account" deletes the row for that kind. There is no time-based cleanup.
Default tracking setting (account, on or off, time of change) Deciding whether new emails are tracked by default ("Track emails by default") Recorded when you save the setting in the web app; it does not depend on the plan. With no saved setting, tracking is treated as on. Kept while the account exists and deleted when you delete the account. There is no time-based cleanup.
Alert and report send records (alerts: email identifier, alert kind, batch key (per-recipient identifier or date), sent-email reference, status, time / reports: account, report kind, period, status, time) Not sending the same alert or report again (duplicate prevention) and checking the send status Recorded only while alert and report emails are offered. They hold neither the email subject, recipients nor content. A cleanup job that runs once a day deletes an alert send record 30 days after it was made and a report send record after 45 days, and they are also deleted when you delete the data of that email or your account.
Link click alert send records (per-recipient identifier, link number, time sent) Not telling you about the same link click again in an alert email When alert and report emails are offered, recorded when a link click alert is decided on the paid plan, if link click alerts (on by default) are on. A click put into an alert email is kept with the time it was sent, and clicks it decided not to tell you about (because they were too old or a cap was reached) are kept with only a marker and no sent time. Deleted when you delete the data of that email or your account. There is no cleanup by age: it is kept while that email exists.
Reply records (email identifier, recipient copy identifier, method, reply time) and the inbox check progress time (account, how far it has read) The no-reply alert and the reply mark in the web detail, and not reading the same period again Recorded only for accounts on the paid plan (trial included) that have turned on no-reply alerts. They hold neither the body, subject, sender nor Gmail message ID of the mail that was read. The method is one of: a quote of the Message-ID of the email you sent, a quoted tracking image address, or an estimate from the subject and sender. Reply records are deleted when you delete the data of that email, and the check progress time when you delete your account. There is no cleanup by age: they are kept while that email and your account exist.
Account, session and extension connection data Keeping you signed in and connecting the extension Secret values are stored only as hashes, never as the original. A web session is valid for 14 days after last use and at most 30 days after sign-in, an extension credential generation for 30 days (rotated every 24 hours and expiring if unused), the one-time extension link code for 120 seconds, and a sign-in attempt record for 10 minutes. Expired web sessions, extension credentials, one-time connection codes and sign-in attempt records are deleted by a cleanup job that runs once a day (within 2 days after they expire).
Server logs Troubleshooting The API, the front-end server (Caddy) and the collector keep no access log, and error logs from the collector and API contain only fixed messages (no addresses, subjects, bodies or tokens). MailPip's code does not store the recipient's IP address or User-Agent. However, the platform logs of the hosting provider (Railway) keep, for each HTTP request, the requesting client IP address, User-Agent, method, path, host and response status for up to 30 days (the retention period of the provider's Pro plan). While link click tracking is offered, the request address of a link redirect carries a query that holds the destination, so if the hosting provider keeps the query of the request address in its logs, the destination may remain for the same period.

5. Cookies and browser storage

  • The pages of this information site (home, privacy policy, terms, cookie policy, privacy and security center) set no cookies and use no analytics or advertising scripts.
  • The web app uses only the sign-in cookie __Host-MailPip (HttpOnly, Secure, SameSite=Strict, 14 days after last use, at most 30 days after sign-in) and __Host-MailPip-OAuth (10 minutes), which is used only while Google sign-in is in progress. There are no advertising or analytics cookies.
  • The extension stores a per-Gmail-account connection record and credential in Chrome extension storage (chrome.storage). If Chrome Sync is on, Chrome may sync this record to your other Chrome devices.
  • The names, purposes and lifetimes of cookies and how to delete them are in the Cookie Policy.

6. Google user data policy (Limited Use)

MailPip's use of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

The use of information received from Google APIs will adhere to the Chrome Web Store User Data Policy, including the Limited Use requirements.

The two sentences above are quoted word for word. The wording of the first sentence comes from Google Cloud Help, and the link in each sentence goes to the policy document it refers to.

MailPip uses Google user data only to provide and improve the user-facing features (sending, showing open signals, protection checks, no-reply checks). It does not use it for serving or analyzing advertisements, does not use it to develop or train generalized AI or ML models, and does not sell it.

7. Sharing, processors, sale, advertising

  • MailPip does not sell user data, does not provide it to data brokers, and does not use it for advertising.
  • The infrastructure used to run the service is provided by the following companies. Hosting (information site, web app, API, collector and data storage) is Railway (Railway Corporation, a US company), and the server is in the Southeast Asia (Singapore) region. Temporary storage of attachments and message content as composed uses no separate storage service: it is a store, encrypted with a different key per object, inside a volume on the same server. Cloudflare provides domain registration for mailpip.app and DNS for mailpip.app and approxup.com. The international transfer notice is in section 12.
  • MailPip provides data to any other third party only with your consent or when required by law. The email itself travels through Gmail and the recipient's mail service at your request.

8. When people read data

MailPip operators do not read Google user data (message content, recipients, subjects and so on) except in these cases. First, when you give explicit consent. Second, when necessary for security purposes, such as investigating bugs or abuse. Third, when necessary to comply with law. Fourth, when data aggregated or anonymized in accordance with applicable law is used for internal operations of the service.

Only the operator personally has access to operating data, the only access routes are the dashboard and command-line tool of the hosting provider (Railway), and every access is recorded with its date, reason (which of the four cases above) and scope and kept for 1 year. Message bodies and attachments do not remain on the server once sending finishes (see section 4).

9. Security measures

  • Connections to Google APIs and SMTP use TLS with certificate and host name verification.
  • The stored refresh token and the temporary store for message content and attachments are encrypted with AES-256-GCM.
  • Secret values such as sessions, extension credentials and one-time codes are stored only as hashes, never as the original.
  • Google sign-in uses PKCE, state, nonce and ID token verification.

10. Notice for email recipients

Emails sent by MailPip users may contain a tracking image unique to each recipient. When a mail app loads this image, the t.approxup.com server records that a request arrived and when. MailPip's code does not store the recipient's IP address or browser information (User-Agent) and uses them only to classify the request source of an open signal. However, the platform logs of the hosting provider (Railway) keep the IP address that requested the tracking image, among other details, for up to 30 days (see the server logs row in section 4). It cannot tell whether a request is a person opening the email or an automatic request from a mail app or security scan, so it shows only an "open signal". If you turn off loading of remote images in your mail app, no such signal is generated.

When link click tracking is offered, some links in emails sent by MailPip users go through the MailPip redirect server to the original address. When a link request arrives, the redirect server records only the per-recipient identifier, click time, link number and request-source classification and sends the person straight to the original address. The click time is the time the link request reached the redirect server. MailPip's code does not store the recipient's IP address or browser information (User-Agent) and uses them only to classify the request source. However, the platform logs of the hosting provider (Railway) keep the IP address, User-Agent and other details of this request for up to 30 days, and the query in the link's request address, which holds the destination, may also remain in those logs (see the server logs row in section 4). If an email security scan or a link preview opens a link, a signal can be generated even though no person clicked it; MailPip classifies such requests so that it can leave them out of the click count, but it cannot tell them apart with certainty, so it shows only a "click signal". A click is recorded only during the 7 days after the email is sent, and after that, while the service is running and the signing secret key is still valid, the link only redirects to the original address. If the sender has turned on link click alerts on the paid plan, this click record may be passed on to the sender in an alert email, which contains only the host of the clicked link.

MailPip is the processor that handles recipient data on behalf of the user who sent the email, and the sending user decides the purposes of the processing and the recipients, so please first ask the person who sent you the email for access, correction, deletion or suspension of processing. MailPip forwards a request it receives at support@mailpip.app to the sending user and helps with handling it. Responding to a request for access or correction ultimately depends on the sending user.

In Email tracking in the web app, the sending user can delete the data of one email with "Delete email data". Message information such as the recipient address and subject is then deleted immediately, and the open signal records are deleted by a cleanup job that follows.

You can also ask MailPip directly, without going through the sending user, to delete data or stop processing. The operator handles a request received at the support address above. The operator deletes the data of the emails that contain that address in every account that uses MailPip (per email, not the whole account) and stops tracking the emails sent to that address, and completes this within 30 days of receiving the request.

11. Deletion, disconnecting, your rights

  • Disconnect Gmail. Disconnecting on the sender connection screen of the web app first deletes the refresh token ciphertext on the MailPip server, then deletes the Gmail filter and the label in that order, and then asks Google to revoke the refresh token. The disconnection is not undone if part of the Google-side cleanup fails.
  • Delete your account. "Delete account" in the web app deletes your MailPip account, keys and sessions, extension connections, the link to your Google account, the connected Gmail authorization (including filter and label cleanup and token revocation), your plan value, your trial period, your last-use time, your lock mark presses and your message information immediately. It cannot be undone. Only the trial use record (the hash of the Google account identifier and the time it was recorded) is not deleted, to stop the trial from being repeated (section 4). If part of the Google-side cleanup fails, the web app tells you and asks you to check in your Google Account settings.
  • If a message is being sent, MailPip requests that the send be cancelled and finishes the deletion afterwards. Open signal records are deleted by a cleanup job that runs once a day, within 2 days after you delete your account at the latest.
  • Cleanup of free-plan accounts unused for more than 1 year. A free-plan account whose last-use time (section 4) and the time you last prepared a tracked email are both more than 1 year (365 days) ago is deleted by a cleanup job that runs once a day, with the same scope as "Delete account" in the web app. The cleanup also releases the MailPip filter and label in the connected Gmail and revokes the Google access (if the cleanup on Google's side fails, the deletion is not reversed), and the open signal and link click records are deleted by the cleanup job the same day. Accounts on the paid plan and accounts in a trial are not covered by this cleanup. No email is sent on the free plan, so no email is sent to warn you before the deletion. Signing up again with the same Google account creates a new account and does not give a new trial. An account the operator has suspended is deleted, whatever its plan, once 1 year has passed since the suspension, with the same scope.
  • Withdraw from your Google Account. You can remove MailPip's access under "Third-party apps and services" in your Google Account settings. After that, MailPip finds out at the next send that the permission is gone, clears the stored refresh token ciphertext, and the web app asks you to reconnect.
  • Uninstall the extension. Removing the extension opens a goodbye page. Extension credentials on the server expire within 30 days if unused. To delete your data as well, delete your account in the web app.
  • Delete the data of one email. In Email tracking in the web app, choose "Delete email data" from the ⋯ menu at the end of the email's row. The message information of that email is deleted immediately and the open signal records are deleted by a cleanup job that follows. The email in Gmail is not deleted, and an email that is still being sent can be deleted after it finishes.
  • Deleting link addresses and link records. When link click tracking is offered, deleting the data of one email immediately deletes that email's link addresses in the body, and the link click records are deleted by the cleanup job that follows, as with open signal records. The link signing record keeps only an account-level count: its connection to that email is cut immediately by deleting the email identifier (an email that is still being sent can be deleted after it finishes), and the record is deleted 35 days after signing. When you delete your account, the link addresses and the signing records are deleted immediately and the link click records are deleted, like open signal records, within 2 days at the latest.
  • Deleting records of alert and report emails. When alert and report emails are offered, deleting the data of one email deletes that email's alert send records, its entry in the list of emails with alerts turned off for individual emails and its link click alert send records, and when you delete your account, report send records are deleted too. Alert send records are deleted by the cleanup job after 30 days and report send records after 45 days. Alert settings are deleted when you delete your account; the reply records of accounts on the paid plan (trial included) that have turned on no-reply alerts are deleted when you delete the data of an email, and the inbox check progress time when you delete your account. If you do not want to receive alert emails any more, you can turn them off with the turn-off link in the email or in the alert settings of the web app.
  • Deleting per-email alert choices and the default tracking setting. When you delete the data of one email, its per-email alert choices are deleted at once; when you delete the account, the per-email alert choices and the default tracking setting are deleted. There is no time-based cleanup.
  • Download your data. In the privacy section of Settings and account in the web app, you can download the subject, send time, recipients and open information of all your sent emails as a CSV file. The CSV of the paid plan (trial included) holds the number of open signals and the last signal, and the CSV of the free plan holds only whether an email was opened and the time of the first open.
  • Access, correction, deletion and suspension requests. You can make them at support@mailpip.app.

13. Changes to this policy

When this policy changes, the version and effective date on this page change too and are matched to the terms version the web app records when it asks for your consent.