MailPip 직원이 제 메일 내용을 볼 수 있나요?

• 메일 본문과 첨부는 발송이 끝나면 서버에 남지 않습니다. 발송 중에는 객체마다 다른 키로 암호화한 임시 보관소에 두며, 발송에 쓰이지 않은 업로드는 마지막 사용 15분 뒤(최대 24시간)에 지웁니다. 링크 클릭 추적을 제공할 때 서명한 본문 링크 주소는 메시지 정보와 함께 보관하고, 메일을 삭제하거나 계정을 삭제하면 지웁니다.
• 서버는 받은편지함의 메일 목록과 본문을 저장하지 않으며, 다음 한 경우를 빼고는 읽거나 분석하지 않습니다. 무응답 알림을 켠 유료 요금제(체험 포함) 계정에 한해(기본 꺼짐) 서버가 정해진 주기로 받은편지함에 들어온 메일 가운데 보낸 메일에 대한 답장인지 확인하기 위해 머리글을 읽고, 머리글로 정할 수 없는 일부 메일은 메일 전체(format=full)를 받아 그중 HTML 본문에서만 인용된 추적 표지를 찾아 대조하며, 읽은 메일의 본문과 목록은 저장하지 않고 남기는 것은 답장 확인 기록(메일·받는 사람·확인 방법·시각)과 점검 진행 시각뿐입니다.
• 사람이 Google 사용자 데이터를 읽는 경우는 네 가지뿐입니다. 사용자의 명시적 동의가 있는 경우, 버그나 악용 조사 같은 보안 목적에 필요한 경우, 법령을 지키기 위해 필요한 경우, 관련 법에 따라 집계하거나 익명화한 데이터를 서비스 내부 운영에 쓰는 경우입니다.
• 운영 데이터에 접근하는 사람은 운영자 본인으로 한정하고, 접근할 때마다 날짜, 사유, 범위를 기록해 1년 보관합니다.

왜 MailPip이 Gmail 권한을 필요로 하나요?

MailPip은 Google 로그인 때 아래 권한을 한 번에 요청합니다. 계정 비밀번호는 받지 않습니다.

• 로그인과 계정 확인 (openid, email). Google이 확인한 이메일 주소와 계정 식별값을 MailPip 계정과 연결합니다.
• 사용자를 대신한 발송 (Gmail 전체 메일 권한). 유료 요금제에서 받는 사람이 둘 이상이면 MailPip 서버가 사용자의 Gmail로 수신자별 사본을 보내고, 사용자 본인에게 가는 사본을 먼저 보내 보낸편지함에 남깁니다. 같은 권한으로 보낸편지함 보호를 확인하고 숨김 라벨 1개를 관리하며, 무응답 알림을 켠 유료 요금제(체험 포함) 계정은 받은편지함에 들어온 답장도 읽기 전용으로 확인합니다(개인정보 처리방침 3절).
• 자기 수신 사본 정리 (Gmail 기본 설정 권한). 자기 수신 사본이 받은편지함에 쌓이지 않게 하는 필터 1개만 만들고 지웁니다. 이 권한을 허용하지 않아도 연결은 되며 필터만 만들어지지 않습니다.

이 권한이 있어도 서버는 받은편지함의 메일을 저장하지 않고 다음 한 경우를 빼고는 읽지 않으며, Gmail API로 메일을 만들거나 고치거나 지우지 않습니다. 무응답 알림을 켠 유료 요금제(체험 포함) 계정에 한해(기본 꺼짐) 서버가 정해진 주기로 받은편지함에 들어온 메일 가운데 보낸 메일에 대한 답장인지 확인하기 위해 머리글을 읽고, 머리글로 정할 수 없는 일부 메일은 메일 전체(format=full)를 받아 그중 HTML 본문에서만 인용된 추적 표지를 찾아 대조하며, 읽은 메일의 본문과 목록은 저장하지 않고 남기는 것은 답장 확인 기록(메일·받는 사람·확인 방법·시각)과 점검 진행 시각뿐입니다. 권한마다 무엇을 하고 하지 않는지는 개인정보 처리방침 3절에 있습니다.

MailPip은 제 데이터를 판매하나요?

• 아니요. 사용자 데이터를 판매하지 않고, 데이터 중개업체에 제공하지 않으며, 광고에 쓰지 않습니다. 일반 AI/ML 모델의 개발이나 학습에도 쓰지 않습니다.
• Google API로 받은 정보는 사용자에게 보이는 기능(발송, 열람 신호 표시, 보호 확인, 무응답 확인)을 제공하고 개선하는 데만 씁니다. Limited Use 고지의 원문은 개인정보 처리방침 6절에 있습니다.

내 데이터는 어디에, 어떻게 보관되나요?

• 서비스를 운영하는 호스팅은 Railway(Railway Corporation, 미국 회사)이며 서버는 Southeast Asia(싱가포르) 리전에 있습니다. Cloudflare는 mailpip.app의 도메인 등록과 mailpip.app·approxup.com의 DNS만 맡습니다.
• MailPip 서버가 대한민국 밖에 있어 국외 이전 고지를 개인정보 처리방침에 표로 두었습니다. 개인정보 처리방침 12절 확인 필요: 법무 검토(국외 이전 고지)
• 저장하는 refresh token은 AES-256-GCM으로 암호화하고, 세션과 확장 인증값 같은 비밀값은 원문 없이 해시만 저장합니다. Google API와 SMTP 연결은 TLS로 하며 인증서와 호스트 이름을 검증합니다.
• 무엇을 얼마나 보관하는지는 개인정보 처리방침 4절의 표에 항목별 목적과 기간으로 있습니다.

Gmail 연결 해제, 계정 삭제, 데이터 삭제는 어떻게 하나요?

• Gmail 연결 해제. 웹 앱의 발신자 연결에서 해제하면 서버의 refresh token 암호문을 먼저 지우고, 이어서 Gmail 필터와 라벨을 지운 뒤 토큰의 폐기를 Google에 요청합니다.
• 계정 삭제. 웹 앱의 설정 및 계정에서 계정을 삭제하면 계정, 키와 세션, 확장 연결, Google 계정 연결, Gmail 권한, 메시지 정보를 바로 지우며 되돌릴 수 없습니다.
• 메일 하나의 데이터 삭제. 이메일 추적에서 메일 줄 끝의 ⋯ 메뉴로 "이메일 데이터 삭제"를 고르면 그 메일의 추적 기록을 지웁니다. Gmail에 있는 메일은 지워지지 않습니다.
• 내 데이터 내려받기. 설정 및 계정의 개인정보 구역에서 보낸 모든 이메일의 제목, 발송 시각, 수신자, 열람 신호 수, 마지막 신호를 CSV로 내려받을 수 있습니다.
• Google 계정에서 직접 철회. Google 계정 설정의 "서드파티 앱 및 서비스"에서 MailPip의 접근 권한을 삭제할 수 있습니다.
• 확장 제거. 확장을 제거하면 Gmail에서 새 메일의 추적이 켜지지 않습니다. 데이터까지 지우려면 웹 앱에서 계정을 삭제하십시오.
• 새 메일의 추적 끄기. 웹 앱 설정 > 추적에서 "기본적으로 이메일 추적"을 끄면 작성창에서 따로 켜지 않은 새 메일은 추적 이미지를 넣지 않고 Gmail이 그대로 보내며, 작성창의 MailPip 메뉴에서 메일마다 다시 켤 수 있습니다.
• 알림 선택과 기본 추적 설정의 삭제. 메일별 알림 선택은 그 메일의 데이터를 삭제하거나 계정을 삭제하면, 기본 추적 설정은 계정을 삭제하면 지웁니다.

자세한 순서와 삭제 범위는 개인정보 처리방침 11절에 있습니다.

메일을 받은 사람은 어떻게 요청하나요?

• MailPip은 수신자 데이터(수신자 주소, 제목, 발송 시각, 열람 신호)를 메일을 보낸 사용자를 대신해 처리하는 수탁자입니다. 처리 목적과 수신자는 보낸 사용자가 정합니다.
• 그래서 열람, 삭제 같은 요청은 먼저 메일을 보낸 사람에게 하십시오. support@mailpip.app으로 받은 요청은 MailPip이 보낸 사용자에게 전달하고 처리를 돕습니다.
• 보낸 사용자는 웹 앱에서 메일 하나의 데이터를 삭제할 수 있습니다.
• 메일 앱에서 원격 이미지 불러오기를 끄면 열람 신호가 생기지 않습니다. 수신자에게 알리는 내용은 개인정보 처리방침 10절에 있습니다.
• 보낸 사용자를 거치지 않고 MailPip에 직접 삭제나 처리정지를 요청할 수도 있습니다. 위에 적은 지원 주소로 받은 요청은 운영자가 처리합니다. 운영자는 그 주소가 든 메일의 데이터를 MailPip을 쓰는 모든 계정에서 메일 단위로(계정 전체가 아니라 그 메일만) 지우고 그 주소로 보내는 메일의 추적을 멈추며, 요청을 받은 날부터 30일 안에 처리합니다.

메일 속 링크를 누르면 어떻게 되나요?

• 링크 클릭 추적을 제공할 때 보낸 메일의 일부 링크는 MailPip 이동 서버를 거쳐 원래 주소로 갑니다. 이동 서버는 수신자별 식별값, 클릭 시각, 링크 번호, 요청 출처 분류만 기록하고 곧바로 원래 주소로 보냅니다. 수신자에게 알리는 내용은 개인정보 처리방침 10절에 있습니다.
• 링크 클릭 추적을 제공할 때 링크 주소에는 MailPip만 아는 비밀 키로 만든 서명이 들어 있습니다. 서명이 없거나 바뀐 주소는 이동하지 않고 안내 화면만 보이므로, 이동 서버를 아무 주소로나 보내는 중계로 쓸 수 없습니다. 서명은 서버가 메일을 준비할 때만 만들며, 수신 거부로 보이는 링크, MailPip 자체 주소, IP 주소, 토큰이나 비밀번호 같은 이름의 값이 든 주소는 서명하지 않습니다.
• 링크 클릭 추적을 제공할 때 이동 서버는 클릭한 사람의 IP 주소와 브라우저 정보(User-Agent)를 저장하지 않고 요청 출처 분류에만 쓰며, 오류 로그에도 고정 문구만 남깁니다. 호스팅 제공자(Railway)의 플랫폼 로그에는 요청한 IP 주소와 User-Agent 등이 최대 30일 남고, 링크 요청 주소의 쿼리(목적지 정보)도 남을 수 있습니다. 무엇을 얼마나 보관하는지는 개인정보 처리방침 4절의 표에 있습니다.
• 링크 클릭 추적을 제공할 때, 약관을 어기거나 다른 사람에게 위험을 주는 링크가 확인되면 운영자가 차단 목록에 올릴 수 있으며, 올린 링크는 더는 이동하지 않습니다. 차단된 링크를 누르면 이동하지 않는다는 안내 화면만 보이고 클릭은 기록되지 않습니다. 이런 링크를 발견하면 아래 신고 주소로 알려 주십시오.

보안 문제는 어디에 신고하나요?

보안 취약점이나 개인정보 침해, 서비스 악용을 발견하면 support@mailpip.app으로 알려 주십시오. 받은 신고는 확인하고 필요한 조치를 합니다. 신고할 때 지켜 주실 점과 선의의 신고자 보호 범위는 이용약관의 책임 있는 보안 취약점 신고에 있습니다.

Can MailPip staff see the content of my email?

• Message bodies and attachments do not remain on the server once sending finishes. While sending, they are held in a temporary store encrypted with a different key per object, and uploads that are not used for sending are deleted 15 minutes after last use (24 hours at most). When link click tracking is offered, the signed link addresses in the body are kept with message information and deleted when you delete the email or your account.
• The server does not store the message list or message contents of your inbox and, apart from one case, does not read or analyze them. Only for accounts on the paid plan (trial included) that have turned on no-reply alerts (off by default), on a fixed schedule the server reads the headers of the mail that arrives in the inbox to check whether a message is a reply to an email you sent and, for some mail the headers cannot settle, fetches the full message (format=full) and searches only its HTML part for a quoted tracking marker to match it; it does not store the body or the list of the mail it read, and keeps only a reply record (email, recipient, method, time) and the check progress time.
• People read Google user data in only four cases. When you give explicit consent, when necessary for security purposes such as investigating bugs or abuse, when necessary to comply with law, and when data aggregated or anonymized in accordance with applicable law is used for internal operations of the service.
• Only the operator personally has access to operating data, and every access is recorded with its date, reason and scope and kept for 1 year.

Why does MailPip need Gmail permissions?

MailPip requests the permissions below together when you sign in with Google. It never receives your account password.

• Sign-in and account identification (openid, email). Your Google-verified email address and account identifier are linked to your MailPip account.
• Sending on your behalf (full Gmail access). On the paid plan, with two or more recipients, the MailPip server sends a separate copy per recipient through your Gmail, and first sends a copy addressed only to you so that it stays in your Sent folder. The same permission is used to check Sent-folder protection, to manage one hidden label and, for accounts on the paid plan (trial included) that turned on no-reply alerts, to check replies in the inbox with read-only requests (section 3 of the Privacy Policy).
• Keeping self-addressed copies out of the inbox (Gmail basic settings). It creates and deletes only one filter. If you do not grant this permission, the connection still works and only the filter is not created.

Even with these permissions, the server does not store the messages in your inbox and, apart from one case, does not read them, and it does not create, edit or delete messages through the Gmail API. Only for accounts on the paid plan (trial included) that have turned on no-reply alerts (off by default), on a fixed schedule the server reads the headers of the mail that arrives in the inbox to check whether a message is a reply to an email you sent and, for some mail the headers cannot settle, fetches the full message (format=full) and searches only its HTML part for a quoted tracking marker to match it; it does not store the body or the list of the mail it read, and keeps only a reply record (email, recipient, method, time) and the check progress time. What each permission does and does not do is in section 3 of the Privacy Policy.

Does MailPip sell my data?

• No. MailPip does not sell user data, does not provide it to data brokers, and does not use it for advertising. It does not use it to develop or train generalized AI or ML models either.
• Information received from Google APIs is used only to provide and improve the user-facing features (sending, showing open signals, protection checks, no-reply checks). The Limited Use disclosures, quoted word for word, are in section 6 of the Privacy Policy.

Where and how is my data kept?

• The infrastructure that runs the service is hosted by Railway (Railway Corporation, a US company), and the server is in the Southeast Asia (Singapore) region. Cloudflare provides domain registration for mailpip.app and DNS for mailpip.app and approxup.com only.
• The MailPip server is located outside the Republic of Korea, so the international transfer notice is given as a table in the Privacy Policy. Section 12 of the Privacy Policy To be confirmed: legal review (international transfer notice)
• The stored refresh token is encrypted with AES-256-GCM, and secret values such as sessions and extension credentials are stored only as hashes, never as the original. Connections to Google APIs and SMTP use TLS with certificate and host name verification.
• What is kept and for how long is listed item by item, with purpose and period, in the table in section 4 of the Privacy Policy.

How do I disconnect Gmail, delete my account or delete data?

• Disconnect Gmail. Disconnecting on the sender connection screen of the web app first deletes the refresh token ciphertext on the server, then deletes the Gmail filter and label, and then asks Google to revoke the token.
• Delete your account. Deleting your account in Settings and account of the web app immediately deletes your account, keys and sessions, extension connections, the link to your Google account, the Gmail authorization and your message information. It cannot be undone.
• Delete the data of one email. In Email tracking, choose "Delete email data" from the ⋯ menu at the end of the email's row to delete that email's tracking record. The email in Gmail is not deleted.
• Download your data. In the privacy section of Settings and account you can download the subject, send time, recipients, number of open signals and last signal of all your sent emails as CSV.
• Withdraw from your Google Account. You can remove MailPip's access under "Third-party apps and services" in your Google Account settings.
• Uninstall the extension. If you remove the extension, tracking is no longer turned on for new emails in Gmail. To delete your data as well, delete your account in the web app.
• Stop tracking new emails. If you turn off "Track emails by default" in the web app under Settings > Tracking, a new email that you have not turned tracking on for in the compose window gets no tracking image and is sent by Gmail as it is, and you can turn tracking back on per email in the MailPip menu of the compose window.
• Deleting alert choices and the default tracking setting. Per-email alert choices are deleted when you delete that email's data or delete the account, and the default tracking setting is deleted when you delete the account.

The exact order and the scope of deletion are in section 11 of the Privacy Policy.

How does someone who received an email make a request?

• MailPip is the processor that handles recipient data (recipient address, subject, send time, open signals) on behalf of the user who sent the email. The purpose of the processing and the recipients are decided by the sending user.
• So please first ask the person who sent you the email for access, deletion and similar requests. A request received at support@mailpip.app is forwarded by MailPip to the sending user, and MailPip helps with handling it.
• The sending user can delete the data of one email in the web app.
• If you turn off loading of remote images in your mail app, no open signal is generated. What recipients are told is in section 10 of the Privacy Policy.
• You can also ask MailPip directly, without going through the sending user, to delete data or stop processing. The operator handles a request received at the support address above. The operator deletes the data of the emails that contain that address in every account that uses MailPip (per email, not the whole account) and stops tracking the emails sent to that address, and completes this within 30 days of receiving the request.

What happens when someone clicks a link in an email?

• When link click tracking is offered, some links in emails you send go through the MailPip redirect server to the original address. The redirect server records only the per-recipient identifier, click time, link number and request-source classification and sends the person straight to the original address. What recipients are told is in section 10 of the Privacy Policy.
• When link click tracking is offered, each link address carries a signature made with a secret key only MailPip knows. An address with no signature, or one that has been altered, is not redirected and only a notice page is shown, so the redirect server cannot be used as a relay that sends people to any address. The signature is made only when the server prepares the email, and MailPip does not sign links that look like unsubscribe links, MailPip's own addresses, IP addresses, or addresses that contain a value named like a token or a password.
• When link click tracking is offered, the redirect server does not store the clicker's IP address and browser information (User-Agent) and uses them only to classify the request source, and its error logs contain only fixed messages. The platform logs of the hosting provider (Railway) keep the requesting IP address, User-Agent and other details for up to 30 days, and the query in the link's request address, which holds the destination, may also remain. What is kept and for how long is in the table in section 4 of the Privacy Policy.
• When link click tracking is offered, if a link that breaks the terms or puts other people at risk is identified, the operator may add it to a block list, and a link on the list is no longer redirected. A person who clicks a blocked link sees only a notice page saying the link does not redirect, and the click is not recorded. If you find such a link, please tell us at the report address below.

Where do I report a security issue?

If you find a security vulnerability, a privacy violation or abuse of the service, please tell us at support@mailpip.app. We review the reports we receive and take the actions that are needed. What we ask of a reporter and the scope of protection for good-faith reporters are in responsible vulnerability disclosure in the Terms of Service.