Jaettu vastuun malli

Tämä Jaettu Vastuun malli varmistaa, että Notion ja sen asiakkaat työskentelevät yhdessä luodakseen turvallisen ja tehokkaan työtilan.

Katso määritellyt termit Notionin MSA- ja DPA-asiakirjoista.

Notion on yhtenäinen työtila, jossa voit ajatella, kirjoittaa ja suunnitella. Koska kyseessä on kaikki-yhdessä työtila, jonka avulla käyttäjät voivat rakentaa omia työkalujaan parhaan työnsä tekemiseen, he luottavat Notioniin ammatillisten ja henkilökohtaisten tietojensa suhteen sekä Yhteydet ja tekoälyominaisuudet kautta pääsyn suhteen muihin järjestelmiin tallennettuihin tietoihin.

Jaettu vastuun malli (SRM) on kehys, joka hahmottelee vastuunjaon palveluntarjoajan ja sen käyttäjien välillä. Se määrittelee selkeästi, mitkä tietoturva- ja operatiiviset tehtävät kukin osapuoli hoitaa.

Tämä asiakirja hahmottelee Notionin ja sen asiakkaiden väliset Jaetut vastuut Notionin järjestelmien, käyttäjätilien ja työtilojen turvallisuuden suojaamisessa ja ylläpitämisessä.

Notionin SRM tarjoaa selkeyttä sekä Notionille että sen asiakkaille siitä, kumpi osapuoli vastaa tietyistä prosesseista, toiminnoista tai hallintakeinoista. Tämä mahdollistaa sen, että Notion voi keskittyä ja ottaa vastuun niistä osa-alueista, joilla voimme parhaiten suojata Notionin järjestelmien luottamuksellisuutta, eheyttä ja tavoitettavuutta, samalla kun tunnistamme, missä asiakkaat ovat paremmassa asemassa suojaamaan omia käyttäjätiliään, työtilojaan ja asiakastietojaan. Kaiken kaikkiaan tämä parantaa Notionin järjestelmien ja käyttäjätilien suojaamisen turvallisuutta ja tehokkuutta.

SRM edistää myös läpinäkyvyyttä Notionin palveluiden toimittamisessa, antaen asiakkaille tiedot, joita he tarvitsevat Notionin arvioimiseen omien riski- ja varmistusprosessiensa puitteissa, sekä tukien sekä Notionia että sen asiakkaita heidän sovellettavien paikallisten, alueellisten, kansallisten ja kansainvälisten säädösten mukaisten velvollisuuksiensa täyttämisessä.

Lyhyesti: Notion vastaa Notion-palvelun arkkitehtuurin rakentamisesta, käytöstä ja suojaamisesta. Asiakkaat vastaavat siitä, miten he määrittävät ja käyttävät kyseistä palvelua, mukaan lukien kirjautumistietojen suojaaminen, pääsyn hallinta työtiloihin ja asiakastietoihin sekä sisältö- ja käyttöpolitiikan ja muiden asiaankuuluvien ehtojen noudattaminen.

Jotkin tässä asiakirjassa kuvatuista vastuista voidaan hoitaa vain asiakkaiden, joilla on korotetut käyttöoikeudet työtilassa tai organisaatiossa, toimesta. Käyttäjän vastuulla on määrittää nämä käyttöoikeudet asianmukaisesti.

Tietyn vastuun täyttämiseen käytettävissä olevat työkalut vaihtelevat tilauspaketin mukaan. Jos ominaisuus on rajoitettu tiettyihin tilauspaketteihin, asiakkaat, joiden tilauspaketteihin kyseinen ominaisuus ei kuulu, ovat edelleen vastuussa taustalla olevasta lopputuloksesta ja heidän tulisi harkita vaihtoehtoisia hallintakeinoja.

Notion tarjoaa todennusmenetelmät ja hallinnolliset kontrollit, jotka määrittävät, miten ihmiset kirjautuvat Notioniin ja miten työtilan käyttöoikeus myönnetään ja poistetaan. Asiakkaat vastaavat organisaatiolleen sopivien kontrollien valinnasta ja määrittämisestä sekä käyttäjätilien käyttöön tarkoitettujen tunnistetietojen suojaamisesta.

Notionin vastuut

• Tarjoa ja ylläpidä todennusmenetelmiä, mukaan lukien sähköposti ja salasana, Google- ja Apple-kirjautuminen sekä SAML 2.0 -kertakirjautuminen Business- ja Enterprise-tilausten työtiloille.

• Tarjoa kaksivaiheinen todennus salasanaa käyttäville käyttäjätileille todennussovelluksen tai tekstiviestikoodin avulla.

• Tarjoa SCIM-rajapinnat, joiden avulla Enterprise-organisaatiot voivat automatisoida käyttäjien luomisen, päivittämisen ja poistamisen identiteetintarjoajastaan.

• Tarjoa hallinnolliset kontrollit, jotka säätelevät Istunnon kestoa, pakotettua uloskirjautumista, salasanan nollausta, käyttäjätilin jäädyttämistä ja domainin vahvistusta.

• Vaadi vahvistettu todiste domainin omistajuudesta ennen kuin domainia voidaan käyttää hallitsemaan sitä, miten sen käyttäjäkunta kirjautuu Notion-palveluun.

• Peruuta käyttäjän käyttöoikeus asiakastietoihin, kun kyseinen käyttäjä poistetaan työtilasta. Tarjoa kontrollit, joiden avulla organisaatio voi lopettaa istuntoja ja nollata tunnistetietoja hallinnoimansa käyttäjäkunnan osalta.

• Ylläpidä vähimpien käyttöoikeuksien periaatetta Notionin omassa infrastruktuurissa ja vaadi Notionin työntekijöitä ja alihankkijoita noudattamaan salassapitovelvollisuuksia.

• Käytä asiakastietoja tukitarkoituksessa vain silloin, kun käyttäjä tai työtilan omistaja on antanut suostumuksensa, ja anna kyseisen suostumuksen vanhentua automaattisesti määritetyn ajan kuluttua.

Käyttäjien vastuut

• Kirjautumistietojen suojaaminen, vahvojen ja yksilöllisten salasanojen käyttäminen sekä uudelleenkäytön välttäminen muissa palveluissa.

• Yksilöllisten käyttäjätilien ylläpitäminen jaettujen käyttäjätilien sijaan sekä kirjautumistietojen jakamatta jättäminen.

• Kaksivaiheisen todennuksen käyttäminen käyttäjätilillä, johon kirjaudutaan salasanalla.

• Tunnistetietojen päivittäminen sisäisen käytännön mukaisesti ja viipymättä, jos ulkoinen tietomurto havaitaan.

• Organisaatiolle sopivien todennusmenetelmien valinta ja määrittäminen, mukaan lukien se, edellytetäänkö kertakirjautumista (SSO).

• Sen varmistaminen, että työtilan käyttöoikeus on rajoitettu vain aiottuihin käyttäjiin ja että käyttöoikeus poistetaan viipymättä, kun joku lähtee tai vaihtaa roolia. Automaattinen käytöstäpoisto edellyttää SCIM:iä; jos se ei ole käytössä, poistaminen on manuaalinen prosessi.

• Istunnon keston asettaminen sisäisen käytännön mukaisesti ja palautusmenettelyn ylläpitäminen identiteetintarjoajan käyttöoikeuden menetyksen varalta.

• Hallitse Notion-tuen käyttöoikeutta käyttäjätiliin tai työtilaan ja peruuta se, kun sitä ei enää tarvita.

Notion tarjoaa käyttöoikeusmallin, joka määrittää, mitä todennettu käyttäjä voi nähdä ja tehdä, sekä hallinnolliset kontrollit, jotka asettavat rajat jakamiselle. Asiakkaat vastaavat siitä, miten kyseistä mallia sovelletaan heidän asiakastietoihinsa sekä siitä, että he tarkistavat käyttöoikeudet.

Notionin vastuut

• Tarjoa käyttöoikeusmalli, joka toimii työtila-, Tiimitila-, sivu- ja tietokantatasolla, mukaan lukien käyttöoikeusryhmät, ja toteuta se johdonmukaisesti koko tuotteessa.

• Tarjoa erilliset käyttöoikeudet jäsenille ja vieraille, jotta ulkoisille yhteistyökumppaneille voidaan myöntää käyttöoikeus tiettyihin asiakastietoihin koko työtilan sijaan.

• Tarjoa hallinnolliset kontrollit, joiden avulla organisaatio voi rajoittaa julkista sivujen jakamista, vieraan käyttöoikeutta, Vie-toimintoa sekä sivujen siirtämistä tai kopioimista muihin työtiloihin.

• Tarjoa ohjausobjektit, jotka säätelevät sitä, kuka voi julkaista asiakastietoja verkossa, mukaan lukien Notion-sivustot, lomakkeet ja /linkit.

• Tarjoa näkyvyystyökaluja, joiden avulla organisaatio voi tunnistaa, kenellä on käyttöoikeus sivulle, mitkä sivut on jaettu ulkoisesti tai julkaistu verkkoon, sekä muuttaa näitä käyttöoikeuksia.

• Kunnioita määritettyjä työtilan käyttöoikeuksia tarjotessasi tekoäly- ja hakuominaisuuksia.

Käyttäjien vastuut

• Määritä asiakasdatalle asianmukainen käyttöoikeustaso ja sovella käyttöoikeuksia sen mukaisesti.

• Päätä, sallitaanko ulkoinen yhteistyö ja julkinen julkaiseminen, ja määritä käytettävissä olevat hallintatyökalut vastaamaan tätä päätöstä.

• Ymmärrä, miten käyttöoikeudet periytyvät. Sivulle myönnetty käyttöoikeus laajenee oletusarvoisesti sen sisällä oleviin alasivuihin, ja useiden reittien kautta myönnetyt käyttöoikeudet ratkeavat korkeimman myönnetyn tason mukaisesti.

• Tarkista käyttöoikeudet säännöllisesti, mukaan lukien työtilan jäsenet, vieraat, käyttöoikeusryhmät, ulkoisesti jaettu asiakasdata ja verkkoon julkaistu asiakasdata.

• Poista käyttöoikeus asiakasdataan, kun yhteistyökumppanin osallistuminen päättyy, mukaan lukien vieraat ja ulkoiset yhteistyökumppanit, joiden käyttöoikeutta ei hallita organisaation identiteetinhallintapalvelun kautta.

• Varmista, että verkkoon julkaistu asiakasdata on tarkoitettu julkiselle yleisölle, ja määritä Hakukoneindeksoinnin kaltaiset asetukset sen mukaisesti.

• Siirrä käyttäjän yksityisesti hallussa olevaa asiakasdataa ennen hänen poistumistaan tai Limited-ikkunan aikana, jolloin siirto on vielä mahdollista. Tämän ikkunan jälkeen yksityinen asiakasdata on yleensä palautuskelvotonta, ja siirtotyökalut ovat käytettävissä vain Enterprise-sopimuksessa.

Notion tallentaa ja käsittelee asiakasdataa asiakkaidensa puolesta ja suojaa sen siirron ja tallennuksen aikana. Asiakkaat päättävät, mitä dataa Notionissa säilytetään, kuinka kauan sitä säilytetään ja mitä lakisääteisiä velvoitteita siihen liittyy.

Notionin vastuut

• Käsittele asiakasdataa pääasiallisen tilauksen, tietojenkäsittelyliitteen ja sovellettavan tietosuojalainsäädännön mukaisesti.

• Salaa tallennettu asiakasdata AES-256-menetelmällä tai vastaavan tai vahvemman suojauksen tarjoavalla alan standardin mukaisella algoritmilla, mukaan lukien pilvitallennustila, tietokantataulukot ja varmuuskopiot, ja salaa siirrettävä data TLS 1.2 -protokollalla tai uudemmalla.

• Ylläpidä ja julkaise ajantasaista listaa alihankkijoista.

• Tarjoa datan sijaintivaihtoehtoja tietyille asiakasdatakategorioille, jolloin kelpoiset organisaatiot voivat valita alueen, jossa kyseinen data tallennetaan.

• Pidättäydy käyttämästä asiakasdataa Notionin koneoppimismallien kouluttamiseen ja kiellä sopimuksellisesti tekoälyyn liittyviä alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.

• Tarjoa toiminnallisuus, jonka avulla asiakkaat voivat käyttää Vie-toimintoa asiakasdatansa viemiseen, säilyttämiseen ja poistamiseen, ja poista asiakasdata sopimuksen päättyessä sopimuksen mukaisesti.

• Tee tietojenkäsittelyliite ja tarvittaessa Business Associate Agreement -sopimus asiakkaiden kanssa, jotka sitä edellyttävät.

Käyttäjien vastuut

• Määritä, mitä dataa on asianmukaista tallentaa Notionissa, ja varmista, että säänneltyä dataa tallennetaan vain silloin, kun tarvittavat sopimukset ja asetukset ovat käytössä.

• Määritä ja sovella säilytyskäytäntöjä ja poista asiakasdata, jota ei enää tarvita.

• Tuotteessa käytettävissä olevien säilytys- ja poistoasetusten määrittäminen sisäisen käytännön mukaisiksi.

• Täydellisten ja tarkkojen käyttäjätilin tietojen toimittaminen ja niiden viipymätön korjaaminen, kun virheitä havaitaan.

• Työtilassa säilytettävän henkilötiedon rekisterinpitäjälle kuuluvien velvollisuuksien täyttäminen, mukaan lukien tietosuojatietojen tarjoaminen yksityishenkilöille, käsittelyn lainmukaisen perusteen määrittäminen ja asiakasdataa koskeviin rekisteröityjen pyyntöihin vastaaminen.

• Sen määrittäminen, tarvitaanko tiettyä datan sijaintialuetta, sen pyytäminen tarvittaessa sekä sen ymmärtäminen, mitkä dataluokat ja mitkä Notion-tuotteet jäävät kyseisen soveltamisalan ulkopuolelle.

• Notionin aliprosessoriluettelon tarkistaminen.

Notion ylläpitää infrastruktuuria, joka pitää palvelun saatavilla, ja ylläpitää kyseisen infrastruktuurin varmuuskopioita palvelun palauttamista varten. Asiakkaat vastaavat oman asiakasdatansa palauttamisesta Notionin tarjoamilla työkaluilla sekä riippumattoman Kopion säilyttämisestä kyseisestä asiakasdatasta, jos heidän omat velvollisuutensa sitä edellyttävät.

Notionin vastuut

• Käytä Notion-palvelua palvelutasosopimuksessa määritettyjen saatavuussitoumusten mukaisesti käyttämällä redundanttia infrastruktuuria useilla saatavuusalueilla.

• Julkaise palvelun tila.

• Ylläpidä automaattisia, salattuja ja valvottuja varmuuskopioita asiakasdatasta.

• Säilytä varmuuskopiot Notionin julkaistun varmuuskopioalueiden kartoituksen mukaisesti valitulle datan sijaintialueelle. Datan sijainti koskee vain määritettyjä asiakasdatan luokkia.

• Ylläpidä ja testaa säännöllisesti katastrofipalautus- ja liiketoiminnan jatkuvuussuunnitelmia.

• Tarjoa tuotteen sisäiset palautustyökalut, mukaan lukien roskakori ja versiohistoria, joiden avulla asiakkaat voivat palauttaa asiakasdatan itse.

• Tarjoa Vie-toiminto, jonka avulla asiakkaat voivat hankkia kopion asiakasdatastaan.

Käyttäjien vastuut

• Yksittäisten sivujen ja asiakasdatan palauttaminen roskakorin ja versiohistorian avulla käyttäjän tilaukseen sovellettavien säilytysaikojen puitteissa.

• Asiakasdatan säilytysasetusten määrittäminen, jos ne ovat käytettävissä, sisäisen käytännön mukaisiksi.

• Asiakasdatan riippumattoman Kopion ylläpitäminen silloin, kun sisäinen käytäntö, sopimusvelvoitteet tai sääntely edellyttävät tuotteen tarjoamaa pidempää säilytysaikaa tai kopion säilyttämistä Notionin ulkopuolella.

• Tuota Vie-toiminnot vaatimusten mukaisella aikataululla ja vahvista niiden täydellisyys. Asiakasdata, johon vieä tekevällä käyttäjätilillä ei ole käyttöoikeutta, ei sisälly Vie-toimintoon.

• Nouta Vie-toiminnon mukaiset tiedostot niin kauan kuin latauslinkki on voimassa.

• Palvelun käyttökatkojen mahdollisuuden huomioiminen osana käyttäjän omia liiketoiminnan jatkuvuusjärjestelyjä.

Mitä Notionin varmuuskopiot ovat ja mitä ne eivät ole

Notionin varmuuskopiot ovat olemassa Notion-palvelun palauttamista varten. Ne eivät ole asiakkaan käytettävissä olevia palautuspisteitä, eikä niitä voi käyttää työtilan palauttamiseen tiettyyn ajanhetkeen. Asiakkaat palauttavat yksittäisen asiakasdatansa itse roskakorin ja versiohistorian avulla. Kun asiakasdata on ylittänyt sovellettavat roskakori- ja säilytysajat, se poistetaan pysyvästi eikä sitä voi palauttaa. Asiakkaiden ei tule luottaa tukeen säilytysmekanismina.

Vie tuottaa siirrettävän kopion asiakasdatasta esimerkiksi HTML-, markdown-, CSV- tai PDF-muodossa, riippuen viennin tyypistä ja Sopimus(tyyppi)stä. Se ei ole täydellinen työtilan varmuuskopio: viedyn asiakasdatan tuominen ei palauta työtilan alkuperäisiä käyttöoikeuksia, asetuksia tai täydellistä konfiguraatiota, ja se saattaa vaatia manuaalista uudelleenjärjestelyä.

Notion luo tietueita työtilan olennaisesta toiminnasta (toiminta) ja asettaa ne organisaation saataville. Asiakkaat vastaavat kyseisten tietueiden tarkistamisesta, niiden säilyttämisestä tarvittaessa ja niiden osoittamien asioiden perusteella toimimisesta.

Notionin vastuut

• Tallenna organisaation työtiloissa tapahtuvat tietoturvaan ja turvallisuuteen liittyvät tapahtumat, mukaan lukien toimija, toiminto, aika ja mahdollisuuksien mukaan IP-osoite.

• Säilytä audit-lokin historiaa tuotteen sisällä määritetyn ajan ja tarjoa Vie- ja suoratoistomekanismit, jotta asiakkaat voivat säilyttää sitä pidempään.

• Tarjoa keino suoratoistaa tapahtumia käyttäjän omaan tietoturvan valvonta-alustaan reaaliajassa ja tue yhteyksiä tietovuotojen estotyökaluihin.

• Valvo Notionin omaa infrastruktuuria, verkkoja ja järjestelmiä haitallisen toiminnan (toiminta) varalta ja ylläpidä kyseisten järjestelmien sisäistä lokitusta.

Käyttäjien vastuut

• Audit-lokin toiminnan tarkistaminen sekä odottamattomalta tai luvattomalta vaikuttavan toiminnan tutkiminen ja siihen reagoiminen.

• Audit-lokin lokitietojen säilyttäminen asiakkaan oman sisäisen käytännön tai säädösten edellyttämän ajan Vie:n tai suoratoiston avulla ennen kuin ne poistuvat säilytysikkunasta.

• Valvonnan, hälytysten sekä mahdollisten tietoturva- tai vaatimustenmukaisuusyhteyksien määrittäminen käyttäjän omassa ympäristössä ja näiden integraatioiden toimivuuden varmistaminen.

• Sen määrittäminen, mikä katsotaan epäilyttäväksi toiminnaksi (toiminta) organisaation kontekstissa, ja vastuun määrittäminen sen tarkistamisesta.

• Epäilyttävästä toiminnasta ilmoittaminen Notionille, jos se voi viitata palvelun vaarantumiseen.

Mitä audit-loki kattaa ja mitä se ei kata

Audit-loki tallentaa tapahtumia. Lokimerkinnät ja suoratoistetut hyötykuormat kuvaavat suoritettuja toimintoja ja niiden tekijöitä; ne eivät sisällä sivujen asiakasdataa.

Audit-lokin tallennus alkaa, kun organisaatio on oikeutettu ominaisuuteen. Sitä ennen tapahtunutta toimintaa ei ole saatavilla retrospektiivisesti.

Notion kehittää, käyttää ja ylläpitää Notion-palvelua ja sen taustalla olevaa infrastruktuuria, mukaan lukien kyseisen infrastruktuurin suojaaminen ja paikkaaminen. Asiakkaat vastaavat ympäristöistä, joista he käyttävät Notionia.

Notionin vastuut

• Kehitä, testaa, paikkaa ja ylläpidä Notion-sovellusta ja sitä tukevaa infrastruktuuria. Notion asentaa palvelun Ilmoitukset, eikä asiakkailta vaadita mitään toimenpiteitä.

• Suorita uhkamallinnusta ja tietoturvallisia suunnittelukatselmuksia uusille julkaisuille sekä tee koodin auditointia, koodikatselmuksia ja koodikannan tietoturvaskannauksia.

• Tilaa vuosittainen riippumaton tietoturvatestaus.

• Toteuta ja hallitse verkkoturvallisuutta Notionin järjestelmissä.

• Valvo Notionin infrastruktuuria, verkkoja ja resursseja haitallisen toiminnan varalta.

• Ylläpidä julkista haavoittuvuuksien ilmoitusohjelmaa ja tilaa riippumaton tietoturvatestaus.

• Suojaa Notionin omat yritysjärjestelmät ja työntekijöiden laitteet, mukaan lukien lepotilassa olevan tiedon salaus, päätepisteiden tunnistus ja reagointi sekä keskitetty laitehallinta.

• Julkaise Notion-asiakasohjelmistot ja toimita niihin ilmoituksia.

Käyttäjien vastuut

• Tuettujen ja asianmukaisesti paikattujen päätepisteympäristöjen ylläpito, mukaan lukien verkkoselaimet ja kaikki hallintatoimet, jotka voivat estää Notion-asiakasohjelmiston ilmoituksia.

• Notionin käyttöön tarkoitettujen laitteiden ja verkkojen suojaaminen käyttäjän omien päätepisteiden tietoturvastandardien mukaisesti.

• Kun Notion-asiakasohjelmiston ilmoituksia hallitaan keskitetysti, on varmistettava, että ne asennetaan ajallaan. Automaattisten ilmoitusten lykkääminen tai niiden Poista käytöstä -toiminnon käyttäminen siirtää vastuun asiakasohjelmiston ajantasaisesta paikkaamisesta käyttäjälle.

• Varmistetaan, etteivät asennusasetukset estä käyttäjiä vastaanottamasta ilmoituksia.

• Ilmoitetaan Notion-palvelun epäillyistä haavoittuvuuksista Notionille sen sijaan, että niitä hyödynnettäisiin tai niistä kerrottaisiin julkisesti.

Missä raja kulkee

Notion paikkaa Notion-palvelun. Asiakkaat eivät asenna paikkauksia Notionille, eikä palvelinpuolen ilmoituksiin vaadita asiakkaan toimia.

Notion-asiakasohjelmistot ovat erilaisia. Notion julkaisee ilmoituksia, mutta se, vastaanottaako tietty laite ne, riippuu siitä, miten se on määritetty ja hallittu. Kun organisaatio hallitsee asennus- tai ilmoituskäyttäytymistä, Notion-asiakasohjelmistojen pitäminen ajan tasalla on organisaation vastuulla.

Notion tarjoaa API:n, integraatioalustan ja tekoälyominaisuudet, jotka voivat käsitellä asiakasdataa ja ulottua yhdistettyihin järjestelmiin. Asiakkaat vastaavat siitä, mitkä näistä otetaan käyttöön, mitä käyttöoikeuksia niille myönnetään ja miten niitä hallinnoidaan.

Notionin vastuut

• Tarjoa ja ylläpidä Notion API:ta, integraatioalustaa, yhteydet ja tekoälyominaisuuksia.

• Kunnioita käyttäjän käyttöoikeuksia Notion AI:ssa, Notion-palvelijassa ja AI Connectoreissa. Mukautetut palvelijat käyttävät omia erikseen myönnettyjä käyttöoikeuksiaan, jotka voivat poiketa palvelijan kanssa vuorovaikutuksessa olevan henkilön käyttöoikeuksista.

• Tarjoa hallinnollisia säätimiä, joilla määritetään, mitä integraatioita ja ulkoisia tekoälytyökaluja voidaan asentaa, mitä palvelijoita voidaan luoda ja ovatko tekoälyominaisuudet käytössä.

• Tarjoa hallintatyökalut tekoälypohjaisen verkkohaun ottamiseksi käyttöön tai poistamiseksi käytöstä ja vaadi vahvistus ennen ulkoisia verkkopyyntöjä.

• Ylläpidä puolustusmekanismeja, jotka on suunniteltu havaitsemaan ja vähentämään kehotteiden injektoinnin riskiä, mukaan lukien piilotettujen ohjeiden havaitseminen kolmannen osapuolen sisällössä ja ladatuissa tiedostoissa, linkkien käsittelyä koskevat rajoitukset sekä lisätarkistukset tilanteissa, joissa palvelijat toimivat itsenäisesti.

• Pidättäydy käyttämästä asiakasdataa Notionin mallien kouluttamiseen ja kiellä sopimuksellisesti tekoälyyn liittyviä alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.

• Kirjaa integraatioiden, yhteyksien, palvelijoiden ja ulkoisten tekoälytyökalujen toiminta lokiin.

Käyttäjien vastuut

• Sen päättäminen, mitkä integraatiot, yhteydet, tekoälyominaisuudet ja palvelijat ovat organisaatiolle sopivia, ja käytettävissä olevien hallintatyökalujen määrittäminen vastaamaan tätä päätöstä.

• Integraation tai yhteyden pyytämien käyttöoikeuksien ja ominaisuuksien tarkistaminen ennen niiden valtuuttamista sekä sen vahvistaminen, että kolmannen osapuolen palvelu täyttää käyttäjän omat toimittajavaatimukset.

• Sisäisten integraatiotunnisteiden hallinta, mukaan lukien niiden jakelun rajoittaminen, vaihtaminen ja tarpeettomien tunnisteiden mitätöinti.

• Palvelijoiden luomisen ja määrittämisen hallinta, mukaan lukien sen määrittäminen, mihin asiakasdataan ja yhdistettyihin työkaluihin kukin palvelija pääsee käsiksi, sekä tämän pääsyn säännöllinen tarkistaminen.

• Asiakkaiden on varmistettava, että palvelijoiden käyttöoikeudet on rajattu asianmukaisesti.

• Sen määrittäminen, voidaanko tietoja säilyttäviä malleja ottaa käyttöön ominaisuuksille, jotka niitä edellyttävät.

• Sen varmistaminen, että Notionille yhdistettyjen järjestelmien kautta saatavilla oleva asiakasdata on kyseiseen tarkoitukseen sopivaa ja että yhdistetyssä järjestelmässä myönnetyt käyttöoikeudet on rajattu oikein.

• Käyttäjien tietoisuuden lisääminen siitä, että työtilan ulkopuolelta peräisin oleva asiakasdata, mukaan lukien verkkosivut ja ladatut tiedostot, voi yrittää vaikuttaa tekoälyn toimintaan.

Mitä asiakkaiden tulee ymmärtää yhdistetystä datasta

Yhteyden kautta myönnetyt käyttöoikeudet ovat vain niin rajatut kuin yhdistetyssä järjestelmässä myönnetyt oikeudet. Notion noudattaa yhdistetyn järjestelmän ilmoittamia käyttöoikeuksia, mutta ei korjaa liian laajoja lähdejärjestelmän käyttöoikeuksia.

Yhdistettyjen järjestelmien käyttöoikeusmuutokset näkyvät Notionissa synkronointivälin jälkeen, eivät välittömästi, ja vasta lisätyn tai poistetun asiakasdatan näkyminen tai käytettävyyden muuttuminen voi viedä aikaa.

Notion vastaa Notion-palvelun tietoturvasta ja asiakkaiden ilmoittamisesta, jos tietoturvaloukkaus vaikuttaa heidän asiakasdataansa. Asiakkaat vastaavat siitä, miten he reagoivat omiin käyttäjätiliinsä, työtiloihinsa ja asiakasdataansa liittyviin tietoturvaloukkauksiin, mukaan lukien mahdolliset ilmoitukset, jotka heidän on tehtävä.

Notionin vastuut

• Ylläpidä dokumentoitua tietoturvaloukkausten hallintasuunnitelmaa ja testaa sitä säännöllisesti.

• Havaitse, luokittele, tutki, eristä ja korjaa Notionin järjestelmiin ja Notionin hallussa olevaan asiakasdataan vaikuttavat tietoturvaloukkaukset.

• Ilmoita tietoturvaloukkauksista niistä kärsiville asiakkaille tietojenkäsittelysopimuksen ja sovellettavan lain mukaisesti.

• Suorita tapauksen jälkeinen tarkastelu, johon sisältyy perussyyanalyysi, ja sovella havaintoja Notionin hallintatoimiin sekä reagointisuunnitelmaan (Sopimus(tyyppi)).

• Julkaise palvelun Tila ja viesti saatavuushäiriöistä.

• Ylläpidä haavoittuvuuksien paljastusohjelmaa sekä priorisoi ja korjaa raportoidut haavoittuvuudet.

Käyttäjien vastuut

• Epäillyistä tietoturvatapauksista, vaarantuneista tileistä, epäillyistä haavoittuvuuksista ja palvelun väärinkäytöstä ilmoittaminen Notionille viipymättä asianmukaista kanavaa pitkin.

• Käyttäjän omien työtilojen ja käyttäjätilien sisällä tapahtuvien tapausten havaitseminen ja niihin reagoiminen, mukaan lukien vaarantuneet tunnukset, epäasianmukainen jakaa-toiminto ja sisäisten käyttäjien suorittama väärinkäyttö.

• Käyttäjän omien tapauksiin reagointia koskevien järjestelyjen ylläpito sekä määrittäminen siitä, kuka vastaa Notionissa havaittuun toimintaan.

• Tuotteen sisällä käytettävissä olevien rajoitustoimenpiteiden suorittaminen, mukaan lukien käyttöoikeuden poistaminen, istuntojen mitätöinti, tunnusten nollaaminen, integraatiotunnisteiden mitätöinti ja julkaistun asiakasdatan poistaminen.

• Asiaankuuluvan todistusaineiston säilyttäminen, mukaan lukien auditointilokin tietueiden Vie ennen kuin ne poistuvat säilytysikkunasta.

• Määritä, tuottaako tapaus ilmoitusvelvollisuuden (toimien osalta toimien Käynnistimenä), jonka käyttäjän tulee täyttää sääntelyviranomaiselle, asiakkaalle tai asianosaiselle, ja tee sitten ilmoitus.

• Pidä hallinnolliset ja tietoturvaan liittyvät yhteystiedot ajan tasalla, jotta Notionin ilmoitukset tavoittavat oikeat henkilöt.

• Ilmoita epäillyistä haavoittuvuuksista Notionille sen sijaan, että hyödyntäisit niitä tai paljastaisit ne julkisesti.

Kuka osapuoli havaitsee mitä

Notion valvoo omaa infrastruktuuriaan ja voi havaita palveluun vaikuttavia tapauksia. Notion ei voi määrittää, oliko muuten pätevä työtilaan kohdistuva Toiminto käyttäjän sisäisten käytäntöjen mukaisesti valtuutettu. Asiakkaat vastaavat työtilan toiminnan valvonnasta ja väärinkäytöksiin reagoimisesta.

Tämä sisältää tapauksia, kuten jäsenen, joka julkaisee luottamuksellista asiakasdataa, lähtevän työntekijän, joka suorittaa tiedon Vie, tai sen, että tunnuksen oikea haltija käyttää sitä väärin.

Notion ylläpitää tietoturva- ja yksityisyysohjelmaa, jota auditoidaan riippumattomasti, ja julkaisee sen pohjalta syntyvän dokumentaation. Asiakkaat määrittävät, soveltuuko Notion heidän omiin sääntelyvelvoitteisiinsa, ja säätävät sen käyttöä sen mukaisesti.

Notionin vastuut

• Ylläpidä riippumattomasti arvioituja tietoturva- ja yksityisyysohjelmia sovellettavien auditointi- ja sertifiointisyklien mukaisesti.

• Aseta vaatimustenmukaisuusdokumentaatio, mukaan lukien auditointiraportit ja sertifikaatit, asiakkaiden ja potentiaalisten asiakkaiden saataville Notion Trust Centerin kautta.

Käyttäjien vastuut

• Määritä, sopiiko Notion tallentamaasi dataan ja täyttääkö se sovellettavat sääntelyvelvoitteet.

• Kyseiseen käyttöön vaadittavien sopimusten tekeminen, mukaan lukien tarvittaessa tietojenkäsittelysopimus (Data Processing Addendum) tai liikekumppanisopimus (Business Associate Agreement).

• Kyseisten sopimusten edellyttämän konfiguraation soveltaminen, mukaan lukien vaatimustenmukaisuuteen liittyvien asetusten ja niiden edellyttämien tietoturvaominaisuuksien käyttöönotto.

• Käyttäjän omien arviointien suorittaminen, mukaan lukien toimittajan riskiarviointi ja kaikki lain edellyttämät tietosuojaa koskevat vaikutustenarvioinnit.

• Notionin sertifikaattien, auditointiraporttien ja aliprosessorilistan tarkistaminen osana käyttäjän omia varmistus- ja muutoksenhallintaprosesseja.

• Sen osoittaminen käyttäjän omille tilintarkastajille ja sääntelyviranomaisille, että käyttäjän Notion-konfiguraatio ja -käyttö täyttävät niitä koskevat velvoitteet.

Mitä sertifiointi kattaa

Notionin riippumattomat kolmannen osapuolen sertifikaatit ja auditointiraportit kattavat Notionin hallinnoimat kontrollit. Ne eivät ulotu siihen, miten yksittäinen organisaatio konfiguroi tai käyttää Notionia.

Säänneltyä dataa sisältävä työtila ei ole vaatimustenmukainen pelkästään siksi, että Notionilla on sertifikaatti. Jos velvoite riippuu konfiguraatiosta, kuten jakaa-toiminnon rajoittamisesta, kertakirjautumisen pakottamisesta, auditointilokien säilyttämisestä tai datan tallennuspaikan rajoittamisesta, sen täyttäminen on edelleen käyttäjän vastuulla.

Notion asettaa ehdot, joiden puitteissa palvelua saa käyttää, ja valvoo niiden noudattamista. Asiakkaat vastaavat omasta Notionin käytöstään ja työtiloissaan säilyttämästään asiakasdatasta.

Notionin vastuut

• Julkaise ja ylläpidä sisältö- ja käyttöperiaatteita, asiaankuuluvia ehtoja ja niihin liittyviä käytäntöjä.

• Tarjoa kenelle tahansa julkista Notion-sivua tarkastelevalle mekanismi, jolla voi ilmoittaa kielletyksi katsomastaan asiakasdatasta.

• Tutki ilmoitukset ja poista asiakasdata tai rajoita käyttöoikeutta, jos rikkomus todetaan.

• Sovella tarkempaa valvontaa käyttöluokkiin, joihin liittyy korkeampi väärinkäytösten riski, ja keskeytä tai lopeta käyttöoikeus tarvittaessa palvelun saatavuuden suojaamiseksi.

Käyttäjien vastuut

• Notionin käyttö ehtojen ja sisältö- ja käyttöperiaatteiden mukaisesti sekä sen varmistaminen, että käyttäjän tilauksen alaisuudessa Notionia käyttävät henkilöt toimivat samoin.

• Varmista, että Notionissa tallennettu, Notionin kautta julkaistu tai – missä dataa on jaettu (käyttäen termiä 'jakaa') – asiakasdata noudattaa näitä periaatteita ja sovellettavaa lainsäädäntöä.

• Muiden lisäämän asiakasdatan moderointi, jos käyttäjä jakaa käyttäjien tuottamaa asiakasdataa Notionin kautta.

• Käytä Notionia sen tarkoitetun käyttötarkoituksen mukaisesti äläkä yritä kiertää, Poista käytöstä -toimintoja tai häiritä sen tietoturvakontrolleja.

• Notionin tietoturvatestauksen suorittaminen ainoastaan Notionin haavoittuvuuksien paljastusohjelman kautta ja sen ehtojen mukaisesti.

• Tuki- ja ilmoituskanavien käyttö hyvässä uskossa.