Modèle de responsabilités partagées

Ce modèle de Pages partagées garantit que Notion et ses clients collaborent pour créer une expérience Espace de travail sûre et efficace.

Veuillez vous référer au MSA et au DPA de Notion pour les définitions des termes.

Notion est un espace unique où vous pouvez réfléchir, écrire et planifier. En tant qu'espace tout-en-un permettant aux utilisateurs de créer leurs propres outils pour travailler de manière optimale, les utilisateurs confient à Notion des informations professionnelles et personnelles et, via des connexions et des fonctionnalités d'IA, l'accès à des informations détenues dans d'autres systèmes.

Un modèle de responsabilités partagées (SRM) est un cadre qui définit la répartition des responsabilités entre un fournisseur de services et ses utilisateurs. Il définit clairement quelles tâches de sécurité et opérationnelles sont gérées par chaque partie.

Ce document décrit les responsabilités partagées entre Notion et ses clients pour protéger et maintenir la sécurité des systèmes, des comptes utilisateurs et des espaces de travail de Notion.

Le SRM de Notion apporte de la clarté, tant pour Notion que pour ses clients, sur la partie responsable de processus, d'opérations ou de contrôles spécifiques. Cela permet à Notion de se concentrer sur les domaines où nous pouvons au mieux protéger la confidentialité, l'intégrité et la disponibilité des systèmes de Notion, et d'en assumer la responsabilité, tout en identifiant les domaines où les clients sont mieux placés pour sécuriser leurs propres comptes, espaces de travail et données client. Dans l'ensemble, cela améliore la sécurité et l'efficacité de la protection des systèmes et des comptes Notion.

Le SRM favorise également la transparence dans la manière dont les services de Notion sont fournis, en donnant aux clients les informations dont ils ont besoin pour évaluer Notion dans le cadre de leurs propres processus de risque et d'assurance, et en aidant Notion et ses clients à respecter leurs obligations respectives en vertu des réglementations locales, régionales, nationales et internationales applicables.

En résumé : Notion est responsable de la construction, de l'exploitation et de la protection de l'architecture du service Notion. Les clients sont responsables de la manière dont ils configurent et utilisent ce service, notamment en protégeant leurs identifiants, en gérant l'accès à leurs espaces de travail et à leurs données client, et en adhérant à la politique de contenu et d'utilisation et aux autres conditions pertinentes.

Certaines responsabilités décrites dans ce document ne peuvent être assumées que par des clients disposant d'autorisations élevées dans un espace de travail ou une organisation. Il incombe à l'utilisateur d'attribuer ces autorisations de manière appropriée.

Les outils disponibles pour répondre à une responsabilité donnée varient selon le forfait. Lorsqu'une fonctionnalité est limitée à des forfaits d'abonnement spécifiques, les clients utilisant des forfaits sans cette fonctionnalité restent responsables du résultat sous-jacent et doivent envisager des contrôles alternatifs.

Notion fournit les méthodes d'authentification et les contrôles administratifs qui régissent la façon dont les personnes se connectent à Notion et dont l'accès à l'Espace de travail est accordé et supprimé. Les clients sont responsables de la sélection et de la configuration des contrôles appropriés à leur organisation, ainsi que de la protection des identifiants utilisés pour accéder à leurs comptes.

Responsabilités de Notion

• Fournir et exploiter des méthodes d'authentification, notamment l'e-mail et le mot de passe, la connexion via Google et Apple, et l'authentification unique (SSO) SAML 2.0 pour les espaces de travail sur les forfaits Business et Enterprise.

• Fournir une authentification à deux facteurs pour les comptes qui se connectent avec un mot de passe, en utilisant une application d'authentification ou un code par SMS.

• Fournir des API SCIM permettant aux Enterprise d'automatiser la création, la mise à jour et la suppression d'utilisateurs depuis leur fournisseur d'identité.

• Fournir des contrôles administratifs régissant la durée de session, la déconnexion forcée, la réinitialisation du mot de passe, la suspension du compte et la vérification du domaine.

• Exiger une preuve vérifiée de la propriété du domaine avant qu'un domaine ne puisse être utilisé pour contrôler la manière dont sa base d'utilisateurs se connecte à Notion.

• Révoquer l'accès d'un utilisateur aux données client lorsque cet utilisateur est supprimé de l'espace de travail. Fournir des contrôles permettant à une organisation de terminer des sessions et de réinitialiser les identifiants sur l'ensemble de sa base d'utilisateurs gérés.

• Maintenir des contrôles d'accès au moindre privilège sur l'infrastructure de Notion elle-même, et exiger que les employés et les sous-traitants de Notion soient liés par des obligations de confidentialité.

• Accéder aux données client à des fins de service client uniquement lorsqu'un utilisateur ou un propriétaire de l’espace de travail a donné son consentement, et faire expirer ce consentement automatiquement après une période définie.

Responsabilités des utilisateurs

• Protéger les identifiants de connexion, utiliser un mot de passe fort et unique, et éviter la réutilisation sur d'autres services.

• Maintenir un compte individuel plutôt qu'un compte partagé, et ne pas partager les informations de connexion.

• Utiliser l'authentification à deux facteurs sur les comptes qui se connectent avec un mot de passe.

• Mettre à jour les identifiants conformément à la politique interne, et rapidement en cas d'identification d'une violation externe des identifiants.

• Sélectionner et configurer les méthodes d'authentification appropriées à l'organisation, y compris l'application ou non de l'authentification unique (SSO).

• Veiller à ce que l'accès à l'espace de travail soit limité aux utilisateurs prévus et à ce que l'accès soit supprimé rapidement lorsqu'une personne part ou change de rôle. Le déprovisionnement automatisé nécessite SCIM ; lorsqu'il n'est pas utilisé, la suppression est un processus manuel.

• Définir la durée de session conformément à la politique interne et maintenir une procédure de récupération en cas de perte d'accès au fournisseur d'identité.

• Contrôler si le service client Notion peut accéder à un compte ou à un espace de travail, et révoquer cet accès lorsqu'il n'est plus nécessaire.

Notion fournit le modèle d'autorisation qui détermine ce qu'un utilisateur authentifié peut voir et faire, ainsi que des contrôles administratifs qui définissent les limites du partage. Les clients sont responsables de décider comment ce modèle est appliqué à leurs données client et de vérifier l'accès qui en résulte.

Responsabilités de Notion

• Fournir un modèle d'autorisations fonctionnant au niveau de l'espace de travail, de l'Espace d’équipe, de la page et de la base de données, incluant des groupes d'autorisations, et l'appliquer de manière cohérente dans tout le produit.

• Fournir un accès distinct pour les membres et les invités, afin que les collaborateurs externes puissent se voir accorder l'accès à des données client spécifiques plutôt qu'à un espace de travail entier.

• Fournir des contrôles administratifs permettant à une organisation de restreindre le partage public de pages, l'accès des invité·es, l'Exporter, ainsi que le déplacement ou la duplication de pages vers d'autres espaces de travail.

• Fournir des contrôles régissant qui peut publier des données client sur le Web, y compris Notion Sites, Formulaires et liens publics.

• Fournir des outils de visibilité permettant à une organisation d'identifier qui a accès à une page, quelles pages sont partagées en externe ou publiées sur le Web, et de modifier ces autorisations.

• Respecter les autorisations de l'espace de travail configurées lors de la fourniture des fonctionnalités d'IA et de Chercher.

Responsabilités des utilisateurs

• Déterminer le niveau d'accès approprié aux données client et appliquer les autorisations en conséquence.

• Décider si la collaboration externe et la publication publique sont autorisées, et configurer les contrôles disponibles pour refléter cette décision.

• Comprendre comment l'accès est hérité. L'accès accordé à une page s'étend par défaut aux pages qui y sont imbriquées, et l'accès accordé par plusieurs voies se résout au niveau le plus élevé accordé.

• Examiner périodiquement les accès, y compris les membres de l'espace de travail, les invités, les groupes d'autorisations, les données client partagées en externe et les données client publiées sur le Web.

• Supprimer l'accès aux données client lorsque l'implication d'un collaborateur prend fin, y compris pour les invités et les collaborateurs externes dont l'accès n'est pas géré par le fournisseur d'identité de l'organisation.

• S'assurer que les données client publiées sur le Web sont destinées à un public, et configurer les options telles que l'Indexation par les moteurs de recherche en conséquence.

• Transférer les données client présentes dans les Pages privées d'un utilisateur avant son départ, ou pendant la fenêtre limitée durant laquelle le transfert reste possible. Passé ce délai, les données client dans les Pages privées sont généralement irrécupérables, et les outils de transfert ne sont disponibles que sur le forfait Enterprise.

Notion stocke et traite les données client pour le compte de ses clients et les protège lors de leur transfert et au repos. Les clients déterminent quelles données sont placées dans Notion, combien de temps elles sont conservées et quelles obligations légales s'y appliquent.

Responsabilités de Notion

• Traiter les données client conformément au Contrat-cadre d’abonnement, à l'avenant sur le traitement des données et à la loi applicable en matière de protection des données.

• Chiffrer les données client au repos à l'aide d'AES-256 ou d'un algorithme standard du secteur offrant une sécurité équivalente ou supérieure, y compris dans le stockage cloud, les tables de base de données et les sauvegardes, et chiffrer les données en transit à l'aide de TLS 1.2 ou supérieur.

• Maintenir et publier une liste à jour des sous-traitants.

• Offrir la résidence des données pour des catégories définies de données client, permettant aux organisations éligibles de sélectionner la région dans laquelle ces données sont stockées au repos.

• S'abstenir d'utiliser les données client pour entraîner les modèles d'apprentissage automatique de Notion, et interdire contractuellement aux sous-traitants spécialisés dans l'IA de le faire sans le consentement explicite du client.

• Fournir des fonctionnalités permettant aux clients d’exporter, de conserver et de supprimer leurs données client, et supprimer les données client à la fin du contrat conformément à l’accord.

• Conclure un avenant sur le traitement des données, et un accord d'associé commercial le cas échéant, avec les clients qui en ont besoin.

Responsabilités des utilisateurs

• Déterminer quelles données sont appropriées pour être stockées dans Notion, et s'assurer que les données réglementées ne sont stockées que lorsque les accords et la configuration nécessaires sont en place.

• Établir et appliquer des pratiques de conservation, et supprimer les données client qui ne sont plus nécessaires.

• Configuration des paramètres de conservation et de suppression disponibles dans le produit pour refléter la politique interne.

• Soumission de données de compte complètes et exactes, et correction rapide de celles-ci lorsque des erreurs sont identifiées.

• Respecter les obligations qui incombent au responsable du traitement des données personnelles détenues dans un espace de travail, notamment fournir des informations sur la confidentialité aux individus, établir une base légale pour le traitement et répondre aux demandes des personnes concernées relatives aux données client.

• Déterminer si une région de résidence des données spécifique est requise, en faire la demande si nécessaire et comprendre quelles catégories de données et quels produits Notion ne relèvent pas de cette portée.

• Examiner la liste des sous-traitants de Notion.

Notion exploite l'infrastructure qui maintient le Service disponible et gère les sauvegardes de cette infrastructure dans le but de récupérer le Service. Les clients sont responsables de la récupération de leurs propres données client à l'aide des outils fournis par Notion, et de la conservation d'une copie indépendante de ces données client lorsque leurs propres obligations l'exigent.

Responsabilités de Notion

• Exploiter le Service Notion conformément aux engagements de disponibilité énoncés dans les Conditions de niveau de service, en utilisant une infrastructure redondante sur plusieurs zones de disponibilité.

• Publier le statut opérationnel du Service.

• Maintenir des sauvegardes automatisées, chiffrées et surveillées des Données client.

• Stocker les sauvegardes conformément au mappage des régions de sauvegarde publié par Notion pour la région de résidence des données sélectionnée. La résidence des données s'applique uniquement aux catégories définies de Données client.

• Maintenir et tester périodiquement les plans de reprise d'activité et de continuité des activités.

• Fournir des outils de récupération intégrés au produit, notamment la corbeille et l'historique des versions, permettant aux Clients de restaurer eux-mêmes leurs Données client.

• Fournir une fonctionnalité d'Exporter permettant aux Clients d'obtenir un Copier de leurs Données client.

Responsabilités des utilisateurs

• Récupération de pages individuelles et de Données client à l'aide de la corbeille et de l'historique des versions, dans les limites des périodes de conservation applicables au forfait de l'Utilisateur.

• Configuration des paramètres de conservation des Données client, lorsqu'ils sont disponibles, pour refléter la politique interne.

• Conserver une copie indépendante des Données client lorsque la politique interne, les engagements contractuels ou la réglementation exigent une conservation au-delà de ce que propose le produit, ou exigent qu'une copie soit conservée en dehors de Notion.

• Produire les Exporter selon une fréquence adaptée à ces exigences, et vérifier qu'ils sont complets.

• Récupérer les Exporter pendant la période de validité du lien de Télécharger.

• Planifier l'éventualité d'une indisponibilité du service dans le cadre des propres dispositions de continuité des activités de l'Utilisateur.

Ce que sont et ne sont pas les sauvegardes de Notion

Les sauvegardes de Notion existent pour restaurer le Service Notion. Elles ne constituent pas un point de restauration destiné aux Clients et ne peuvent pas être utilisées pour ramener un espace de travail à son état à un moment donné. La récupération des Données client individuelles est effectuée par les Clients via la corbeille et l'historique des versions. Une fois que les Données client ont dépassé les périodes applicables de la corbeille et de conservation, elles sont définitivement supprimées et ne peuvent plus être restaurées. Les Clients ne doivent pas compter sur le service client comme mécanisme de conservation.

Un Exporter produit un Copier portable des Données client dans des formats tels que HTML, Markdown, CSV ou PDF, selon le type d'Exporter et le forfait. Il ne s'agit pas d'une sauvegarde complète de l'espace de travail : l'Importer des Données client obtenues par Exporter ne recréera pas les autorisations, les paramètres ou la configuration complète d'origine de l'espace de travail, et peut nécessiter une restructuration manuelle.

Notion génère des enregistrements de l'activité pertinente au sein d'un Espace de travail et les met à la disposition de l'organisation. Les Clients sont responsables de l'examen de ces enregistrements, de leur conservation si nécessaire et de l'intervention sur ce qu'ils révèlent.

Responsabilités de Notion

• Enregistrer les événements liés à la sécurité et à la sûreté se produisant dans les Espaces de travail d'une organisation, y compris l'acteur, l'action, l'heure et, le cas échéant, l'adresse IP.

• Conserver l'historique du journal d’audit dans le produit pendant une période définie, et fournir des mécanismes d'Exporter et de diffusion en continu pour permettre aux Clients de le conserver plus longtemps.

• Fournir un moyen de diffuser les événements vers la propre plateforme de surveillance de la Sécurité d'un Utilisateur en temps réel, et prendre en charge les connexions aux outils de prévention des pertes de données.

• Surveiller la propre infrastructure, les réseaux et les systèmes de Notion pour détecter toute activité malveillante, et maintenir une journalisation interne pour ces systèmes.

Responsabilités des utilisateurs

• Examen de l’activité du journal d’audit, ainsi que l’enquête et l’intervention sur l’activité qui semble inattendue ou non autorisée.

• Conserver les données de journal pendant la période requise par la politique interne ou la réglementation du client, en utilisant l'outil Exporter ou en diffusant les événements avant qu'ils ne sortent de la période de conservation.

• Configurer la surveillance, les alertes et toutes les connexions de Sécurité ou de conformité dans l'environnement de l'Utilisateur, et s'assurer que ces intégrations restent opérationnelles.

• Définition de ce qui constitue une activité suspecte dans le contexte de l'organisation, et attribution de la responsabilité de son examen.

• Signalement d'une activité suspecte à Notion lorsqu'elle peut indiquer une compromission du Service.

Ce que le journal d'audit couvre et ne couvre pas

Le journal d'audit enregistre les événements. Les entrées de journal et les charges utiles diffusées décrivent les actions effectuées et par qui ; elles ne contiennent pas les Données Client des pages.

L’enregistrement du journal d’audit commence lorsqu’une organisation devient éligible à la fonctionnalité. L’activité qui a eu lieu auparavant n’est pas disponible rétrospectivement.

Notion développe, exploite et maintient le Service Notion et l'infrastructure sur laquelle il fonctionne, y compris la sécurisation et la mise à jour de cette infrastructure. Les Clients sont responsables des environnements à partir desquels ils accèdent à Notion.

Responsabilités de Notion

• Développer, tester, mettre à jour et maintenir l'Application Notion et l'infrastructure qui la prend en charge. Les Dernières modifications du Service sont appliquées par Notion et ne nécessitent aucune action de la part des Clients.

• Effectuer une modélisation des menaces et des revues de conception sécurisée pour les nouvelles versions, et réaliser des audits de code, des revues de code et des analyses de sécurité de la base de code.

• Commander des tests d'intrusion indépendants annuels.

• Mettre en œuvre et gérer la sécurité réseau sur l'ensemble des systèmes de Notion.

• Surveiller l'infrastructure, les réseaux et les actifs de Notion pour détecter toute activité malveillante.

• Exploiter un programme de divulgation des vulnérabilités public et commander des tests d'intrusion indépendants.

• Sécuriser les systèmes d'entreprise et les appareils des employés de Notion, y compris le chiffrement au repos, la détection et la réponse sur les terminaux, ainsi que la gestion centralisée des appareils.

• Publier les applications client Notion et leur fournir des Dernières modifications.

Responsabilités des utilisateurs

• Maintenir des environnements de terminaux pris en charge et correctement corrigés, y compris les navigateurs, et tout contrôle susceptible d'empêcher les mises à jour du client Notion.

• Sécuriser les appareils et les réseaux utilisés pour accéder à Notion, conformément aux propres normes de sécurité des terminaux de l'Utilisateur.

• Lorsque les Dernières modifications du client Notion sont gérées de manière centralisée, veiller à ce qu'elles continuent d'être appliquées en temps opportun. Différer ou désactiver les mises à jour automatiques transfère la responsabilité de la mise à jour corrective du client à l'Utilisateur.

• Veiller à ce que les configurations d'installation n'empêchent pas les Utilisateurs de recevoir les Dernières modifications.

• Signaler les vulnérabilités suspectées dans le Service Notion à Notion plutôt que de les exploiter ou de les divulguer publiquement.

Où se situe la limite

Notion corrige le Service Notion. Les clients n'appliquent pas de correctifs à Notion, et aucune action du client n'est requise pour les Dernières modifications côté serveur.

Applications client sont différentes. Notion publie des Dernières modifications, mais la réception de celles-ci par un appareil donné dépend de la manière dont cet appareil est configuré et géré. Lorsqu'une organisation gère le comportement d'installation ou de mise à jour, le maintien à jour des clients relève de la responsabilité de l'organisation.

Notion fournit une API, une plateforme d'intégration et des fonctionnalités d'IA qui peuvent agir sur les Données Client et accéder aux systèmes connectés. Il incombe aux clients de décider lesquelles activer, quels accès leur accorder et comment elles sont régies.

Responsabilités de Notion

• Fournir et maintenir l’API Notion, la plateforme d’intégration, les connexions et les fonctionnalités d’IA.

• Respecter les autorisations des utilisateurs dans Notion AI, Notion Agent et les Connecteurs IA. Les custom agents utilisent leurs propres autorisations explicitement accordées, qui peuvent différer de celles de la personne interagissant avec l'agent.

• Fournir des contrôles administratifs régissant les intégrations et les outils d'IA externes pouvant être installés, les agents pouvant être créés et l'activation des fonctionnalités d'IA.

• Fournissez des contrôles pour activer ou désactiver la recherche Web par IA et exigez une confirmation avant les requêtes Web externes.

• Maintenez des défenses conçues pour détecter et réduire le risque d'injection d'instructions, y compris la détection d'instructions cachées dans le contenu tiers et les fichiers téléchargés, les restrictions sur la gestion des liens et des vérifications supplémentaires lorsque les agents agissent de manière autonome.

• Abstenez-vous d'utiliser les Données client pour entraîner les modèles de Notion, et interdisez contractuellement aux sous-traitants IA de le faire sans le consentement explicite du client.

• Enregistrez l'activité d'intégration, de connexion, d'agent et d'outil d'IA externe dans le journal d'audit.

Responsabilités des utilisateurs

• Décider quelles intégrations, connexions, fonctionnalités d’IA et agents sont appropriés pour l’organisation, et configurer les contrôles disponibles pour refléter cette décision.

• Examiner l’accès et les capacités demandés par une intégration ou une connexion avant de l’autoriser, et confirmer que le service tiers répond aux propres exigences de l’Utilisateur en matière de fournisseur.

• Gérer les jetons d'intégration internes, notamment en restreignant leur distribution, en les renouvelant et en révoquant ceux qui ne sont plus nécessaires.

• Gouverner la création et la configuration des agents, y compris les Données client et les outils connectés auxquels chaque agent peut accéder, et examiner cet accès périodiquement.

• Les clients doivent s'assurer que la portée des autorisations des agents est définie de manière appropriée.

• Déterminer si des modèles conservant les données peuvent être activés pour les fonctionnalités qui les nécessitent.

• S'assurer que les Données client mises à disposition de Notion via des systèmes connectés sont appropriées à cette fin, et que l'accès accordé dans le système connecté est lui-même correctement délimité.

• Informer les Utilisateurs que les Données client provenant de l'extérieur de l'Espace de travail, y compris les pages Web et les fichiers téléchargés, peuvent tenter d'influencer le comportement de l'IA.

Ce que les Clients doivent comprendre concernant les données connectées

L'accès accordé via une connexion n'est limité que par les autorisations accordées dans le système connecté. Notion applique les autorisations signalées par le système connecté mais ne corrige pas les autorisations trop larges du système source.

Les modifications d'autorisation dans les systèmes connectés sont répercutées dans Notion après un intervalle de synchronisation plutôt qu'immédiatement, et les Données client nouvellement ajoutées ou supprimées peuvent mettre du temps à apparaître ou à devenir indisponibles.

Notion est responsable de la sécurité du service Notion et de la notification aux clients lorsqu'un incident affecte leurs Données client. Les Clients sont responsables de la manière dont ils répondent aux incidents impliquant leurs propres comptes, Espaces de travail et Données client, y compris toute notification qu'ils sont tenus d'effectuer.

Responsabilités de Notion

• Maintenez un plan de réponse aux incidents documenté et testez-le périodiquement.

• Détectez, triez, enquêtez, contenez et remédiez aux incidents de sécurité affectant les systèmes de Notion et les Données client détenues par Notion.

• Notifiez les clients concernés des incidents de sécurité conformément à l'Addendum sur le traitement des données et à la loi applicable.

• Effectuer une revue post-incident, incluant une analyse des causes profondes, et appliquer les conclusions aux contrôles et au plan de réponse de Notion.

• Publier l'État opérationnel du service et communiquer les incidents de disponibilité.

• Exploiter un programme de divulgation des vulnérabilités, et trier et corriger les vulnérabilités signalées.

Responsabilités des utilisateurs

• Signaler rapidement à Notion les incidents de sécurité suspectés, les comptes compromis, les vulnérabilités suspectées et l'utilisation abusive du service, par le canal approprié.

• Détecter et répondre aux incidents survenant au sein des Espaces de travail et des comptes de l'Utilisateur, y compris les identifiants compromis, le partage inapproprié et l'utilisation abusive par des Utilisateurs internes.

• Maintenir les propres dispositions de réponse aux incidents de l'Utilisateur, et définir qui est responsable d'agir sur l'activité identifiée dans Notion.

• Prendre des mesures de confinement disponibles au sein du produit, notamment supprimer l'accès, révoquer les sessions, réinitialiser les identifiants, révoquer les jetons d'intégration et retirer les Données client publiées.

• Préserver les preuves pertinentes, notamment en utilisant la fonction Exporter des journaux d’audit avant qu'ils ne sortent de la période de conservation.

• Déterminer si un incident déclenche une obligation de notification incombant à l'Utilisateur envers un régulateur, un client ou une personne concernée, et effectuer cette notification.

• Maintenir à jour les coordonnées administratives et de sécurité, afin que les notifications de Notion parviennent aux bonnes personnes.

• Signaler les vulnérabilités suspectées à Notion plutôt que de les exploiter ou de les divulguer publiquement.

Quelle partie détecte quoi

Notion surveille sa propre infrastructure et peut détecter les incidents affectant le Service. Notion ne peut pas déterminer si une action par ailleurs valide dans l'Espace de travail a été autorisée en vertu des politiques internes de l'Utilisateur. Les clients sont responsables de la surveillance de l'activité de l'Espace de travail et de la réponse aux abus.

Cela inclut des incidents tels qu'un membre publiant des Données client confidentielles, un employé sur le départ exportant des données, ou des identifiants utilisés de manière abusive par leur titulaire légitime. La détection et la réponse à ces Événements dépendent de l'examen par l'Utilisateur des enregistrements d’activité et des contrôles à sa disposition.

Notion maintient un programme de sécurité de l'information et de confidentialité qui est audité de manière indépendante, et met à disposition la documentation qui en résulte. Les clients déterminent si Notion est approprié pour leurs propres obligations réglementaires et le configurent en conséquence.

Responsabilités de Notion

• Maintenir des programmes de sécurité et de confidentialité évalués de manière indépendante conformément aux cycles d'audit et de certification applicables.

• Mettre la documentation de conformité, y compris les rapports d'audit et les certifications, à la disposition des clients et des clients potentiels via le Notion Trust Center.

Responsabilités des utilisateurs

• Déterminer si Notion est adapté aux données que l'Utilisateur a l'intention de stocker et aux obligations réglementaires qui lui sont applicables.

• Conclure les accords requis pour cette utilisation, y compris un Addendum sur le traitement des données ou un Accord d'associé commercial, le cas échéant.

• Appliquer la configuration requise par ces accords, y compris l'activation de tout paramètre spécifique à la conformité et des fonctionnalités de sécurité dont ils dépendent.

• Réaliser les propres évaluations de l'Utilisateur, y compris l'évaluation des risques liés aux fournisseurs et toute évaluation d'impact relative à la protection des données requise par la loi.

• Examiner les certifications, les rapports d'audit et la liste des sous-traitants de Notion dans le cadre des propres processus d'assurance et de gestion du changement de l'Utilisateur.

• Démontrer aux propres auditeurs et régulateurs de l'Utilisateur que la configuration et l'utilisation de Notion par l'Utilisateur répondent aux obligations qui leur incombent.

Ce que couvre la certification

Les certifications et rapports d'audit tiers indépendants de Notion couvrent les contrôles que Notion exploite. Ils ne s'étendent pas à la manière dont une organisation individuelle configure ou utilise Notion.

Un espace de travail contenant des données réglementées n'est pas conforme du simple fait que Notion détient une certification. Lorsqu'une obligation dépend de la configuration, comme la limitation du partage, l'application de l'authentification unique (SSO), la conservation des enregistrements d'audit ou la restriction des lieux de stockage des données, le respect de celle-ci demeure la responsabilité de l'Utilisateur.

Notion définit les conditions dans lesquelles le service peut être utilisé et les fait respecter. Les clients sont responsables de leur propre utilisation de Notion et des Données client conservées dans leurs Espaces de travail.

Responsabilités de Notion

• Publier et maintenir la politique de contenu et d'utilisation, les Conditions pertinentes et les politiques associées.

• Fournir un mécanisme permettant à toute personne consultant une page Notion publique de signaler les Données client qu'elle estime interdites.

• Examiner les Rapports, puis supprimer les Données client ou restreindre l'accès lorsqu'une violation est identifiée.

• Appliquer une surveillance accrue aux catégories d'utilisation associées à des taux d'abus plus élevés, et suspendre ou interrompre l'accès si nécessaire pour protéger la disponibilité du Service.

Responsabilités des utilisateurs

• Utiliser Notion conformément aux Conditions et à la Politique de contenu et d'utilisation, et veiller à ce que les personnes utilisant Notion dans le cadre de l'abonnement de l'Utilisateur fassent de même.

• Veiller à ce que les Données client stockées dans, partagées depuis ou publiées via Notion soient conformes à ces politiques et à la loi applicable.

• Modérer les Données client fournies par des tiers lorsque l'Utilisateur distribue des Données client générées par les utilisateurs via Notion.

• Utiliser Notion dans le cadre de sa capacité prévue, et ne pas tenter de contourner, désactiver ou interférer avec ses contrôles de sécurité.

• Effectuer tout test de sécurité de Notion uniquement via le programme de divulgation des vulnérabilités de Notion et dans le respect de ses conditions.

• Utiliser les canaux de service client et de signalement de bonne foi.