Model Tanggung Jawab Bersama

Model Tanggung Jawab Bersama ini memastikan bahwa Notion dan Pelanggan bekerja sama untuk menciptakan pengalaman ruang kerja yang aman dan efektif.

Silakan merujuk ke MSA dan DPA Notion untuk istilah-istilah yang didefinisikan.

Notion adalah ruang tunggal tempat Anda dapat berpikir, menulis, dan merencanakan. Sebagai ruang serba ada yang memungkinkan pengguna membangun alat mereka sendiri untuk melakukan pekerjaan terbaik mereka, pengguna memercayakan Notion dengan informasi profesional dan pribadi serta, melalui Koneksi dan fitur AI, dengan akses ke informasi yang disimpan di sistem lain.

Model Tanggung Jawab Bersama (SRM) adalah kerangka kerja yang menguraikan pembagian tanggung jawab antara penyedia layanan dan penggunanya. Model ini mendefinisikan dengan jelas tugas keamanan dan operasional mana yang ditangani oleh masing-masing pihak.

Dokumen ini menguraikan tanggung jawab yang dibagi antara Notion dan Pelanggan dalam melindungi dan menjaga keamanan sistem, akun pengguna, dan ruang kerja Notion.

SRM Notion memberikan kejelasan bagi Notion maupun Pelanggan mengenai pihak mana yang bertanggung jawab atas proses, operasi, atau kontrol tertentu. Hal ini memungkinkan Notion untuk fokus pada, dan bertanggung jawab atas, area di mana kami dapat memberikan perlindungan terbaik terhadap kerahasiaan, integritas, dan ketersediaan sistem Notion, sekaligus mengidentifikasi area di mana Pelanggan berada dalam posisi yang lebih baik untuk mengamankan akun, ruang kerja, dan Data Pelanggan mereka sendiri. Secara keseluruhan, hal ini meningkatkan keamanan dan efisiensi dalam melindungi sistem dan akun Notion.

SRM juga mempromosikan transparansi dalam cara Layanan Notion diberikan, memberikan informasi yang dibutuhkan Pelanggan untuk menilai Notion dalam proses risiko dan jaminan mereka sendiri, serta mendukung Notion dan Pelanggannya dalam memenuhi kewajiban masing-masing berdasarkan peraturan lokal, regional, nasional, dan internasional yang berlaku.

Singkatnya: Notion bertanggung jawab untuk membangun, mengoperasikan, dan melindungi arsitektur Layanan Notion. Pelanggan bertanggung jawab atas cara mereka mengonfigurasi dan menggunakan Layanan tersebut, termasuk melindungi kredensial mereka, mengelola siapa yang memiliki akses ke ruang kerja dan Data Pelanggan mereka, serta mematuhi kebijakan Konten & Penggunaan dan Ketentuan relevan lainnya.

Beberapa tanggung jawab yang dijelaskan dalam dokumen ini hanya dapat dilaksanakan oleh Pelanggan dengan izin yang ditingkatkan di ruang kerja atau organisasi. Merupakan tanggung jawab Pengguna untuk menetapkan izin tersebut dengan tepat.

Alat yang tersedia untuk memenuhi tanggung jawab tertentu bervariasi tergantung paket. Jika suatu kemampuan terbatas pada Paket Berlangganan tertentu, Pelanggan pada Paket Berlangganan tanpa kemampuan tersebut tetap bertanggung jawab atas hasil yang mendasarinya, dan harus mempertimbangkan kontrol alternatif.

Notion menyediakan metode autentikasi dan kontrol administratif yang mengatur bagaimana orang masuk ke Notion serta bagaimana akses ruang kerja diberikan dan dihapus. Pelanggan bertanggung jawab untuk memilih dan mengonfigurasi kontrol yang sesuai untuk organisasi mereka, serta untuk melindungi kredensial yang digunakan untuk mengakses akun mereka.

Tanggung Jawab Notion

• Menyediakan dan mengoperasikan metode autentikasi, termasuk email dan kata sandi, masuk dengan Google dan Apple, serta akses masuk tunggal SAML 2.0 untuk ruang kerja pada Paket Bisnis dan Enterprise plan.

• Menyediakan autentikasi dua faktor untuk akun yang masuk dengan kata sandi, menggunakan aplikasi autentikator atau kode pesan teks.

• Menyediakan API SCIM yang memungkinkan organisasi Perusahaan untuk mengotomatiskan pembuatan, pembaruan, dan penghapusan Pengguna dari penyedia identitas mereka.

• Menyediakan kontrol administratif yang mengatur durasi sesi, logout paksa, pengaturan ulang kata sandi, penangguhan akun, dan verifikasi domain.

• Memerlukan bukti verifikasi kepemilikan domain sebelum domain dapat digunakan untuk mengontrol bagaimana basis penggunanya masuk ke Notion.

• Mencabut akses pengguna ke Data Pelanggan saat pengguna tersebut dihapus dari ruang kerja. Menyediakan kontrol yang memungkinkan organisasi untuk mengakhiri sesi dan mengatur ulang kredensial di seluruh basis pengguna yang dikelolanya.

• Memelihara kontrol akses hak istimewa paling rendah di seluruh infrastruktur Notion sendiri, dan mengharuskan karyawan serta kontraktor Notion untuk terikat oleh kewajiban kerahasiaan.

• Mengakses Data Pelanggan untuk tujuan dukungan hanya jika pengguna atau pemilik ruang kerja telah memberikan persetujuan, dan mengakhiri persetujuan tersebut secara otomatis setelah periode yang ditentukan.

Tanggung Jawab Pengguna

• Melindungi kredensial masuk, menggunakan kata sandi yang kuat dan unik, serta menghindari penggunaan kembali di layanan lain.

• Memelihara akun individu alih-alih akun bersama, dan tidak membagikan informasi masuk.

• Menggunakan autentikasi dua faktor pada akun yang masuk dengan kata sandi.

• Memperbarui kredensial sesuai dengan kebijakan internal, dan segera jika pelanggaran kredensial eksternal teridentifikasi.

• Memilih dan mengonfigurasi metode autentikasi yang sesuai untuk organisasi, termasuk apakah akses masuk tunggal (single sign-on) diberlakukan.

• Memastikan akses ruang kerja terbatas pada Pengguna yang dituju, dan bahwa akses dihapus segera ketika seseorang keluar atau berganti peran. Deprovisioning otomatis memerlukan SCIM; jika tidak digunakan, penghapusan adalah proses manual.

• Mengatur durasi sesi sesuai dengan kebijakan internal, dan memelihara prosedur pemulihan untuk kehilangan akses ke penyedia identitas.

• Mengontrol apakah dukungan Notion dapat mengakses akun atau Ruang Kerja, dan mencabut akses tersebut jika tidak lagi diperlukan.

Notion menyediakan model izin yang menentukan apa yang dapat dilihat dan dilakukan oleh pengguna yang terautentikasi, beserta kontrol administratif yang menetapkan batasan untuk berbagi. Pelanggan bertanggung jawab untuk memutuskan bagaimana model tersebut diterapkan pada Data Pelanggan mereka, dan untuk meninjau akses yang dihasilkan.

Tanggung Jawab Notion

• Menyediakan model izin yang beroperasi di tingkat ruang kerja, Ruang tim, halaman, dan database, termasuk grup izin, dan menerapkannya secara konsisten di seluruh produk.

• Menyediakan akses yang berbeda untuk anggota dan tamu, sehingga kolaborator eksternal dapat diberikan akses ke Data Pelanggan tertentu, bukan ke seluruh ruang kerja.

• Menyediakan kontrol administratif yang memungkinkan organisasi untuk membatasi berbagi halaman publik, akses tamu, Ekspor, serta pemindahan atau duplikasi halaman ke ruang kerja lain.

• Menyediakan kontrol yang mengatur siapa yang dapat mempublikasikan Data Pelanggan ke web, termasuk Notion Sites, Forms, dan tautan publik.

• Sediakan alat visibilitas yang memungkinkan organisasi untuk mengidentifikasi siapa yang memiliki akses ke suatu halaman, halaman mana yang dibagikan secara eksternal atau dipublikasikan ke web, serta untuk mengubah izin tersebut.

• Hormati izin ruang kerja yang telah dikonfigurasi saat menyediakan fitur AI dan pencarian.

Tanggung Jawab Pengguna

• Menentukan tingkat akses yang sesuai untuk Data Pelanggan, dan menerapkan izin yang sesuai.

• Memutuskan apakah kolaborasi eksternal dan publikasi publik diizinkan, serta mengonfigurasi kontrol yang tersedia untuk mencerminkan keputusan tersebut.

• Memahami bagaimana akses diwariskan. Akses yang diberikan ke suatu halaman secara default meluas ke halaman yang bersarang di dalamnya, dan akses yang diberikan melalui beberapa rute diselesaikan ke tingkat tertinggi yang diberikan.

• Meninjau akses secara berkala, termasuk anggota ruang kerja, tamu, grup izin, Data Pelanggan yang dibagikan secara eksternal, dan Data Pelanggan yang dipublikasikan ke web.

• Menghapus akses ke Data Pelanggan ketika keterlibatan kolaborator berakhir, termasuk tamu dan kolaborator eksternal yang aksesnya tidak dikelola melalui penyedia identitas organisasi.

• Memastikan Data Pelanggan yang dipublikasikan ke web ditujukan untuk audiens publik, dan mengonfigurasi opsi seperti pengindeksan mesin pencari dengan tepat.

• Mentransfer Data Pelanggan yang disimpan secara pribadi oleh pengguna sebelum pengguna tersebut pergi, atau dalam jendela terbatas di mana transfer masih dimungkinkan. Setelah jendela tersebut, Data Pelanggan pribadi umumnya tidak dapat dipulihkan, dan alat transfer hanya tersedia pada Enterprise plan.

Notion menyimpan dan memproses Data Pelanggan atas nama Pelanggannya dan melindunginya saat dalam pengiriman maupun saat disimpan. Pelanggan menentukan data apa yang ditempatkan di Notion, berapa lama data tersebut disimpan, dan kewajiban hukum apa yang melekat padanya.

Tanggung Jawab Notion

• Proses Data Pelanggan sesuai dengan Perjanjian Berlangganan Utama, Adendum Pemrosesan Data, dan hukum perlindungan data yang berlaku.

• Enkripsi Data Pelanggan saat disimpan menggunakan AES-256 atau algoritma standar industri yang memberikan keamanan yang setara atau lebih kuat, termasuk dalam penyimpanan cloud, tabel basis data, dan cadangan, serta enkripsi data saat dalam pengiriman menggunakan TLS 1.2 atau yang lebih baru.

• Pelihara dan publikasikan daftar subprosesor terkini.

• Tawarkan residensi data untuk kategori Data Pelanggan tertentu, yang memungkinkan organisasi yang memenuhi syarat untuk memilih wilayah tempat data tersebut disimpan saat tidak digunakan.

• Jangan gunakan Data Pelanggan untuk melatih model pembelajaran mesin Notion, dan larang subprosesor AI secara kontraktual untuk melakukannya tanpa persetujuan eksplisit dari pelanggan.

• Sediakan fungsionalitas yang memungkinkan Pelanggan untuk mengekspor, menyimpan, dan melakukan Hapus atas Data Pelanggan mereka, serta menerapkan Hapus atas Data Pelanggan pada akhir kontrak sesuai perjanjian.

• Buat Adendum Pemrosesan Data, dan Perjanjian Rekanan Bisnis jika berlaku, dengan pelanggan yang memerlukannya.

Tanggung Jawab Pengguna

• Tentukan data apa yang sesuai untuk disimpan di Notion, dan pastikan bahwa data yang diatur hanya disimpan di tempat yang memiliki perjanjian dan konfigurasi yang diperlukan.

• Tetapkan dan terapkan praktik retensi, serta hapus Data Pelanggan yang tidak lagi diperlukan.

• Mengonfigurasi pengaturan retensi dan pengaturan Hapus yang tersedia di produk agar mencerminkan kebijakan internal.

• Mengirimkan Data Akun yang lengkap dan akurat, serta memperbaikinya dengan segera jika ditemukan kesalahan.

• Memenuhi kewajiban yang menjadi tanggung jawab pengendali data pribadi yang disimpan di ruang kerja, termasuk memberikan informasi privasi kepada individu, menetapkan dasar hukum untuk pemrosesan, dan menanggapi permintaan subjek data terkait Data Pelanggan.

• Menentukan apakah wilayah residensi data tertentu diperlukan, memintanya jika diperlukan, dan memahami kategori data serta produk Notion mana yang berada di luar cakupan tersebut.

• Meninjau daftar subprosesor Notion.

Notion mengoperasikan infrastruktur yang menjaga Layanan tetap tersedia dan memelihara cadangan infrastruktur tersebut untuk tujuan pemulihan Layanan. Pelanggan bertanggung jawab untuk memulihkan Data Pelanggan mereka sendiri menggunakan alat yang disediakan Notion, dan untuk menyimpan salinan independen Data Pelanggan tersebut jika kewajiban mereka sendiri mengharuskannya.

Tanggung Jawab Notion

• Mengoperasikan Layanan Notion sesuai dengan komitmen ketersediaan yang ditetapkan dalam Ketentuan Tingkat Layanan, menggunakan infrastruktur redundan di beberapa zona ketersediaan.

• Mempublikasikan status operasional Layanan.

• Memelihara cadangan Data Pelanggan yang otomatis, terenkripsi, dan terpantau.

• Menyimpan cadangan sesuai dengan pemetaan wilayah cadangan yang dipublikasikan Notion untuk wilayah residensi data yang dipilih. Residensi data hanya berlaku untuk kategori Data Pelanggan yang ditentukan.

• Memelihara dan menguji secara berkala rencana pemulihan bencana dan kelangsungan bisnis.

• Menyediakan alat pemulihan dalam produk, termasuk Tempat Sampah dan riwayat versi, yang memungkinkan Pelanggan untuk memulihkan Data Pelanggan sendiri.

• Menyediakan fungsionalitas Ekspor yang memungkinkan Pelanggan untuk mendapatkan Salin Data Pelanggan mereka.

Tanggung Jawab Pengguna

• Memulihkan halaman individu dan Data Pelanggan menggunakan Tempat Sampah dan riwayat versi, dalam periode retensi yang berlaku untuk paket Pengguna.

• Mengonfigurasi pengaturan retensi Data Pelanggan, jika tersedia, agar mencerminkan kebijakan internal.

• Memelihara Salin independen Data Pelanggan jika kebijakan internal, komitmen kontraktual, atau regulasi mengharuskan retensi di luar apa yang disediakan produk, atau mengharuskan Salin disimpan di luar Notion.

• Membuat Ekspor sesuai Jadwal yang sesuai dengan persyaratan tersebut, dan memverifikasi bahwa ekspor sudah lengkap. Data Pelanggan yang tidak dapat diakses oleh akun pengekspor tidak disertakan dalam Ekspor.

• Mengambil ekspor dalam periode tautan Unduh tetap valid.

• Merencanakan kemungkinan ketidaktersediaan layanan sebagai bagian dari pengaturan kelangsungan bisnis Pengguna sendiri.

Apa itu cadangan Notion dan apa yang bukan

Cadangan Notion ada untuk memulihkan Layanan Notion. Cadangan tersebut bukan merupakan titik pemulihan yang dapat diakses pelanggan, dan tidak dapat digunakan untuk mengembalikan Ruang Kerja ke kondisinya pada saat tertentu. Pemulihan Data Pelanggan individu dilakukan oleh Pelanggan melalui Tempat Sampah dan riwayat versi. Setelah Data Pelanggan melewati periode Tempat Sampah dan retensi yang berlaku, data tersebut akan dihapus dan tidak dapat dipulihkan. Pelanggan tidak boleh mengandalkan dukungan sebagai mekanisme retensi.

Ekspor menghasilkan Salin Data Pelanggan yang portabel dalam format seperti HTML, Markdown, CSV, atau PDF, tergantung pada jenis Ekspor dan paket. Ini bukan cadangan Ruang Kerja penuh: mengimpor Data Pelanggan yang diekspor tidak akan membuat ulang izin, pengaturan, atau konfigurasi lengkap Ruang Kerja, dan mungkin memerlukan penataan ulang secara manual.

Notion membuat catatan aktivitas yang relevan di dalam Ruang Kerja dan menyediakannya bagi organisasi. Pelanggan bertanggung jawab untuk meninjau catatan tersebut, menyimpannya jika diperlukan, dan menindaklanjuti apa yang ditunjukkannya.

Tanggung Jawab Notion

• Mencatat Acara keamanan dan keselamatan yang terjadi di seluruh Ruang Kerja organisasi, termasuk aktor, tindakan, waktu, dan jika tersedia, alamat IP.

• Menyimpan riwayat log audit di dalam produk untuk periode yang ditentukan, serta menyediakan mekanisme ekspor dan streaming agar Pelanggan dapat menyimpannya lebih lama.

• Menyediakan sarana untuk melakukan streaming Acara ke platform pemantauan keamanan milik Pengguna sendiri secara real time, dan mendukung koneksi ke alat pencegahan kehilangan data.

• Memantau infrastruktur, jaringan, dan sistem Notion sendiri untuk aktivitas berbahaya, serta memelihara pencatatan internal untuk sistem tersebut.

Tanggung Jawab Pengguna

• Meninjau aktivitas log audit, serta menyelidiki dan menindaklanjuti aktivitas yang tampak tidak terduga atau tidak sah.

• Menyimpan data log selama periode yang disyaratkan oleh kebijakan atau peraturan internal Pelanggan sendiri, dengan mengekspor atau melakukan streaming peristiwa sebelum melewati periode retensi.

• Mengonfigurasi pemantauan, peringatan, dan koneksi keamanan atau kepatuhan apa pun di lingkungan Pengguna sendiri, serta memastikan integrasi tersebut tetap beroperasi.

• Menentukan apa yang dimaksud dengan aktivitas mencurigakan dalam konteks organisasi, dan menetapkan tanggung jawab untuk meninjaunya.

• Melaporkan aktivitas mencurigakan kepada Notion jika hal tersebut mengindikasikan adanya kompromi pada Layanan.

Apa yang dicakup dan tidak dicakup oleh log audit

Log audit mencatat Acara. Entri log dan payload yang di-stream menjelaskan tindakan yang dilakukan dan oleh siapa; log tersebut tidak berisi Data Pelanggan dari halaman.

Pencatatan log audit dimulai saat organisasi memenuhi syarat untuk fitur tersebut. Aktivitas yang terjadi sebelumnya tidak tersedia secara retrospektif.

Notion mengembangkan, mengoperasikan, dan memelihara Layanan Notion serta infrastruktur tempat Layanan tersebut berjalan, termasuk mengamankan dan menambal infrastruktur tersebut. Pelanggan bertanggung jawab atas lingkungan tempat mereka mengakses Notion.

Tanggung Jawab Notion

• Mengembangkan, menguji, menambal, dan memelihara aplikasi Notion serta infrastruktur yang mendukungnya. Pembaruan pada Layanan diterapkan oleh Notion dan tidak memerlukan tindakan apa pun dari Pelanggan.

• Lakukan pemodelan ancaman dan tinjauan desain aman untuk rilis baru, serta lakukan audit kode, tinjauan kode, dan pemindaian keamanan basis kode.

• Lakukan pengujian penetrasi independen tahunan.

• Terapkan dan kelola keamanan jaringan di seluruh sistem Notion.

• Pantau infrastruktur, jaringan, dan aset Notion untuk aktivitas berbahaya.

• Operasikan program pengungkapan kerentanan publik, dan lakukan pengujian penetrasi independen.

• Amankan sistem perusahaan dan perangkat karyawan Notion sendiri, termasuk enkripsi saat tidak aktif, deteksi dan respons titik akhir, serta manajemen perangkat terpusat.

• Terbitkan aplikasi klien Notion dan kirimkan pembaruan ke aplikasi tersebut.

Tanggung Jawab Pengguna

• Memelihara lingkungan titik akhir yang didukung dan ditambal dengan tepat, termasuk peramban web, dan kontrol apa pun yang dapat mencegah pembaruan klien Notion.

• Mengamankan perangkat dan jaringan yang digunakan untuk mengakses Notion, sejalan dengan standar keamanan titik akhir milik Pengguna sendiri.

• Jika pembaruan klien Notion dikelola secara terpusat, pastikan pembaruan terus diterapkan tepat waktu. Menunda atau menonaktifkan pembaruan otomatis mengalihkan tanggung jawab untuk penambalan klien tepat waktu kepada Pengguna.

• Memastikan konfigurasi instalasi tidak mencegah Pengguna menerima pembaruan.

• Melaporkan dugaan kerentanan dalam Layanan Notion kepada Notion alih-alih mengeksploitasi atau mengungkapkannya secara publik.

Di mana batas tersebut berada

Notion menambal Layanan Notion. Pelanggan tidak menerapkan tambalan ke Notion, dan tidak ada tindakan pelanggan yang diperlukan untuk pembaruan sisi server.

Aplikasi klien berbeda. Notion menerbitkan pembaruan, tetapi apakah perangkat tertentu menerimanya bergantung pada bagaimana perangkat tersebut dikonfigurasi dan dikelola. Jika suatu organisasi mengelola perilaku instalasi atau pembaruan, menjaga klien tetap terkini adalah tanggung jawab organisasi tersebut.

Notion menyediakan API, platform integrasi, dan fitur AI yang dapat bertindak atas Data Pelanggan dan menjangkau sistem yang terhubung. Pelanggan bertanggung jawab untuk memutuskan mana dari fitur ini yang akan diaktifkan, akses apa yang akan diberikan kepada fitur tersebut, dan bagaimana fitur tersebut diatur.

Tanggung Jawab Notion

• Menyediakan dan memelihara API Notion, platform integrasi, Koneksi, dan fitur AI.

• Hormati izin pengguna di Notion AI, Notion Agent, dan AI Connectors. Agent Kustom menggunakan izin mereka sendiri yang diberikan secara eksplisit, yang mungkin berbeda dari izin orang yang berinteraksi dengan agen tersebut.

• Menyediakan kontrol administratif yang mengatur integrasi dan alat AI eksternal mana yang boleh diinstal, agen mana yang boleh dibuat, dan apakah fitur AI diaktifkan.

• Sediakan kontrol untuk mengaktifkan atau menonaktifkan pencarian web AI dan mewajibkan konfirmasi sebelum permintaan web eksternal.

• Memelihara pertahanan yang dirancang untuk mendeteksi dan mengurangi risiko injeksi perintah, termasuk deteksi instruksi tersembunyi dalam konten pihak ketiga dan file yang diunggah, pembatasan penanganan tautan, dan pemeriksaan tambahan di mana agen bertindak secara otonom.

• Menahan diri dari menggunakan Data Pelanggan untuk melatih model Notion, dan secara kontraktual melarang subprosesor AI untuk melakukannya tanpa persetujuan eksplisit pelanggan.

• Mencatat aktivitas integrasi, Koneksi, agen, dan alat AI eksternal dalam log audit.

Tanggung Jawab Pengguna

• Memutuskan integrasi, Koneksi, fitur AI, dan agen mana yang sesuai untuk organisasi, serta mengonfigurasi kontrol yang tersedia untuk mencerminkan keputusan tersebut.

• Meninjau akses dan kemampuan yang diminta oleh integrasi atau koneksi sebelum mengotorisasinya, dan mengonfirmasi bahwa layanan pihak ketiga memenuhi persyaratan vendor Pengguna sendiri.

• Mengelola token integrasi internal, termasuk membatasi distribusinya, merotasinya, dan mencabut token yang tidak lagi diperlukan.

• Mengatur pembuatan dan konfigurasi agen, termasuk Data Pelanggan dan alat terhubung apa yang dapat dijangkau oleh setiap agen, serta meninjau akses tersebut secara berkala.

• Pelanggan harus memastikan bahwa izin agen dibatasi dengan tepat.

• Menentukan apakah model yang menyimpan data dapat diaktifkan untuk fitur yang memerlukannya.

• Memastikan Data Pelanggan yang disediakan untuk Notion melalui sistem yang terhubung sudah sesuai untuk tujuan tersebut, dan bahwa akses yang diberikan dalam sistem yang terhubung itu sendiri telah dibatasi dengan benar.

• Memberi tahu Pengguna bahwa Data Pelanggan yang berasal dari luar ruang kerja, termasuk halaman web dan file yang diunggah, dapat mencoba memengaruhi perilaku AI.

Apa yang harus dipahami Pelanggan tentang data yang terhubung

Akses yang diberikan melalui koneksi hanya sesempit izin yang diberikan dalam sistem yang terhubung. Notion menerapkan izin yang dilaporkan oleh sistem yang terhubung tetapi tidak memperbaiki izin sistem sumber yang terlalu luas.

Perubahan izin dalam sistem yang terhubung tercermin di Notion setelah interval sinkronisasi, bukan secara langsung, dan Data Pelanggan yang baru ditambahkan atau dihapus mungkin memerlukan waktu untuk muncul atau menjadi tidak tersedia.

Notion bertanggung jawab atas keamanan layanan Notion dan untuk memberi tahu pelanggan jika suatu insiden memengaruhi Data Pelanggan mereka. Pelanggan bertanggung jawab atas cara mereka menanggapi insiden yang melibatkan akun, ruang kerja, dan Data Pelanggan mereka sendiri, termasuk pemberitahuan apa pun yang wajib mereka buat.

Tanggung Jawab Notion

• Memelihara rencana respons insiden yang terdokumentasi, dan mengujinya secara berkala.

• Mendeteksi, melakukan triase, menyelidiki, menahan, dan memperbaiki insiden keamanan yang memengaruhi sistem Notion dan Data Pelanggan yang disimpan Notion.

• Memberi tahu pelanggan yang terdampak mengenai insiden keamanan sesuai dengan Adendum Pemrosesan Data dan hukum yang berlaku.

• Lakukan tinjauan pasca-insiden, termasuk analisis akar penyebab, dan terapkan temuan tersebut pada kontrol dan rencana respons Notion.

• Publikasikan status operasional layanan dan komunikasikan insiden ketersediaan.

• Operasikan program pengungkapan kerentanan, serta lakukan triase dan perbaikan terhadap kerentanan yang dilaporkan.

Tanggung Jawab Pengguna

• Melaporkan dugaan insiden keamanan, akun yang disusupi, dugaan kerentanan, dan penyalahgunaan layanan kepada Notion dengan segera, melalui saluran yang sesuai.

• Mendeteksi dan menanggapi insiden yang terjadi di dalam ruang kerja dan akun Pengguna sendiri, termasuk kredensial yang disusupi, berbagi yang tidak pantas, dan penyalahgunaan oleh Pengguna internal.

• Memelihara pengaturan respons insiden Pengguna sendiri, dan menentukan siapa yang bertanggung jawab untuk menindaklanjuti Aktivitas yang teridentifikasi di Notion.

• Mengambil tindakan penahanan yang tersedia di dalam produk, termasuk menghapus akses, mencabut sesi, mengatur ulang kredensial, mencabut token integrasi, dan menarik Data Pelanggan yang telah dipublikasikan.

• Melestarikan bukti yang relevan, termasuk melakukan Ekspor catatan log audit sebelum melewati jendela retensi.

• Menentukan apakah suatu insiden memicu kewajiban notifikasi yang harus dipenuhi oleh Pengguna kepada regulator, pelanggan, atau individu yang terdampak, dan melakukan notifikasi tersebut.

• Menjaga detail kontak administratif dan keamanan tetap terkini, agar notifikasi dari Notion sampai ke orang yang tepat.

• Melaporkan kerentanan yang dicurigai kepada Notion alih-alih mengeksploitasinya atau mengungkapkannya secara publik.

Pihak mana yang mendeteksi apa

Notion memantau infrastrukturnya sendiri dan dapat mendeteksi insiden yang memengaruhi Layanan. Notion tidak dapat menentukan apakah tindakan ruang kerja yang sebenarnya valid telah diotorisasi berdasarkan kebijakan internal Pengguna. Pelanggan bertanggung jawab untuk memantau Aktivitas ruang kerja dan menanggapi penyalahgunaan.

Ini mencakup insiden seperti anggota yang memublikasikan Data Pelanggan yang bersifat rahasia, karyawan yang keluar melakukan Ekspor data, atau kredensial yang disalahgunakan oleh pemegang sahnya. Mendeteksi dan menanggapi Acara ini bergantung pada tinjauan Pengguna terhadap catatan Aktivitas dan kontrol yang tersedia bagi mereka.

Notion memelihara program keamanan informasi dan privasi yang diaudit secara independen, serta menyediakan dokumentasi yang dihasilkan. Pelanggan menentukan apakah Notion sesuai untuk kewajiban regulasi mereka sendiri dan mengonfigurasinya sebagaimana mestinya.

Tanggung Jawab Notion

• Memelihara program keamanan dan privasi yang dinilai secara independen sesuai dengan siklus audit dan sertifikasi yang berlaku.

• Menyediakan dokumentasi kepatuhan, termasuk laporan audit dan sertifikasi, kepada pelanggan dan calon pelanggan melalui Notion Trust Center.

Tanggung Jawab Pengguna

• Menentukan apakah Notion sesuai untuk data yang ingin disimpan oleh Pengguna dan kewajiban regulasi yang berlaku bagi mereka.

• Membuat perjanjian yang diperlukan untuk penggunaan tersebut, termasuk Adendum Pemrosesan Data atau Perjanjian Rekanan Bisnis jika berlaku.

• Menerapkan konfigurasi yang disyaratkan oleh perjanjian tersebut, termasuk mengaktifkan pengaturan khusus kepatuhan dan fitur keamanan yang menjadi sandarannya.

• Menyelesaikan penilaian Pengguna sendiri, termasuk penilaian risiko vendor dan penilaian dampak perlindungan data apa pun yang disyaratkan oleh hukum.

• Meninjau sertifikasi, laporan audit, dan daftar subprosesor Notion sebagai bagian dari proses jaminan dan manajemen perubahan Pengguna sendiri.

• Menunjukkan kepada auditor dan regulator Pengguna sendiri bahwa konfigurasi dan penggunaan Notion oleh Pengguna memenuhi kewajiban yang berlaku bagi mereka.

Sertifikasi apa yang mencakup

Sertifikasi pihak ketiga independen dan laporan audit Notion mencakup kontrol yang dioperasikan Notion. Sertifikasi tersebut tidak mencakup cara organisasi individu mengonfigurasi atau menggunakan Notion.

Ruang kerja yang menyimpan data yang diatur tidak serta-merta patuh hanya karena Notion memiliki sertifikasi. Jika suatu kewajiban bergantung pada konfigurasi, seperti membatasi berbagi, menerapkan akses masuk tunggal, menyimpan catatan audit, atau membatasi tempat penyimpanan data, pemenuhannya tetap menjadi tanggung jawab Pengguna.

Notion menetapkan ketentuan penggunaan layanan dan menegakkannya. Pelanggan bertanggung jawab atas penggunaan Notion mereka sendiri dan atas Data Pelanggan yang disimpan di Ruang Kerja mereka.

Tanggung Jawab Notion

• Menerbitkan dan memelihara Kebijakan Konten & Penggunaan, Ketentuan yang relevan, serta kebijakan terkait.

• Menyediakan mekanisme bagi siapa pun yang melihat halaman Notion publik untuk melaporkan Data Pelanggan yang mereka yakini dilarang.

• Menyelidiki laporan, serta Hapus Data Pelanggan atau membatasi akses jika ditemukan pelanggaran.

• Menerapkan pengawasan tambahan pada kategori penggunaan yang terkait dengan tingkat penyalahgunaan yang lebih tinggi, serta menangguhkan atau menghentikan akses jika diperlukan untuk melindungi ketersediaan Layanan.

Tanggung Jawab Pengguna

• Menggunakan Notion sesuai dengan Ketentuan dan Kebijakan Konten & Penggunaan, serta memastikan bahwa orang yang menggunakan Notion di bawah langganan Pengguna melakukan hal yang sama.

• Memastikan bahwa Data Pelanggan yang disimpan di, dibagikan dari, atau dipublikasikan melalui Notion mematuhi kebijakan tersebut dan hukum yang berlaku.

• Memoderasi Data Pelanggan yang dikontribusikan oleh pihak lain jika Pengguna mendistribusikan Data Pelanggan buatan pengguna melalui Notion.

• Menggunakan Notion sesuai kapasitas yang dimaksudkan, serta tidak mencoba untuk mengakali, Nonaktifkan, atau mengganggu kontrol keamanannya.

• Melakukan pengujian keamanan Notion hanya melalui program pengungkapan kerentanan Notion dan sesuai ketentuannya.

• Menggunakan saluran dukungan dan pelaporan dengan itikad baik.