Modell for Delte sider ansvar

Denne modellen for delt ansvar sikrer at Notion og kundene jobber sammen for å skape en trygg og effektiv arbeidsområdeopplevelse.

Se Notions MSA og DPA for definerte begreper.

Notion er et samlet sted hvor du kan tenke, skrive og planlegge. Som et alt-i-ett-område som lar brukere bygge sine egne verktøy for å gjøre sitt beste arbeid, betror brukere Notion med profesjonell og personlig informasjon, og gjennom Tilkoblinger og AI-funksjoner, med tilgang til informasjon som lagres i andre systemer.

En modell for delt ansvar (SRM) er et rammeverk som skisserer ansvarsfordelingen mellom en tjenesteleverandør og brukerne. Den definerer tydelig hvilke sikkerhets- og driftsoppgaver hver part håndterer.

Dette dokumentet skisserer ansvaret som deles mellom Notion og kundene for å beskytte og opprettholde sikkerheten til Notions systemer, brukerkontoer og arbeidsområder.

Notion SRM gir klarhet for både Notion og kundene om hvilken part som er ansvarlig for spesifikke prosesser, operasjoner eller kontroller. Dette gjør at Notion kan fokusere på, og ta ansvar for, områdene der vi best kan beskytte konfidensialiteten, integriteten og tilgjengeligheten til Notions systemer, samtidig som vi identifiserer hvor kundene er bedre rustet til å sikre sine egne kontoer, arbeidsområder og kundedata. Samlet sett forbedrer dette sikkerheten og effektiviteten i beskyttelsen av Notion-systemer og -kontoer.

SRM fremmer også åpenhet om hvordan Notions tjenester leveres, ved å gi kundene informasjonen de trenger for å vurdere Notion i sine egne risiko- og sikringsprosesser, og støtter både Notion og kundene i å oppfylle sine respektive forpliktelser i henhold til gjeldende lokale, regionale, nasjonale og internasjonale forskrifter.

Kort sagt: Notion er ansvarlig for å bygge, drifte og beskytte arkitekturen til Notion-tjenesten. Kundene er ansvarlige for hvordan de konfigurerer og bruker tjenesten, inkludert å beskytte påloggingsinformasjonen sin, administrere hvem som har tilgang til arbeidsområdene og kundedataene deres, og overholde retningslinjene for Innhold og bruk og andre relevante vilkår.

Noen ansvarsområder beskrevet i dette dokumentet kan kun utføres av kunder med utvidede tillatelser i et arbeidsområde eller en organisasjon. Det er brukerens ansvar å tildele disse tillatelsene på en hensiktsmessig måte.

Verktøyene som er tilgjengelige for å oppfylle et gitt ansvar varierer etter Abonnement. Der en funksjon er begrenset til spesifikke Abonnement, forblir kunder uten den gitte funksjonen ansvarlige for det underliggende resultatet, og bør vurdere alternative kontroller.

Notion tilbyr autentiseringsmetoder og administrative kontroller som styrer hvordan personer logger på Notion, og hvordan Tilgang til arbeidsområdet tildeles og fjernes. Kunder er ansvarlige for å velge og konfigurere kontrollene som er passende for deres organisasjon, samt for å beskytte påloggingsinformasjonen som brukes for å få Tilgang til kontoene deres.

Notions ansvar

• Tilby og drifte autentiseringsmetoder, inkludert e-post og passord, Google- og Apple-pålogging, samt SAML 2.0-pålogging for arbeidsområder på Business- og Enterprise-abonnement.

• Tilby tofaktorautentisering for kontoer som logger på med passord, ved bruk av en autentiseringsapp eller en kode på tekstmelding.

• Tilby SCIM-API-er som gjør det mulig for Enterprise-organisasjoner å automatisere opprettelse, oppdatering og fjerning av brukere fra identitetsleverandøren sin.

• Tilby administrative kontroller som styrer Sesjonslengde, tvungen utlogging, tilbakestilling av passord, kontosuspensjon og domeneverifisering.

• Kreve verifisert bevis på domeneeierskap før et domene kan brukes til å kontrollere hvordan brukerbasen logger seg på Notion.

• Tilbakekalle en brukers tilgang til kundedata når denne brukeren fjernes fra arbeidsområdet. Tilby kontroller som lar en organisasjon avslutte sesjoner og tilbakestille påloggingsinformasjonen på tvers av administrerte brukere.

• Opprettholde tilgangskontroller med lavest mulig privilegier på tvers av Notions egen infrastruktur, og kreve at Notion-ansatte og kontraktører er bundet av konfidensialitetsforpliktelser.

• Få tilgang til kundedata for kundestøtteformål kun der en bruker eller eier av et arbeidsområde har gitt samtykke, og la samtykket utløpe automatisk etter en definert periode.

Brukeransvar

• Beskytt påloggingsinformasjon, bruk sterke og unike passord, og unngå gjenbruk på tvers av andre tjenester.

• Oppretthold individuelle kontoer i stedet for delte kontoer, og ikke del påloggingsinformasjon.

• Bruke tofaktorautentisering på kontoer som logger på med passord.

• Oppdater påloggingsinformasjon i tråd med interne retningslinjer, og gjør det umiddelbart dersom et eksternt sikkerhetsbrudd identifiseres.

• Velg og konfigurer autentiseringsmetoder som er passende for organisasjonen, inkludert om enkel pålogging (SSO) skal håndheves.

• Sikre at tilgang til arbeidsområdet er begrenset til tiltenkte brukere, og at tilgang fjernes umiddelbart når noen slutter eller bytter rolle. Automatisert deprovisioning krever SCIM; der dette ikke er i bruk, er fjerning en manuell prosess.

• Angi Sesjonslengde i tråd med interne retningslinjer, og oppretthold en gjenopprettingsprosedyre ved tap av tilgang til identitetsleverandøren.

• Kontrollere om Notion-kundestøtte kan få tilgang til en konto eller et arbeidsområde, og tilbakekalle denne tilgangen når den ikke lenger er nødvendig.

Notion tilbyr tilgangsmodellen som bestemmer hva en autentisert bruker kan se og gjøre, sammen med administrative kontroller som setter grensene for deling. Kundene er ansvarlige for å bestemme hvordan denne modellen brukes på kundedataene deres, og for å vurdere tilgangen som følger av dette.

Notions ansvar

• Tilby en tilgangsmodell som opererer på arbeidsområde-, teamområde-, side- og databasenivå, inkludert tilgangsgrupper, og håndheve denne konsekvent i hele produktet.

• Tilby distinkt tilgang for medlemmer og gjester, slik at eksterne samarbeidspartnere kan gis tilgang til spesifikke kundedata i stedet for et helt arbeidsområde.

• Tilby administrative kontroller som lar en organisasjon begrense offentlig deling av sider, gjesttilgang, Eksporter og flytting eller duplisering av sider til andre arbeidsområder.

• Tilby kontroller som styrer hvem som kan publisere kundedata på nettet, inkludert Notion Sites, Skjema og offentlige /lenker.

• Tilby verktøy for synlighet som lar en organisasjon identifisere hvem som har tilgang til en side, hvilke sider som deles eksternt eller publiseres på nettet, og endre disse tilgangene.

• Respekter de konfigurerte Tillgangene til arbeidsområdet når AI- og Hurtigsøkfunksjoner tilbys.

Brukeransvar

• Avgjør riktig tilgangsnivå for kundedata, og anvend Tilgang deretter.

• Avgjør om eksternt samarbeid og offentlig publisering er tillatt, og konfigurer de tilgjengelige kontrollene for å gjenspeile beslutningen.

• Forstå hvordan Tilgang arves. Tilgang gitt til en side utvides som standard til sider opprettet som underside, og Tilgang gitt gjennom flere ruter løses til det høyeste gitte nivået.

• Gjennomgå tilgangen med jevne mellomrom, inkludert arbeidsområdets medlemmer, gjester, tilgangsgrupper, kundedata delt eksternt og kundedata publisert på nettet.

• Fjern tilgangen til kundedata når en samarbeidspartners engasjement avsluttes, inkludert gjester og eksterne samarbeidspartnere hvis tilgang ikke administreres gjennom organisasjonens identitetsleverandør.

• Sikre at kundedata som publiseres på nettet er ment for et offentlig publikum, og konfigurer alternativer som Søkemotorindeksering deretter.

• Overføre kundedata som holdes Privat av en bruker før brukeren slutter, eller innenfor det Limited tidsvinduet der overføring er mulig. Etter dette vinduet er Privat kundedata generelt ugjenopprettelige, og overføringsverktøy er kun tilgjengelig i Enterprise-abonnement.

Notion lagrer og behandler kundedata på vegne av sine kunder og beskytter dem under overføring og ved lagring. Kundene bestemmer hvilke data som legges inn i Notion, hvor lenge de oppbevares, og hvilke juridiske forpliktelser som knytter seg til dem.

Notions ansvar

• Behandle kundedata i samsvar med hovedabonnementavtalen, databehandleravtalen og gjeldende personvernlovgivning.

• Krypter kundedata ved lagring ved bruk av AES-256 eller en industristandard algoritme som gir tilsvarende eller sterkere sikkerhet, inkludert i skylagring, databasetabeller og sikkerhetskopier, og krypter data under overføring ved bruk av TLS 1.2 eller nyere.

• Vedlikehold og publiser en oppdatert liste over underdatabehandlere.

• Tilby datalagring for definerte kategorier av kundedata, slik at kvalifiserte organisasjoner kan velge regionen der disse dataene lagres.

• Avstå fra å bruke kundedata til å trene Notions maskinlæringsmodeller, og kontraktuelt forby AI-underdatabehandlere å gjøre dette uten eksplisitt samtykke fra kunden.

• Tilby funksjonalitet som lar kunder Eksporter, beholde og slette sine kundedata, og slette kundedata ved slutten av kontrakten i samsvar med avtalen.

• Inngå en databehandleravtale, og en Business Associate-avtale der det er aktuelt, med kunder som krever dette.

Brukeransvar

• Avgjøre hvilke data som er hensiktsmessige å lagre i Notion, og sikre at regulerte data kun lagres der nødvendige avtaler og konfigurasjoner er på plass.

• Etablere og anvende oppbevaringsrutiner, og slette kundedata som ikke lenger er nødvendige.

• Konfigurere innstillingene for oppbevaring og sletting som er tilgjengelige i produktet, for å gjenspeile interne retningslinjer.

• Sende inn fullstendige og nøyaktige kontodata, og korrigere dem umiddelbart der feil identifiseres.

• Oppfylle forpliktelsene som påhviler behandlingsansvarlig for personopplysningene som oppbevares i et arbeidsområde, inkludert å gi personverninformasjon til enkeltpersoner, etablere et lovlig grunnlag for behandling, og svare på forespørsler fra registrerte personer knyttet til kundedata.

• Avgjøre om en spesifikk datalagringsregion er påkrevd, be om det der det er nødvendig, og forstå hvilke kategorier av data og hvilke Notion-produkter som faller utenfor dette omfanget.

• Gjennomgå Notions liste over underdatabehandlere.

Notion driver infrastrukturen som holder tjenesten tilgjengelig og vedlikeholder sikkerhetskopier av denne infrastrukturen med det formål å gjenopprette tjenesten. Kunder er ansvarlige for å gjenopprette sine egne kundedata ved hjelp av verktøyene Notion tilbyr, og for å oppbevare en uavhengig kopi av disse kundedataene der deres egne forpliktelser krever det.

Notions ansvar

• Drifte Notion-tjenesten i samsvar med tilgjengelighetsforpliktelsene fastsatt i tjenestenivåvilkårene, ved bruk av redundant infrastruktur på tvers av flere tilgjengelighetssoner.

• Publisere operasjonell status for tjenesten.

• Opprettholde automatiserte, krypterte og overvåkede sikkerhetskopier av kundedata.

• Lagre sikkerhetskopier i samsvar med Notions publiserte tilordning av sikkerhetskopieringsregion for den valgte datalagringsregionen. Datalagring gjelder kun for de definerte kategoriene av kundedata.

• Opprettholde og periodisk teste planer for gjenoppretting etter katastrofe og forretningskontinuitet.

• Tilby gjenopprettingsverktøy i produktet, inkludert Søppel og Versjonshistorikk, som lar kunder gjenopprette kundedata selv.

• Tilby Eksporter-funksjonalitet som lar kunder hente en kopi av sine kundedata.

Brukeransvar

• Gjenopprette enkeltsider og kundedata ved hjelp av Søppel og Versjonshistorikk, innenfor oppbevaringsperiodene som gjelder for brukerens Abonnement.

• Konfigurere innstillinger for oppbevaring av kundedata, der det er tilgjengelig, for å gjenspeile interne retningslinjer.

• Opprettholde en uavhengig kopi av kundedata der interne retningslinjer, kontraktsmessige forpliktelser eller forskrifter krever oppbevaring utover det produktet tilbyr, eller krever en kopi lagret utenfor Notion.

• Produsere Eksporter i henhold til en tidsplan som er passende for disse kravene, og verifisere at Eksportene er fullstendige. Kundedata som den eksporterende kontoen ikke har tilgang til, inkluderes ikke i en Eksport.

• Hente Eksporter innen perioden der nedlastingslenken er gyldig.

• Planlegge for muligheten for utilgjengelighet av tjenesten som en del av brukerens egne ordninger for forretningskontinuitet.

Hva Notions sikkerhetskopier er og ikke er

Notions sikkerhetskopier eksisterer for å gjenopprette Notion-tjenesten. De er ikke et gjenopprettingspunkt for kunder, og de kan ikke brukes til å føre et arbeidsområde tilbake til tilstanden det var i på et valgt tidspunkt. Gjenoppretting av individuelle kundedata utføres av kunder via Søppel og Versjonshistorikk. Når kundedata har passert gjeldende perioder for Søppel og oppbevaring, slettes de og kan ikke gjenopprettes. Kunder bør ikke stole på kundestøtte som en oppbevaringsmekanisme.

En Eksporter produserer en bærbar kopi av kundedata i formater som HTML, Markdown, CSV eller PDF, avhengig av eksporttype og Abonnement. Det er ikke en fullstendig sikkerhetskopi av arbeidsområdet: importering av eksporterte kundedata vil ikke gjenskape arbeidsområdets opprinnelige Tilgang, innstillinger eller fullstendige konfigurasjon, og kan kreve manuell omstrukturering.

Notion genererer poster over relevant aktivitet i et arbeidsområde og gjør dem tilgjengelige for organisasjonen. Kunder er ansvarlige for å vurdere disse postene, oppbevare dem der det er påkrevd, og handle ut fra hva de viser.

Notions ansvar

• Registrere sikkerhets- og trygghetsrelaterte hendelser som skjer på tvers av en organisasjons arbeidsområder, inkludert aktøren, handlingen, tidspunktet og, der det er tilgjengelig, IP-adressen.

• Oppbevare revisjonslogg i produktet i en definert periode, og tilby Eksporter- og strømmemekanismer slik at kunder kan oppbevare den lenger.

• Tilby en måte å strømme hendelser til en brukers egen sikkerhetsovervåkingsplattform i sanntid, og støtte Tilkoblinger til verktøy for forebygging av datatap.

• Overvåke Notions egen infrastruktur, nettverk og systemer for ondsinnet aktivitet, og vedlikeholde intern logg for disse systemene.

Brukeransvar

• Vurdering av revisjonslogg, samt undersøkelse og håndtering av aktivitet som virker uventet eller uautorisert.

• Oppbevare loggdata for den perioden som kundens egne interne retningslinjer eller forskrifter krever, ved å utføre Eksporter eller strømme hendelser før de går ut av oppbevaringsvinduet.

• Konfigurere overvåking, varsling og eventuelle sikkerhets- eller samsvarstilkoblinger i brukerens eget miljø, og sikre at disse integrasjonene forblir operative.

• Definering av hva som utgjør mistenkelig aktivitet i organisasjonens sammenheng, og tildeling av ansvar for å gjennomgå den.

• Rapportering av mistenkelig aktivitet til Notion der det kan indikere en kompromittert tjeneste.

Hva revisjonsloggen dekker og ikke dekker

Revisjonsloggen registrerer hendelser. Loggoppføringer og strømmede nyttelaster beskriver handlinger som er utført og av hvem; de inneholder ikke kundedata fra sider.

Registrering i revisjonsloggen begynner når en organisasjon blir kvalifisert for funksjonen. Aktivitet som fant sted i forkant, er ikke tilgjengelig i tilbakeblikk.

Notion utvikler, drifter og vedlikeholder Notion-tjenesten og infrastrukturen den kjører på, inkludert sikring og oppdatering av denne infrastrukturen. Kunder er ansvarlige for miljøene de får tilgang til Notion fra.

Notions ansvar

• Utvikle, teste, oppdatere og vedlikeholde Notion-applikasjonen og infrastrukturen som støtter den. Oppdateringer av tjenesten utføres av Notion og krever ingen handling fra kunder.

• Gjennomfør trusselmodellering og sikre designvurderinger for nye utgivelser, og utfør koderevisjoner, kodegjennomganger og sikkerhetsskanning av kodebasen.

• Bestill årlig uavhengig penetrasjonstesting.

• Implementer og administrer nettverkssikkerhet på tvers av Notions systemer.

• Overvåk Notions infrastruktur, nettverk og ressurser for ondsinnet aktivitet.

• Drift et offentlig program for sårbarhetsavsløring, og bestill uavhengig penetrasjonstesting.

• Sikre Notions egne bedriftssystemer og ansattes enheter, inkludert kryptering ved lagring, endepunktsdeteksjon og -respons, samt sentralisert enhetsadministrasjon.

• Publiser Notion-klientapplikasjoner og lever oppdateringer til dem.

Brukeransvar

• Vedlikeholde støttede og hensiktsmessig oppdaterte endepunktmiljøer, inkludert nettlesere, og eventuelle kontroller som kan forhindre Notion-klientoppdateringer.

• Sikring av enhetene og nettverkene som brukes for å få tilgang til Notion, i tråd med brukerens egne sikkerhetsstandarder for endepunkter.

• Der Notion-klientoppdateringer administreres sentralt, må man sikre at oppdateringer fortsetter å bli installert på en rettidig måte. Utsettelse eller deaktivering av automatiske oppdateringer overfører ansvaret for rettidig oppdatering av klienten til brukeren.

• Sikre at installasjonskonfigurasjoner ikke hindrer brukere i å motta Oppdateringer.

• Rapportere mistenkte sårbarheter i Notion-tjenesten til Notion i stedet for å utnytte eller offentliggjøre dem.

Hvor grensen går

Notion oppdaterer Notion-tjenesten. Kunder installerer ikke Oppdateringer på Notion, og ingen handling fra kunden er nødvendig for server-side Oppdateringer.

Klient applikasjoner er annerledes. Notion publiserer Oppdateringer, men om en gitt enhet mottar dem, avhenger det av hvordan enheten er konfigurert og administrert. Der en organisasjon administrerer installasjons- eller oppdateringsatferd, er det organisasjonens ansvar å holde klientene oppdatert.

Notion tilbyr et API, en integrasjonsplattform og KI-Funksjoner som kan handle på kundedata og nå inn i tilkoblede systemer. Kunder er ansvarlige for å bestemme hvilke av disse som skal aktiveres, hvilken tilgang de skal gis, og hvordan de styres.

Notions ansvar

• Tilby og vedlikeholde Notion API, integrasjonsplattform, Tilkoblinger og KI-funksjoner.

• Respekter brukertilgang i Notion KI, Notion-agent og KI-tilkoblinger. Skreddersydde agenter bruker sin egen eksplisitt gitte tilgang, som kan avvike fra den tilgangen til personen som interagerer med agenten.

• Tilby administrative kontroller som styrer hvilke integrasjoner og eksterne KI-verktøy som kan installeres, hvilke agenter som kan opprettes, og om KI-Funksjoner er aktivert.

• Tilby kontroller for å aktivere eller deaktivere KI-nettsøk og kreve bekreftelse før eksterne nettforespørsler.

• Opprettholde forsvar designet for å oppdage og redusere risiko for hjelpetekst-injeksjon, inkludert deteksjon av skjulte instruksjoner i tredjepartsinnhold og opplastede filer, restriksjoner på lenkehåndtering, og ytterligere kontroller der agenter handler autonomt.

• Avstå fra å bruke kundedata til å trene Notions modeller, og kontraktuelt forby KI-underdatabehandlere å gjøre det uten eksplisitt kundesamtykke.

• Loggføre integrasjons-, Tilkoblings-, agent- og ekstern KI-verktøyaktivitet i revisjonsloggen.

Brukeransvar

• Avgjøre hvilke integrasjoner, tilkoblinger, KI-funksjoner og agenter som er passende for organisasjonen, og konfigurere de tilgjengelige kontrollene for å gjenspeile den beslutningen.

• Gjennomgå tilgang og funksjonene som kreves av en integrasjon eller tilkobling før den autoriseres, og bekrefte at tredjepartstjenesten oppfyller brukerens egne leverandørkrav.

• Administrere interne integrasjonstokener, inkludert å begrense distribusjonen av dem, rotere dem og tilbakekalle de som ikke lenger er nødvendige.

• Styre opprettelsen og konfigurasjonen av agenter, inkludert hvilke kundedata og tilkoblede verktøy hver agent kan nå, og gjennomgå denne tilgangen periodisk.

• Kunder må sikre at agentenes Tilgang er hensiktsmessig avgrenset.

• Avgjøre om datalagrende modeller kan aktiveres for funksjoner som krever dem.

• Sikre at kundedata som gjøres tilgjengelige for Notion gjennom tilkoblede systemer, er egnet for det formålet, og at tilgang gitt i det tilkoblede systemet i seg selv er korrekt avgrenset.

• Gjøre brukere oppmerksomme på at kundedata som stammer fra utenfor arbeidsområdet, inkludert nettsider og opplastede filer, kan forsøke å påvirke AI-oppførsel.

Hva kunder bør forstå om tilkoblet data

Tilgang gitt gjennom en tilkobling er bare så begrenset som Tilgang gitt i det tilkoblede systemet. Notion håndhever Tilgang rapportert av det tilkoblede systemet, men utbedrer ikke for bred Tilgang i kildesystemet.

Tilgangsendringer i tilkoblede systemer reflekteres i Notion etter et synkroniseringsintervall i stedet for umiddelbart, og nylig lagt til eller slettet kundedata kan ta tid før de vises eller blir utilgjengelige.

Notion er ansvarlig for sikkerheten til Notion-tjenesten og for å varsle kunder der en hendelse påvirker deres kundedata. Kunder er ansvarlige for hvordan de håndterer hendelser som involverer deres egne kontoer, arbeidsområder og kundedata, inkludert eventuelle varsler de er pålagt å sende.

Notions ansvar

• Opprettholde en dokumentert plan for hendelseshåndtering, og teste den periodisk.

• Oppdage, prioritere, undersøke, begrense og utbedre sikkerhetshendelser som påvirker Notions systemer og kundedataene Notion oppbevarer.

• Varsle berørte kunder om sikkerhetshendelser i samsvar med databehandleravtalen og gjeldende lovverk.

• Gjennomfør en etterhendelsesgjennomgang, inkludert årsaksanalyse, og bruk funnene til å forbedre Notions kontroller og beredskapsplan.

• Publiser tjenestens operasjonelle status og kommuniser tilgjengelighetshendelser.

• Drift et program for sårbarhetsopplysning, og triager og utbedre rapporterte sårbarheter.

Brukeransvar

• Rapportering av mistenkte sikkerhetshendelser, kompromitterte kontoer, mistenkte sårbarheter og misbruk av tjenesten til Notion umiddelbart, gjennom den aktuelle kanalen.

• Oppdage og reagere på hendelser som oppstår i brukerens egne arbeidsområder og kontoer, inkludert kompromittert legitimasjon, upassende deling og misbruk av interne brukere.

• Vedlikeholde brukerens egne beredskapsordninger for hendelser, og definere hvem som er ansvarlig for å handle ved aktivitet identifisert i Notion.

• Iverksette inneslutningstiltak tilgjengelig i produktet, inkludert fjerning av tilgang, tilbakekalling av sesjoner, tilbakestilling av legitimasjon, tilbakekalling av integrasjonstokener og tilbaketrekking av publiserte kundedata.

• Bevar relevant bevis, inkludert eksport av revisjonsloggposter før de går ut av oppbevaringsvinduet.

• Avgjøre om en hendelse utløser en varslingsplikt som brukeren har overfor en regulator, kunde eller berørt person, og foreta denne varslingen.

• Hold administrative og sikkerhetsrelaterte kontaktopplysninger oppdatert, slik at varsler fra Notion når de rette personene.

• Rapporter mistenkte sårbarheter til Notion i stedet for å utnytte dem eller offentliggjøre dem.

Hvilken part oppdager hva

Notion overvåker sin egen infrastruktur og kan oppdage hendelser som påvirker tjenesten. Notion kan ikke avgjøre om en ellers gyldig arbeidsområdehandling var autorisert i henhold til brukerens interne retningslinjer. Kunder er ansvarlige for å overvåke arbeidsområdeaktivitet og reagere på misbruk.

Dette inkluderer hendelser som at et medlem publiserer konfidensielle kundedata, en ansatt som slutter eksporterer data, eller at legitimasjon blir misbrukt av den rettmessige innehaveren. Oppdagelse og respons på disse hendelsene avhenger av brukerens vurdering av aktivitetslogger og kontroller som er tilgjengelige for dem.

Notion opprettholder et program for informasjonssikkerhet og personvern som revideres uavhengig, og gjør den resulterende dokumentasjonen tilgjengelig. Kunder avgjør om Notion er egnet for deres egne regulatoriske forpliktelser og konfigurerer den deretter.

Notions ansvar

• Oppretthold uavhengig vurderte sikkerhets- og personvernprogrammer i samsvar med gjeldende revisjons- og sertifiseringssykluser.

• Gjør samsvarsdokumentasjon, inkludert revisjonsrapporter og sertifiseringer, tilgjengelig for kunder og potensielle kunder via Notion Trust Center.

Brukeransvar

• Avgjøre om Notion er egnet for dataene brukeren har til hensikt å lagre og de regulatoriske forpliktelsene som gjelder for dem.

• Inngå avtalene som kreves for slik bruk, inkludert en databehandleravtale eller Business Associate-avtale der det er aktuelt.

• Anvende konfigurasjonen som kreves av disse avtalene, inkludert aktivering av eventuelle samsvarsspesifikke innstillinger og sikkerhetsfunksjonene de er avhengige av.

• Fullføre brukerens egne vurderinger, inkludert risikovurdering av leverandører og eventuelle konsekvensutredninger for personvern som kreves ved lov.

• Vurdere Notions sertifiseringer, revisjonsrapporter og underdatabehandlerliste som en del av brukerens egne sikrings- og endringsstyringsprosesser.

• Dokumentere overfor brukerens egne revisorer og regulatorer at brukerens konfigurasjon og bruk av Notion oppfyller forpliktelsene som gjelder for dem.

Hvilken sertifisering dekker

Notions uavhengige tredjepartssertifiseringer og revisjonsrapporter dekker kontrollene Notion opererer. De strekker seg ikke til hvordan en individuell organisasjon konfigurerer eller bruker Notion.

Et arbeidsområde som inneholder regulerte data, er ikke i samsvar bare fordi Notion har en sertifisering. Der en forpliktelse avhenger av konfigurasjon, for eksempel ved å begrense Del, håndheve enkeltpålogging, beholde revisjonsposter eller begrense hvor data lagres, forblir det brukerens ansvar å oppfylle den.

Notion fastsetter vilkårene for hvordan tjenesten kan brukes og håndhever dem. Kunder er ansvarlige for sin egen bruk av Notion og for kundedataene som holdes i deres arbeidsområder.

Notions ansvar

• Publisere og vedlikeholde retningslinjene for Innhold og bruk, relevante vilkår og tilhørende retningslinjer.

• Tilby en mekanisme for alle som ser en offentlig Notion-side til å sende en rapport om kundedata de mener er forbudt.

• Undersøke rapporter, og fjerne kundedata eller begrense tilgang der et brudd er identifisert.

• Utøve ekstra kontroll på brukskategorier forbundet med høyere forekomst av misbruk, og suspendere eller avslutte tilgang der det er nødvendig for å beskytte tilgjengeligheten til tjenesten.

Brukeransvar

• Bruke Notion i samsvar med vilkårene og retningslinjene for Innhold og bruk, og sikre at personer som bruker Notion under brukerens abonnement, gjør det samme.

• Sikre at kundedata som lagres i, deles (Del) eller publiseres gjennom Notion, er i samsvar med disse retningslinjene og gjeldende lovverk.

• Moderere kundedata bidratt av andre der brukeren distribuerer brukergenererte kundedata gjennom Notion.

• Bruke Notion innenfor dens tiltenkte kapasitet, og ikke forsøke å omgå, deaktivere eller forstyrre sikkerhetskontrollene.

• Gjennomføre eventuell sikkerhetstesting av Notion kun gjennom Notions program for sårbarhetsopplysning og innenfor dets vilkår.

• Bruke kundestøtte- og rapportkanaler i god tro.