Mô hình Trách nhiệm đã chia sẻ

Mô hình Trách nhiệm đã chia sẻ này đảm bảo rằng Notion và khách hàng của mình làm việc cùng nhau để tạo ra một trải nghiệm không gian làm việc an toàn và hiệu quả.

Vui lòng tham khảo MSA và DPA của Notion để biết các thuật ngữ được định nghĩa.

Notion là một không gian làm việc duy nhất nơi bạn có thể suy nghĩ, viết và lập kế hoạch. Là một không gian làm việc tất cả trong một cho phép người dùng tự tạo ra các công cụ riêng để thực hiện công việc tốt nhất, người dùng tin tưởng Notion với thông tin chuyên môn và cá nhân, và thông qua kết nối và các tính năng AI, với quyền truy cập vào thông tin được lưu trữ trong các hệ thống khác.

Mô hình Trách nhiệm đã chia sẻ (SRM) là một khuôn khổ phác thảo sự phân chia trách nhiệm giữa nhà cung cấp dịch vụ và người dùng của họ. Nó xác định rõ ràng các nhiệm vụ bảo mật và vận hành được xử lý bởi mỗi bên.

Tài liệu này phác thảo các trách nhiệm được chia sẻ giữa Notion và khách hàng của mình trong việc bảo vệ và duy trì tính bảo mật của các hệ thống, tài khoản người dùng và không gian làm việc của Notion.

SRM của Notion cung cấp sự rõ ràng cho cả Notion và khách hàng về việc bên nào chịu trách nhiệm cho các quy trình, hoạt động hoặc biện pháp kiểm soát cụ thể. Điều này cho phép Notion tập trung vào và chịu trách nhiệm về các lĩnh vực mà chúng tôi có thể bảo vệ tốt nhất tính bảo mật, tính toàn vẹn và tính sẵn sàng của các hệ thống của Notion, đồng thời xác định nơi khách hàng có vị thế tốt hơn để bảo mật tài khoản, không gian làm việc và dữ liệu khách hàng của riêng họ. Nhìn chung, điều này tăng cường tính bảo mật và hiệu quả trong việc bảo vệ các hệ thống và tài khoản của Notion.

SRM cũng thúc đẩy sự minh bạch trong cách các Dịch vụ của Notion được cung cấp, cung cấp cho khách hàng thông tin họ cần để đánh giá Notion trong các quy trình đảm bảo và rủi ro của riêng họ, đồng thời hỗ trợ cả Notion và khách hàng trong việc đáp ứng các nghĩa vụ tương ứng của họ theo các quy định hiện hành của địa phương, khu vực, quốc gia và quốc tế.

Tóm lại: Notion chịu trách nhiệm xây dựng, vận hành và bảo vệ kiến trúc của Dịch vụ Notion. Khách hàng chịu trách nhiệm về cách họ cấu hình và sử dụng Dịch vụ đó, bao gồm việc bảo vệ thông tin đăng nhập của họ, quản lý quyền truy cập vào không gian làm việc và dữ liệu khách hàng của họ, cũng như tuân thủ Chính sách nội dung & sử dụng và các Điều khoản liên quan khác.

Một số trách nhiệm được mô tả trong tài liệu này chỉ có thể được thực hiện bởi Khách hàng có quyền nâng cao trong không gian làm việc hoặc tổ chức. Người dùng có trách nhiệm phân công các quyền đó một cách phù hợp.

Các công cụ có sẵn để đáp ứng một trách nhiệm nhất định sẽ khác nhau tùy theo gói. Trong trường hợp một tính năng chỉ giới hạn ở các gói đăng ký cụ thể, Khách hàng sử dụng các gói đăng ký không có tính năng đó vẫn phải chịu trách nhiệm về kết quả cơ bản và nên xem xét các biện pháp kiểm soát thay thế.

Notion cung cấp các phương thức xác thực và các biện pháp kiểm soát hành chính quản lý cách mọi người đăng nhập vào Notion cũng như cách quyền truy cập Không gian làm việc được cấp và thu hồi. Khách hàng chịu trách nhiệm lựa chọn và định cấu hình các biện pháp kiểm soát phù hợp với tổ chức của họ, cũng như bảo vệ thông tin xác thực được sử dụng để truy cập tài khoản của họ.

Trách nhiệm của Notion

• Cung cấp và vận hành các phương thức xác thực, bao gồm email và mật khẩu, đăng nhập bằng Google và Apple, và đăng nhập một lần SAML 2.0 cho các không gian làm việc trên các gói Business và Enterprise.

• Cung cấp xác thực hai yếu tố cho các tài khoản đăng nhập bằng mật khẩu, sử dụng ứng dụng xác thực hoặc mã tin nhắn văn bản.

• Cung cấp các API SCIM cho phép các tổ chức Enterprise tự động hóa việc tạo, cập nhật và xóa Người dùng khỏi nhà cung cấp danh tính của họ.

• Cung cấp các quyền kiểm soát hành chính quản lý thời lượng phiên, đăng xuất bắt buộc, đặt lại mật khẩu, tạm khóa tài khoản và xác minh miền.

• Yêu cầu bằng chứng xác minh quyền sở hữu tên miền trước khi tên miền đó có thể được sử dụng để kiểm soát cách cơ sở người dùng của nó đăng nhập vào Notion.

• Thu hồi quyền truy cập của người dùng vào Dữ liệu Khách hàng khi người dùng đó bị xóa khỏi không gian làm việc. Cung cấp các quyền kiểm soát cho phép tổ chức chấm dứt các phiên làm việc và đặt lại thông tin xác thực trên toàn bộ cơ sở người dùng được quản lý của mình.

• Duy trì các quyền kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu trên toàn bộ cơ sở hạ tầng của Notion, đồng thời yêu cầu nhân viên và nhà thầu của Notion phải tuân thủ các nghĩa vụ bảo mật.

• Truy cập Dữ liệu Khách hàng cho mục đích hỗ trợ chỉ khi người dùng hoặc chủ sở hữu không gian làm việc đã cấp quyền và tự động hết hạn quyền đó sau một khoảng thời gian xác định.

Trách nhiệm của Người dùng

• Bảo vệ thông tin đăng nhập, sử dụng mật khẩu mạnh và duy nhất, đồng thời tránh sử dụng lại trên các dịch vụ khác.

• Duy trì các tài khoản cá nhân thay vì tài khoản dùng chung và không chia sẻ thông tin đăng nhập.

• Sử dụng xác thực hai yếu tố trên các tài khoản đăng nhập bằng mật khẩu.

• Cập nhật thông tin xác thực theo chính sách nội bộ và kịp thời khi phát hiện rò rỉ thông tin xác thực bên ngoài.

• Chọn và định cấu hình các phương thức xác thực phù hợp với tổ chức, bao gồm cả việc có bắt buộc đăng nhập một lần hay không.

• Đảm bảo quyền truy cập không gian làm việc chỉ giới hạn cho những người dùng được chỉ định và quyền truy cập đó được xóa kịp thời khi ai đó rời đi hoặc thay đổi vai trò. Việc hủy cấp quyền tự động yêu cầu SCIM; nếu không sử dụng SCIM, việc xóa là một quy trình thủ công.

• Thiết lập thời lượng phiên theo chính sách nội bộ và duy trì quy trình khôi phục khi mất quyền truy cập vào nhà cung cấp danh tính.

• Kiểm soát việc bộ phận hỗ trợ của Notion có thể truy cập tài khoản hoặc Không gian làm việc hay không, và thu hồi quyền truy cập đó khi không còn cần thiết.

Notion cung cấp mô hình quyền xác định những gì người dùng đã xác thực có thể xem và thực hiện, cùng với các quyền kiểm soát hành chính thiết lập ranh giới cho việc chia sẻ. Khách hàng chịu trách nhiệm quyết định cách áp dụng mô hình đó cho Dữ liệu Khách hàng của họ và xem xét quyền truy cập phát sinh.

Trách nhiệm của Notion

• Cung cấp mô hình quyền hoạt động ở cấp Không gian làm việc, không gian nhóm, trang và cơ sở dữ liệu, bao gồm các nhóm quyền và thực thi mô hình đó một cách nhất quán trên toàn bộ sản phẩm.

• Cung cấp quyền truy cập riêng biệt cho thành viên và khách, để những người cộng tác bên ngoài có thể được cấp quyền truy cập vào Dữ liệu Khách hàng cụ thể thay vì toàn bộ Không gian làm việc.

• Cung cấp các quyền kiểm soát hành chính cho phép tổ chức hạn chế chia sẻ trang công khai, quyền truy cập của khách, xuất, cũng như việc di chuyển hoặc sao chép trang sang các Không gian làm việc khác.

• Cung cấp các quyền kiểm soát quản lý ai có thể xuất bản Dữ liệu Khách hàng lên web, bao gồm các Trang web Notion, Biểu mẫu và /liên kết công khai.

• Cung cấp các công cụ hiển thị cho phép tổ chức xác định ai có quyền truy cập vào một trang, những trang nào được chia sẻ ra bên ngoài hoặc xuất bản lên web, và thay đổi các quyền đó.

• Tôn trọng các quyền của Workspace đã được cấu hình khi cung cấp các tính năng AI và tìm kiếm.

Trách nhiệm của Người dùng

• Xác định mức độ truy cập phù hợp cho Dữ liệu Khách hàng và áp dụng các quyền tương ứng.

• Quyết định xem có cho phép cộng tác bên ngoài và xuất bản công khai hay không, đồng thời cấu hình các kiểm soát khả dụng để phản ánh quyết định đó.

• Hiểu cách thức kế thừa quyền truy cập. Quyền truy cập được cấp cho một trang mặc định sẽ mở rộng sang các trang lồng trong đó, và quyền truy cập được cấp thông qua nhiều lộ trình sẽ được giải quyết theo mức cao nhất được cấp.

• Định kỳ xem xét quyền truy cập, bao gồm các thành viên Workspace, khách, nhóm quyền, Dữ liệu Khách hàng được chia sẻ ra bên ngoài và Dữ liệu Khách hàng được xuất bản lên web.

• Xóa quyền truy cập vào Dữ liệu Khách hàng khi sự tham gia của cộng tác viên kết thúc, bao gồm cả khách và cộng tác viên bên ngoài có quyền truy cập không được quản lý thông qua nhà cung cấp danh tính của tổ chức.

• Đảm bảo Dữ liệu Khách hàng được xuất bản lên web dành cho đối tượng công chúng và cấu hình các tùy chọn như lập chỉ mục công cụ tìm kiếm cho phù hợp.

• Chuyển Dữ liệu Khách hàng do người dùng giữ Riêng tư trước khi người dùng đó rời đi, hoặc trong khoảng thời gian Limited mà việc chuyển dữ liệu vẫn có thể thực hiện được. Sau khoảng thời gian đó, Dữ liệu Khách hàng Riêng tư thường không thể khôi phục được và công cụ chuyển dữ liệu chỉ khả dụng trên gói Enterprise.

Notion lưu trữ và xử lý Dữ liệu Khách hàng thay mặt cho Khách hàng của mình và bảo vệ dữ liệu đó trong quá trình truyền tải và lưu trữ. Khách hàng quyết định dữ liệu nào được đưa vào Notion, thời gian lưu giữ dữ liệu đó và các nghĩa vụ pháp lý nào gắn liền với dữ liệu đó.

Trách nhiệm của Notion

• Xử lý Dữ liệu Khách hàng theo Thỏa thuận Đăng ký Chính, Phụ lục Xử lý Dữ liệu và luật bảo vệ dữ liệu hiện hành.

• Mã hóa Dữ liệu Khách hàng khi lưu trữ bằng AES-256 hoặc thuật toán tiêu chuẩn ngành cung cấp mức độ bảo mật tương đương hoặc mạnh hơn, bao gồm cả trong lưu trữ đám mây, trong các bảng biểu của cơ sở dữ liệu và các bản sao lưu, đồng thời mã hóa dữ liệu trong quá trình truyền tải bằng TLS 1.2 trở lên.

• Duy trì và xuất bản danh sách các bên xử lý dữ liệu phụ hiện tại.

• Cung cấp dịch vụ lưu trú dữ liệu cho các danh mục Dữ liệu Khách hàng được xác định, cho phép các tổ chức đủ điều kiện chọn khu vực lưu trữ dữ liệu đó khi ở trạng thái nghỉ.

• Không sử dụng Dữ liệu Khách hàng để huấn luyện các mô hình học máy của Notion, và cấm theo hợp đồng các bên xử lý dữ liệu phụ về AI thực hiện việc này nếu không có sự đồng ý rõ ràng của khách hàng.

• Cung cấp chức năng cho phép Khách hàng Xuất, lưu giữ và /xóa Dữ liệu Khách hàng của họ, và /xóa Dữ liệu Khách hàng khi kết thúc hợp đồng theo thỏa thuận.

• Ký kết Phụ lục Xử lý Dữ liệu và Thỏa thuận Đối tác Business (nếu có) với những khách hàng yêu cầu.

Trách nhiệm của Người dùng

• Xác định dữ liệu nào phù hợp để lưu trữ trong Notion và đảm bảo rằng dữ liệu được quản lý chỉ được lưu trữ ở nơi có các thỏa thuận và cấu hình cần thiết.

• Thiết lập và áp dụng các quy trình lưu giữ, đồng thời xóa Dữ liệu Khách hàng không còn cần thiết.

• Cấu hình các cài đặt lưu giữ và xóa có sẵn trong sản phẩm để phản ánh chính sách nội bộ.

• Gửi Dữ liệu Tài khoản đầy đủ và chính xác, đồng thời sửa lỗi kịp thời khi phát hiện sai sót.

• Đáp ứng các nghĩa vụ thuộc về bên kiểm soát dữ liệu cá nhân được lưu giữ trong không gian làm việc, bao gồm cung cấp thông tin quyền riêng tư cho các cá nhân, thiết lập cơ sở pháp lý để xử lý và phản hồi các yêu cầu của chủ thể dữ liệu liên quan đến Dữ liệu Khách hàng.

• Xác định xem có cần một vùng lưu trú dữ liệu cụ thể hay không, yêu cầu vùng đó khi cần thiết và hiểu những danh mục dữ liệu và sản phẩm Notion nào nằm ngoài phạm vi đó.

• Xem xét danh sách các bên xử lý dữ liệu phụ của Notion.

Notion vận hành cơ sở hạ tầng giúp Dịch vụ luôn khả dụng và duy trì các bản sao lưu của cơ sở hạ tầng đó nhằm mục đích phục hồi Dịch vụ. Khách hàng chịu trách nhiệm phục hồi Dữ liệu Khách hàng của riêng mình bằng cách sử dụng các công cụ mà Notion cung cấp, và giữ một bản sao độc lập của Dữ liệu Khách hàng đó khi các nghĩa vụ của chính họ yêu cầu.

Trách nhiệm của Notion

• Vận hành Dịch vụ Notion theo các cam kết về tính khả dụng được quy định trong Điều khoản Mức độ Dịch vụ, sử dụng cơ sở hạ tầng dự phòng trên nhiều vùng khả dụng.

• Xuất bản trạng thái hoạt động của Dịch vụ.

• Duy trì các bản sao lưu tự động, được mã hóa và giám sát của Dữ liệu Khách hàng.

• Lưu trữ các bản sao lưu theo ánh xạ vùng sao lưu đã công bố của Notion cho vùng lưu trú dữ liệu đã chọn. Lưu trú dữ liệu chỉ áp dụng cho các danh mục Dữ liệu Khách hàng được xác định.

• Duy trì và kiểm tra định kỳ các kế hoạch phục hồi sau thảm họa và duy trì hoạt động kinh doanh.

• Cung cấp các công cụ phục hồi trong sản phẩm, bao gồm Thùng rác và lịch sử phiên bản, cho phép Khách hàng tự khôi phục Dữ liệu Khách hàng.

• Cung cấp chức năng Xuất cho phép Khách hàng lấy bản sao Dữ liệu Khách hàng của họ.

Trách nhiệm của Người dùng

• Khôi phục các trang riêng lẻ và Dữ liệu Khách hàng bằng cách sử dụng Thùng rác và lịch sử phiên bản, trong thời hạn lưu giữ áp dụng cho gói của Người dùng.

• Cấu hình các cài đặt lưu giữ dữ liệu cho Dữ liệu Khách hàng, nếu có, để phản ánh chính sách nội bộ.

• Duy trì một bản Sao chép độc lập của Dữ liệu Khách hàng khi chính sách nội bộ, cam kết hợp đồng hoặc quy định yêu cầu lưu giữ ngoài những gì sản phẩm cung cấp, hoặc yêu cầu một bản Sao chép được lưu giữ bên ngoài Notion.

• Tạo các bản Xuất theo lịch trình phù hợp với các yêu cầu đó và xác minh rằng các bản Xuất là đầy đủ. Dữ liệu Khách hàng mà tài khoản Xuất không thể truy cập sẽ không được bao gồm trong bản Xuất.

• Truy xuất các bản Xuất trong thời hạn /liên kết Tải xuống còn hiệu lực.

• Lập kế hoạch cho khả năng dịch vụ không khả dụng như một phần trong các thỏa thuận duy trì hoạt động kinh doanh của chính Người dùng.

Sao lưu của Notion là gì và không phải là gì

Các bản sao lưu của Notion tồn tại để khôi phục Dịch vụ Notion. Chúng không phải là điểm khôi phục dành cho khách hàng và không thể được sử dụng để đưa không gian làm việc trở lại trạng thái tại một thời điểm đã chọn. Việc khôi phục Dữ liệu Khách hàng riêng lẻ được Khách hàng thực hiện thông qua Thùng rác và lịch sử phiên bản. Sau khi Dữ liệu Khách hàng đã vượt quá thời hạn Thùng rác và lưu giữ dữ liệu áp dụng, dữ liệu đó sẽ bị xóa và không thể khôi phục. Khách hàng không nên dựa vào bộ phận hỗ trợ như một cơ chế lưu giữ dữ liệu.

Việc Xuất dữ liệu tạo ra một bản Sao chép di động của Dữ liệu Khách hàng ở các định dạng như HTML, markdown, CSV hoặc /PDF, tùy thuộc vào loại Xuất và gói. Đây không phải là bản sao lưu không gian làm việc đầy đủ: việc Nhập Dữ liệu Khách hàng đã Xuất sẽ không tạo lại các quyền, cài đặt hoặc cấu hình hoàn chỉnh ban đầu của không gian làm việc và có thể yêu cầu tái cấu trúc thủ công.

Notion tạo các bản ghi về Hoạt động liên quan trong không gian làm việc và cung cấp chúng cho tổ chức. Khách hàng chịu trách nhiệm xem xét các bản ghi đó, lưu giữ chúng khi cần thiết và hành động dựa trên những gì chúng hiển thị.

Trách nhiệm của Notion

• Ghi lại các sự kiện liên quan đến bảo mật và an toàn xảy ra trên các Không gian làm việc của tổ chức, bao gồm tác nhân, hành động, thời gian và địa chỉ IP nếu có.

• Lưu giữ lịch sử nhật ký kiểm tra trong sản phẩm trong một khoảng thời gian xác định, đồng thời cung cấp các cơ chế xuất và truyền dữ liệu để Khách hàng có thể lưu giữ lâu hơn.

• Cung cấp phương tiện truyền sự kiện đến nền tảng giám sát bảo mật của riêng Người dùng trong thời gian thực và hỗ trợ kết nối với các công cụ ngăn ngừa mất dữ liệu.

• Giám sát cơ sở hạ tầng, mạng và hệ thống của chính Notion để phát hiện hoạt động độc hại, đồng thời duy trì việc ghi nhật ký nội bộ cho các hệ thống đó.

Trách nhiệm của Người dùng

• Xem xét hoạt động của nhật ký kiểm tra, đồng thời điều tra và xử lý các hoạt động có vẻ bất thường hoặc không được ủy quyền.

• Lưu giữ dữ liệu nhật ký kiểm tra trong khoảng thời gian theo chính sách hoặc quy định nội bộ của Khách hàng bằng cách xuất hoặc truyền sự kiện trước khi chúng vượt quá thời hạn lưu giữ.

• Cấu hình giám sát, cảnh báo và mọi kết nối bảo mật hoặc tuân thủ trong môi trường của chính Người dùng, đồng thời đảm bảo các tích hợp đó vẫn hoạt động.

• Xác định những gì cấu thành hoạt động đáng ngờ trong bối cảnh của tổ chức và phân công trách nhiệm xem xét hoạt động đó.

• Báo cáo hoạt động đáng ngờ cho Notion khi hoạt động đó có thể cho thấy Dịch vụ bị xâm phạm.

Nhật ký kiểm tra thực hiện và không thực hiện những gì

Nhật ký kiểm tra ghi lại các sự kiện. Các mục nhật ký và dữ liệu được truyền mô tả các hành động đã thực hiện và người thực hiện; chúng không chứa Dữ liệu Khách hàng của các trang.

Việc ghi nhật ký kiểm tra bắt đầu khi một tổ chức đủ điều kiện sử dụng tính năng này. Hoạt động diễn ra trước đó sẽ không được cung cấp hồi cứu.

Notion phát triển, vận hành và duy trì Dịch vụ Notion cùng cơ sở hạ tầng mà dịch vụ đó chạy trên đó, bao gồm việc bảo mật và vá lỗi cơ sở hạ tầng đó. Khách hàng chịu trách nhiệm về các môi trường mà từ đó họ truy cập Notion.

Trách nhiệm của Notion

• Phát triển, kiểm thử, vá lỗi và duy trì ứng dụng Notion cùng cơ sở hạ tầng hỗ trợ ứng dụng đó. Các bản cập nhật cho Dịch vụ được Notion áp dụng và không yêu cầu Khách hàng phải thực hiện hành động nào.

• Thực hiện mô hình hóa mối đe dọa và nhận xét thiết kế bảo mật cho các bản phát hành mới, đồng thời thực hiện kiểm tra mã nguồn, nhận xét mã nguồn và quét bảo mật cơ sở mã.

• Ủy quyền kiểm thử xâm nhập độc lập hàng năm.

• Triển khai và quản lý bảo mật mạng trên các hệ thống của Notion.

• Giám sát cơ sở hạ tầng, mạng và tài sản của Notion để phát hiện hoạt động độc hại.

• Vận hành chương trình tiết lộ lỗ hổng công khai và ủy quyền kiểm thử xâm nhập độc lập.

• Bảo mật các hệ thống doanh nghiệp và thiết bị của nhân viên Notion, bao gồm mã hóa dữ liệu lưu trữ, phát hiện và phản hồi trên thiết bị đầu cuối, và quản lý thiết bị tập trung.

• Xuất bản các ứng dụng Notion và cung cấp các Cập nhật cho chúng.

Trách nhiệm của Người dùng

• Duy trì các môi trường thiết bị đầu cuối được hỗ trợ và vá lỗi phù hợp, bao gồm trình duyệt web và bất kỳ biện pháp kiểm soát nào có thể ngăn chặn các bản cập nhật ứng dụng khách Notion.

• Bảo mật các thiết bị và mạng được sử dụng để truy cập Notion, phù hợp với các tiêu chuẩn bảo mật thiết bị đầu cuối của chính Người dùng.

• Trong trường hợp các Cập nhật ứng dụng Notion được quản lý tập trung, cần đảm bảo các Cập nhật tiếp tục được áp dụng kịp thời. Việc trì hoãn hoặc tắt các Cập nhật tự động sẽ chuyển trách nhiệm vá lỗi kịp thời của ứng dụng khách cho Người dùng.

• Đảm bảo các cấu hình cài đặt không ngăn cản Người dùng nhận các Cập nhật.

• Báo cáo các lỗ hổng bị nghi ngờ trong Dịch vụ Notion cho Notion thay vì khai thác hoặc tiết lộ công khai chúng.

Ranh giới nằm ở đâu

Notion vá lỗi Dịch vụ Notion. Khách hàng không áp dụng các bản vá cho Notion và không cần thực hiện hành động nào từ phía khách hàng đối với các bản cập nhật phía máy chủ.

Ứng dụng khách thì khác. Notion phát hành các Cập nhật, nhưng việc một thiết bị cụ thể có nhận được chúng hay không phụ thuộc vào cách thiết bị đó được cấu hình và quản lý. Khi một tổ chức quản lý hành vi cài đặt hoặc cập nhật, thì việc giữ cho ứng dụng khách luôn được cập nhật là trách nhiệm của tổ chức đó.

Notion cung cấp API, nền tảng tích hợp và các tính năng AI có thể tác động đến Dữ liệu Khách hàng và truy cập vào các hệ thống được kết nối. Khách hàng chịu trách nhiệm quyết định tính năng nào trong số này sẽ được bật, cấp quyền truy cập nào cho chúng và cách thức quản lý chúng.

Trách nhiệm của Notion

• Cung cấp và duy trì API Notion, nền tảng tích hợp, các kết nối và các tính năng AI.

• Tôn trọng quyền của người dùng trong Notion AI, Trợ lý Notion và Trình kết nối AI. Các trợ lý tùy chỉnh sử dụng các quyền được cấp rõ ràng của riêng chúng, có thể khác với quyền của người đang tương tác với trợ lý đó.

• Cung cấp các quyền kiểm soát quản trị để quản lý việc tích hợp và công cụ AI bên ngoài nào có thể được cài đặt, trợ lý nào có thể được tạo và liệu các tính năng AI có được bật hay không.

• Cung cấp các tùy chọn để bật hoặc tắt tính năng tìm kiếm web bằng AI và yêu cầu xác nhận trước khi thực hiện các yêu cầu web bên ngoài.

• Duy trì các biện pháp phòng thủ được thiết kế để phát hiện và giảm thiểu rủi ro tiêm lệnh (prompt-injection), bao gồm việc phát hiện các hướng dẫn ẩn trong nội dung của bên thứ ba và các tệp được tải lên, các hạn chế đối với việc xử lý liên kết và các kiểm tra bổ sung khi các trợ lý hoạt động tự chủ.

• Không sử dụng Dữ liệu Khách hàng để huấn luyện các mô hình của Notion, và cấm theo hợp đồng các bên xử lý phụ về AI thực hiện việc này nếu không có sự đồng ý rõ ràng của khách hàng.

• Ghi lại hoạt động tích hợp, kết nối, trợ lý và công cụ AI bên ngoài vào nhật ký kiểm tra.

Trách nhiệm của Người dùng

• Quyết định xem những tích hợp, kết nối, tính năng AI và trợ lý nào là phù hợp với tổ chức, và định cấu hình các tùy chọn có sẵn để phản ánh quyết định đó.

• Xem xét quyền truy cập và khả năng được yêu cầu bởi một tích hợp hoặc kết nối trước khi cấp phép, và xác nhận rằng dịch vụ của bên thứ ba đáp ứng các yêu cầu về nhà cung cấp của chính Người dùng.

• Quản lý các mã thông báo tích hợp nội bộ, bao gồm việc hạn chế phân phối, xoay vòng và thu hồi những mã không còn cần thiết.

• Quản lý việc tạo và định cấu hình các trợ lý, bao gồm việc mỗi trợ lý có thể tiếp cận Dữ liệu Khách hàng và các công cụ được kết nối nào, đồng thời xem xét quyền truy cập đó định kỳ.

• Khách hàng phải đảm bảo rằng các quyền của trợ lý được giới hạn phạm vi một cách phù hợp.

• Xác định xem có nên bật các mô hình lưu giữ dữ liệu cho các tính năng yêu cầu chúng hay không.

• Đảm bảo Dữ liệu Khách hàng được cung cấp cho Notion thông qua các hệ thống được kết nối là phù hợp với mục đích đó, và quyền truy cập được cấp trong hệ thống được kết nối cũng được giới hạn phạm vi một cách chính xác.

• Thông báo cho Người dùng rằng Dữ liệu Khách hàng có nguồn gốc bên ngoài Không gian làm việc, bao gồm các trang web và tệp được tải lên, có thể cố gắng gây ảnh hưởng đến hành vi của AI.

Những điều Khách hàng cần hiểu về dữ liệu được kết nối

Quyền truy cập được cấp thông qua kết nối chỉ giới hạn trong phạm vi các quyền được cấp trong hệ thống được kết nối. Notion thực thi các quyền do hệ thống được kết nối báo cáo nhưng không khắc phục các quyền quá rộng của hệ thống nguồn.

Các thay đổi về quyền trong các hệ thống được kết nối sẽ được phản ánh trong Notion sau một khoảng thời gian đồng bộ hóa thay vì ngay lập tức, và Dữ liệu Khách hàng mới được thêm hoặc xóa có thể mất thời gian để xuất hiện hoặc trở nên không khả dụng.

Notion chịu trách nhiệm về bảo mật của dịch vụ Notion và thông báo cho khách hàng khi có sự cố ảnh hưởng đến Dữ liệu Khách hàng của họ. Khách hàng chịu trách nhiệm về cách họ ứng phó với các sự cố liên quan đến tài khoản, Không gian làm việc và Dữ liệu Khách hàng của chính họ, bao gồm mọi thông báo mà họ bắt buộc phải thực hiện.

Trách nhiệm của Notion

• Duy trì một kế hoạch ứng phó sự cố được lập thành văn bản và kiểm tra kế hoạch đó định kỳ.

• Phát hiện, phân loại, điều tra, ngăn chặn và khắc phục các sự cố bảo mật ảnh hưởng đến hệ thống của Notion và Dữ liệu Khách hàng mà Notion lưu giữ.

• Thông báo cho các khách hàng bị ảnh hưởng về các sự cố bảo mật theo Phụ lục Xử lý Dữ liệu và luật hiện hành.

• Thực hiện đánh giá sau sự cố, bao gồm phân tích nguyên nhân gốc rễ, và áp dụng các kết quả vào các biện pháp kiểm soát và kế hoạch ứng phó của Notion.

• Công bố trạng thái hoạt động của dịch vụ và thông báo về các sự cố liên quan đến tính khả dụng.

• Vận hành chương trình tiết lộ lỗ hổng bảo mật, đồng thời phân loại và khắc phục các lỗ hổng đã được báo cáo.

Trách nhiệm của Người dùng

• Báo cáo kịp thời các sự cố bảo mật nghi ngờ, tài khoản bị xâm phạm, lỗ hổng bảo mật nghi ngờ và việc sử dụng sai dịch vụ cho Notion thông qua kênh phù hợp.

• Phát hiện và phản hồi các sự cố xảy ra trong Không gian làm việc và tài khoản của chính Người dùng, bao gồm thông tin đăng nhập bị xâm phạm, chia sẻ không phù hợp và việc sử dụng sai mục đích bởi Người dùng nội bộ.

• Duy trì các thỏa thuận ứng phó sự cố của riêng Người dùng và xác định ai chịu trách nhiệm xử lý các hoạt động được xác định trong Notion.

• Thực hiện các hành động ngăn chặn khả dụng trong sản phẩm, bao gồm xóa truy cập, thu hồi phiên làm việc, đặt lại thông tin đăng nhập, thu hồi mã thông báo tích hợp và rút lại Dữ liệu Khách hàng đã xuất bản.

• Lưu giữ các bằng chứng liên quan, bao gồm việc xuất các bản ghi nhật ký kiểm tra trước khi chúng vượt quá thời hạn lưu giữ.

• Xác định xem một sự cố có kích hoạt nghĩa vụ thông báo mà Người dùng phải thực hiện với cơ quan quản lý, khách hàng hoặc cá nhân bị ảnh hưởng hay không, và thực hiện thông báo đó.

• Giữ cho thông tin liên hệ về quản trị và bảo mật luôn cập nhật để các thông báo từ Notion đến được đúng người.

• Báo cáo các lỗ hổng bảo mật nghi ngờ cho Notion thay vì khai thác hoặc tiết lộ công khai.

Bên nào phát hiện điều gì

Notion giám sát cơ sở hạ tầng của riêng mình và có thể phát hiện các sự cố ảnh hưởng đến Dịch vụ. Notion không thể xác định liệu một Hành động trong Không gian làm việc vốn hợp lệ có được ủy quyền theo các chính sách nội bộ của Người dùng hay không. Khách hàng chịu trách nhiệm giám sát hoạt động của Không gian làm việc và phản hồi đối với việc sử dụng sai mục đích.

Điều này bao gồm các sự cố như một thành viên xuất bản Dữ liệu Khách hàng bảo mật, nhân viên nghỉ việc xuất dữ liệu hoặc thông tin đăng nhập bị người sở hữu hợp pháp sử dụng sai mục đích. Việc phát hiện và phản hồi các sự kiện này phụ thuộc vào việc Người dùng xem xét các bản ghi hoạt động và các biện pháp kiểm soát khả dụng đối với họ.

Notion duy trì một chương trình bảo mật thông tin và quyền riêng tư được kiểm toán độc lập, đồng thời cung cấp các tài liệu liên quan. Khách hàng tự xác định xem Notion có phù hợp với các nghĩa vụ pháp lý của họ hay không và cấu hình Notion cho phù hợp.

Trách nhiệm của Notion

• Duy trì các chương trình bảo mật và quyền riêng tư được đánh giá độc lập theo các chu kỳ kiểm toán và chứng nhận hiện hành.

• Cung cấp tài liệu tuân thủ, bao gồm các báo cáo kiểm toán và chứng nhận, cho khách hàng và khách hàng tiềm năng thông qua Trung tâm Tin cậy Notion.

Trách nhiệm của Người dùng

• Xác định xem Notion có phù hợp với dữ liệu mà Người dùng dự định lưu trữ và các nghĩa vụ pháp lý áp dụng cho họ hay không.

• Ký kết các thỏa thuận cần thiết cho việc sử dụng đó, bao gồm Phụ lục Xử lý Dữ liệu hoặc Thỏa thuận Đối tác Kinh doanh nếu có.

• Áp dụng cấu hình theo yêu cầu của các thỏa thuận đó, bao gồm việc bật bất kỳ cài đặt tuân thủ cụ thể nào và các tính năng bảo mật mà các cài đặt đó phụ thuộc vào.

• Hoàn thành các đánh giá của riêng Người dùng, bao gồm đánh giá rủi ro nhà cung cấp và mọi đánh giá tác động bảo vệ dữ liệu theo yêu cầu của pháp luật.

• Nhận xét các chứng nhận, báo cáo kiểm toán và danh sách bên xử lý phụ (subprocessor) của Notion như một phần trong quy trình đảm bảo và quản lý thay đổi của Người dùng.

• Chứng minh cho các kiểm toán viên và cơ quan quản lý của riêng Người dùng thấy rằng cấu hình và việc sử dụng Notion của Người dùng đáp ứng các nghĩa vụ áp dụng cho họ.

Chứng nhận bao gồm những gì

Các chứng nhận và báo cáo kiểm toán của bên thứ ba độc lập của Notion bao gồm các biện pháp kiểm soát mà Notion vận hành. Chúng không mở rộng đến cách một tổ chức cá nhân cấu hình hoặc sử dụng Notion.

Một Không gian làm việc chứa dữ liệu được quản lý không mặc nhiên tuân thủ chỉ vì Notion có chứng nhận. Khi một nghĩa vụ phụ thuộc vào cấu hình, chẳng hạn như hạn chế chia sẻ, thực thi đăng nhập một lần, lưu giữ hồ sơ kiểm toán hoặc giới hạn nơi lưu trữ dữ liệu, thì việc đáp ứng nghĩa vụ đó vẫn là trách nhiệm của Người dùng.

Notion thiết lập các điều khoản mà theo đó dịch vụ có thể được sử dụng và thực thi các điều khoản đó. Khách hàng chịu trách nhiệm về việc sử dụng Notion của riêng họ và về Dữ liệu Khách hàng được lưu trữ trong Không gian làm việc của họ.

Trách nhiệm của Notion

• Xuất bản và duy trì Chính sách Nội dung & Sử dụng, các Điều khoản liên quan và các chính sách liên quan khác.

• Cung cấp cơ chế cho bất kỳ ai xem trang công khai của Notion để báo cáo Dữ liệu Khách hàng mà họ cho là bị cấm.

• Điều tra các báo cáo, đồng thời xóa Dữ liệu Khách hàng hoặc hạn chế quyền truy cập khi xác định có vi phạm.

• Áp dụng sự giám sát chặt chẽ hơn đối với các danh mục sử dụng liên quan đến tỷ lệ lạm dụng cao hơn, đồng thời tạm ngưng hoặc ngừng quyền truy cập khi cần thiết để bảo vệ tính khả dụng của Dịch vụ.

Trách nhiệm của Người dùng

• Sử dụng Notion theo các Điều khoản và Chính sách Nội dung & Sử dụng, đồng thời đảm bảo rằng những người sử dụng Notion theo gói đăng ký của Người dùng cũng thực hiện tương tự.

• Đảm bảo rằng Dữ liệu Khách hàng được lưu trữ trong, chia sẻ từ hoặc xuất bản thông qua Notion tuân thủ các chính sách đó và luật hiện hành.

• Kiểm duyệt Dữ liệu Khách hàng do người khác đóng góp khi Người dùng phân phối Dữ liệu Khách hàng do người dùng tạo thông qua Notion.

• Sử dụng Notion trong phạm vi năng lực dự kiến của nó, và không cố gắng phá vỡ, tắt hoặc can thiệp vào các biện pháp kiểm soát bảo mật của nó.

• Chỉ thực hiện kiểm tra bảo mật Notion thông qua chương trình tiết lộ lỗ hổng bảo mật của Notion và trong phạm vi các điều khoản của chương trình đó.

• Sử dụng các kênh hỗ trợ và Báo cáo một cách thiện chí.