共同责任模型

此已共享责任模型确保 Notion 及其客户携手合作，创造安全有效的工作空间体验。

有关定义术语，请参阅 Notion 的 MSA 和 DPA。

Notion 是一个供你思考、写作和规划的单一空间。作为一个允许用户构建自己的工具以实现最佳工作表现的一体化空间，用户将专业和个人信息托付给 Notion，并通过 连接 和 AI 功能，授予其访问其他系统中存储的信息的访问权限。

已共享责任模型 (SRM) 是一个概述服务提供商与其用户之间责任划分的框架。它明确定义了每一方负责的安全和运营任务。

本文档概述了 Notion 及其客户在保护和维护 Notion 系统、用户帐号和工作空间的安全性方面所共同承担的责任。

Notion SRM 为 Notion 及其客户明确了各方负责的具体流程、操作或控制措施。这使 Notion 能够专注于并承担起我们最能保护 Notion 系统机密性、完整性和可用性的领域，同时明确客户在保护其自身帐号、工作空间和客户数据方面更具优势的领域。总体而言，这增强了保护 Notion 系统和帐号的安全性与效率。

SRM 还提高了 Notion 服务交付方式的透明度，为客户提供了在自身风险和保障流程中评估 Notion 所需的信息，并支持 Notion 及其客户履行其在适用的本地、区域、国家和国际法规下的各自义务。

简而言之：Notion 负责构建、运营和保护 Notion 服务的架构。客户负责如何配置和使用该服务，包括保护其资格、管理谁有权访问其工作空间和客户数据，以及遵守 内容与使用政策 和其他相关 条款。

本文档中描述的部分责任只能由在工作空间或组织中拥有高级权限的用户执行。分配这些权限是用户的责任。

用于履行特定责任的工具因方案而异。如果某项功能仅限于特定的订阅方案，则未获得该功能的订阅方案的客户仍需对相关结果负责，并应考虑替代控制措施。

Notion 提供验证方法和管理控制措施，用于管理人员如何登录 Notion 以及如何授予和移除工作空间访问权限。客户负责选择和配置适合其组织的控制措施，并负责保护用于访问其帐号的资格。

Notion 的责任

• 提供并运营验证方法，包括（电子）邮件和密码、Google 和 Apple 登录，以及针对商业版和企业版的工作空间的 SAML 2.0 单点登录。

• 为使用密码登录的帐号提供双因素验证，使用身份验证器应用或短信验证码。

• 提供 SCIM API，使企业组织能够自动创建、更新和移除其身份提供商中的用户。

• 提供管理控制，以管理会话持续时间、强制注销、密码重置、帐号暂停和域名验证。

• 在域名可用于控制其用户群如何登录 Notion 之前，要求提供已验证的域所有权证明。

• 当用户从工作空间中移除时，撤销该用户对客户数据的访问权限。提供允许组织终止会话并重置其受管理的用户资格的控制措施。

• 在 Notion 自身的基础设施中维护最小权限访问控制，并要求 Notion 员工和承包商遵守保密义务。

• 仅在用户或工作空间所有者授予同意的情况下，出于支持目的访问客户数据，并在定义的时间段后自动使该同意失效。

用户责任

• 保护登录凭据，使用强大且唯一的密码，并避免在其他服务中重复使用。

• 维护个人帐号而非共享帐号，且不共享登录信息。

• 在使用密码登录的帐号上使用双因素验证。

• 根据内部政策更新资格，并在发现外部资格泄露时及时更新。

• 选择并配置适合组织的身份验证方法，包括是否强制执行单点登录。

• 确保工作空间访问权限仅限于目标用户，并在人员离职或变更角色时及时移除访问权限。自动取消配置需要 SCIM；如果不使用 SCIM，则需手动移除。

• 根据内部政策设置会话持续时间，并维护身份提供商访问权限丢失时的恢复程序。

• 控制 Notion 支持人员是否可以访问帐号或工作空间，并在不再需要时撤销该访问权限。

Notion 提供的权限模型决定了经过身份验证的用户可以查看和执行的操作，以及用于设定共享边界的管理控制。客户负责决定如何将其应用于其客户数据，并负责审查由此产生的访问权限。

Notion 的责任

• 提供在工作空间、团队协作区、页面和数据库级别运行的权限模型（包括权限组），并在整个产品中一致地执行该模型。

• 为成员和访客提供不同的访问权限，以便外部协作者可以被授予对特定客户数据的访问权限，而不是整个工作空间的访问权限。

• 提供管理控制，允许组织限制公共页面共享、访客访问、导出以及将页面移动或复制到其他工作空间。

• 提供控制措施，管理谁可以将客户数据发布到网络，包括 Notion 网站、表单和公共链接。

• 提供可视化工具，使组织能够识别谁有权访问页面、哪些页面已在外部共享或发布到网络，并更改这些权限。

• 在提供 AI 和搜索功能时，遵守已配置的工作空间权限。

用户责任

• 确定客户数据的适当访问级别，并相应地应用权限。

• 决定是否允许外部协作和公开发布，并配置可用的控制措施以反映该决定。

• 了解访问权限是如何继承的。授予页面的访问权限默认会扩展到嵌套在其中的页面，并且通过多条路径授予的访问权限会解析为授予的最高级别。

• 定期审查访问权限，包括工作空间成员、访客、权限组、外部共享的客户数据以及发布到网络的客户数据。

• 当协作者的参与结束时，删除对客户数据的访问权限，包括其访问权限不由组织身份提供商管理的访客和外部协作者。

• 确保发布到网络的客户数据是面向公众的，并相应地配置搜索引擎索引等选项。

• 在用户离职前或在仍可进行传输的有限窗口期内，转移该用户私人持有的客户数据。在该窗口期之后，私人客户数据通常无法恢复，且传输工具仅在企业版计划中提供。

Notion 代表其客户存储和处理客户数据，并保护其传输中和静态数据的安全。客户决定在 Notion 中放置什么数据、保留多长时间以及附带哪些法律义务。

Notion 的责任

• 根据主订阅协议、数据处理附录和适用的数据保护法处理客户数据。

• 使用 AES-256 或提供同等或更强安全性的行业标准算法对静态客户数据进行加密（包括云存储、表格和备份），并使用 TLS 1.2 或更高版本对传输中的数据进行加密。

• 维护并发布最新的第三方服务商列表。

• 为特定类别的客户数据提供数据驻留功能，允许符合条件的组织选择存储该静态数据的区域。

• 不使用客户数据来训练 Notion 的机器学习模型，并在合同中禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 提供允许客户导出、保留和删除其客户数据的功能，并根据协议在合同终止时删除客户数据。

• 与有需要的客户签订数据处理附录，并在适用的情况下签订商业协议。

用户责任

• 确定适合存储在 Notion 中的数据，并确保仅在具备必要协议和配置的情况下存储受监管的数据。

• 建立并应用保留实践，并删除不再需要的客户数据。

• 配置产品中可用的保留和删除设置，以反映内部政策。

• 提交完整且准确的帐号数据，并在发现错误时及时更正。

• 履行工作空间中所持个人数据控制者的义务，包括向个人提供隐私信息、建立处理的合法依据，以及响应与客户数据相关的数据主体请求。

• 确定是否需要特定的数据驻留区域，在需要时提出请求，并了解哪些数据类别和哪些 Notion 产品不在该范围内。

• 查看 Notion 的 第三方服务商列表。

Notion 运营着保持服务可用性的基础设施，并维护该基础设施的备份，以用于恢复服务。客户负责使用 Notion 提供的工具恢复其自身的客户数据，并在其自身义务有要求时，持有该客户数据的独立副本。

Notion 的责任

• 按照服务级别条款中规定的可用性承诺运营 Notion 服务，并在多个可用区使用冗余基础设施。

• 发布服务的 运营状态。

• 维护客户数据的自动化、加密和受监控的备份。

• 根据 Notion 针对所选数据驻留区域发布的 备份区域映射 存储备份。数据驻留仅适用于定义的客户数据类别。

• 维护并定期测试灾难恢复和业务连续性计划。

• 提供产品内恢复工具（包括垃圾箱和版本历史），允许客户自行恢复客户数据。

• 提供导出功能，允许客户获取其客户数据的副本。

用户责任

• 在用户方案适用的数据保留期内，使用垃圾箱和版本历史恢复单个页面和客户数据。

• 配置客户数据保留设置（如适用），以反映内部政策。

• 在内部政策、合同承诺或法规要求超出产品提供范围的保留期限，或要求在 Notion 之外保存副本时，维护客户数据的独立副本。

• 按照适合这些要求的时间表生成导出文件，并验证导出文件是否完整。导出账户无法访问的客户数据不包含在导出文件中。

• 在下载链接有效的期限内检索导出文件。

• 将服务不可用的可能性纳入用户自身业务连续性安排的规划中。

Notion 备份能做什么以及不能做什么

Notion 备份存在的目的是恢复 Notion 服务。它们并非面向客户的还原点，也无法将工作空间恢复至指定时间点。客户需通过垃圾箱和版本历史自行恢复单个客户数据。一旦客户数据超出适用的垃圾箱和数据保留期限，就会被清除且无法恢复。客户不应依赖支持来实现数据保留。

导出功能会生成客户数据的便携副本，格式包括 HTML、Markdown、CSV 或 PDF，具体取决于导出类型和方案。它不是完整的工作空间备份：导入导出的客户数据不会重新创建工作空间原有的权限、设置或完整配置，并且可能需要手动重构。

Notion 会生成工作空间内相关活动的录制，并将其提供给组织。客户负责评价这些录制，在需要时予以保留，并根据录制显示的内容采取操作。

Notion 的责任

• 记录组织工作空间内发生的安全相关事件，包括操作者、操作、时间以及可用的 IP 地址。

• 在产品内保留一段定义时间内的审计日志历史，并提供导出和流式传输机制，以便客户可以更长时间地保留这些审计日志。

• 提供一种实时将事件流式传输到用户自己的安全监控平台的方法，并支持连接数据丢失防护工具。

• 监控 Notion 自身的基础设施、网络和系统中的恶意活动，并维护这些系统的内部日志。

用户责任

• 审查审计日志活动，并调查和操作看起来异常或未经授权的活动。

• 根据客户自身的内部政策或法规要求，在日志数据超出保留期限之前，通过导出或流式传输事件来保留这些日志数据。

• 在用户自己的环境中配置监控、警报以及任何安全或合规性连接，并确保这些连接保持正常运行。

• 定义在组织背景下何为可疑活动，并指定负责评价这些活动的人员。

• 向 Notion 报告可能表明服务受到损害的可疑活动。

审计日志的涵盖范围及未涵盖内容

审计日志录制事件。日志条目和流式传输的有效负载描述了所采取的操作及操作者；它们不包含页面的客户数据。

审计日志录制从组织获得该功能资格时开始。此前发生的活动不再予以回溯。

Notion 开发、运营并维护 Notion 服务及其运行的基础设施，包括保护和修补该基础设施。客户负责其访问 Notion 的环境。

Notion 的责任

• 开发、测试、修补并维护 Notion 应用程序及支持它的基础设施。服务的更新由 Notion 应用，无需客户采取任何操作。

• 针对新版本进行威胁建模和安全设计审查，并执行代码审计、代码审查以及代码库的安全扫描。

• 委托进行年度独立渗透测试。

• 在 Notion 的系统中实施并管理网络安全。

• 监控 Notion 的基础设施、网络和资产中的恶意活动。

• 运营一个公开的 漏洞披露计划，并委托进行独立渗透测试。

• 保护 Notion 自身的企业系统和员工设备，包括静态加密、端点检测与响应以及集中式设备管理。

• 发布 Notion 客户端应用程序并向其提供更新。

用户责任

• 维护受支持且已适当修补的端点环境，包括网页浏览器以及任何可能阻止 Notion 客户端更新的控制措施。

• 保护用于访问 Notion 的设备和网络，并符合用户自身的端点安全标准。

• 如果 Notion 客户端更新是集中管理的，请确保及时应用更新。推迟或禁用自动更新会将及时修补客户端的责任转移给用户。

• 确保安装配置不会阻止用户接收更新。

• 向 Notion 报告 Notion 服务中疑似存在的漏洞，而不是利用或公开披露这些漏洞。

边界所在之处

Notion 会修补 Notion 服务。客户无需对 Notion 应用补丁，服务器端更新无需客户采取任何操作。

客户端 应用程序则不同。Notion 会发布更新，但特定设备是否接收更新取决于该设备的配置和管理方式。如果组织管理安装或更新行为，则保持客户端为最新版本是该组织的责任。

Notion 提供 API、集成平台和 AI 功能，这些功能可以处理客户数据并访问连接的系统。客户负责决定启用哪些功能、授予它们什么访问权限以及如何管理它们。

Notion 的责任

• 提供并维护 Notion API、集成平台、连接和 AI 功能。

• 在 Notion AI、Notion 代理 和 AI 连接器 中遵守用户权限。自定义代理 使用其自身明确授予的权限，这些权限可能与与代理交互的人员的权限不同。

• 提供管理控制功能，以管理可以安装哪些集成和外部 AI 工具、可以创建哪些代理，以及是否启用 AI 功能。

• 提供用于启用或禁用 AI 网络搜索的控件，并要求在进行外部网络请求前进行确认。

• 维护旨在检测和降低（文字）指令注入风险的防御措施，包括检测第三方内容和上传文件中的隐藏指令、限制链接处理，以及在代理自主行动时进行额外检查。

• 不得使用客户数据来训练 Notion 的模型，并在合同中禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 在审计日志中记录集成、连接、代理和外部 AI 工具的活动。

用户责任

• 决定哪些集成、连接、AI 功能和代理适合该组织，并配置可用控件以反映该决定。

• 在授权集成或连接之前，审查其请求的访问权限和功能，并确认第三方服务符合用户自身的供应商要求。

• 管理内部集成令牌，包括限制其分发、轮换令牌以及撤销不再需要的令牌。

• 管理代理的创建和配置，包括每个代理可以访问哪些客户数据和连接的工具，并定期审查该访问权限。

• 客户必须确保代理权限的范围设定得当。

• 确定是否可以为那些需要数据保留的功能启用相关模型。

• 确保通过连接系统提供给 Notion 的客户数据适用于该目的，并确保在连接系统中授予的访问权限本身已正确限定范围。

• 告知用户，源自工作空间外部的客户数据（包括网页和上传的文件）可能会尝试影响 AI 行为。

客户应了解的有关连接数据的信息

通过连接授予的访问权限仅限于连接系统中授予的权限范围。Notion 会强制执行连接系统报告的权限，但不会修复源系统中过于宽泛的权限。

连接系统中的权限更改会在同步间隔后反映在 Notion 中，而不是立即生效，并且新添加或删除的客户数据可能需要一段时间才能显示或变得不可用。

Notion 负责 Notion 服务的安全性，并在事件影响其客户数据时通知客户。客户负责处理涉及其自身帐号、工作空间和客户数据的事件，包括他们被要求进行的任何通知。

Notion 的责任

• 维护一份记录在案的事件响应计划，并定期进行测试。

• 检测、分类、调查、遏制并修复影响 Notion 系统及 Notion 所持有的客户数据的安全事件。

• 根据《数据处理附录》和适用法律，将安全事件通知受影响的客户。

• 进行事后审查，包括根本原因分析，并将调查结果应用于 Notion 的控制措施和响应计划。

• 发布服务的运营状态并通报可用性事件。

• 运营漏洞披露计划，并对报告的漏洞进行分类和修复。

用户责任

• 通过适当渠道及时向 Notion 报告可疑安全事件、受损帐号、可疑漏洞以及对服务的滥用。

• 检测并响应用户自身工作空间和帐号内发生的事件，包括资格受损、不当共享以及内部用户的滥用行为。

• 维护用户自身的事件响应安排，并明确谁负责处理在 Notion 中识别出的活动。

• 采取产品内可用的遏制措施，包括删除访问权限、撤销会话、重置资格、撤销集成令牌以及撤回已发布的客户数据。

• 保留相关证据，包括在审计日志记录超出保留期限之前将其导出。

• 确定事件是否触发了用户对监管机构、客户或受影响个人的通知义务，并进行相应通知。

• 保持管理和安全联系方式为最新，以便 Notion 的通知能够传达给相关人员。

• 向 Notion 报告可疑漏洞，而不是利用它们或公开披露它们。

哪一方检测什么

Notion 会监控其自身的基础设施，并能够检测影响服务的问题。Notion 无法确定某个原本有效的工作空间操作是否已根据用户的内部政策获得授权。客户负责监控工作空间活动并应对滥用行为。

这包括成员发布机密客户数据、离职员工导出数据或资格被其合法持有人滥用等事件。检测并响应这些事件取决于用户对活动的评价以及他们可用的控制措施。

Notion 维护着一个经过独立审计的信息安全和隐私计划，并提供由此产生的文件。客户需自行确定 Notion 是否符合其自身的监管义务，并据此进行配置。

Notion 的责任

• 根据适用的审计和认证周期，维护经过独立评估的安全和隐私计划。

• 通过 Notion 信任中心 向客户和潜在客户提供合规性文件，包括审计报告和认证。

用户责任

• 确定 Notion 是否适合用户打算存储的数据以及适用于他们的监管义务。

• 签署该用途所需的协议，包括适用的数据处理附录或商业伙伴协议。

• 应用这些协议所要求的配置，包括启用任何合规性特定设置以及它们所依赖的安全功能。

• 完成用户自身的评估，包括供应商风险评估和法律要求的任何数据保护影响评估。

• 作为用户自身保证和变更管理流程的一部分，审查Notion的认证、审计报告和第三方服务商列表。

• 向用户自身的审计师和监管机构证明，用户对Notion的配置和使用符合适用于他们的义务。

哪些认证涵盖了

Notion的独立第三方认证和审计报告涵盖了Notion运营的控制措施。它们不延伸至单个组织如何配置或使用Notion。

持有受监管数据的工作空间并不会因为 Notion 持有认证而自动合规。如果某项义务取决于配置（例如限制共享、强制执行单点登录、保留审计记录或限制数据存储位置），则满足该义务仍是用户的责任。

Notion 设定了服务的使用条款并执行这些条款。客户需对其自身使用 Notion 的行为以及其工作空间中持有的客户数据负责。

Notion 的责任

• 发布并维护内容与使用政策、相关的条款以及相关政策。

• 为任何查看公开Notion页面的人员提供举报其认为违规的客户数据的机制。

• 调查举报，并在确定存在违规行为时删除客户数据或限制访问权限。

• 对与滥用率较高相关的使用类别进行额外审查，并在必要时暂停或终止访问权限，以保护服务的可用性。

用户责任

• 按照条款和内容与使用政策使用Notion，并确保在用户订阅下使用Notion的人员也这样做。

• 确保存储在Notion中、从Notion共享或通过Notion发布的客户数据符合这些政策及适用法律。

• 当用户通过Notion分发用户生成的客户数据时，对他人贡献的客户数据进行审核。

• 在预期容量内使用Notion，且不试图规避、禁用或干扰其安全控制。

• 仅通过Notion的漏洞披露计划并在其条款范围内对Notion进行任何安全测试。

• 诚信使用支持和报告渠道。