Model for delt ansvar

Denne model for Delt Ansvar sikrer, at Notion og dets kunder arbejder sammen om at skabe en sikker og effektiv arbejdsområdeoplevelse.

Se venligst Notions MSA og DPA for definerede vilkår.

Notion er et samlet rum, hvor du kan tænke, skrive og planlægge. Som et alt-i-ét-rum, der giver brugerne mulighed for at bygge deres egne værktøjer til at udføre deres bedste arbejde, betror brugerne Notion med professionelle og personlige oplysninger og, gennem Forbindelser og AI-funktioner, med adgang til oplysninger, der opbevares i andre systemer.

En Delt Ansvarsmodel (SRM) er en ramme, der skitserer ansvarsfordelingen mellem en tjenesteudbyder og dets brugere. Den definerer klart, hvilke sikkerheds- og driftsopgaver der håndteres af hver part.

Dette dokument skitserer det ansvar, der deles mellem Notion og dets kunder i forbindelse med beskyttelse og vedligeholdelse af sikkerheden i Notions systemer, konti og arbejdsområder.

Notion SRM giver klarhed for både Notion og dets kunder om, hvilken part der er ansvarlig for specifikke processer, operationer eller kontroller. Dette gør det muligt for Notion at fokusere på og tage ansvar for de områder, hvor vi bedst kan beskytte fortroligheden, integriteten og tilgængeligheden af Notions systemer, samtidig med at vi identificerer, hvor kunderne er bedre stillet til at sikre deres egne konti, arbejdsområder og Kundedata. Samlet set forbedrer dette sikkerheden og effektiviteten i beskyttelsen af Notions systemer og konti.

SRM fremmer også gennemsigtighed i, hvordan Notions tjenester leveres, hvilket giver kunderne de oplysninger, de har brug for til at vurdere Notion inden for deres egne risikostyrings- og sikringsprocesser, og støtter både Notion og dets kunder i at opfylde deres respektive forpligtelser i henhold til gældende lokale, regionale, nationale og internationale regler.

Kort sagt: Notion er ansvarlig for at bygge, drive og beskytte arkitekturen i Notion-tjenesten. Kunderne er ansvarlige for, hvordan de konfigurerer og bruger denne tjeneste, herunder beskyttelse af deres legitimationsoplysninger, styring af, hvem der har adgang til deres arbejdsområder og Kundedata, samt overholdelse af politikken for indhold og brug og andre relevante vilkår.

Nogle ansvarsområder beskrevet i dette dokument kan kun udføres af kunder med udvidede tilladelser i et arbejdsområde eller en organisation. Det er brugerens ansvar at tildele disse tilladelser korrekt.

De værktøjer, der er tilgængelige for at opfylde et givet ansvar, varierer alt efter abonnement. Hvor en funktion er begrænset til specifikke abonnementsplaner, forbliver kunder på abonnementsplaner uden en given funktion ansvarlige for det underliggende resultat og bør overveje alternative kontroller.

Notion leverer de godkendelsesmetoder og administrative kontroller, der styrer, hvordan folk logger på Notion, og hvordan adgang til arbejdsområdet tildeles og fjernes. Kunder er ansvarlige for at vælge og konfigurere de kontroller, der er passende for deres organisation, samt for at beskytte de legitimationsoplysninger, der bruges til at få adgang til deres konti.

Notions ansvar

• Lever og betjen godkendelsesmetoder, herunder e-mail og adgangskode, Google- og Apple single sign-on samt SAML 2.0 single sign-on til arbejdsområder på Business-abonnement og Enterprise-abonnement.

• Lever to-faktor-godkendelse til konti, der logger på med en adgangskode, ved hjælp af en godkendelsesapp eller en kode via sms.

• Tilbyd SCIM-API'er, der gør det muligt for Enterprise-organisationer at automatisere oprettelse, opdatering og fjernelse af brugere fra deres identitetsudbyder.

• Tilbyd administrative kontroller, der styrer sessionsvarighed, tvungen logud, nulstilling af adgangskode, kontosuspendering og domænebekræftelse.

• Kræv verificeret bevis for domæneejerskab, før et domæne kan bruges til at kontrollere, hvordan dets brugerbase logger ind på Notion.

• Tilbagekald en brugers adgang til kundedata, når denne bruger fjernes fra arbejdsområdet. Tilbyd kontroller, der gør det muligt for en organisation at afslutte sessioner og nulstille legitimationsoplysninger på tværs af dens administrerede brugere.

• Oprethold adgangskontroller med mindste privilegier på tværs af Notions egen infrastruktur, og kræv, at Notion-medarbejdere og underleverandører er bundet af fortrolighedsforpligtelser.

• Få kun adgang til kundedata til supportformål, hvor en bruger eller konto- eller arbejdsområdeejer har givet samtykke, og lad dette samtykke udløbe automatisk efter en defineret periode.

Brugeransvar

• Beskyttelse af loginoplysninger, brug af stærke og unikke adgangskoder og undgåelse af genbrug på tværs af andre tjenester.

• Vedligeholdelse af individuelle konti frem for delte konti, og undladelse af at dele loginoplysninger.

• Brug af to-faktor-godkendelse på konti, der logger ind med en adgangskode.

• Opdatering af legitimationsoplysninger i overensstemmelse med interne retningslinjer, og omgående hvis et eksternt brud på legitimationsoplysninger identificeres.

• Valg og konfiguration af de godkendelsesmetoder, der er passende for organisationen, herunder om single sign-on er påkrævet.

• Sikring af, at adgang til arbejdsområdet er begrænset til de tilsigtede brugere, og at adgangen fjernes omgående, når nogen fratræder eller skifter rolle. Automatiseret deprovisionering kræver SCIM; hvor det ikke er i brug, er fjernelse en manuel proces.

• Fastsættelse af sessionsvarighed i overensstemmelse med interne retningslinjer, og vedligeholdelse af en gendannelsesprocedure ved tab af adgang til identitetsudbyderen.

• Kontrol af, om Notion-support kan få adgang til en konto eller et arbejdsområde, og tilbagekaldelse af denne adgang, når den ikke længere er påkrævet.

Notion leverer den tilladelsesmodel, der bestemmer, hvad en godkendt bruger kan se og gøre, sammen med administrative kontroller, der fastsætter grænserne for deling. Kunder er ansvarlige for at beslutte, hvordan denne model anvendes på deres kundedata, og for at gennemgå den adgang, der følger heraf.

Notions ansvar

• Tilbyd en tilladelsesmodel, der fungerer på arbejdsområde-, Teamområde-, side- og databaseniveau, herunder tilladelsesgrupper, og håndhæv den konsekvent på tværs af produktet.

• Tilbyd særskilt adgang for medlemmer og gæster, så eksterne samarbejdspartnere kan få adgang til specifikke kundedata frem for et helt arbejdsområde.

• Tilbyd administrative kontroller, der gør det muligt for en organisation at begrænse offentlig deling af sider, gæsteadgang, Eksporter samt flytning eller duplikering af sider til andre arbejdsområder.

• Tilbyd kontroller, der styrer, hvem der må publicere kundedata på nettet, herunder Notion-websteder, formularer og offentlige links.

• Tilvejebring synlighedsværktøjer, der gør det muligt for en organisation at identificere, hvem der har adgang til en side, hvilke sider der deles eksternt eller publiceres på nettet, og at ændre disse tilladelser.

• Respektér konfigurerede Workspace-tilladelser, når AI- og søgefunktioner stilles til rådighed.

Brugeransvar

• Fastlæggelse af det passende adgangsniveau for kundedata og anvendelse af tilladelser i overensstemmelse hermed.

• Beslutning om, hvorvidt eksternt samarbejde og offentlig publicering er tilladt, og konfiguration af de tilgængelige kontroller for at afspejle denne beslutning.

• Forståelse af, hvordan adgang nedarves. Adgang givet til en side udvides som standard til de sider, der er indlejret i den, og adgang givet via flere ruter opløses til det højeste tildelte niveau.

• Periodisk gennemgang af adgang, herunder arbejdsområdets medlemmer, gæster, tilladelsesgrupper, kundedata delt eksternt og kundedata publiceret på nettet.

• Fjernelse af adgang til kundedata, når en samarbejdspartners involvering ophører, herunder gæster og eksterne samarbejdspartnere, hvis adgang ikke administreres via organisationens identitetsudbyder.

• Sikring af, at kundedata publiceret på nettet er beregnet til et offentligt publikum, og konfiguration af indstillinger såsom søgemaskineindeksering i overensstemmelse hermed.

• Overførsel af kundedata, der opbevares Privat af en bruger, før brugeren forlader organisationen, eller inden for det begrænsede tidsvindue, hvor overførsel stadig er mulig. Efter dette vindue er Privat kundedata generelt ikke mulige at gendanne, og overførselsværktøjer er kun tilgængelige på Enterprise-abonnementet.

Notion opbevarer og behandler kundedata på vegne af sine kunder og beskytter dem under transport og ved opbevaring. Kunderne bestemmer, hvilke data der placeres i Notion, hvor længe de opbevares, og hvilke juridiske forpligtelser der er knyttet til dem.

Notions ansvar

• Behandl kundedata i overensstemmelse med Master Subscription Agreement, Data Processing Addendum og gældende databeskyttelseslovgivning.

• Kryptér kundedata ved opbevaring ved hjælp af AES-256 eller en industristandard-algoritme, der yder tilsvarende eller stærkere sikkerhed, herunder i cloud-lagring, database-tabeller og sikkerhedskopier, og kryptér data under transport ved hjælp af TLS 1.2 eller højere.

• Vedligehold og publicér en aktuel liste over underdatabehandlere.

• Tilbyd datalagring for definerede kategorier af kundedata, hvilket giver berettigede organisationer mulighed for at vælge den region, hvor disse data opbevares.

• Undlad at bruge kundedata til at træne Notions maskinlæringsmodeller, og forbyd kontraktligt AI-underdatabehandlere at gøre det uden eksplicit samtykke fra kunden.

• Tilvejebring funktionalitet, der gør det muligt for kunder at benytte Eksporter, opbevare og slette deres kundedata, og slet kundedata ved kontraktens ophør i overensstemmelse med aftalen.

• Indgå et Data Processing Addendum og, hvor det er relevant, en Business Associate Agreement med kunder, der kræver det.

Brugeransvar

• Fastlæg, hvilke data det er passende at opbevare i Notion, og sørg for, at regulerede data kun opbevares, hvor de nødvendige aftaler og konfigurationer er på plads.

• Etablér og anvend opbevaringspraksisser, og slet kundedata, der ikke længere er påkrævet.

• Konfiguration af de opbevarings- og sletningsindstillinger, der er tilgængelige i produktet, så de afspejler interne retningslinjer.

• Indsendelse af komplette og nøjagtige kontodata og rettidig korrigering af disse, hvor der identificeres fejl.

• Opfyldelse af de forpligtelser, der påhviler den dataansvarlige for de personoplysninger, der opbevares i et arbejdsområde, herunder at give privatlivsoplysninger til enkeltpersoner, etablere et lovligt grundlag for behandling og besvare anmodninger fra registrerede personer vedrørende kundedata.

• Bestemmelse af, om et specifikt datalagringsområde er påkrævet, anmodning om det, hvor det er nødvendigt, og forståelse af, hvilke datakategorier og hvilke Notion-produkter der falder uden for dette anvendelsesområde.

• Gennemgang af Notions liste over underdatabehandlere.

Notion driver den infrastruktur, der holder tjenesten tilgængelig, og vedligeholder sikkerhedskopier af denne infrastruktur med henblik på at gendanne tjenesten. Kunder er ansvarlige for at gendanne deres egne kundedata ved hjælp af de værktøjer, Notion leverer, og for at opbevare en uafhængig kopi af disse kundedata, hvor deres egne forpligtelser kræver det.

Notions ansvar

• Drift af Notion-tjenesten i overensstemmelse med de tilgængelighedsforpligtelser, der er fastsat i Service Level Terms, ved hjælp af redundant infrastruktur på tværs af flere tilgængelighedszoner.

• Offentliggørelse af driftsstatus for tjenesten.

• Vedligeholdelse af automatiserede, krypterede og overvågede sikkerhedskopier af kundedata.

• Lagring af sikkerhedskopier i overensstemmelse med Notions offentliggjorte kortlægning af sikkerhedskopieringsområder for det valgte datalagringsområde. Datalagring gælder kun for de definerede kategorier af kundedata.

• Vedligeholdelse og periodisk test af planer for katastrofegendannelse og forretningskontinuitet.

• Levering af gendannelsesværktøjer i produktet, herunder papirkurv og versionshistorik, så kunderne selv kan gendanne kundedata.

• Tilbyd Eksporter-funktionalitet, så kunder kan hente en kopi af deres kundedata.

Brugeransvar

• Gendannelse af individuelle sider og kundedata ved hjælp af papirkurv og versionshistorik inden for de opbevaringsperioder, der gælder for brugerens abonnement.

• Konfiguration af indstillinger for opbevaring af kundedata, hvor det er muligt, for at afspejle interne retningslinjer.

• Vedligeholdelse af en uafhængig kopi af kundedata, hvor interne retningslinjer, kontraktlige forpligtelser eller lovgivning kræver opbevaring ud over, hvad produktet tilbyder, eller kræver en kopi, der opbevares uden for Notion.

• Udarbejd Eksporter efter en tidsplan, der er passende for disse krav, og verificer, at de er komplette.

• Hentning af eksporter inden for den periode, hvor downloadlinket forbliver gyldigt.

• Planlægning af muligheden for utilgængelighed af tjenesten som en del af brugerens egne ordninger for forretningskontinuitet.

Hvad Notions sikkerhedskopier er og ikke er

Notions sikkerhedskopier eksisterer for at gendanne Notion-tjenesten. De er ikke et gendannelsespunkt for kunder, og de kan ikke bruges til at føre et arbejdsområde tilbage til dets tilstand på et valgt tidspunkt. Gendannelse af individuelle kundedata udføres af kunder via papirkurv og versionshistorik. Når kundedata har overskredet de gældende perioder for papirkurv og opbevaring, slettes de og kan ikke gendannes. Kunder bør ikke stole på support som en opbevaringsmekanisme.

En Eksporter producerer en bærbar kopi af kundedata i formater som HTML, Markdown, CSV eller PDF, afhængigt af eksporttype og plan. Det er ikke en fuld sikkerhedskopi af arbejdsområdet: Import af eksporterede kundedata vil ikke genskabe arbejdsområdets oprindelige tilladelser, indstillinger eller fuldstændige konfiguration, og det kan kræve manuel omstrukturering.

Notion genererer optegnelser over relevant aktivitet i et arbejdsområde og gør dem tilgængelige for organisationen. Kunder er ansvarlige for at gennemgå disse optegnelser, opbevare dem hvor påkrævet, og handle på det, de viser.

Notions ansvar

• Registrering af sikkerhedsrelaterede hændelser, der forekommer på tværs af en organisations arbejdsområder, herunder aktøren, handlingen, tidspunktet og, hvor tilgængeligt, IP-adressen.

• Opbevaring af historik for revisionslog i produktet i en defineret periode, og levering af eksport- og streamingsmekanismer, så kunder kan opbevare den i længere tid.

• Tilvejebringelse af en metode til at streame hændelser til en brugers egen sikkerhedsovervågningsplatform i realtid, og understøttelse af forbindelser til værktøjer til forebyggelse af datatab.

• Overvåg Notions egen infrastruktur, netværk og systemer for ondsindet aktivitet, samt vedligeholdelse af intern log for disse systemer.

Brugeransvar

• Gennemgang af revisionslog, samt undersøgelse og håndtering af aktivitet, der virker uventet eller uautoriseret.

• Opbevaring af logdata i den periode, som kundens egen interne politik eller regulering kræver, ved at eksportere eller streame hændelser, før de udløber af opbevaringsvinduet.

• Konfigurering af overvågning, alarmering og eventuelle sikkerheds- eller compliance-forbindelser i brugerens eget miljø, samt sikring af, at disse integrationer forbliver operationelle.

• Definition af, hvad der udgør mistænkelig aktivitet i organisationens kontekst, og tildeling af ansvar for gennemgang heraf.

• Rapportering af mistænkelig aktivitet til Notion, hvor det kan indikere et kompromis af tjenesten.

Hvad revisionsloggen dækker og ikke dækker

Revisionsloggen registrerer begivenheder. Logindgange og streamede payloads beskriver Handlinger, der er udført og af hvem; de indeholder ikke kundedata fra sider.

Registrering i revisionsloggen begynder, når en organisation bliver berettiget til funktionen. Aktivitet, der fandt sted forinden, er ikke tilgængelig med tilbageblik.

Notion udvikler, driver og vedligeholder Notion-tjenesten og den infrastruktur, den kører på, herunder sikring og patching af denne infrastruktur. Kunder er ansvarlige for de miljøer, hvorfra de tilgår Notion.

Notions ansvar

• Udvikling, test, patching og vedligeholdelse af Notion-applikationen og den infrastruktur, der understøtter den. Opdateringer til tjenesten anvendes af Notion og kræver ingen handling fra kunderne.

• Udfør trusselsmodellering og sikre designgennemgange for nye udgivelser, og foretag /kodeaudits, /kodegennemgange og sikkerhedsscanning af kodebasen.

• Bestil årlig uafhængig penetrationstest.

• Implementer og administrer netværkssikkerhed på tværs af Notions systemer.

• Overvåg Notions infrastruktur, netværk og aktiver for ondsindet aktivitet.

• Driv et offentligt program for sårbarhedsoplysning, og bestil uafhængig penetrationstest.

• Sikr Notions egne virksomhedssystemer og medarbejderes enheder, herunder kryptering af data i hvile, endpoint-detektering og -respons samt centraliseret enhedsstyring.

• Udgiv Notion-klientapplikationer og lever opdateringer til dem.

Brugeransvar

• Vedligeholdelse af understøttede og passende patchede endpoint-miljøer, herunder webbrowsere og eventuelle kontroller, der kan forhindre Notion-klientopdateringer.

• Sikring af de enheder og netværk, der bruges til at få adgang til Notion, i overensstemmelse med Brugerens egne endpoint-sikkerhedsstandarder.

• Hvor Notion-klientopdateringer administreres centralt, skal det sikres, at opdateringer fortsat anvendes rettidigt. Udsættelse eller deaktivering af automatiske opdateringer overfører ansvaret for rettidig patching af klienten til Brugeren.

• Sikring af, at installationskonfigurationer ikke forhindrer brugere i at modtage Opdateringer.

• Rapportering af formodede sårbarheder i Notion Service til Notion i stedet for at udnytte eller offentliggøre dem.

Hvor grænsen går

Notion opdaterer Notion Service. Kunder anvender ikke patches på Notion, og der kræves ingen Handling fra kunden for server-side Opdateringer.

Klient applikationer er anderledes. Notion udgiver Opdateringer, men om en given enhed modtager dem, afhænger det af, hvordan enheden er konfigureret og administreret. Hvor en organisation administrerer installations- eller opdateringsadfærd, er det organisationens ansvar at holde klienter opdaterede.

Notion leverer en API, en integrationsplatform og AI-funktioner, der kan handle på kundedata og få adgang til forbundne systemer. Kunder er ansvarlige for at beslutte, hvilke af disse der skal aktiveres, hvilken adgang de skal tildeles, og hvordan de styres.

Notions ansvar

• Tilbyd og vedligehold Notion API, integrationsplatform, forbindelser og AI-funktioner.

• Overhold brugertilladelser i Notion AI, Notion Agent og AI Connectors. Tilpassede agenter bruger deres egne eksplicit tildelte tilladelser, som kan afvige fra dem, som personen, der interagerer med agenten, har.

• Tilbyd administrative kontroller, der styrer, hvilke integrationer og eksterne AI-værktøjer der må installeres, hvilke agenter der må oprettes, og om AI-funktioner er aktiveret.

• Tilbyd kontroller til at aktivere eller deaktivere AI-websøgning og kræv bekræftelse før eksterne webanmodninger.

• Vedligehold forsvar designet til at detektere og reducere risikoen for prompt-injection, herunder detektering af skjulte instruktioner i tredjepartsindhold og uploadede filer, restriktioner for linkhåndtering og yderligere kontroller, hvor agenter handler autonomt.

• Afstå fra at bruge kundedata til at træne Notions modeller, og forbyd kontraktligt AI-underdatabehandlere at gøre det uden eksplicit kundesamtykke.

• Registrer integration, forbindelse, agent og ekstern AI-værktøjsaktivitet i revisionslog.

Brugeransvar

• Beslutning om, hvilke integrationer, forbindelser, AI-funktioner og agenter der er passende for organisationen, og konfiguration af de tilgængelige kontroller for at afspejle denne beslutning.

• Gennemgang af adgang og funktion anmodet af en integration eller forbindelse før godkendelse, og bekræftelse af, at tredjepartstjenesten opfylder brugerens egne leverandørkrav.

• Håndtering af interne integrationstokens, herunder begrænsning af deres distribution, rotering af dem og tilbagekaldelse af dem, der ikke længere er påkrævet.

• Styring af oprettelse og konfiguration af agenter, herunder hvilke kundedata og forbundne værktøjer hver agent kan nå, og periodisk gennemgang af denne adgang.

• Kunder skal sikre, at agenttilladelser er afgrænset passende.

• Afklaring af, om databevarende modeller må aktiveres for funktioner, der kræver dem.

• Sikring af, at kundedata, der gøres tilgængelige for Notion via forbundne systemer, er passende til det formål, og at adgang givet i det forbundne system i sig selv er korrekt afgrænset.

• Gør brugere opmærksomme på, at kundedata, der stammer fra uden for arbejdsområdet, herunder websider og uploadede filer, kan forsøge at påvirke AI-adfærd.

Hvad kunder bør forstå om forbundne data

Adgang givet via en forbindelse er kun så begrænset som de tilladelser, der er givet i det forbundne system. Notion håndhæver de tilladelser, der rapporteres af det forbundne system, men udbedrer ikke for brede tilladelser i kildesystemet.

Tilladelsesændringer i forbundne systemer afspejles i Notion efter et synkroniseringsinterval frem for øjeblikkeligt, og nyligt tilføjede eller slettede kundedata kan tage tid om at blive vist eller blive utilgængelige.

Notion er ansvarlig for sikkerheden af Notion-tjenesten og for at underrette kunder, hvor en hændelse påvirker deres kundedata. Kunder er ansvarlige for, hvordan de reagerer på hændelser, der involverer deres egne konti, arbejdsområder og kundedata, herunder eventuelle underretninger, de er forpligtet til at foretage.

Notions ansvar

• Vedligehold en dokumenteret plan for hændelseshåndtering, og test den periodisk.

• Detekter, triér, undersøg, inddæm og udbedr sikkerhedshændelser, der påvirker Notions systemer og de kundedata, som Notion opbevarer.

• Underret berørte kunder om sikkerhedshændelser i overensstemmelse med databehandleraftalen og gældende lovgivning.

• Gennemfør en efterhåndsanalyse af hændelsen, herunder en årsagsanalyse, og anvend resultaterne på Notions kontroller og beredskabsplan.

• Offentliggør tjenestens Status for drift og kommunikér tilgængelighedsbegivenheder.

• Driv et program for sårbarhedsoplysning, og triagér og afhjælp rapporterede sårbarheder.

Brugeransvar

• Rapportering af formodede sikkerhedshændelser, kompromitterede konti, formodede sårbarheder og misbrug af tjenesten til Notion omgående gennem den relevante kanal.

• Detektering og håndtering af hændelser, der opstår inden for brugerens egne arbejdsområder og konti, herunder kompromitterede legitimationsoplysninger, upassende deling og misbrug fra interne brugere.

• Vedligeholdelse af brugerens egne beredskabsplaner for hændelser og definition af, hvem der er ansvarlig for at handle på aktiviteter identificeret i Notion.

• Iværksættelse af inddæmningsforanstaltninger tilgængelige i produktet, herunder fjernelse af adgang, tilbagekaldelse af sessioner, nulstilling af legitimationsoplysninger, tilbagekaldelse af integrationstokens og tilbagetrækning af offentliggjorte kundedata.

• Bevarelse af relevant bevis, herunder Eksporter af revisionslog, før de udløber fra opbevaringsperioden.

• Afgørelse af, om en hændelse udløser en underretningspligt, som brugeren har over for en tilsynsmyndighed, kunde eller berørt person, og foretagelse af denne underretning.

• Hold administrative kontaktoplysninger og sikkerhedskontaktoplysninger opdaterede, så meddelelser fra Notion når frem til de rette personer.

• Rapportér formodede sårbarheder til Notion i stedet for at udnytte dem eller offentliggøre dem.

Hvilken part opdager hvad

Notion overvåger sin egen infrastruktur og kan opdage hændelser, der påvirker tjenesten. Notion kan ikke afgøre, om en ellers gyldig handling i arbejdsområdet var godkendt i henhold til brugerens interne politikker. Kunder er ansvarlige for at overvåge aktivitet i arbejdsområdet og reagere på misbrug.

Dette inkluderer begivenheder såsom et medlem, der offentliggør fortrolige kundedata, en medarbejder, der forlader virksomheden og eksporterer data, eller en legitimationsoplysning, der misbruges af den retmæssige indehaver.

Notion opretholder et program for informationssikkerhed og privatliv, der revideres uafhængigt, og gør den resulterende dokumentation tilgængelig. Kunder afgør, om Notion er passende i forhold til deres egne regulatoriske forpligtelser, og konfigurerer den derefter.

Notions ansvar

• Oprethold uafhængigt vurderede sikkerheds- og privatlivsprogrammer i overensstemmelse med gældende revisions- og certificeringscyklusser.

• Gør overholdelsesdokumentation, herunder revisionsrapporter og certificeringer, tilgængelig for kunder og potentielle kunder via Notion Trust Center.

Brugeransvar

• Afgørelse af, om Notion er egnet til de data, som brugeren har til hensigt at lagre, og de regulatoriske forpligtelser, der gælder for dem.

• Indgåelse af de aftaler, der kræves til denne brug, herunder et databehandleraftale-tillæg eller en Business Associate Agreement, hvor det er relevant.

• Anvendelse af den konfiguration, som disse aftaler kræver, herunder aktivering af eventuelle overholdelsesspecifikke indstillinger og de sikkerhedsfunktioner, de afhænger af.

• Gennemførelse af brugerens egne vurderinger, herunder leverandørrisikovurdering og enhver konsekvensanalyse vedrørende databeskyttelse, som loven kræver.

• Gennemgang af Notions certificeringer, revisionsrapporter og underdatabehandlerliste som en del af brugerens egne sikrings- og forandringsstyringsprocesser.

• Demonstration over for brugerens egne revisorer og tilsynsmyndigheder af, at brugerens konfiguration og brug af Notion opfylder de forpligtelser, der gælder for dem.

Hvilken certificering dækker

Notions uafhængige tredjepartscertificeringer og revisionsrapporter dækker de kontroller, Notion driver. De omfatter ikke, hvordan en individuel organisation konfigurerer eller bruger Notion.

Et arbejdsområde, der indeholder regulerede data, er ikke kompatibelt i kraft af, at Notion har en certificering. Hvor en forpligtelse afhænger af konfiguration, såsom begrænsning af deling, håndhævelse af single sign-on, opbevaring af revisionslogger eller begrænsning af, hvor data lagres, forbliver det brugerens ansvar at overholde den.

Notion fastsætter de vilkår, under hvilke tjenesten må bruges, og håndhæver dem. Kunder er ansvarlige for deres egen brug af Notion og for de kundedata, der opbevares i deres arbejdsområder.

Notions ansvar

• Offentliggør og vedligehold Indholds- og brugspolitik, relevante vilkår og relaterede politikker.

• Tilvejebring en mekanisme, så alle, der ser en offentlig Notion-side, kan rapportere kundedata, som de mener er forbudte.

• Undersøg rapporter, og fjern kundedata eller begræns adgang, hvor der konstateres en overtrædelse.

• Anvend yderligere kontrol på kategorier af brug, der er forbundet med højere rater af misbrug, og suspender eller afbryd adgang, hvor det er nødvendigt for at beskytte tjenestens tilgængelighed.

Brugeransvar

• Brug af Notion i overensstemmelse med vilkårene og politikken for indhold og brug, og sikring af, at personer, der bruger Notion under brugerens abonnement, gør det samme.

• Sikring af, at kundedata, der lagres i, deles fra eller publiceres gennem Notion, overholder disse politikker og gældende lovgivning.

• Moderering af kundedata bidraget af andre, hvor brugeren distribuerer brugergenererede kundedata gennem Notion.

• Brug af Notion inden for dens tilsigtede kapacitet, og undladelse af at forsøge at omgå, deaktiver eller forstyrre dens sikkerhedskontroller.

• Udførelse af enhver sikkerhedstest af Notion udelukkende gennem Notions program for sårbarhedsoplysning og inden for dets vilkår.

• Brug af support- og rapporteringskanaler i god tro.