מודל אחריות משותפת

מודל אחריות משותפת זה מבטיח ש-Notion והלקוחות שלה פועלים יחד כדי ליצור חוויית סביבת עבודה בטוחה ואפקטיבית.

אנא עיינו ב-MSA וב-DPA של Notion עבור מונחים מוגדרים.

Notion היא מרחב אחד שבו ניתן לחשוב, לכתוב ולתכנן. כמרחב "הכל-באחד" המאפשר למשתמשים לבנות כלים משלהם לביצוע העבודה הטובה ביותר שלהם, המשתמשים מפקידים בידי Notion מידע מקצועי ואישי, ודרך חיבורים ו-תכונות AI, גם גישה למידע המוחזק במערכות אחרות.

מודל אחריות משותפת (SRM) הוא מסגרת המתווה את חלוקת האחריות בין ספק שירות לבין המשתמשים שלו. הוא מגדיר בבירור אילו משימות אבטחה ותפעול מטופלות על ידי כל צד.

מסמך זה מתווה את תחומי האחריות המשותפים בין Notion לבין הלקוחות שלה בהגנה על האבטחה של מערכות Notion, חשבונות משתמשים וסביבות עבודה, ותחזוקתן.

ה-SRM של Notion מספק בהירות הן ל-Notion והן ללקוחותיה לגבי הצד האחראי לתהליכים, פעולות או בקרות ספציפיים. הדבר מאפשר ל-Notion להתמקד בתחומים שבהם אנו יכולים להגן בצורה הטובה ביותר על הסודיות, השלמות והזמינות של מערכות Notion, ולקחת עליהם אחריות, תוך זיהוי המקומות שבהם הלקוחות נמצאים בעמדה טובה יותר לאבטחת החשבונות, סביבות העבודה ונתוני הלקוח שלהם. בסך הכל, הדבר משפר את האבטחה והיעילות בהגנה על מערכות וחשבונות Notion.

ה-SRM גם מקדם שקיפות באופן שבו שירותי Notion מסופקים, ומעניק ללקוחות את המידע הדרוש להם כדי להעריך את Notion במסגרת תהליכי הסיכון והאבטחה שלהם, ותומך הן ב-Notion והן בלקוחותיה בעמידה בהתחייבויותיהם לפי תקנות מקומיות, אזוריות, לאומיות ובינלאומיות רלוונטיות.

בקצרה: Notion אחראית לבנייה, לתפעול ולהגנה על הארכיטקטורה של שירות Notion. הלקוחות אחראים לאופן שבו הם מגדירים ומשתמשים בשירות זה, כולל הגנה על פרטי ההתחברות שלהם, ניהול הגישה לסביבות העבודה ולנתוני הלקוח שלהם, ועמידה ב-מדיניות התוכן והשימוש וב-תנאים רלוונטיים אחרים.

חלק מתחומי האחריות המתוארים במסמך זה יכולים להתבצע רק על ידי לקוחות בעלי הרשאות מורחבות בסביבת עבודה או בארגון. באחריות המשתמש להקצות הרשאות אלו בצורה מתאימה.

הכלים הזמינים לעמידה באחריות מסוימת משתנים בהתאם לתוכנית. במקרים שבהם יכולת מסוימת מוגבלת לתוכניות מנוי ספציפיות, לקוחות בתוכניות מנוי ללא יכולת נתונה נותרים אחראים לתוצאה הבסיסית, ועליהם לשקול בקרות חלופיות.

Notion מספקת את שיטות האימות ובקרות הניהול הקובעות כיצד אנשים נכנסים ל-Notion וכיצד מוענקת ומבוטלת הגישה לסביבת עבודה. הלקוחות אחראים לבחירה ולהגדרה של הבקרות המתאימות לארגון שלהם, ולהגנה על אמצעי הזיהוי המשמשים לגישה לחשבונות שלהם.

אחריות Notion

• ספק והפעל שיטות אימות, כולל אימייל וסיסמה, התחברות באמצעות Google ו-Apple, ו-SAML 2.0 single sign-on עבור סביבות עבודה בתוכנית לעסקים ובתוכנית Enterprise.

• ספק אימות בשני שלבים לחשבונות המתחברים באמצעות סיסמה, תוך שימוש באפליקציית אימות או בקוד בהודעת טקסט.

• ספק ממשקי SCIM המאפשרים לארגונים בתוכנית Enterprise לבצע אוטומציה של יצירה, עדכון והסרה של משתמשים מספק הזהות שלהם.

• ספק בקרות ניהוליות השולטות על משך הפעילות, התנתקות כפויה, איפוס סיסמה, השעיית חשבון ואימות דומיין.

• דרוש הוכחה מאומתת לבעלות על דומיין לפני שניתן יהיה להשתמש בדומיין כדי לשלוט באופן שבו בסיס המשתמשים שלו נכנס ל-Notion.

• בטל את הגישה של משתמש לנתוני לקוח כאשר משתמש זה מוסר מסביבת העבודה. ספק בקרות המאפשרות לארגון לסיים את הסשנים ולאפס אישורים בכל בסיס המשתמשים המנוהל שלו.

• שמור על בקרות גישה של הרשאה מינימלית בתשתית של Notion עצמה, ודרוש מעובדי Notion וקבלנים להיות מחויבים בהתחייבויות סודיות.

• גש לנתוני לקוח למטרות תמיכה רק כאשר משתמש או בעל סביבת עבודה העניקו הסכמה, והפג תוקף הסכמה זו באופן אוטומטי לאחר תקופה מוגדרת.

תחומי האחריות של המשתמשים

• הגנה על אישורי כניסה, שימוש בסיסמאות חזקות וייחודיות, והימנעות משימוש חוזר בשירותים אחרים.

• תחזוקת חשבונות אישיים במקום חשבונות משותפים, ואי-שיתוף פרטי כניסה.

• שימוש באימות דו-שלבי בחשבונות שנכנסים עם סיסמה.

• עדכון אישורים בהתאם למדיניות הפנימית, ובאופן מיידי כאשר מזוהה פרצת אישורים חיצונית.

• בחירה והגדרה של שיטות אימות המתאימות לארגון, כולל האם נאכפת כניסה יחידה (SSO).

• הבטחה שהגישה לסביבת העבודה מוגבלת למשתמשים המיועדים, ושהגישה מוסרת באופן מיידי כאשר מישהו עוזב או משנה תפקיד. ביטול הקצאה אוטומטי דורש SCIM; במקום שבו הוא אינו בשימוש, ההסרה היא תהליך ידני.

• הגדרת משך הפעילויות בהתאם למדיניות הפנימית, ותחזוקת נוהל שחזור למקרה של אובדן גישה לספק הזהות.

• שליטה על האם התמיכה של Notion יכולה לגשת לחשבון או לסביבת עבודה, וביטול גישה זו כאשר היא אינה נדרשת עוד.

Notion מספקת את מודל ההרשאות הקובע מה משתמש מאומת יכול לראות ולעשות, יחד עם בקרות ניהוליות המגדירות את הגבולות לשיתוף. הלקוחות אחראים להחליט כיצד מודל זה מיושם על נתוני הלקוח שלהם, ולסקירת הגישה הנובעת מכך.

אחריות Notion

• ספק מודל הרשאות הפועל ברמת סביבת העבודה, מרחב צוות, הדף ומאגר ידע, כולל קבוצות הרשאה, ואכוף אותו באופן עקבי לאורך המוצר.

• ספק גישה נפרדת לחברים ולאורחים, כך שניתן יהיה להעניק למשתפי פעולה חיצוניים גישה לנתוני לקוח ספציפיים במקום לסביבת עבודה שלמה.

• ספק בקרות ניהוליות המאפשרות לארגון להגביל שיתוף דפים ציבורי, גישת אורחים, ייצוא, והעברה או שכפול של דפים לסביבות עבודה אחרות.

• ספק בקרות השולטות על מי רשאי לפרסם נתוני לקוח לאינטרנט, כולל Notion Sites, טפסים וקישורים ציבוריים.

• ספק כלי נראות המאפשר לארגון לזהות למי יש גישה לדף, אילו דפים משותפים חיצוניים או מפורסמים באינטרנט, ולשנות הרשאות אלו.

• כבד הרשאות סביבת עבודה מוגדרות בעת מתן תכונות בינה מלאכותית וחיפוש.

תחומי האחריות של המשתמשים

• קביעת רמת הגישה המתאימה לנתוני לקוחות, והחלת הרשאות בהתאם.

• החלטה האם עבודה משותפת חיצונית ופרסום ציבורי מותרים, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• הבנה כיצד גישה עוברת בירושה. גישה שניתנה לדף מתפשטת כברירת מחדל לדפים הנוצרים כדפי משנה בתוכו, וגישה הניתנת דרך מספר נתיבים מתכנסת לרמה הגבוהה ביותר שניתנה.

• סקירת גישה מעת לעת, כולל חברי סביבת עבודה, אורחים, קבוצות הרשאות, נתוני לקוחות המשותפים חיצוניים, ונתוני לקוחות המפורסמים באינטרנט.

• הסרת גישה לנתוני לקוחות כאשר מעורבותו של משתף פעולה מסתיימת, כולל אורחים ומשתפי פעולה חיצוניים שהגישה שלהם אינה מנוהלת דרך ספק הזהות של הארגון.

• הבטחה שנתוני לקוחות המפורסמים באינטרנט מיועדים לקהל ציבורי, והגדרת אפשרויות כגון אינדוקס מנועי חיפוש בהתאם.

• העברת נתוני לקוח המוחזקים באופן פרטי על ידי משתמש לפני עזיבתו, או בתוך החלון המוגבל שבו העברה נותרת אפשרית. לאחר חלון זה, נתוני לקוח פרטיים הם בדרך כלל בלתי ניתנים לשחזור, וכלי העברה זמינים רק בתוכנית Enterprise.

Notion מאחסנת ומעבדת נתוני לקוחות עבור לקוחותיה ומגנה עליהם במעבר ובמנוחה. הלקוחות קובעים אילו נתונים מוכנסים ל-Notion, כמה זמן הם נשמרים, ואילו חובות משפטיות חלות עליהם.

אחריות Notion

• עבד נתוני לקוחות בהתאם להסכם המנוי הראשי, לנספח עיבוד הנתונים ולחוקי הגנת הנתונים הרלוונטיים.

• הצפן נתוני לקוחות במנוחה באמצעות AES-256 או אלגוריתם בתקן התעשייה המספק אבטחה שוות ערך או חזקה יותר, כולל באחסון ענן, בטבלאות מאגר ידע ובגיבויים, והצפן נתונים במעבר באמצעות TLS 1.2 ומעלה.

• נהל ופרסם רשימה עדכנית של מעבדי משנה.

• הצע תושבות נתונים עבור קטגוריות מוגדרות של נתוני לקוחות, המאפשרת לארגונים זכאים לבחור את האזור שבו נתונים אלו מאוחסנים במנוחה.

• הימנע משימוש בנתוני לקוחות כדי לאמן את מודלי הלמידה החישובית של Notion, ואסור חוזית על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• ספק פונקציונליות המאפשרת ללקוחות לייצא, לשמור ולמחוק את נתוני הלקוחות שלהם, ומחק נתוני לקוחות בתום החוזה בהתאם להסכם.

• חתום על נספח עיבוד נתונים, ועל הסכם שותף עסקי במידת הצורך, עם לקוחות הדורשים זאת.

תחומי האחריות של המשתמשים

• קבע אילו נתונים מתאימים לאחסון ב-Notion, וודא שנתונים מוסדרים מאוחסנים רק במקום שבו קיימים ההסכמים וההגדרות הדרושים.

• קבע ויישם נהלי שמירה, ומחק נתוני לקוחות שאינם נדרשים עוד.

• הגדרת הגדרות השמירה והמחיקה הזמינות במוצר כדי לשקף את המדיניות הפנימית.

• הגשת נתוני חשבון מלאים ומדויקים, ותיקונם באופן מיידי כאשר מזוהות שגיאות.

• עמידה בהתחייבויות החלות על הבקר של הנתונים האישיים המוחזקים בסביבת עבודה, לרבות מתן מידע על פרטיות ליחידים, ביסוס בסיס חוקי לעיבוד, ומענה לבקשות של נושאי נתונים בנוגע לנתוני לקוח.

• קביעה האם נדרש אזור תושבות נתונים ספציפי, בקשתו היכן שצריך, והבנה אילו קטגוריות של נתונים ואילו מוצרי Notion חורגים מהיקף זה.

• עיון ב-רשימת מעבדי המשנה של Notion.

Notion מפעילה את התשתית ששומרת על השירות זמין ומחזיקה גיבויים של תשתית זו לצורך שחזור השירות. לקוחות אחראים לשחזור נתוני הלקוח שלהם באמצעות הכלים ש-Notion מספקת, ולהחזקת עותק עצמאי של נתוני לקוח אלו כאשר ההתחייבויות שלהם מחייבות זאת.

תחומי האחריות של Notion

• הפעלת שירות Notion בהתאם להתחייבויות הזמינות המפורטות בתנאי רמת השירות, תוך שימוש בתשתית יתירה על פני אזורי זמינות מרובים.

• פרסום הסטטוס התפעולי של השירות.

• תחזוקת גיבויים אוטומטיים, מוצפנים ומנוטרים של נתוני לקוח.

• אחסון גיבויים בהתאם ל-מיפוי אזורי הגיבוי שפורסם של Notion עבור אזור תושבות הנתונים שנבחר. תושבות נתונים חלה רק על הקטגוריות המוגדרות של נתוני לקוח.

• תחזוקה ובדיקה תקופתית של תוכניות התאוששות מאסון והמשכיות עסקית.

• מתן כלי שחזור בתוך המוצר, כולל פח האשפה והיסטוריית גרסאות, המאפשרים ללקוחות לשחזר נתוני לקוח בעצמם.

• מתן פונקציונליות ייצוא המאפשרת ללקוחות לקבל עותק של נתוני הלקוח שלהם.

תחומי האחריות של המשתמשים

• שחזור דפים בודדים ונתוני לקוח באמצעות פח האשפה והיסטוריית גרסאות, בתוך תקופות השמירה החלות על התוכנית של המשתמש.

• הגדרת הגדרות שמירת נתוני לקוח, היכן שהן זמינות, כדי לשקף את המדיניות הפנימית.

• תחזוקת עותק עצמאי של נתוני לקוח כאשר מדיניות פנימית, התחייבויות חוזיות או רגולציה מחייבות שמירה מעבר למה שהמוצר מספק, או מחייבות עותק שמוחזק מחוץ ל-Notion.

• הפקת ייצואים בלוח זמנים המתאים לדרישות אלו, ואימות שהייצואים מלאים. נתוני לקוח שחשבון הייצוא אינו יכול לגשת אליהם אינם כלולים בייצוא.

• אחזור ייצואים בתוך התקופה שבה קישור ההורדה נותר תקף.

• תכנון לאפשרות של אי-זמינות שירות כחלק מהסדרי ההמשכיות העסקית של המשתמש עצמו.

מה הם הגיבויים של Notion ומה הם לא

הגיבויים של Notion קיימים כדי לשחזר את שירות Notion. הם אינם נקודת שחזור המיועדת ללקוח, ולא ניתן להשתמש בהם כדי להחזיר סביבת עבודה למצבה ברגע נתון. שחזור נתוני לקוח בודדים מתבצע על ידי הלקוחות באמצעות פח האשפה והיסטוריית גרסאות. ברגע שנתוני לקוח עברו את תקופות פח האשפה והשמירה הרלוונטיות, הם נמחקים ולא ניתן לשחזרם. על הלקוחות לא להסתמך על התמיכה כמנגנון שמירה.

ייצוא מפיק עותק נייד של נתוני לקוח בפורמטים כגון HTML, Markdown, CSV או PDF, בהתאם לסוג הייצוא ולתוכנית. זה אינו גיבוי מלא של סביבת עבודה: ייבוא נתוני לקוח שיוצאו לא ישחזר את ההרשאות, ההגדרות או התצורה המלאה המקורית של סביבת עבודה, ועשוי לדרוש ארגון מחדש ידני.

Notion מייצרת רשומות של פעילות רלוונטית בתוך סביבת עבודה ומנגישה אותן לארגון. הלקוחות אחראים לבדיקת רשומות אלו, שמירתן היכן שנדרש, ופעולה בהתאם למה שהן מציגות.

תחומי האחריות של Notion

• תיעוד אירועי אבטחה ובטיחות המתרחשים ברחבי סביבות עבודה של הארגון, כולל הגורם המבצע, הפעולה, הזמן, ובמידת האפשר כתובת ה-IP.

• שמירת היסטוריית יומן הביקורת בתוך המוצר לתקופה מוגדרת, ומתן מנגנוני ייצוא והזרמה כדי שהלקוחות יוכלו לשמור אותה לזמן רב יותר.

• מתן אמצעי להזרמת אירועים לפלטפורמת ניטור האבטחה של המשתמש בזמן אמת, ותמיכה בחיבורים לכלי מניעת אובדן נתונים.

• ניטור התשתית, הרשתות והמערכות של Notion עצמה לאיתור פעילות זדונית, ותחזוקת רישום פנימי עבור מערכות אלו.

תחומי האחריות של המשתמשים

• סקירת פעילות יומן הביקורת, וחקירה ופעולה בנוגע לפעילות שנראית בלתי צפויה או בלתי מורשית.

• שמירת נתוני יומן לתקופה הנדרשת על פי המדיניות או הרגולציה הפנימית של הלקוח, על ידי ייצוא או הזרמת אירועים לפני שהם חורגים מחלון השמירה.

• הגדרת ניטור, התראות וכל חיבורי האבטחה או התאימות בסביבת משתמשים, ווידוא שהאינטגרציות הללו נשארות פעילות.

• הגדרת מה מהווה פעילות חשודה בהקשר של הארגון, והקצאת אחריות לבדיקתה.

• דיווח על פעילות חשודה ל-Notion במקרים שבהם היא עשויה להעיד על פגיעה בשירות.

מה יומן הביקורת מכסה ומה לא

יומן הביקורת מתעד אירועים. רשומות יומן ומטעני נתונים מוזרמים מתארים פעולות שבוצעו ועל ידי מי; הם אינם מכילים את נתוני הלקוח של דפים.

תיעוד יומן הביקורת מתחיל כאשר ארגון הופך לזכאי לתכונה. פעילות שהתרחשה לפני כן אינה זמינה בדיעבד.

Notion מפתחת, מפעילה ומתחזקת את שירות Notion ואת התשתית שעליה הוא פועל, כולל אבטחה ותיקון של אותה תשתית. הלקוחות אחראים לסביבות שמהן הם ניגשים ל-Notion.

תחומי האחריות של Notion

• פיתוח, בדיקה, תיקון ותחזוקה של אפליקציית Notion והתשתית התומכת בה. עדכונים לשירות מיושמים על ידי Notion ואינם דורשים פעולה מצד הלקוחות.

• לביצוע מידול איומים וסקירות תכנון מאובטח עבור גרסאות חדשות, וכן לבצע ביקורות קוד, סקירות קוד וסריקות אבטחה של בסיס הקוד.

• ביצוע בדיקות חדירות עצמאיות שנתיות.

• יישום וניהול אבטחת רשת בכל המערכות של Notion.

• ניטור התשתית, הרשתות והנכסים של Notion לאיתור פעילות זדונית.

• תפעול תוכנית לחשיפת פגיעויות ציבורית, וביצוע בדיקות חדירות עצמאיות.

• אבטחת המערכות הארגוניות ומכשירי העובדים של Notion עצמה, כולל הצפנה במנוחה, זיהוי ותגובה בנקודות קצה, וניהול מכשירים מרכזי.

• פרסום יישומי לקוח של Notion ומתן עדכונים להם.

תחומי האחריות של המשתמשים

• תחזוקת סביבות נקודות קצה נתמכות ומתוקנות כראוי, כולל דפדפני אינטרנט, וכל בקרות שעשויות למנוע עדכוני לקוח של Notion.

• אבטחת המכשירים והרשתות המשמשים לגישה ל-Notion, בהתאם לתקני אבטחת נקודות הקצה של המשתמשים.

• כאשר עדכוני לקוח Notion מנוהלים באופן מרכזי, הם צריכים להמשיך להיות מיושמים בזמן. דחייה או השבתה של עדכונים אוטומטיים מעבירה את האחריות לתיקון בזמן של הלקוח אל המשתמש.

• הבטחה שתצורות התקנה אינן מונעות מהמשתמשים לקבל עדכונים.

• דיווח על פגיעויות חשודות בשירות Notion ל-Notion במקום ניצולן או חשיפתן בפומבי.

היכן עובר הגבול

Notion מתקנת את שירות Notion. לקוחות אינם מחילים תיקונים על Notion, ולא נדרשת פעולת לקוח עבור עדכונים בצד השרת.

יישומי לקוח הם שונים. Notion מפרסמת עדכונים, אך השאלה אם מכשיר מסוים מקבל אותם תלויה באופן שבו המכשיר מוגדר ומנוהל. במקום שבו ארגון מנהל את התנהגות ההתקנה או העדכון, שמירה על עדכניות הלקוחות היא באחריות הארגון.

Notion מספקת API, פלטפורמת אינטגרציה ותכונות AI שיכולות לפעול על נתוני לקוחות ולהגיע למערכות מחוברות. הלקוחות אחראים להחליט אילו מהם להפעיל, איזו גישה להעניק להם וכיצד הם מנוהלים.

תחומי האחריות של Notion

• ספקו ותחזקו את ה-API של Notion, פלטפורמת האינטגרציה, החיבורים ותכונות ה-AI.

• כבדו הרשאות משתמש ב-Notion AI, Notion Agent ו-מחברי AI. סוכנים בהתאמה אישית משתמשים בהרשאות המפורשות שהוענקו להם, שעשויות להיות שונות מאלו של האדם המקיים אינטראקציה עם הסוכן.

• ספקו בקרות ניהוליות הקובעות אילו אינטגרציות וכלי AI חיצוניים עשויים להיות מותקנים, אילו סוכנים עשויים להיווצר, והאם תכונות AI מופעלות.

• ספק בקרות להפעלה או השבתה של חיפוש אינטרנט מבוסס בינה מלאכותית, ודרוש אישור לפני ביצוע בקשות אינטרנט חיצוניות.

• תחזק הגנות שנועדו לזהות ולהפחית את הסיכון להזרקת הוראות (prompt-injection), כולל זיהוי הוראות נסתרות בתוכן של צד שלישי ובקבצים שהועלו, הגבלות על טיפול בקישורים, ובדיקות נוספות במקרים שבהם סוכנים פועלים באופן אוטונומי.

• הימנע משימוש בנתוני לקוח כדי לאמן את המודלים של Notion, ואסור חוזית על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• תעד פעילות אינטגרציה, חיבור, סוכן וכלי AI חיצוני ביומן.

תחומי האחריות של המשתמשים

• החלטה אילו אינטגרציות, חיבורים, תכונות AI וסוכנים מתאימים לארגון, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• בחינת הגישה והיכולות המבוקשות על ידי אינטגרציה או חיבור לפני אישורם, ואישור ששירות הצד השלישי עומד בדרישות הספק של המשתמש עצמו.

• ניהול אסימוני אינטגרציה פנימיים, כולל הגבלת הפצתם, החלפתם וביטול אלו שאינם נדרשים.

• ניהול היצירה וההגדרה של סוכנים, כולל לאילו נתוני לקוח וכלים מחוברים כל סוכן יכול להגיע, ובחינת גישה זו מעת לעת.

• על לקוחות לוודא שהרשאות הסוכנים מוגדרות כראוי.

• קביעה אם ניתן להפעיל מודלים השומרים נתונים עבור תכונות הדורשות זאת.

• הבטחה שנתוני לקוח הזמינים ל-Notion דרך מערכות מחוברות מתאימים למטרה זו, ושהגישה המוענקת במערכת המחוברת מוגדרת כראוי בעצמה.

• יידוע משתמשים בכך שנתוני לקוח שמקורם מחוץ לסביבת העבודה, כולל דפי אינטרנט וקבצים שהועלו, עלולים לנסות להשפיע על התנהגות הבינה המלאכותית.

מה על לקוחות להבין בנוגע לנתונים מחוברים

גישה המוענקת דרך חיבור היא מוגבלת בדיוק כפי שהן ההרשאות שהוענקו במערכת המחוברת. Notion אוכפת את ההרשאות המדווחות על ידי המערכת המחוברת, אך אינה מתקנת הרשאות רחבות מדי במערכת המקור.

שינויי הרשאות במערכות מחוברות משתקפים ב-Notion לאחר מרווח סנכרון ולא באופן מיידי, וייתכן שיידרש זמן עד שנתוני לקוח שנוספו או נמחקו יופיעו או יהפכו ללא זמינים.

Notion אחראית לאבטחת שירות Notion ולהודעה ללקוחות במקרה שאירוע משפיע על נתוני הלקוח שלהם. לקוחות אחראים לאופן שבו הם מגיבים לאירועים הכוללים את החשבונות, סביבת העבודה ונתוני הלקוח שלהם, כולל כל הודעה שהם נדרשים למסור.

תחומי האחריות של Notion

• שמירה על תוכנית מתועדת לתגובה לאירועים ובדיקתה מעת לעת.

• זיהוי, תעדוף, חקירה, הכלה ותיקון אירועי אבטחה המשפיעים על מערכות Notion ועל נתוני הלקוח ש-Notion מחזיקה.

• דיווח ללקוחות מושפעים על אירועי אבטחה, בהתאם לנספח עיבוד הנתונים ולחוק החל.

• עריכת סקירה לאחר אירוע, כולל ניתוח שורש הבעיה, והחלת הממצאים על הבקרות ותוכנית התגובה של Notion.

• פרסום הסטטוס התפעולי של השירות ודיווח על אירועי זמינות.

• ניהול תוכנית לחשיפת פגיעויות, ומיון ותיקון של פגיעויות מדווחות.

תחומי האחריות של המשתמשים

• דיווח על אירועי אבטחה חשודים, חשבונות שנפרצו, פגיעויות חשודות ושימוש לרעה בשירות ל-Notion באופן מיידי, דרך הערוץ המתאים.

• זיהוי אירועים המתרחשים בתוך סביבת העבודה והחשבונות של המשתמש עצמו, ותגובה אליהם, כולל פרטי התחברות שנפרצו, שיתוף בלתי הולם ושימוש לרעה על ידי משתמשים פנימיים.

• תחזוקת הסדרי תגובה לאירועים של המשתמש עצמו, והגדרת האחראי לפעולה בגין פעילות שזוהתה ב-Notion.

• נקיטת פעולות הכלה הזמינות בתוך המוצר, כולל הסרת גישה, ביטול הפעלות, איפוס פרטי התחברות, ביטול אסימוני אינטגרציה ומשיכת נתוני לקוח שפורסמו.

• שמירה על ראיות רלוונטיות, כולל ייצוא רשומות יומן ביקורת לפני שהן יוצאות מחלון השמירה.

• קביעה אם אירוע מפעיל חובת הודעה החלה על המשתמש כלפי רגולטור, לקוח או אדם מושפע, וביצוע הודעה זו.

• שמירה על פרטי קשר אדמיניסטרטיביים ופרטי קשר בנושאי אבטחה מעודכנים, כדי שהודעות מ-Notion יגיעו לאנשים הנכונים.

• דיווח על פגיעויות חשודות ל-Notion במקום לנצל אותן או לחשוף אותן בפומבי.

איזה צד מזהה מה

Notion מנטרת את התשתית שלה ויכולה לזהות אירועים המשפיעים על השירות. Notion אינה יכולה לקבוע אם פעולה תקפה ב-Workspace אושרה במסגרת המדיניות הפנימית של המשתמש, והלקוחות אחראים לניטור פעילות ה-Workspace ולהגיב לשימוש לרעה.

זה כולל אירועים כגון חבר שפרסם נתוני לקוח חסויים, עובד שעוזב שמייצא נתונים, או שימוש לרעה בפרטי התחברות על ידי בעליהם החוקיים. זיהוי אירועים אלו והתמודדות עימם תלויים בבדיקת רשומות הפעילות והבקרות העומדות לרשות המשתמש.

Notion מנהלת תוכנית לאבטחת מידע ופרטיות שעוברת ביקורת עצמאית, ומעמידה את התיעוד המתקבל לרשות הלקוחות. הלקוחות קובעים אם Notion מתאימה לחובות הרגולטוריות שלהם ומגדירים אותה בהתאם.

תחומי האחריות של Notion

• ניהול תוכניות אבטחה ופרטיות המוערכות באופן עצמאי בהתאם למחזורי ביקורת והסמכה רלוונטיים.

• הצגת תיעוד ציות, כולל דוחות ביקורת והסמכות, ללקוחות וללקוחות פוטנציאליים דרך ה-מרכז האמון של Notion.

תחומי האחריות של המשתמשים

• קביעה אם Notion מתאימה לנתונים שהמשתמש מתכוון לאחסן ולחובות הרגולטוריות החלות עליו.

• התקשרות בהסכמים הנדרשים לשימוש זה, כולל נספח עיבוד נתונים או הסכם שותף עסקי במקומות הרלוונטיים.

• החלת התצורה הנדרשת על פי הסכמים אלו, לרבות הפעלת כל הגדרה ספציפית לתאימות ותכונות האבטחה שעליהן הן מסתמכות.

• השלמת הערכות עצמיות של המשתמש, לרבות הערכת סיכוני ספק וכל הערכת השפעה על הגנת נתונים הנדרשת על פי חוק.

• בחינת האישורים, דוחות הביקורת ורשימת מעבדי המשנה של Notion כחלק מתהליכי ההבטחה וניהול השינויים של המשתמש עצמו.

• הוכחה למבקרים ולרגולטורים של המשתמש עצמו שהתצורה והשימוש של המשתמש ב-Notion עומדים בחובות החלות עליהם.

איזו הסמכה מכסה

הסמכות צד שלישי עצמאיות ודוחות ביקורת של Notion מכסים את הבקרות ש-Notion מפעילה. הם אינם חלים על האופן שבו ארגון בודד מגדיר או משתמש ב-Notion.

סביבת עבודה המחזיקה בנתונים מוסדרים אינה תואמת מעצם העובדה ש-Notion מחזיקה בהסמכה. במקום שבו חובה תלויה בתצורה, כגון הגבלת שיתוף, אכיפת כניסה יחידה (SSO), שמירת רשומות ביקורת, או הגבלת המקום שבו נתונים מאוחסנים, העמידה בה נותרת באחריות המשתמש.

Notion קובעת את התנאים שעל פיהם ניתן להשתמש בשירות ואוכפת אותם. לקוחות אחראים לשימוש שלהם ב-Notion ולנתוני הלקוח המוחזקים בסביבת העבודה שלהם.

תחומי האחריות של Notion

• פרסום ותחזוקה של מדיניות תוכן ושימוש, תנאים רלוונטיים ומדיניות קשורה.

• מתן מנגנון לכל אדם הצופה בדף Notion ציבורי לדווח על נתוני לקוח שלדעתו אסורים.

• חקירת דיווחים, והסרת נתוני לקוח או הגבלת גישה במקום שבו מזוהה הפרה.

• הפעלת בדיקה קפדנית נוספת על קטגוריות שימוש הקשורות לשיעורים גבוהים יותר של שימוש לרעה, והשעיה או הפסקה של גישה במידת הצורך כדי להגן על זמינות השירות.

תחומי האחריות של המשתמשים

• שימוש ב-Notion בהתאם לתנאים ולמדיניות התוכן והשימוש, והבטחה שאנשים המשתמשים ב-Notion תחת המנוי של המשתמש עושים את אותו הדבר.

• הבטחה שנתוני לקוח המאוחסנים ב-Notion, משותפים מאת Notion או מפורסמים דרכה, תואמים למדיניות זו ולחוק החל.

• ניטור נתוני לקוח שנתרמו על ידי אחרים במקום שבו המשתמש מפיץ נתוני לקוח שנוצרו על ידי משתמשים דרך Notion.

• שימוש ב-Notion במסגרת הקיבולת המיועדת לה, ואי-ניסיון לעקוף, לבצע השבתה או להפריע לבקרות האבטחה שלה.

• ביצוע כל בדיקת אבטחה של Notion אך ורק דרך תוכנית גילוי הפגיעויות של Notion ובמסגרת התנאים שלה.

• שימוש בערוצי תמיכה ודיווח בתום לב.