공동 책임 모델

이 공유된 페이지 책임 모델은 Notion과 고객이 함께 협력하여 안전하고 효과적인 워크스페이스 환경을 만들 수 있도록 보장합니다.

정의된 용어는 Notion의 MSA 및 DPA를 참조하십시오.

Notion은 생각하고, 글을 쓰며 계획을 세울 수 있는 단 하나의 공간입니다. 올인원 공간으로서, 사용자는 최고의 작업을 수행하기 위한 나만의 도구를 구축하며, 전문 정보와 개인 정보를 Notion에 맡기고, 연결 및 AI 기능을 통해 다른 시스템에 저장된 정보에 접근할 수 있습니다.

공동 책임 모델(SRM)은 서비스 제공업체와 사용자 간의 책임 분담을 개략적으로 설명하는 프레임워크입니다. 이 모델은 각 당사자가 처리하는 보안 및 운영 작업을 명확하게 정의합니다.

이 문서는 Notion 시스템, 사용자 계정 및 워크스페이스의 보안을 보호하고 유지하는 데 있어 Notion과 고객 간에 공유되는 책임을 개략적으로 설명합니다.

Notion SRM은 특정 프로세스, 운영 또는 통제에 대해 어느 당사자가 책임이 있는지 Notion과 고객 모두에게 명확성을 제공합니다. 이를 통해 Notion은 Notion 시스템의 기밀성, 무결성 및 가용성을 가장 잘 보호할 수 있는 영역에 집중하고 책임을 질 수 있으며, 고객이 자신의 계정, 워크스페이스 및 고객 데이터를 보호하는 데 더 적합한 영역을 식별할 수 있습니다. 전반적으로 이는 Notion 시스템 및 계정을 보호하는 데 있어 보안과 효율성을 향상시킵니다.

또한 SRM은 Notion 서비스가 제공되는 방식의 투명성을 높여 고객이 자체 위험 및 보증 프로세스 내에서 Notion을 평가하는 데 필요한 정보를 제공하고, 적용 가능한 지역, 국가 및 국제 규정에 따른 각자의 의무를 이행하도록 Notion과 고객 모두를 지원합니다.

요약하자면, Notion은 Notion 서비스의 아키텍처를 구축, 운영 및 보호할 책임이 있습니다. 고객은 자격 증명 보호, 워크스페이스 및 고객 데이터에 대한 액세스 권한 관리, 콘텐츠 및 사용 정책 및 기타 관련 약관 준수를 포함하여 해당 서비스를 구성하고 사용하는 방식에 대한 책임이 있습니다.

이 문서에 설명된 일부 책임은 워크스페이스 또는 조직 내에서 높은 권한을 가진 고객만이 수행할 수 있습니다. 이러한 권한을 적절하게 할당하는 것은 고객의 책임입니다.

특정 책임을 이행하기 위해 사용할 수 있는 도구는 플랜에 따라 다릅니다. 특정 기능이 특정 구독 플랜으로 제한되는 경우, 해당 기능이 없는 구독 플랜을 사용하는 고객은 여전히 근본적인 결과에 대한 책임이 있으며 대체 통제 수단을 고려해야 합니다.

Notion은 사용자가 Notion에 로그인하는 방식과 워크스페이스 사용 권한이 부여 및 제거되는 방식을 관리하는 인증 방법과 관리자 제어 기능을 제공합니다. 고객은 조직에 적합한 제어 기능을 선택 및 구성하고, 계정에 사용 권한을 부여하는 데 사용되는 인증서를 보호할 책임이 있습니다.

Notion의 책임

• 이메일 및 비밀번호, Google 및 Apple 로그인, 비즈니스 및 엔터프라이즈 요금제 워크스페이스를 위한 SAML 2.0 SSO(통합 로그인)를 포함한 인증 방법을 제공하고 운영합니다.

• 비밀번호로 로그인하는 계정에 대해 인증기 앱 또는 텍스트 메시지 코드를 사용하여 2단계 인증을 제공합니다.

• 엔터프라이즈 조직이 ID 공급자로부터 사용자의 생성, 업데이트 및 삭제를 자동화할 수 있도록 SCIM API를 제공합니다.

• 세션 기간, 강제 로그아웃, 비밀번호 재설정, 계정 일시 중지 및 도메인 인증을 관리하는 관리 제어 기능을 제공합니다.

• 도메인을 사용하여 Notion에 대한 사용자 기반의 로그인 방식을 제어하기 전에 도메인 소유권에 대한 확인된 증명을 요구합니다.

• 사용자가 워크스페이스에서 제거되면 해당 사용자의 고객 데이터에 대한 사용 권한을 취소합니다. 조직이 관리 대상 사용자 기반 전반에서 세션을 종료하고 인증서를 재설정할 수 있는 제어 기능을 제공합니다.

• Notion 자체 인프라 전반에서 최소 권한 사용 권한 제어를 유지하고, Notion 직원 및 계약자가 기밀 유지 의무를 준수하도록 요구합니다.

• 사용자 또는 워크스페이스 소유자가 동의한 경우에만 지원 목적으로 고객 데이터에 사용 권한을 부여하며, 정의된 기간이 지나면 해당 동의를 자동으로 만료시킵니다.

사용자 책임

• 로그인 인증서를 보호하고, 강력하고 고유한 비밀번호를 사용하며, 다른 서비스에서 재사용하지 않습니다.

• 공유 계정이 아닌 개별 계정을 유지하고 로그인 정보를 공유하지 않습니다.

• 비밀번호로 로그인하는 계정에 2단계 인증을 사용합니다.

• 내부 정책에 따라 인증서를 업데이트하고, 외부 인증서 유출이 확인된 경우 즉시 업데이트합니다.

• SSO(통합 로그인) 강제 여부를 포함하여 조직에 적합한 인증 방법을 선택하고 구성합니다.

• 워크스페이스 사용 권한이 의도된 사용자에게만 제한되도록 하고, 퇴사나 역할 변경 시 즉시 사용 권한을 제거합니다. 자동 프로비저닝 해제에는 SCIM이 필요하며, 이를 사용하지 않는 경우 수동으로 제거해야 합니다.

• 내부 정책에 따라 세션 기간을 설정하고, ID 공급자에 대한 사용 권한을 상실했을 때를 대비한 복구 절차를 유지합니다.

• Notion 지원이 계정이나 워크스페이스에 사용 권한을 가질 수 있는지 여부를 제어하고, 더 이상 필요하지 않을 때 해당 사용 권한을 취소합니다.

Notion은 인증된 사용자가 무엇을 보고 무엇을 할 수 있는지 결정하는 권한 모델과 공유 범위를 설정하는 관리 제어 기능을 제공합니다. 고객은 해당 모델을 고객 데이터에 어떻게 적용할지 결정하고 그에 따른 사용 권한을 검토할 책임이 있습니다.

Notion의 책임

• 권한 그룹을 포함하여 워크스페이스, 팀스페이스, 페이지 및 데이터베이스 수준에서 작동하는 권한 모델을 제공하고 제품 전반에 걸쳐 일관되게 적용합니다.

• 멤버와 게스트에 대해 별도의 사용 권한을 제공하여 외부 협업자가 전체 워크스페이스가 아닌 특정 고객 데이터에만 사용 권한을 가질 수 있도록 합니다.

• 조직이 공개 페이지 공유, 게스트 사용 권한, 내보내기, 페이지 이동 또는 다른 워크스페이스로의 복제를 제한할 수 있는 관리 제어 기능을 제공합니다.

• Notion 사이트, 폼 및 /링크를 포함하여 누가 고객 데이터를 웹에 게시할 수 있는지 제어하는 기능을 제공합니다.

• 조직이 누가 페이지에 사용 권한을 가지고 있는지, 어떤 페이지가 외부와 공유되거나 웹에 게시되었는지 식별하고 해당 권한을 변경할 수 있도록 하는 가시성 도구를 제공합니다.

• AI 및 검색 기능을 제공할 때 구성된 워크스페이스 권한을 준수합니다.

사용자 책임

• 고객 데이터에 대한 적절한 사용 권한 수준을 결정하고 그에 따라 권한을 적용하십시오.

• 외부 공동 작업 및 공개 게시 허용 여부를 결정하고, 해당 결정을 반영하도록 사용 가능한 제어 기능을 구성하십시오.

• 사용 권한 상속 방식을 이해하십시오. 페이지에 부여된 사용 권한은 기본적으로 그 안에 중첩된 페이지로 확장되며, 여러 경로를 통해 부여된 사용 권한은 부여된 가장 높은 수준으로 결정됩니다.

• 워크스페이스 멤버, 게스트, 권한 그룹, 외부와 공유된 고객 데이터, 웹에 게시된 고객 데이터를 포함하여 사용 권한을 주기적으로 검토하십시오.

• 협력자의 참여가 종료될 때 고객 데이터에 대한 사용 권한을 제거하십시오. 여기에는 조직의 ID 공급자를 통해 사용 권한이 관리되지 않는 게스트 및 외부 협력자가 포함됩니다.

• 웹에 게시된 고객 데이터가 공개 대상을 위한 것인지 확인하고, 검색 엔진 인덱싱과 같은 옵션을 그에 따라 구성하십시오.

• 사용자가 떠나기 전 또는 전송이 가능한 리미티드 기간 내에 해당 사용자가 개인 페이지에 보유한 고객 데이터를 전송하십시오. 해당 기간이 지나면 개인 고객 데이터는 일반적으로 복구할 수 없으며, 전송 도구는 엔터프라이즈 요금제에서만 사용할 수 있습니다.

Notion은 고객을 대신하여 고객 데이터를 저장 및 처리하며 전송 중이거나 저장된 상태의 데이터를 보호합니다. 고객은 Notion에 어떤 데이터를 저장할지, 얼마나 오래 보관할지, 그리고 해당 데이터에 어떤 법적 의무가 적용되는지 결정합니다.

Notion의 책임

• 마스터 구독 계약, 데이터 처리 부속서 및 관련 데이터 보호법에 따라 고객 데이터를 처리하십시오.

• 클라우드 스토리지, 데이터베이스 테이블 및 백업을 포함하여 저장된 고객 데이터는 AES-256 또는 이와 동등하거나 더 강력한 보안을 제공하는 업계 표준 알고리즘을 사용하여 암호화하고, 전송 중인 데이터는 TLS 1.2 이상을 사용하여 암호화하십시오.

• 현재 데이터 처리 위탁업체 리스트를 유지하고 게시하십시오.

• 특정 범주의 고객 데이터에 대해 데이터 레지던시를 제공하여, 자격을 갖춘 조직이 해당 데이터가 저장될 지역을 선택할 수 있도록 하십시오.

• 고객 데이터를 Notion의 머신러닝 모델 학습에 사용하지 않으며, 명시적인 고객 동의 없이 AI 데이터 처리 위탁업체가 이를 수행하지 못하도록 계약상 금지하십시오.

• 고객이 고객 데이터를 내보내고, 보관하고, 삭제할 수 있는 기능을 제공하며, 계약 종료 시 계약에 따라 고객 데이터를 삭제하십시오.

• 데이터 처리 부속서 및 필요한 경우 사업 제휴 계약서를 해당 계약이 필요한 고객과 체결하십시오.

사용자의 책임

• Notion에 저장하기에 적절한 데이터를 결정하고, 규제 대상 데이터는 필요한 계약 및 구성이 마련된 경우에만 저장되도록 하십시오.

• 보존 관행을 수립 및 적용하고, 더 이상 필요하지 않은 고객 데이터를 삭제하십시오.

• 내부 정책을 반영하기 위해 제품에서 제공하는 보존 및 삭제 설정을 구성합니다.

• 완전하고 정확한 계정 데이터를 제출하고 오류가 확인되면 즉시 수정합니다.

• 개인에게 개인정보 처리방침을 제공하고, 처리의 적법한 근거를 마련하며, 고객 데이터와 관련된 정보 주체의 요청에 대응하는 것을 포함하여 워크스페이스에 보관된 개인정보의 컨트롤러로서의 의무를 이행합니다.

• 특정 데이터 레지던시 리전이 필요한지 결정하고, 필요한 경우 요청하며, 어떤 데이터 범주와 Notion 제품이 해당 범위에 포함되지 않는지 파악합니다.

• Notion의 데이터 처리 위탁업체 리스트를 검토합니다.

Notion은 서비스를 가용 상태로 유지하는 인프라를 운영하며, 서비스 복구를 목적으로 해당 인프라의 백업을 유지합니다. 고객은 Notion이 제공하는 도구를 사용하여 자신의 고객 데이터를 복구할 책임이 있으며, 자체 의무에 따라 필요한 경우 해당 고객 데이터의 독립적인 사본을 보관할 책임이 있습니다.

Notion의 책임

• 서비스 수준 약관에 명시된 가용성 약정에 따라 다중 가용성 영역에 걸쳐 중복 인프라를 사용하여 Notion 서비스를 운영합니다.

• 서비스의 운영 상태를 게시합니다.

• 고객 데이터의 자동화되고 암호화되며 모니터링되는 백업을 유지합니다.

• 선택한 데이터 레지던시 리전에 대해 Notion의 공개된 백업 리전 매핑에 따라 백업을 저장합니다. 데이터 레지던시는 정의된 고객 데이터 범주에만 적용됩니다.

• 재해 복구 및 비즈니스 연속성 계획을 유지하고 주기적으로 테스트합니다.

• 휴지통 및 버전 기록을 포함한 제품 내 복구 도구를 제공하여 고객이 직접 고객 데이터를 복원할 수 있도록 합니다.

• 고객이 고객 데이터 사본을 확보할 수 있도록 내보내기 기능을 제공합니다.

사용자의 책임

• 사용자 요금제에 적용되는 보존 기간 내에 휴지통 및 버전 기록을 사용하여 개별 페이지와 고객 데이터를 복구합니다.

• 내부 정책을 반영하기 위해 가능한 경우 고객 데이터 보관 설정을 구성합니다.

• 내부 정책, 계약상 의무 또는 규정에 따라 제품에서 제공하는 것 이상의 보존이 필요하거나 Notion 외부에서 보관하는 사본이 필요한 경우 고객 데이터의 독립적인 사본을 유지합니다.

• 해당 요구 사항에 적절한 주기에 따라 내보내기를 생성하고, 내보내기가 완전한지 확인합니다. 내보내는 계정이 사용 권한이 없는 고객 데이터는 내보내기에 포함되지 않습니다.

• 다운로드하기 /링크가 유효한 기간 내에 내보내기를 검색합니다.

• 사용자 자체 비즈니스 연속성 계획의 일환으로 서비스 중단 가능성에 대비합니다.

Notion 백업의 정의와 범위

Notion 백업은 Notion 서비스를 복원하기 위해 존재합니다. 이는 고객용 복원 지점이 아니며, 특정 시점의 상태로 워크스페이스를 되돌리는 데 사용할 수 없습니다. 개별 고객 데이터의 복구는 고객이 휴지통과 버전 기록을 통해 직접 수행합니다. 고객 데이터가 해당 휴지통 및 보관 기간을 지나면 삭제되어 복구할 수 없습니다. 고객은 보관 메커니즘으로 지원팀에 의존해서는 안 됩니다.

내보내기 기능은 내보내기 유형 및 요금제에 따라 HTML, Markdown, CSV 또는 PDF와 같은 형식으로 고객 데이터의 휴대용 사본을 생성합니다. 이는 전체 워크스페이스 백업이 아닙니다. 내보낸 고객 데이터를 가져와도 워크스페이스의 원래 권한, 설정 또는 전체 구성이 재현되지 않으며, 수동으로 재구성해야 할 수도 있습니다.

Notion은 워크스페이스 내의 관련 활동 기록을 생성하여 조직에서 사용할 수 있도록 제공합니다. 고객은 해당 기록을 검토하고, 필요한 경우 보관하며, 기록에 나타난 내용에 따라 조치를 취할 책임이 있습니다.

Notion의 책임

• 조직의 워크스페이스 전반에서 발생하는 보안 및 안전 관련 이벤트를 기록하며, 여기에는 작업자, 작업 내용, 시간 및 가능한 경우 IP 주소가 포함됩니다.

• 감사 로그 기록을 정의된 기간 동안 제품 내에 보관하고, 고객이 더 오래 보관할 수 있도록 내보내기 및 스트리밍 메커니즘을 제공합니다.

• 이벤트를 사용자의 자체 보안 모니터링 플랫폼으로 실시간 스트리밍하는 수단을 제공하고, 데이터 손실 방지 도구와의 연결을 지원합니다.

• Notion의 자체 인프라, 네트워크 및 시스템에서 악의적인 활동을 모니터링하고 해당 시스템에 대한 내부 로깅을 유지합니다.

사용자의 책임

• 감사 로그 활동을 검토하고, 예상치 못했거나 승인되지 않은 것으로 보이는 활동을 조사하여 조치를 취합니다.

• 고객의 자체 내부 정책이나 규정에서 요구하는 기간 동안 로그 데이터를 보관하며, 보관 기간이 지나기 전에 이벤트를 내보내거나 스트리밍합니다.

• 사용자의 자체 환경에서 모니터링, 알림, 보안 또는 규정 준수 연결을 구성하고 해당 통합이 계속 작동하도록 유지합니다.

• 조직의 맥락에서 의심스러운 활동이 무엇인지 정의하고, 이를 검토할 책임을 할당합니다.

• 서비스 침해가 의심되는 경우 Notion에 의심스러운 활동을 보고합니다.

감사 로그가 커버하는 것과 커버하지 않는 것

감사 로그는 이벤트를 기록합니다. 로그 항목과 스트리밍된 페이로드는 수행된 작업과 작업자를 설명하며, 페이지의 고객 데이터는 포함하지 않습니다.

감사 로그 기록은 조직이 해당 기능을 사용할 수 있게 된 시점부터 시작됩니다. 그 이전에 발생한 활동은 소급하여 확인할 수 없습니다.

Notion은 Notion 서비스와 서비스가 실행되는 인프라를 개발, 운영 및 유지 관리하며, 해당 인프라의 보안 및 패치 작업을 수행합니다. 고객은 Notion에 액세스하는 환경에 대한 책임을 집니다.

Notion의 책임

• Notion 애플리케이션과 이를 지원하는 인프라를 개발, 테스트, 패치 및 유지 관리합니다. 서비스 업데이트는 Notion에 의해 적용되며 고객이 별도로 취할 조치는 없습니다.

• 신규 릴리스에 대한 위협 모델링 및 보안 설계 검토를 수행하고, 코드베이스에 대한 코드 감사, 코드 검토 및 보안 스캔을 실시합니다.

• 연례 독립적 모의 해킹을 의뢰합니다.

• Notion 시스템 전반에 걸쳐 네트워크 보안을 구현하고 관리합니다.

• 악의적인 활동에 대해 Notion의 인프라, 네트워크 및 자산을 모니터링합니다.

• 공개 취약점 공개 프로그램을 운영하고, 독립적인 모의 해킹을 의뢰합니다.

• 저장 데이터 암호화, 엔드포인트 탐지 및 대응, 중앙 집중식 기기 관리를 포함하여 Notion의 자체 기업 시스템 및 직원 기기를 보호합니다.

• Notion 클라이언트 애플리케이션을 게시하고 업데이트를 제공합니다.

사용자의 책임

• 웹 브라우저를 포함한 지원되고 적절하게 패치된 엔드포인트 환경과 Notion 클라이언트 업데이트를 방해할 수 있는 모든 제어 기능을 유지 관리합니다.

• 사용자의 자체 엔드포인트 보안 표준에 따라 Notion에 접근하는 데 사용되는 기기 및 네트워크를 보호합니다.

• Notion 클라이언트 업데이트가 중앙에서 관리되는 경우, 업데이트가 적시에 계속 적용되도록 보장합니다. 자동 업데이트를 연기하거나 비활성화하면 클라이언트의 적시 패치 책임이 사용자에게 이전됩니다.

• 설치 구성이 사용자가 업데이트를 받지 못하도록 방해하지 않도록 보장합니다.

• Notion 서비스의 의심스러운 취약점을 악용하거나 공개적으로 공개하는 대신 Notion에 리포트합니다.

경계가 위치하는 곳

Notion은 Notion 서비스를 패치합니다. 고객은 Notion에 패치를 적용하지 않으며, 서버 측 업데이트를 위해 고객이 취해야 할 조치는 없습니다.

클라이언트 애플리케이션은 다릅니다. Notion은 업데이트를 게시하지만, 특정 기기가 업데이트를 수신할지 여부는 해당 기기가 어떻게 구성되고 관리되는지에 따라 달라집니다. 조직이 설치 또는 업데이트 동작을 관리하는 경우, 클라이언트를 최신 상태로 유지하는 것은 조직의 책임입니다.

Notion은 고객 데이터에 대해 작동하고 연결된 시스템에 접근할 수 있는 API, 통합 플랫폼 및 AI 기능을 제공합니다. 고객은 이러한 기능 중 무엇을 활성화할지, 어떤 접근 권한을 부여할지, 그리고 이를 어떻게 관리할지 결정할 책임이 있습니다.

Notion의 책임

• Notion API, 통합 플랫폼, 연결 및 AI 기능을 제공하고 유지 관리합니다.

• Notion AI, Notion Agent 및 AI 커넥터에서 사용자 권한을 준수합니다. 커스텀 에이전트는 명시적으로 부여된 자체 권한을 사용하며, 이는 에이전트와 상호 작용하는 사람의 권한과 다를 수 있습니다.

• 설치할 수 있는 통합 및 외부 AI 도구, 생성할 수 있는 에이전트, 그리고 AI 기능 활성화 여부를 관리하는 관리 제어 기능을 제공합니다.

• AI 웹 검색을 활성화하거나 비활성화하고 외부 웹 요청 전에 확인을 요구하는 제어 기능을 제공합니다.

• 제3자 콘텐츠 및 업로드된 파일의 숨겨진 에이전트 지침 감지, 링크 처리 제한, 에이전트가 자율적으로 작동할 때의 추가 검사를 포함하여 명령어 주입 위험을 감지하고 줄이도록 설계된 방어 체계를 유지합니다.

• 고객 데이터를 Notion의 모델을 학습시키는 데 사용하지 말고, 명시적인 고객 동의 없이 AI 데이터 처리 위탁업체가 이를 수행하지 못하도록 계약상 금지합니다.

• 감사 로그에 통합, 연결, 에이전트 및 외부 AI 도구 활동을 기록하십시오.

사용자의 책임

• 조직에 적합한 통합, 연결, AI 기능 및 에이전트를 결정하고 해당 결정을 반영하도록 사용 가능한 제어 기능을 구성하십시오.

• 통합 또는 연결을 승인하기 전에 해당 통합 또는 연결이 요청하는 사용 권한 및 기능을 사용자 리뷰하고, 제3자 서비스가 사용자의 자체 공급업체 요구 사항을 충족하는지 확인하십시오.

• 내부 통합 토큰을 관리하고, 배포 제한, 순환 및 더 이상 필요하지 않은 토큰 해지를 수행하십시오.

• 각 에이전트가 어떤 고객 데이터 및 연결된 도구에 접근할 수 있는지 관리하고, 해당 사용 권한을 주기적으로 검토하십시오.

• 고객은 에이전트 권한의 범위가 적절하게 지정되었는지 확인해야 합니다.

• 데이터 보존 모델이 필요한 기능에 대해 해당 모델을 활성화할지 여부를 결정하십시오.

• 연결된 시스템을 통해 Notion에서 사용할 수 있게 된 고객 데이터가 해당 목적에 적합한지, 그리고 연결된 시스템에서 부여된 사용 권한 자체가 올바르게 범위가 지정되었는지 확인하십시오.

• 웹 페이지 및 업로드된 파일을 포함하여 워크스페이스 외부에서 생성된 고객 데이터가 AI 동작에 영향을 미치려 할 수 있음을 사용자에게 알리십시오.

연결된 데이터에 대해 고객이 이해해야 할 사항

연결을 통해 부여된 사용 권한은 연결된 시스템에서 부여된 권한만큼만 제한됩니다. Notion은 연결된 시스템에서 보고한 권한을 적용하지만, 지나치게 광범위한 소스 시스템 권한을 수정하지는 않습니다.

연결된 시스템의 권한 변경 사항은 즉시가 아닌 동기화 간격 이후에 Notion에 반영되며, 새로 추가되거나 삭제된 고객 데이터가 나타나거나 사용할 수 없게 되기까지 시간이 걸릴 수 있습니다.

Notion은 Notion 서비스의 보안과 사고가 고객 데이터에 영향을 미치는 경우 고객에게 알릴 책임이 있습니다. 고객은 자신의 계정, 워크스페이스 및 고객 데이터와 관련된 사고에 대응하는 방법과 필요한 알림을 포함하여 사고에 대응할 책임이 있습니다.

Notion의 책임

• 문서화된 사고 대응 계획을 유지하고 주기적으로 테스트하십시오.

• Notion 시스템 및 Notion이 보유한 고객 데이터에 영향을 미치는 보안 사고를 감지, 분류, 조사, 억제 및 수정합니다.

• 데이터 처리 부속서 및 관련 법률에 따라 보안 사고 발생 시 영향을 받는 고객에게 알리십시오.

• 근본 원인 분석을 포함한 사고 후 검토를 수행하고, 그 결과를 Notion의 통제 및 대응 계획에 적용하십시오.

• 서비스의 운영 상태를 게시하고, 예약 가능 약속 일정 사고를 알리십시오.

• 취약점 공개 프로그램을 운영하고, 보고된 취약점을 분류 및 수정하십시오.

사용자의 책임

• 의심되는 보안 사고, 손상된 계정, 의심되는 취약점 및 서비스 오용을 적절한 채널을 통해 Notion에 즉시 보고하십시오.

• 손상된 인증서, 부적절한 공유, 내부 사용자에 의한 오용을 포함하여 사용자의 워크스페이스 및 계정 내에서 발생하는 사고를 탐지하고 대응하십시오.

• 사용자 자체의 사고 대응 체계를 유지하고, Notion에서 식별된 활동에 대해 누가 조치를 취할 책임이 있는지 정의하십시오.

• 사용 권한 제거, 세션 취소, 인증서 재설정, 통합 토큰 취소, 게시된 고객 데이터 철회를 포함하여 제품 내에서 가능한 봉쇄 조치를 취하십시오.

• 보존 기간이 지나기 전에 감사 로그 기록을 내보내기를 포함하여 관련 증거를 보존하십시오.

• 사고가 규제 기관, 고객 또는 영향을 받는 개인에 대해 사용자에게 알림 의무를 발생시키는지 판단하고 해당 알림을 수행하십시오.

• Notion의 알림이 적절한 담당자에게 전달될 수 있도록 관리 및 보안 연락처 정보를 최신 상태로 유지하십시오.

• 취약점을 악용하거나 공개적으로 알리는 대신 Notion에 의심되는 취약점을 보고하십시오.

어느 당사자가 무엇을 탐지하는가

Notion은 자체 인프라를 모니터링하며 서비스에 영향을 미치는 사고를 탐지할 수 있습니다. Notion은 유효한 워크스페이스 작업이 사용자의 내부 정책에 따라 승인되었는지 여부를 판단할 수 없습니다. 고객은 워크스페이스 활동을 모니터링하고 오용에 대응할 책임이 있습니다.

여기에는 멤버가 기밀 고객 데이터를 게시하거나, 퇴사하는 직원이 데이터를 내보내거나, 인증서가 정당한 소유자에 의해 오용되는 등의 사고가 포함됩니다. 이러한 이벤트를 탐지하고 대응하는 것은 사용자가 활동 기록을 사용자 리뷰하고, 사용 가능한 통제 수단을 활용하는지에 달려 있습니다.

Notion은 독립적으로 감사를 받는 정보 보안 및 개인정보 보호 프로그램을 유지하며, 그 결과 문서를 제공합니다. 고객은 Notion이 자신의 규제 의무에 적합한지 판단하고 그에 따라 구성해야 합니다.

Notion의 책임

• 적용 가능한 감사 및 인증 주기에 따라 독립적으로 평가된 보안 및 개인정보 보호 프로그램을 유지하십시오.

• 감사 보고서 및 인증을 포함한 규정 준수 문서를 Notion Trust Center를 통해 고객 및 잠재 고객에게 제공하십시오.

사용자의 책임

• 사용자가 저장하려는 데이터와 사용자에게 적용되는 규제 의무에 Notion이 적합한지 판단하십시오.

• 해당되는 경우 데이터 처리 부속서(Data Processing Addendum) 또는 사업 제휴 계약서(Business Associate Agreement)를 포함하여 해당 사용에 필요한 계약을 체결하십시오.

• 해당 계약에서 요구하는 구성을 적용하며, 여기에는 규정 준수 관련 설정 및 해당 설정이 의존하는 보안 기능을 활성화하는 것이 포함됩니다.

• 공급업체 위험 평가 및 법률에서 요구하는 데이터 보호 영향 평가를 포함하여 사용자가 직접 평가를 완료합니다.

• 사용자의 자체 보증 및 변경 관리 프로세스의 일환으로 Notion의 인증, 감사 보고서 및 하위 처리자 리스트를 검토합니다.

• 사용자의 구성 및 Notion 사용이 사용자에게 적용되는 의무를 충족함을 사용자의 자체 감사인 및 규제 기관에 입증합니다.

어떤 인증이 포함되나요

Notion의 독립적인 제3자 인증 및 감사 보고서는 Notion이 운영하는 통제 항목을 다룹니다. 이는 개별 조직이 Notion을 구성하거나 사용하는 방식까지 확장되지 않습니다.

규제 대상 데이터를 보유한 워크스페이스는 Notion이 인증을 보유하고 있다는 이유만으로 규정을 준수하는 것이 아닙니다. 공유 제한, SSO(통합 로그인) 강제, 녹음 보관 또는 데이터 저장 위치 제한과 같이 구성에 따라 의무 사항이 달라지는 경우, 이를 충족하는 것은 사용자의 책임입니다.

Notion은 서비스 사용 조건을 설정하고 이를 집행합니다. 고객은 자신의 Notion 사용 및 워크스페이스에 보관된 고객 데이터에 대해 책임을 집니다.

Notion의 책임

• 콘텐츠 및 사용 정책, 관련 약관 및 관련 정책을 게시하고 유지합니다.

• 공개 Notion 페이지를 보는 사람이 금지된 것으로 판단되는 고객 데이터를 리포트할 수 있는 메커니즘을 제공합니다.

• 리포트를 조사하고, 위반 사항이 확인되면 고객 데이터를 삭제하거나 사용 권한을 제한합니다.

• 남용 비율이 높은 사용 범주에 대해 추가적인 검토를 적용하고, 서비스 예약 가능 약속 일정을 보호하기 위해 필요한 경우 사용 권한을 일시 중지하거나 중단합니다.

사용자의 책임

• 약관 및 콘텐츠 및 사용 정책에 따라 Notion을 사용하고, 사용자의 구독 하에 Notion을 사용하는 사용자들이 동일하게 행동하도록 보장합니다.

• Notion에 저장, 공유 또는 게시된 고객 데이터가 해당 정책 및 관련 법률을 준수하도록 보장합니다.

• 사용자가 Notion을 통해 사용자 생성 고객 데이터를 배포하는 경우, 타인이 기여한 고객 데이터를 관리합니다.

• 의도된 용량 내에서 Notion을 사용하고, 보안 제어를 우회, 비활성화 또는 방해하려고 시도하지 않습니다.

• Notion에 대한 보안 테스트는 Notion의 취약점 공개 프로그램을 통해서만, 그리고 해당 프로그램의 약관 내에서 수행합니다.

• 지원 및 리포트 채널을 선의로 사용합니다.