Modelo de responsabilidades compartilhadas

Este Modelo de Responsabilidades Compartilhadas garante que o Notion e seus clientes trabalhem juntos para criar uma experiência de espaço de trabalho segura e eficaz.

Consulte o MSA e o DPA para obter os termos definidos.

O Notion é um espaço único onde você pode pensar, escrever e planejar. Por ser um espaço completo que permite aos usuários criar as suas próprias ferramentas para fazer o seu melhor trabalho, os usuários confiam ao Notion informações profissionais e pessoais e, por meio de Conexões e recursos de IA, o acesso a informações mantidas em outros sistemas.

Um Modelo de Responsabilidades Compartilhadas (MRC) é uma estrutura que descreve a divisão de responsabilidades entre um provedor de serviços e seus usuários. Ele define claramente quais tarefas de segurança e operacionais são tratadas por cada parte.

Este documento descreve as Responsabilidades Compartilhadas entre o Notion e seus clientes na proteção e manutenção da segurança dos sistemas, contas de usuário e espaços de trabalho do Notion.

O MRC do Notion oferece clareza tanto para o Notion quanto para seus clientes sobre qual parte é responsável por processos, operações ou controles específicos. Isso permite que o Notion se concentre e assuma a responsabilidade pelas áreas onde podemos proteger melhor a confidencialidade, a integridade e a disponibilidade dos sistemas do Notion, ao mesmo tempo em que identificamos onde os clientes estão mais bem posicionados para proteger suas próprias contas, espaços de trabalho e dados do cliente. No geral, isso aumenta a segurança e a eficiência na proteção dos sistemas e contas do Notion.

O MRC também promove transparência sobre como os serviços do Notion são entregues, fornecendo aos clientes as informações necessárias para avaliar o Notion dentro de seus próprios processos de risco e garantia, e apoiando tanto o Notion quanto seus clientes no cumprimento de suas respectivas obrigações sob as regulamentações locais, regionais, nacionais e internacionais aplicáveis.

Em resumo: o Notion é responsável por criar, operar e proteger a arquitetura do serviço Notion. Os clientes são responsáveis por como configuram e usam esse serviço, incluindo a proteção de suas credenciais, o gerenciamento de quem tem acesso aos seus espaços de trabalho e dados do cliente, e a adesão à política de conteúdo e uso e a outros Termos relevantes.

Algumas responsabilidades descritas neste documento só podem ser realizadas por clientes com permissões elevadas em um espaço de trabalho ou organização. É responsabilidade do usuário atribuir essas permissões adequadamente.

As ferramentas disponíveis para cumprir uma determinada responsabilidade variam de acordo com o Plano. Quando uma funcionalidade é limitada a Planos de assinatura específicos, os clientes em Planos de assinatura sem essa funcionalidade permanecem responsáveis pelo resultado subjacente e devem considerar controles alternativos.

O Notion fornece os métodos de autenticação e controles administrativos que governam como as pessoas entram no Notion e como o acesso ao espaço de trabalho é concedido e removido. Os clientes são responsáveis por selecionar e configurar os controles apropriados para sua organização, e por proteger as credenciais usadas para acessar suas contas.

Responsabilidades do Notion

• Fornecer e operar métodos de autenticação, incluindo e-mail e senha, login com Google e Apple, e login único SAML 2.0 para espaços de trabalho nos Planos Business e Enterprise.

• Fornecer autenticação de dois fatores para contas que entram com uma senha, usando um aplicativo autenticador ou um código por mensagem de texto.

• Fornecer APIs SCIM que permitam às organizações Enterprise automatizar a criação, atualização e remoção de Usuários de seu provedor de identidade.

• Fornecer controles administrativos que regulem a duração da sessão, logout forçado, redefinição de senha, suspensão de conta e verificação de domínio.

• Exigir prova verificada de propriedade de domínio antes que um domínio possa ser usado para controlar como sua base de usuários entra no Notion.

• Revogar o acesso de um usuário aos Dados do Cliente quando esse usuário for removido do espaço de trabalho. Fornecer controles que permitam a uma organização encerrar sessões e redefinir credenciais em toda a sua base de usuários gerenciada.

• Manter controles de acesso de privilégio mínimo em toda a infraestrutura da Notion e exigir que funcionários e contratados da Notion estejam vinculados a obrigações de confidencialidade.

• Acessar Dados do Cliente para fins de suporte apenas quando um usuário ou proprietário do espaço de trabalho tiver concedido consentimento, e expirar esse consentimento automaticamente após um período definido.

Responsabilidades do usuário

• Proteger credenciais de login, usar senhas fortes e exclusivas e evitar a reutilização em outros serviços.

• Manter contas individuais em vez de contas compartilhadas e não compartilhar informações de login.

• Usar autenticação de dois fatores em contas que fazem login com senha.

• Atualizar credenciais de acordo com a política interna e prontamente quando uma violação de credenciais externa for identificada.

• Selecionar e configurar os métodos de autenticação apropriados para a organização, incluindo se o login único é obrigatório.

• Garantir que o acesso ao espaço de trabalho seja limitado aos Usuários pretendidos e que o acesso seja removido prontamente quando alguém sair ou mudar de função. O provisionamento automático requer SCIM; onde não estiver em uso, a remoção é um processo manual.

• Definir a duração da sessão de acordo com a política interna e manter um procedimento de recuperação para perda de acesso ao provedor de identidade.

• Controlar se o suporte da Notion pode acessar uma conta ou um espaço de trabalho, e revogar esse acesso quando ele não for mais necessário.

A Notion fornece o modelo de permissões que determina o que um usuário autenticado pode ver e fazer, juntamente com controles administrativos que definem os limites para compartilhamento. Os clientes são responsáveis por decidir como esse modelo é aplicado aos seus Dados do Cliente e por revisar o acesso resultante.

Responsabilidades do Notion

• Fornecer um modelo de permissões operando em nível de espaço de trabalho, Espaço de equipe, página e base de dados, incluindo grupos de permissão, e aplicá-lo de forma consistente em todo o produto.

• Fornecer acesso distinto para membros e convidados, para que colaboradores externos possam receber acesso a Dados do Cliente específicos em vez de um espaço de trabalho inteiro.

• Fornecer controles administrativos que permitam a uma organização restringir o compartilhamento público de páginas, o acesso de convidados, a exportação e a movimentação ou duplicação de páginas para outros espaços de trabalho.

• Fornecer controles que regulem quem pode publicar Dados do Cliente na web, incluindo Notion Sites, Formulários e links públicos.

• Fornecer ferramentas de visibilidade que permitam a uma organização identificar quem tem acesso a uma página, quais páginas são compartilhadas externamente ou publicadas na web, e alterar essas permissões.

• Respeite as permissões configuradas do espaço de trabalho ao fornecer recursos de IA e Busca.

Responsabilidades do Usuário

• Determinar o nível apropriado de acesso aos Dados do Cliente e aplicar as permissões de acordo.

• Decidir se a colaboração externa e a publicação pública são permitidas e configurar os controles disponíveis para refletir essa decisão.

• Entender como o acesso é herdado. O acesso concedido a uma página estende-se por padrão às páginas aninhadas nela, e o acesso concedido por meio de várias rotas é resolvido para o nível mais alto concedido.

• Revisar o acesso periodicamente, incluindo membros do espaço de trabalho, convidados, grupos de permissão, Dados do Cliente compartilhados externamente e dados do cliente publicados na web.

• Remover o acesso aos Dados do Cliente quando o envolvimento de um colaborador terminar, incluindo convidados e colaboradores externos cujo acesso não seja gerenciado por meio do provedor de identidade da organização.

• Garantir que os Dados do Cliente publicados na web sejam destinados a um público e configurar opções como a indexação de motores de busca de acordo.

• Transferir Dados do Cliente mantidos de forma Particular por um usuário antes que esse usuário saia, ou dentro da janela Limitada durante a qual a transferência permanece possível. Após essa janela, os Dados do Cliente Particulares geralmente são irrecuperáveis, e a ferramenta de transferência está disponível apenas no Plano Enterprise.

O Notion armazena e processa Dados do Cliente em nome de seus Clientes e os protege em trânsito e em repouso. Os Clientes determinam quais dados são colocados no Notion, por quanto tempo são mantidos e quais obrigações legais estão vinculadas a eles.

Responsabilidades do Notion

• Processe Dados do Cliente de acordo com o Acordo de assinatura Master, o Adendo de Processamento de Dados e a lei de proteção de dados aplicável.

• Criptografe Dados do Cliente em repouso usando AES-256 ou um algoritmo padrão do setor que forneça segurança equivalente ou superior, incluindo em armazenamento em nuvem, tabelas de banco de dados e backups, e criptografe dados em trânsito usando TLS 1.2 ou superior.

• Mantenha e publique uma lista atualizada de Supoperadores.

• Ofereça residência de dados para categorias definidas de Dados do Cliente, permitindo que organizações elegíveis selecionem a região na qual esses dados são armazenados em repouso.

• Abstenha-se de usar Dados do Cliente para treinar os modelos de aprendizado de máquina do Notion e proíba contratualmente os Supoperadores de IA de fazê-lo sem o consentimento explícito do cliente.

• Forneça funcionalidade que permita aos Clientes exportar, reter e excluir seus Dados do Cliente, e exclua os Dados do Cliente ao final do contrato de acordo com o acordo.

• Celebre um Adendo de Processamento de Dados e um Acordo de associação comercial, quando aplicável, com clientes que exijam um.

Responsabilidades do usuário

• Determinar quais dados são apropriados para armazenar no Notion e garantir que dados regulamentados sejam armazenados apenas onde os acordos e a configuração necessários estejam em vigor.

• Estabelecer e aplicar práticas de retenção e excluir Dados do Cliente que não sejam mais necessários.

• Configurar as definições de retenção e exclusão disponíveis no produto para refletir a política interna.

• Enviar Dados da Conta completos e precisos, e corrigi-los prontamente quando erros forem identificados.

• Cumprir as obrigações que cabem ao controlador dos dados pessoais mantidos em um espaço de trabalho, incluindo fornecer informações de privacidade aos indivíduos, estabelecer uma base legal para o processamento e responder a solicitações de titulares de dados relacionadas aos Dados do Cliente.

• Determinar se uma região específica de residência de dados é necessária, solicitá-la quando necessário e entender quais categorias de dados e quais produtos Notion estão fora desse escopo.

• Analisar a lista de Supoperadores da Notion.

A Notion opera a infraestrutura que mantém o Serviço disponível e mantém backups dessa infraestrutura com o objetivo de recuperar o Serviço. Os Clientes são responsáveis por recuperar seus próprios Dados do Cliente usando as ferramentas que a Notion fornece, e por manter uma cópia independente desses Dados do Cliente quando suas próprias obrigações exigirem uma.

Responsabilidades do Notion

• Operar o Serviço Notion de acordo com os compromissos de disponibilidade estabelecidos nos Termos de Nível de Serviço, usando infraestrutura redundante em múltiplas zonas de disponibilidade.

• Publicar o status operacional do Serviço.

• Manter backups automatizados, criptografados e monitorados dos Dados do Cliente.

• Armazenar backups de acordo com o mapeamento de região de backup publicado da Notion para a região de residência de dados selecionada. A residência de dados aplica-se apenas às categorias definidas de Dados do Cliente.

• Manter e testar periodicamente planos de recuperação de desastres e continuidade de negócios.

• Fornecer ferramentas de recuperação no produto, incluindo lixeira (n.) e histórico da versão, permitindo que os Clientes restaurem os Dados do Cliente por conta própria.

• Fornecer funcionalidade de exportação permitindo que os Clientes obtenham uma cópia de seus Dados do Cliente.

Responsabilidades do usuário

• Recuperar páginas individuais e Dados do Cliente usando a lixeira (n.) e o histórico da versão, dentro dos períodos de retenção aplicáveis ao plano do Usuário.

• Configurar as definições de retenção de Dados do Cliente, quando disponíveis, para refletir a política interna.

• Manter uma cópia independente dos Dados do Cliente quando a política interna, compromissos contratuais ou regulamentação exigirem retenção além do que o produto fornece, ou exigirem uma cópia mantida fora da Notion.

• Produzir exportações em um cronograma apropriado para esses requisitos e verificar se as exportações estão completas. Dados do Cliente que a conta de exportação não pode acessar não são incluídos em uma exportação.

• Recuperar exportações dentro do período em que o link de download permanece válido.

• Planejar a possibilidade de indisponibilidade do serviço como parte dos próprios arranjos de continuidade de negócios do Usuário.

O que são e o que não são os backups do Notion

Os backups do Notion existem para restaurar o Serviço Notion. Eles não são um ponto de restauração voltado para o cliente e não podem ser usados para retornar um espaço de trabalho ao seu estado em um momento específico. A recuperação de Dados do Cliente individuais é realizada pelos Clientes por meio da lixeira (n.) e do histórico da versão. Assim que os Dados do Cliente ultrapassam os períodos de lixeira e retenção aplicáveis, eles são excluídos e não podem ser restaurados. Os Clientes não devem depender do suporte como um mecanismo de retenção.

Uma exportação produz uma cópia portátil dos Dados do Cliente em formatos como HTML, Markdown, CSV ou PDF, dependendo do tipo de exportação e do plano. Não é um backup completo do espaço de trabalho: importar Dados do Cliente exportados não recriará as permissões, configurações ou a configuração completa original do espaço de trabalho, e pode exigir reestruturação manual.

O Notion gera registros de atividades relevantes dentro de um espaço de trabalho e os disponibiliza para a organização. Os clientes são responsáveis por analisar esses registros, retê-los quando necessário e agir sobre o que eles mostram.

Responsabilidades do Notion

• Registrar eventos relacionados à segurança que ocorrem nos espaços de trabalho de uma organização, incluindo o autor, a ação, o horário e, quando disponível, o endereço IP.

• Reter o histórico do registro de auditoria dentro do produto por um período definido e fornecer mecanismos de exportação e streaming para que os Clientes possam retê-lo por mais tempo.

• Fornecer um meio de transmitir eventos para a própria plataforma de monitoramento de Segurança do usuário em tempo real e oferecer suporte a conexões com ferramentas de prevenção contra perda de dados.

• Monitorar a própria infraestrutura, redes e sistemas do Notion em busca de atividade maliciosa e manter o registro interno desses sistemas.

Responsabilidades do usuário

• Analisar a atividade do registro de auditoria e investigar e agir sobre atividades que pareçam inesperadas ou não autorizadas.

• Reter dados de registro pelo período exigido pela política ou regulamentação interna dos próprios Clientes, exportando ou transmitindo eventos antes que estes saiam do período de retenção.

• Configurar o monitoramento, alertas e quaisquer conexões de segurança ou conformidade no ambiente do próprio Usuário, e garantir que essas integrações permaneçam operacionais.

• Definir o que constitui atividade suspeita no contexto da organização e atribuir a responsabilidade por analisá-la.

• Relatar atividade suspeita ao Notion quando ela puder indicar um comprometimento do Serviço.

O que o registro de auditoria cobre e o que não cobre

O registro de auditoria registra eventos. As entradas de registro e os payloads transmitidos descrevem as ações realizadas e por quem; eles não contêm os Dados do Cliente das páginas.

A gravação do registro de auditoria começa quando uma organização se torna elegível para o recurso. A atividade que ocorreu anteriormente não está disponível retrospectivamente.

O Notion desenvolve, opera e mantém o Serviço Notion e a infraestrutura na qual ele é executado, incluindo a segurança e a aplicação de patches nessa infraestrutura. Os clientes são responsáveis pelos ambientes a partir dos quais acessam o Notion.

Responsabilidades do Notion

• Desenvolver, testar, aplicar patches e manter o aplicativo Notion e a infraestrutura que o suporta. As atualizações do Serviço são aplicadas pelo Notion e não exigem nenhuma ação dos Clientes.

• Realize modelagem de ameaças e revisões de design seguro para novos lançamentos, e execute auditorias de código, revisões de código e varreduras de segurança da base de código.

• Comissionar testes de penetração independentes anuais.

• Implementar e gerenciar a segurança de rede nos sistemas do Notion.

• Monitorar a infraestrutura, redes e ativos do Notion quanto a atividades maliciosas.

• Operar um programa de divulgação de vulnerabilidades público e comissionar testes de penetração independentes.

• Proteger os sistemas corporativos e dispositivos dos funcionários do Notion, incluindo criptografia em repouso, detecção e resposta de ponto final e gerenciamento centralizado de dispositivos.

• Publicar aplicativos cliente do Notion e entregar atualizações para eles.

Responsabilidades do usuário

• Manter ambientes de Ponto final suportados e adequadamente corrigidos, incluindo navegadores da web e quaisquer controles que possam impedir atualizações do cliente Notion.

• Proteger os dispositivos e redes utilizados para acessar o Notion, de acordo com os próprios padrões de segurança de Ponto final do Usuário.

• Onde as atualizações do cliente Notion são gerenciadas centralmente, garantir que as atualizações continuem sendo aplicadas de maneira oportuna. Adiar ou desativar atualizações automáticas transfere a responsabilidade pela aplicação oportuna de patches do cliente para o Usuário.

• Garantir que as configurações de instalação não impeçam os Usuários de receber atualizações.

• Relatar suspeitas de vulnerabilidades no Serviço Notion ao Notion em vez de explorá-las ou divulgá-las publicamente.

Onde fica o limite

O Notion aplica atualizações no Serviço Notion. Os clientes não aplicam atualizações ao Notion, e nenhuma ação do cliente é obrigatória para atualizações do lado do servidor.

Aplicativos cliente são diferentes. O Notion publica atualizações, mas se um determinado dispositivo as recebe depende de como esse dispositivo é configurado e gerenciado. Onde uma organização gerencia o comportamento de instalação ou atualização, manter os clientes atualizados é responsabilidade da organização.

O Notion fornece uma API, uma plataforma de integração e recursos de IA que podem agir sobre os Dados do Cliente e acessar sistemas conectados. Os clientes são responsáveis por decidir quais deles habilitar, qual acesso conceder a eles e como são governados.

Responsabilidades do Notion

• Fornecer e manter a API do Notion, a plataforma de integração, as conexões e os recursos de IA.

• Respeitar as autorizações do usuário no Notion AI, Notion Agent e AI Connectors. Agentes personalizados usam suas próprias autorizações explicitamente concedidas, que podem diferir daquelas da pessoa que interage com o agente.

• Fornecer controles administrativos que regem quais integrações e ferramentas de IA externas podem ser instaladas, quais agentes podem ser criados e se os recursos de IA estão habilitados.

• Forneça controles para ativar ou desativar a busca online por IA e exija confirmação antes de solicitações externas à web.

• Manter defesas projetadas para detectar e reduzir o risco de injeção de prompt, incluindo a detecção de instruções ocultas em conteúdo de terceiros e arquivos carregados, restrições no tratamento de links e verificações adicionais onde os agentes agem de forma autônoma.

• Abster-se de usar Dados do Cliente para treinar os modelos do Notion e proibir contratualmente que subprocessadores de IA o façam sem o consentimento explícito do cliente.

• Registrar a atividade de integração, conexões, agente e ferramenta de IA externa no registro de auditoria.

Responsabilidades do usuário

• Decidir quais integrações, conexões, recursos de IA e agentes são apropriados para a organização e configurar os controles disponíveis para refletir essa decisão.

• Revisar o acesso e os recursos solicitados por uma integração ou conexão antes de autorizá-la e confirmar se o serviço de terceiros atende aos requisitos de fornecedor do próprio Usuário.

• Gerenciar tokens de integração interna, incluindo restringir sua distribuição, rotacioná-los e revogar aqueles que não são mais necessários.

• Governar a criação e configuração de agentes, incluindo quais Dados do Cliente e ferramentas conectadas cada agente pode acessar, e revisar esse acesso periodicamente.

• Os Clientes devem garantir que as autorizações do agente estejam corretamente delimitadas.

• Determinar se modelos que retêm dados podem ser habilitados para recursos que os exigem.

• Garantir que os Dados do Cliente disponibilizados ao Notion por meio de sistemas conectados sejam apropriados para essa finalidade e que o acesso concedido no sistema conectado esteja, ele próprio, corretamente delimitado.

• Informar aos Usuários que os Dados do Cliente originados fora do espaço de trabalho, incluindo páginas da web e arquivos carregados, podem tentar influenciar o comportamento da IA.

O que os Clientes devem entender sobre dados conectados

O acesso concedido por meio de uma conexão é tão restrito quanto as autorizações concedidas no sistema conectado. O Notion impõe as autorizações reportadas pelo sistema conectado, mas não corrige autorizações excessivamente amplas do sistema de origem.

As alterações de autorização em sistemas conectados são refletidas no Notion após um intervalo de sincronização, em vez de imediatamente, e os Dados do Cliente recém-adicionados ou excluídos podem levar algum tempo para aparecer ou se tornar indisponíveis.

O Notion é responsável pela segurança do serviço Notion e por notificar os clientes quando um incidente afeta seus Dados do Cliente. Os Clientes são responsáveis pela forma como respondem a incidentes envolvendo suas próprias contas, espaços de trabalho e Dados do Cliente, incluindo quaisquer notificações que sejam obrigatórias.

Responsabilidades do Notion

• Manter um plano de resposta a incidentes documentado e testá-lo periodicamente.

• Detectar, triar, investigar, conter e remediar incidentes de segurança que afetem os sistemas do Notion e os Dados do Cliente mantidos pelo Notion.

• Notificar os clientes afetados sobre incidentes de segurança de acordo com o Aditivo de Processamento de Dados e a lei aplicável.

• Realizar uma resenha pós-incidente, incluindo a análise de causa raiz, e aplicar as descobertas aos controles e ao plano de resposta do Notion.

• Publicar o Status operacional do serviço e comunicar incidentes de disponibilidade.

• Opere um programa de divulgação de vulnerabilidades e faça a triagem e a remediação das vulnerabilidades relatadas.

Responsabilidades do usuário

• Relatar prontamente ao Notion incidentes de segurança suspeitos, contas comprometidas, vulnerabilidades suspeitas e uso indevido do serviço, por meio do canal apropriado.

• Detectar e responder a incidentes que ocorrem dentro dos próprios espaços de trabalho e contas do Usuário, incluindo credenciais comprometidas, compartilhamento inadequado e uso indevido por Usuários internos.

• Manter os próprios arranjos de resposta a incidentes do Usuário e definir quem é responsável por agir sobre a atividade identificada no Notion.

• Tomar medidas de contenção disponíveis dentro do produto, incluindo remover acesso, revogar sessões, redefinir credenciais, revogar tokens de integração e retirar Dados do Cliente publicados.

• Preservar evidências relevantes, incluindo a exportação de registros de auditoria antes que eles saiam da janela de retenção.

• Determinar se um incidente aciona um gatilho de obrigação de notificação devida pelo Usuário a um regulador, cliente ou indivíduo afetado, e fazer essa notificação.

• Manter os detalhes de contato administrativo e de segurança atualizados, para que as notificações do Notion cheguem às pessoas certas.

• Relatar vulnerabilidades suspeitas ao Notion em vez de explorá-las ou divulgá-las publicamente.

Qual parte detecta o quê

O Notion monitora sua própria infraestrutura e pode detectar incidentes que afetam o Serviço. O Notion não pode determinar se uma ação de espaço de trabalho, de outra forma válida, foi autorizada sob as políticas internas do Usuário. Os clientes são responsáveis por monitorar a atividade do espaço de trabalho e responder a usos indevidos.

Isso inclui incidentes como um membro publicando Dados do Cliente confidenciais, um funcionário que está saindo exportando dados ou uma credencial sendo usada indevidamente por seu titular legítimo. Detectar e responder a esses eventos depende da revisão do Usuário dos registros de atividade e dos controles disponíveis para eles.

O Notion mantém um programa de segurança da informação e privacidade que é auditado de forma independente e disponibiliza a documentação resultante. Os clientes determinam se o Notion é apropriado para suas próprias obrigações regulatórias e o configuram de acordo.

Responsabilidades do Notion

• Mantenha programas de segurança e privacidade avaliados de forma independente, de acordo com os ciclos de auditoria e certificação aplicáveis.

• Disponibilize a documentação de conformidade, incluindo relatórios de auditoria e certificações, aos clientes e potenciais clientes por meio do Notion Trust Center.

Responsabilidades do usuário

• Determinar se o Notion é adequado para os dados que o Usuário pretende armazenar e as obrigações regulatórias que se aplicam a eles.

• Firmar os contratos necessários para esse uso, incluindo um Adendo de Processamento de Dados ou um Acordo de associação comercial, quando aplicável.

• Aplicar a configuração exigida por esses acordos, incluindo a ativação de quaisquer configurações específicas de conformidade e os recursos de segurança dos quais elas dependem.

• Concluir as próprias avaliações do Usuário, incluindo avaliação de risco de fornecedor e qualquer avaliação de impacto de proteção de dados exigida por lei.

• Analisar as certificações, relatórios de auditoria e lista de Supoperadores do Notion como parte dos próprios processos de garantia e gerenciamento de mudanças do Usuário.

• Demonstrar aos próprios auditores e reguladores do Usuário que a configuração e o uso do Notion pelo Usuário atendem às obrigações que se aplicam a eles.

Qual certificação cobre

As certificações e relatórios de auditoria de terceiros independentes do Notion cobrem os controles que o Notion opera. Eles não se estendem à forma como uma organização individual configura ou usa o Notion.

Um espaço de trabalho que contém dados regulamentados não está em conformidade pelo simples fato de o Notion possuir uma certificação. Quando uma obrigação depende de configuração, como restringir o compartilhamento, aplicar login único, reter registros de auditoria ou limitar onde os dados são armazenados, cumpri-la permanece sendo responsabilidade do Usuário.

O Notion define os termos sob os quais o serviço pode ser usado e os aplica. Os clientes são responsáveis pelo seu próprio uso do Notion e pelos Dados do Cliente mantidos em seus espaços de trabalho.

Responsabilidades do Notion

• Publicar e manter a Política de Conteúdo e Uso, os Termos relevantes e políticas relacionadas.

• Fornecer um mecanismo para que qualquer pessoa que visualize uma página pública do Notion possa relatar Dados do Cliente que acredite serem proibidos.

• Investigar relatórios e remover Dados do Cliente ou restringir o acesso quando uma violação for identificada.

• Aplicar escrutínio adicional a categorias de uso associadas a taxas mais altas de abuso e suspender ou descontinuar o acesso quando necessário para proteger a disponibilidade do Serviço.

Responsabilidades do usuário

• Usar o Notion de acordo com os Termos e a Política de Conteúdo e Uso, e garantir que as pessoas que usam o Notion sob a assinatura do Usuário façam o mesmo.

• Garantir que os Dados do Cliente armazenados, compartilhados ou publicados por meio do Notion estejam em conformidade com essas políticas e com a lei aplicável.

• Moderar os Dados do Cliente contribuídos por terceiros quando o Usuário distribuir Dados do Cliente gerados pelo usuário por meio do Notion.

• Usar o Notion dentro de sua capacidade pretendida e não tentar contornar, desativar ou interferir em seus controles de segurança.

• Conduzir qualquer teste de segurança do Notion apenas por meio do programa de divulgação de vulnerabilidades do Notion e dentro de seus termos.

• Usar os canais de suporte e os canais de relatar com boa-fé.