Modell för delat ansvar

Denna Delade Ansvarsmodell säkerställer att Notion och dess kunder arbetar tillsammans för att skapa en säker och effektiv arbetsyta-upplevelse.

Se Notions MSA och DPA för definierade termer.

Notion är ett enda utrymme där du kan tänka, skriva och planera. Som ett allt-i-ett-utrymme som möjliggör för användare att skapa sina egna verktyg för att göra sitt bästa arbete, anförtror de Notion med professionell och personlig information och, genom Anslutningar och AI-funktioner, med åtkomst till information som finns i andra system.

En modell för delat ansvar (SRM) är ett ramverk som beskriver ansvarsfördelningen mellan en tjänsteleverantör och dess användare. Den definierar tydligt vilka säkerhets- och driftuppgifter som hanteras av respektive part.

Detta dokument beskriver det delade ansvaret mellan Notion och dess kunder när det gäller att skydda och upprätthålla säkerheten i Notions system, användarkonton och arbetsytor.

Notions SRM ger tydlighet för både Notion och dess kunder om vilken part som ansvarar för specifika processer, operationer eller kontroller. Detta gör att Notion kan fokusera på, och ta ansvar för, de områden där vi bäst kan skydda konfidentialiteten, integriteten och tillgängligheten i Notions system, samtidigt som vi identifierar var kunder är bättre lämpade att säkra sina egna konton, arbetsytor och kunddata. Sammantaget förbättrar detta säkerheten och effektiviteten i skyddet av Notions system och konton.

SRM främjar också transparens i hur Notions tjänster levereras, vilket ger kunder den information de behöver för att utvärdera Notion inom ramen för sina egna risk- och försäkringsprocesser, och stöder både Notion och dess kunder i att uppfylla sina respektive skyldigheter enligt tillämpliga lokala, regionala, nationella och internationella bestämmelser.

Kort sagt: Notion ansvarar för att bygga, driva och skydda arkitekturen i Notion-tjänsten. Kunder ansvarar för hur de konfigurerar och använder tjänsten, inklusive att skydda sina inloggningsuppgifter, hantera vem som har åtkomst till deras arbetsytor och kunddata, samt att följa policyn för innehåll och användning och andra relevanta villkor.

Vissa ansvarsområden som beskrivs i detta dokument kan endast utföras av kunder med utökade behörigheter i en arbetsyta eller organisation. Det är användarens ansvar att tilldela dessa behörigheter på lämpligt sätt.

De verktyg som finns tillgängliga för att uppfylla ett visst ansvar varierar beroende på abonnemang. Om en funktion är begränsad till specifika abonnemang förblir kunder med abonnemang utan en viss funktion ansvariga för det underliggande resultatet och bör överväga alternativa kontroller.

Notion tillhandahåller de autentiseringsmetoder och administrativa kontroller som styr hur personer loggar in i Notion och hur åtkomst till arbetsytor beviljas och tas bort. Kunder ansvarar för att välja och konfigurera de kontroller som är lämpliga för deras organisation, samt för att skydda de inloggningsuppgifter som används för att få åtkomst till deras konton.

Notions ansvar

• Tillhandahålla och driva autentiseringsmetoder, inklusive e-post och lösenord, inloggning via Google och Apple, samt SAML 2.0-enkelinloggning för arbetsytor på Business- och Enterprise-abonnemang.

• Tillhandahåll tvåfaktorsautentisering för konton som loggar in med lösenord, med hjälp av en autentiseringsapp eller en kod via textmeddelande.

• Tillhandahåll SCIM-API:er som gör det möjligt för Enterprise-organisationer att automatisera skapande, uppdatering och borttagning av användare från deras identitetsleverantör.

• Tillhandahåll administrativa kontroller som styr sessionslängd, tvingad utloggning, lösenordsåterställning, kontosuspendering och domänverifiering.

• Kräv verifierat bevis på domänägarskap innan en domän kan användas för att styra hur dess användarbas loggar in på Notion.

• Återkalla en användares åtkomst till kunddata när den användaren tas bort från arbetsytan. Tillhandahåll kontroller som gör det möjligt för en organisation att avsluta sessioner och återställa inloggningsuppgifter för hela sin hanterade användarbas.

• Upprätthåll åtkomstkontroller med minsta möjliga behörighet i Notions egen infrastruktur, och kräv att Notion-anställda och underleverantörer är bundna av sekretessåtaganden.

• Få åtkomst till kunddata för supportändamål endast när en användare eller arbetsytans ägare har gett sitt samtycke, och låt samtycket löpa ut automatiskt efter en definierad period.

Användaransvar

• Skydda inloggningsuppgifter, använd starka och unika lösenord, och undvik återanvändning i andra tjänster.

• Underhåll individuella konton istället för delade konton, och dela inte inloggningsinformation.

• Använd tvåfaktorsautentisering på konton som loggar in med lösenord.

• Uppdatera inloggningsuppgifter i enlighet med intern policy, och omgående när ett externt dataintrång identifieras.

• Välj och konfigurera de autentiseringsmetoder som är lämpliga för organisationen, inklusive huruvida Single sign-on krävs.

• Säkerställ att åtkomst till arbetsytan är begränsad till avsedda användare, och att åtkomsten tas bort omgående när någon slutar eller byter roll. Automatisk avetablering kräver SCIM; där det inte används är borttagning en manuell process.

• Ställ in sessionslängd i enlighet med intern policy, och upprätthåll en återställningsprocedur för förlust av åtkomst till identitetsleverantören.

• Kontrollera huruvida Notion-supporten kan komma åt ett konto eller en arbetsyta, och återkalla den åtkomsten när den inte längre behövs.

Notion tillhandahåller den behörighetsmodell som avgör vad en autentiserad användare kan se och göra, tillsammans med administrativa kontroller som sätter gränserna för delning. Kunderna ansvarar för att besluta hur den modellen tillämpas på deras kunddata, och för att granska den åtkomst som blir resultatet.

Notions ansvar

• Tillhandahåll en behörighetsmodell som fungerar på arbetsyta-, teamutrymme-, sida- och databasnivå, inklusive behörighetsgrupper, och tillämpa den konsekvent i hela produkten.

• Tillhandahåll separat åtkomst för medlemmar och gäster, så att externa samarbetare kan beviljas åtkomst till specifik kunddata istället för en hel arbetsyta.

• Tillhandahåll administrativa kontroller som gör det möjligt för en organisation att begränsa offentlig delning av sidor, gäståtkomst, export samt flytt eller duplicering av sidor till andra arbetsytor.

• Tillhandahåll kontroller som styr vem som får publicera kunddata på webben, inklusive Notion Sites, formulär och offentliga länkar.

• Tillhandahåll verktyg för insyn som gör det möjligt för en organisation att identifiera vem som har åtkomst till en sida, vilka sidor som delas externt eller publiceras på webben, samt att ändra dessa behörigheter.

• Respektera konfigurerade Workspace-behörigheter när AI- och sökfunktioner tillhandahålls.

Användaransvar

• Fastställa lämplig åtkomstnivå för kunddata och tillämpa behörigheter därefter.

• Besluta om externt samarbete och offentlig publicering är tillåtet, samt konfigurera tillgängliga kontroller för att återspegla det beslutet.

• Förstå hur åtkomst ärvs. Åtkomst som beviljas en sida utökas som standard till de sidor som är kapslade i den, och åtkomst som beviljas via flera vägar löses upp till den högsta beviljade nivån.

• Granska åtkomst periodvis, inklusive arbetsytans medlemmar, gäster, behörighetsgrupper, kunddata som delas externt och kunddata som publiceras på webben.

• Ta bort åtkomst till kunddata när en samarbetares engagemang upphör, inklusive gäster och externa samarbetare vars åtkomst inte hanteras via organisationens identitetsleverantör.

• Säkerställ att kunddata som publiceras på webben är avsedd för en offentlig publik och konfigurera alternativ såsom Sökmotorindexering därefter.

• Överföra kunddata som innehas privat av en användare innan användaren lämnar, eller inom det begränsade fönster under vilket överföring fortfarande är möjlig. Efter det fönstret är privat kunddata i allmänhet oåterkallelig, och överföringsverktyg är endast tillgängliga i Enterprise-abonnemanget.

Notion lagrar och behandlar kunddata för sina kunders räkning och skyddar den under överföring och vid lagring. Kunderna avgör vilken data som placeras i Notion, hur länge den sparas och vilka juridiska förpliktelser som är kopplade till den.

Notions ansvar

• Behandla kunddata i enlighet med huvudabonnemangsavtalet, tillägget för databehandling och tillämplig dataskyddslagstiftning.

• Kryptera kunddata vid lagring med AES-256 eller en branschstandardalgoritm som ger likvärdig eller starkare säkerhet, inklusive i molnlagring, databastabeller och säkerhetskopior, och kryptera data under överföring med TLS 1.2 eller senare.

• Upprätthåll och publicera en aktuell lista över underbiträden.

• Erbjud datahemvist för definierade kategorier av kunddata, vilket gör det möjligt för berättigade organisationer att välja den region där datan lagras.

• Avstå från att använda kunddata för att träna Notions maskininlärningsmodeller och förbjud avtalsenligt AI-underbiträden från att göra det utan uttryckligt samtycke från kunden.

• Tillhandahåll funktionalitet som gör det möjligt för kunder att exportera, behålla och radera sin kunddata, samt radera kunddata vid avtalets slut i enlighet med avtalet.

• Ingå ett tillägg för databehandling, och ett Business Associate Agreement där så är tillämpligt, med kunder som kräver ett sådant.

Användaransvar

• Fastställa vilken data som är lämplig att lagra i Notion och säkerställa att reglerad data endast lagras där nödvändiga avtal och konfigurationer finns på plats.

• Fastställ och tillämpa rutiner för databehållning, samt radera kunddata som inte längre behövs.

• Konfigurera de inställningar för databehållning och radering som finns tillgängliga i produkten för att återspegla intern policy.

• Skicka in fullständig och korrekt kontodata, och korrigera den omgående när fel identifieras.

• Uppfylla de förpliktelser som åligger personuppgiftsansvarig för de personuppgifter som finns i en arbetsyta, inklusive att tillhandahålla integritetsinformation till individer, fastställa en laglig grund för behandling och besvara förfrågningar från registrerade rörande kunddata.

• Avgöra om en specifik datahemvistregion krävs, begära det vid behov och förstå vilka kategorier av data och vilka Notion-produkter som faller utanför det omfånget.

• Granska Notions lista över underbiträden.

Notion driver den infrastruktur som håller tjänsten tillgänglig och underhåller säkerhetskopior av den infrastrukturen i syfte att återställa tjänsten. Kunder ansvarar för att återställa sin egen kunddata med hjälp av de verktyg Notion tillhandahåller, och för att inneha en oberoende kopia av den kunddatan där deras egna förpliktelser kräver en sådan.

Notions ansvar

• Driva Notion-tjänsten i enlighet med de tillgänglighetsåtaganden som anges i villkoren för servicenivå, med användning av redundant infrastruktur över flera tillgänglighetszoner.

• Publicera driftsstatus för tjänsten.

• Upprätthålla automatiserade, krypterade och övervakade säkerhetskopior av kunddata.

• Lagra säkerhetskopior enligt Notions publicerade mappning av säkerhetskopieringsregioner för den valda datahemvistregionen. Datahemvist gäller endast för de definierade kategorierna av kunddata.

• Upprätthåll och periodiskt testa planer för katastrofåterställning och affärskontinuitet.

• Tillhandahålla återställningsverktyg i produkten, inklusive papperskorg och versionshistorik, som gör det möjligt för kunder att själva återställa kunddata.

• Tillhandahålla exportfunktionalitet som gör det möjligt för kunder att erhålla en kopia av sin kunddata.

Användaransvar

• Återställ enskilda sidor och kunddata med hjälp av papperskorgen och versionshistoriken, inom de bevarandeperioder som gäller för användarens abonnemang.

• Konfigurera inställningar för databehållning av kunddata, där sådana finns tillgängliga, för att återspegla intern policy.

• Upprätthåll en oberoende kopia av kunddata där intern policy, avtalsförpliktelser eller reglering kräver bevarande utöver vad produkten erbjuder, eller kräver en kopia som förvaras utanför Notion.

• Skapa export enligt ett schema som är lämpligt för dessa krav, och verifiera att exporten är komplett. Kunddata som det exporterande kontot inte kan komma åt inkluderas inte i en export.

• Hämta exporter inom den period som nedladdningslänken förblir giltig.

• Planera för möjligheten av otillgänglighet i tjänsten som en del av användarens egna arrangemang för affärskontinuitet.

Vad Notions säkerhetskopior är och inte är

Notions säkerhetskopior finns till för att återställa Notion-tjänsten. De är inte en återställningspunkt för kunder och kan inte användas för att återställa en arbetsyta till dess tillstånd vid en viss tidpunkt. Återställning av enskild kunddata utförs av kunderna via papperskorgen och versionshistorik. När kunddata har passerat de tillämpliga perioderna för papperskorgen och lagring, rensas den och kan inte återställas. Kunderna bör inte förlita sig på support som en lagringsmekanism.

En export skapar en portabel kopia av kunddata i format som HTML, Markdown, CSV eller PDF, beroende på exporttyp och abonnemang. Det är inte en fullständig säkerhetskopia av arbetsytan: import av exporterad kunddata återskapar inte arbetsytans ursprungliga behörighet, inställningar eller fullständiga konfiguration, och kan kräva manuell omstrukturering.

Notion genererar register över relevant aktivitet inom en arbetsyta och gör dem tillgängliga för organisationen. Kunderna ansvarar för att granska dessa register, lagra dem där så krävs och agera utifrån vad de visar.

Notions ansvar

• Registrering av säkerhetsrelaterade händelser som inträffar i en organisations arbetsytor, inklusive aktören, åtgärden, tidpunkten och, där tillgängligt, IP-adressen.

• Lagring av granskningslogghistorik i produkten under en definierad period, samt tillhandahållande av export- och strömningsmekanismer så att kunderna kan lagra den under längre tid.

• Tillhandahåll ett sätt att strömma händelser till användarens egen plattform för säkerhetsövervakning i realtid, samt stöd för anslutningar till verktyg för att förhindra dataförlust.

• Övervaka Notions egen infrastruktur, nätverk och system för skadlig aktivitet, samt upprätthåll intern loggning för dessa system.

Användaransvar

• Granska granskningsloggens aktivitet och utred samt åtgärda oväntad eller obehörig aktivitet.

• Behåll loggdata under den period som krävs enligt kundens interna policy eller regelverk, genom att exportera eller strömma händelser innan de passerar bevarandefönstret.

• Konfigurering av övervakning, aviseringar och eventuella säkerhets- eller efterlevnadsanslutningar i användarens egen miljö, samt säkerställande av att dessa anslutningar förblir operativa.

• Definiera vad som utgör misstänkt aktivitet i organisationens sammanhang och utse den som ansvarar för att granska den.

• Rapportera misstänkt aktivitet till Notion om det kan tyda på att tjänsten har komprometterats.

Vad granskningsloggen omfattar och inte omfattar

Granskningsloggen registrerar händelser. Loggposter och strömmade nyttolaster beskriver vilka åtgärder som vidtagits och av vem; de innehåller inte kunddata från sidor.

Registrering i granskningsloggen påbörjas när en organisation blir berättigad till funktionen. Aktivitet som ägde rum dessförinnan är inte tillgänglig retroaktivt.

Notion utvecklar, driver och underhåller Notion-tjänsten och den infrastruktur den körs på, inklusive säkring och uppdatering av denna infrastruktur. Kunderna ansvarar för de miljöer från vilka de får åtkomst till Notion.

Notions ansvar

• Utveckla, testa, patcha och underhåll Notion-appen samt infrastrukturen som stöder den. Notion applicerar uppdateringar av tjänsten och dessa kräver inga åtgärder från kundens sida.

• Utför hotmodellering och granskningar av säker design för nya versioner, samt genomför kodrevisioner, kodgranskningar och säkerhetsskanning av kodbasen.

• Beställ årliga oberoende penetrationstester.

• Implementera och hantera nätverkssäkerhet över Notions system.

• Övervaka Notions infrastruktur, nätverk och tillgångar för skadlig aktivitet.

• Driv ett offentligt program för sårbarhetsrapportering och beställ oberoende penetrationstester.

• Säkra Notions egna företagssystem och anställdas enheter, inklusive kryptering vid lagring, slutpunktsdetektering och respons, samt centraliserad enhetshantering.

• Publicera Notions klientapplikationer och leverera uppdateringar till dem.

Användaransvar

• Underhåll av slutpunktsmiljöer som stöds och är korrekt patchade, inklusive webbläsare och alla kontroller som kan förhindra Notion-klientuppdateringar.

• Säkring av de enheter och nätverk som används för att få åtkomst till Notion, i linje med användarens egna säkerhetsstandarder för slutpunkter.

• Där Notion-klientuppdateringar hanteras centralt säkerställs att uppdateringar fortsätter att tillämpas i rätt tid. Att skjuta upp eller inaktivera automatiska uppdateringar överför ansvaret för snabb patchning av klienten till användaren.

• Se till att installationskonfigurationerna inte hindrar användare från att få uppdateringar.

• Rapportera misstänkta sårbarheter i Notion-tjänsten till Notion istället för att utnyttja eller offentliggöra dem.

Var gränsen går

Notion patchar Notion-tjänsten. Kunder tillämpar inte patchar på Notion, och ingen kundåtgärd krävs för uppdateringar på serversidan.

Klientapplikationer är annorlunda. Notion publicerar uppdateringar, men huru en enhet tar emot dem beror på hur den är konfigurerad och hanteras. När en organisation styr installations- eller uppdateringsbeteendet är det dess ansvar att hålla klienterna aktuella.

Notion tillhandahåller ett API, en integrationsplattform och AI-funktioner som kan agera på kunddata och nå anslutna system. Kunder ansvarar för att besluta vilka av dessa som ska aktiveras, vilken åtkomst som ska beviljas dem och hur de styrs.

Notions ansvar

• Tillhandahåll och underhåll Notion API, integrationsplattform, anslutningar och AI-funktioner.

• Respektera användarbehörigheter i Notion AI, Notion-agent och AI-anslutningar. Skräddarsydda agenter använder sina egna uttryckligen beviljade behörigheter, vilka kan skilja sig från behörigheterna hos den person som interagerar med agenten.

• Tillhandahåll administrativa kontroller som styr vilka integrationer och externa AI-verktyg som får installeras, vilka agenter som får skapas och om AI-funktioner är aktiverade.

• Tillhandahåll kontroller för att aktivera eller inaktivera AI-webbsökning och kräva bekräftelse före externa webbförfrågningar.

• Upprätthåll försvar utformat för att upptäcka och minska risken för prompt-injektion, inklusive upptäckt av dolda instruktioner i tredjepartsinnehåll och uppladdade filer, begränsningar av länkhantering och ytterligare kontroller där agenter agerar autonomt.

• Avstå från att använda kunddata för att träna Notions modeller, och förbjud avtalsenligt AI-underbiträden från att göra det utan uttryckligt kundsamtycke.

• Logga aktivitet för integrationer, anslutningar, agenter och externa AI-verktyg i granskningslogg.

Användaransvar

• Besluta vilka integrationer, anslutningar, AI-funktioner och agenter som är lämpliga för organisationen, och konfigurera de tillgängliga kontrollerna för att återspegla det beslutet.

• Granska åtkomst och funktioner som begärs av en integration eller anslutning innan den godkänns, och bekräfta att tredjepartstjänsten uppfyller användarens egna leverantörskrav.

• Hantera interna integrationstoken, inklusive att begränsa deras distribution, rotera dem och återkalla de som inte längre behövs.

• Styra skapandet och konfigurationen av agenter, inklusive vilken kunddata och anslutna verktyg varje agent kan nå, och granska den åtkomsten regelbundet.

• Kunder måste säkerställa att agentbehörigheter är lämpligt begränsade.

• Avgöra om datalagrande modeller får aktiveras för funktioner som kräver dem.

• Säkerställa att kunddata som görs tillgänglig för Notion via anslutna system är lämplig för det ändamålet, och att åtkomst som beviljats i det anslutna systemet i sig är korrekt begränsad.

• Göra användare medvetna om att kunddata som härrör utanför arbetsytan, inklusive webbsidor och uppladdade filer, kan försöka påverka AI-beteende.

Vad kunder bör förstå om ansluten data

Åtkomst som beviljas via en anslutning är endast så begränsad som de behörigheter som beviljats i det anslutna systemet. Notion tillämpar de behörigheter som rapporteras av det anslutna systemet men åtgärdar inte alltför omfattande behörigheter i källsystemet.

Behörighetsändringar i anslutna system återspeglas i Notion efter ett synkroniseringsintervall snarare än omedelbart, och nyligen tillagd eller raderad kunddata kan ta tid att visas eller bli otillgänglig.

Notion ansvarar för säkerheten i Notion-tjänsten och för att meddela kunder när en incident påverkar deras kunddata. Kunder ansvarar för hur de hanterar incidenter som involverar deras egna konton, arbetsytor och kunddata, inklusive eventuella meddelanden de är skyldiga att göra.

Notions ansvar

• Upprätthåll en dokumenterad incidenthanteringsplan och testa den regelbundet.

• Upptäck, prioritera, undersök, begränsa och åtgärda säkerhetsincidenter som påverkar Notions system och den kunddata som Notion innehar.

• Meddela berörda kunder om säkerhetsincidenter i enlighet med databehandlingsavtalet och tillämplig lag.

• Genomför en efterincidentgranskning, inklusive en rotorsaksanalys, och använd resultatet för att förbättra Notions kontroller och incidenthanteringsplan.

• Publicera tjänstens driftstatus och kommunicera tillgänglighetsincidenter.

• Driv ett program för sårbarhetsrapportering, och triagera och åtgärda rapporterade sårbarheter.

Användaransvar

• Rapportera misstänkta säkerhetsincidenter, komprometterade konton, misstänkta sårbarheter och missbruk av tjänsten till Notion omgående, via lämplig kanal.

• Upptäcka och reagera på incidenter som inträffar inom användarens egna arbetsytor och konton, inklusive komprometterade inloggningsuppgifter, olämplig delning och missbruk av interna användare.

• Upprätthålla användarens egna rutiner för incidenthantering, och definiera vem som ansvarar för att agera på aktivitet som identifierats i Notion.

• Vidta de begränsningsåtgärder som finns i produkten, inklusive att ta bort åtkomst, återkalla sessioner, återställa inloggningsuppgifter, återkalla integrationstoken och dra tillbaka publicerad kunddata.

• Bevara relevant bevisning, inklusive att exportera granskningsloggposter innan de passerar lagringsfönstret.

• Avgöra om en incident utlöser en anmälningsskyldighet som användaren har gentemot en tillsynsmyndighet, kund eller berörd individ, och göra den anmälan.

• Håll administrativa kontaktuppgifter och säkerhetskontaktuppgifter uppdaterade, så att meddelanden från Notion når rätt personer.

• Rapportera misstänkta sårbarheter till Notion istället för att utnyttja dem eller offentliggöra dem.

Vilken part upptäcker vad

Notion övervakar sin egen infrastruktur och kan upptäcka incidenter som påverkar tjänsten. Notion kan inte avgöra om en annars giltig åtgärd inom arbetsytan var auktoriserad enligt användarens interna policyer. Kunder ansvarar för att övervaka aktivitet i arbetsytan och att reagera vid missbruk.

Detta inkluderar incidenter som att en medlem publicerar konfidentiell kunddata, en avgående anställd exporterar data eller att en inloggningsuppgift missbrukas av dess legitima innehavare. Att upptäcka och reagera på dessa händelser beror på användarens granskning av aktivitetsloggar och de kontroller som finns tillgängliga för dem.

Notion upprätthåller ett program för informationssäkerhet och integritet som granskas oberoende, och gör den resulterande dokumentationen tillgänglig. Kunder avgör om Notion är lämpligt för deras egna regulatoriska skyldigheter och konfigurerar det därefter.

Notions ansvar

• Upprätthåll oberoende bedömda säkerhets- och integritetsprogram i enlighet med tillämpliga gransknings- och certifieringscykler.

• Gör efterlevnadsdokumentation, inklusive granskningsrapporter och certifieringar, tillgänglig för kunder och potentiella kunder via Notion Trust Center.

Användaransvar

• Avgöra om Notion är lämpligt för den data som användaren avser att lagra och de regulatoriska skyldigheter som gäller för dem.

• Ingå de avtal som krävs för den användningen, inklusive ett databehandlingsavtal eller ett Business Associate Agreement där så är tillämpligt.

• Tillämpa den konfiguration som krävs enligt dessa avtal, inklusive att aktivera eventuella efterlevnadsspecifika inställningar och de säkerhetsfunktioner som de är beroende av.

• Slutföra användarens egna bedömningar, inklusive riskbedömning av leverantörer och eventuell konsekvensbedömning avseende dataskydd som krävs enligt lag.

• Granska Notions certifieringar, granskningsrapporter och underbiträdeslista som en del av användarens egna försäkrings- och förändringshanteringsprocesser.

• Visa för användarens egna revisorer och tillsynsmyndigheter att användarens konfiguration och användning av Notion uppfyller de skyldigheter som gäller för dem.

Certifieringens omfång

Notions oberoende tredjepartscertifieringar och granskningsrapporter täcker de kontroller som Notion driver. De omfattar inte hur en enskild organisation konfigurerar eller använder Notion.

En arbetsyta som innehåller reglerade data är inte efterlevande bara för att Notion innehar en certifiering. Där en skyldighet beror på konfiguration, såsom att begränsa delning, framtvinga Single sign-on, behålla granskningsloggar eller begränsa var data lagras, förblir det användarens ansvar att uppfylla den.

Notion fastställer villkoren för hur tjänsten får användas och upprätthåller dem. Kunder ansvarar för sin användning av Notion och kunddata i sina arbetsytor.

Notions ansvar

• Publicera och upprätthålla policyn för innehåll och användning, relevanta villkor och relaterade policyer.

• Tillhandahålla en mekanism för alla som visar en offentlig Notion-sida att rapportera kunddata som de anser vara otillåten.

• Utreda rapporter och ta bort kunddata eller begränsa åtkomst där en överträdelse har identifierats.

• Tillämpa ytterligare granskning på kategorier av användning som förknippas med högre frekvens av missbruk, och stänga av eller avbryta åtkomst vid behov för att skydda tjänstens tillgänglighet.

Användaransvar

• Använd Notion i enlighet med villkoren och policyn för innehåll och användning, och se till att de som använder Notion under ditt abonnemang gör detsamma.

• Säkerställ att kunddata som lagras i, delas från eller publiceras via Notion följer dessa policyer och tillämplig lagstiftning.

• Moderera kunddata som andra har bidragit med när du distribuerar användargenererad kunddata via Notion.

• Använd Notion inom dess avsedda kapacitet och försök inte att kringgå, inaktivera eller störa dess säkerhetskontroller.

• Genomför säkerhetstester av Notion endast via Notions program för sårbarhetsrapportering och inom dess villkor.

• Använd support- och rapporteringskanaler i god tro.