已共享責任模型

此共享責任模型確保 Notion 及其客戶攜手合作，創造安全且有效的工作空間體驗。

請參閱 Notion 的 MSA 與 DPA 以了解定義術語。

Notion 是一個讓您可以思考、撰寫與規劃的單一空間。作為一個讓使用者能建立專屬工具以發揮最佳工作表現的一體化空間，使用者將專業與個人資訊託付給 Notion，並透過 連接 與 AI 功能，存取儲存在其他系統中的資訊。

共享責任模型 (SRM) 是一個概述服務提供者與其使用者之間責任劃分的框架。它明確定義了各方負責的安全與營運任務。

本文件概述了 Notion 與其客戶在保護及維護 Notion 系統、使用者帳號與工作空間安全方面的共享責任。

Notion SRM 為 Notion 及其客戶提供了明確的指引，說明哪一方負責特定的流程、營運或控制措施。這讓 Notion 能夠專注並承擔起我們最能保護 Notion 系統機密性、完整性與可用性的領域，同時識別出客戶在保護自身帳號、工作空間與客戶資料方面更具優勢的地方。總體而言，這增強了保護 Notion 系統與帳號的安全性和效率。

SRM 也提升了 Notion 服務交付方式的透明度，讓客戶獲得評估 Notion 時所需的資訊，以納入其自身的風險與保證流程中，並支援 Notion 及其客戶履行各自在適用之當地、區域、國家與國際法規下的義務。

簡而言之：Notion 負責建構、營運與保護 Notion 服務的架構。客戶則負責如何設定與使用該服務，包括保護其憑證、管理誰能存取其工作空間與客戶資料，以及遵守 內容與使用政策 及其他相關 條款。

本文件所述的部分責任僅能由在工作空間或組織中擁有高權限的使用者執行。適當指派這些權限是使用者的責任。

用於履行特定責任的工具會因方案而異。若某項功能僅限於特定訂閱方案，未具備該功能的訂閱用戶仍需對相關結果負責，並應考慮替代的控制措施。

Notion 提供驗證方法與管理控制措施，管理使用者登入 Notion 的方式及授予與移除工作空間存取權限。客戶有責任選擇並設定適合其組織的控制措施，並保護存取其帳號的憑證。

Notion 的責任

• 提供並操作驗證方法，包括電子郵件與密碼、Google 與 Apple 登入，以及適用於商業版與企業版工作空間的 SAML 2.0 單一登入。

• 為使用密碼登入的帳號提供雙重驗證，可使用驗證器應用程式或簡訊驗證碼。

• 提供 SCIM API，讓企業版組織能自動化管理其身分識別提供者中的使用者建立、更新與移除。

• 提供管理控制項，以規範工作階段持續時間、強制登出、密碼重設、帳號暫停與網域驗證。

• 在網域可用於控制其使用者群組如何登入 Notion 之前，要求提供網域擁有權的驗證證明。

• 當使用者從工作空間移除時，撤銷該使用者對客戶資料的存取權限。提供控制項讓組織能終止工作階段，並重設其受管理使用者群組的憑證。

• 在 Notion 自身的基礎架構中維持最小權限存取控制，並要求 Notion 員工與承包商遵守保密義務。

• 僅在使用者或工作空間擁有者授予同意的情況下，才為支援目的存取客戶資料，並在定義的期限後自動使該同意失效。

使用者責任

• 保護登入憑證，使用強大且唯一的密碼，並避免在其他服務中重複使用。

• 維護個人帳號而非共用帳號，且不共用登入資訊。

• 在以密碼登入的帳號上使用雙重驗證。

• 依照內部政策更新憑證，若發現外部憑證外洩，則應立即更新。

• 選取並設定適合該組織的驗證方法，包括是否強制執行單一登入。

• 確保僅有預期的使用者能存取工作空間，並在人員離職或職務異動時立即移除其存取權限。自動化取消佈建需要使用 SCIM；若未使用 SCIM，則需手動移除。

• 依照內部政策設定工作階段持續時間，並維護無法存取身分識別提供者時的復原程序。

• 控制 Notion 支援團隊是否能存取帳號或工作空間，並在不再需要時撤銷該存取權限。

Notion 提供的權限模型可決定已驗證使用者能查看與執行的操作，並提供管理控制項來設定分享邊界。客戶需自行決定如何將此模型應用於其客戶資料，並審查由此產生的存取權限。

Notion 的責任

• 提供在工作空間、團隊協作區、頁面與資料庫層級運作的權限模型（包含權限群組），並在整個產品中一致地執行。

• 提供成員與訪客不同的存取權限，讓外部協作者僅能存取特定的客戶資料，而非整個工作空間。

• 提供管理控制項，讓組織能限制公開頁面分享、訪客存取、匯出，以及將頁面移動或複製到其他工作空間。

• 提供控制項以規範誰能將客戶資料發布至網路，包括 Notion 網站、表單與公開連結。

• 提供可視化工具，讓組織能識別誰有權存取頁面、哪些頁面已對外分享或發布至網路，並能變更這些權限。

• 在提供 AI 與搜尋功能時，尊重已設定的工作空間權限。

使用者責任

• 判斷客戶資料的適當存取權限，並據此套用權限。

• 決定是否允許外部協作與公開發布，並設定可用的控制選項以反映該決策。

• 了解存取權限是如何繼承的。授予頁面的存取權限預設會延伸至其中嵌套的頁面，且透過多種途徑授予的存取權限會解析為所授予的最高層級。

• 定期審查存取權限，包括工作空間成員、訪客、權限群組、對外共享的客戶資料，以及發布至網路的客戶資料。

• 當協作者的參與結束時，移除其對客戶資料的存取權，包括未透過組織身分識別提供者管理存取權的訪客與外部協作者。

• 確保發佈至網路的客戶資料是針對大眾受眾，並據此設定搜尋引擎索引等選項。

• 在使用者離職前，或在仍可進行轉移的有限時間窗口內，轉移該使用者私人持有的客戶資料。該時間窗口過後，私人客戶資料通常無法復原，且轉移工具僅適用於企業版。

Notion 代表客戶儲存並處理客戶資料，並在傳輸與靜態儲存時保護該資料。客戶可決定將哪些資料放入 Notion、保留多久，以及適用於該資料的法律義務。

Notion 的責任

• 依照主訂閱協議、資料處理附錄及適用的資料保護法處理客戶資料。

• 使用 AES-256 或提供同等或更強安全性的業界標準演算法，對靜態儲存的客戶資料進行加密（包含雲端儲存、資料庫表格及備份），並使用 TLS 1.2 或更高版本對傳輸中的資料進行加密。

• 維護並發佈最新的轉包處理器清單。

• 針對特定類別的客戶資料提供資料落地服務，讓符合資格的組織能選取該資料靜態儲存的區域。

• 不使用客戶資料來訓練 Notion 的機器學習模型，並在合約中禁止 AI 轉包處理器在未經客戶明確同意的情況下進行此類行為。

• 提供讓客戶能匯出、保留及刪除其客戶資料的功能，並依照合約規定在合約終止時刪除客戶資料。

• 與有需要的客戶簽署資料處理附錄，並在適用時簽署商業版協議。

使用者責任

• 決定哪些資料適合儲存在 Notion 中，並確保受監管的資料僅儲存在已具備必要協議與設定的地方。

• 建立並執行保留實務，並刪除不再需要的客戶資料。

• 設定產品中可用的保留與刪除設定，以反映內部政策。

• 提交完整且準確的帳號資料，並在發現錯誤時立即修正。

• 履行工作空間中所持有個人資料控制者應盡的義務，包括向個人提供隱私權資訊、建立資料處理的合法基礎，以及回應與客戶資料相關的資料主體請求。

• 判斷是否需要特定的資料落地區域、在需要時提出請求，並了解哪些資料類別與哪些 Notion 產品不在該範圍內。

• 審閱 Notion 的 轉包處理器列表。

Notion 負責營運維持服務可用性的基礎架構，並維護該基礎架構的備份以利復原服務。客戶有責任使用 Notion 提供的工具復原其自身的客戶資料，並在自身義務有要求時，保留一份獨立的客戶資料副本。

Notion 的責任

• 依照服務水準條款中規定的可用性承諾營運 Notion 服務，並在多個可用區使用備援基礎架構。

• 發布服務的 營運狀態。

• 維護自動化、加密且受監控的客戶資料備份。

• 根據 Notion 針對選取的資料落地區域所發布的 備份區域對應 儲存備份。資料落地僅適用於定義的客戶資料類別。

• 維護並定期測試災害復原與業務持續性計畫。

• 提供產品內復原工具（包括垃圾桶與版本記錄），讓客戶能自行還原客戶資料。

• 提供匯出功能，讓客戶能取得其客戶資料的副本。

使用者責任

• 在使用者方案適用的保留期限內，使用垃圾桶與版本記錄復原個別頁面與客戶資料。

• 設定客戶資料保留設定（若適用），以反映內部政策。

• 若內部政策、合約承諾或法規要求保留期限超過產品提供的範圍，或要求在 Notion 之外持有副本，則需維護一份獨立的客戶資料副本。

• 依照符合這些需求的排程進行匯出，並驗證匯出內容是否完整。匯出帳號無法存取權限的客戶資料將不包含在匯出內容中。

• 在下載連結有效的期限內擷取匯出內容。

• 將服務中斷的可能性納入使用者自身商業持續性安排的規劃中。

Notion 備份的定義與非定義範圍

Notion 備份的存在是為了還原 Notion 服務。它們並非供客戶使用的還原點，也無法用於將工作空間恢復至特定時間點的狀態。個別客戶資料的復原是由客戶透過垃圾桶與版本記錄自行執行。一旦客戶資料超過適用的垃圾桶與資料保留期限，資料將會被清除且無法還原。客戶不應依賴支援作為保留機制。

匯出功能會產生一份可攜式的客戶資料副本，格式包括 HTML、Markdown、CSV 或 PDF，具體取決於匯出類型與方案。這並非完整的工作空間備份：匯入已匯出的客戶資料無法重建工作空間原有的權限、設定或完整配置，且可能需要手動重新調整。

Notion 會產生工作空間內相關活動的記錄檔，並提供給組織使用。客戶有責任審閱這些記錄檔、在必要時予以保留，並針對記錄檔顯示的內容採取動作。

Notion 的責任

• 記錄組織工作空間中發生的安全性與防護相關事件，包括執行者、動作、時間，以及可取得的 IP 位址。

• 在產品內保留一段定義時間的稽核記錄檔，並提供匯出與串流機制，以便客戶能更長時間地保留這些記錄檔。

• 提供將事件即時串流至使用者自身安全性監控平台的管道，並支援與資料外洩防護工具的連接。

• 監控 Notion 自身的基礎架構、網路與系統是否有惡意活動，並維護這些系統的內部記錄檔。

使用者責任

• 審閱稽核記錄檔活動，並調查與處理看似異常或未經授權的活動。

• 根據客戶自身的內部政策或法規要求，在記錄檔資料超出保留期限前，透過匯出或串流事件的方式將其保留。

• 設定使用者自身環境中的監控、警示以及任何安全性或合規性連接，並確保這些整合維持運作。

• 定義組織環境中何謂可疑活動，並指派負責審閱的人員。

• 若可疑活動可能顯示服務遭到入侵，請向 Notion 報告。

稽核記錄檔的涵蓋範圍與非涵蓋範圍

稽核記錄檔會記錄事件。記錄檔項目與串流承載資料會描述所執行的動作及其執行者；它們不包含頁面的客戶資料。

稽核記錄檔記錄功能會在組織符合該功能資格時開始運作。在此之前發生的活動無法回溯取得。

Notion 開發、營運並維護 Notion 服務及其運作所在的基礎架構，包括保護與修補該基礎架構。客戶需自行負責其存取 Notion 的環境。

Notion 的責任

• 開發、測試、修補並維護 Notion 應用程式及其支援的基礎架構。服務更新由 Notion 執行，客戶無需採取任何行動。

• 針對新版本進行威脅建模與安全設計審查，並執行程式碼稽核、程式碼審查以及程式碼庫的安全掃描。

• 委託年度獨立滲透測試。

• 在 Notion 的系統中實作並管理網路安全。

• 監控 Notion 的基礎架構、網路與資產是否有惡意活動。

• 營運公開的 漏洞揭露計畫，並委託獨立滲透測試。

• 保護 Notion 自身的企業系統與員工裝置，包括靜態資料加密、端點偵測與回應，以及集中式裝置管理。

• 發布 Notion 用戶端應用程式並提供更新。

使用者責任

• 維護受支援且已適當修補的端點環境（包括網頁瀏覽器），以及任何可能阻礙 Notion 用戶端更新的控制項。

• 保護用於存取 Notion 的裝置與網路，並符合使用者自身的端點安全標準。

• 若 Notion 用戶端更新採集中管理，需確保更新能持續及時套用。延遲或停用自動更新，即代表將用戶端及時修補的責任轉移給使用者。

• 確保安裝設定不會阻礙使用者接收更新。

• 向 Notion 回報 Notion 服務中疑似存在的漏洞，而非利用或公開揭露這些漏洞。

邊界所在之處

Notion 會修補 Notion 服務。客戶無需對 Notion 套用修補程式，且伺服器端更新無需客戶採取任何行動。

用戶端 應用程式則不同。Notion 會發布更新，但特定裝置是否能接收更新，取決於該裝置的設定與管理方式。若組織管理安裝或更新行為，則保持用戶端為最新版本即為該組織的責任。

Notion 提供 API、整合平台以及可對客戶資料採取行動並存取已連接系統的 AI 功能。客戶需自行決定啟用哪些功能、授予何種存取權限，以及如何管理這些功能。

Notion 的責任

• 提供並維護 Notion API、整合平台、連接，以及 AI 功能。

• 尊重 Notion AI、Notion 代理程式與 AI 連接器中的使用者權限。自訂代理程式（Custom Agents）使用其各自明確授予的權限，這些權限可能與與代理程式互動的人員權限不同。

• 提供管理控制項，以規範可安裝哪些整合與外部 AI 工具、可建立哪些代理程式，以及是否啟用 AI 功能。

• 提供控制項以啟用或停用 AI 網頁搜尋，並要求在進行外部網路請求前進行確認。

• 維護旨在偵測並降低（文字）指令注入風險的防禦措施，包括偵測第三方內容和上傳檔案中的隱藏指令、限制連結處理，以及在代理程式自主運作時進行額外檢查。

• 避免使用客戶資料來訓練 Notion 的模型，並在合約中禁止 AI 轉包處理器在未經客戶明確同意的情況下進行此類訓練。

• 在稽核記錄檔中記錄整合、連接、代理程式及外部 AI 工具的活動。

使用者責任

• 決定哪些整合、連接、AI 功能和代理程式適合該組織，並設定可用的控制項以反映該決定。

• 在授權整合或連接之前，審查其所請求的存取權限與功能，並確認該第三方服務符合使用者自身的供應商要求。

• 管理內部整合權杖，包括限制其分發、輪替權杖，以及撤銷不再需要的權杖。

• 管理代理程式的建立與設定，包括每個代理程式可存取的客戶資料與連接工具，並定期審查該存取權限。

• 客戶必須確保代理程式的權限範圍設定得當。

• 決定是否針對需要資料保留的模型啟用相關功能。

• 確保透過連接系統提供給 Notion 的客戶資料適用於該目的，並確保在連接系統中所授予的存取權限本身已正確設定範圍。

• 讓使用者了解源自工作空間外部的客戶資料（包括網頁和上傳的檔案）可能會嘗試影響 AI 行為。

客戶應了解關於連接資料的事項

透過連接授予的存取權限，僅限於連接系統中所授予的權限範圍。Notion 會強制執行連接系統所回報的權限，但不會修正來源系統中過於寬鬆的權限。

連接系統中的權限變更會在同步間隔後反映在 Notion 中，而非立即生效；新增或刪除的客戶資料可能需要一些時間才會顯示或變得無法存取。

Notion 負責 Notion 服務的安全性，並在事件影響客戶資料時通知客戶。客戶需自行負責如何回應涉及其自身帳戶、工作空間和客戶資料的事件，包括他們被要求進行的任何通知。

Notion 的責任

• 維護一份已記錄的事件回應計畫，並定期進行測試。

• 偵測、分類、調查、控制並修復影響 Notion 系統及 Notion 所持有客戶資料的安全事件。

• 根據資料處理附錄及適用法律，通知受影響的客戶有關安全事件的資訊。

• 進行事故後審查，包括根本原因分析，並將調查結果應用於 Notion 的控制措施和應變計畫。

• 發布服務的營運狀態並通報可用性事故。

• 營運漏洞揭露計畫，並對回報的漏洞進行分類與修復。

使用者責任

• 透過適當管道，立即向 Notion 回報疑似安全事故、遭駭帳戶、疑似漏洞以及服務濫用情形。

• 偵測並回應使用者自身工作空間和帳戶內發生的事故，包括憑證遭駭、不當共享以及內部使用者濫用。

• 維護使用者自身的事故應變安排，並定義誰負責處理在 Notion 中識別出的活動。

• 採取產品內可用的遏制措施，包括移除存取權限、撤銷工作階段、重設憑證、撤銷整合權杖，以及撤回已發布的客戶資料。

• 保存相關證據，包括在稽核記錄檔超出保留期限前將其匯出。

• 判斷事故是否觸發使用者對監管機構、客戶或受影響個人的通知義務，並進行該通知。

• 保持管理和安全聯絡資訊為最新狀態，以便 Notion 的通知能傳達給正確的人員。

• 向 Notion 報告疑似漏洞，而非利用它們或公開揭露。

哪一方偵測到什麼

Notion 會監控其自身基礎設施，並能偵測影響服務的事故。Notion 無法判斷某項原本有效的工作空間動作是否已獲得使用者內部政策的授權。客戶有責任監控工作空間活動並對濫用行為做出回應。

這包括成員發布機密客戶資料、離職員工匯出資料，或憑證遭其合法持有人濫用等事故。偵測並回應這些事件取決於使用者對活動記錄的審查以及其可用的控制措施。

Notion 維護一套經獨立審計的資訊安全與隱私計畫，並提供相關文件。客戶需自行判斷 Notion 是否符合其自身的監管義務，並據此進行設定。

Notion 的責任

• 根據適用的審計和認證週期，維持經獨立評估的安全與隱私計畫。

• 透過 Notion Trust Center 向客戶和潛在客戶提供合規文件，包括審計報告和認證。

使用者責任

• 判斷 Notion 是否適合使用者打算儲存的資料，以及適用於使用者的監管義務。

• 簽署該用途所需的協議，包括適用的資料處理附錄或商業夥伴協議。

• 套用這些協議所要求的配置，包括啟用任何合規性特定設定以及其所依賴的安全功能。

• 完成使用者自身的評估，包括供應商風險評估以及法律要求的任何資料保護影響評估。

• 審閱 Notion 的認證、稽核報告以及轉包處理器列表，作為使用者自身保證與變更管理流程的一部分。

• 向使用者自身的稽核人員與監管機構證明，使用者對 Notion 的配置與使用符合適用於他們的義務。

認證涵蓋範圍

Notion 的獨立第三方認證與稽核報告涵蓋 Notion 運作的控制措施。這些認證與報告並不延伸至個別組織如何配置或使用 Notion。

持有受監管資料的工作空間並不會因為 Notion 持有認證而自動合規。若義務取決於配置（例如限制共享、強制執行單一登入、保留稽核記錄檔或限制資料儲存位置），則滿足該義務仍是使用者的責任。

Notion 設定服務的使用條款並執行這些條款。客戶需對其自身使用 Notion 的行為以及其工作空間中持有的客戶資料負責。

Notion 的責任

• 發布並維護 內容與使用政策、相關 條款 以及相關政策。

• 提供機制，讓任何檢視公開 Notion 頁面的人員能夠報告他們認為違規的客戶資料。

• 調查報告，並在確認違規時移除客戶資料或限制存取權限。

• 針對與較高濫用率相關的使用類別加強審查，並在必要時暫停或終止存取權限，以保護服務的可用性。

使用者責任

• 依照條款與內容與使用政策使用 Notion，並確保使用該使用者訂閱的人員也遵守相同規定。

• 確保儲存於 Notion、從 Notion 分享或透過 Notion 發布的客戶資料符合這些政策及適用法律。

• 當使用者透過 Notion 發布使用者產生的客戶資料時，需審核他人提供的客戶資料。

• 在預期容量內使用 Notion，且不嘗試規避、停用或干擾其安全控制措施。

• 僅透過 Notion 的漏洞揭露計畫並在其條款範圍內對 Notion 進行任何安全性測試。

• 誠信使用支援與報告管道。