Modelo de responsabilidad compartidas

Este Modelo de Responsabilidad Compartida garantiza que tanto Notion como sus clientes colaboren juntos para crear una experiencia de Espacio de trabajo segura y eficaz.

Consulta el MSA y el DPA de Notion para conocer los términos definidos.

Notion es un espacio único donde puedes pensar, escribir y planificar. Al ser un espacio todo en uno que permite a los usuarios crear sus propias herramientas para realizar su mejor trabajo, estos confían en Notion su información profesional y personal y, a través de Conexiones y funciones de IA, acceden a la información contenida en otros sistemas.

Un Modelo de Responsabilidad Compartida (SRM, por sus siglas en inglés) es un marco que describe la división de responsabilidades entre un proveedor de servicios y sus usuarios. Define claramente qué tareas de seguridad y operativas son manejadas por cada parte.

Este documento describe las responsabilidades compartidas entre Notion y sus clientes para proteger y mantener la seguridad de los sistemas, las cuentas de usuario y los Espacios de trabajo de Notion.

El SRM de Notion proporciona claridad tanto a Notion como a sus clientes sobre qué parte es responsable de procesos, operaciones o controles específicos. Esto permite a Notion centrarse en, y asumir la responsabilidad de, las áreas donde mejor podemos proteger la confidencialidad, integridad y disponibilidad de los sistemas de Notion, mientras identificamos dónde los clientes están mejor posicionados para asegurar sus propias cuentas, Espacios de trabajo y Datos del Cliente. En general, esto mejora la seguridad y la eficiencia en la protección de los sistemas y cuentas de Notion.

El SRM también promueve la transparencia en la forma en que se prestan los servicios de Notion, brindando a los clientes la información que necesitan para evaluar a Notion dentro de sus propios procesos de riesgo y aseguramiento, y apoyando tanto a Notion como a sus clientes en el cumplimiento de sus respectivas obligaciones bajo las regulaciones locales, regionales, nacionales e internacionales aplicables.

En resumen: Notion es responsable de construir, operar y proteger la arquitectura del servicio de Notion. Los clientes son responsables de cómo configuran y utilizan ese servicio, incluida la protección de sus credenciales, la gestión de quién tiene acceso a sus Espacios de trabajo y Datos del Cliente, y el cumplimiento de la Política de Contenido y Uso y otros Términos relevantes.

Algunas responsabilidades descritas en este documento solo pueden ser llevadas a cabo por clientes con permisos elevados en un espacio de trabajo u organización. Es responsabilidad del usuario asignar esos permisos de manera adecuada.

Las herramientas disponibles para cumplir con una responsabilidad determinada varían según el plan. Cuando una capacidad está limitada a planes de suscripción específicos, los clientes en planes de suscripción sin dicha capacidad siguen siendo responsables del resultado subyacente y deben considerar controles alternativos.

Notion proporciona los métodos de autenticación y los controles administrativos que regulan cómo las personas inician sesión en Notion y cómo se otorga y elimina el acceso al Espacio de trabajo. Los clientes son responsables de seleccionar y configurar los controles adecuados para su organización, y de proteger las credenciales utilizadas para acceder a sus cuentas.

Responsabilidades de Notion

• Proporcionar y operar métodos de autenticación, incluidos el correo electrónico y la contraseña, inicio de sesión con Google y Apple, e inicio de sesión único (SSO) para espacios de trabajo en los planes Business y Enterprise.

• Proporcionar autenticación de dos factores para las cuentas que inician sesión con una contraseña, utilizando una aplicación autenticadora o un código de mensaje de texto.

• Proporcionar API de SCIM que permitan a las organizaciones Enterprise automatizar la creación, actualización y eliminación de usuarios de su proveedor de identidad.

• Proporcionar controles administrativos que regulen la duración de la sesión, el cierre de sesión forzado, el restablecimiento de contraseña, la suspensión de cuenta y la verificación de dominio.

• Requerir una prueba verificada de propiedad del dominio antes de que se pueda utilizar un dominio para controlar cómo su base de usuarios inicia sesión en Notion.

• Revocar el acceso de un usuario a los Datos del Cliente cuando ese usuario sea eliminado del espacio de trabajo. Proporcionar controles que permitan a una organización finalizar sesiones y restablecer credenciales en toda su base de usuarios administrada.

• Mantener controles de acceso de privilegios mínimos en toda la infraestructura de Notion y exigir que los empleados y contratistas de Notion estén sujetos a obligaciones de confidencialidad.

• Acceder a los Datos del Cliente con fines de soporte solo cuando un usuario o el Propietario del espacio de trabajo haya otorgado su consentimiento, y hacer que dicho consentimiento expire automáticamente después de un período definido.

Responsabilidades del usuario

• Proteger las credenciales de inicio de sesión, utilizar contraseñas seguras y únicas, y evitar su reutilización en otros servicios.

• Mantener cuentas individuales en lugar de cuentas compartidas y no compartir la información de inicio de sesión.

• Utilizar la autenticación de dos factores en las cuentas que inician sesión con una contraseña.

• Actualizar las credenciales de acuerdo con la política interna y de inmediato cuando se identifique una vulneración de credenciales externa.

• Seleccionar y configurar los métodos de autenticación adecuados para la organización, incluyendo si se aplica el inicio de sesión único (SSO).

• Asegurar que el acceso al espacio de trabajo se limite a los usuarios previstos y que el acceso se elimine de inmediato cuando alguien se vaya o cambie de rol. El aprovisionamiento automático requiere SCIM; cuando no se utiliza, la eliminación es un proceso manual.

• Establecer la duración de la sesión de acuerdo con la política interna y mantener un procedimiento de recuperación en caso de pérdida de acceso al proveedor de identidad.

• Controlar si el soporte de Notion puede acceder a una cuenta o espacio de trabajo, y revocar ese acceso cuando ya no sea necesario.

Notion proporciona el modelo de permisos que determina lo que un usuario autenticado puede ver y hacer, junto con controles administrativos que establecen los límites para compartir. Los clientes son responsables de decidir cómo se aplica ese modelo a sus Datos del Cliente y de revisar el acceso resultante.

Responsabilidades de Notion

• Proporcionar un modelo de permisos que funcione a nivel de espacio de trabajo, Espacio de equipo, página y base de datos, incluyendo grupos de permisos, y aplicarlo de manera consistente en todo el producto.

• Proporcionar acceso diferenciado para miembros e invitados, de modo que se pueda otorgar a los colaboradores externos acceso a Datos del Cliente específicos en lugar de a todo un espacio de trabajo.

• Proporcionar controles administrativos que permitan a una organización restringir el uso compartido de páginas públicas, el acceso de invitados, la exportación y el movimiento o duplicación de páginas a otros espacios de trabajo.

• Proporcionar controles que regulen quién puede publicar datos de cliente en la web, incluyendo sitios de Notion, formularios y enlaces públicos.

• Proporcione herramientas de visibilidad que permitan a una organización identificar quién tiene acceso a una página, qué páginas se comparten externamente o se publican en la web, y cambiar esos permisos.

• Respete los permisos del espacio de trabajo configurados al proporcionar funciones de IA y búsqueda.

Responsabilidades del usuario

• Determine el nivel de acceso adecuado para los Datos del Cliente y aplique los permisos en consecuencia.

• Decida si se permiten la colaboración externa y la publicación pública, y configure los controles disponibles para reflejar esa decisión.

• Comprenda cómo se hereda el acceso. El acceso otorgado a una página se extiende de forma predeterminada a las páginas anidadas dentro de ella, y el acceso otorgado a través de múltiples rutas se resuelve al nivel más alto otorgado.

• Revise el acceso periódicamente, incluidos los miembros del espacio de trabajo, invitados, grupos de permisos, Datos del Cliente compartidos externamente y Datos del Cliente publicados en la web.

• Elimine el acceso a los Datos del Cliente cuando finalice la participación de un colaborador, incluidos los invitados y colaboradores externos cuyo acceso no se gestione a través del proveedor de identidad de la organización.

• Asegúrese de que los Datos del Cliente publicados en la web estén destinados a una audiencia pública y configure opciones como la indexación de motor de búsqueda en consecuencia.

• Transfiera los Datos del Cliente mantenidos de forma privada por un usuario antes de que ese usuario se vaya, o dentro de la ventana limitada durante la cual la transferencia sigue siendo posible. Después de esa ventana, los Datos del Cliente privados generalmente son irrecuperables, y la herramienta de transferencia solo está disponible en el plan Enterprise.

Notion almacena y procesa los Datos del Cliente en nombre de sus Clientes y los protege en tránsito y en reposo. Los Clientes determinan qué datos se colocan en Notion, cuánto tiempo se conservan y qué obligaciones legales se les aplican.

Responsabilidades de Notion

• Procese los Datos del Cliente de acuerdo con el Acuerdo maestro de suscripción, el Anexo de Procesamiento de Datos y la ley de protección de datos aplicable.

• Cifre los Datos del Cliente en reposo utilizando AES-256 o un algoritmo estándar de la industria que proporcione una seguridad equivalente o superior, incluso en almacenamiento en la nube, tablas de bases de datos y copias de seguridad, y cifre los datos en tránsito utilizando TLS 1.2 o superior.

• Mantenga y publique una lista actualizada de subprocesadores.

• Ofrezca residencia de datos para categorías definidas de Datos del Cliente, permitiendo que las organizaciones elegibles seleccionen la región en la que se almacenan esos datos en reposo.

• Absténgase de utilizar los Datos del Cliente para entrenar los modelos de aprendizaje automático de Notion, y prohíba contractualmente a los subprocesadores de IA que lo hagan sin el consentimiento explícito del cliente.

• Proporcione una funcionalidad que permita a los Clientes exportar, retener y eliminar sus Datos del Cliente, y elimine los Datos del Cliente al finalizar el contrato de acuerdo con el acuerdo.

• Celebre un Anexo de Procesamiento de Datos, y un acuerdo de asociación comercial cuando corresponda, con los clientes que lo requieran.

Responsabilidades del usuario

• Determine qué datos es apropiado almacenar en Notion y asegúrese de que los datos regulados solo se almacenen donde existan los acuerdos y la configuración necesarios.

• Establezca y aplique prácticas de retención, y elimine los Datos del Cliente que ya no sean necesarios.

• Configurar los ajustes de retención y eliminación disponibles en el producto para reflejar la política interna.

• Enviar Datos de Cuenta completos y precisos, y corregirlos rápidamente cuando se identifiquen errores.

• Cumplir con las obligaciones que corresponden al controlador de los datos personales almacenados en un espacio de trabajo, incluyendo proporcionar información de privacidad a las personas, establecer una base legal para el procesamiento y responder a las solicitudes de los interesados relacionadas con los Datos del Cliente.

• Determinar si se requiere una región de residencia de datos específica, solicitarla cuando sea necesario y comprender qué categorías de datos y qué productos de Notion quedan fuera de ese alcance.

• Revisar la lista de subprocesadores de Notion.

Notion opera la infraestructura que mantiene el Servicio disponible y mantiene copias de seguridad de esa infraestructura con el propósito de recuperar el Servicio. Los Clientes son responsables de recuperar sus propios Datos del Cliente utilizando las herramientas que Notion proporciona, y de mantener una copia independiente de esos Datos del Cliente cuando sus propias obligaciones así lo requieran.

Responsabilidades de Notion

• Operar el Servicio de Notion de acuerdo con los compromisos de disponibilidad establecidos en los Términos de Nivel de Servicio, utilizando infraestructura redundante en múltiples zonas de disponibilidad.

• Publicar el estado operativo del Servicio.

• Mantener copias de seguridad de los Datos del Cliente automatizadas, cifradas y monitoreadas.

• Almacenar las copias de seguridad de acuerdo con el mapeo de regiones de respaldo publicado de Notion para la región de residencia de datos seleccionada. La residencia de datos se aplica únicamente a las categorías definidas de Datos del Cliente.

• Mantener y probar periódicamente los planes de recuperación ante desastres y continuidad del negocio.

• Proporcionar herramientas de recuperación dentro del producto, incluyendo la papelera y el historial de versiones, permitiendo que los Clientes restauren los Datos del Cliente por sí mismos.

• Habilitar Exportar para que los Clientes obtengan una copia de sus Datos del Cliente.

Responsabilidades del usuario

• Recuperar páginas individuales y Datos del Cliente utilizando la papelera y el historial de versiones, dentro de los períodos de Conservación de datos aplicables al plan del Usuario.

• Configurar la Conservación de datos del Cliente, cuando esté disponible, para reflejar la política interna.

• Mantener una copia independiente de los Datos del Cliente cuando la política interna, los compromisos contractuales o la regulación requieran una retención más allá de lo que ofrece el producto, o requieran una copia almacenada fuera de Notion.

• Generar exportaciones con la frecuencia adecuada para esos requisitos y verificar que las exportaciones estén completas. Los Datos del Cliente a los que la cuenta que realiza la exportación no puede acceder no se incluyen en una exportación.

• Recuperar las exportaciones dentro del periodo en que el enlace de descarga permanece válido.

• Planificar la posibilidad de falta de disponibilidad del servicio como parte de los propios acuerdos de continuidad del negocio del Usuario.

Qué son y qué no son las copias de seguridad de Notion

Las copias de seguridad de Notion existen para restaurar el Servicio de Notion. No son un punto de restauración orientado al cliente y no pueden utilizarse para devolver un Espacio de trabajo a su estado en un momento determinado. La recuperación de los Datos del Cliente individuales es realizada por los Clientes a través de la papelera y el historial de versiones. Una vez que los Datos del Cliente han superado los períodos de papelera y Conservación de datos aplicables, se eliminan y no pueden restaurarse. Los Clientes no deben depender del soporte como mecanismo de conservación.

Una exportación genera una copia portátil de los Datos del Cliente en formatos como HTML, markdown, CSV o PDF, dependiendo del tipo de exportación y del plan. No es una copia de seguridad completa del Espacio de trabajo: importar los Datos del Cliente exportados no recreará los permisos, la configuración o la configuración completa original del Espacio de trabajo, y puede requerir una reestructuración manual.

Notion genera registros de la actividad relevante dentro de un Espacio de trabajo y los pone a disposición de la organización. Los Clientes son responsables de revisar esos registros, retenerlos cuando sea necesario y actuar sobre lo que muestran.

Responsabilidades de Notion

• Registrar eventos relacionados con la seguridad en los Espacios de trabajo de una organización, incluyendo el actor, la acción, el momento y, cuando esté disponible, la dirección IP.

• Retener el historial del registro de auditoría dentro del producto durante un período definido, y proporcionar mecanismos para Exportar y transmitir para que los Clientes puedan retenerlo por más tiempo.

• Proporcionar un medio para transmitir eventos a la propia plataforma de monitoreo de seguridad del Usuario en tiempo real, y soportar conexiones a herramientas de prevención de pérdida de datos.

• Monitorear la propia infraestructura, redes y sistemas de Notion en busca de actividad maliciosa, y mantener el registro interno de esos sistemas.

Responsabilidades del usuario

• Revisar la actividad del registro de auditoría, e investigar y actuar sobre la actividad que parezca inesperada o no autorizada.

• Retener los datos del registro durante el período requerido por la política interna o la normativa del Cliente, exportando o transmitiendo los eventos antes de que expiren los períodos de Conservación de datos.

• Configurar el monitoreo, las alertas y cualquier conexión de seguridad o cumplimiento en el propio entorno del Usuario, y asegurarse de que esas integraciones permanezcan operativas.

• Definir qué constituye una actividad sospechosa en el contexto de la organización, y asignar la responsabilidad de revisarla.

• Informar a Notion sobre actividades sospechosas cuando puedan indicar un compromiso del Servicio.

Qué cubre y qué no cubre el registro de auditoría

El registro de auditoría graba eventos. Las entradas de registro y las cargas útiles transmitidas describen las acciones realizadas y por quién; no contienen los Datos del Cliente de las páginas.

La grabación del registro de auditoría comienza cuando una organización se vuelve elegible para la función. La actividad que tuvo lugar antes no está disponible de forma retrospectiva.

Notion desarrolla, opera y mantiene el Servicio de Notion y la infraestructura en la que se ejecuta, incluyendo la seguridad y la aplicación de parches a dicha infraestructura. Los Clientes son responsables de los entornos desde los cuales acceden a Notion.

Responsabilidades de Notion

• Desarrollar, probar, aplicar parches y mantener la aplicación de Notion y la infraestructura que la respalda. Las actualizaciones del Servicio son aplicadas por Notion y no requieren ninguna acción por parte de los Clientes.

• Realice modelado de amenazas y revisiones de diseño seguro para nuevos lanzamientos, y lleve a cabo auditorías de código, revisiones de código y escaneos de seguridad de la base de código.

• Encargue pruebas de penetración independientes anuales.

• Implemente y administre la seguridad de red en todos los sistemas de Notion.

• Monitoree la infraestructura, las redes y los activos de Notion en busca de actividad maliciosa.

• Opere un programa de divulgación de vulnerabilidades público y encargue pruebas de penetración independientes.

• Proteja los sistemas corporativos y los dispositivos de los empleados de Notion, incluyendo el cifrado en reposo, la detección y respuesta de puntos finales, y la administración centralizada de dispositivos.

• Publique las aplicaciones cliente de Notion y entregue actualizaciones para ellas.

Responsabilidades del usuario

• Mantenga entornos de Punto final compatibles y con los parches adecuados, incluyendo navegadores web y cualquier control que pueda impedir las actualizaciones del cliente de Notion.

• Proteja los dispositivos y redes utilizados para acceder a Notion, de acuerdo con los estándares de seguridad de Punto final propios del Usuario.

• Cuando las actualizaciones del cliente de Notion se administran de forma centralizada, asegúrese de que las actualizaciones sigan aplicándose de manera oportuna. Diferir o deshabilitar las actualizaciones automáticas transfiere la responsabilidad de la aplicación oportuna de parches del cliente al Usuario.

• Asegúrese de que las configuraciones de instalación no impidan que los Usuarios reciban actualizaciones.

• Informe las vulnerabilidades sospechosas en el Servicio de Notion a Notion en lugar de explotarlas o divulgarlas públicamente.

Donde se encuentra el límite

Notion aplica parches al Servicio de Notion. Los Clientes no aplican parches a Notion, y no se requiere ninguna acción del Cliente para las actualizaciones del lado del servidor.

Las aplicaciones cliente son diferentes. Notion publica actualizaciones, pero si un dispositivo determinado las recibe depende de cómo esté configurado y administrado ese dispositivo. Cuando una organización administra el comportamiento de instalación o actualización, mantener los clientes actualizados es responsabilidad de la organización.

Notion proporciona una API, una plataforma de integración y funciones de IA que pueden actuar sobre los Datos del Cliente y acceder a sistemas conectados. Los Clientes son responsables de decidir cuáles de estas habilitar, qué acceso otorgarles y cómo se rigen.

Responsabilidades de Notion

• Proporcione y mantenga la API de Notion, la plataforma de integración, las conexiones y las funciones de IA.

• Respete los permisos de usuario en la IA de Notion, el agente de Notion y las Conexiones de la IA. Los Agentes personalizados utilizan sus propios permisos otorgados explícitamente, los cuales pueden diferir de los de la persona que interactúa con el agente.

• Proporcione controles administrativos que regulen qué integraciones y herramientas de IA externas pueden instalarse, qué agentes pueden crearse y si las funciones de IA están habilitadas.

• Proporcione controles para habilitar o desactivar la búsqueda en la web y requiera confirmación antes de realizar solicitudes web externas.

• Mantenga defensas diseñadas para detectar y reducir el riesgo de inyección de instrucciones, incluida la detección de instrucciones ocultas en contenido de terceros y archivos cargados, restricciones en el manejo de /enlace y verificaciones adicionales cuando los agentes actúan de forma autónoma.

• Absténgase de utilizar los Datos del Cliente para entrenar los modelos de Notion, y prohíba contractualmente que los subprocesadores de IA lo hagan sin el consentimiento explícito del cliente.

• Registre la actividad de integración, conexión, agente y herramientas de IA externas en el registro de auditoría.

Responsabilidades del Usuario

• Decidir qué integraciones, conexiones, funciones de IA y agentes son apropiados para la organización, y configurar los controles disponibles para reflejar esa decisión.

• Revisar el acceso y las capacidades solicitadas por una integración o conexión antes de autorizarla, y confirmar que el servicio de terceros cumple con los requisitos de proveedor del propio Usuario.

• Gestionar los tokens de integración interna, lo que incluye restringir su distribución, rotarlos y revocar aquellos que ya no sean necesarios.

• Gobernar la creación y configuración de agentes, incluido a qué Datos del Cliente y herramientas conectadas puede acceder cada agente, y revisar ese acceso periódicamente.

• Los Clientes deben asegurarse de que los permisos de los agentes estén delimitados adecuadamente.

• Determinar si se pueden habilitar modelos que retienen datos para las funciones que los requieren.

• Asegurarse de que los Datos del Cliente puestos a disposición de Notion a través de sistemas conectados sean apropiados para ese propósito, y que el acceso otorgado en el sistema conectado esté correctamente delimitado.

• Informar a los Usuarios que los Datos del Cliente que se originan fuera del Espacio de Trabajo, incluidas las páginas web y los archivos cargados, pueden intentar influir en el comportamiento de la IA.

Lo que los Clientes deben entender sobre los datos conectados

El acceso otorgado a través de una conexión es tan limitado como los permisos otorgados en el sistema conectado. Notion aplica los permisos reportados por el sistema conectado, pero no corrige los permisos excesivamente amplios del sistema de origen.

Los cambios de permiso en los sistemas conectados se reflejan en Notion después de un intervalo de sincronización en lugar de inmediatamente, y los Datos del Cliente recién agregados o eliminados pueden tardar en aparecer o dejar de estar disponibles.

Notion es responsable de la seguridad del servicio de Notion y de notificar a los clientes cuando un incidente afecta sus Datos del Cliente. Los Clientes son responsables de cómo responden a los incidentes que involucran sus propias cuentas, Espacios de Trabajo y Datos del Cliente, incluidas las notificaciones que deban realizar.

Responsabilidades de Notion

• Mantenga un plan de respuesta a incidentes documentado y pruébelo periódicamente.

• Detecte, clasifique, investigue, contenga y remedie los incidentes de seguridad que afecten a los sistemas de Notion y a los Datos del Cliente que Notion almacena.

• Notifique a los clientes afectados sobre incidentes de seguridad de acuerdo con el Anexo de Procesamiento de Datos y la ley aplicable.

• Realice una revisión posterior al incidente, incluyendo un análisis de causa raíz, y aplique los hallazgos a los controles y al plan de respuesta de Notion.

• Publique el Estado operativo del servicio y comunique los incidentes de disponibilidad.

• Opere un programa de divulgación de vulnerabilidades, y clasifique y remedie las vulnerabilidades reportadas.

Responsabilidades del Usuario

• Informe a Notion de inmediato, a través del canal apropiado, sobre incidentes de seguridad sospechosos, cuentas comprometidas, vulnerabilidades sospechosas y el uso indebido del servicio.

• Detecte y responda a los incidentes que ocurran dentro de los Espacios de Trabajo y cuentas del Usuario, incluyendo credenciales comprometidas, intercambio inapropiado y uso indebido por parte de Usuarios internos.

• Mantenga los propios acuerdos de respuesta a incidentes del Usuario, y defina quién es responsable de actuar ante la actividad identificada en Notion.

• Tome medidas de contención disponibles dentro del producto, incluyendo que se elimine el acceso, se revoquen las sesiones, se restablezcan las credenciales, se revoquen los tokens de integración y se retiren los Datos del Cliente publicados.

• Preserve la evidencia relevante, incluyendo que se exporten los registros de auditoría antes de que pasen fuera del periodo de retención.

• Determine si un incidente desencadena una obligación de notificación que el Usuario deba cumplir ante un regulador, cliente o individuo afectado, y realice dicha notificación.

• Mantenga actualizados los datos de contacto administrativo y de seguridad, para que las notificaciones de Notion lleguen a las personas adecuadas.

• Informe a Notion sobre las vulnerabilidades sospechosas en lugar de explotarlas o divulgarlas públicamente.

Qué parte detecta qué

Notion monitorea su propia infraestructura y puede detectar incidentes que afecten al Servicio. Notion no puede determinar si una acción válida en el Espacio de Trabajo fue autorizada bajo las políticas internas del Usuario. Los Clientes son responsables de monitorear la actividad del Espacio de Trabajo y responder ante el uso indebido.

Esto incluye incidentes como un miembro que publica Datos del Cliente confidenciales, un empleado que se retira y exporta datos, o una credencial que es utilizada indebidamente por su titular legítimo. La detección y respuesta a estos eventos depende de la revisión que haga el Usuario de los registros de actividad y de los controles disponibles para él.

Notion mantiene un programa de seguridad de la información y privacidad que es auditado de forma independiente, y pone a disposición la documentación resultante. Los Clientes determinan si Notion es adecuado para sus propias obligaciones regulatorias y lo configuran en consecuencia.

Responsabilidades de Notion

• Mantenga programas de seguridad y privacidad evaluados de forma independiente de acuerdo con los ciclos de auditoría y certificación aplicables.

• Ponga la documentación de cumplimiento, incluidos los informes de auditoría y las certificaciones, a disposición de los clientes y clientes potenciales a través del Notion Trust Center.

Responsabilidades del Usuario

• Determine si Notion es adecuado para los datos que el Usuario pretende almacenar y las obligaciones regulatorias que le aplican.

• Celebre los acuerdos necesarios para dicho uso, incluido un Anexo de Procesamiento de Datos o un acuerdo de asociación comercial cuando corresponda.

• Aplique la configuración requerida por esos acuerdos, incluyendo la habilitación de cualquier ajuste específico de cumplimiento y las funciones de seguridad de las que dependen.

• Complete las propias evaluaciones del Usuario, incluida la evaluación de riesgos de proveedores y cualquier evaluación de impacto de protección de datos requerida por la ley.

• Revise las certificaciones, los informes de auditoría y la lista de subprocesadores de Notion como parte de los propios procesos de garantía y gestión de cambios del Usuario.

• Demuestre a los propios auditores y reguladores del Usuario que la configuración y el uso de Notion por parte del Usuario cumplen con las obligaciones que le aplican.

Qué certificación cubre

Las certificaciones y los informes de auditoría de terceros independientes de Notion cubren los controles que Notion opera. No se extienden a cómo una organización individual configura o usa Notion.

Un Espacio de Trabajo que contiene datos regulados no cumple con las normas por el simple hecho de que Notion tenga una certificación. Cuando una obligación depende de la configuración, como restringir el uso compartido, aplicar el inicio de sesión único (SSO), conservar registros de auditoría o limitar dónde se almacenan los datos, cumplirla sigue siendo responsabilidad del Usuario.

Notion establece los términos bajo los cuales se puede usar el servicio y los hace cumplir. Los Clientes son responsables de su propio uso de Notion y de los Datos del Cliente almacenados en sus Espacios de Trabajo.

Responsabilidades de Notion

• Publique y mantenga la Política de Contenido y Uso, los Términos relevantes y las políticas relacionadas.

• Proporcionar un mecanismo para que cualquier persona que vea una página pública de Notion pueda generar un informe sobre los Datos del cliente que considere prohibidos.

• Investigar los informes y eliminar los Datos del cliente o restringir el acceso cuando se identifique una infracción.

• Aplicar un escrutinio adicional a las categorías de uso asociadas con tasas más altas de abuso, y suspender o interrumpir el acceso cuando sea necesario para proteger la disponibilidad del Servicio.

Responsabilidades del usuario

• Usar Notion de acuerdo con los Términos y la Política de contenido y uso, y asegurarse de que las personas que usan Notion bajo la suscripción del Usuario hagan lo mismo.

• Asegurarse de que los Datos del cliente almacenados en Notion, que se comparten mediante la función 'compartir' o se Publican a través de Notion, cumplan con esas políticas y con la ley aplicable.

• Moderar los Datos del cliente aportados por otros cuando el Usuario distribuya Datos del cliente generados por el usuario a través de Notion.

• Usar Notion dentro de su capacidad prevista, y no intentar eludir, desactivar o interferir con sus controles de seguridad.

• Realizar cualquier prueba de seguridad de Notion solo a través del programa de divulgación de vulnerabilidades de Notion y dentro de sus términos.

• Usar los canales de soporte y de informe de buena fe.