Jaettu vastuun malli
Tämä Jaettu Vastuun malli varmistaa, että Notion ja sen käyttäjät työskentelevät yhdessä luodakseen turvallisen ja tehokkaan työtilan kokemuksen. Katso määritellyt termit Notionin MSA- ja DPA-asiakirjoista.
Tämä Jaettu Vastuun malli varmistaa, että Notion ja sen asiakkaat työskentelevät yhdessä luodakseen turvallisen ja tehokkaan työtilan kokemuksen.
Notion on yhtenäinen tila, jossa voit ajatella, kirjoittaa ja suunnitella. Koska kyseessä on kaikki-yhdessä tila, jonka avulla käyttäjät voivat rakentaa omia työkalujaan parhaan työnsä tekemiseen, he luottavat Notioniin ammatillisten ja henkilökohtaisten tietojensa suhteen sekä Yhteyksien ja tekoälyominaisuuksien kautta käyttöoikeuden suhteen muihin järjestelmiin tallennettuihin tietoihin.
Jaettu vastuun malli (SRM) on kehys, joka hahmottelee vastuunjaon palveluntarjoajan ja sen käyttäjien välillä. Se määrittelee selkeästi, mitkä tietoturva- ja operatiiviset tehtävät kukin osapuoli hoitaa.
Tämä asiakirja hahmottelee Notionin ja sen asiakkaiden väliset Jaetut vastuut Notionin järjestelmien, käyttäjätilien ja työtilojen turvallisuuden suojaamisessa ja ylläpitämisessä.
Notionin SRM tarjoaa selkeyttä sekä Notionille että sen asiakkaille siitä, kumpi osapuoli vastaa tietyistä prosesseista, toiminnoista tai hallintakeinoista. Tämä mahdollistaa sen, että Notion voi keskittyä ja ottaa vastuun niistä osa-alueista, joilla voimme parhaiten suojata Notionin järjestelmien luottamuksellisuutta, eheyttä ja tavoitettavuutta, samalla kun tunnistamme, missä asiakkaat ovat paremmassa asemassa suojaamaan omia käyttäjätiliään, työtilojaan ja asiakastietojaan. Kaiken kaikkiaan tämä parantaa Notionin järjestelmien ja käyttäjätilien suojaamisen turvallisuutta ja tehokkuutta.
SRM edistää myös läpinäkyvyyttä Notionin palveluiden toimittamisessa, antaen asiakkaille tiedot, joita he tarvitsevat Notionin arvioimiseen omien riski- ja varmistusprosessiensa puitteissa, sekä tukien sekä Notionia että sen asiakkaita heidän sovellettavien paikallisten, alueellisten, kansallisten ja kansainvälisten säädösten mukaisten velvollisuuksiensa täyttämisessä.
Lyhyesti: Notion vastaa Notion-palvelun arkkitehtuurin rakentamisesta, käytöstä ja suojaamisesta. Asiakkaat vastaavat siitä, miten he määrittävät ja käyttävät kyseistä palvelua, mukaan lukien kirjautumistietojen suojaaminen, pääsyn hallinta työtiloihin ja asiakastietoihin sekä sisältö- ja käyttöpolitiikan ja muiden asiaankuuluvien ehtojen noudattaminen.
Jotkin tässä asiakirjassa kuvatut vastuut voivat suorittaa vain asiakkaat, joilla on korotetut käyttöoikeudet työtilassa tai organisaatiossa. Käyttäjän vastuulla on määrittää nämä käyttöoikeudet asianmukaisesti.
Tietyn vastuun täyttämiseen käytettävissä olevat työkalut vaihtelevat Sopimus(tyyppi):n mukaan. Jos ominaisuus on rajoitettu tiettyihin tilauksiin, asiakkaat, joiden tilauksissa kyseistä ominaisuutta ei ole, ovat edelleen vastuussa taustalla olevasta lopputuloksesta ja heidän tulisi harkita vaihtoehtoisia hallintakeinoja.
Hallintakategoria | Notionin vastuut | Käyttäjien vastuut |
|---|---|---|
Käyttöoikeus ja todennus | • Tarjota ja ylläpitää todennus mekanismeja, mukaan lukien salasana, kertakirjautuminen (SSO) ja kaksivaiheisen todennuksen vaihtoehdot. • Hallita istuntojen käsittelyä. • Valvoa ja seurata Notionin henkilöstön käyttöoikeutta tuotantojärjestelmiin. | • Suojata kirjautumistiedot ja välttää niiden uudelleenkäyttöä eri palveluissa. • Käytä henkilökohtaisia käyttäjätiliä Jaettujen käyttäjätilien sijaan. • Ota kaksivaiheinen todennus käyttöön. • Määritä SSO ja provisiointi ja poista jäsenten käyttöoikeudet viipymättä heidän lähtiessään. |
Valtuutus, jakaminen ja yhteistyö | • Tarjoa ja valvo käyttöoikeusmallia, jakamisen hallintaa, vieraskäytön hallintaa ja ylläpitäjän asetuksia, jotka säätelevät julkista julkaisemista. | • Käytä asianmukaisia käyttöoikeuksia sivuille ja asiakastiedoille. • Hallitse vieraiden ja ulkoisten yhteistyökumppanien käyttöoikeuksia. • Tarkista käyttöoikeudet säännöllisesti. • Määritä työtilan jakamis- ja julkaisukäytännöt. |
Tiedonhallinta ja yksityisyys | • Käsittele asiakastietoja sovellettavan sopimuksen, mukaan lukien DPA:n ja muiden sovellettavien lakien, mukaisesti. • Salaa tiedot siirron aikana ja levossa. • Tarjoa poistotoiminto ja poista tai palauta tiedot sovellettavan sopimuksen ja säilytysvaatimusten mukaisesti. • Ylläpidä aliprosessorilista. | • Määritä, mitä asiakastietoja on asianmukaista tallentaa Notion-palveluun. • Määritä ja käytä säilytyskäytäntöjä. • Poista asiakastiedot, joita ei enää tarvita. • Lähetä tarkat käyttäjätilitiedot. • Toimi asiakastietojen rekisterinpitäjänä, mukaan lukien rekisteröityjen pyyntöjen käsittely työtilassa. |
Saatavuus, varmuuskopiointi ja palautus | • Ylläpidä palvelun käytettävyyttä ja julkaise tila. • Hallinnoi Notion-palvelun tason varmuuskopiointia ja katastrofipalautusta. | • Palauta yksittäisiä asiakastietoja käyttämällä versiohistoriaa, roskakoria ja palautustoimintoja. • Ylläpidä riippumatonta kopiota kriittisistä asiakastiedoista, jos sisäinen käytäntö tai sääntely sitä vaatii, käyttämällä varmuuskopiota, Vie tai API. |
Lokitus ja valvonta | • Luo ja säilytä tietoturva- ja infrastruktuurilokeja Notionin omista järjestelmistä. • Valvo alustaan kohdistuvia uhkia. | • Tarkista työtilan auditointilokit ja toimi odottamattoman toiminnan kohdalla. • Vie lokitietoja, jos pidempi säilytysaika on tarpeen. • Määritä lokivienti ja mahdolliset SIEM-integraatiot. |
Sovellusten, infrastruktuurin ja päätepisteiden tietoturva | • Kehitä, testaa, paikkaa ja suojaa Notion-palvelua ja taustalla olevaa infrastruktuuria. • Hallitse verkon tietoturvaa. Suojaa Notionin yritysjärjestelmät ja päätepisteet. | • Ylläpidä tuettuja ja asianmukaisesti paikattuja päätepisteympäristöjä, mukaan lukien selaimet. • Tarkista paikalliset hallintatoimet, jotka voisivat estää Notion-asiakasohjelmiston päivitykset selain- tai työpöytäversioihin. |
Integraatiot, API ja tekoäly | • Tarjoa API, integraatioalusta ja tekoälyominaisuudet. • Tarjoa ylläpitäjän hallintatoimet, joilla säädellään, mitkä integraatiot ja tekoälyominaisuudet voidaan ottaa käyttöön. | • Päätä, mitkä integraatiot, yhteydet ja tekoälyominaisuudet otetaan käyttöön. • Tarkista käyttöoikeudet ja laajuudet ennen valtuuttamista. Hallitse ja vaihda sisäisiä integraatiotunnisteita. • Määritä, mitä asiakasdataa on käytettävissä yhdistetyissä järjestelmissä. |
Tapahtumien hallinta ja ilmoittaminen | • Tunnista, tutki ja reagoi Notioniin vaikuttaviin tietoturvatapahtumiin. • Ilmoita asiasta kärsiville asiakkaille DPA:n ja sovellettavan lain mukaisesti. | • Ilmoita epäillyistä haavoittuvuuksista, vaarantuneista käyttäjätileistä ja väärinkäytöksistä Notionille viipymättä. • Reagoi työtilaan vaikuttaviin tapahtumiin, mukaan lukien mahdolliset sääntelyviranomaisille tai rekisteröidyille tehtävät ilmoitukset. |
Vaatimustenmukaisuus ja sertifiointi | • Ylläpidä sertifiointeja ja käytä kolmansia osapuolia riippumattomien auditointien suorittamiseen. • Tee tietoturva- ja vaatimustenmukaisuusdokumentaatio saataville. | • Määritä, soveltuuko Notion kyseiseen dataan ja sääntely-ympäristöön. • Täytä käyttäjään sovellettavien lakien mukaiset velvoitteet. |
Hyväksyttävä käyttö ja sisältö | • Julkaise ja valvo sisältö- ja käyttöperiaatteita sekä muita asiaankuuluvia ehtoja. | • Käytä Notionia sen käyttötarkoituksen mukaisesti yrittämättä kiertää tai testata tietoturvakontrolleja. • Noudata sisältö- ja käyttöperiaatteita sekä ehtoja aina. |
Notion tarjoaa todennusmenetelmät ja hallinnolliset kontrollit, jotka määrittävät, miten ihmiset kirjautuvat Notioniin ja miten työtilan käyttöoikeuksia myönnetään ja poistetaan. Asiakkaat vastaavat organisaatiolleen sopivien kontrollien valinnasta ja määrittämisestä sekä käyttäjätilien käyttöön tarkoitettujen tunnistetietojen suojaamisesta.
Notionin vastuut
Tarjoa ja ylläpidä todennusmenetelmiä, mukaan lukien sähköposti ja salasana, Google- ja Apple-kirjautuminen sekä SAML 2.0 -kertakirjautuminen Business- ja Enterprise-sopimusten työtiloille.
Tarjoa kaksivaiheinen todennus niille käyttäjätileille, joilla kirjautuminen tapahtuu salasanalla, käyttäen todennussovellusta tai tekstiviestikoodia.
Tarjoa SCIM-rajapinnat, joiden avulla Enterprise-organisaatiot voivat automatisoida käyttäjien luomisen, päivittämisen ja poistamisen identiteetintarjoajastaan.
Tarjoa hallinnolliset ohjausobjektit, jotka säätelevät istunnon kestoa, pakotettua uloskirjautumista, salasanan nollausta, käyttäjätilin jäädyttämistä ja domainin vahvistamista.
Vaadi vahvistettu todiste domainin omistajuudesta ennen kuin domainia voidaan käyttää hallitsemaan sitä, miten sen käyttäjäkunta kirjautuu Notioniin.
Peruuta käyttäjän käyttöoikeus asiakastietoihin, kun kyseinen käyttäjä poistetaan työtilasta. Tarjoa ohjausobjektit, joiden avulla organisaatio voi lopettaa istuntoja ja nollata tunnistetietoja hallinnoimansa käyttäjäkunnan osalta.
Ylläpidä vähimpien käyttöoikeuksien periaatetta Notionin omassa infrastruktuurissa ja vaadi Notionin työntekijöitä ja alihankkijoita noudattamaan salassapitovelvollisuuksia.
Käytä asiakastietoja tukitarkoituksessa vain silloin, kun käyttäjä tai työtilan Omistaja(t) on antanut suostumuksensa, ja anna kyseisen suostumuksen vanhentua automaattisesti määritetyn ajan kuluttua.
Käyttäjän vastuut
Kirjautumistietojen suojaaminen, vahvojen ja yksilöllisten salasanojen käyttäminen sekä uudelleenkäytön välttäminen muissa palveluissa.
Yksilöllisten käyttäjätilien ylläpitäminen jaettujen käyttäjätilien sijaan sekä kirjautumistietojen jakamatta jättäminen.
Kaksivaiheisen todennuksen käyttäminen niillä käyttäjätileillä, joilla kirjaudutaan salasanalla.
Tunnistetietojen päivittäminen sisäisen käytännön mukaisesti ja viipymättä, jos ulkoinen tietomurto havaitaan.
Organisaatiolle sopivien todennusmenetelmien valinta ja määrittäminen, mukaan lukien se, edellytetäänkö kertakirjautumista (SSO).
Sen varmistaminen, että työtilan käyttöoikeus on rajoitettu vain aiottuihin käyttäjiin ja että käyttöoikeus poistetaan viipymättä, kun joku lähtee tai vaihtaa roolia. Automaattinen käytöstäpoisto edellyttää SCIM-palvelua; jos se ei ole käytössä, poistaminen on manuaalinen prosessi.
Istunnon keston asettaminen sisäisen käytännön mukaisesti ja palautusmenettelyn ylläpitäminen identiteetintarjoajan käyttöoikeuden menetyksen varalta.
Sen hallinta, voiko Notion-tuki käyttää käyttäjätiliä tai työtilaa, ja kyseisen käyttöoikeuden peruuttaminen, kun sitä ei enää tarvita.
Notion tarjoaa käyttöoikeusmallin, joka määrittää, mitä todennettu käyttäjä voi nähdä ja tehdä, sekä hallinnolliset ohjausobjektit, jotka asettavat rajat jakamiselle. Asiakkaat vastaavat siitä, miten kyseistä mallia sovelletaan heidän asiakastietoihinsa, ja siitä, että he tarkistavat tuloksena olevat käyttöoikeudet.
Notionin vastuut
Tarjoa käyttöoikeusmalli, joka toimii työtila-, tiimitila-, sivu- ja tietokantatasolla, mukaan lukien käyttöoikeusryhmät, ja toteuta se johdonmukaisesti koko tuotteessa.
Tarjoa erilliset käyttöoikeudet jäsenille ja vieraille, jotta ulkoisille yhteistyökumppaneille voidaan myöntää käyttöoikeus tiettyihin asiakastietoihin koko työtilan sijaan.
Tarjoa hallinnolliset ohjausobjektit, joiden avulla organisaatio voi rajoittaa julkista sivujen jakamista, vieraskäyttöä, Vieä sekä sivujen siirtämistä tai kopioimista muihin työtiloihin.
Tarjoa ohjausobjektit, jotka säätelevät sitä, kuka voi julkaista asiakastietoja verkossa, mukaan lukien Notion-sivustot, lomakkeet ja julkiset /linkki.
Tarjoa näkyvyystyökaluja, joiden avulla organisaatio voi tunnistaa, kenellä on käyttöoikeus sivulle, mitkä sivut on jaettu ulkoisesti tai julkaistu verkkoon, sekä muuttaa näitä käyttöoikeuksia.
Kunnioita määritettyjä työtilan käyttöoikeuksia tarjotessasi tekoäly- ja hakuominaisuuksia.
Käyttäjien vastuut
Määritä asiakasdatalle asianmukainen käyttöoikeustaso ja sovella käyttöoikeuksia sen mukaisesti.
Päätä, sallitaanko ulkoinen yhteistyö ja julkinen julkaiseminen, ja määritä käytettävissä olevat hallintatyökalut vastaamaan tätä päätöstä.
Ymmärrä, miten käyttöoikeudet periytyvät. Sivulle myönnetty käyttöoikeus laajenee oletusarvoisesti sen sisällä oleviin sivuihin, ja useiden reittien kautta myönnetyt käyttöoikeudet ratkeavat korkeimman myönnetyn tason mukaisesti.
Tarkista käyttöoikeudet säännöllisesti, mukaan lukien työtilan jäsenet, vieraat, käyttöoikeusryhmät, ulkoisesti jaettu asiakasdata ja verkkoon julkaistu asiakasdata.
Poista käyttöoikeus asiakasdataan, kun yhteistyökumppanin osallistuminen päättyy, mukaan lukien vieraat ja ulkoiset yhteistyökumppanit, joiden käyttöoikeutta ei hallita organisaation identiteetinhallintapalvelun kautta.
Varmista, että verkkoon julkaistu asiakasdata on tarkoitettu julkiselle yleisölle, ja määritä asetukset, kuten Hakukoneindeksointi, sen mukaisesti.
Siirrä käyttäjän yksityisesti hallussa oleva asiakasdata ennen käyttäjän lähtöä tai sen Limited-ikkunan aikana, jolloin siirto on vielä mahdollista. Tämän ikkunan jälkeen yksityinen asiakasdata on yleensä palautuskelvotonta, ja siirtotyökalut ovat käytettävissä vain Enterprise-sopimuksessa.
Notion tallentaa ja käsittelee asiakasdataa asiakkaidensa puolesta ja suojaa sen siirron ja tallennuksen aikana. Asiakkaat päättävät, mitä dataa Notion-työtilaan tallennetaan, kuinka kauan sitä säilytetään ja mitä lakisääteisiä velvoitteita siihen liittyy.
Notionin vastuut
Käsittele asiakasdataa pääasiallisen tilauksen, tietojenkäsittelyliitteen ja sovellettavan tietosuojalainsäädännön mukaisesti.
Salaa tallennettu asiakasdata AES-256-menetelmällä tai vastaavan tai vahvemman suojauksen tarjoavalla alan standardin mukaisella algoritmilla, mukaan lukien pilvitallennustila, tietokantataulukot ja varmuuskopiot, ja salaa siirrettävä data TLS 1.2 -protokollalla tai uudemmalla.
Ylläpidä ja julkaise ajantasaista listaa alihankkijoista.
Tarjoa datan sijaintivaihtoehtoja tietyille asiakasdatakategorioille, jolloin kelpoiset organisaatiot voivat valita alueen, jossa kyseinen data tallennetaan.
Pidättäydy käyttämästä asiakasdataa Notionin koneoppimismallien kouluttamiseen ja kiellä sopimuksellisesti tekoälyyn liittyviä alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Tarjoa toiminnallisuus, jonka avulla asiakkaat voivat viedä, säilyttää ja poistaa asiakasdataansa, sekä poista asiakasdata sopimuksen päättyessä sopimuksen mukaisesti.
Tee tietojenkäsittelyliite ja tarvittaessa Business Associate Agreement -sopimus asiakkaiden kanssa, jotka sitä edellyttävät.
Käyttäjien vastuut
Määritä, mitä dataa on asianmukaista tallentaa Notionissa, ja varmista, että säänneltyä dataa tallennetaan vain silloin, kun tarvittavat sopimukset ja asetukset ovat käytössä.
Määritä ja sovella säilytyskäytäntöjä ja poista asiakasdata, jota ei enää tarvita.
Tuotteessa käytettävissä olevien säilytys- ja poistoasetusten määrittäminen sisäisen käytännön mukaisiksi.
Täydellisten ja tarkkojen käyttäjätilin tietojen toimittaminen ja niiden korjaaminen viipymättä, kun virheitä havaitaan.
Työtilassa säilytettävän henkilötiedon rekisterinpitäjälle kuuluvien velvollisuuksien täyttäminen, mukaan lukien tietosuojatietojen tarjoaminen yksityishenkilöille, käsittelyn lainmukaisen perusteen määrittäminen ja asiakasdataa koskeviin rekisteröityjen pyyntöihin vastaaminen.
Sen määrittäminen, tarvitaanko tiettyä datan sijaintialuetta, sen pyytäminen tarvittaessa sekä sen ymmärtäminen, mitkä dataluokat ja mitkä Notion-tuotteet jäävät kyseisen soveltamisalan ulkopuolelle.
Notionin aliprosessorilista tarkistaminen.
Notion ylläpitää infrastruktuuria, joka pitää palvelun saatavilla, ja ylläpitää kyseisen infrastruktuurin varmuuskopioita palvelun palauttamista varten. Asiakkaat vastaavat oman asiakasdatansa palauttamisesta Notionin tarjoamilla työkaluilla sekä riippumattoman Kopioi:n säilyttämisestä siitä, jos heidän omat velvollisuutensa sitä edellyttävät.
Notionin vastuut
Ylläpidä Notion-palvelua palvelutasosopimuksessa määriteltyjen saatavuussitoumusten mukaisesti käyttämällä redundanttia infrastruktuuria useilla saatavuusalueilla.
Julkaise palvelun tila.
Ylläpidä automaattisia, salattuja ja valvottuja varmuuskopioita asiakasdatasta.
Säilytä varmuuskopiot Notionin julkaistun varmuuskopioalueiden kartoituksen mukaisesti valitulle datan sijaintialueelle. Datan sijainti koskee vain määritettyjä asiakasdatan luokkia.
Ylläpidä ja testaa säännöllisesti katastrofipalautus- ja liiketoiminnan jatkuvuussuunnitelmia.
Tarjoa tuotteen sisäiset palautustyökalut, mukaan lukien roskakori ja versiohistoria, joiden avulla asiakkaat voivat palauttaa asiakasdatan itse.
Tarjoa Vie-toiminto, jonka avulla asiakkaat voivat hankkia kopion asiakasdatastaan.
Käyttäjien vastuut
Yksittäisten sivujen ja asiakasdatan palauttaminen käyttämällä roskakoria ja versiohistoriaa sovellettavien säilytysaikojen puitteissa käyttäjän tilauksessa.
Asiakasdatan säilytysasetusten määrittäminen, jos ne ovat käytettävissä, sisäisen käytännön mukaisiksi.
Riippumattoman Kopioi säilyttäminen asiakasdatasta silloin, kun sisäinen käytäntö, sopimusvelvoitteet tai sääntely edellyttävät tuotteen tarjoamaa pidempää säilytysaikaa tai kopion säilyttämistä Notionin ulkopuolella.
Tuota Vie:t kyseisiin vaatimuksiin sopivalla aikataululla ja vahvista, että ne ovat täydelliset. Asiakasdata, johon vie:tä tekevällä käyttäjätilillä ei ole käyttöoikeutta, ei sisälly Vie:en.
Nouta Vie:t sillä ajanjaksolla, jonka aikana latauslinkki on voimassa.
Palvelun käyttökatkojen mahdollisuuden huomioiminen osana käyttäjän omia liiketoiminnan jatkuvuusjärjestelyjä.
Mitä Notionin varmuuskopiot ovat ja mitä ne eivät ole
Notionin varmuuskopiot ovat olemassa Notion-palvelun palauttamista varten. Ne eivät ole asiakkaan käytettävissä olevia palautuspisteitä, eikä niitä voi käyttää työtilan palauttamiseen tiettyyn ajanhetkeen. Asiakas palauttaa yksittäisen asiakasdatan itse roskakorin ja versiohistorian avulla. Kun asiakasdata on ylittänyt sovellettavat roskakori- ja säilytysajat, se poistetaan pysyvästi eikä sitä voi palauttaa. Asiakkaiden ei tule luottaa tukeen säilytysmekanismina.
Vie tuottaa siirrettävän Kopioi asiakasdatasta esimerkiksi HTML-, markdown-, CSV- tai PDF-muodossa, riippuen viennin tyypistä ja Sopimus(tyyppi):stä. Se ei ole täydellinen työtilan varmuuskopio: viedyn asiakasdatasta tuominen ei palauta työtilan alkuperäisiä käyttöoikeuksia, asetuksia tai täydellistä konfiguraatiota, ja se saattaa vaatia manuaalista uudelleenjärjestelyä.
Notion luo tietueita työtilan olennaisesta toiminnasta ja asettaa ne organisaation saataville. Asiakkaat vastaavat kyseisten tietueiden tarkistamisesta, niiden säilyttämisestä tarvittaessa ja niiden osoittamien asioiden perusteella toimimisesta.
Notionin vastuut
Tallenna organisaation työtiloissa tapahtuvat tietoturvaan ja turvallisuuteen liittyvät tapahtumat, mukaan lukien toimija, toiminto, aika ja mahdollisuuksien mukaan IP-osoite.
Säilytä audit-lokin historiaa tuotteen sisällä määritetyn ajan ja tarjoa Vie- ja suoratoistomekanismit, jotta asiakkaat voivat säilyttää sitä pidempään.
Tarjoa keino suoratoistaa tapahtumia käyttäjän omaan tietoturvan valvonta-alustaan reaaliajassa ja tue yhteyksiä tietovuotojen estotyökaluihin.
Valvo Notionin omaa infrastruktuuria, verkkoja ja järjestelmiä haitallisen toiminnan varalta ja ylläpidä kyseisten järjestelmien sisäistä lokitusta.
Käyttäjien vastuut
Lokitiedon toiminnan tarkistaminen sekä odottamattomalta tai luvattomalta vaikuttavan toiminnan tutkiminen ja siihen reagoiminen.
Lokitiedon tallentaminen asiakkaan oman sisäisen käytännön tai säädösten edellyttämän ajan tarjoamalla Vie- tai suoratoistomekanismeja ennen kuin ne poistuvat säilytysikkunasta.
Valvonnan, hälytysten sekä mahdollisten tietoturva- tai vaatimustenmukaisuusyhteyksien määrittäminen käyttäjän omassa ympäristössä ja näiden integraatioiden toimivuuden varmistaminen.
Sen määrittäminen, mikä katsotaan epäilyttäväksi toiminnaksi organisaation kontekstissa, ja vastuun määrittäminen sen tarkistamisesta.
Epäilyttävästä toiminnasta ilmoittaminen Notionille, jos se voi viitata palvelun vaarantumiseen.
Mitä audit-loki kattaa ja mitä se ei kata
Loki tallentaa tapahtumia. Lokimerkinnät ja suoratoistetut hyötykuormat kuvaavat suoritettuja toimintoja ja niiden tekijöitä; ne eivät sisällä sivujen asiakasdataa.
Audit-lokin tallennus alkaa, kun organisaatio on oikeutettu ominaisuuden käyttöön. Aiemmin tapahtunutta toimintaa ei näy retrospektiivissä.
Notion kehittää, käyttää ja ylläpitää Notion-sovellusta ja sen taustalla olevaa infrastruktuuria, mukaan lukien kyseisen infrastruktuurin suojaaminen ja paikkaaminen. Asiakkaat vastaavat ympäristöistä, joista he käyttävät Notion-sovellusta.
Notionin vastuut
Kehitä, testaa, paikkaa ja ylläpidä Notion-sovellusta ja sitä tukevaa infrastruktuuria. Notion ottaa palvelussa Ilmoitukset käyttöön, eikä asiakkaiden tarvitse tehdä mitään.
Suorita uhkamallinnusta ja tietoturvallisia suunnittelukatselmuksia uusille julkaisuille sekä tee koodin auditointia, koodikatselmuksia ja koodikannan tietoturvaskannauksia.
Tilaa vuosittainen riippumaton tietoturvatestaus.
Toteuta ja hallitse verkkoturvallisuutta Notionin järjestelmissä.
Valvo Notionin infrastruktuuria, verkkoja ja resursseja haitallisen toiminnan varalta.
Ylläpidä julkista haavoittuvuuksien ilmoitusohjelmaa ja tilaa riippumaton tietoturvatestaus.
Suojaa Notionin omat yritysjärjestelmät ja työntekijöiden laitteet, mukaan lukien lepotilassa olevan tiedon salaus, päätepisteiden tunnistus ja reagointi sekä keskitetty laitehallinta.
Julkaise Notion-sovellukset ja toimita niihin päivityksiä.
Käyttäjien vastuut
Tuettujen ja asianmukaisesti paikattujen päätepisteympäristöjen ylläpito, mukaan lukien verkkoselaimet, sekä kaikki hallintatoimet, jotka saattavat estää Notion-sovelluksen päivitykset.
Notionin käyttöön tarkoitettujen laitteiden ja verkkojen suojaaminen käyttäjän omien päätepisteiden tietoturvastandardien mukaisesti.
Kun Notion-sovelluksen päivityksiä hallitaan keskitetysti, varmistetaan, että päivitykset asennetaan ajallaan. Automaattisten päivitysten lykkääminen tai Poista käytöstä -toiminnon valinta siirtää vastuun sovelluksen ajantasaisesta paikkaamisesta käyttäjälle.
Varmistetaan, etteivät asennusasetukset estä käyttäjiä vastaanottamasta päivityksiä.
Ilmoitetaan Notion-palvelun epäillyistä haavoittuvuuksista Notionille sen sijaan, että niitä hyödynnettäisiin tai niistä kerrottaisiin julkisesti.
Missä raja kulkee
Notion paikkaa Notion-palvelun. Asiakkaat eivät asenna paikkauksia Notionille, eikä palvelinpuolen Ilmoituksia vaadita asiakkaalta.
Asiakassovellukset ovat erilaiset. Notion julkaisee Ilmoituksia, mutta se, vastaanottaako tietty laite ne, riippuu siitä, miten laite on määritetty ja hallittu. Kun organisaatio hallitsee asennus- tai päivityskäyttäytymistä, sovellusten pitäminen ajan tasalla on organisaation vastuulla.
Notion tarjoaa API-rajapinnan, integraatioalustan ja tekoälyominaisuuksia, jotka voivat käsitellä asiakasdataa ja ulottua yhdistettyihin järjestelmiin. Asiakkaat vastaavat siitä, mitkä näistä otetaan käyttöön, mitä käyttöoikeuksia niille myönnetään ja miten niitä hallinnoidaan.
Notionin vastuut
Tarjoa ja ylläpidä Notion API -rajapintaa, integraatioalustaa, yhteyksiä ja tekoälyominaisuuksia.
Kunnioita käyttäjän käyttöoikeuksia Notion AI:ssa, Notion Agentissa ja AI Connectoreissa. Mukautetut palvelijat käyttävät omia erikseen myönnettyjä käyttöoikeuksiaan, jotka voivat poiketa agentin kanssa vuorovaikutuksessa olevan henkilön käyttöoikeuksista.
Tarjoa hallinnollisia säätimiä, joilla määritetään, mitä integraatioita ja ulkoisia tekoälytyökaluja voidaan asentaa, mitä palvelijoita voidaan luoda ja ovatko tekoälyominaisuudet käytössä.
Tarjoa hallintatyökalut tekoälypohjaisen verkkohaun ottamiseksi käyttöön tai Poista käytöstä -toimintoa hyödyntäen ja vaadi vahvistus ennen ulkoisia verkkopyyntöjä.
Ylläpidä puolustusmekanismeja, jotka on suunniteltu havaitsemaan ja vähentämään kehotteiden injektoinnin riskiä, mukaan lukien kolmannen osapuolen sisällössä ja ladatuissa tiedostoissa olevien piilotettujen ohjeiden havaitseminen, linkkien käsittelyä koskevat rajoitukset sekä lisätarkistukset tilanteissa, joissa palvelijat toimivat itsenäisesti.
Pidättäydy käyttämästä asiakasdataa Notionin mallien kouluttamiseen ja kiellä sopimuksellisesti tekoälyyn liittyviä alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Kirjaa integraatioiden, Yhteyksien, palvelijoiden ja ulkoisten tekoälytyökalujen toiminta lokiin.
Käyttäjien vastuut
Sen päättäminen, mitkä integraatiot, yhteydet, tekoälyominaisuudet ja palvelijat ovat organisaatiolle sopivia, ja käytettävissä olevien hallintatyökalujen määrittäminen vastaamaan tätä päätöstä.
Integraation tai yhteyden pyytämien käyttöoikeuksien ja ominaisuuksien tarkistaminen ennen niiden valtuuttamista sekä sen vahvistaminen, että kolmannen osapuolen palvelu täyttää käyttäjän omat toimittajavaatimukset.
Sisäisten integraatiotunnisteiden hallinta, mukaan lukien niiden jakelun rajoittaminen, vaihtaminen ja tarpeettomien tunnisteiden mitätöinti.
Palvelijoiden luomisen ja määrittämisen hallinta, mukaan lukien sen määrittäminen, mihin asiakasdataan ja yhdistettyihin työkaluihin kukin palvelija pääsee käsiksi, sekä tämän pääsyn säännöllinen tarkistaminen.
Asiakkaiden on varmistettava, että palvelijoiden käyttöoikeudet on rajattu asianmukaisesti.
Sen määrittäminen, voidaanko tietoja säilyttäviä malleja ottaa käyttöön ominaisuuksille, jotka niitä edellyttävät.
Sen varmistaminen, että Notionille yhdistettyjen järjestelmien kautta saatavilla oleva asiakasdata on kyseiseen tarkoitukseen sopivaa ja että yhdistetyssä järjestelmässä myönnetyt käyttöoikeudet on rajattu oikein.
Käyttäjien tietoisuuden lisääminen siitä, että työtilan ulkopuolelta peräisin oleva asiakasdata, mukaan lukien verkkosivut ja ladatut tiedostot, voi yrittää vaikuttaa tekoälyn toimintaan.
Mitä asiakkaiden tulee ymmärtää yhdistetystä datasta
Yhteyden kautta myönnetyt käyttöoikeudet ovat vain niin rajatut kuin yhdistetyssä järjestelmässä myönnetyt oikeudet. Notion noudattaa yhdistetyn järjestelmän ilmoittamia käyttöoikeuksia, mutta ei korjaa liian laajoja lähdejärjestelmän käyttöoikeuksia.
Yhdistettyjen järjestelmien käyttöoikeusmuutokset näkyvät Notionissa synkronointivälin jälkeen, eivät välittömästi, ja vasta lisätyn tai poistetun asiakasdatan näkyminen tai käytettävyyden muuttuminen voi viedä aikaa.
Notion vastaa Notion-palvelun tietoturvasta ja asiakkaiden ilmoittamisesta, jos tietoturvaloukkaus vaikuttaa heidän asiakasdataansa. Asiakkaat vastaavat siitä, miten he reagoivat omiin käyttäjätiliinsä, työtiloihinsa ja asiakasdataansa liittyviin tietoturvaloukkauksiin, mukaan lukien mahdolliset ilmoitukset, jotka heidän on tehtävä.
Notionin vastuut
Ylläpidä dokumentoitua tietoturvaloukkausten hallintasuunnitelmaa ja testaa sitä säännöllisesti.
Havaitse, luokittele, tutki, eristä ja korjaa Notionin järjestelmiin ja Notionin hallussa olevaan asiakasdataan vaikuttavat tietoturvaloukkaukset.
Ilmoita tietoturvaloukkauksista niistä kärsiville asiakkaille tietojenkäsittelysopimuksen ja sovellettavan lain mukaisesti.
Suorita tapauksen jälkeinen tarkastelu, mukaan lukien perussyyanalyysi, ja sovella havaintoja Notionin hallintatoimiin ja reagointisuunnitelmaan.
Julkaise palvelun Tila ja viesti tavoitettavuushäiriöistä.
Ylläpidä haavoittuvuuksien paljastusohjelmaa sekä priorisoi ja korjaa raportoidut haavoittuvuudet.
Käyttäjien vastuut
Epäillyistä tietoturvatapauksista, vaarantuneista käyttäjätilistä, epäillyistä haavoittuvuuksista ja palvelun väärinkäytöstä ilmoittaminen Notionille viipymättä asianmukaisen kanavan kautta.
Käyttäjän omien työtilojen ja käyttäjätilien sisällä tapahtuvien tapausten havaitseminen ja niihin reagoiminen, mukaan lukien vaarantuneet tunnukset, epäasianmukaista jakamista ja sisäisten käyttäjien suorittama väärinkäyttö.
Käyttäjän omien tapauksiin reagointijärjestelyjen ylläpitäminen ja sen määrittäminen, kuka vastaa Notionissa tunnistettuun toimintaan reagoimisesta.
Tuotteen sisällä käytettävissä olevien rajoitustoimenpiteiden suorittaminen, mukaan lukien käyttöoikeuden poistaminen, istuntojen mitätöinti, tunnusten nollaaminen, integraatiotunnisteiden mitätöinti ja julkaistun asiakasdatan poistaminen.
Asiaankuuluvan todistusaineiston säilyttäminen, mukaan lukien lokien Vie ennen kuin ne poistuvat säilytysikkunasta.
Sen määrittäminen, laukaiseeko tapaus käyttäjälle sääntelyviranomaiselle, asiakkaalle tai asianosaiselle kuuluvan ilmoitusvelvollisuuden, ja kyseisen ilmoituksen tekeminen.
Pidä hallinnolliset ja tietoturvaan liittyvät yhteystiedot ajan tasalla, jotta Notionin ilmoitukset tavoittavat oikeat henkilöt.
Ilmoita epäillyistä haavoittuvuuksista Notionille sen sijaan, että hyödyntäisit niitä tai paljastaisit ne julkisesti.
Kuka osapuoli havaitsee mitä
Notion valvoo omaa infrastruktuuriaan ja voi havaita palveluun vaikuttavia tapauksia. Notion ei voi määrittää, oliko muuten pätevä työtilaan kohdistuva toiminta käyttäjän sisäisten käytäntöjen mukaisesti valtuutettu. Asiakkaat vastaavat työtilan toiminnan valvonnasta ja väärinkäytöksiin reagoimisesta.
Tämä sisältää tapauksia, kuten jäsenen julkaiseman luottamuksellisen asiakasdatan, sekä lähtevän työntekijän, joka vie dataa, että sen, että valtuutettu käyttäjä käyttää tunnuksiaan väärin. Näiden tapahtumien havaitseminen ja niihin reagoiminen riippuu käyttäjän toiminnan tarkastelusta ja käytettävissä olevista hallintatoimista.
Notion ylläpitää tietoturva- ja yksityisyysohjelmaa, joka auditoidaan riippumattomasti, ja asettaa tuloksena syntyvän dokumentaation saataville. Asiakkaat määrittävät, soveltuuko Notion heidän omiin sääntelyvelvoitteisiinsa, ja konfiguroivat sen vastaavasti.
Notionin vastuut
Ylläpidä riippumattomasti arvioituja tietoturva- ja yksityisyysohjelmia sovellettavien auditointi- ja sertifiointisyklien mukaisesti.
Aseta vaatimustenmukaisuusdokumentaatio, mukaan lukien auditointiraportit ja sertifikaatit, asiakkaiden ja potentiaalisten asiakkaiden saataville Notion Trust Centerin kautta.
Käyttäjien vastuut
Määritä, soveltuuko Notion siihen dataan, jota käyttäjä aikoo tallentaa, ja täyttääkö se myös siihen liittyvät sääntelyvelvoitteet.
Kyseiseen käyttöön vaadittavien sopimusten tekeminen, mukaan lukien tarvittaessa tietojenkäsittelysopimus (Data Processing Addendum) tai liikekumppanisopimus (Business Associate Agreement).
Kyseisten sopimusten edellyttämän konfiguraation soveltaminen, mukaan lukien vaatimustenmukaisuuteen liittyvien asetusten ja niiden edellyttämien tietoturvaominaisuuksien käyttöönotto.
Käyttäjän omien arviointien suorittaminen, mukaan lukien toimittajan riskiarviointi ja kaikki lain edellyttämät tietosuojaa koskevat vaikutustenarvioinnit.
Notionin sertifikaattien, auditointiraporttien ja aliprosessorilistan tarkistaminen osana käyttäjän omia varmistus- ja muutoksenhallintaprosesseja.
Sen osoittaminen käyttäjän omille tilintarkastajille ja sääntelyviranomaisille, että käyttäjän Notion-konfiguraatio ja -käyttö täyttävät niitä koskevat velvoitteet.
Mitä sertifikaatti kattaa
Notionin riippumattomat kolmannen osapuolen sertifikaatit ja auditointiraportit kattavat Notionin hallinnoimat kontrollit. Ne eivät ulotu siihen, miten yksittäinen organisaatio konfiguroi tai käyttää Notionia.
Säänneltyä dataa sisältävä työtila ei ole vaatimustenmukainen pelkästään siksi, että Notionilla on sertifikaatti. Jos velvoite riippuu konfiguraatiosta, kuten jakamisen rajoittamisesta, kertakirjautumisen pakottamisesta, auditointilokien säilyttämisestä tai datan tallennuspaikan rajoittamisesta, sen täyttäminen on edelleen käyttäjän vastuulla.
Notion asettaa ehdot, joiden puitteissa palvelua saa käyttää, ja valvoo niiden noudattamista. Asiakkaat vastaavat omasta Notionin käytöstään ja työtiloissaan säilyttämästään asiakasdatasta.
Notionin vastuut
Julkaise ja ylläpidä sisältö- ja käyttöperiaatteita, asiaankuuluvia ehtoja ja niihin liittyviä käytäntöjä.
Tarjoa kenelle tahansa julkista Notion-sivua tarkastelevalle mekanismi, jolla voi ilmoittaa kielletyksi katsomastaan asiakasdatasta.
Tutki ilmoitukset ja poista asiakasdata tai rajoita käyttöoikeutta, jos rikkomus todetaan.
Sovella tarkempaa valvontaa käyttöluokkiin, joihin liittyy korkeampi väärinkäytösten riski, ja keskeytä tai lopeta käyttöoikeus tarvittaessa palvelun saatavuuden suojaamiseksi.
Käyttäjien vastuut
Notionin käyttö ehtojen ja sisältö- ja käyttöperiaatteiden mukaisesti sekä sen varmistaminen, että käyttäjän tilauksen alaisuudessa Notionia käyttävät henkilöt toimivat samoin.
Sen varmistaminen, että Notionissa tallennettu, sieltä jaettu tai sen kautta julkaistu asiakasdata on näiden periaatteiden ja sovellettavan lainsäädännön mukaista.
Muiden lisäämän asiakasdatan moderointi, jos käyttäjä jakaa käyttäjien tuottamaa asiakasdataa Notionin kautta.
Notionin käyttö sen käyttötarkoituksen mukaisesti ilman yrityksiä kiertää, poistaa käytöstä tai häiritä sen tietoturvakontrolleja.
Notionin tietoturvatestauksen suorittaminen ainoastaan Notionin haavoittuvuuksien paljastusohjelman kautta ja sen ehtojen mukaisesti.
Tuki- ja ilmoituskanavien käyttö hyvässä uskossa.
