מודל אחריות משותפת

מודל אחריות משותפת זה מבטיח ש-Notion והלקוחות שלה פועלים יחד כדי ליצור חוויית סביבת עבודה בטוחה ואפקטיבית.

אנא עיינו ב-MSA וב-DPA של Notion עבור מונחים מוגדרים.

Notion היא סביבת עבודה אחת שבה ניתן לחשוב, לכתוב ולתכנן. כמרחב "הכל-באחד" המאפשר למשתמשים לבנות כלים משלהם לביצוע העבודה הטובה ביותר שלהם, המשתמשים מפקידים בידי Notion מידע מקצועי ואישי, ודרך חיבורים ו-תכונות AI, גם גישה למידע המוחזק במערכות אחרות.

מודל אחריות משותפת (SRM) הוא מסגרת המתווה את חלוקת האחריות בין ספק שירות לבין המשתמשים שלו. הוא מגדיר בבירור אילו משימות אבטחה ותפעול מטופלות על ידי כל צד.

מסמך זה מתווה את תחומי האחריות המשותפים בין Notion לבין הלקוחות שלה בהגנה על האבטחה של מערכות Notion, חשבונות משתמשים וסביבות עבודה, ותחזוקתן.

ה-SRM של Notion מספק בהירות הן ל-Notion והן ללקוחותיה לגבי הצד האחראי לתהליכים, פעולות או בקרות ספציפיים. הדבר מאפשר ל-Notion להתמקד בתחומים שבהם אנו יכולים להגן בצורה הטובה ביותר על הסודיות, השלמות והזמינות של מערכות Notion, ולקחת עליהם אחריות, תוך זיהוי המקומות שבהם הלקוחות נמצאים בעמדה טובה יותר לאבטחת החשבונות, סביבות העבודה ונתוני הלקוח שלהם.

ה-SRM גם מקדם שקיפות באופן שבו שירותי Notion מסופקים, ומעניק ללקוחות את המידע הדרוש להם כדי להעריך את Notion במסגרת תהליכי הסיכון והאבטחה שלהם, ותומך הן ב-Notion והן בלקוחותיה בעמידה בהתחייבויותיהם לפי תקנות מקומיות, אזוריות, לאומיות ובינלאומיות רלוונטיות.

בקצרה: Notion אחראית לבנייה, לתפעול ולהגנה על הארכיטקטורה של שירות Notion. הלקוחות אחראים לאופן שבו הם מגדירים ומשתמשים בשירות זה, כולל הגנה על פרטי ההתחברות שלהם, ניהול הגישה לסביבות העבודה ולנתוני הלקוח שלהם, ועמידה ב-מדיניות התוכן והשימוש וב-תנאים רלוונטיים אחרים.

חלק מתחומי האחריות המתוארים במסמך זה יכולים להתבצע רק על ידי לקוחות בעלי הרשאות מורחבות בסביבת עבודה או בארגון. באחריות המשתמש להקצות הרשאות אלו בצורה מתאימה.

הכלים הזמינים לעמידה באחריות מסוימת משתנים בהתאם לתוכנית. במקרים שבהם יכולת מסוימת מוגבלת לתוכניות מנוי ספציפיות, לקוחות בתוכניות מנוי ללא יכולת נתונה נותרים אחראים לתוצאה הבסיסית, ועליהם לשקול בקרות חלופיות.

Notion מספקת את שיטות האימות ובקרות הניהול הקובעות כיצד אנשים נכנסים ל-Notion וכיצד מוענקת ומבוטלת הגישה לסביבת העבודה (Workspace). הלקוחות אחראים לבחירה ולהגדרה של הבקרות המתאימות לארגון שלהם, ולהגנה על פרטי ההתחברות המשמשים לגישה לחשבונות שלהם.

תחומי האחריות של Notion

• סיפוק והפעלת שיטות אימות, כולל אימייל וסיסמה, התחברות באמצעות Google ו-Apple, ו-SAML 2.0 single sign-on עבור סביבת עבודה בתוכנית לעסקים ובתוכנית Enterprise.

• סיפוק אימות דו-שלבי לחשבונות המתחברים באמצעות סיסמה, תוך שימוש באפליקציית אימות או בקוד בהודעת טקסט.

• סיפוק ממשקי SCIM המאפשרים לארגונים עסקיים לבצע אוטומציה של יצירה, עדכון והסרה של משתמשים מספק הזהות שלהם.

• סיפוק בקרות ניהוליות השולטות על משך הפעילות, התנתקות כפויה, איפוס סיסמה, השעיית חשבון ואימות דומיין.

• דרישת הוכחה מאומתת לבעלות על דומיין לפני שניתן יהיה להשתמש בדומיין כדי לשלוט באופן שבו בסיס המשתמשים שלו נכנס ל-Notion.

• ביטול הגישה של משתמש לנתוני לקוח כאשר המשתמש מוסר מסביבת העבודה. סיפוק בקרות המאפשרות לארגון לסיים פעילויות ולאפס אישורים בכל בסיס המשתמשים המנוהל שלו.

• שמירה על בקרות גישה של הרשאה מינימלית בתשתית של Notion עצמה, ודרישה שמעובדי Notion וקבלנים יהיו מחויבים בהתחייבויות סודיות.

• גישה לנתוני לקוח למטרות תמיכה בלבד במקרים בהם משתמש או בעל סביבת עבודה העניקו הסכמה, והפגת תוקף ההסכמה באופן אוטומטי לאחר תקופה מוגדרת.

תחומי האחריות של המשתמשים

• הגנה על אישורי כניסה, שימוש בסיסמאות חזקות וייחודיות, והימנעות משימוש חוזר בשירותים אחרים.

• תחזוקת חשבונות אישיים במקום חשבונות משותפים, ואי-שיתוף פרטי כניסה.

• שימוש באימות דו-שלבי בחשבונות שנכנסים עם סיסמה.

• עדכון אישורים בהתאם למדיניות הפנימית, ובאופן מיידי כאשר מזוהה פרצת אישורים חיצונית.

• בחירה והגדרה של שיטות אימות המתאימות לארגון, כולל האם נאכפת כניסה יחידה (SSO).

• הבטחה שהגישה לסביבת העבודה מוגבלת למשתמשים המיועדים, ושהגישה מוסרת באופן מיידי כאשר מישהו עוזב או משנה תפקיד. ביטול הקצאה אוטומטי דורש SCIM; במקום שבו הוא אינו בשימוש, ההסרה היא תהליך ידני.

• הגדרת משך הפעילויות בהתאם למדיניות הפנימית, ותחזוקת נוהל שחזור למקרה של אובדן גישה לספק הזהות.

• שליטה על האם התמיכה של Notion יכולה לגשת לחשבון או לסביבת עבודה, וביטול גישה זו כאשר היא אינה נדרשת עוד.

Notion מספקת את מודל ההרשאות הקובע מה משתמש מאומת יכול לראות ולעשות, יחד עם בקרות ניהוליות המגדירות את הגבולות לשיתוף. הלקוחות אחראים להחליט כיצד מודל זה מיושם על נתוני הלקוח שלהם, ולסקירת הגישה הנובעת מכך.

תחומי האחריות של Notion

• סיפוק מודל הרשאות הפועל ברמת סביבת עבודה, מרחב צוות, דף ומאגר ידע, כולל קבוצות הרשאה, ואכיפה עקבית שלו לאורך המוצר.

• סיפוק גישה נפרדת לחברים ולאורח/ות, כך שניתן יהיה להעניק למשתפי פעולה חיצוניים גישה לנתוני לקוח ספציפיים במקום לסביבת עבודה שלמה.

• סיפוק בקרות ניהוליות המאפשרות לארגון להגביל שיתוף דפים ציבורי, גישת אורח/ות, ייצוא, והעברה או שכפול של דפים לסביבות עבודה אחרות.

• סיפוק בקרות השולטות על מי רשאי לפרסם נתוני לקוח לאינטרנט, כולל Notion Sites, טפסים וקישורים ציבוריים.

• סיפוק כלי נראות המאפשרים לארגון לזהות למי יש גישה לדף, אילו דפים משותפים חיצונית או מפורסמים באינטרנט, ולשנות הרשאות אלו.

• הקפדה על הרשאות סביבת עבודה מוגדרות בעת מתן תכונות בינה מלאכותית וחיפוש.

תחומי האחריות של המשתמשים

• קביעת רמת הגישה המתאימה לנתוני לקוחות, והחלת הרשאות בהתאם.

• החלטה האם שיתוף פעולה חיצוני ופרסום ציבורי מותרים, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• הבנה כיצד גישה עוברת בירושה. גישה שניתנה לדף מורחבת כברירת מחדל לדפים המקוננים בתוכו, וגישה שניתנה דרך מספר נתיבים מתכנסת לרמה הגבוהה ביותר שניתנה.

• סקירת גישה מעת לעת, כולל חברי סביבת עבודה, אורחים, קבוצות הרשאות, נתוני לקוחות המשותפים חיצונית, ונתוני לקוחות המפורסמים באינטרנט.

• הסרת גישה לנתוני לקוחות כאשר מעורבותו של משתף פעולה מסתיימת, כולל אורחים ומשתפי פעולה חיצוניים שהגישה שלהם אינה מנוהלת דרך ספק הזהות של הארגון.

• הבטחה שנתוני לקוחות המפורסמים באינטרנט מיועדים לקהל ציבורי, והגדרת אפשרויות כגון אינדוקס מנועי חיפוש בהתאם.

• העברת נתוני לקוחות המוחזקים באופן פרטי על ידי משתמש לפני עזיבתו, או בתוך החלון המוגבל שבו העברה נותרת אפשרית. לאחר חלון זה, נתוני לקוחות פרטיים הם בדרך כלל בלתי ניתנים לשחזור, וכלי העברה זמינים רק בתוכנית Enterprise.

Notion מאחסנת ומעבדת נתוני לקוחות עבור לקוחותיה ומגנה עליהם במעבר ובמנוחה. הלקוחות קובעים אילו נתונים מוכנסים ל-Notion, כמה זמן הם נשמרים, ואילו חובות משפטיות חלות עליהם.

תחומי האחריות של Notion

• עיבוד נתוני לקוחות בהתאם להסכם המנוי הראשי, לנספח עיבוד הנתונים ולחוקי הגנת הנתונים הרלוונטיים.

• הצפנת נתוני לקוחות במנוחה באמצעות AES-256 או אלגוריתם בתקן התעשייה המספק אבטחה שווה ערך או חזקה יותר, כולל באחסון ענן, בטבלאות מאגר ידע ובגיבויים, והצפנת נתונים במעבר באמצעות TLS 1.2 ומעלה.

• ניהול ופרסום רשימה עדכנית של מעבדי משנה.

• הצעת תושבות נתונים עבור קטגוריות מוגדרות של נתוני לקוחות, המאפשרת לארגונים זכאים לבחור את האזור שבו נתונים אלו מאוחסנים במנוחה.

• הימנעות משימוש בנתוני לקוחות כדי לאמן את מודלי הלמידה החישובית של Notion, ואיסור חוזי על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• סיפוק פונקציונליות המאפשרת ללקוחות לייצא, לשמור ולמחוק את נתוני הלקוחות שלהם, ומחיקת נתוני לקוחות בתום החוזה בהתאם להסכם.

• חתימת נספח עיבוד נתונים והסכם שותף עסקי, במידת הצורך, עם לקוחות הדורשים זאת.

תחומי האחריות של המשתמשים

• קביעת אילו נתונים מתאימים לאחסון ב-Notion, והבטחת אחסון נתונים מוסדרים רק במקום שבו קיימים ההסכמים וההגדרות הנדרשים.

• קביעת ויישום נהלי שמירה, ומחיקת נתוני לקוחות שאינם נדרשים.

• הגדרת הגדרות השמירה והמחיקה הזמינות במוצר כדי לשקף את המדיניות הפנימית.

• הגשת נתוני חשבון מלאים ומדויקים, ותיקונם באופן מיידי כאשר מזוהות שגיאות.

• עמידה בהתחייבויות החלות על הבקר של הנתונים האישיים המוחזקים בסביבת עבודה, לרבות מתן מידע על פרטיות ליחידים, ביסוס בסיס חוקי לעיבוד, ומענה לבקשות של נושאי נתונים בנוגע לנתוני לקוח.

• קביעה האם נדרש אזור תושבות נתונים ספציפי, בקשתו היכן שצריך, והבנה אילו קטגוריות של נתונים ואילו מוצרי Notion חורגים מהיקף זה.

• עיון ב-רשימת מעבדי המשנה של Notion.

Notion מפעילה את התשתית ששומרת על השירות זמין ומחזיקה גיבויים של תשתית זו לצורך שחזור השירות. לקוחות אחראים לשחזור נתוני הלקוח שלהם באמצעות הכלים ש-Notion מספקת, ולהחזקת עותק עצמאי של נתוני לקוח אלו כאשר ההתחייבויות שלהם מחייבות זאת.

תחומי האחריות של Notion

• הפעלת שירות Notion בהתאם להתחייבויות הזמינות המפורטות בתנאי רמת השירות, תוך שימוש בתשתית יתירה על פני אזורי זמינות מרובים.

• פרסום הסטטוס התפעולי של השירות.

• תחזוקת גיבויים אוטומטיים, מוצפנים ומנוטרים של נתוני לקוח.

• אחסון גיבויים בהתאם ל-מיפוי אזורי הגיבוי שפורסם של Notion עבור אזור תושבות הנתונים שנבחר. תושבות נתונים חלה רק על הקטגוריות המוגדרות של נתוני לקוח.

• תחזוקה ובדיקה תקופתית של תוכניות התאוששות מאסון והמשכיות עסקית.

• מתן כלי שחזור בתוך המוצר, כולל פח האשפה והיסטוריית גרסאות, המאפשרים ללקוחות לשחזר נתוני לקוח בעצמם.

• מתן פונקציונליות ייצוא המאפשרת ללקוחות לקבל עותק של נתוני הלקוח שלהם.

תחומי האחריות של המשתמשים

• שחזור דפים בודדים ונתוני לקוח באמצעות פח האשפה והיסטוריית גרסאות, בתוך תקופות השמירה החלות על התוכנית של המשתמש.

• הגדרת הגדרות שמירת נתוני לקוח, היכן שהן זמינות, כדי לשקף את המדיניות הפנימית.

• תחזוקת עותק עצמאי של נתוני לקוח כאשר המדיניות הפנימית, ההתחייבויות החוזיות או הרגולציה מחייבות שמירה מעבר למה שהמוצר מספק, או מחייבות עותק שמוּר מחוץ ל-Notion.

• הפקת ייצואים בלוח זמנים המתאים לדרישות אלו, ואימות שהייצואים מלאים. נתוני לקוח שחשבון הייצוא אינו יכול לגשת אליהם אינם כלולים בייצוא.

• אחזור ייצואים בתוך התקופה שבה קישור ההורדה נותר תקף.

• תכנון לאפשרות של אי-זמינות שירות כחלק מהסדרי ההמשכיות העסקית של המשתמש עצמו.

מה הם הגיבויים של Notion ומה הם לא

הגיבויים של Notion קיימים כדי לשחזר את שירות Notion. הם אינם נקודת שחזור המיועדת ללקוח, ולא ניתן להשתמש בהם כדי להחזיר סביבת עבודה (Workspace) למצבה ברגע נתון. שחזור נתוני לקוח בודדים מבוצע על ידי הלקוחות באמצעות פח האשפה והיסטוריית גרסאות. ברגע שנתוני לקוח עברו את תקופות פח האשפה והשמירה הרלוונטיות, הם נמחקים ולא ניתן לשחזרם. על לקוחות לא להסתמך על התמיכה כמנגנון שמירה.

ייצוא מפיק עותק נייד של נתוני לקוח בפורמטים כגון HTML, Markdown, CSV או PDF, בהתאם לסוג הייצוא ולתוכנית. זהו אינו גיבוי מלא של סביבת העבודה: ייבוא נתוני לקוח שיוצאו לא ישחזר את ההרשאות, ההגדרות או התצורה המלאה המקורית של סביבת העבודה, ועשוי לדרוש ארגון מחדש ידני.

Notion מייצרת רשומות של פעילות רלוונטית בתוך סביבת עבודה ומנגישה אותן לארגון. הלקוחות אחראים לבדיקת רשומות אלו, שמירתן היכן שנדרש, ופעולה בהתאם למה שהן מציגות.

תחומי האחריות של Notion

• תיעוד אירועי אבטחה ובטיחות המתרחשים ברחבי סביבות העבודה של הארגון, כולל הגורם המבצע, הפעולה, הזמן, ובמידת האפשר כתובת ה-IP.

• שמירת היסטוריית יומן הביקורת בתוך המוצר לתקופה מוגדרת, ומתן מנגנוני ייצוא והזרמה כדי שהלקוחות יוכלו לשמור אותה לזמן רב יותר.

• מתן אמצעי להזרמת אירועים לפלטפורמת ניטור האבטחה של המשתמש בזמן אמת, ותמיכה בחיבורים לכלי מניעת אובדן נתונים.

• ניטור התשתית, הרשתות והמערכות של Notion עצמה לאיתור פעילות זדונית, ותחזוקת יומן פנימי עבור מערכות אלו.

תחומי האחריות של המשתמשים

• סקירת פעילות יומן הביקורת, וחקירה ופעולה בנוגע לפעילות שנראית בלתי צפויה או בלתי מורשית.

• שמירת נתוני יומן לתקופה הנדרשת על פי המדיניות או הרגולציה הפנימית של הלקוח, על ידי ייצוא או הזרמת אירועים לפני שהם חורגים מחלון השמירה.

• הגדרת ניטור, התראות וכל חיבורי האבטחה או התאימות בסביבה של המשתמש עצמו, ווידוא שהאינטגרציות הללו נשארות פעילות.

• הגדרת מה מהווה פעילות חשודה בהקשר של הארגון, והקצאת אחריות לבדיקתה.

• דיווח על פעילות חשודה ל-Notion במקרים שבהם היא עשויה להעיד על פגיעה בשירות.

מה יומן הביקורת מכסה ומה לא

יומן הביקורת מתעד אירועים. רשומות יומן ומטעני נתונים מוזרמים מתארים פעולות שבוצעו ועל ידי מי; הם אינם מכילים את נתוני הלקוח של דפים.

תיעוד יומן הביקורת מתחיל כאשר ארגון הופך לזכאי לתכונה. פעילות שהתרחשה לפני כן אינה זמינה בדיעבד.

Notion מפתחת, מפעילה ומתחזקת את שירות Notion ואת התשתית שעליה הוא פועל, כולל אבטחה ותיקון של אותה תשתית. הלקוחות אחראים לסביבות שמהן הם ניגשים ל-Notion.

תחומי האחריות של Notion

• פיתוח, בדיקה, תיקון ותחזוקה של אפליקציית Notion והתשתית התומכת בה. עדכונים לשירות מיושמים על ידי Notion ואינם דורשים פעולה מצד הלקוחות.

• מידול איומים וביצוע סקירות עיצוב מאובטח עבור גרסאות חדשות, וכן ביצוע ביקורות קוד, סקירות קוד וסריקות אבטחה של בסיס הקוד.

• ביצוע הזמנה של בדיקות חדירות עצמאיות שנתיות.

• יישום וניהול אבטחת רשת בכל מערכות Notion.

• ניטור תשתית, רשתות ונכסי Notion לזיהוי פעילות זדונית.

• הפעלת תוכנית לחשיפת פגיעויות ציבורית, והזמנת בדיקות חדירות עצמאיות.

• אבטחת המערכות הארגוניות ומכשירי העובדים של Notion עצמה, כולל הצפנה במנוחה, זיהוי ותגובה בנקודות קצה, וניהול מכשירים מרכזי.

• הפצת יישומי לקוח של Notion ומתן עדכונים עבורם.

תחומי האחריות של המשתמשים

• תחזוקת סביבות נקודות קצה נתמכות ומתוקנות כראוי, כולל דפדפני אינטרנט, וכל בקרות שעשויות למנוע עדכוני לקוח של Notion.

• אבטחת המכשירים והרשתות המשמשים לגישה ל-Notion, בהתאם לתקני אבטחת נקודות הקצה של המשתמש עצמו.

• ניהול עדכוני לקוח Notion במקרים שבהם הם מנוהלים באופן מרכזי, תוך הבטחת המשכיות העדכונים בזמן. דחייה או השבתה של עדכונים אוטומטיים מעבירות את האחריות לתיקונים במועד ללקוח.

• הבטחה שתצורות התקנה אינן מונעות מהמשתמשים לקבל עדכונים.

• דיווח על פגיעויות חשודות בשירות Notion ל-Notion במקום ניצולן או חשיפתן בפומבי.

היכן עובר הגבול

Notion מתקנת את שירות Notion. לקוחות אינם מחילים תיקונים על Notion בעצמם, ואין צורך בפעולה מצד הלקוחות עבור עדכונים בצד השרת.

יישומי לקוח שונים: Notion מפרסמת עדכונים, אך קבלת העדכונים על מכשיר מסוים תלויה בהגדרות ובניהולו. כאשר ארגון מנהל את התנהגות ההתקנה או העדכון, שמירת עדכניות היישומים היא באחריות הארגון.

Notion מספקת API, פלטפורמת אינטגרציה ותכונות AI שיכולות לפעול על נתוני לקוחות ולהגיע למערכות מחוברות. הלקוחות אחראים להחליט אילו מהם להפעיל, איזו גישה להעניק להם וכיצד הם מנוהלים.

תחומי האחריות של Notion

• ספקו ותחזקו את ה-API של Notion, פלטפורמת האינטגרציה, החיבורים ותכונות ה-AI.

• כבדו הרשאות משתמש ב-Notion AI, סוכן Notion ובמחברי AI. סוכנים בהתאמה אישית משתמשים בהרשאות המפורשות שהוענקו להם, שעשויות להיות שונות מאלו של האדם המקיים אינטראקציה עם הסוכן.

• ספקו בקרות ניהוליות הקובעות אילו אינטגרציות וכלי AI חיצוניים עשויים להיות מותקנים, אילו סוכנים עשויים להיווצר, והאם תכונות AI מופעלות.

• ספק בקרות להפעלה או השבתה של חיפוש אינטרנט מבוסס AI, ודרוש אישור לפני ביצוע בקשות אינטרנט חיצוניות.

• תחזק הגנות שנועדו לזהות ולהפחית את הסיכון להזרקת הוראות (prompt-injection), כולל זיהוי הוראות נסתרות בתוכן של צד שלישי ובקבצים שהועלו, הגבלות על טיפול בקישורים, ובדיקות נוספות במקרים שבהם סוכנים פועלים באופן אוטונומי.

• הימנע משימוש בנתוני לקוח כדי לאמן את המודלים של Notion, ואסור חוזית על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• תעד פעילות של אינטגרציות, חיבורים, סוכנים וכלי AI חיצוניים ביומן.

תחומי האחריות של המשתמשים

• החלטה אילו אינטגרציות, חיבורים, תכונות בינה מלאכותית וסוכנים מתאימים לארגון, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• בחינת הגישה והיכולות המבוקשות על ידי אינטגרציה או חיבור לפני אישורם, ואישור ששירות הצד השלישי עומד בדרישות הספק של המשתמש עצמו.

• ניהול אסימוני אינטגרציה פנימיים, כולל הגבלת הפצתם, החלפתם וביטול אלו שאינם נדרשים עוד.

• ניהול היצירה וההגדרה של סוכנים, כולל לאילו נתוני לקוח וכלים מחוברים כל סוכן יכול להגיע, ובחינת גישה זו מעת לעת.

• על לקוחות לוודא שהרשאות הסוכנים מוגדרות כראוי.

• קביעה אם ניתן להפעיל מודלים השומרים נתונים עבור תכונות נדרשות.

• הבטחה שנתוני לקוח הזמינים ל-Notion דרך מערכות מחוברות מתאימים למטרה זו, ושהגישה המוענקת במערכת המחוברת מוגדרת כראוי בעצמה.

• יידוע משתמשים בכך שנתוני לקוח שמקורם מחוץ לסביבת העבודה, כולל דפי אינטרנט וקבצים שהועלו, עלולים לנסות להשפיע על התנהגות ה-AI.

מה על הלקוחות להבין בנוגע לנתונים מחוברים

גישה המוענקת דרך חיבור היא מוגבלת בדיוק כפי שהן ההרשאות שהוענקו במערכת המחוברת. Notion אוכפת את ההרשאות המדווחות על ידי המערכת המחוברת, אך אינה מתקנת הרשאות רחבות מדי במערכת המקור.

שינויי הרשאות במערכות מחוברות משתקפים ב-Notion לאחר מרווח סנכרון ולא באופן מיידי, וייתכן שיידרש זמן עד שנתוני לקוח שנוספו או נמחקו יופיעו או יהפכו ללא זמינים.

Notion אחראית לאבטחת שירות Notion ולהודעה ללקוחות במקרה שאירוע משפיע על נתוני הלקוח שלהם. לקוחות אחראים לאופן שבו הם מגיבים לאירועים הכוללים את החשבונות, סביבות העבודה ונתוני הלקוח שלהם, כולל כל הודעה שהם נדרשים למסור.

תחומי האחריות של Notion

• תחזק תוכנית מתועדת לתגובה לאירועים, ובדוק אותה מעת לעת.

• זהה, תעדף, חקור, הכלה ותקן אירועי אבטחה המשפיעים על מערכות Notion ועל נתוני הלקוח ששמוּרים ב-Notion.

• הודע ללקוחות מושפעים על אירועי אבטחה בהתאם לנספח עיבוד הנתונים ולחוק החל.

• בצעו סקירה לאחר אירוע, כולל ניתוח שורש הבעיה, והחילו את הממצאים על הבקרות ותוכנית התגובה של Notion.

• פרסמו את הסטטוס התפעולי של השירות ודווחו על אירועי זמינות.

• הפעילו תוכנית לחשיפת פגיעויות, ובצעו מיון ותיקון של פגיעויות מדווחות.

תחומי האחריות של המשתמשים

• דיווח על אירועי אבטחה חשודים, חשבונות שנפרצו, פגיעויות חשודות ושימוש לרעה בשירות ל-Notion באופן מיידי, דרך הערוץ המתאים.

• זיהוי אירועים המתרחשים בתוך סביבות העבודה והחשבונות של המשתמש עצמו ומתן תגובה אליהם, כולל פרטי התחברות שנפרצו, שיתוף בלתי הולם ושימוש לרעה על ידי משתמשים פנימיים.

• תחזוקת הסדרי תגובה לאירועים של המשתמש עצמו, והגדרת האחראי לפעולה בגין פעילות שזוהתה ב-Notion.

• נקיטת פעולות הכלה הזמינות בתוך המוצר, כולל הסרת גישה, ביטול הפעלות, איפוס פרטי התחברות, ביטול אסימוני אינטגרציה ומשיכת נתוני לקוח שפורסמו.

• שמירה על ראיות רלוונטיות, כולל ייצוא רשומות יומן ביקורת לפני שהן יוצאות מחלון השמירה.

• קביעה אם אירוע מפעיל חובת הודעה החלה על המשתמש כלפי רגולטור, לקוח או אדם מושפע, וביצוע הודעה זו.

• שמרו על פרטי קשר אדמיניסטרטיביים ופרטי קשר בנושאי אבטחה מעודכנים, כדי שהודעות מ-Notion יגיעו לאנשים הנכונים.

• דווחו על פגיעויות חשודות ל-Notion במקום לנצל אותן או לחשוף אותן בפומבי.

איזה צד מזהה מה

Notion מנטרת את התשתית שלה ויכולה לזהות אירועים המשפיעים על השירות. Notion אינה יכולה לקבוע אם פעולה תקפה ב-Workspace אושרה במסגרת המדיניות הפנימית של המשתמש. הלקוחות אחראים לניטור פעילות ה-Workspace ולהגיב לשימוש לרעה.

זה כולל אירועים כגון חבר/ה שפרסם/ה נתוני לקוח חסויים, עובד שעוזב שמייצא נתונים, או שימוש לרעה בפרטי התחברות על ידי בעליהם החוקיים. זיהוי אירועים אלו ומתן תגובה אליהם תלויים בבדיקת רשומות הפעילות והבקרות העומדות לרשות המשתמש.

Notion מנהלת תוכנית לאבטחת מידע ופרטיות שעוברת ביקורת עצמאית, ומעמידה את התיעוד המתקבל לרשות הלקוחות. הלקוחות קובעים אם Notion מתאימה לחובות הרגולטוריות שלהם ומגדירים אותה בהתאם.

תחומי האחריות של Notion

• נהלו תוכניות אבטחה ופרטיות המוערכות באופן עצמאי בהתאם למחזורי ביקורת והסמכה רלוונטיים.

• העמידו תיעוד ציות, כולל דוחות ביקורת והסמכות, לרשות לקוחות ולקוחות פוטנציאליים דרך ה-מרכז האמון של Notion.

תחומי האחריות של המשתמשים

• קביעה אם Notion מתאימה לנתונים שהמשתמש מתכוון לאחסן ולחובות הרגולטוריות החלות עליו.

• התקשרות בהסכמים הנדרשים לשימוש זה, כולל נספח עיבוד נתונים או הסכם שותף עסקי במקומות הרלוונטיים.

• החלת התצורה הנדרשת על פי הסכמים אלו, לרבות הפעלת כל הגדרה ספציפית לתאימות ותכונות האבטחה שעליהן הן מסתמכות.

• השלמת הערכות עצמיות של המשתמש, לרבות הערכת סיכוני ספק וכל הערכת השפעה על הגנת נתונים הנדרשת על פי חוק.

• בחינת האישורים, דוחות הביקורת ורשימת מעבדי המשנה של Notion כחלק מתהליכי ההבטחה וניהול השינויים של המשתמש עצמו.

• הוכחה למבקרים ולרגולטורים של המשתמש עצמו שהתצורה והשימוש של המשתמש ב-Notion עומדים בחובות החלות עליהם.

איזו הסמכה מכסה

הסמכות צד שלישי עצמאיות ודוחות ביקורת של Notion מכסים את הבקרות ש-Notion מפעילה. הם אינם חלים על האופן שבו ארגון בודד מגדיר או משתמש ב-Notion.

סביבת עבודה שמחזיקה בנתונים מוסדרים אינה תואמת מעצם העובדה ש-Notion מחזיקה בהסמכה. במקום שבו חובה תלויה בתצורה, כגון הגבלת שיתוף, אכיפת כניסה יחידה (SSO), שמירת רשומות ביקורת, או הגבלת המקום שבו נתונים מאוחסנים, העמידה בה נותרת באחריות המשתמש.

Notion קובעת את התנאים שעל פיהם ניתן להשתמש בשירות ואוכפת אותם. לקוחות אחראים לשימוש שלהם ב-Notion ולנתוני הלקוח המוחזקים בסביבת עבודה שלהם.

תחומי האחריות של Notion

• פרסום ותחזוקה של מדיניות תוכן ושימוש, תנאים רלוונטיים ומדיניות קשורה.

• מתן מנגנון לכל אדם הצופה בדף Notion ציבורי לדווח על נתוני לקוח שלדעתו אסורים.

• חקירת דיווחים, והסרת נתוני לקוח או הגבלת גישה במקום שבו מזוהה הפרה.

• הפעלת בדיקה קפדנית נוספת על קטגוריות שימוש הקשורות לשיעורים גבוהים יותר של שימוש לרעה, והשעיה או הפסקה של גישה במידת הצורך כדי להגן על זמינות השירות.

תחומי האחריות של המשתמשים

• שימוש ב-Notion בהתאם לתנאים ולמדיניות התוכן והשימוש, והבטחה שאנשים המשתמשים ב-Notion תחת המנוי של המשתמש עושים את אותו הדבר.

• הבטחה שנתוני לקוח המאוחסנים ב-Notion, משותפים ממאת Notion או מפורסמים דרכה תואמים למדיניות זו ולחוק החל.

• ניטור נתוני לקוח שנתרמו על ידי אחרים במקום שבו המשתמש מפיץ נתוני לקוח שנוצרו על ידי משתמשים דרך Notion.

• שימוש ב-Notion במסגרת הקיבולת המיועדת לה, ואי-ניסיון לעקוף או לבצע השבתה או להפריע לבקרות האבטחה שלה.

• ביצוע כל בדיקת אבטחה של Notion אך ורק דרך תוכנית גילוי הפגיעויות של Notion ובמסגרת התנאים שלה.

• שימוש בערוצי תמיכה ודיווח בתום לב.