Modell för delat ansvar

Denna modell för delade ansvar säkerställer att Notion och dess kunder arbetar tillsammans för att skapa en säker och effektiv arbetsyteupplevelse.

Se Notions MSA och DPA för definierade termer.

Notion är ett gemensamt utrymme där du kan tänka, skriva och planera. Som ett allt-i-ett-utrymme som gör det möjligt för användare att bygga sina egna verktyg för att göra sitt bästa arbete, anförtror användare Notion med professionell och personlig information och, genom anslutningar och AI-funktioner, med åtkomst till information som finns i andra system.

En modell för delat ansvar (SRM) är ett ramverk som beskriver ansvarsfördelningen mellan en tjänsteleverantör och dess användare. Den definierar tydligt vilka säkerhets- och driftuppgifter som hanteras av respektive part.

Detta dokument beskriver det delade ansvaret mellan Notion och dess kunder när det gäller att skydda och upprätthålla säkerheten i Notions system, användarkonton och arbetsytor.

Notions SRM ger tydlighet för både Notion och dess kunder om vilken part som ansvarar för specifika processer, operationer eller kontroller. Detta gör att Notion kan fokusera på, och ta ansvar för, de områden där vi bäst kan skydda konfidentialiteten, integriteten och tillgängligheten i Notions system, samtidigt som vi identifierar var kunder är bättre lämpade att säkra sina egna konton, arbetsytor och kunddata. Sammantaget förbättrar detta säkerheten och effektiviteten i skyddet av Notions system och konton.

SRM främjar också transparens i hur Notions tjänster levereras, vilket ger kunder den information de behöver för att utvärdera Notion inom ramen för sina egna risk- och försäkringsprocesser, och stöder både Notion och dess kunder i att uppfylla sina respektive skyldigheter enligt tillämpliga lokala, regionala, nationella och internationella bestämmelser.

Kort sagt: Notion ansvarar för att bygga, driva och skydda arkitekturen i Notion-tjänsten. Kunder ansvarar för hur de konfigurerar och använder tjänsten, inklusive att skydda sina inloggningsuppgifter, hantera vem som har åtkomst till deras arbetsytor och kunddata, samt att följa policyn för innehåll och användning och andra relevanta villkor.

Vissa ansvarsområden som beskrivs i detta dokument kan endast utföras av kunder med utökade behörigheter i en arbetsyta eller organisation. Det är användarens ansvar att tilldela dessa behörigheter på lämpligt sätt.

De verktyg som finns tillgängliga för att uppfylla ett visst ansvar varierar beroende på abonnemang. Om en funktion är begränsad till specifika abonnemang förblir kunder med abonnemang utan en viss funktion ansvariga för det underliggande resultatet och bör överväga alternativa kontroller.

Notion tillhandahåller de autentiseringsmetoder och administrativa kontroller som styr hur personer loggar in i Notion och hur åtkomst till arbetsytor beviljas och tas bort. Kunder ansvarar för att välja och konfigurera de kontroller som är lämpliga för deras organisation, samt för att skydda de inloggningsuppgifter som används för att få åtkomst till deras konton.

Notions ansvar

• Tillhandahålla och driva autentiseringsmetoder, inklusive e-post och lösenord, inloggning via Google och Apple, samt SAML 2.0-enkelinloggning för arbetsytor på Business- och Enterprise-abonnemang.

• Tillhandahålla tvåfaktorsautentisering för konton som loggar in med lösenord, med hjälp av en autentiseringsapp eller en kod via textmeddelande.

• Tillhandahåll SCIM-API:er som gör det möjligt för Enterprise-organisationer att automatisera skapande, uppdatering och borttagning av användare från deras identitetsleverantör.

• Tillhandahåll administrativa kontroller som styr sessionslängd, tvingad utloggning, lösenordsåterställning, kontosuspension och domänverifiering.

• Kräv verifierat bevis på domänägarskap innan en domän kan användas för att styra hur dess användarbas loggar in i Notion.

• Återkalla en användares åtkomst till kunddata när den användaren tas bort från arbetsytan. Tillhandahåll kontroller som gör det möjligt för en organisation att avsluta sessioner och återställa inloggningsuppgifter för hela sin hanterade användarbas.

• Upprätthåll åtkomstkontroller med minsta möjliga behörighet i Notions egen infrastruktur, och kräv att Notion-anställda och underleverantörer är bundna av sekretessåtaganden.

• Få åtkomst till kunddata i supportsyfte endast när en användare eller arbetsytans Ägare har gett sitt samtycke, och låt samtycket löpa ut automatiskt efter en definierad period.

Användaransvar

• Skydda inloggningsuppgifter, använd starka och unika lösenord, och undvik återanvändning i andra tjänster.

• Underhåll individuella konton istället för delade konton, och dela inte inloggningsinformation.

• Använd tvåfaktorsautentisering på konton som loggar in med lösenord.

• Uppdatera inloggningsuppgifter i enlighet med intern policy, och omgående när ett externt dataintrång identifieras.

• Välj och konfigurera de autentiseringsmetoder som är lämpliga för organisationen, inklusive huruvida Single sign-on krävs.

• Säkerställ att åtkomst till arbetsytan är begränsad till avsedda användare, och att åtkomsten tas bort omgående när någon slutar eller byter roll. Automatisk avetablering kräver SCIM; där det inte används är borttagning en manuell process.

• Ställ in sessionslängd i enlighet med intern policy, och upprätthåll en återställningsprocedur för förlust av åtkomst till identitetsleverantören.

• Kontrollera huruvida Notion-supporten kan komma åt ett konto eller en arbetsyta, och återkalla den åtkomsten när den inte längre behövs.

Notion tillhandahåller den behörighetsmodell som avgör vad en autentiserad användare kan se och göra, tillsammans med administrativa kontroller som sätter gränserna för delning. Kunderna ansvarar för att besluta hur den modellen tillämpas på deras kunddata, och för att granska den åtkomst som blir resultatet.

Notions ansvar

• Tillhandahåll en behörighetsmodell som fungerar på arbetsyta-, teamutrymme-, sida- och databasnivå, inklusive behörighetsgrupper, och tillämpa den konsekvent i hela produkten.

• Tillhandahåll separat åtkomst för medlemmar och gäster, så att externa samarbetare kan beviljas åtkomst till specifik kunddata istället för en hel arbetsyta.

• Tillhandahåll administrativa kontroller som gör det möjligt för en organisation att begränsa offentlig delning av sidor, gäståtkomst, export samt flytt eller duplicering av sidor till andra arbetsytor.

• Tillhandahåll kontroller som styr vem som får publicera kunddata på webben, inklusive Notion-webbplatser, formulär och offentliga länkar.

• Tillhandahåll verktyg för insyn som gör det möjligt för en organisation att identifiera vem som har åtkomst till en sida, vilka sidor som delas externt eller publiceras på webben, samt att ändra dessa behörigheter.

• Respektera de konfigurerade behörigheterna för arbetsytan när AI- och sökfunktioner tillhandahålls.

Användaransvar

• Fastställa lämplig åtkomstnivå för kunddata och tillämpa behörigheter därefter.

• Besluta om externt samarbete och offentlig publicering är tillåtet, samt konfigurera tillgängliga kontroller för att återspegla det beslutet.

• Förstå hur åtkomst ärvs. Åtkomst som beviljas en sida utökas som standard till de sidor som är kapslade i den, och åtkomst som beviljas via flera vägar löses upp till den högsta beviljade nivån.

• Granska åtkomst periodvis, inklusive arbetsytans medlemmar, gäster, behörighetsgrupper, kunddata som delas externt och kunddata som publiceras på webben.

• Ta bort åtkomst till kunddata när en samarbetspartners engagemang upphör, inklusive gäster och externa samarbetspartners vars åtkomst inte hanteras via organisationens identitetsleverantör.

• Säkerställa att kunddata som publiceras på webben är avsedd för en offentlig publik och konfigurera alternativ som sökmotorindexering därefter.

• Överföra kunddata som innehas privat av en användare innan användaren lämnar, eller inom det begränsade fönster under vilket överföring fortfarande är möjlig. Efter det fönstret är privat kunddata i allmänhet oåterkallelig, och överföringsverktyg är endast tillgängliga i Enterprise-abonnemanget.

Notion lagrar och behandlar kunddata för sina kunders räkning och skyddar den under överföring och vid lagring. Kunderna avgör vilken data som placeras i Notion, hur länge den sparas och vilka juridiska förpliktelser som är kopplade till den.

Notions ansvar

• Behandla kunddata i enlighet med huvudabonnemangsavtalet, tillägget för databehandling och tillämplig dataskyddslagstiftning.

• Kryptera kunddata vid lagring med AES-256 eller en branschstandardalgoritm som ger likvärdig eller starkare säkerhet, inklusive i molnlagring, databastabeller och säkerhetskopior, och kryptera data under överföring med TLS 1.2 eller senare.

• Upprätthåll och publicera en aktuell lista över underbiträden.

• Erbjud dataplacering för definierade kategorier av kunddata, vilket gör det möjligt för berättigade organisationer att välja den region där datan lagras.

• Avstå från att använda kunddata för att träna Notions maskininlärningsmodeller och förbjud avtalsenligt AI-underbiträden från att göra det utan uttryckligt samtycke från kunden.

• Tillhandahåll funktionalitet som gör det möjligt för kunder att exportera, behålla och radera sin kunddata, samt att radera kunddata vid avtalets slut i enlighet med avtalet.

• Ingå ett tillägg för databehandling, och ett Business Associate Agreement där så är tillämpligt, med kunder som kräver ett sådant.

Användaransvar

• Fastställa vilken data som är lämplig att lagra i Notion och säkerställa att reglerad data endast lagras där nödvändiga avtal och konfigurationer finns på plats.

• Etablera och tillämpa rutiner för lagring och radera kunddata som inte längre behövs.

• Konfigurera de inställningar för lagring och radering som finns tillgängliga i produkten för att återspegla intern policy.

• Skicka in fullständig och korrekt kontodata, och korrigera den omgående när fel identifieras.

• Uppfylla de förpliktelser som åligger personuppgiftsansvarig för de personuppgifter som finns i en arbetsyta, inklusive att tillhandahålla integritetsinformation till individer, fastställa en laglig grund för behandling och besvara förfrågningar från registrerade rörande kunddata.

• Avgöra om en specifik region för datalagring krävs, begära det vid behov, och förstå vilka kategorier av data och vilka Notion-produkter som faller utanför det omfånget.

• Granska Notions lista över underbiträden.

Notion driver den infrastruktur som håller tjänsten tillgänglig och underhåller säkerhetskopior av den infrastrukturen i syfte att återställa tjänsten. Kunder ansvarar för att återställa sin egen kunddata med hjälp av de verktyg Notion tillhandahåller, och för att inneha en oberoende kopia av den kunddatan där deras egna förpliktelser kräver en sådan.

Notions ansvar

• Driva Notion-tjänsten i enlighet med de tillgänglighetsåtaganden som anges i villkoren för servicenivå, med användning av redundant infrastruktur över flera tillgänglighetszoner.

• Publicera driftsstatus för tjänsten.

• Upprätthålla automatiserade, krypterade och övervakade säkerhetskopior av kunddata.

• Lagra säkerhetskopior i enlighet med Notions publicerade mappning för säkerhetskopieringsregion för den valda regionen för datalagring. Datalagring gäller endast för de definierade kategorierna av kunddata.

• Upprätthålla och periodvis testa planer för katastrofåterställning och kontinuitetshantering.

• Tillhandahålla återställningsverktyg i produkten, inklusive papperskorg och versionshistorik, som gör det möjligt för kunder att själva återställa kunddata.

• Tillhandahålla exportfunktionalitet som gör det möjligt för kunder att erhålla en kopia av sin kunddata.

Användaransvar

• Återställa enskilda sidor och kunddata med hjälp av papperskorgen och versionshistoriken, inom de lagringsperioder som gäller för användarens abonnemang.

• Konfigurera inställningar för lagring av kunddata, där sådana finns tillgängliga, för att återspegla intern policy.

• Upprätthålla en oberoende kopia av kunddata där intern policy, avtalsförpliktelser eller förordningar kräver lagring utöver vad produkten tillhandahåller, eller kräver en kopia som förvaras utanför Notion.

• Skapa exporter enligt ett schema som är lämpligt för dessa krav, och verifiera att exporter är kompletta. Kunddata som det exporterande kontot inte kan komma åt inkluderas inte i en export.

• Hämta exporter inom den period som nedladdningslänken förblir giltig.

• Planera för möjligheten av otillgänglighet i tjänsten som en del av användarens egna arrangemang för affärskontinuitet.

Vad Notions säkerhetskopior är och inte är

Notions säkerhetskopior finns till för att återställa Notion-tjänsten. De är inte en återställningspunkt för kunder och kan inte användas för att återställa en arbetsyta till dess tillstånd vid en viss tidpunkt. Återställning av enskild kunddata utförs av kunderna via papperskorgen och versionshistorik. När kunddata har passerat de tillämpliga perioderna för papperskorgen och lagring, rensas den och kan inte återställas. Kunderna bör inte förlita sig på support som en lagringsmekanism.

En export skapar en portabel kopia av kunddata i format som HTML, Markdown, CSV eller PDF, beroende på exporttyp och abonnemang. Det är inte en fullständig säkerhetskopia av arbetsytan: import av exporterad kunddata återskapar inte arbetsytans ursprungliga behörighet, inställningar eller fullständiga konfiguration, och kan kräva manuell omstrukturering.

Notion genererar register över relevant aktivitet inom en arbetsyta och gör dem tillgängliga för organisationen. Kunderna ansvarar för att granska dessa register, lagra dem där så krävs och agera utifrån vad de visar.

Notions ansvar

• Registrera säkerhetsrelaterade händelser som inträffar i en organisations arbetsytor, inklusive aktören, åtgärden, tidpunkten och, där tillgängligt, IP-adressen.

• Behåll granskningslogghistoriken i produkten under en definierad period, och tillhandahåll export- och strömningsmekanismer så att kunderna kan lagra den längre.

• Tillhandahåll ett sätt att strömma händelser till användarens egen säkerhetsövervakningsplattform i realtid, samt stöd för anslutningar till verktyg för att förhindra dataförlust.

• Övervaka Notions egen infrastruktur, nätverk och system för skadlig aktivitet, samt underhåll intern loggning för dessa system.

Användaransvar

• Granska aktiviteter i granskningsloggen samt undersök och agera vid oväntad eller obehörig aktivitet.

• Behåll loggdata under den period som krävs enligt kundens interna policy eller regelverk, genom att exportera eller strömma händelser innan de passerar lagringsfönstret.

• Konfigurera övervakning, aviseringar och eventuella säkerhets- eller efterlevnadsanslutningar i användarens egen miljö, och säkerställ att dessa anslutningar förblir operativa.

• Definiera vad som utgör misstänkt aktivitet i organisationen, och tilldela ansvar för granskning av den.

• Rapportera misstänkt aktivitet till Notion när den kan tyda på att tjänsten har komprometterats.

Vad granskningsloggen omfattar och inte omfattar

Granskningsloggen registrerar händelser. Loggposter och strömmade nyttolaster beskriver de åtgärder som vidtagits och av vem, men de innehåller inte kunddata från sidor.

Registreringen i granskningsloggen påbörjas när en organisation blir berättigad till funktionen. Aktivitet som ägt rum tidigare är inte tillgänglig i efterhand.

Notion utvecklar, driver och underhåller Notion-tjänsten och den infrastruktur den körs på, inklusive säkring och uppdatering av denna infrastruktur. Kunderna ansvarar för de miljöer från vilka de får åtkomst till Notion.

Notions ansvar

• Utveckla, testa, patcha och underhåll Notion-appen och den infrastruktur som stöder den. Uppdateringar av tjänsten tillämpas av Notion och kräver ingen åtgärd från kunderna.

• Genomför hotmodellering samt granskning av säker design för nya versioner, och utför kodrevisioner, kodgranskningar och säkerhetsskanning av kodbasen.

• Beställ årliga oberoende penetrationstester.

• Implementera och hantera nätverkssäkerhet över Notions system.

• Övervaka Notions infrastruktur, nätverk och tillgångar för skadlig aktivitet.

• Driv ett offentligt program för sårbarhetsrapportering och beställ oberoende penetrationstester.

• Säkra Notions egna företagssystem och anställdas enheter, inklusive kryptering vid lagring, slutpunktsdetektering och respons, samt centraliserad enhetshantering.

• Publicera Notion-klientapplikationer och leverera uppdateringar till dem.

Användaransvar

• Underhåll av slutpunktsmiljöer som stöds och är korrekt patchade, inklusive webbläsare och alla kontroller som kan förhindra Notion-klientuppdateringar.

• Säkring av de enheter och nätverk som används för att få åtkomst till Notion, i linje med användarens egna säkerhetsstandarder för slutpunkter.

• När Notion-klientens uppdateringar hanteras centralt, säkerställ att de tillämpas i tid. Att skjuta upp eller inaktivera automatiska uppdateringar överför ansvaret för att klienten uppdateras i tid till dig.

• Se till att installationskonfigurationer inte hindrar dig från att ta emot uppdateringar.

• Rapportera misstänkta sårbarheter i Notion-tjänsten till Notion istället för att utnyttja eller offentliggöra dem.

Var gränsen går

Notion patchar Notion-tjänsten. Du behöver inte applicera några patchar på Notion, och ingen åtgärd från din sida krävs för serveruppdateringar.

Klientapplikationer är annorlunda. Notion publicerar uppdateringar, men om en viss enhet tar emot dem beror på hur den enheten är konfigurerad och hanterad. Där en organisation hanterar installations- eller uppdateringsbeteende är det organisationens ansvar att hålla klienterna uppdaterade.

Notion tillhandahåller ett API, en integrationsplattform och AI-funktioner som kan agera på kunddata och nå anslutna system. Du ansvarar för att välja vilka av dessa som ska aktiveras, vilken åtkomst du ger dem och hur de styrs.

Notions ansvar

• Tillhandahåll och underhåll Notion API, integrationsplattform, anslutningar och AI-funktioner.

• Respektera användarbehörigheter i Notion AI, Notion-agent och AI-anslutningar. Skräddarsydda agenter använder sina egna uttryckligen beviljade behörigheter, vilka kan skilja sig från behörigheterna hos den person som interagerar med agenten.

• Tillhandahåll administrativa kontroller som styr vilka integrationer och externa AI-verktyg som får installeras, vilka agenter som får skapas och om AI-funktioner är aktiverade.

• Tillhandahåll kontroller för att aktivera eller inaktivera AI-webbsökning och kräva bekräftelse före externa webbförfrågningar.

• Upprätthåll försvar utformat för att upptäcka och minska risken för prompt-injektion, inklusive upptäckt av dolda instruktioner i tredjepartsinnehåll och uppladdade filer, begränsningar av länkhantering och ytterligare kontroller där agenter agerar autonomt.

• Avstå från att använda kunddata för att träna Notions modeller, och förbjud avtalsenligt AI-underbiträden från att göra det utan uttryckligt kundsamtycke.

• Logga aktivitet för integrationer, anslutningar, agenter och externa AI-verktyg i granskningslogg.

Användaransvar

• Besluta vilka integrationer, anslutningar, AI-funktioner och agenter som passar din organisation och konfigurera de tillgängliga kontrollerna därefter.

• Granska åtkomsten och de funktioner som begärs av en integration eller anslutning innan du godkänner den, och bekräfta att tredjepartstjänsten uppfyller dina leverantörskrav.

• Hantera interna integrationstoken, inklusive att begränsa deras distribution, rotera dem och återkalla de som inte längre behövs.

• Styra skapandet och konfigurationen av agenter, inklusive vilken kunddata och anslutna verktyg varje agent kan nå, och granska den åtkomsten regelbundet.

• Du måste säkerställa att agentbehörigheterna är korrekt begränsade.

• Avgör om datalagrande modeller ska aktiveras för de funktioner som kräver dem.

• Se till att kunddata som görs tillgänglig för Notion via anslutna system är lämplig för ändamålet och att den åtkomst som beviljas i det anslutna systemet är korrekt begränsad.

• Gör användarna medvetna om att kunddata från källor utanför arbetsytan, såsom webbsidor och uppladdade filer, kan påverka AI-beteendet.

Vad du som kund bör förstå om ansluten data

Åtkomst som beviljas via en anslutning är endast så begränsad som de behörigheter som beviljats i det anslutna systemet. Notion tillämpar de behörigheter som rapporteras av det anslutna systemet men åtgärdar inte alltför omfattande behörigheter i källsystemet.

Behörighetsändringar i anslutna system återspeglas i Notion efter ett synkroniseringsintervall snarare än omedelbart, och nyligen tillagd eller raderad kunddata kan ta tid att visas eller bli otillgänglig.

Notion ansvarar för säkerheten i Notion-tjänsten och för att meddela dig när en incident påverkar din kunddata. Du ansvarar för hur du hanterar incidenter som involverar dina konton, arbetsytor och kunddata, inklusive eventuella meddelanden du måste göra.

Notions ansvar

• Upprätthåll en dokumenterad incidenthanteringsplan och testa den regelbundet.

• Upptäck, prioritera, undersök, begränsa och åtgärda säkerhetsincidenter som påverkar Notions system och den kunddata Notion hanterar.

• Meddela de berörda kunderna om säkerhetsincidenter i enlighet med databehandlingsavtalet och gällande lag.

• Genomför en utvärdering efter incidenten, inklusive en rotorsaksanalys, och tillämpa resultaten på Notions kontroller och incidenthanteringsplan.

• Publicera tjänstens driftstatus och informera om tillgänglighetsincidenter.

• Driv ett program för sårbarhetsrapportering, och triagera och åtgärda rapporterade sårbarheter.

Användaransvar

• Rapportera misstänkta säkerhetsincidenter, komprometterade konton, misstänkta sårbarheter och missbruk av tjänsten till Notion omgående, via lämplig kanal.

• Upptäcka och reagera på incidenter som inträffar inom användarens egna arbetsytor och konton, inklusive komprometterade inloggningsuppgifter, olämplig delning och missbruk av interna användare.

• Upprätthålla användarens egna rutiner för incidenthantering, och definiera vem som ansvarar för att agera på aktivitet som identifierats i Notion.

• Vidta de begränsningsåtgärder som produkten erbjuder, till exempel att ta bort åtkomsten, återkalla sessioner, återställa inloggningsuppgifterna, återkalla integrationstokens och dra tillbaka publicerad kunddata.

• Bevara relevant bevisning, inklusive att exportera granskningsloggposter innan de passerar lagringsfönstret.

• Avgör om en incident utlöser en anmälningsskyldighet gentemot en tillsynsmyndighet, kund eller berörd individ, och gör anmälan.

• Se till att dina administrativa och säkerhetskontaktuppgifter är aktuella, så att meddelanden från Notion når rätt personer.

• Rapportera misstänkta sårbarheter till Notion istället för att utnyttja dem eller offentliggöra dem.

Vilken part upptäcker vad

Notion övervakar sin egen infrastruktur och kan upptäcka incidenter som påverkar tjänsten. Notion kan inte avgöra om en i övrigt giltig åtgärd i arbetsytan var auktoriserad enligt dina interna policyer. Du ansvarar för att övervaka aktiviteten i din arbetsyta och att reagera på missbruk.

Detta inkluderar incidenter som att en medlem publicerar konfidentiell kunddata, en avgående anställd exporterar data eller att en inloggningsuppgift missbrukas av sin legitima ägare. Att upptäcka och reagera på dessa händelser beror på din granskning av aktivitetsloggarna och de kontroller som finns tillgängliga för dig.

Notion upprätthåller ett program för informationssäkerhet och integritet som granskas oberoende, och gör den resulterande dokumentationen tillgänglig. Kunder avgör om Notion är lämpligt för deras egna regulatoriska skyldigheter och konfigurerar det därefter.

Notions ansvar

• Upprätthåll oberoende bedömda säkerhets- och integritetsprogram i enlighet med tillämpliga gransknings- och certifieringscykler.

• Gör efterlevnadsdokumentation, inklusive granskningsrapporter och certifieringar, tillgänglig för kunder och potentiella kunder via Notion Trust Center.

Användaransvar

• Avgöra om Notion är lämpligt för den data som användaren avser att lagra och de regulatoriska skyldigheter som gäller för dem.

• Ingå de avtal som krävs för den användningen, inklusive ett databehandlingsavtal eller ett Business Associate Agreement där så är tillämpligt.

• Tillämpa den konfiguration som krävs enligt dessa avtal, inklusive att aktivera eventuella efterlevnadsspecifika inställningar och de säkerhetsfunktioner som de är beroende av.

• Slutföra användarens egna bedömningar, inklusive riskbedömning av leverantörer och eventuell konsekvensbedömning avseende dataskydd som krävs enligt lag.

• Granska Notions certifieringar, granskningsrapporter och underbiträdeslista som en del av användarens egna försäkrings- och förändringshanteringsprocesser.

• Visa för användarens egna revisorer och tillsynsmyndigheter att användarens konfiguration och användning av Notion uppfyller de skyldigheter som gäller för dem.

Vad certifieringen omsluter

Notions oberoende tredjepartscertifieringar och granskningsrapporter täcker de kontroller som Notion driver. De omfattar inte hur en enskild organisation konfigurerar eller använder Notion.

En arbetsyta som hanterar reglerad data uppfyller inte automatiskt kraven bara för att Notion har en certifiering. När en skyldighet är beroende av korrekt konfiguration, exempelvis att begränsa delning, säkerställa Single sign-on, bevara granskningsloggar eller styra var data lagras, är det fortfarande användarens ansvar att uppfylla den.

Notion fastställer villkoren för hur tjänsten får användas och upprätthåller dem. Kunder ansvarar för sin egen användning av Notion och för den kunddata som finns i deras arbetsytor.

Notions ansvar

• Publicera och upprätthålla policyn för innehåll och användning, relevanta villkor och relaterade policyer.

• Tillhandahålla en mekanism för alla som visar en offentlig Notion-sida att rapportera kunddata som de anser vara otillåten.

• Utreda rapporter och ta bort kunddata eller begränsa åtkomst där en överträdelse har identifierats.

• Tillämpa ytterligare granskning på kategorier av användning som förknippas med högre frekvens av missbruk, och stänga av eller avbryta åtkomst vid behov för att skydda tjänstens tillgänglighet.

Användaransvar

• Använda Notion i enlighet med villkoren och policyn för innehåll och användning, samt säkerställa att personer som använder Notion under användarens abonnemang gör detsamma.

• Säkerställa att kunddata som lagras i, delas från eller publiceras via Notion följer dessa policyer och tillämplig lagstiftning.

• Moderera kunddata som bidragits av andra när användaren distribuerar användargenererad kunddata via Notion.

• Använda Notion inom dess avsedda kapacitet och inte försöka kringgå, inaktivera eller störa dess säkerhetskontroller.

• Genomföra säkerhetstester av Notion endast via Notions program för sårbarhetsinformation och inom ramen för dess villkor.

• Använda support- och rapporteringskanaler i god tro.