Modell for Delte sider ansvar

Denne modellen for delt ansvar sørger for at Notion og kundene jobber sammen for å skape en trygg og effektiv opplevelse av arbeidsområdet.

Se Notions MSA og DPA for definerte begreper.

Notion er ett sted der du kan tenke, skrive og planlegge. Her kan du samle alt og bygge verktøy som hjelper deg å gjøre ditt beste arbeid. Brukerne betror Notion både jobbrelatert og personlig informasjon. Gjennom Tilkoblinger og KI-funksjoner gir de også Notion tilgang til informasjon i andre systemer.

En modell for delt ansvar (SRM) er et rammeverk som skisserer ansvarsfordelingen mellom en tjenesteleverandør og brukerne. Den definerer tydelig hvilke sikkerhets- og driftsoppgaver som håndteres av hver part.

Dette dokumentet skisserer ansvaret som deles mellom Notion og kundene for å beskytte og opprettholde sikkerheten til Notions systemer, brukerkontoer og arbeidsområder.

Notions modell for delt ansvar (SRM) gir både Notion og kundene klarhet i hvilken part som er ansvarlig for bestemte prosesser, operasjoner eller kontroller. Dette gjør at Notion kan fokusere på og ta ansvar for områdene der vi best kan beskytte konfidensialiteten, integriteten og tilgjengeligheten til Notions systemer, samtidig som vi identifiserer hvor kundene er bedre rustet til å sikre sine egne kontoer, arbeidsområder og kundedata. Samlet sett forbedrer dette sikkerheten og effektiviteten i beskyttelsen av Notions systemer og kontoer.

SRM gjør det også tydeligere hvordan Notion leverer tjenestene sine. Det gir kundene informasjonen de trenger for å vurdere Notion i sine egne risiko- og kontrollprosesser, og hjelper både Notion og kundene med å oppfylle sine forpliktelser etter gjeldende lokale, regionale, nasjonale og internasjonale regler.

Kort sagt: Notion er ansvarlig for å bygge, drifte og beskytte arkitekturen til Notion-tjenesten. Kundene er ansvarlige for hvordan de konfigurerer og bruker tjenesten, inkludert å beskytte påloggingsinformasjonen sin, administrere hvem som har tilgang til arbeidsområdene og kundedataene deres, og overholde retningslinjene for innhold og bruk og andre relevante vilkår.

Noen ansvarsområder beskrevet i dette dokumentet kan kun utføres av kunder med utvidede tillatelser i et arbeidsområde eller en organisasjon. Det er brukerens ansvar å tildele disse tillatelsene på en hensiktsmessig måte.

Verktøyene som er tilgjengelige for å ivareta et gitt ansvar, varierer etter abonnement. Når en funksjon er begrenset til bestemte abonnementer, er kunder med abonnementer uten denne funksjonen fortsatt ansvarlige for å oppnå det underliggende resultatet og bør vurdere alternative kontrolltiltak.

Notion tilbyr autentiseringsmetoder og administrative kontroller som styrer hvordan folk logger på Notion, og hvordan tilgang til arbeidsområdet gis og fjernes. Kundene må velge og konfigurere kontroller som passer for organisasjonen, og beskytte påloggingsinformasjonen til kontoene sine.

Notions ansvar

• Tilby og drifte autentiseringsmetoder, inkludert e-post og passord, Google- og Apple-pålogging, samt felles pålogging med SAML 2.0 for arbeidsområder med Business- og Enterprise-abonnementer.

• Tilby tofaktorautentisering for kontoer med passordpålogging, ved hjelp av en autentiseringsapp eller en kode i en tekstmelding.

• Tilby SCIM-API-er som lar Enterprise-organisasjoner automatisere opprettelse, oppdatering og fjerning av brukere i Notion fra identitetsleverandøren sin.

• Tilby administrative kontroller for sesjonslengde, tvungen utlogging, tilbakestilling av passord, suspendering av kontoer og verifisering av domener.

• Kreve at eierskapet til et domene er verifisert før domenet kan brukes til å styre hvordan brukerne logger på Notion.

• Tilbakekalle en brukers tilgang til kundedata når brukeren fjernes fra arbeidsområdet. Tilby kontroller som lar en organisasjon avslutte sesjoner og tilbakestille påloggingsinformasjon på tvers av den administrerte brukerbasen.

• Opprettholde tilgangskontroller basert på prinsippet om minste privilegium i hele Notions infrastruktur, og kreve at Notions ansatte og innleide er underlagt taushetsplikt.

• Bare få tilgang til kundedata for å gi kundestøtte når en bruker eller eieren av et arbeidsområde har samtykket, og la samtykket utløpe automatisk etter en fastsatt periode.

Brukerens ansvar

• Beskytte påloggingsinformasjon, bruke sterke og unike passord, og unngå gjenbruk på tvers av andre tjenester.

• Opprettholde individuelle kontoer i stedet for delte kontoer, og ikke dele påloggingsinformasjon.

• Bruke tofaktorautentisering på kontoer med passordpålogging.

• Oppdatere påloggingsinformasjon i tråd med interne retningslinjer, og straks dersom det oppdages at påloggingsinformasjon er kompromittert hos en ekstern tjeneste.

• Velge og konfigurere autentiseringsmetoder som passer for organisasjonen, inkludert om felles pålogging skal være påkrevd.

• Sikre at tilgang til arbeidsområdet er begrenset til de tiltenkte brukerne, og at tilgangen fjernes raskt når noen slutter eller bytter rolle. Automatisk fjerning av tilganger krever SCIM; der dette ikke er i bruk, må tilgangen fjernes manuelt.

• Angi sesjonslengde i tråd med interne retningslinjer, og ha en prosedyre for å gjenopprette tilgangen dersom organisasjonen mister tilgangen til identitetsleverandøren.

• Kontrollere om Notions kundestøtte kan få tilgang til en konto eller et arbeidsområde, og tilbakekalle denne tilgangen når den ikke lenger er nødvendig.

Notion tilbyr en tilgangsmodell som bestemmer hva en autentisert bruker kan se og gjøre, samt administrative kontroller som setter grenser for deling. Kundene bestemmer hvordan modellen skal brukes på kundedataene, og må gå gjennom hvem som får tilgang.

Notions ansvar

• Tilby en tilgangsmodell for arbeidsområder, teamområder, sider og databaser, inkludert tilgangsgrupper, og håndheve den konsekvent i hele produktet.

• Tilby ulike typer tilgang for medlemmer og gjester, slik at eksterne samarbeidspartnere kan få tilgang til bestemte kundedata i stedet for et helt arbeidsområde.

• Tilby administrative kontroller som lar en organisasjon begrense offentlig deling av sider, gjestetilgang, eksport, samt flytting eller duplisering av sider til andre arbeidsområder.

• Tilby kontroller som styrer hvem som kan publisere kundedata på nettet, blant annet via Notion Sites, skjemaer og offentlige lenker.

• Tilby verktøy som lar en organisasjon se hvem som har tilgang til en side, hvilke sider som deles eksternt eller publiseres på nettet, og endre hvem som har tilgang.

• Respektere tilgangene som er angitt for arbeidsområdet, når KI- og søkefunksjoner tilbys.

Brukeransvar

• Avgjøre hvilket tilgangsnivå som passer for kundedata, og gi tilgang deretter.

• Avgjøre om eksternt samarbeid og offentlig publisering er tillatt, og konfigurere tilgjengelige kontroller for å gjenspeile denne beslutningen.

• Forstå hvordan tilgang arves. Tilgang til en side gjelder som standard også for undersidene, og hvis tilgang gis på flere måter, gjelder det høyeste tilgangsnivået som er gitt.

• Gå gjennom tilganger jevnlig, inkludert medlemmer av arbeidsområdet, gjester, tilgangsgrupper, kundedata som deles eksternt, og kundedata som er publisert på nettet.

• Fjerne tilgangen til kundedata når samarbeidet med noen avsluttes. Dette gjelder også gjester og eksterne samarbeidspartnere som ikke får tilgangen sin administrert gjennom organisasjonens identitetsleverandør.

• Sikre at kundedata publisert på nettet er ment for et offentlig publikum, og konfigurere alternativer som søkemotorindeksering deretter.

• Overføre kundedata som en bruker har lagret privat, før brukeren slutter eller innen den korte perioden der overføring fortsatt er mulig. Etter denne perioden kan private kundedata vanligvis ikke gjenopprettes. Overføringsverktøy er bare tilgjengelige med Enterprise-abonnement.

Notion lagrer og behandler kundedata på vegne av sine kunder og beskytter dem under overføring og ved lagring. Kundene bestemmer hvilke data som legges inn i Notion, hvor lenge de oppbevares, og hvilke juridiske forpliktelser som knytter seg til dem.

Notions ansvar

• Behandle kundedata i samsvar med hovedabonnementavtalen, databehandleravtalen og gjeldende personvernlovgivning.

• Kryptere kundedata ved lagring med AES-256 eller en bransjestandardalgoritme som gir tilsvarende eller bedre sikkerhet. Dette gjelder også skylagring, databasetabeller og sikkerhetskopier. Kryptere data under overføring med TLS 1.2 eller nyere.

• Holde en oppdatert liste over underdatabehandlere og publisere den.

• Tilby valg av lagringsregion for definerte kategorier av kundedata, slik at kvalifiserte organisasjoner kan velge regionen der disse dataene lagres.

• Ikke bruke kundedata til å trene Notions maskinlæringsmodeller, og forby underdatabehandlere som leverer KI-tjenester å gjøre dette uten uttrykkelig samtykke fra kunden. Forbudet skal være nedfelt i avtaler.

• Tilby funksjonalitet som lar kunder eksportere, beholde og slette sine kundedata, og slette kundedata ved kontraktsperiodens slutt i samsvar med avtalen.

• Inngå en databehandleravtale og, der det er aktuelt, en Business Associate-avtale med kunder som trenger slike avtaler.

Brukeransvar

• Fastslå hvilke data som bør lagres i Notion, og sørge for at regulerte data bare lagres der nødvendige avtaler og innstillinger er på plass.

• Etablere og følge rutiner for oppbevaring og slette kundedata som ikke lenger trengs.

• Konfigurere produktets innstillinger for oppbevaring og sletting i tråd med interne retningslinjer.

• Sende inn fullstendige og korrekte kontodata og rette opp feil så snart de oppdages.

• Oppfylle forpliktelsene som behandlingsansvarlig for personopplysninger i et arbeidsområde. Dette omfatter å informere de registrerte om personvern, ha et lovlig behandlingsgrunnlag og svare på forespørsler fra registrerte om kundedata.

• Avgjøre om en bestemt lagringsregion er påkrevd, be om en slik region ved behov, og forstå hvilke datakategorier og Notion-produkter som faller utenfor ordningen.

• Gå gjennom Notions liste over underdatabehandlere.

Notion driver infrastrukturen som holder tjenesten tilgjengelig, og tar sikkerhetskopier av infrastrukturen for å kunne gjenopprette tjenesten. Kundene har ansvar for å gjenopprette kundedataene sine med verktøyene fra Notion og for å oppbevare en separat kopi når egne forpliktelser krever det.

Notions ansvar

• Drifte Notion-tjenesten med redundant infrastruktur i flere tilgjengelighetssoner, i tråd med tilgjengelighetsforpliktelsene i tjenestenivåvilkårene.

• Publisere tjenestens driftsstatus.

• Opprettholde automatiserte, krypterte og overvåkede sikkerhetskopier av kundedata.

• Lagre sikkerhetskopier i samsvar med Notions publiserte oversikt over sikkerhetskopieringsregioner for den valgte datalagringsregionen. Kravene til datalagringsregion gjelder bare de definerte kategoriene av kundedata.

• Vedlikeholde og regelmessig teste planer for gjenoppretting etter katastrofer og videre drift.

• Tilby verktøy for gjenoppretting i produktet, blant annet Søppel og Versjonshistorikk, slik at kundene selv kan gjenopprette kundedata.

• Tilby eksportfunksjonalitet som lar kunder hente en kopi av sine kundedata.

Brukeransvar

• Gjenopprette enkeltsider og kundedata med Søppel og Versjonshistorikk innenfor oppbevaringsperiodene som gjelder for brukerens abonnement.

• Konfigurere innstillingene for oppbevaring av kundedata i tråd med interne retningslinjer, der slike innstillinger finnes.

• Opprettholde en uavhengig kopi av kundedata der interne retningslinjer, kontraktsmessige forpliktelser eller forskrifter krever oppbevaring utover det produktet tilbyr, eller krever en kopi lagret utenfor Notion.

• Eksportere kundedata etter en tidsplan som oppfyller kravene, og kontrollere at eksportene er fullstendige. Kundedata som kontoen som eksporterer, ikke har tilgang til, blir ikke med i eksporten.

• Hente eksporter mens nedlastingslenken fortsatt er gyldig.

• Ta høyde for at tjenesten kan bli utilgjengelig i egne planer for videre drift.

Hva Notions sikkerhetskopier er og ikke er

Notions sikkerhetskopier brukes til å gjenopprette Notion-tjenesten. De er ikke gjenopprettingspunkter for kundene og kan ikke brukes til å tilbakestille et arbeidsområde til et bestemt tidspunkt. Kundene gjenoppretter selv kundedata med Søppel og Versjonshistorikk. Når fristene for Søppel og oppbevaring er utløpt, slettes kundedataene permanent og kan ikke gjenopprettes. Kundene bør ikke bruke kundestøtte som en løsning for oppbevaring.

En eksport gir en kopi av kundedata i formater som HTML, Markdown, CSV eller PDF, avhengig av eksporttype og abonnement. Det er ikke en fullstendig sikkerhetskopi av arbeidsområdet: Hvis du importerer eksporterte kundedata, blir ikke de opprinnelige tilgangene, innstillingene eller hele oppsettet gjenopprettet. Du må kanskje organisere dataene på nytt manuelt.

Notion registrerer relevant aktivitet i et arbeidsområde og gjør opplysningene tilgjengelige for organisasjonen. Kundene har ansvar for å gå gjennom opplysningene, oppbevare dem når det er påkrevd, og følge opp det de viser.

Notions ansvar

• Registrere sikkerhets- og trygghetsrelaterte hendelser som skjer på tvers av en organisasjons arbeidsområder, inkludert aktøren, handlingen, tidspunktet og, der det er tilgjengelig, IP-adressen.

• Lagre revisjonsloggen i produktet i en bestemt periode og gi kundene mulighet til å eksportere eller strømme den, slik at de kan oppbevare den lenger.

• Tilby en måte å strømme hendelser til en brukers egen sikkerhetsovervåkingsplattform i sanntid, og støtte tilkoblinger til verktøy for forebygging av datatap.

• Overvåke Notions egen infrastruktur, nettverk og systemer for ondsinnet aktivitet, og vedlikeholde intern logging for disse systemene.

Brukeransvar

• Gå gjennom aktiviteten i revisjonsloggen og undersøke og følge opp aktivitet som virker uventet eller uautorisert.

• Oppbevare loggdata så lenge interne retningslinjer eller regelverk krever det, ved å eksportere eller strømme hendelser før oppbevaringsperioden utløper.

• Konfigurere overvåking, varsling og eventuelle tilkoblinger for sikkerhet og etterlevelse i brukerens eget miljø, og sørge for at integrasjonene fortsetter å fungere.

• Definere hva som regnes som mistenkelig aktivitet i organisasjonen, og avklare hvem som har ansvar for å gå gjennom slik aktivitet.

• Rapportere mistenkelig aktivitet til Notion når den kan tyde på at tjenesten er kompromittert.

Hva revisjonsloggen dekker og ikke dekker

Revisjonsloggen registrerer hendelser. Loggoppføringer og data som strømmes, beskriver hvilke handlinger som er utført, og hvem som utførte dem. De inneholder ikke kundedata fra sidene.

Revisjonsloggen begynner å registrere hendelser når funksjonen blir tilgjengelig for en organisasjon. Tidligere aktivitet blir ikke tilgjengelig i ettertid.

Notion utvikler, drifter og vedlikeholder Notion-tjenesten og infrastrukturen den kjører på, inkludert sikring og installasjon av sikkerhetsrettinger på denne infrastrukturen. Kunder er ansvarlige for miljøene de får tilgang til Notion fra.

Notions ansvar

• Utvikle, teste, sikkerhetsoppdatere og vedlikeholde Notion-applikasjonen og infrastrukturen den kjører på. Notion oppdaterer tjenesten uten at kundene trenger å gjøre noe.

• Gjennomføre trusselmodellering og sikkerhetsgjennomganger av designet for nye versjoner, og utføre koderevisjoner, kodegjennomganger og sikkerhetsskanning av kodebasen.

• Bestille årlig penetrasjonstesting utført av en uavhengig part.

• Implementere og administrere nettverkssikkerhet i Notions systemer.

• Overvåke Notions infrastruktur, nettverk og ressurser for ondsinnet aktivitet.

• Drive et offentlig program for rapportering av sårbarheter og bestille uavhengig penetrasjonstesting.

• Sikre Notions egne bedriftssystemer og ansattes enheter med blant annet kryptering av lagrede data, oppdagelse og håndtering av trusler på enhetene og sentralisert enhetsadministrasjon.

• Publisere Notion-klientapplikasjoner og levere oppdateringer til dem.

Brukeransvar

• Vedlikeholde endepunktmiljøer som fortsatt støttes og har fått nødvendige sikkerhetsrettinger, inkludert nettlesere, samt håndtere eventuelle kontroller som kan hindre oppdateringer av Notion-klienten.

• Sikre enhetene og nettverkene som brukes for å få tilgang til Notion, i tråd med brukerens egne sikkerhetsstandarder for endepunkter.

• Sørge for at oppdateringer av Notion-klienten fortsatt installeres i tide når de administreres sentralt. Hvis automatiske oppdateringer utsettes eller deaktiveres, får brukeren ansvaret for at klienten mottar sikkerhetsrettinger i tide.

• Sikre at installasjonskonfigurasjoner ikke hindrer brukere i å motta oppdateringer.

• Rapportere mistenkte sårbarheter i Notion-tjenesten til Notion i stedet for å utnytte eller offentliggjøre dem.

Hvor grensen går

Notion installerer sikkerhetsrettinger i Notion-tjenesten. Kunder installerer ikke sikkerhetsrettinger i Notion, og det kreves ingen handling fra kundene ved oppdateringer på serversiden.

Klientapplikasjoner er annerledes. Notion publiserer oppdateringer, men om en bestemt enhet mottar dem, avhenger av hvordan enheten er konfigurert og administrert. Når en organisasjon styrer installasjon eller oppdateringer, er det organisasjonens ansvar å holde klientene oppdatert.

Notion tilbyr et API, en integrasjonsplattform og KI-funksjoner som kan utføre handlinger med kundedata og få tilgang til tilkoblede systemer. Kunder er ansvarlige for å bestemme hvilke av disse som skal aktiveres, hvilken tilgang de skal få, og hvordan de skal styres.

Notions ansvar

• Tilby og vedlikeholde Notions API, integrasjonsplattform, tilkoblinger og KI-funksjoner.

• Respektere brukertilgang i Notion KI, Notion-agenten og KI-tilkoblinger. Skreddersydde agenter bruker sin egen eksplisitt tildelte tilgang, som kan avvike fra tilgangen til personen som samhandler med agenten.

• Tilby administrative kontroller som styrer hvilke integrasjoner og eksterne KI-verktøy som kan installeres, hvilke agenter som kan opprettes, og om KI-funksjoner er aktivert.

• Tilby kontroller for å aktivere eller deaktivere KI-nettsøk og kreve bekreftelse før eksterne nettforespørsler.

• Opprettholde tiltak som er utformet for å oppdage og redusere risikoen for promptinjeksjon, inkludert å oppdage skjulte instruksjoner i innhold fra tredjeparter og opplastede filer, begrense håndtering av lenker og utføre ytterligere kontroller når agenter handler selvstendig.

• Avstå fra å bruke kundedata til å trene Notions modeller, og gjennom kontrakt forby KI-underdatabehandlere å gjøre det uten uttrykkelig samtykke fra kunden.

• Loggføre aktivitet for integrasjoner, tilkoblinger, agenter og eksterne KI-verktøy i revisjonsloggen.

Brukeransvar

• Avgjøre hvilke integrasjoner, tilkoblinger, KI-funksjoner og agenter som passer for organisasjonen, og konfigurere de tilgjengelige kontrollene deretter.

• Gå gjennom tilgangen og funksjonene som en integrasjon eller tilkobling ber om, før den godkjennes, og bekrefte at tredjepartstjenesten oppfyller brukerens egne leverandørkrav.

• Administrere interne integrasjonstokener, inkludert å begrense distribusjonen av dem, rotere dem og tilbakekalle dem som ikke lenger er nødvendige.

• Styre opprettelsen og konfigurasjonen av agenter, inkludert hvilke kundedata og tilkoblede verktøy hver agent har tilgang til, og gå gjennom denne tilgangen regelmessig.

• Kunder må sørge for at agentenes tilgang er avgrenset på en hensiktsmessig måte.

• Avgjøre om datalagrende modeller kan aktiveres for funksjoner som krever dem.

• Sikre at kundedata som gjøres tilgjengelige for Notion gjennom tilkoblede systemer, er egnet for det formålet, og at tilgangen som er gitt i det tilkoblede systemet, i seg selv er korrekt avgrenset.

• Gjøre brukere oppmerksomme på at kundedata fra kilder utenfor arbeidsområdet, som nettsider og opplastede filer, kan forsøke å påvirke hvordan KI oppfører seg.

Forstå data fra tilkoblede systemer

Tilgangen gjennom en tilkobling er ikke mer begrenset enn tilgangen som er gitt i det tilkoblede systemet. Notion håndhever tilgangen som det tilkoblede systemet oppgir, men begrenser ikke for vid tilgang i kildesystemet.

Endringer i tillatelser i tilkoblede systemer gjenspeiles i Notion etter et synkroniseringsintervall, ikke umiddelbart, og det kan ta tid før nylig tilføyde eller slettede kundedata vises eller blir utilgjengelige.

Notion er ansvarlig for sikkerheten til Notion-tjenesten og for å varsle kunder der en hendelse påvirker deres kundedata. Kunder er ansvarlige for hvordan de håndterer hendelser som involverer deres egne kontoer, arbeidsområder og kundedata, inkludert eventuelle varsler de er pålagt å sende.

Notions ansvar

• Opprettholde en dokumentert plan for hendelseshåndtering og teste den periodisk.

• Oppdage, prioritere, undersøke, begrense og utbedre sikkerhetshendelser som påvirker Notions systemer og kundedataene Notion oppbevarer.

• Varsle berørte kunder om sikkerhetshendelser i samsvar med databehandleravtalen og gjeldende lovverk.

• Gå gjennom hendelsen i etterkant, inkludert årsaksanalysen, og bruke funnene til å forbedre Notions kontrolltiltak og plan for hendelseshåndtering.

• Publisere tjenestens driftsstatus og varsle om hendelser som påvirker tilgjengeligheten.

• Drive et program for rapportering av sårbarheter, og vurdere og utbedre rapporterte sårbarheter.

Brukeransvar

• Rapportere mistenkte sikkerhetshendelser, kompromitterte kontoer, mistenkte sårbarheter og misbruk av tjenesten til Notion så snart som mulig gjennom riktig kanal.

• Oppdage og håndtere hendelser i brukerens egne arbeidsområder og kontoer, blant annet kompromitterte påloggingsopplysninger, urettmessig deling og misbruk fra interne brukere.

• Vedlikeholde brukerens egne rutiner for hendelseshåndtering og fastsette hvem som har ansvar for å reagere på aktivitet som oppdages i Notion.

• Iverksette tiltak for å begrense hendelser i produktet, blant annet fjerne tilgang, tilbakekalle økter, tilbakestille påloggingsopplysninger, tilbakekalle integrasjonstokener og trekke tilbake publiserte kundedata.

• Bevare relevante bevis, blant annet ved å eksportere oppføringer fra revisjonsloggen før oppbevaringstiden utløper.

• Avgjøre om en hendelse utløser en plikt til å varsle en tilsynsmyndighet, kunde eller berørt person, og sende varselet.

• Holde administrative og sikkerhetsrelaterte kontaktopplysninger oppdatert, slik at varsler fra Notion når de rette personene.

• Rapportere mistenkte sårbarheter til Notion i stedet for å utnytte eller offentliggjøre dem.

Hvilken part oppdager hva

Notion overvåker sin egen infrastruktur og kan oppdage hendelser som påvirker tjenesten. Notion kan ikke avgjøre om en handling i et arbeidsområde som ellers er gyldig, var godkjent i henhold til brukerens interne retningslinjer. Kunder er ansvarlige for å overvåke aktivitet i arbeidsområdene og reagere på misbruk.

Dette inkluderer hendelser som at et medlem publiserer konfidensielle kundedata, at en ansatt som slutter, eksporterer data, eller at påloggingsopplysninger misbrukes av den rettmessige innehaveren. For å oppdage og håndtere slike hendelser må brukeren gå gjennom tilgjengelige aktivitetsoppføringer og kontrolltiltak.

Notion opprettholder et program for informasjonssikkerhet og personvern som gjennomgår uavhengig revisjon, og gjør dokumentasjonen fra revisjonen tilgjengelig. Kunder avgjør om Notion er egnet med tanke på deres egne regulatoriske forpliktelser, og konfigurerer tjenesten deretter.

Notions ansvar

• Oppretthold sikkerhets- og personvernprogrammer som vurderes av uavhengige parter, i tråd med gjeldende revisjons- og sertifiseringssykluser.

• Gjør samsvarsdokumentasjon, inkludert revisjonsrapporter og sertifiseringer, tilgjengelig for kunder og potensielle kunder via Notion Trust Center.

Brukeransvar

• Vurdere om Notion egner seg for dataene brukeren vil lagre, og for kravene brukeren må oppfylle.

• Inngå avtalene som kreves for slik bruk, inkludert en databehandleravtale eller en Business Associate-avtale der det er aktuelt.

• Gjøre innstillingene som avtalene krever, inkludert å aktivere eventuelle innstillinger for etterlevelse og sikkerhetsfunksjonene de er avhengige av.

• Fullføre brukerens egne vurderinger, inkludert risikovurdering av leverandører og eventuelle vurderinger av personvernkonsekvenser som loven krever.

• Gå gjennom Notions sertifiseringer, revisjonsrapporter og liste over underdatabehandlere som en del av brukerens egne prosesser for å kontrollere etterlevelse og håndtere endringer.

• Dokumentere overfor brukerens egne revisorer og tilsynsmyndigheter at brukerens oppsett og bruk av Notion oppfyller gjeldende krav.

Hva sertifiseringen dekker

Notions uavhengige tredjepartssertifiseringer og revisjonsrapporter dekker kontrolltiltakene Notion har på plass. De dekker ikke hvordan den enkelte organisasjon konfigurerer eller bruker Notion.

Et arbeidsområde som inneholder regulerte data, oppfyller ikke automatisk gjeldende krav fordi Notion er sertifisert. Når et krav avhenger av hvordan arbeidsområdet er satt opp, for eksempel begrensning av deling, krav om enkel pålogging, oppbevaring av revisjonslogger eller begrensning av hvor data lagres, er det fortsatt brukerens ansvar å oppfylle kravet.

Notion fastsetter vilkårene for hvordan tjenesten kan brukes og håndhever dem. Kunder er ansvarlige for sin egen bruk av Notion og for kundedataene som er lagret i arbeidsområdene deres.

Notions ansvar

• Publisere og vedlikeholde retningslinjene for innhold og bruk, relevante vilkår og tilhørende retningslinjer.

• Gi alle som ser en offentlig Notion-side, mulighet til å rapportere kundedata de mener er forbudt.

• Undersøke rapporter og fjerne kundedata eller begrense tilgangen der det er avdekket et brudd.

• Føre ekstra kontroll med brukskategorier der misbruk forekommer oftere, og stanse tilgangen midlertidig eller avslutte den når det er nødvendig for å sikre at tjenesten er tilgjengelig.

Brukeransvar

• Bruke Notion i samsvar med vilkårene og retningslinjene for innhold og bruk, og sørge for at andre som bruker Notion gjennom brukerens abonnement, gjør det samme.

• Sikre at kundedata som lagres i, deles fra eller publiseres gjennom Notion, er i samsvar med disse retningslinjene og gjeldende lovverk.

• Moderere kundedata som andre har bidratt med, når brukeren distribuerer brukergenererte kundedata gjennom Notion.

• Bruke Notion innenfor rammene av det tjenesten er beregnet for og ikke forsøke å omgå, deaktivere eller forstyrre sikkerhetskontrollene.

• Gjennomføre sikkerhetstesting av Notion kun gjennom Notions program for rapportering av sårbarheter og i samsvar med vilkårene for programmet.

• Bruke kanaler for kundestøtte og rapportering i god tro.