Modelo de responsabilidades compartilhadas

Este Modelo de Responsabilidades Compartilhadas garante que o Notion e seus clientes trabalhem juntos para criar uma experiência de espaço de trabalho segura e eficaz.

Consulte o MSA e o DPA do Notion para obter os termos definidos.

O Notion é um espaço único onde você pode pensar, escrever e planejar. Por ser um espaço completo que permite aos usuários criar as suas próprias ferramentas para fazer o seu melhor trabalho, os usuários confiam ao Notion informações profissionais e pessoais e, por meio de Conexões e recursos de IA, o acesso a informações mantidas em outros sistemas.

Um Modelo de Responsabilidades Compartilhadas (SRM) é uma estrutura que descreve a divisão de responsabilidades entre um provedor de serviços e seus usuários. Ele define claramente quais tarefas de segurança e operação cabem a cada parte.

Este documento descreve as responsabilidades compartilhadas entre o Notion e seus clientes na proteção e manutenção da segurança dos sistemas, contas de usuário e espaços de trabalho do Notion.

O SRM do Notion esclarece quais processos, operações e controles cabem ao Notion e quais cabem aos clientes. Assim, o Notion pode se concentrar nas áreas em que tem melhores condições de proteger a confidencialidade, a integridade e a disponibilidade de seus sistemas, enquanto os clientes protegem suas próprias contas, espaços de trabalho e Dados do Cliente. Essa divisão aumenta a segurança e a eficiência na proteção dos sistemas e contas do Notion.

O SRM também promove a transparência na forma como os serviços do Notion são prestados, fornecendo aos clientes as informações de que precisam para avaliar o Notion em seus próprios processos de avaliação de riscos e de garantia, e apoiando tanto o Notion quanto seus clientes no cumprimento de suas respectivas obrigações nos termos das regulamentações locais, regionais, nacionais e internacionais aplicáveis.

Em resumo: o Notion é responsável por construir, operar e proteger a arquitetura do serviço Notion. Os clientes são responsáveis pela forma como configuram e usam esse serviço, inclusive por proteger suas credenciais, gerenciar quem tem acesso aos seus espaços de trabalho e Dados do Cliente e cumprir a Política de Conteúdo e Uso e outros Termos relevantes.

Algumas responsabilidades descritas neste documento só podem ser realizadas por clientes com permissões elevadas em um espaço de trabalho ou organização. É responsabilidade do usuário atribuir essas permissões adequadamente.

As ferramentas disponíveis para cumprir cada responsabilidade variam de acordo com o plano. Quando um recurso está disponível apenas em determinados planos de assinatura, os clientes de outros planos continuam responsáveis por cumprir essa responsabilidade e devem considerar controles alternativos.

O Notion fornece os métodos de autenticação e controles administrativos que governam como as pessoas fazem login no Notion e como o acesso ao espaço de trabalho é concedido e removido. Os clientes são responsáveis por selecionar e configurar os controles apropriados para sua organização e por proteger as credenciais usadas para acessar suas contas.

Responsabilidades do Notion

• Fornecer e operar métodos de autenticação, incluindo e-mail e senha, login com Google e Apple e login único SAML 2.0 para espaços de trabalho nos planos Business e Enterprise.

• Fornecer autenticação de dois fatores para contas que fazem login com senha, usando um aplicativo autenticador ou um código por mensagem de texto.

• Fornecer APIs SCIM que permitam às organizações do plano Enterprise automatizar a criação, atualização e remoção de usuários por meio de seu provedor de identidade.

• Fornecer controles administrativos que regulem a duração da sessão, o logout forçado, a redefinição de senha, a suspensão de conta e a verificação de domínio.

• Exigir comprovação da posse do domínio antes que ele possa ser usado para controlar como seus usuários fazem login no Notion.

• Revogar o acesso de um usuário aos Dados do Cliente quando esse usuário for removido do espaço de trabalho. Fornecer controles que permitam a uma organização encerrar sessões e redefinir credenciais para todos os seus usuários gerenciados.

• Manter controles de acesso de privilégio mínimo em toda a infraestrutura do Notion e exigir que funcionários e contratados do Notion estejam vinculados a obrigações de confidencialidade.

• Acessar Dados do Cliente para fins de suporte apenas quando um usuário ou proprietário do espaço de trabalho tiver concedido consentimento e fazer com que esse consentimento expire automaticamente após um período definido.

Responsabilidades do usuário

• Proteger credenciais de login, usar senhas fortes e exclusivas e evitar a reutilização em outros serviços.

• Manter contas individuais em vez de contas compartilhadas e não compartilhar informações de login.

• Usar autenticação de dois fatores em contas que fazem login com senha.

• Atualizar credenciais de acordo com a política interna e prontamente quando uma violação de credenciais externa for identificada.

• Selecionar e configurar os métodos de autenticação apropriados para a organização, incluindo a decisão de exigir login único.

• Garantir que o acesso ao espaço de trabalho seja limitado aos usuários previstos e que seja removido prontamente quando alguém sair ou mudar de função. O desprovisionamento automático requer SCIM; quando ele não é usado, a remoção é um processo manual.

• Definir a duração da sessão de acordo com a política interna e manter um procedimento de recuperação para perda de acesso ao provedor de identidade.

• Controlar se o suporte do Notion pode acessar uma conta ou espaço de trabalho e revogar esse acesso quando ele não for mais necessário.

O Notion fornece o modelo de permissões que determina o que um usuário autenticado pode ver e fazer, juntamente com controles administrativos que definem os limites para compartilhamento. Os clientes são responsáveis por decidir como esse modelo é aplicado aos seus Dados do Cliente e por revisar o acesso resultante.

Responsabilidades do Notion

• Fornecer um modelo de permissões que opere nos níveis de espaço de trabalho, espaço de equipe, página e base de dados, incluindo grupos de permissões, e aplicá-lo de forma consistente em todo o produto.

• Fornecer acesso distinto para membros e convidados, para que colaboradores externos possam receber acesso a Dados do Cliente específicos em vez de a um espaço de trabalho inteiro.

• Fornecer controles administrativos que permitam a uma organização restringir o compartilhamento público de páginas, o acesso de convidados, a exportação e a movimentação ou duplicação de páginas para outros espaços de trabalho.

• Fornecer controles que regulem quem pode publicar Dados do Cliente na web, incluindo Notion Sites, formulários e links públicos.

• Fornecer ferramentas de visibilidade que permitam a uma organização identificar quem tem acesso a uma página, quais páginas são compartilhadas externamente ou publicadas na web e alterar essas permissões.

• Respeitar as permissões configuradas do espaço de trabalho ao fornecer recursos de IA e busca.

Responsabilidades do usuário

• Determinar o nível apropriado de acesso aos Dados do Cliente e aplicar as permissões de acordo.

• Decidir se a colaboração externa e a publicação pública são permitidas e configurar os controles disponíveis para refletir essa decisão.

• Entender como o acesso é herdado. O acesso concedido a uma página se estende, por padrão, às páginas aninhadas nela, e, quando concedido por diferentes vias, prevalece o nível mais alto de acesso.

• Revisar o acesso periodicamente, incluindo membros do espaço de trabalho, convidados, grupos de permissão, Dados do Cliente compartilhados externamente e Dados do Cliente publicados na web.

• Remover o acesso aos Dados do Cliente quando o envolvimento de um colaborador terminar, incluindo convidados e colaboradores externos cujo acesso não seja gerenciado por meio do provedor de identidade da organização.

• Garantir que os Dados do Cliente publicados na web sejam destinados ao público e configurar opções como a indexação por mecanismos de busca de acordo.

• Transferir Dados do Cliente mantidos em caráter privado por um usuário antes que esse usuário saia, ou dentro do prazo limitado durante o qual a transferência ainda é possível. Após esse prazo, os Dados do Cliente privados geralmente são irrecuperáveis, e as ferramentas de transferência estão disponíveis apenas no Plano Enterprise.

O Notion armazena e processa Dados do Cliente em nome de seus clientes e os protege em trânsito e em repouso. Os clientes determinam quais dados são armazenados no Notion, por quanto tempo são mantidos e quais obrigações legais se aplicam a eles.

Responsabilidades do Notion

• Processar os Dados do Cliente de acordo com o Acordo de assinatura Master, o Adendo de Processamento de Dados e a legislação aplicável de proteção de dados.

• Criptografar os Dados do Cliente em repouso usando AES-256 ou um algoritmo padrão do setor que ofereça segurança equivalente ou superior, inclusive em armazenamento em nuvem, tabelas de bases de dados e backups, e criptografar os dados em trânsito usando TLS 1.2 ou superior.

• Manter e publicar uma lista atualizada de subprocessadores.

• Oferecer residência de dados para categorias definidas de Dados do Cliente, permitindo que organizações elegíveis selecionem a região em que esses dados são armazenados em repouso.

• Não usar Dados do Cliente para treinar os modelos de aprendizado de máquina do Notion e proibir contratualmente que subprocessadores de IA façam isso sem o consentimento explícito do cliente.

• Oferecer recursos para que os clientes possam exportar, reter e excluir seus Dados do Cliente, e excluir esses dados ao término do contrato, conforme o acordo.

• Celebrar um Adendo de Processamento de Dados e, quando aplicável, um Acordo de associação comercial com clientes que precisem desses acordos.

Responsabilidades do usuário

• Determinar quais dados são apropriados para armazenar no Notion e garantir que dados regulamentados sejam armazenados apenas onde os acordos e a configuração necessários estejam em vigor.

• Estabelecer e aplicar práticas de retenção e excluir Dados do Cliente que não sejam mais necessários.

• Configurar as definições de retenção e exclusão disponíveis no produto para refletir a política interna.

• Enviar Dados da Conta completos e precisos, e corrigi-los prontamente quando erros forem identificados.

• Cumprir as obrigações que cabem ao controlador dos dados pessoais mantidos em um espaço de trabalho, incluindo fornecer informações de privacidade aos indivíduos, estabelecer uma base legal para o processamento e responder a solicitações de titulares de dados relacionadas aos Dados do Cliente.

• Determinar se uma região específica de residência de dados é necessária, solicitá-la quando necessário e entender quais categorias de dados e quais produtos Notion estão fora desse escopo.

• Analisar a lista de suboperadores do Notion.

O Notion opera a infraestrutura que mantém o Serviço disponível e mantém backups dessa infraestrutura para recuperar o Serviço. Os Clientes são responsáveis por recuperar seus próprios Dados do Cliente com as ferramentas fornecidas pelo Notion e por manter uma cópia independente desses dados quando suas obrigações exigirem isso.

Responsabilidades do Notion

• Operar o Serviço Notion de acordo com os compromissos de disponibilidade estabelecidos nos Termos de Nível de Serviço, usando infraestrutura redundante em várias zonas de disponibilidade.

• Publicar o status operacional do Serviço.

• Manter backups automatizados, criptografados e monitorados dos Dados do Cliente.

• Armazenar backups de acordo com o mapeamento de regiões de backup publicado pelo Notion para a região de residência de dados selecionada. A residência de dados se aplica apenas às categorias definidas de Dados do Cliente.

• Manter e testar periodicamente planos de recuperação de desastres e continuidade de negócios.

• Fornecer ferramentas de recuperação no produto, incluindo a lixeira e o histórico da versão, permitindo que os Clientes restaurem os Dados do Cliente por conta própria.

• Fornecer funcionalidade de exportação permitindo que os Clientes obtenham uma cópia de seus Dados do Cliente.

Responsabilidades do usuário

• Recuperar páginas individuais e Dados do Cliente usando a lixeira e o histórico da versão, dentro dos períodos de retenção aplicáveis ao plano do Usuário.

• Configurar as definições de retenção de Dados do Cliente, quando disponíveis, para refletir a política interna.

• Manter uma cópia independente dos Dados do Cliente quando a política interna, os compromissos contratuais ou a regulamentação exigirem retenção além do que o produto oferece ou uma cópia mantida fora do Notion.

• Produzir exportações em um cronograma apropriado para esses requisitos e verificar se as exportações estão completas. Dados do Cliente aos quais a conta que realiza a exportação não tem acesso não são incluídos na exportação.

• Baixar as exportações enquanto o link de download estiver válido.

• Planejar a possibilidade de indisponibilidade do serviço como parte dos próprios planos de continuidade de negócios do Usuário.

O que são e o que não são os backups do Notion

Os backups do Notion existem para restaurar o Serviço Notion. Eles não são um ponto de restauração voltado para o cliente e não podem ser usados para retornar um espaço de trabalho ao estado em que estava em um momento escolhido. A recuperação de itens individuais dos Dados do Cliente é realizada pelos Clientes por meio da lixeira e do histórico da versão. Uma vez transcorridos os períodos aplicáveis de permanência na lixeira e de retenção, os Dados do Cliente são excluídos e não podem ser restaurados. Os Clientes não devem depender do suporte como mecanismo de retenção.

Uma exportação produz uma cópia portátil dos Dados do Cliente em formatos como HTML, markdown, CSV ou PDF, dependendo do tipo de exportação e do plano. Não é um backup completo do espaço de trabalho: importar Dados do Cliente exportados não recriará as autorizações, as definições nem a configuração original completa do espaço de trabalho e pode exigir reestruturação manual.

O Notion gera registros de atividades relevantes em um espaço de trabalho e os disponibiliza para a organização. Os clientes são responsáveis por revisar esses registros, retê-los quando necessário e agir de acordo com o que eles mostram.

Responsabilidades do Notion

• Registrar eventos de segurança e proteção que ocorrem nos espaços de trabalho de uma organização, incluindo o autor, a ação, o horário e, quando disponível, o endereço IP.

• Reter o histórico do registro de auditoria no produto por um período definido e fornecer mecanismos de exportação e transmissão contínua para que os clientes possam retê-lo por mais tempo.

• Fornecer um meio de transmitir eventos para a própria plataforma de monitoramento de segurança do usuário em tempo real e oferecer suporte a conexões com ferramentas de prevenção contra perda de dados.

• Monitorar a própria infraestrutura, redes e sistemas do Notion em busca de atividades maliciosas e manter o registro interno desses sistemas.

Responsabilidades do usuário

• Analisar as atividades do registro de auditoria, investigar as que pareçam inesperadas ou não autorizadas e tomar as medidas necessárias.

• Reter os dados dos registros pelo período exigido pela política interna ou pela regulamentação aplicável ao cliente, exportando ou transmitindo eventos antes que eles saiam da janela de retenção.

• Configurar o monitoramento, os alertas e quaisquer conexões de segurança ou conformidade no próprio ambiente do usuário e garantir que essas integrações permaneçam operacionais.

• Definir o que constitui atividade suspeita no contexto da organização e atribuir responsabilidade pela sua análise.

• Relatar atividades suspeitas ao Notion quando elas puderem indicar um comprometimento do Serviço.

O que o registro de auditoria cobre e o que não cobre

O registro de auditoria registra eventos. As entradas do registro e os dados transmitidos descrevem as ações realizadas e quem as realizou; eles não contêm os Dados do Cliente das páginas.

O registro de auditoria começa a registrar eventos quando a organização se torna elegível para o recurso. As atividades anteriores não ficam disponíveis retroativamente.

O Notion desenvolve, opera e mantém o Serviço Notion e a infraestrutura na qual ele é executado, incluindo a segurança e a aplicação de patches nessa infraestrutura. Os clientes são responsáveis pelos ambientes a partir dos quais acessam o Notion.

Responsabilidades do Notion

• Desenvolver, testar, aplicar patches e manter o aplicativo Notion e a infraestrutura que o suporta. As atualizações do Serviço são aplicadas pelo Notion e não exigem nenhuma ação dos Clientes.

• Realizar modelagem de ameaças e revisões de design seguro para novos lançamentos e executar auditorias de código, revisões de código e varreduras de segurança da base de código.

• Contratar testes de penetração independentes anualmente.

• Implementar e gerenciar a segurança de rede nos sistemas do Notion.

• Monitorar a infraestrutura, redes e ativos do Notion quanto a atividades maliciosas.

• Operar um programa de divulgação de vulnerabilidades público e contratar testes de penetração independentes.

• Proteger os próprios sistemas corporativos e dispositivos dos funcionários do Notion, incluindo criptografia de dados em repouso, detecção e resposta em dispositivos finais e gerenciamento centralizado de dispositivos.

• Publicar aplicativos cliente do Notion e disponibilizar atualizações para eles.

Responsabilidades do usuário

• Manter ambientes de dispositivos finais compatíveis e devidamente atualizados, incluindo navegadores web, e gerenciar quaisquer controles que possam impedir as atualizações dos aplicativos cliente do Notion.

• Proteger os dispositivos e as redes usados para acessar o Notion, de acordo com os padrões de segurança de dispositivos finais do próprio Usuário.

• Quando as atualizações dos aplicativos cliente do Notion são gerenciadas centralmente, garantir que continuem sendo aplicadas em tempo hábil. Adiar ou desativar as atualizações automáticas transfere para o Usuário a responsabilidade de aplicar correções aos aplicativos cliente em tempo hábil.

• Garantir que as configurações de instalação não impeçam os Usuários de receber atualizações.

• Relatar suspeitas de vulnerabilidades no Serviço Notion ao Notion em vez de explorá-las ou divulgá-las publicamente.

Onde fica a divisão de responsabilidades

O Notion aplica patches no Serviço Notion. Os clientes não aplicam patches no Notion, e nenhuma ação do cliente é necessária para atualizações do lado do servidor.

Os aplicativos cliente são diferentes. O Notion publica atualizações, mas o recebimento delas por um determinado dispositivo depende de como ele é configurado e gerenciado. Quando uma organização gerencia a instalação ou as atualizações, é responsabilidade dela manter os aplicativos cliente atualizados.

O Notion fornece uma API, uma plataforma de integração e recursos de IA que podem agir sobre os Dados do Cliente e acessar sistemas conectados. Os clientes são responsáveis por decidir quais deles habilitar, que acesso conceder e como gerenciá-los.

Responsabilidades do Notion

• Fornecer e manter a API do Notion, a plataforma de integração, as conexões e os recursos de IA.

• Respeitar as permissões do usuário na IA do Notion, no Agente do Notion e nos conectores de IA. Agentes personalizados usam suas próprias permissões concedidas explicitamente, que podem diferir daquelas da pessoa que interage com o agente.

• Fornecer controles administrativos que regem quais integrações e ferramentas de IA externas podem ser instaladas, quais agentes podem ser criados e se os recursos de IA estão habilitados.

• Fornecer controles para ativar ou desativar a busca online por IA e exigir confirmação antes de fazer requisições a sites externos.

• Manter defesas projetadas para detectar e reduzir o risco de injeção de prompt, incluindo a detecção de instruções ocultas em conteúdo de terceiros e arquivos carregados, restrições no tratamento de links e verificações adicionais quando os agentes agem de forma autônoma.

• Abster-se de usar Dados do Cliente para treinar os modelos do Notion e proibir contratualmente que suboperadores de IA o façam sem o consentimento explícito do cliente.

• Registrar as atividades de integrações, conexões, agentes e ferramentas externas de IA no registro de auditoria.

Responsabilidades do usuário

• Decidir quais integrações, conexões, recursos de IA e agentes são apropriados para a organização e configurar os controles disponíveis para refletir essa decisão.

• Analisar o acesso e os recursos solicitados por uma integração ou conexão antes de autorizá-la e confirmar se o serviço de terceiros atende aos requisitos de fornecedor do próprio Usuário.

• Gerenciar tokens de integração interna, incluindo restringir sua distribuição, fazer a rotação dos tokens e revogar os que não são mais necessários.

• Gerenciar a criação e a configuração dos agentes, incluindo quais Dados do Cliente e ferramentas conectadas cada agente pode acessar, e analisar esse acesso periodicamente.

• Os Clientes devem garantir que as permissões do agente sejam delimitadas adequadamente.

• Determinar se modelos que retêm dados podem ser ativados para recursos que os exigem.

• Garantir que os Dados do Cliente disponibilizados ao Notion por meio de sistemas conectados sejam apropriados para essa finalidade e que o acesso concedido nesses sistemas tenha o escopo adequado.

• Informar aos Usuários que os Dados do Cliente originados fora do espaço de trabalho, incluindo páginas da web e arquivos carregados, podem tentar influenciar o comportamento da IA.

O que os Clientes devem entender sobre dados conectados

O acesso concedido por meio de uma conexão é tão restrito quanto as permissões concedidas no sistema conectado. O Notion aplica as permissões informadas pelo sistema conectado, mas não corrige permissões excessivamente amplas do sistema de origem.

As alterações de permissão em sistemas conectados são refletidas no Notion após um intervalo de sincronização, em vez de imediatamente, e os Dados do Cliente recém-adicionados ou excluídos podem levar algum tempo para aparecer ou se tornar indisponíveis.

O Notion é responsável pela segurança do serviço Notion e por notificar os clientes quando um incidente afeta seus Dados do Cliente. Os Clientes são responsáveis pela forma como respondem a incidentes envolvendo suas próprias contas, espaços de trabalho e Dados do Cliente, incluindo quaisquer notificações que sejam obrigados a fazer.

Responsabilidades do Notion

• Manter um plano de resposta a incidentes documentado e testá-lo periodicamente.

• Detectar, fazer a triagem, investigar, conter e corrigir incidentes de segurança que afetem os sistemas do Notion e os Dados do Cliente que o Notion mantém.

• Notificar os clientes afetados sobre incidentes de segurança de acordo com o Adendo de Processamento de Dados e a lei aplicável.

• Realizar uma análise pós-incidente, incluindo a análise da causa raiz, e aplicar as conclusões aos controles e ao plano de resposta do Notion.

• Publicar o status operacional do serviço e comunicar incidentes de disponibilidade.

• Operar um programa de divulgação de vulnerabilidades e fazer a triagem e a correção das vulnerabilidades relatadas.

Responsabilidades do usuário

• Comunicar prontamente ao Notion, pelo canal adequado, suspeitas de incidentes de segurança, contas comprometidas, suspeitas de vulnerabilidades e uso indevido do serviço.

• Detectar e responder a incidentes que ocorrem nos próprios espaços de trabalho e contas do Usuário, incluindo credenciais comprometidas, compartilhamento inadequado e uso indevido por Usuários internos.

• Manter seus próprios procedimentos de resposta a incidentes e definir quem é responsável por agir diante das atividades identificadas no Notion.

• Tomar medidas de contenção disponíveis dentro do produto, incluindo remover acesso, revogar sessões, redefinir credenciais, revogar tokens de integração e retirar Dados do Cliente publicados.

• Preservar evidências relevantes, incluindo exportar os dados do registro de auditoria antes que termine o período de retenção.

• Determinar se um incidente gera para o Usuário a obrigação de notificar uma autoridade reguladora, um cliente ou uma pessoa afetada e, nesse caso, fazer a notificação.

• Manter os dados de contato administrativo e de segurança atualizados para que as notificações do Notion cheguem às pessoas certas.

• Relatar suspeitas de vulnerabilidades ao Notion em vez de explorá-las ou divulgá-las publicamente.

Qual parte detecta o quê

O Notion monitora sua própria infraestrutura e pode detectar incidentes que afetam o Serviço. O Notion não pode determinar se uma ação no espaço de trabalho, embora válida em outros aspectos, foi autorizada pelas políticas internas do Usuário. Os clientes são responsáveis por monitorar a atividade do espaço de trabalho e responder ao uso indevido.

Isso inclui incidentes como a publicação de Dados do Cliente confidenciais por um membro, a exportação de dados por um funcionário prestes a deixar a empresa ou o uso indevido de uma credencial por seu titular legítimo. A detecção desses eventos e a resposta a eles dependem da análise, pelo Usuário, dos registros de atividade e dos controles à sua disposição.

O Notion mantém um programa de segurança da informação e privacidade que é auditado de forma independente e disponibiliza a documentação resultante. Os clientes determinam se o Notion é apropriado para suas próprias obrigações regulatórias e o configuram de acordo.

Responsabilidades do Notion

• Manter programas de segurança e privacidade avaliados de forma independente, de acordo com os ciclos de auditoria e certificação aplicáveis.

• Disponibilizar a documentação de conformidade, incluindo relatórios de auditoria e certificações, a clientes e clientes em potencial por meio do Notion Trust Center.

Responsabilidades do usuário

• Determinar se o Notion é adequado para os dados que o Usuário pretende armazenar e para as obrigações regulatórias que se aplicam a ele.

• Firmar os contratos necessários para esse uso, incluindo um Adendo de Processamento de Dados ou um Acordo de Associação Comercial, quando aplicável.

• Aplicar a configuração exigida por esses acordos, incluindo a ativação de quaisquer configurações específicas de conformidade e os recursos de segurança dos quais elas dependem.

• Concluir as próprias avaliações do Usuário, incluindo avaliação de risco de fornecedor e qualquer avaliação de impacto de proteção de dados exigida por lei.

• Analisar as certificações, os relatórios de auditoria e a lista de suboperadores do Notion como parte dos processos de garantia e gerenciamento de mudanças do próprio Usuário.

• Demonstrar aos próprios auditores e reguladores do Usuário que a configuração e o uso do Notion pelo Usuário atendem às obrigações que se aplicam a ele.

O que a certificação abrange

As certificações e relatórios de auditoria de terceiros independentes do Notion cobrem os controles que o Notion opera. Eles não se estendem à forma como uma organização individual configura ou usa o Notion.

Um espaço de trabalho que contém dados regulamentados não está em conformidade pelo simples fato de o Notion possuir uma certificação. Quando uma obrigação depende de configuração, como restringir o compartilhamento, exigir login único, reter registros de auditoria ou limitar onde os dados são armazenados, cumpri-la continua sendo responsabilidade do Usuário.

O Notion define os termos sob os quais o serviço pode ser usado e os aplica. Os clientes são responsáveis pelo seu próprio uso do Notion e pelos Dados do Cliente mantidos em seus espaços de trabalho.

Responsabilidades do Notion

• Publicar e manter a Política de Conteúdo e Uso, os Termos relevantes e políticas relacionadas.

• Fornecer um mecanismo para que qualquer pessoa que visualize uma página pública do Notion possa denunciar Dados do Cliente que acredite serem proibidos.

• Investigar denúncias e remover Dados do Cliente ou restringir o acesso quando uma violação for identificada.

• Aplicar uma análise mais rigorosa a categorias de uso associadas a taxas mais altas de abuso e suspender ou encerrar o acesso quando necessário para proteger a disponibilidade do Serviço.

Responsabilidades do Usuário

• Usar o Notion de acordo com os Termos e a Política de Conteúdo e Uso, e garantir que as pessoas que usam o Notion sob a assinatura do Usuário façam o mesmo.

• Garantir que os Dados do Cliente armazenados, compartilhados ou publicados por meio do Notion estejam em conformidade com essas políticas e com a lei aplicável.

• Moderar os Dados do Cliente fornecidos por outras pessoas quando o Usuário distribuir Dados do Cliente gerados por usuários por meio do Notion.

• Usar o Notion dentro dos limites de capacidade para os quais foi projetado e não tentar contornar, desativar ou interferir em seus controles de segurança.

• Conduzir qualquer teste de segurança do Notion apenas por meio do programa de divulgação de vulnerabilidades do Notion e de acordo com os termos desse programa.

• Usar os canais de suporte e denúncia de boa-fé.