Modelo de responsabilidad compartidas

Este modelo de responsabilidad compartida garantiza que Notion y sus clientes colaboren para crear una experiencia de espacio de trabajo segura y eficaz.

Consulta el MSA y el DPA de Notion para conocer los términos definidos.

Notion es un espacio donde puedes pensar, escribir y planificar. Es un espacio todo en uno que permite a los usuarios crear sus propias herramientas para hacer su mejor trabajo. Por eso, confían a Notion su información profesional y personal y, mediante Conexiones y las funciones de IA, le dan acceso a información almacenada en otros sistemas.

Un modelo de responsabilidad compartida (SRM) es un marco que establece cómo se reparten las responsabilidades entre un proveedor de servicios y sus usuarios. Define claramente qué tareas de seguridad y operación corresponden a cada parte.

Este documento describe las responsabilidades compartidas entre Notion y sus clientes para proteger y mantener la seguridad de los sistemas, las cuentas de usuario y los espacios de trabajo de Notion.

El SRM de Notion aclara a Notion y a sus clientes qué parte es responsable de cada proceso, operación o control. Así, podemos centrarnos en proteger la confidencialidad, integridad y disponibilidad de los sistemas de Notion y asumir la responsabilidad en las áreas donde mejor podemos hacerlo. También permite identificar las áreas donde los clientes están en mejores condiciones de proteger sus cuentas, espacios de trabajo y Datos del cliente. En conjunto, esto mejora la seguridad y la eficiencia con que se protegen los sistemas y las cuentas de Notion.

El SRM también aporta transparencia sobre cómo se prestan los servicios de Notion. Ofrece a los clientes la información que necesitan para evaluar a Notion en sus propios procesos de gestión de riesgos y verificación, y ayuda a ambas partes a cumplir sus respectivas obligaciones conforme a las regulaciones locales, regionales, nacionales e internacionales aplicables.

En resumen: Notion es responsable de crear, operar y proteger la arquitectura del servicio de Notion. Los clientes son responsables de cómo configuran y usan ese servicio. Esto incluye proteger sus credenciales, gestionar quién tiene acceso a sus espacios de trabajo y Datos del cliente, y cumplir con la Política de contenido y uso y otros términos relevantes.

Solo los clientes con permisos elevados en un espacio de trabajo u organización pueden asumir algunas de las responsabilidades descritas en este documento. El usuario debe asignar esos permisos de forma adecuada.

Las herramientas disponibles para cumplir con una responsabilidad determinada varían según el plan. Cuando una capacidad está limitada a planes de suscripción específicos, los clientes que tengan planes de suscripción sin dicha capacidad siguen siendo responsables del resultado subyacente y deben considerar controles alternativos.

Notion proporciona los métodos de autenticación y los controles administrativos que rigen cómo las personas inician sesión en Notion y cómo se otorga y elimina el acceso al espacio de trabajo. Los clientes son responsables de seleccionar y configurar los controles adecuados para su organización, y de proteger las credenciales utilizadas para acceder a sus cuentas.

Responsabilidades de Notion

• Proporcionar y operar métodos de autenticación, incluidos el inicio de sesión con correo electrónico y contraseña, el inicio de sesión con Google y Apple, y el inicio de sesión único (SSO) mediante SAML 2.0 para los espacios de trabajo de los planes Business y Enterprise.

• Proporcionar autenticación de dos factores para las cuentas que inician sesión con una contraseña, mediante una app de autenticación o un código por mensaje de texto.

• Proporcionar API de SCIM que permitan a las organizaciones del plan Enterprise automatizar la creación, actualización y eliminación de Usuarios desde su proveedor de identidad.

• Proporcionar controles administrativos que regulen la duración de la sesión, el cierre de sesión forzado, el restablecimiento de contraseñas, la suspensión de cuentas y la verificación de dominios.

• Requerir una prueba verificada de propiedad del dominio antes de que se pueda utilizar un dominio para controlar cómo su base de usuarios inicia sesión en Notion.

• Revocar el acceso de un usuario a los Datos del Cliente cuando ese usuario sea eliminado del espacio de trabajo. Proporcionar controles que permitan a una organización finalizar sesiones y restablecer credenciales en toda su base de usuarios administrada.

• Mantener controles de acceso de mínimo privilegio en toda la infraestructura de Notion y exigir que los empleados y contratistas de Notion estén sujetos a obligaciones de confidencialidad.

• Acceder a los Datos del Cliente con fines de soporte solo cuando un usuario o propietario del espacio de trabajo haya otorgado su consentimiento, y hacer que ese consentimiento expire automáticamente después de un período definido.

Responsabilidades del usuario

• Proteger las credenciales de inicio de sesión, utilizar contraseñas seguras y únicas, y evitar su reutilización en otros servicios.

• Mantener cuentas individuales en lugar de cuentas compartidas y no compartir información de inicio de sesión.

• Utilizar la autenticación de dos factores en las cuentas que inician sesión con una contraseña.

• Actualizar las credenciales de acuerdo con la política interna y de inmediato cuando se detecte una vulneración de credenciales en un servicio externo.

• Seleccionar y configurar los métodos de autenticación adecuados para la organización, incluyendo si se aplica el inicio de sesión único.

• Asegurar que el acceso al espacio de trabajo se limite a los usuarios previstos y que el acceso se elimine de inmediato cuando alguien se vaya o cambie de rol. La eliminación automatizada del acceso requiere SCIM; cuando no se utiliza, la eliminación es un proceso manual.

• Establecer la duración de la sesión de acuerdo con la política interna y mantener un procedimiento de recuperación en caso de pérdida de acceso al proveedor de identidad.

• Controlar si el soporte de Notion puede acceder a una cuenta o espacio de trabajo, y revocar ese acceso cuando ya no sea necesario.

Notion proporciona el modelo de permisos que determina lo que un usuario autenticado puede ver y hacer, junto con controles administrativos que establecen los límites para compartir. Los clientes son responsables de decidir cómo se aplica ese modelo a los Datos del Cliente y de revisar el acceso resultante.

Responsabilidades de Notion

• Proporcionar un modelo de permisos que opere a nivel de espacio de trabajo, espacio de equipo, página y base de datos, incluyendo grupos de permisos, y aplicarlo de manera consistente en todo el producto.

• Proporcionar acceso diferenciado para miembros e invitados, de modo que los colaboradores externos puedan recibir acceso a Datos del Cliente específicos en lugar de a todo un espacio de trabajo.

• Proporcionar controles administrativos que permitan a una organización restringir el uso compartido público de páginas, el acceso de invitados, la exportación y el movimiento o duplicación de páginas a otros espacios de trabajo.

• Proporcionar controles que regulen quién puede publicar Datos del Cliente en la web, incluidos Notion Sites, formularios y enlaces públicos.

• Proporcionar herramientas de visibilidad que permitan a una organización identificar quién tiene acceso a una página, qué páginas se comparten externamente o se publican en la web y cambiar esos permisos.

• Respetar los permisos configurados del espacio de trabajo al proporcionar funciones de IA y búsqueda.

Responsabilidades del usuario

• Determinar el nivel de acceso adecuado para los Datos del Cliente y aplicar los permisos en consecuencia.

• Decidir si se permiten la colaboración externa y la publicación pública, y configurar los controles disponibles para reflejar esa decisión.

• Comprender cómo se hereda el acceso. El acceso otorgado a una página se extiende de forma predeterminada a las páginas anidadas dentro de ella, y el acceso otorgado por múltiples vías se resuelve al nivel más alto concedido.

• Revisar el acceso periódicamente, incluidos los miembros del espacio de trabajo, los invitados, los grupos de permisos, los Datos del Cliente compartidos externamente y los Datos del Cliente publicados en la web.

• Eliminar el acceso a los Datos del Cliente cuando finalice la participación de un colaborador, incluidos los invitados y colaboradores externos cuyo acceso no se gestione a través del proveedor de identidad de la organización.

• Asegurarse de que los Datos del Cliente publicados en la web estén destinados al público y configurar en consecuencia opciones como la indexación en motores de búsqueda.

• Transferir los Datos del Cliente que un usuario mantiene de forma privada antes de que ese usuario se vaya, o dentro del plazo limitado durante el cual la transferencia sigue siendo posible. Después de ese plazo, los Datos del Cliente privados generalmente son irrecuperables, y las herramientas de transferencia solo están disponibles en el plan Enterprise.

Notion almacena y procesa los Datos del Cliente en nombre de sus Clientes y los protege en tránsito y en reposo. Los Clientes determinan qué datos se colocan en Notion, cuánto tiempo se conservan y qué obligaciones legales se les aplican.

Responsabilidades de Notion

• Procesar los Datos del Cliente de acuerdo con el Acuerdo maestro de suscripción, el Anexo de Procesamiento de Datos y la legislación aplicable en materia de protección de datos.

• Cifrar los Datos del Cliente en reposo mediante AES-256 o un algoritmo estándar del sector que ofrezca una seguridad equivalente o superior, incluso en el almacenamiento en la nube, las tablas de bases de datos y las copias de seguridad, y cifrar los datos en tránsito mediante TLS 1.2 o una versión posterior.

• Mantener y publicar una lista actualizada de subprocesadores.

• Ofrecer residencia de datos para categorías definidas de Datos del Cliente y permitir que las organizaciones elegibles seleccionen la región en la que se almacenan esos datos en reposo.

• Abstenerse de utilizar los Datos del Cliente para entrenar los modelos de aprendizaje automático de Notion y prohibir por contrato que los subprocesadores de IA lo hagan sin el consentimiento explícito del cliente.

• Proporcionar funciones que permitan a los Clientes exportar, conservar y eliminar sus Datos del Cliente, y eliminar los Datos del Cliente al finalizar el contrato conforme a lo acordado.

• Celebrar un Anexo de Procesamiento de Datos y, cuando corresponda, un acuerdo de asociación comercial con los clientes que lo requieran.

Responsabilidades del usuario

• Determinar qué datos es apropiado almacenar en Notion y asegurarse de que los datos regulados solo se almacenen donde existan los acuerdos y la configuración necesarios.

• Establecer y aplicar prácticas de retención, y eliminar los Datos del Cliente que ya no sean necesarios.

• Configurar los ajustes de retención y eliminación disponibles en el producto para reflejar la política interna.

• Enviar Datos de Cuenta completos y precisos, y corregirlos puntualmente cuando se identifiquen errores.

• Cumplir con las obligaciones que corresponden al responsable del tratamiento de los datos personales almacenados en un espacio de trabajo, incluyendo proporcionar información de privacidad a las personas, establecer una base legal para el procesamiento y responder a las solicitudes de los interesados relacionadas con los Datos del Cliente.

• Determinar si se requiere una región de residencia de datos específica, solicitarla cuando sea necesario y comprender qué categorías de datos y qué productos de Notion quedan fuera de ese alcance.

• Revisar la lista de subprocesadores de Notion.

Notion opera la infraestructura que mantiene el Servicio disponible y mantiene copias de seguridad de esa infraestructura con el fin de recuperar el Servicio. Los Clientes son responsables de recuperar sus propios Datos del Cliente utilizando las herramientas que Notion proporciona, y de mantener una copia independiente de esos Datos del Cliente cuando sus propias obligaciones así lo requieran.

Responsabilidades de Notion

• Operar el Servicio de Notion de acuerdo con los compromisos de disponibilidad establecidos en los Términos de Nivel de Servicio, utilizando infraestructura redundante en múltiples zonas de disponibilidad.

• Publicar el estado operativo del Servicio.

• Mantener copias de seguridad automatizadas, cifradas y monitoreadas de los Datos del Cliente.

• Almacenar las copias de seguridad según la correspondencia de regiones de copias de seguridad publicada por Notion para la región de residencia de datos seleccionada. La residencia de datos solo se aplica a las categorías definidas de Datos del Cliente.

• Mantener y probar periódicamente los planes de recuperación ante desastres y continuidad del negocio.

• Proporcionar herramientas de recuperación en el producto, como la Papelera y el historial de versiones, para que los Clientes puedan restaurar los Datos del Cliente por sí mismos.

• Proporcionar una funcionalidad de exportación que permita a los Clientes obtener una copia de sus Datos del Cliente.

Responsabilidades del usuario

• Recuperar páginas individuales y Datos del Cliente mediante la Papelera y el historial de versiones, dentro de los períodos de conservación aplicables al plan del Usuario.

• Configurar los ajustes de retención de los Datos del Cliente, cuando estén disponibles, para reflejar la política interna.

• Mantener una copia independiente de los Datos del Cliente cuando la política interna, los compromisos contractuales o la regulación requieran una retención más allá de lo que ofrece el producto, o requieran una copia almacenada fuera de Notion.

• Generar exportaciones con una frecuencia adecuada a esos requisitos y verificar que las exportaciones estén completas. Los Datos del Cliente a los que la cuenta que realiza la exportación no puede acceder no se incluyen en una exportación.

• Recuperar las exportaciones dentro del periodo en que el enlace de descarga permanece válido.

• Planificar la posibilidad de falta de disponibilidad del servicio como parte de los propios acuerdos de continuidad del negocio del Usuario.

Qué son y qué no son las copias de seguridad de Notion

Las copias de seguridad de Notion sirven para restaurar el Servicio de Notion. No son puntos de restauración para los clientes y no permiten devolver un espacio de trabajo al estado que tenía en un momento determinado. Los Clientes recuperan los Datos del Cliente de forma individual mediante la Papelera y el historial de versiones. Una vez transcurridos los períodos aplicables de permanencia en la Papelera y de conservación, los Datos del Cliente se eliminan y no pueden restaurarse. Los Clientes no deben recurrir al soporte como mecanismo de conservación.

Una exportación genera una copia portátil de los Datos del Cliente en formatos como HTML, markdown, CSV o PDF, según el tipo de exportación y el plan. No es una copia de seguridad completa del espacio de trabajo: importar los Datos del Cliente exportados no recrea los permisos, los ajustes ni la configuración completa originales del espacio de trabajo y puede requerir una reestructuración manual.

Notion genera registros de la actividad relevante dentro de un espacio de trabajo y los pone a disposición de la organización. Los clientes son responsables de revisar esos registros, conservarlos cuando sea necesario y actuar en función de lo que indiquen.

Responsabilidades de Notion

• Registrar los eventos de seguridad y protección que ocurren en los espacios de trabajo de una organización, incluyendo el actor, la acción, el momento y, cuando esté disponible, la dirección IP.

• Conservar el historial del registro de auditoría dentro del producto durante un período definido y proporcionar mecanismos de exportación y transmisión para que los clientes puedan conservarlo por más tiempo.

• Proporcionar un medio para transmitir eventos a la propia plataforma de monitoreo de seguridad de un usuario en tiempo real y admitir conexiones a herramientas de prevención de pérdida de datos.

• Monitorear la propia infraestructura, redes y sistemas de Notion en busca de actividad maliciosa y mantener registros internos de esos sistemas.

Responsabilidades del usuario

• Revisar la actividad del registro de auditoría e investigar y actuar sobre la actividad que parezca inesperada o no autorizada.

• Conservar los datos de registro durante el período requerido por las políticas internas o las regulaciones aplicables al cliente, exportando o transmitiendo los eventos antes de que venza el período de conservación.

• Configurar el monitoreo, las alertas y cualquier conexión de seguridad o cumplimiento en el propio entorno del usuario y asegurarse de que esas integraciones sigan funcionando.

• Definir qué constituye una actividad sospechosa en el contexto de la organización y asignar la responsabilidad de revisarla.

• Informar a Notion sobre actividades sospechosas cuando puedan indicar que se ha vulnerado la seguridad del Servicio.

Qué cubre y qué no cubre el registro de auditoría

El registro de auditoría registra eventos. Las entradas del registro y los datos transmitidos describen qué acciones se realizaron y quién las realizó; no contienen los Datos del Cliente de las páginas.

El registro de eventos en el registro de auditoría comienza cuando una organización cumple los requisitos para acceder a la función. La actividad que tuvo lugar antes no está disponible de forma retroactiva.

Notion desarrolla, opera y mantiene el Servicio de Notion y la infraestructura en la que se ejecuta, incluida la protección y la aplicación de parches a dicha infraestructura. Los clientes son responsables de los entornos desde los cuales acceden a Notion.

Responsabilidades de Notion

• Desarrollar, probar, aplicar parches y mantener la aplicación de Notion y la infraestructura que la respalda. Las actualizaciones del Servicio son aplicadas por Notion y no requieren ninguna acción por parte de los clientes.

• Realizar modelos de amenazas y revisiones de diseño seguro para las nuevas versiones, así como auditorías y revisiones de código y análisis de seguridad del código fuente.

• Encargar pruebas de penetración independientes cada año.

• Implementar y administrar la seguridad de red en todos los sistemas de Notion.

• Monitorear la infraestructura, las redes y los activos de Notion para detectar actividad maliciosa.

• Mantener un programa público de divulgación de vulnerabilidades y encargar pruebas de penetración independientes.

• Proteger los sistemas corporativos y los dispositivos de los empleados de Notion mediante cifrado en reposo, detección y respuesta en dispositivos finales y administración centralizada de dispositivos.

• Publicar las aplicaciones cliente de Notion y distribuir sus actualizaciones.

Responsabilidades del usuario

• Mantener los entornos de dispositivos finales compatibles y debidamente actualizados con parches, incluidos los navegadores web, y gestionar cualquier control que pueda impedir las actualizaciones del cliente de Notion.

• Proteger los dispositivos y las redes utilizados para acceder a Notion, de acuerdo con los estándares de seguridad de dispositivos finales del propio Usuario.

• Cuando las actualizaciones del cliente de Notion se administran de forma centralizada, garantizar que sigan aplicándose de manera oportuna. Posponer o deshabilitar las actualizaciones automáticas transfiere al Usuario la responsabilidad de aplicar oportunamente los parches al cliente.

• Garantizar que las configuraciones de instalación no impidan que los Usuarios reciban actualizaciones.

• Informar a Notion sobre las presuntas vulnerabilidades del Servicio de Notion, en lugar de explotarlas o divulgarlas públicamente.

Dónde se encuentra el límite

Notion aplica parches al Servicio de Notion. Los clientes no aplican parches a Notion, y no se requiere ninguna acción del cliente para las actualizaciones del lado del servidor.

Las aplicaciones cliente son diferentes. Notion publica actualizaciones, pero que un dispositivo determinado las reciba depende de cómo esté configurado y administrado. Cuando una organización administra la instalación o las actualizaciones, mantener actualizadas las aplicaciones cliente es responsabilidad de la organización.

Notion proporciona una API, una plataforma de integración y funciones de IA que pueden actuar sobre los Datos del Cliente y acceder a sistemas conectados. Los clientes son responsables de decidir cuáles de estas habilitar, qué acceso otorgarles y cómo se rigen.

Responsabilidades de Notion

• Proporcionar y mantener la API de Notion, la plataforma de integración, las conexiones y las funciones de IA.

• Respetar los permisos de usuario en la IA de Notion, el agente de Notion y las Conexiones de la IA. Los Agentes personalizados usan los permisos que se les otorgan explícitamente, que pueden diferir de los de la persona que interactúa con el agente.

• Proporcionar controles administrativos que regulen qué integraciones y herramientas externas de IA pueden instalarse, qué agentes pueden crearse y si las funciones de IA están habilitadas.

• Proporcionar controles para habilitar o desactivar la búsqueda en la web con IA y exigir confirmación antes de realizar solicitudes web externas.

• Mantener medidas de protección diseñadas para detectar y reducir el riesgo de inyección de indicaciones, como la detección de instrucciones ocultas en contenido de terceros y archivos cargados, las restricciones en el manejo de enlaces y las verificaciones adicionales cuando los agentes actúan de forma autónoma.

• Abstenerse de usar los Datos del Cliente para entrenar los modelos de Notion y prohibir por contrato que los subprocesadores de IA lo hagan sin el consentimiento explícito del cliente.

• Registrar la actividad de las integraciones, las conexiones, los agentes y las herramientas externas de IA en el registro de auditoría.

Responsabilidades del usuario

• Decidir qué integraciones, conexiones, funciones de IA y agentes son apropiados para la organización, y configurar los controles disponibles para reflejar esa decisión.

• Revisar el acceso y las capacidades solicitadas por una integración o conexión antes de autorizarla, y confirmar que el servicio de terceros cumple con los requisitos del propio usuario para sus proveedores.

• Administrar los tokens de integración internos, lo que incluye restringir su distribución, rotarlos y revocar aquellos que ya no sean necesarios.

• Supervisar la creación y configuración de agentes, incluidos los Datos del Cliente y las herramientas conectadas a los que cada agente puede acceder, y revisar dicho acceso periódicamente.

• Los clientes deben asegurarse de que los permisos de los agentes estén delimitados adecuadamente.

• Determinar si se pueden habilitar modelos que retienen datos para las funciones que los requieren.

• Asegurarse de que los Datos del Cliente puestos a disposición de Notion a través de sistemas conectados sean apropiados para ese propósito, y que el acceso otorgado en el sistema conectado esté correctamente delimitado.

• Informar a los usuarios de que los Datos del Cliente procedentes de fuera del espacio de trabajo, incluidas las páginas web y los archivos cargados, pueden intentar influir en el comportamiento de la IA.

Lo que los clientes deben entender sobre los datos conectados

El alcance del acceso otorgado mediante una conexión depende de los permisos concedidos en el sistema conectado. Notion aplica los permisos comunicados por ese sistema, pero no corrige los permisos excesivamente amplios del sistema de origen.

Los cambios de permisos en los sistemas conectados se reflejan en Notion después de un intervalo de sincronización en lugar de hacerlo de inmediato, y los Datos del Cliente recién agregados o eliminados pueden tardar en aparecer o dejar de estar disponibles.

Notion es responsable de la seguridad de su servicio y de notificar a los clientes cuando un incidente afecta sus Datos del Cliente. Los clientes son responsables de responder a los incidentes relacionados con sus propias cuentas, espacios de trabajo y Datos del Cliente, incluidas las notificaciones que deban realizar.

Responsabilidades de Notion

• Mantener un plan de respuesta a incidentes documentado y probarlo periódicamente.

• Detectar, clasificar, investigar, contener y remediar los incidentes de seguridad que afecten a los sistemas de Notion y a los Datos del Cliente que Notion almacena.

• Notificar a los clientes afectados sobre incidentes de seguridad de acuerdo con el Anexo de Procesamiento de Datos y la ley aplicable.

• Realizar una revisión posterior al incidente, que incluya un análisis de la causa raíz, y aplicar los hallazgos a los controles y al plan de respuesta de Notion.

• Publicar el estado operativo del servicio y comunicar los incidentes de disponibilidad.

• Mantener un programa de divulgación de vulnerabilidades, y clasificar y corregir las vulnerabilidades reportadas.

Responsabilidades del usuario

• Reportar a Notion, de manera oportuna y a través del canal apropiado, los incidentes de seguridad sospechosos, las cuentas comprometidas, las vulnerabilidades sospechosas y el uso indebido del servicio.

• Detectar y responder a los incidentes que ocurran en los espacios de trabajo y las cuentas del Usuario, incluidas las credenciales comprometidas, la divulgación indebida de datos y el uso indebido del servicio por parte de usuarios internos.

• Mantener los procedimientos de respuesta a incidentes del Usuario y definir quién es responsable de actuar ante la actividad identificada en Notion.

• Tomar medidas de contención disponibles dentro del producto, incluyendo eliminar el acceso, revocar sesiones, restablecer credenciales, revocar tokens de integración y retirar Datos del Cliente publicados.

• Preservar la evidencia relevante, incluyendo la exportación de registros de auditoría antes de que venza su período de retención.

• Determinar si un incidente desencadena una obligación de notificación por parte del Usuario hacia un regulador, cliente o individuo afectado, y realizar dicha notificación.

• Mantener actualizados los datos de contacto administrativo y de seguridad para que las notificaciones de Notion lleguen a las personas adecuadas.

• Reportar las vulnerabilidades sospechosas a Notion en lugar de explotarlas o divulgarlas públicamente.

Qué parte detecta qué

Notion monitorea su propia infraestructura y puede detectar incidentes que afecten al Servicio. Notion no puede determinar si una acción en el espacio de trabajo, válida por lo demás, fue autorizada conforme a las políticas internas del Usuario. Los clientes son responsables de monitorear la actividad del espacio de trabajo y responder ante el uso indebido.

Esto incluye incidentes como la publicación de Datos del Cliente confidenciales por parte de un miembro, la exportación de datos por parte de un empleado que deja la organización o el uso indebido de una credencial por parte de su titular legítimo. Detectar estos eventos y responder a ellos depende de que el Usuario revise los registros de actividad y los controles a su disposición.

Notion mantiene un programa de seguridad de la información y privacidad que es auditado de forma independiente, y pone a disposición la documentación resultante. Los clientes determinan si Notion es adecuado para sus propias obligaciones regulatorias y lo configuran en consecuencia.

Responsabilidades de Notion

• Mantener programas de seguridad y privacidad evaluados de forma independiente de acuerdo con los ciclos de auditoría y certificación aplicables.

• Poner la documentación de cumplimiento, incluidos los informes de auditoría y las certificaciones, a disposición de los clientes y clientes potenciales a través del Notion Trust Center.

Responsabilidades del usuario

• Determinar si Notion es adecuado para los datos que el Usuario pretende almacenar y las obligaciones regulatorias que le aplican.

• Celebrar los acuerdos necesarios para dicho uso, incluido un Anexo de procesamiento de datos o un acuerdo de asociación comercial cuando corresponda.

• Aplicar la configuración requerida por esos acuerdos, incluyendo la habilitación de cualquier configuración específica de cumplimiento y las funciones de seguridad de las que dependen.

• Completar las propias evaluaciones del Usuario, incluyendo la evaluación de riesgos de proveedores y cualquier evaluación de impacto de protección de datos requerida por la ley.

• Revisar las certificaciones, los informes de auditoría y la lista de subprocesadores de Notion como parte de los propios procesos de garantía y gestión de cambios del Usuario.

• Demostrar a sus auditores y reguladores que su configuración y uso de Notion cumplen con las obligaciones que le corresponden al Usuario.

Qué cubre la certificación

Las certificaciones independientes de terceros y los informes de auditoría de Notion cubren los controles que Notion aplica. No abarcan la forma en que cada organización configura o usa Notion.

Un espacio de trabajo que contiene datos regulados no cumple con las normas por el solo hecho de que Notion tenga una certificación. Cuando una obligación depende de la configuración, como restringir el uso compartido, exigir el inicio de sesión único (SSO), conservar registros de auditoría o limitar dónde se almacenan los datos, cumplirla sigue siendo responsabilidad del Usuario.

Notion establece las condiciones de uso del servicio y las hace cumplir. Los clientes son responsables de cómo usan Notion y de los Datos del Cliente almacenados en sus espacios de trabajo.

Responsabilidades de Notion

• Publicar y mantener la Política de contenido y uso, los Términos relevantes y las políticas relacionadas.

• Proporcionar un mecanismo para que cualquier persona que vea una página pública de Notion pueda denunciar los Datos del cliente que considere prohibidos.

• Investigar las denuncias y eliminar los Datos del cliente o restringir el acceso cuando se identifique una infracción.

• Aplicar un mayor escrutinio a las categorías de uso asociadas con tasas más altas de abuso, y suspender o interrumpir el acceso cuando sea necesario para proteger la disponibilidad del Servicio.

Responsabilidades del usuario

• Usar Notion de acuerdo con los Términos y la Política de contenido y uso, y asegurarse de que las personas que usan Notion con la suscripción del Usuario hagan lo mismo.

• Asegurarse de que los Datos del cliente almacenados en Notion, compartidos desde Notion o publicados a través de Notion cumplan con esas políticas y con la ley aplicable.

• Moderar los Datos del cliente aportados por otras personas cuando el Usuario distribuya Datos del cliente generados por usuarios a través de Notion.

• Usar Notion conforme a su capacidad prevista y no intentar eludir, desactivar ni interferir con sus controles de seguridad.

• Realizar cualquier prueba de seguridad de Notion solo a través del programa de divulgación de vulnerabilidades de Notion y de conformidad con sus condiciones.

• Usar los canales de soporte y denuncia de buena fe.