Gedeeld verantwoordelijkhedenmodel

Dit model voor gedeelde verantwoordelijkheden zorgt ervoor dat Notion en de klanten samenwerken aan een veilige en goed werkende workspace.

Raadpleeg de MSA en DPA van Notion voor de definities van de gebruikte termen.

Notion is één plek waar je kunt nadenken, schrijven en plannen. Gebruikers kunnen er hun eigen tools bouwen om optimaal te werken. Ze vertrouwen Notion professionele en persoonlijke informatie toe en geven via koppelingen en AI-functies ook toegang tot informatie in andere systemen.

Een model voor gedeelde verantwoordelijkheden (SRM) beschrijft hoe een dienstverlener en de gebruikers de verantwoordelijkheden verdelen. Het maakt duidelijk welke beveiligings- en operationele taken elke partij uitvoert.

Dit document beschrijft hoe Notion en de klanten samen verantwoordelijk zijn voor de bescherming en beveiliging van de systemen, gebruikersaccounts en workspaces van Notion.

Het SRM van Notion maakt voor Notion en de klanten duidelijk wie verantwoordelijk is voor specifieke processen, activiteiten en controles. Zo kan Notion zich richten op de vertrouwelijkheid, integriteit en beschikbaarheid van de eigen systemen en daarvoor verantwoordelijkheid nemen. Ook maakt het model duidelijk waar klanten beter zelf hun accounts, workspaces en klantgegevens kunnen beveiligen. Dat maakt de bescherming van Notion-systemen en -accounts veiliger en efficiënter.

Het SRM maakt ook duidelijk hoe Notion de diensten levert. Klanten krijgen zo de informatie die ze nodig hebben om Notion te beoordelen binnen hun eigen risico- en toetsingsprocessen. Ook helpt het Notion en de klanten om te voldoen aan de verplichtingen die voor hen gelden onder lokale, regionale, nationale en internationale regelgeving.

Kortom: Notion bouwt en beheert de architectuur van de Notion-dienst en beschermt die. Klanten zijn verantwoordelijk voor hoe ze de dienst instellen en gebruiken. Ze beschermen hun inloggegevens, beheren wie toegang heeft tot hun workspaces en klantgegevens en houden zich aan het beleid voor content en gebruik en de andere relevante voorwaarden.

Sommige taken in dit document kunnen alleen worden uitgevoerd door klanten met extra machtigingen in een workspace of organisatie. De gebruiker moet die machtigingen op de juiste manier toewijzen.

Welke tools je kunt gebruiken om aan een verantwoordelijkheid te voldoen, hangt af van het abonnement. Is een functie alleen beschikbaar bij bepaalde abonnementen? Dan blijven klanten zonder die functie verantwoordelijk voor het resultaat en moeten ze andere maatregelen overwegen.

Notion biedt de authenticatiemethoden en beheerfuncties die bepalen hoe mensen inloggen bij Notion en hoe toegang tot de workspace wordt verleend en ingetrokken. Klanten zijn verantwoordelijk voor het selecteren en configureren van de beheerfuncties die geschikt zijn voor hun organisatie, en voor het beschermen van de inloggegevens die worden gebruikt om toegang te krijgen tot hun accounts.

Verantwoordelijkheden van Notion

• Bied authenticatiemethoden aan en beheer deze, waaronder inloggen met e-mail en wachtwoord, via Google of Apple, en eenmalige aanmelding via SAML 2.0 voor workspaces met een Business- of Enterprise-abonnement.

• Bied tweefactorauthenticatie voor accounts die inloggen met een wachtwoord, met behulp van een authenticator-app of een sms-code.

• Bied SCIM-API's aan waarmee organisaties met een Enterprise-abonnement het aanmaken, bijwerken en verwijderen van gebruikers via hun identiteitsprovider kunnen automatiseren.

• Bied administratieve controles aan die sessieduur, gedwongen uitloggen, wachtwoordreset, accountopschorting en domeinverificatie regelen.

• Vereis geverifieerd bewijs van eigendom van een domein voordat dat domein kan worden gebruikt om te bepalen hoe de gebruikers ervan inloggen bij Notion.

• Trek de toegang van een gebruiker tot klantgegevens in wanneer die gebruiker uit de workspace wordt verwijderd. Bied controles aan waarmee een organisatie sessies kan beëindigen en inloggegevens kan resetten voor alle beheerde gebruikers.

• Handhaaf toegangscontroles volgens het principe van minimale rechten binnen de eigen infrastructuur van Notion en vereis dat werknemers en contractanten van Notion gebonden zijn aan geheimhoudingsverplichtingen.

• Krijg alleen toegang tot klantgegevens voor supportdoeleinden wanneer een gebruiker of workspace-eigenaar toestemming heeft gegeven en laat die toestemming automatisch verlopen na een vastgestelde periode.

Verantwoordelijkheden van de gebruiker

• Het beschermen van inloggegevens, het gebruik van sterke en unieke wachtwoorden en het niet hergebruiken van wachtwoorden voor andere diensten.

• Het aanhouden van individuele accounts in plaats van gedeelde accounts en het niet delen van inloggegevens.

• Het gebruik van tweefactorauthenticatie op accounts die inloggen met een wachtwoord.

• Inloggegevens bijwerken volgens het interne beleid en dit onmiddellijk doen wanneer een datalek met inloggegevens bij een externe dienst wordt vastgesteld.

• De voor de organisatie geschikte authenticatiemethoden selecteren en configureren, waaronder bepalen of eenmalige aanmelding wordt afgedwongen.

• Zorg ervoor dat alleen de beoogde gebruikers toegang hebben tot de workspace en trek die toegang snel in wanneer iemand vertrekt of van rol verandert. Voor automatische intrekking van toegang is SCIM nodig. Zonder SCIM moet de toegang handmatig worden ingetrokken.

• De sessieduur instellen volgens het interne beleid en een herstelprocedure beschikbaar houden voor wanneer de toegang tot de identiteitsprovider verloren gaat.

• Bepalen of Notion-support toegang kan krijgen tot een account of workspace en die toegang intrekken wanneer deze niet langer nodig is.

Notion biedt het rechtenmodel dat bepaalt wat een geauthenticeerde gebruiker kan zien en doen, samen met beheerfuncties die grenzen stellen aan het delen van content. Klanten zijn verantwoordelijk voor de manier waarop zij dat model op hun klantgegevens toepassen en voor het beoordelen van de toegang die daaruit voortvloeit.

Verantwoordelijkheden van Notion

• Bied een rechtenmodel aan voor workspaces, Teamspaces, pagina's en databases, inclusief machtigingsgroepen, en pas het consequent toe in het hele product.

• Bied afzonderlijke toegang voor leden en gasten, zodat externe medewerkers toegang kunnen krijgen tot specifieke klantgegevens in plaats van tot een volledige workspace.

• Bied beheerfuncties aan waarmee een organisatie het openbaar delen van pagina's, gasttoegang, het exporteren en het verplaatsen of dupliceren van pagina's naar andere workspaces kan beperken.

• Bied controles aan die bepalen wie klantgegevens op het web mag publiceren, onder meer via Notion Sites, Formulieren en openbare links.

• Bied hulpmiddelen waarmee een organisatie kan zien wie toegang heeft tot een pagina en welke pagina's extern worden gedeeld of op het web zijn gepubliceerd, en waarmee ze die machtigingen kan aanpassen.

• Respecteer de ingestelde workspace-machtigingen bij het aanbieden van AI- en zoekfuncties.

Verantwoordelijkheden van de gebruiker

• Het bepalen van het juiste toegangsniveau voor klantgegevens en het dienovereenkomstig toepassen van machtigingen.

• Beslissen of externe samenwerking en openbare publicatie zijn toegestaan, en de beschikbare controles configureren om die beslissing te weerspiegelen.

• Begrijpen hoe toegang wordt geërfd. Toegang tot een pagina geldt standaard ook voor de onderliggende pagina's, en als toegang via meerdere routes wordt verleend, geldt het hoogste toegekende toegangsniveau.

• Controleer regelmatig wie toegang heeft, waaronder workspace-leden, gasten en machtigingsgroepen, en welke klantgegevens extern worden gedeeld of op het web zijn gepubliceerd.

• Toegang tot klantgegevens verwijderen wanneer de betrokkenheid van een samenwerkingspartner eindigt, inclusief gasten en externe samenwerkingspartners van wie de toegang niet via de identiteitsprovider van de organisatie wordt beheerd.

• Zorg ervoor dat klantgegevens die op het web zijn gepubliceerd voor iedereen bedoeld zijn en stel opties zoals zoekmachine-indexering daarop af.

• Klantgegevens die een gebruiker privé bewaart overdragen voordat die gebruiker vertrekt, of binnen de beperkte termijn waarin overdracht nog mogelijk is. Na die termijn zijn privé bewaarde klantgegevens doorgaans niet meer te herstellen en zijn tools voor overdracht alleen beschikbaar bij het Enterprise-abonnement.

Notion slaat klantgegevens op en verwerkt deze namens zijn klanten en beschermt deze tijdens transport en in rust. Klanten bepalen welke gegevens in Notion worden geplaatst, hoe lang deze worden bewaard en welke wettelijke verplichtingen hieraan verbonden zijn.

Verantwoordelijkheden van Notion

• Verwerk klantgegevens in overeenstemming met de Master Subscription Agreement, het Data Processing Addendum en de toepasselijke wetgeving inzake gegevensbescherming.

• Versleutel klantgegevens in rust met AES-256 of een algoritme dat aan de industriestandaard voldoet en gelijkwaardige of sterkere beveiliging biedt, inclusief in cloudopslag, databasetabellen en back-ups, en versleutel gegevens tijdens transport met TLS 1.2 of hoger.

• Houd een actuele lijst van subverwerkers bij en publiceer die.

• Bied voor bepaalde categorieën klantgegevens de mogelijkheid om een opslagregio te kiezen, zodat daarvoor in aanmerking komende organisaties kunnen selecteren in welke regio die gegevens worden opgeslagen.

• Zie af van het gebruik van klantgegevens om de machine learning-modellen van Notion te trainen en verbied AI-subverwerkers contractueel om dit te doen zonder uitdrukkelijke toestemming van de klant.

• Bied functionaliteit waarmee klanten hun klantgegevens kunnen exporteren, bewaren en verwijderen, en verwijder klantgegevens aan het einde van het contract in overeenstemming met de overeenkomst.

• Sluit met klanten die dat nodig hebben een Data Processing Addendum en waar van toepassing een Business Associate Agreement af.

Verantwoordelijkheden van de gebruiker

• Bepalen welke gegevens geschikt zijn om in Notion op te slaan en ervoor zorgen dat gereguleerde gegevens alleen worden opgeslagen als de noodzakelijke overeenkomsten zijn afgesloten en de vereiste configuratie is ingesteld.

• Stel een bewaarbeleid vast, pas het toe en verwijder klantgegevens die niet langer nodig zijn.

• De beschikbare instellingen voor bewaren en verwijderen afstemmen op het interne beleid.

• Volledige en juiste accountgegevens verstrekken en deze onmiddellijk corrigeren wanneer fouten worden ontdekt.

• De verplichtingen nakomen die horen bij de verantwoordelijkheid voor persoonsgegevens in een workspace. Dit omvat het verstrekken van privacyinformatie aan betrokkenen, het vaststellen van een rechtsgrond voor de verwerking en het reageren op verzoeken van betrokkenen over klantgegevens.

• Het bepalen of een specifieke regio voor gegevensresidentie vereist is, het aanvragen daarvan waar nodig, en het begrijpen welke categorieën gegevens en welke Notion-producten buiten die reikwijdte vallen.

• Het beoordelen van de subverwerkerlijst van Notion.

Notion beheert de infrastructuur die de Service beschikbaar houdt en onderhoudt back-ups van die infrastructuur om de Service te kunnen herstellen. Klanten zijn verantwoordelijk voor het herstellen van hun eigen klantgegevens met behulp van de tools die Notion biedt, en voor het bewaren van een onafhankelijke kopie van die klantgegevens wanneer hun eigen verplichtingen dit vereisen.

Verantwoordelijkheden van Notion

• De Notion-service beheren volgens de beschikbaarheidsverplichtingen in de Service Level Terms, met redundante infrastructuur verspreid over meerdere beschikbaarheidszones.

• De operationele status van de Service publiceren.

• Geautomatiseerde, versleutelde en bewaakte back-ups van Klantgegevens onderhouden.

• Back-ups opslaan volgens de gepubliceerde indeling van back-upregio's van Notion voor de gekozen regio voor gegevensresidentie. Gegevensresidentie geldt alleen voor de gedefinieerde categorieën Klantgegevens.

• Het onderhouden en periodiek testen van plannen voor noodherstel en bedrijfscontinuïteit.

• Hersteltools in het product bieden, waaronder de Prullenbak en versiegeschiedenis, waarmee Klanten zelf Klantgegevens kunnen herstellen.

• Klanten de mogelijkheid bieden een kopie van hun Klantgegevens te exporteren.

Verantwoordelijkheden van de gebruiker

• Individuele pagina's en Klantgegevens herstellen via de Prullenbak en versiegeschiedenis, binnen de bewaartermijnen die gelden voor het abonnement van de Gebruiker.

• Waar mogelijk de bewaartermijnen voor Klantgegevens instellen volgens het interne beleid.

• Een aparte kopie van Klantgegevens bewaren als intern beleid, contractuele verplichtingen of regelgeving een langere bewaartermijn vereisen dan het product biedt, of als een kopie buiten Notion nodig is.

• Klanten moeten volgens een schema dat bij deze vereisten past exports maken en controleren of ze volledig zijn. Klantgegevens waartoe het exporterende account geen toegang heeft, staan niet in de export.

• Exports downloaden zolang de downloadlink geldig is.

• Het rekening houden met mogelijke onbeschikbaarheid van de dienst als onderdeel van de eigen regelingen voor bedrijfscontinuïteit van de Gebruiker.

Wat Notion-back-ups wel en niet zijn

Notion maakt back-ups om de Notion-service te herstellen. Ze zijn geen herstelpunten voor Klanten: je kunt er een workspace niet mee terugbrengen naar een gekozen moment. Klanten herstellen afzonderlijke Klantgegevens zelf via de Prullenbak en versiegeschiedenis. Na afloop van de toepasselijke termijnen voor de Prullenbak en bewaring worden Klantgegevens definitief verwijderd en kunnen ze niet meer worden hersteld. Klanten mogen niet op support vertrouwen om gegevens te bewaren.

Met een export maak je een overdraagbare kopie van Klantgegevens in formaten zoals HTML, markdown, CSV of PDF, afhankelijk van het type export en het abonnement. Het is geen volledige back-up van een workspace: als je geëxporteerde Klantgegevens importeert, worden de oorspronkelijke machtigingen, instellingen en volledige configuratie van de workspace niet opnieuw aangemaakt. Mogelijk moet je de gegevens handmatig opnieuw indelen.

Notion registreert relevante activiteiten in een workspace en stelt die gegevens beschikbaar aan de organisatie. Klanten moeten de gegevens controleren, ze bewaren als dat vereist is en handelen op basis van wat erin staat.

Verantwoordelijkheden van Notion

• Het registreren van beveiligings- en veiligheidsgerelateerde gebeurtenissen die plaatsvinden in de workspaces van een organisatie, inclusief de actor, de actie, het tijdstip en, indien beschikbaar, het IP-adres.

• De geschiedenis van het auditlogboek een vastgestelde periode in het product bewaren en Klanten mogelijkheden bieden om gebeurtenissen te exporteren of te streamen, zodat ze die langer kunnen bewaren.

• Gebeurtenissen in realtime kunnen streamen naar het eigen platform voor beveiligingsmonitoring van de Gebruiker en koppelingen met tools voor het voorkomen van gegevensverlies ondersteunen.

• Het monitoren van de eigen infrastructuur, netwerken en systemen van Notion op kwaadaardige activiteiten, en het onderhouden van interne logging voor die systemen.

Verantwoordelijkheden van de gebruiker

• Activiteiten in het auditlogboek controleren en activiteiten onderzoeken die onverwacht of ongeoorloofd lijken, en daarop reageren.

• Het bewaren van loggegevens voor de periode die vereist is door het eigen interne beleid of de regelgeving van de klant, door gebeurtenissen te exporteren of te streamen voordat ze buiten het bewaarvenster vallen.

• Monitoring, waarschuwingen en eventuele beveiligings- of compliancekoppelingen instellen in de eigen omgeving van de Gebruiker en ervoor zorgen dat die koppelingen blijven werken.

• Het definiëren van wat in de context van de organisatie als verdachte activiteit geldt en het toewijzen van de verantwoordelijkheid voor het beoordelen ervan.

• Verdachte activiteiten bij Notion melden als ze kunnen wijzen op een beveiligingsincident bij de Service.

Wat het auditlogboek wel en niet dekt

Het auditlogboek registreert gebeurtenissen. Logboekvermeldingen en gestreamde gegevens beschrijven welke acties zijn uitgevoerd en door wie; ze bevatten geen Klantgegevens van de pagina's zelf.

Gebeurtenissen worden pas in het auditlogboek vastgelegd zodra een organisatie in aanmerking komt voor deze functie. Activiteiten van daarvoor zijn niet met terugwerkende kracht beschikbaar.

Notion ontwikkelt, beheert en onderhoudt de Notion-service en de bijbehorende infrastructuur. Daaronder vallen ook de beveiliging en het installeren van patches. Klanten zijn verantwoordelijk voor de omgevingen waarmee ze Notion gebruiken.

Verantwoordelijkheden van Notion

• De Notion-applicatie en de bijbehorende infrastructuur ontwikkelen, testen, patchen en onderhouden. Notion installeert updates voor de Service; Klanten hoeven daar niets voor te doen.

• Het uitvoeren van dreigingsmodellering en beoordelingen van veilig ontwerp voor nieuwe releases, en het uitvoeren van code-audits, codereviews en beveiligingsscans van de codebase.

• Opdracht geven voor jaarlijkse onafhankelijke penetratietests.

• Het implementeren en beheren van netwerkbeveiliging in de systemen van Notion.

• Het monitoren van de infrastructuur, netwerken en bedrijfsmiddelen van Notion op kwaadaardige activiteiten.

• Een openbaar programma voor het melden van kwetsbaarheden beheren en opdracht geven voor onafhankelijke penetratietests.

• De eigen bedrijfssystemen en apparaten van medewerkers van Notion beveiligen, onder meer met versleuteling van opgeslagen gegevens, endpointdetectie en -respons en centraal apparaatbeheer.

• Notion-clientapplicaties publiceren en er updates voor uitbrengen.

Verantwoordelijkheden van de gebruiker

• Ondersteunde endpointomgevingen, waaronder webbrowsers, onderhouden en tijdig bijwerken, evenals instellingen die updates voor Notion-clients kunnen verhinderen.

• Het beveiligen van de apparaten en netwerken die worden gebruikt om toegang te krijgen tot Notion, overeenkomstig de eigen normen voor endpointbeveiliging van de gebruiker.

• Bij centraal beheer van updates voor Notion-clients ervoor zorgen dat die tijdig worden geïnstalleerd. Als automatische updates worden uitgesteld of uitgeschakeld, is de Gebruiker verantwoordelijk voor het tijdig bijwerken van de client.

• Ervoor zorgen dat installatieconfiguraties gebruikers niet verhinderen updates te ontvangen.

• Het melden van vermoedelijke kwetsbaarheden in de Notion-service aan Notion in plaats van ze uit te buiten of openbaar te maken.

Waar de grens ligt

Notion voorziet de Notion-service van patches. Klanten hoeven zelf geen patches op Notion toe te passen en hoeven niets te doen voor updates aan de serverzijde.

Clientapplicaties werken anders. Notion brengt updates uit, maar of een apparaat die ontvangt, hangt af van de configuratie en het beheer ervan. Als een organisatie de installatie of updates beheert, is ze zelf verantwoordelijk voor het bijwerken van de clients.

Notion biedt een API, een integratieplatform en AI-functies waarmee handelingen met Klantgegevens kunnen worden uitgevoerd en gekoppelde systemen kunnen worden benaderd. Klanten bepalen zelf welke mogelijkheden ze inschakelen, welke toegang ze verlenen en hoe ze het gebruik ervan beheren.

Verantwoordelijkheden van Notion

• De Notion-API, het integratieplatform, de koppelingen en de AI-functies leveren en onderhouden.

• De gebruikersmachtigingen in Notion AI, Notion-agent en AI Connectors respecteren. Aangepaste agenten gebruiken hun eigen expliciet verleende machtigingen. Die kunnen afwijken van de machtigingen van de persoon die met de agent werkt.

• Beheerinstellingen bieden waarmee wordt bepaald welke integraties en externe AI-tools mogen worden geïnstalleerd, welke agenten mogen worden aangemaakt en of AI-functies zijn ingeschakeld.

• Instellingen bieden om AI-webzoekopdrachten in of uit te schakelen en om bevestiging te vereisen voordat externe webverzoeken worden gedaan.

• Zorg voor maatregelen die prompt-injectie opsporen en het risico erop verkleinen. Denk aan het herkennen van verborgen instructies in content van derden en geüploade bestanden, beperkingen voor het verwerken van links en extra controles wanneer agenten zelfstandig handelen.

• Gebruik Klantgegevens niet om de modellen van Notion te trainen en verbied AI-subverwerkers dit contractueel zonder uitdrukkelijke toestemming van de klant te doen.

• Registreer de activiteit van integraties, koppelingen, agenten en externe AI-tools in het auditlogboek.

Verantwoordelijkheden van de gebruiker

• Bepalen welke integraties, koppelingen, AI-functies en agenten geschikt zijn voor de organisatie en de beschikbare instellingen daarop afstemmen.

• Beoordelen welke toegang en mogelijkheden een integratie of koppeling vraagt voordat je die toestaat, en nagaan of de externe dienst voldoet aan de eisen die de Gebruiker aan leveranciers stelt.

• Interne integratietokens beheren: de verspreiding ervan beperken, ze regelmatig vernieuwen en tokens intrekken die niet meer nodig zijn.

• Het aanmaken en configureren van agenten beheren, inclusief tot welke Klantgegevens en gekoppelde tools elke agent toegang heeft, en die toegang periodiek beoordelen.

• Klanten moeten ervoor zorgen dat agentmachtigingen op de juiste wijze zijn afgebakend.

• Bepalen of modellen die gegevens bewaren mogen worden ingeschakeld voor functies die deze vereisen.

• Ervoor zorgen dat de Klantgegevens die via gekoppelde systemen aan Notion beschikbaar worden gesteld daarvoor geschikt zijn en dat de toegang in die systemen goed is afgebakend.

• Gebruikers ervan bewust maken dat Klantgegevens die van buiten de Workspace afkomstig zijn, inclusief webpagina's en geüploade bestanden, kunnen proberen het AI-gedrag te beïnvloeden.

Wat klanten moeten weten over gekoppelde gegevens

Toegang via een koppeling is niet beperkter dan de machtigingen in het gekoppelde systeem. Notion handhaaft de machtigingen die het gekoppelde systeem doorgeeft, maar beperkt te ruime machtigingen in het bronsysteem niet.

Wijzigingen in machtigingen van gekoppelde systemen worden pas na een synchronisatie zichtbaar in Notion. Het kan ook even duren voordat nieuw toegevoegde Klantgegevens verschijnen of verwijderde Klantgegevens niet meer beschikbaar zijn.

Notion is verantwoordelijk voor de beveiliging van de Notion-service en voor het informeren van klanten wanneer een incident hun Klantgegevens treft. Klanten zijn zelf verantwoordelijk voor de manier waarop zij reageren op incidenten met betrekking tot hun eigen accounts, Workspaces en Klantgegevens, inclusief eventuele meldingen die zij moeten doen.

Verantwoordelijkheden van Notion

• Houd een gedocumenteerd incidentresponsplan bij en test het regelmatig.

• Spoor beveiligingsincidenten op die de systemen van Notion of de Klantgegevens die Notion bewaart raken. Beoordeel, onderzoek, beperk en verhelp deze incidenten.

• Stel getroffen klanten op de hoogte van beveiligingsincidenten in overeenstemming met het Gegevensverwerkingsaddendum en de toepasselijke wetgeving.

• Voer een evaluatie na het incident uit, inclusief een analyse van de hoofdoorzaak, en pas de bevindingen toe op de controles en het responsplan van Notion.

• Publiceer de operationele status van de dienst en meld incidenten die de beschikbaarheid beïnvloeden.

• Beheer een programma voor het melden van kwetsbaarheden en beoordeel en verhelp gemelde kwetsbaarheden.

Verantwoordelijkheden van de gebruiker

• Vermoedelijke beveiligingsincidenten, gehackte accounts, vermoedelijke kwetsbaarheden en misbruik van de dienst zo snel mogelijk via het juiste kanaal aan Notion melden.

• Incidenten in de eigen workspaces en accounts van de Gebruiker opsporen en erop reageren, zoals gestolen inloggegevens, ongepast delen en misbruik door interne gebruikers.

• Een eigen aanpak voor incidenten bijhouden en bepalen wie verantwoordelijk is voor het reageren op activiteiten die in Notion worden opgemerkt.

• Beschikbare maatregelen nemen om een incident binnen het product in te dammen, zoals toegang en sessies intrekken, inloggegevens opnieuw instellen, integratietokens intrekken en gepubliceerde Klantgegevens offline halen.

• Het bewaren van relevant bewijsmateriaal, inclusief het exporteren van auditlogboekrecords voordat deze buiten de bewaartermijn vallen.

• Bepalen of de Gebruiker door een incident verplicht is een toezichthouder, klant of betrokkene te informeren en die melding vervolgens doen.

• Het actueel houden van administratieve en beveiligingscontactgegevens, zodat meldingen van Notion de juiste personen bereiken.

• Het melden van vermoedelijke kwetsbaarheden aan Notion in plaats van ze uit te buiten of openbaar te maken.

Welke partij detecteert wat

Notion bewaakt de eigen infrastructuur en kan incidenten opsporen die de Dienst raken. Notion kan niet bepalen of een op zichzelf geldige actie in een workspace volgens het interne beleid van de Gebruiker was toegestaan. Klanten zijn verantwoordelijk voor het bewaken van activiteiten in hun workspaces en het reageren op misbruik.

Denk aan een lid dat vertrouwelijke Klantgegevens publiceert, een vertrekkende medewerker die gegevens exporteert of iemand die eigen inloggegevens misbruikt. Om zulke gebeurtenissen op te sporen en erop te reageren, moet de Gebruiker de beschikbare activiteitsgegevens en beheermogelijkheden controleren.

Notion onderhoudt een programma voor informatiebeveiliging en privacy dat onafhankelijk wordt gecontroleerd, en stelt de resulterende documentatie beschikbaar. Klanten bepalen of Notion geschikt is voor hun eigen wettelijke verplichtingen en configureren het dienovereenkomstig.

Verantwoordelijkheden van Notion

• Houd beveiligings- en privacyprogramma's in stand die volgens de toepasselijke audit- en certificeringscycli onafhankelijk worden beoordeeld.

• Stel nalevingsdocumentatie, inclusief auditrapporten en certificeringen, beschikbaar aan klanten en potentiële klanten via het Notion Trust Center.

Verantwoordelijkheden van de gebruiker

• Bepalen of Notion geschikt is voor de gegevens die de Gebruiker wil opslaan en voor de wettelijke verplichtingen die voor de Gebruiker gelden.

• De overeenkomsten afsluiten die voor dat gebruik nodig zijn, waaronder waar van toepassing een Gegevensverwerkingsaddendum of Business Associate Agreement.

• De configuratie toepassen die deze overeenkomsten vereisen, waaronder eventuele instellingen voor naleving en de beveiligingsfuncties waarvan die afhankelijk zijn inschakelen.

• Het voltooien van de eigen beoordelingen van de Gebruiker, inclusief risicobeoordeling van leveranciers en elke door de wet vereiste gegevensbeschermingseffectbeoordeling.

• De certificeringen, auditrapporten en lijst met subverwerkers van Notion beoordelen als onderdeel van de eigen processen voor toetsing en wijzigingsbeheer van de Gebruiker.

• Aan de eigen auditors en toezichthouders aantonen dat de configuratie en het gebruik van Notion voldoen aan de verplichtingen die voor de Gebruiker gelden.

Wat de certificering omvat

De certificeringen en auditrapporten die onafhankelijke derden voor Notion opstellen, gaan over de beheersmaatregelen van Notion. Ze zeggen niets over hoe een afzonderlijke organisatie Notion configureert of gebruikt.

Een workspace die gereguleerde gegevens bevat, voldoet niet automatisch aan de regelgeving omdat Notion een certificering heeft. Als het voldoen aan een verplichting afhangt van de configuratie, zoals het beperken van delen, het afdwingen van eenmalige aanmelding, het bewaren van auditgegevens of het beperken van de locaties waar gegevens worden opgeslagen, blijft dat de verantwoordelijkheid van de Gebruiker.

Notion stelt de voorwaarden vast waaronder de dienst mag worden gebruikt en handhaaft deze. Klanten zijn verantwoordelijk voor hun eigen gebruik van Notion en voor de Klantgegevens die in hun workspaces worden bewaard.

Verantwoordelijkheden van Notion

• Publiceer en onderhoud het Beleid voor content en gebruik, de relevante Voorwaarden en aanverwante beleidsregels.

• Bied iedereen die een openbare Notion-pagina bekijkt een manier om Klantgegevens te melden waarvan diegene denkt dat ze verboden zijn.

• Onderzoek meldingen en verwijder Klantgegevens of beperk de toegang wanneer een schending wordt vastgesteld.

• Controleer gebruikscategorieën die gepaard gaan met meer misbruik extra zorgvuldig en schort de toegang waar nodig op of beëindig deze om de beschikbaarheid van de Dienst te beschermen.

Verantwoordelijkheden van de gebruiker

• Notion gebruiken volgens de Voorwaarden en het Beleid voor content en gebruik en ervoor zorgen dat iedereen die Notion via het abonnement van de Gebruiker gebruikt dat ook doet.

• Ervoor zorgen dat Klantgegevens die in Notion worden opgeslagen, vanuit Notion worden gedeeld of via Notion worden gepubliceerd, voldoen aan dat beleid en aan de toepasselijke wetgeving.

• Het modereren van Klantgegevens die anderen hebben aangeleverd wanneer de Gebruiker via Notion door gebruikers gegenereerde Klantgegevens verspreidt.

• Notion gebruiken zoals bedoeld, zonder te proberen de beveiligingsmaatregelen te omzeilen, uit te schakelen of te verstoren.

• Beveiligingstests van Notion uitsluitend uitvoeren via het programma van Notion voor het melden van kwetsbaarheden en volgens de bijbehorende voorwaarden.

• Het te goeder trouw gebruiken van support- en meldingskanalen.