Modell för delat ansvar

Modellen för delat ansvar hjälper Notion och kunderna att tillsammans skapa en säker och välfungerande arbetsyta.

Se Notions MSA och DPA för definitioner av termerna.

Notion är ett gemensamt utrymme där du kan tänka, skriva och planera. Det är ett allt-i-ett-utrymme där användare kan bygga egna verktyg för att göra sitt bästa arbete. Användare anförtror därför Notion yrkesrelaterad och personlig information och ger, genom Anslutningar och AI-funktioner, åtkomst till information som finns i andra system.

En modell för delat ansvar (SRM) är ett ramverk som beskriver ansvarsfördelningen mellan en tjänsteleverantör och dess användare. Den definierar tydligt vilka säkerhets- och driftuppgifter som hanteras av respektive part.

Detta dokument beskriver det delade ansvaret mellan Notion och dess kunder när det gäller att skydda och upprätthålla säkerheten i Notions system, användarkonton och arbetsytor.

Notions SRM klargör vilka processer, driftuppgifter och kontroller Notion respektive kunderna ansvarar för. Det gör att vi kan fokusera på de områden där vi bäst kan skydda Notions systems konfidentialitet, riktighet och tillgänglighet. Samtidigt blir det tydligt när kunderna har bättre förutsättningar att skydda konton, arbetsytor och kunddata. På så sätt blir skyddet av Notions system och konton både bättre och effektivare.

SRM främjar också transparens i hur Notions tjänster levereras, vilket ger kunderna den information de behöver för att utvärdera Notion inom ramen för sina egna risk- och granskningsprocesser och hjälper både Notion och dess kunder att uppfylla sina respektive skyldigheter enligt tillämpliga lokala, regionala, nationella och internationella bestämmelser.

Kort sagt: Notion ansvarar för att bygga, driva och skydda Notion-tjänstens arkitektur. Kunderna ansvarar för hur de konfigurerar och använder tjänsten. Det innebär bland annat att skydda inloggningsuppgifter, hantera åtkomsten till arbetsytor och kunddata samt följa policyn för innehåll och användning och andra relevanta villkor.

Vissa uppgifter som beskrivs i detta dokument kan endast utföras av kunder med utökade behörigheter i en arbetsyta eller organisation. Det är användarens ansvar att tilldela dessa behörigheter på lämpligt sätt.

Vilka verktyg som finns för att uppfylla ett visst ansvar beror på abonnemanget. Om en funktion bara ingår i vissa abonnemang ansvarar kunder som saknar funktionen ändå för att uppnå samma resultat. De bör därför överväga andra sätt att säkerställa det.

Notion tillhandahåller de autentiseringsmetoder och administrativa kontroller som styr hur personer loggar in i Notion och hur åtkomst till arbetsytan beviljas och tas bort. Kunder ansvarar för att välja och konfigurera de kontroller som är lämpliga för deras organisation, samt för att skydda de inloggningsuppgifter som används för att få åtkomst till deras konton.

Notions ansvar

• Tillhandahålla och driva autentiseringsmetoder, inklusive e-post och lösenord, inloggning via Google och Apple samt SAML 2.0 Single sign-on för arbetsytor med Business- och Enterprise-abonnemang.

• Tillhandahålla tvåfaktorsautentisering för konton som loggar in med lösenord, med hjälp av en autentiseringsapp eller en kod via sms.

• Tillhandahålla SCIM-API:er som gör det möjligt för Enterprise-organisationer att automatisera skapande, uppdatering och borttagning av användare via sin identitetsleverantör.

• Tillhandahålla administrativa kontroller som styr sessionslängd, tvingad utloggning, lösenordsåterställning, kontoavstängning och domänverifiering.

• Kräva att domänägarskapet verifieras innan domänen kan användas för att styra hur användarna på domänen loggar in i Notion.

• Återkalla en användares åtkomst till kunddata när användaren tas bort från arbetsytan. Tillhandahålla kontroller som gör det möjligt för en organisation att avsluta sessioner och återställa inloggningsuppgifter för alla användare som organisationen hanterar.

• Upprätthålla åtkomstkontroller med minsta möjliga behörighet i hela Notions egen infrastruktur och kräva att Notions anställda och uppdragstagare omfattas av sekretessåtaganden.

• Få åtkomst till kunddata för supportändamål endast om en användare eller ägare av en arbetsyta har gett sitt samtycke, och låta samtycket upphöra automatiskt efter en bestämd tid.

Användaransvar

• Att skydda inloggningsuppgifter, använda starka och unika lösenord och undvika att återanvända lösenord i andra tjänster.

• Att använda individuella konton i stället för delade konton och inte dela inloggningsuppgifter.

• Att använda tvåfaktorsautentisering för konton som loggar in med lösenord.

• Att uppdatera inloggningsuppgifter i enlighet med intern policy och omgående om det upptäcks att inloggningsuppgifter har röjts i en extern tjänst.

• Att välja och konfigurera de autentiseringsmetoder som är lämpliga för organisationen, inklusive om single sign-on ska vara obligatoriskt.

• Att säkerställa att åtkomsten till arbetsytan är begränsad till avsedda användare och att åtkomsten tas bort omgående när någon slutar eller byter roll. Automatisk borttagning av användare kräver SCIM; om SCIM inte används måste användare tas bort manuellt.

• Att ställa in sessionslängd i enlighet med intern policy och ha en återställningsrutin om åtkomsten till identitetsleverantören går förlorad.

• Att kontrollera om Notions support kan få åtkomst till ett konto eller en arbetsyta och återkalla åtkomsten när den inte längre behövs.

Notion tillhandahåller den behörighetsmodell som avgör vad en autentiserad användare kan se och göra, tillsammans med administrativa kontroller som sätter gränserna för delning. Kunder ansvarar för att besluta hur den modellen tillämpas på deras kunddata, och för att granska den åtkomst som blir resultatet.

Notions ansvar

• Tillhandahålla en behörighetsmodell som fungerar på arbetsyte-, teamutrymmes-, sid- och databasnivå, inklusive behörighetsgrupper, och tillämpa den konsekvent i hela produkten.

• Tillhandahålla separat åtkomst för medlemmar och gäster, så att externa samarbetspartner kan ges åtkomst till specifika kunddata i stället för en hel arbetsyta.

• Tillhandahålla administrativa kontroller som gör det möjligt för en organisation att begränsa offentlig delning av sidor, gäståtkomst, export samt flytt eller duplicering av sidor till andra arbetsytor.

• Tillhandahålla kontroller som styr vem som får publicera kunddata på webben, inklusive Notion-webbplatser, formulär och offentliga länkar.

• Tillhandahålla verktyg för insyn som gör det möjligt för en organisation att se vem som har åtkomst till en sida, vilka sidor som delas externt eller publiceras på webben och att ändra dessa behörigheter.

• Respektera konfigurerade behörigheter för arbetsytan när AI- och sökfunktioner tillhandahålls.

Användaransvar

• Fastställa lämplig åtkomstnivå för kunddata och tillämpa behörigheter därefter.

• Besluta om externt samarbete och offentlig publicering är tillåtna och konfigurera tillgängliga kontroller för att återspegla beslutet.

• Förstå hur åtkomst ärvs. Åtkomst som beviljas till en sida gäller som standard även sidor som är kapslade i den, och om åtkomst beviljas på flera sätt gäller den högsta beviljade åtkomstnivån.

• Granska åtkomst regelbundet, inklusive medlemmar i arbetsytan, gäster, behörighetsgrupper, kunddata som delas externt och kunddata som publiceras på webben.

• Ta bort åtkomst till kunddata när en samarbetspartners medverkan upphör, inklusive gäster och externa samarbetspartner vars åtkomst inte hanteras via organisationens identitetsleverantör.

• Säkerställa att kunddata som publiceras på webben är avsedda för allmänheten och konfigurera alternativ som sökmotorindexering därefter.

• Överföra kunddata som en användare har lagrat privat innan användaren slutar, eller inom den begränsade tid då överföring fortfarande är möjlig. Därefter går privata kunddata i allmänhet inte att återställa, och verktyg för överföring finns bara med Enterprise-abonnemanget.

Notion lagrar och behandlar kunddata för sina kunders räkning och skyddar den under överföring och vid lagring. Kunderna avgör vilken data som placeras i Notion, hur länge den sparas och vilka juridiska förpliktelser som är kopplade till den.

Notions ansvar

• Behandla kunddata i enlighet med huvudabonnemangsavtalet, personuppgiftsbiträdesavtalet och tillämplig dataskyddslagstiftning.

• Kryptera kunddata vid lagring med AES-256 eller en branschstandardalgoritm som ger likvärdig eller starkare säkerhet, inklusive i molnlagring, databastabeller och säkerhetskopior, och kryptera data under överföring med TLS 1.2 eller senare.

• Upprätthålla och publicera en aktuell lista över underbiträden.

• Erbjuda datalagring i en viss region för definierade kategorier av kunddata, så att behöriga organisationer kan välja var dessa uppgifter ska lagras.

• Avstå från att använda kunddata för att träna Notions maskininlärningsmodeller och genom avtal förbjuda AI-underbiträden att göra det utan kundens uttryckliga samtycke.

• Tillhandahålla funktioner som gör det möjligt för kunder att exportera, behålla och radera sina kunddata, och radera kunddata när avtalet upphör enligt avtalets villkor.

• Ingå ett tillägg för databehandling, och ett Business Associate Agreement där så är tillämpligt, med kunder som kräver ett sådant.

Användaransvar

• Fastställa vilka data som är lämpliga att lagra i Notion och säkerställa att reglerade data endast lagras där nödvändiga avtal och konfigurationer finns på plats.

• Fastställa och tillämpa rutiner för datalagring och radera kunddata som inte längre behövs.

• Konfigurera produktens inställningar för lagring och radering så att de återspeglar den interna policyn.

• Lämna fullständiga och korrekta kontouppgifter och omgående rätta eventuella fel.

• Uppfylla de skyldigheter som åligger den personuppgiftsansvariga för personuppgifter på en arbetsyta, bland annat att ge registrerade information om hur deras uppgifter behandlas, fastställa en rättslig grund för behandlingen och besvara registrerades begäranden som rör kunddata.

• Avgöra om datalagring i en viss region krävs, begära det vid behov och förstå vilka kategorier av data och vilka Notion-produkter som inte omfattas.

• Granska Notions lista över underbiträden.

Notion driver den infrastruktur som håller tjänsten tillgänglig och underhåller säkerhetskopior av den infrastrukturen i syfte att återställa tjänsten. Kunder ansvarar för att återställa sina egna kunddata med hjälp av de verktyg Notion tillhandahåller och för att bevara en separat kopia av dessa kunddata när deras egna skyldigheter kräver det.

Notions ansvar

• Driva Notion-tjänsten i enlighet med de tillgänglighetsåtaganden som anges i villkoren för servicenivå, med hjälp av redundant infrastruktur i flera tillgänglighetszoner.

• Publicera driftstatus för tjänsten.

• Upprätthålla automatiserade, krypterade och övervakade säkerhetskopior av kunddata.

• Lagra säkerhetskopior enligt Notions publicerade förteckning över var säkerhetskopior lagras för den valda datalagringsregionen. Datalagring i en viss region gäller bara definierade kategorier av kunddata.

• Upprätthålla och regelbundet testa planer för katastrofåterställning och kontinuitetshantering.

• Tillhandahålla verktyg för återställning i produkten, inklusive papperskorg och versionshistorik, som gör det möjligt för kunder att själva återställa kunddata.

• Tillhandahålla exportfunktionalitet som gör det möjligt för kunder att få en kopia av sina kunddata.

Användaransvar

• Återställa enskilda sidor och kunddata med hjälp av papperskorgen och versionshistoriken, inom de lagringsperioder som gäller för användarens abonnemang.

• Konfigurera inställningar för lagring av kunddata, där sådana finns tillgängliga, för att återspegla intern policy.

• Upprätthålla en oberoende kopia av kunddata när intern policy, avtalsförpliktelser eller regelverk kräver lagring utöver vad produkten tillhandahåller eller kräver att en kopia lagras utanför Notion.

• Skapa exporter enligt ett schema som är lämpligt för dessa krav och verifiera att exporterna är kompletta. Kunddata som det exporterande kontot inte har åtkomst till inkluderas inte i en export.

• Hämta exporter inom den period som nedladdningslänken förblir giltig.

• Planera för att tjänsten kan vara otillgänglig som en del av användarens egen kontinuitetsplanering.

Vad Notions säkerhetskopior är och inte är

Notions säkerhetskopior används för att återställa Notion-tjänsten. Kunder kan inte använda dem för att återställa en arbetsyta till ett visst tidigare tillstånd. Kunder återställer enskilda uppgifter via papperskorgen och versionshistoriken. När tiden i papperskorgen och den tillämpliga lagringstiden har löpt ut raderas kunddata permanent och kan inte återställas. Kunder bör inte förlita sig på support för att spara data längre.

En export skapar en portabel kopia av kunddata i format som HTML, Markdown, CSV eller PDF, beroende på exporttyp och abonnemang. Det är inte en fullständig säkerhetskopia av arbetsytan: import av exporterad kunddata återskapar inte arbetsytans ursprungliga behörigheter, inställningar eller fullständiga konfiguration, och kan kräva manuell omstrukturering.

Notion skapar loggposter om relevant aktivitet på en arbetsyta och gör dem tillgängliga för organisationen. Kunderna ansvarar för att granska dessa loggposter, spara dem där det krävs och agera utifrån vad de visar.

Notions ansvar

• Registrera säkerhets- och trygghetsrelaterade händelser på en organisations arbetsytor, inklusive vem som utförde åtgärden, vilken åtgärd det var, tidpunkten och, om uppgiften finns tillgänglig, IP-adressen.

• Spara historiken i granskningsloggen i produkten under en fastställd period och tillhandahålla möjligheter att exportera och strömma händelser så att kunderna kan spara historiken längre.

• Göra det möjligt att strömma händelser i realtid till användarens plattform för säkerhetsövervakning och erbjuda stöd för anslutningar till verktyg som förhindrar dataförlust.

• Övervaka Notions infrastruktur, nätverk och system för att upptäcka skadlig aktivitet och föra interna loggar över dessa system.

Användaransvar

• Granska aktiviteten i granskningsloggen samt undersöka och agera på aktivitet som verkar oväntad eller obehörig.

• Spara loggdata under den period som krävs enligt kundens egna interna policyer eller gällande regler, genom att exportera eller strömma händelser innan lagringstiden löper ut.

• Konfigurera övervakning, aviseringar och eventuella anslutningar för säkerhet eller regelefterlevnad i användarens miljö och se till att integrationerna fortsätter att fungera.

• Definiera vad som räknas som misstänkt aktivitet i organisationen och utse någon som ansvarar för att granska den.

• Rapportera misstänkt aktivitet till Notion om den kan tyda på att tjänsten har äventyrats.

Vad granskningsloggen omfattar och inte omfattar

Granskningsloggen registrerar händelser. Loggposter och data som strömmas beskriver vilka åtgärder som vidtagits och av vem, men innehåller inte kunddata från sidor.

Granskningsloggen börjar registrera händelser när en organisation får tillgång till funktionen. Tidigare aktivitet går inte att se i efterhand.

Notion utvecklar, driver och underhåller Notion-tjänsten och den infrastruktur den körs på, inklusive säkring och installation av säkerhetskorrigeringar för denna infrastruktur. Kunderna ansvarar för de miljöer från vilka de får åtkomst till Notion.

Notions ansvar

• Utveckla, testa, installera säkerhetskorrigeringar för och underhåll Notion-appen och den infrastruktur som stöder den. Uppdateringar av tjänsten utförs av Notion och kräver inga åtgärder från kunderna.

• Genomföra hotmodellering och granska säkerhetsutformningen inför nya versioner samt utföra kodrevisioner, kodgranskningar och säkerhetsskanningar av kodbasen.

• Beställa årliga oberoende penetrationstester.

• Implementera och hantera nätverkssäkerhet i Notions system.

• Övervaka Notions infrastruktur, nätverk och tillgångar för att upptäcka skadlig aktivitet.

• Driv ett offentligt program för sårbarhetsrapportering och beställ oberoende penetrationstester.

• Säkra Notions egna företagssystem och medarbetarnas enheter, inklusive kryptering av lagrade data, hotdetektering och incidenthantering på slutpunkter samt centraliserad enhetshantering.

• Publicera Notions klientappar och leverera uppdateringar till dem.

Användarens ansvar

• Underhålla kompatibla miljöer för enheter, inklusive webbläsare, och installera nödvändiga säkerhetskorrigeringar. Hantera även inställningar som kan hindra uppdateringar av Notions klientappar.

• Skydda de enheter och nätverk som används för att komma åt Notion enligt användarens egna säkerhetskrav för enheter.

• Se till att uppdateringar av Notion-klienten fortsätter att installeras i tid om de hanteras centralt. Om automatiska uppdateringar skjuts upp eller inaktiveras ansvarar användaren för att klienten får säkerhetskorrigeringar i tid.

• Säkerställ att installationskonfigurationer inte hindrar användare från att ta emot uppdateringar.

• Rapportera misstänkta sårbarheter i Notion-tjänsten till Notion istället för att utnyttja eller offentliggöra dem.

Var gränsen går

Notion installerar säkerhetskorrigeringar i Notion-tjänsten. Kunder behöver inte installera korrigeringar i Notion eller göra något för att få uppdateringar på serversidan.

Klientappar fungerar annorlunda. Notion publicerar uppdateringar, men om en viss enhet får dem beror på hur den är konfigurerad och hanteras. Om en organisation hanterar installationer eller uppdateringar ansvarar den för att hålla klientapparna uppdaterade.

Notion tillhandahåller ett API, en integrationsplattform och AI-funktioner som kan agera på kunddata och nå anslutna system. Kunder ansvarar för att besluta vilka av dessa som ska aktiveras, vilken åtkomst som ska beviljas dem och hur de styrs.

Notions ansvar

• Tillhandahåll och underhåll Notions API, integrationsplattform, anslutningar och AI-funktioner.

• Respektera användarbehörigheter i Notion AI, Notion-agenten och AI-anslutningar. Skräddarsydda agenter använder sina egna uttryckligen beviljade behörigheter, som kan skilja sig från behörigheterna hos den person som interagerar med agenten.

• Tillhandahåll administrativa kontroller som styr vilka integrationer och externa AI-verktyg som får installeras, vilka agenter som får skapas och om AI-funktioner är aktiverade.

• Tillhandahåll kontroller för att aktivera eller inaktivera AI-webbsökning och kräva bekräftelse före externa webbförfrågningar.

• Upprätthåll skydd som minskar risken för promptinjektion. Det omfattar att upptäcka dolda instruktioner i innehåll från tredje part och uppladdade filer, begränsa länkhantering och göra extra kontroller när agenter agerar självständigt.

• Avstå från att använda kunddata för att träna Notions modeller och förbjud genom avtal AI-underbiträden att göra det utan uttryckligt samtycke från kunden.

• Logga aktivitet i integrationer, anslutningar, agenter och externa AI-verktyg i granskningsloggen.

Användarens ansvar

• Besluta vilka integrationer, anslutningar, AI-funktioner och agenter som är lämpliga för organisationen och konfigurera de tillgängliga kontrollerna för att återspegla det beslutet.

• Granska åtkomst och funktioner som begärs av en integration eller anslutning innan den godkänns och bekräfta att tredjepartstjänsten uppfyller användarens egna leverantörskrav.

• Hantera interna integrationstoken genom att begränsa vem som får tillgång till dem, byta dem regelbundet och återkalla dem när de inte längre behövs.

• Styra skapandet och konfigurationen av agenter, inklusive vilken kunddata och vilka anslutna verktyg varje agent kan nå, och regelbundet granska den åtkomsten.

• Kunder måste säkerställa att agentbehörigheter är lämpligt begränsade.

• Avgöra om modeller som lagrar data får aktiveras för funktioner som kräver dem.

• Säkerställa att kunddata som görs tillgänglig för Notion genom anslutna system är lämplig för det ändamålet, och att åtkomst som beviljats i det anslutna systemet i sig är korrekt begränsad.

• Göra användare medvetna om att kunddata från källor utanför arbetsytan, inklusive webbsidor och uppladdade filer, kan innehålla försök att påverka AI:s beteende.

Förstå data från anslutna system

Åtkomst som beviljas genom en anslutning är endast så begränsad som de behörigheter som beviljats i det anslutna systemet. Notion tillämpar de behörigheter som rapporteras av det anslutna systemet men åtgärdar inte alltför omfattande behörigheter i källsystemet.

Ändringar av behörigheter i anslutna system syns inte i Notion förrän efter nästa synkronisering. Det kan också dröja innan nya kunddata visas eller raderade kunddata inte längre är tillgängliga.

Notion ansvarar för säkerheten i Notion-tjänsten och för att meddela kunder när en incident påverkar deras kunddata. Kunder ansvarar för att hantera incidenter som rör deras konton, arbetsytor och kunddata, och för att skicka de meddelanden som krävs.

Notions ansvar

• Upprätthåll en dokumenterad incidenthanteringsplan och testa den regelbundet.

• Upptäck, bedöm, utred, begränsa och åtgärda säkerhetsincidenter som påverkar Notions system och de kunddata som Notion lagrar.

• Meddela berörda kunder om säkerhetsincidenter i enlighet med tillägget om databehandling och tillämplig lag.

• Genomför en granskning efter incidenten, inklusive en analys av grundorsaken, och tillämpa resultaten på Notions kontroller och incidenthanteringsplan.

• Publicera tjänstens driftstatus och informera om störningar i tillgängligheten.

• Driva ett program för rapportering av sårbarheter samt bedöma och åtgärda rapporterade sårbarheter.

Användarens ansvar

• Rapportera misstänkta säkerhetsincidenter, komprometterade konton, misstänkta sårbarheter och missbruk av tjänsten till Notion omgående, via lämplig kanal.

• Upptäcka och reagera på incidenter som inträffar inom användarens egna arbetsytor och konton, inklusive komprometterade inloggningsuppgifter, olämplig delning och missbruk från interna användares sida.

• Upprätthålla användarens egna rutiner för incidenthantering och definiera vem som ansvarar för att agera på aktivitet som identifierats i Notion.

• Vidta begränsningsåtgärder som finns tillgängliga i produkten, inklusive att ta bort åtkomst, återkalla sessioner, återställa inloggningsuppgifter, återkalla integrationstoken och dra tillbaka publicerad kunddata.

• Bevara relevant bevisning, inklusive att exportera granskningsloggposter innan lagringstiden för dem löper ut.

• Avgöra om en incident utlöser en anmälningsskyldighet som användaren har gentemot en tillsynsmyndighet, kund eller berörd individ, och göra den anmälan.

• Hålla kontaktuppgifter för administration och säkerhet uppdaterade så att meddelanden från Notion når rätt personer.

• Rapportera misstänkta sårbarheter till Notion istället för att utnyttja dem eller offentliggöra dem.

Vilken part upptäcker vad

Notion övervakar sin egen infrastruktur och kan upptäcka incidenter som påverkar tjänsten. Notion kan inte avgöra om en i övrigt giltig åtgärd på en arbetsyta var godkänd enligt användarens interna policyer. Kunder ansvarar för att övervaka aktiviteten på sina arbetsytor och reagera på missbruk.

Det gäller till exempel när en medlem publicerar konfidentiella kunddata, en medarbetare som ska sluta exporterar data eller någon missbrukar sina egna inloggningsuppgifter. För att upptäcka och hantera sådana händelser behöver användaren granska tillgängliga aktivitetsuppgifter och kontroller.

Notions program för informationssäkerhet och integritet granskas av en oberoende part. Notion gör dokumentationen från granskningen tillgänglig. Kunder avgör själva om Notion passar deras regulatoriska skyldigheter och konfigurerar tjänsten därefter.

Notions ansvar

• Upprätthåll oberoende bedömda säkerhets- och integritetsprogram i enlighet med tillämpliga gransknings- och certifieringscykler.

• Gör efterlevnadsdokumentation, inklusive granskningsrapporter och certifieringar, tillgänglig för kunder och potentiella kunder via Notion Trust Center.

Användaransvar

• Avgöra om Notion är lämpligt för de uppgifter som användaren vill lagra och för de regulatoriska skyldigheter som gäller för användaren.

• Ingå de avtal som krävs för den användningen, inklusive ett databehandlingsavtal eller ett Business Associate Agreement där så är tillämpligt.

• Tillämpa den konfiguration som avtalen kräver, inklusive att aktivera eventuella inställningar för regelefterlevnad och de säkerhetsfunktioner som inställningarna är beroende av.

• Slutföra användarens egna bedömningar, inklusive riskbedömning av leverantörer och eventuell konsekvensbedömning avseende dataskydd som krävs enligt lag.

• Granska Notions certifieringar, granskningsrapporter och lista över underbiträden som en del av användarens egna kontroll- och förändringshanteringsprocesser.

• Visa för sina revisorer och tillsynsmyndigheter att användarens konfiguration och användning av Notion uppfyller de skyldigheter som gäller för användaren.

Vad certifieringen omfattar

Notions oberoende tredjepartscertifieringar och granskningsrapporter omfattar de kontroller som Notion tillämpar. De omfattar inte hur en enskild organisation konfigurerar eller använder Notion.

En arbetsyta som innehåller reglerade uppgifter uppfyller inte automatiskt gällande krav bara för att Notion har en certifiering. Om uppfyllandet av ett krav beror på konfigurationen, till exempel att begränsa delning, kräva single sign-on, bevara granskningsloggar eller begränsa var uppgifter lagras, är det fortfarande användarens ansvar att uppfylla kravet.

Notion fastställer villkoren för hur tjänsten får användas och upprätthåller dem. Kunder ansvarar för sin egen användning av Notion och för den kunddata som finns i deras arbetsytor.

Notions ansvar

• Publicera och upprätthålla policyn för innehåll och användning, relevanta villkor och relaterade policyer.

• Ge alla som besöker en offentlig Notion-sida möjlighet att rapportera kunddata som de anser är otillåten.

• Utreda rapporter och ta bort kunddata eller begränsa åtkomsten när en överträdelse upptäcks.

• Granska användningsområden med högre risk för missbruk extra noga och vid behov stänga av åtkomsten tillfälligt eller avsluta den för att skydda tjänstens tillgänglighet.

Användaransvar

• Använda Notion i enlighet med villkoren och policyn för innehåll och användning, samt säkerställa att personer som använder Notion inom ramen för användarens abonnemang gör detsamma.

• Säkerställa att kunddata som lagras i, delas från eller publiceras via Notion följer dessa policyer och tillämplig lagstiftning.

• Moderera kunddata som andra har bidragit med om användaren distribuerar användargenererad kunddata via Notion.

• Använda Notion inom ramen för tjänstens avsedda kapacitet och inte försöka kringgå, inaktivera eller störa säkerhetskontrollerna.

• Genomföra eventuella säkerhetstester av Notion endast genom Notions program för sårbarhetsrapportering och inom ramen för dess villkor.

• Använda support- och rapporteringskanaler i god tro.