공동 책임 모델

이 공동 책임 모델은 Notion과 고객이 함께 안전하고 효과적인 워크스페이스 환경을 만들 수 있도록 합니다.

정의된 용어는 Notion의 MSA 및 DPA를 참조하십시오.

Notion은 생각하고 글을 쓰고 계획을 세울 수 있는 하나의 공간입니다. 사용자가 최고의 성과를 낼 수 있도록 자신만의 도구를 만들 수 있는 올인원 공간인 만큼, 사용자는 업무와 개인 정보를 Notion에 맡깁니다. 또한 연결과 AI 기능을 통해 다른 시스템에 저장된 정보에 대한 사용 권한도 Notion에 맡깁니다.

공동 책임 모델(SRM)은 서비스 제공업체와 사용자 간의 책임 분담을 개략적으로 설명하는 프레임워크입니다. 이 모델은 각 당사자가 처리하는 보안 및 운영 작업을 명확하게 정의합니다.

이 문서는 Notion 시스템, 사용자 계정과 워크스페이스의 보안을 유지하기 위해 Notion과 고객이 분담하는 책임을 설명합니다.

Notion SRM은 특정 프로세스, 운영 또는 통제를 Notion과 고객 중 누가 책임지는지 명확히 보여 줍니다. 이를 통해 Notion은 자사 시스템의 기밀성, 무결성과 가용성을 가장 효과적으로 보호할 수 있는 영역에 집중하고 책임을 집니다. 고객이 자신의 계정, 워크스페이스와 고객 데이터를 더 효과적으로 보호할 수 있는 영역도 명확해집니다. 결과적으로 Notion 시스템과 계정을 더욱 안전하고 효율적으로 보호할 수 있습니다.

또한 SRM은 Notion 서비스가 제공되는 방식의 투명성을 높입니다. 고객이 자체 위험 평가와 보증 절차에서 Notion을 평가하는 데 필요한 정보를 제공하고, Notion과 고객이 각각 적용되는 지방, 지역, 국가 및 국제 규정에 따른 의무를 이행하도록 돕습니다.

요약하자면, Notion은 Notion 서비스의 아키텍처를 구축, 운영 및 보호할 책임이 있습니다. 고객은 인증서 보호, 워크스페이스 및 고객 데이터에 대한 사용 권한 관리, 콘텐츠 및 사용 정책 및 기타 관련 약관 준수를 포함하여 해당 서비스를 구성하고 사용하는 방법에 대한 책임이 있습니다.

이 문서에 설명된 일부 책임은 워크스페이스나 조직에서 상위 권한을 가진 고객만 이행할 수 있습니다. 이러한 권한을 적절하게 부여하는 것은 사용자의 책임입니다.

특정 책임을 이행하는 데 사용할 수 있는 도구는 요금제에 따라 다릅니다. 특정 기능이 일부 구독 요금제에서만 제공되더라도, 해당 기능을 사용할 수 없는 구독 요금제의 고객은 여전히 그 책임에 따른 결과를 달성해야 하며 대체 통제 수단을 고려해야 합니다.

Notion은 사용자가 Notion에 로그인하는 방식과 워크스페이스 사용 권한을 부여하고 회수하는 방식을 관리하는 인증 방법과 관리자 제어 기능을 제공합니다. 고객은 조직에 적합한 제어 기능을 선택 및 구성하고, 계정 사용 권한을 얻는 데 사용되는 인증서를 보호할 책임이 있습니다.

Notion의 책임

• 이메일 및 비밀번호, Google 및 Apple 로그인, 비즈니스 및 엔터프라이즈 요금제 워크스페이스를 위한 SAML 2.0 SSO(통합 로그인)를 포함한 인증 방법을 제공하고 운영합니다.

• 인증기 앱 또는 문자 메시지 코드를 사용하여 비밀번호로 로그인하는 계정에 2단계 인증을 제공합니다.

• 엔터프라이즈 조직이 ID 공급자를 통해 사용자의 생성, 업데이트 및 삭제를 자동화할 수 있도록 SCIM API를 제공합니다.

• 세션 기간, 강제 로그아웃, 비밀번호 재설정, 계정 일시 중지, 도메인 인증을 관리하는 관리자 제어 기능을 제공합니다.

• 도메인을 사용해 해당 도메인 사용자들이 Notion에 로그인하는 방식을 제어하려면 먼저 도메인 소유권을 인증받아야 합니다.

• 사용자가 워크스페이스에서 제거되면 해당 사용자의 고객 데이터에 대한 사용 권한을 취소합니다. 조직이 관리하는 사용자 전체의 세션을 종료하고 인증서를 재설정할 수 있는 제어 기능을 제공합니다.

• Notion 자체 인프라 전반에서 최소 권한을 원칙으로 사용 권한을 관리하고, Notion 직원 및 계약자가 기밀 유지 의무를 준수하도록 요구합니다.

• 사용자 또는 워크스페이스 소유자가 동의한 경우에만 지원 목적으로 고객 데이터에 접근하며, 정해진 기간이 지나면 해당 동의가 자동으로 만료되도록 합니다.

사용자의 책임

• 로그인 인증서를 보호하고, 강력하고 고유한 비밀번호를 사용하며, 다른 서비스에서 비밀번호를 재사용하지 않습니다.

• 공유 계정이 아닌 개별 계정을 유지하고 로그인 정보를 공유하지 않습니다.

• 비밀번호로 로그인하는 계정에 2단계 인증을 사용합니다.

• 내부 정책에 따라 인증서를 업데이트하고, 외부에서 인증서 유출이 확인되면 즉시 업데이트합니다.

• SSO(통합 로그인) 적용 의무화 여부를 포함하여 조직에 적합한 인증 방법을 선택하고 구성합니다.

• 워크스페이스 사용 권한을 지정된 사용자에게만 부여하고, 퇴사하거나 역할이 변경되면 해당 권한을 즉시 회수합니다. 자동 프로비저닝 해제에는 SCIM이 필요하며, 이를 사용하지 않는 경우 수동으로 권한을 회수해야 합니다.

• 내부 정책에 따라 세션 기간을 설정하고, ID 공급자에 대한 사용 권한을 잃었을 때를 대비한 복구 절차를 유지합니다.

• Notion 지원팀의 계정 또는 워크스페이스에 대한 사용 권한을 관리하고, 더 이상 필요하지 않으면 해당 사용 권한을 취소합니다.

Notion은 인증된 사용자가 무엇을 보고 무엇을 할 수 있는지 결정하는 권한 모델과 공유 범위를 설정하는 관리 제어 기능을 제공합니다. 고객은 해당 모델을 고객 데이터에 어떻게 적용할지 결정하고 그에 따른 사용 권한을 검토할 책임이 있습니다.

Notion의 책임

• 권한 그룹을 포함하여 워크스페이스, 팀스페이스, 페이지 및 데이터베이스 수준에서 작동하는 권한 모델을 제공하고 제품 전반에 걸쳐 일관되게 적용합니다.

• 멤버와 게스트에 대해 별도의 사용 권한을 제공하여 외부 공동 작업자에게 전체 워크스페이스가 아닌 특정 고객 데이터에 대한 사용 권한을 부여할 수 있도록 합니다.

• 조직이 공개 페이지 공유, 게스트 사용 권한, 내보내기, 페이지 이동 또는 다른 워크스페이스로의 복제를 제한할 수 있는 관리 제어 기능을 제공합니다.

• Notion 사이트, 폼 및 공개 링크를 포함하여 누가 고객 데이터를 웹에 게시할 수 있는지 제어하는 기능을 제공합니다.

• 조직이 누가 페이지에 대한 사용 권한을 갖고 있는지, 어떤 페이지가 외부와 공유되거나 웹에 게시되었는지 확인하고 해당 권한을 변경할 수 있는 도구를 제공합니다.

• AI 및 검색 기능을 제공할 때 구성된 워크스페이스 권한을 준수합니다.

사용자의 책임

• 고객 데이터에 대한 적절한 사용 권한 수준을 결정하고 그에 따라 권한을 적용합니다.

• 외부 공동 작업 및 공개 게시 허용 여부를 결정하고, 해당 결정을 반영하도록 사용 가능한 제어 기능을 구성합니다.

• 사용 권한이 상속되는 방식을 이해합니다. 페이지에 부여된 사용 권한은 기본적으로 그 안에 중첩된 페이지에도 적용되며, 여러 경로를 통해 사용 권한이 부여된 경우 가장 높은 수준의 권한이 적용됩니다.

• 워크스페이스 멤버, 게스트, 권한 그룹, 외부와 공유된 고객 데이터, 웹에 게시된 고객 데이터에 대한 사용 권한을 주기적으로 검토합니다.

• 공동 작업자의 참여가 종료되면 고객 데이터에 대한 사용 권한을 제거합니다. 여기에는 조직의 ID 공급자를 통해 사용 권한이 관리되지 않는 게스트 및 외부 공동 작업자도 포함됩니다.

• 웹에 게시하는 고객 데이터가 공개 대상에게 제공하기 위한 것인지 확인하고, 검색 엔진 인덱싱과 같은 옵션을 그에 맞게 설정합니다.

• 사용자가 떠나기 전이나 데이터 이전이 가능한 제한된 기간 내에 해당 사용자가 비공개로 보관한 고객 데이터를 이전합니다. 이 기간이 지나면 비공개 고객 데이터는 대체로 복구할 수 없으며, 이전 도구는 엔터프라이즈 요금제에서만 사용할 수 있습니다.

Notion은 고객을 대신하여 고객 데이터를 저장 및 처리하며 전송 중이거나 저장된 상태의 데이터를 보호합니다. 고객은 Notion에 어떤 데이터를 저장할지, 얼마나 오래 보관할지, 그리고 해당 데이터에 어떤 법적 의무가 적용되는지 결정합니다.

Notion의 책임

• 마스터 구독 계약, 데이터 처리 부속서 및 관련 데이터 보호법에 따라 고객 데이터를 처리합니다.

• 클라우드 스토리지, 데이터베이스의 표, 백업을 포함해 저장된 고객 데이터는 AES-256 또는 이와 동등하거나 더 강력한 보안을 제공하는 업계 표준 알고리즘으로 암호화하고, 전송 중인 데이터는 TLS 1.2 이상으로 암호화합니다.

• 최신 데이터 처리 위탁업체 리스트를 유지하고 게시해요.

• 정해진 범주의 고객 데이터에 데이터 레지던시를 제공해, 자격을 갖춘 조직이 해당 데이터가 저장될 지역을 선택할 수 있도록 해요.

• 고객 데이터를 Notion의 머신러닝 모델 학습에 사용하지 않으며, 고객의 명시적 동의 없이 AI 데이터 처리 위탁업체가 고객 데이터를 학습에 사용하지 못하도록 계약으로 금지해요.

• 고객이 고객 데이터를 내보내고 보관하고 삭제할 수 있는 기능을 제공하며, 계약 종료 시 계약에 따라 고객 데이터를 삭제해요.

• 계약 체결이 필요한 고객과 데이터 처리 부속서를 체결하고, 해당되는 경우 사업 제휴 계약서도 체결해요.

사용자의 책임

• Notion에 저장하기에 적절한 데이터를 판단하고, 규제 대상 데이터는 필요한 계약과 설정이 마련된 경우에만 저장해요.

• 데이터 보관 관행을 수립하고 적용하며, 더 이상 필요하지 않은 고객 데이터는 삭제해요.

• 내부 정책을 반영하도록 제품에서 제공하는 보관 및 삭제 설정을 구성해요.

• 완전하고 정확한 계정 데이터를 제출하고, 오류가 확인되면 즉시 수정해요.

• 워크스페이스에 보관된 개인정보의 처리자로서 의무를 이행해요. 여기에는 개인에게 개인정보 처리 정보를 제공하고, 처리의 적법한 근거를 마련하며, 고객 데이터와 관련된 정보 주체의 요청에 대응하는 일이 포함돼요.

• 특정 데이터 레지던시 리전이 필요한지 판단하고, 필요한 경우 요청하며, 어떤 데이터 범주와 Notion 제품이 해당 범위에서 제외되는지 파악해요.

• Notion의 데이터 처리 위탁업체 리스트를 검토해요.

Notion은 서비스를 이용할 수 있도록 인프라를 운영하며, 서비스 복구를 위해 해당 인프라를 백업해요. 고객은 Notion이 제공하는 도구로 자신의 고객 데이터를 복구하고, 자체 의무에 따라 필요한 경우 해당 데이터의 별도 사본을 보관할 책임이 있어요.

Notion의 책임

• 서비스 수준 약관에 명시된 가용성 약정에 따라 여러 가용성 영역에 분산된 중복 인프라를 사용해 Notion 서비스를 운영해요.

• 서비스의 운영 상태를 게시해요.

• 고객 데이터의 자동화된 암호화 백업을 유지하고 모니터링해요.

• 선택한 데이터 레지던시 리전에 대해 Notion이 게시한 백업 리전 매핑에 따라 백업을 저장해요. 데이터 레지던시는 정해진 고객 데이터 범주에만 적용돼요.

• 재해 복구와 비즈니스 연속성 계획을 유지하고 주기적으로 테스트해요.

• 고객이 직접 고객 데이터를 복원할 수 있도록 휴지통과 버전 기록을 비롯한 제품 내 복구 도구를 제공해요.

• 고객이 고객 데이터 사본을 확보할 수 있도록 내보내기 기능을 제공해요.

사용자의 책임

• 사용자의 요금제에 적용되는 보관 기간 내에 휴지통과 버전 기록을 사용해 개별 페이지와 고객 데이터를 복구해요.

• 가능한 경우 내부 정책을 반영하도록 고객 데이터 보관 설정을 구성해요.

• 내부 정책, 계약상 의무 또는 규정에 따라 제품이 제공하는 기간보다 오래 보관하거나 Notion 외부에 사본을 보관해야 하는 경우, 고객 데이터의 별도 사본을 유지해요.

• 해당 요구 사항에 맞는 주기로 고객 데이터를 내보내고, 내보낸 데이터가 완전한지 인증해요. 내보내기를 수행하는 계정에 사용 권한이 없는 고객 데이터는 내보내기 결과에 포함되지 않아요.

• 다운로드 링크가 유효한 기간 내에 내보내기 파일을 다운로드해요.

• 자체 비즈니스 연속성 계획을 세울 때 서비스를 이용할 수 없게 될 가능성에도 대비해요.

Notion 백업의 역할과 한계

Notion 백업은 Notion 서비스를 복원하기 위한 거예요. 고객이 직접 사용할 수 있는 복원 지점이 아니므로, 워크스페이스를 원하는 시점의 상태로 되돌리는 데 사용할 수 없어요. 개별 고객 데이터는 고객이 휴지통과 버전 기록을 통해 직접 복구해요. 고객 데이터에 적용되는 휴지통 및 보관 기간이 지나면 해당 데이터가 완전히 삭제되어 복구할 수 없어요. 고객은 데이터 보관 수단으로 지원팀에 의존해서는 안 돼요.

내보내기를 사용하면 유형과 요금제에 따라 HTML, Markdown, CSV, PDF 등의 형식으로 고객 데이터의 이동 가능한 사본을 만들 수 있어요. 하지만 워크스페이스 전체를 백업하는 것은 아니에요. 내보낸 고객 데이터의 가져오기를 진행해도 워크스페이스의 원래 권한과 설정, 전체 구성이 재현되지는 않으며, 수동으로 재구성해야 할 수도 있어요.

Notion은 워크스페이스 내 관련 활동의 기록을 생성하고 조직에서 확인할 수 있도록 제공해요. 고객은 해당 기록을 검토하고 필요한 경우 보관하며, 기록에 나타난 내용에 따라 조치를 취할 책임이 있어요.

Notion의 책임

• 조직의 워크스페이스 전반에서 발생하는 보안 및 안전 관련 이벤트를 기록해요. 여기에는 작업자, 작업 내용, 시간, 확인 가능한 경우 IP 주소가 포함돼요.

• 감사 로그 기록을 정해진 기간 동안 제품 내에 보관하고, 고객이 더 오래 보관할 수 있도록 내보내기와 스트리밍 수단을 제공해요.

• 이벤트를 사용자의 보안 모니터링 플랫폼으로 실시간 스트리밍할 수 있는 수단을 제공하고, 데이터 손실 방지 도구와의 연결을 지원해요.

• Notion의 인프라, 네트워크, 시스템에서 악의적인 활동을 모니터링하고 해당 시스템의 내부 로그를 유지해요.

사용자의 책임

• 감사 로그 활동을 검토하고, 예상치 못했거나 승인되지 않은 것으로 보이는 활동을 조사해 조치를 취해요.

• 고객의 내부 정책이나 규정에서 요구하는 기간 동안 로그 데이터를 보관할 수 있도록, 보관 기간이 끝나기 전에 이벤트를 내보내거나 스트리밍해요.

• 사용자의 환경에서 모니터링과 알림, 보안 또는 규정 준수 도구와의 연결을 구성하고, 해당 연동이 계속 작동하도록 관리해요.

• 조직에서 어떤 활동을 의심스러운 활동으로 볼지 정의하고, 이를 검토할 담당자를 지정해요.

• 의심스러운 활동이 서비스 침해를 나타낼 수 있다면 Notion에 보고해요.

감사 로그의 적용 범위와 제한 사항

감사 로그는 이벤트를 기록해요. 로그 항목과 스트리밍된 페이로드에는 누가 어떤 작업을 했는지 기록되지만, 페이지의 고객 데이터는 포함되지 않아요.

감사 로그는 조직이 해당 기능을 사용할 수 있게 된 시점부터 기록되기 시작해요. 그 이전에 발생한 활동은 소급해서 확인할 수 없어요.

Notion은 Notion 서비스와 서비스가 실행되는 인프라를 개발, 운영, 유지 관리하며 해당 인프라의 보안 유지와 패치도 담당해요. 고객은 Notion에 접속할 때 사용하는 환경에 대한 책임을 져요.

Notion의 책임

• Notion 애플리케이션과 이를 지원하는 인프라를 개발, 테스트, 패치하고 유지 관리해요. 서비스 업데이트는 Notion이 적용하므로 고객이 별도로 해야 할 작업은 없어요.

• 새 릴리스에 대한 위협 모델링과 보안 설계 검토를 수행하고, 코드베이스에 대한 코드 감사, 코드 검토, 보안 스캔을 실시해요.

• 매년 독립적인 모의 해킹을 의뢰해요.

• Notion 시스템 전반에 네트워크 보안을 구현하고 관리해요.

• Notion의 인프라, 네트워크, 자산에서 악의적인 활동이 있는지 모니터링해요.

• 누구나 참여할 수 있는 취약점 공개 프로그램을 운영하고 독립적인 모의 해킹을 의뢰합니다.

• 저장 데이터 암호화, 엔드포인트 탐지 및 대응, 중앙 집중식 기기 관리를 포함하여 Notion의 자체 기업 시스템 및 직원 기기를 보호합니다.

• Notion 클라이언트 애플리케이션을 게시하고 업데이트를 제공합니다.

사용자의 책임

• 웹 브라우저를 포함한 지원 대상 엔드포인트 환경을 적절히 패치하고 유지 관리하며, Notion 클라이언트 업데이트를 차단할 수 있는 제어 기능도 관리합니다.

• 사용자의 자체 엔드포인트 보안 표준에 따라 Notion에 접근하는 데 사용되는 기기 및 네트워크를 보호합니다.

• Notion 클라이언트 업데이트가 중앙에서 관리되는 경우, 업데이트가 적시에 계속 적용되도록 보장합니다. 자동 업데이트를 연기하거나 비활성화하면 클라이언트의 적시 패치에 대한 책임은 사용자에게 이전됩니다.

• 설치 구성이 사용자의 업데이트 수신을 방해하지 않도록 보장합니다.

• Notion 서비스에서 의심되는 취약점을 악용하거나 공개하는 대신 Notion에 보고합니다.

책임의 경계

Notion은 Notion 서비스를 패치합니다. 고객은 Notion에 패치를 적용하지 않으며, 서버 측 업데이트를 위해 고객이 취해야 할 조치는 없습니다.

클라이언트 애플리케이션은 다릅니다. Notion은 업데이트를 게시하지만, 특정 기기가 업데이트를 수신할지 여부는 해당 기기가 어떻게 구성되고 관리되는지에 따라 달라집니다. 조직이 설치 또는 업데이트 동작을 관리하는 경우, 클라이언트를 최신 상태로 유지하는 것은 조직의 책임입니다.

Notion은 고객 데이터에 대해 작동하고 연결된 시스템에 접근할 수 있는 API, 통합 플랫폼과 AI 기능을 제공합니다. 고객은 이 중 무엇을 활성화할지, 어떤 사용 권한을 부여할지, 어떻게 관리할지 결정할 책임이 있습니다.

Notion의 책임

• Notion API, 통합 플랫폼, 연결 및 AI 기능을 제공하고 유지 관리합니다.

• Notion AI, Notion 에이전트 및 AI 커넥터에서 사용자 권한을 준수합니다. 커스텀 에이전트는 명시적으로 부여된 자체 권한을 사용하며, 이는 에이전트와 상호작용하는 사람의 권한과 다를 수 있습니다.

• 설치할 수 있는 통합 및 외부 AI 도구, 생성할 수 있는 에이전트, 그리고 AI 기능 활성화 여부를 관리하는 관리 제어 기능을 제공합니다.

• AI 웹 검색을 활성화하거나 비활성화하고 외부 웹 요청 전에 확인을 요구하는 제어 기능을 제공합니다.

• 제3자 콘텐츠와 업로드된 파일에 숨겨진 에이전트 지침을 감지하고, 링크 처리를 제한하며, 에이전트가 자율적으로 작업할 때 추가로 검사하는 등 악의적인 명령어 주입 위험을 감지하고 줄이기 위한 방어 체계를 유지합니다.

• 고객 데이터를 Notion의 모델 학습에 사용하지 않으며, AI 데이터 처리 위탁업체도 고객의 명시적 동의 없이 이를 사용하지 못하도록 계약으로 금지합니다.

• 통합, 연결, 에이전트와 외부 AI 도구의 활동을 감사 로그에 기록합니다.

사용자의 책임

• 조직에 적합한 통합, 연결, AI 기능 및 에이전트를 결정하고 해당 결정을 반영하도록 사용 가능한 제어 기능을 구성하는 것.

• 통합 또는 연결을 승인하기 전에 해당 통합 또는 연결이 요청하는 사용 권한과 기능을 검토하고, 제3자 서비스가 사용자의 공급업체 요구 사항을 충족하는지 확인하는 것.

• 내부 통합 토큰의 배포를 제한하고 주기적으로 교체하며 더 이상 필요하지 않은 토큰을 해지하는 등 내부 통합 토큰을 관리하는 것.

• 각 에이전트가 접근할 수 있는 고객 데이터와 연결된 도구를 관리하고 해당 사용 권한을 주기적으로 검토하는 등 에이전트의 생성 및 구성을 관리하는 것.

• 고객은 에이전트 권한의 범위가 적절하게 지정되었는지 확인해야 합니다.

• 데이터 보존 모델이 필요한 기능에 대해 해당 모델을 활성화할지 여부를 결정하는 것.

• 연결된 시스템을 통해 Notion에서 사용할 수 있게 된 고객 데이터가 해당 목적에 적합하고, 연결된 시스템에서 부여된 사용 권한의 범위가 적절하게 지정되었는지 확인하는 것.

• 웹 페이지 및 업로드된 파일을 포함하여 워크스페이스 외부에서 생성된 고객 데이터가 AI 동작에 영향을 미치려 할 수 있음을 사용자에게 알리는 것.

연결된 데이터에 대해 고객이 이해해야 할 사항

연결을 통해 부여된 사용 권한의 범위는 연결된 시스템에서 부여된 권한의 범위를 넘어서 제한되지 않습니다. Notion은 연결된 시스템에서 보고한 권한을 적용하지만, 지나치게 광범위한 출처 시스템의 권한을 수정하지는 않습니다.

연결된 시스템의 권한 변경 사항은 즉시가 아닌 동기화 간격 이후에 Notion에 반영되며, 새로 추가되거나 삭제된 고객 데이터가 나타나거나 사용할 수 없게 되기까지 시간이 걸릴 수 있습니다.

Notion은 Notion 서비스의 보안을 책임지며, 사고가 고객 데이터에 영향을 미치는 경우 고객에게 알릴 책임이 있습니다. 고객은 자신의 계정, 워크스페이스와 고객 데이터와 관련된 사고에 대응할 책임이 있으며, 여기에는 고객에게 요구되는 알림을 제공하는 것도 포함됩니다.

Notion의 책임

• 문서화된 사고 대응 계획을 유지하고 주기적으로 테스트합니다.

• Notion 시스템과 Notion이 보유한 고객 데이터에 영향을 미치는 보안 사고를 감지, 분류, 조사하고 확산을 방지하며 해결합니다.

• 데이터 처리 부속서와 관련 법률에 따라 보안 사고의 영향을 받는 고객에게 알립니다.

• 근본 원인 분석을 포함한 사고 후 검토를 수행하고 그 결과를 Notion의 통제 수단과 대응 계획에 반영합니다.

• 서비스 운영 상태를 게시하고 서비스 가용성에 영향을 미치는 사고를 알립니다.

• 취약점 공개 프로그램을 운영하고 보고된 취약점을 분류하고 해결합니다.

사용자의 책임

• 의심되는 보안 사고, 손상된 계정, 의심되는 취약점과 서비스 오용을 적절한 채널을 통해 Notion에 신속하게 보고합니다.

• 손상된 인증서, 부적절한 공유와 내부 사용자의 오용을 포함하여 사용자의 워크스페이스와 계정 내에서 발생하는 사고를 탐지하고 대응합니다.

• 사용자 자체의 사고 대응 체계를 유지하고 Notion에서 식별된 활동에 대해 누가 조치를 취할지 정합니다.

• 사용 권한 제거, 세션 취소, 인증서 재설정, 통합 토큰 취소와 게시된 고객 데이터 철회 등 제품 내에서 가능한 사고 확산 방지 조치를 취합니다.

• 보존 기간이 지나기 전에 감사 로그 기록을 내보내는 등 관련 증거를 보존합니다.

• 사고로 인해 사용자에게 규제 기관, 고객 또는 영향을 받는 개인에게 알릴 의무가 발생하는지 판단하고, 의무가 발생하면 알립니다.

• Notion의 알림이 적절한 담당자에게 전달되도록 관리자와 보안 담당자의 연락처 정보를 최신 상태로 유지합니다.

• 의심되는 취약점을 악용하거나 공개하는 대신 Notion에 보고합니다.

당사자별 사고 탐지 범위

Notion은 자체 인프라를 모니터링하며 서비스에 영향을 미치는 사고를 탐지할 수 있습니다. Notion은 유효한 워크스페이스 작업이 사용자의 내부 정책에 따라 승인되었는지 여부를 판단할 수 없습니다. 고객은 워크스페이스 활동을 모니터링하고 오용에 대응할 책임이 있습니다.

여기에는 멤버가 기밀 고객 데이터를 게시하거나, 퇴사하는 직원이 데이터를 내보내거나, 인증서가 정당한 소유자에 의해 오용되는 등의 사고가 포함됩니다. 이러한 이벤트를 탐지하고 대응하는 것은 사용자가 활동 기록을 검토하고 사용 가능한 통제 수단을 활용하는지에 달려 있습니다.

Notion은 독립적인 감사를 받는 정보 보안과 개인정보 보호 프로그램을 운영하고, 관련 문서를 제공합니다. 고객은 Notion이 자체 규제 의무를 이행하는 데 적합한지 판단하고 그에 맞게 설정해요.

Notion의 책임

• 적용 가능한 감사와 인증 주기에 따라 독립적으로 평가받는 보안과 개인정보 보호 프로그램을 유지해요.

• 감사 리포트와 인증을 포함한 규정 준수 문서를 Notion Trust Center를 통해 고객과 잠재 고객에게 제공해요.

사용자의 책임

• 사용자가 저장하려는 데이터와 자신에게 적용되는 규제 의무를 고려해 Notion이 적합한지 판단해요.

• 해당되는 경우 데이터 처리 부속서나 사업 제휴 계약서를 포함해 Notion 사용에 필요한 계약을 체결해요.

• 해당 계약에서 요구하는 설정을 적용해요. 여기에는 규정 준수 관련 설정과 그 설정을 뒷받침하는 보안 기능을 활성화하는 것도 포함돼요.

• 공급업체 위험 평가와 법률에서 요구하는 데이터 보호 영향 평가를 포함해 사용자에게 필요한 평가를 직접 완료해요.

• 자체 보증과 변경 관리 절차의 일환으로 Notion의 인증, 감사 리포트, 데이터 처리 위탁업체 리스트를 검토해요.

• Notion을 설정하고 사용하는 방식이 사용자에게 적용되는 의무를 충족한다는 점을 자체 감사인과 규제 기관에 입증해요.

인증이 커버하는 범위

Notion의 독립적인 제3자 인증과 감사 리포트는 Notion이 운영하는 통제 항목을 커버해요. 개별 조직이 Notion을 설정하거나 사용하는 방식까지 커버하지는 않아요.

규제 대상 데이터를 보유한 워크스페이스라고 해서 Notion이 인증을 받았다는 이유만으로 규제 요건을 충족하는 것은 아니에요. 공유 제한, SSO(통합 로그인) 적용, 감사 기록 보관, 데이터 저장 위치 제한처럼 의무를 이행하려면 별도의 설정이 필요한 경우, 그 의무를 충족할 책임은 사용자에게 있어요.

Notion은 서비스 이용 조건을 정하고 이를 시행해요. 고객은 자신의 Notion 사용과 워크스페이스에 저장된 고객 데이터에 책임을 져요.

Notion의 책임

• 콘텐츠 및 사용 정책, 관련 약관과 기타 정책을 게시하고 유지해요.

• 공개 Notion 페이지를 보는 누구나 금지된 것으로 생각되는 고객 데이터를 신고할 수 있는 방법을 제공해요.

• 신고 내용을 조사하고, 위반 사항이 확인되면 고객 데이터를 삭제하거나 사용 권한을 제한해요.

• 남용 사례가 자주 발생하는 사용 유형은 더 면밀히 검토하고, 서비스 가용성을 보호하는 데 필요한 경우 사용 권한을 일시 중지하거나 종료해요.

사용자의 책임

• 약관과 콘텐츠 및 사용 정책에 따라 Notion을 사용하고, 자신의 구독으로 Notion을 사용하는 다른 사용자도 이를 준수하도록 해요.

• Notion에 저장하거나 Notion에서 공유하거나 Notion을 통해 게시하는 고객 데이터가 해당 정책과 관련 법률을 준수하도록 해요.

• Notion을 통해 사용자 생성 고객 데이터를 배포하는 경우, 다른 사람이 제공한 고객 데이터를 관리해요.

• Notion을 의도된 용량 범위 내에서 사용하고, 보안 통제를 우회하거나 비활성화하거나 방해하려고 시도하지 않아요.

• Notion에 대한 보안 테스트는 Notion의 취약점 공개 프로그램을 통해 해당 프로그램의 조건을 준수하는 범위에서만 수행해요.

• 지원과 신고 채널을 선의로 이용해요.