Modell för delat ansvar

Den här modellen för delat ansvar hjälper Notion och kunderna att tillsammans skapa en säker och välfungerande arbetsyta.

Definitioner av termer finns i Notions MSA och DPA.

Notion är ett ställe där du kan tänka, skriva och planera. Här kan du samla allt och bygga egna verktyg för att arbeta på bästa sätt. Användare anförtror Notion både arbetsrelaterad och personlig information. Genom Anslutningar och AI-funktioner ger de också Notion åtkomst till information i andra system.

En modell för delat ansvar (SRM) visar hur ansvaret fördelas mellan en tjänsteleverantör och användarna. Den visar tydligt vem som ansvarar för olika säkerhets- och driftuppgifter.

Det här dokumentet beskriver hur Notion och kunderna delar på ansvaret för att skydda Notions system, användarkonton och arbetsytor.

Notions modell för delat ansvar visar vilka processer, åtgärder och kontroller Notion respektive kunderna ansvarar för. På så sätt kan vi fokusera på att skydda Notions system där vi gör störst nytta: deras konfidentialitet, riktighet och tillgänglighet. Modellen visar också var kunderna bäst kan skydda sina konton, arbetsytor och kunddata. Tillsammans gör det skyddet av Notions system och konton säkrare och effektivare.

Modellen gör det också tydligare hur Notions tjänster tillhandahålls. Kunderna får information som hjälper dem att bedöma Notion inom sina egna processer för riskhantering och kontroll. Den hjälper dessutom både Notion och kunderna att uppfylla sina skyldigheter enligt tillämpliga lokala, regionala, nationella och internationella regler.

Kort sagt: Notion ansvarar för att bygga, driva och skydda Notion-tjänstens arkitektur. Kunderna ansvarar för hur de konfigurerar och använder tjänsten. Det innebär att skydda inloggningsuppgifter, styra vilka som har åtkomst till arbetsytor och kunddata samt följa policyn för innehåll och användning och andra relevanta villkor.

Vissa uppgifter i det här dokumentet kan bara utföras av kunder med utökad behörighet i en arbetsyta eller organisation. Användaren ansvarar för att tilldela behörigheten på rätt sätt.

Vilka verktyg som finns för att uppfylla ett visst ansvar beror på abonnemanget. Om en funktion bara finns i vissa abonnemang ansvarar kunder som saknar funktionen ändå för att uppnå samma resultat. De bör därför överväga andra kontrollåtgärder.

Notion tillhandahåller autentiseringsmetoder och administrativa kontroller som styr hur personer loggar in i Notion och hur åtkomst till arbetsytor beviljas och tas bort. Kunder ansvarar för att välja och konfigurera kontroller som passar organisationen och för att skydda inloggningsuppgifterna till sina konton.

Notions ansvar

• Tillhandahålla och driva autentiseringsmetoder, inklusive e-post och lösenord, inloggning via Google och Apple samt Single sign-on med SAML 2.0 för arbetsytor med Business- och Enterprise-abonnemang.

• Tillhandahålla tvåfaktorsautentisering för konton där användare loggar in med lösenord, via en autentiseringsapp eller en kod i ett sms.

• Tillhandahålla SCIM-API:er som gör det möjligt för Enterprise-organisationer att automatisera tillägg, uppdatering och borttagning av användare via sin identitetsleverantör.

• Tillhandahålla administrativa kontroller för sessionslängd, tvingad utloggning, återställning av lösenord, avstängning av konton och domänverifiering.

• Kräva verifierad dokumentation om vem som äger domänen innan den får användas för att styra hur användare på domänen loggar in i Notion.

• Återkalla en användares åtkomst till kunddata när användaren tas bort från arbetsytan. Tillhandahålla kontroller så att en organisation kan avsluta sessioner och återställa inloggningsuppgifter för alla användare den hanterar.

• Upprätthålla åtkomstkontroller som begränsar behörigheten till vad som behövs i Notions egen infrastruktur och kräva att Notions anställda och uppdragstagare omfattas av sekretessåtaganden.

• Endast få åtkomst till kunddata för support när en användare eller arbetsytans ägare har gett sitt samtycke, och låta samtycket upphöra automatiskt efter en bestämd tid.

Användaransvar

• Skydda inloggningsuppgifter, använda starka och unika lösenord och undvika att återanvända dem i andra tjänster.

• Använda individuella konton i stället för delade konton och inte dela inloggningsuppgifter.

• Använda tvåfaktorsautentisering för konton där användare loggar in med lösenord.

• Uppdatera inloggningsuppgifter enligt den interna policyn och omgående om det upptäcks att inloggningsuppgifter till en extern tjänst har röjts.

• Välja och konfigurera autentiseringsmetoder som passar organisationen och avgöra om Single sign-on ska krävas.

• Se till att bara avsedda användare har åtkomst till arbetsytan och att åtkomsten tas bort snabbt när någon slutar eller byter roll. Automatisk borttagning av åtkomst kräver SCIM. Om SCIM inte används måste åtkomsten tas bort manuellt.

• Ställa in sessionslängden enligt den interna policyn och ha en rutin för att återfå åtkomst om åtkomsten till identitetsleverantören går förlorad.

• Styra om Notions support får åtkomst till ett konto eller en arbetsyta och återkalla åtkomsten när den inte längre behövs.

Notion tillhandahåller en behörighetsmodell som avgör vad en autentiserad användare kan se och göra, samt administrativa kontroller som begränsar delning. Kunder ansvarar för att bestämma hur modellen ska tillämpas på kunddata och för att granska vem som får åtkomst.

Notions ansvar

• Tillhandahålla en behörighetsmodell för arbetsytor, teamutrymmen, sidor och databaser, inklusive behörighetsgrupper, och tillämpa den konsekvent i hela produkten.

• Tillhandahålla separata åtkomstnivåer för medlemmar och gäster, så att externa samarbetspartner kan få åtkomst till utvalda kunddata i stället för en hel arbetsyta.

• Tillhandahålla administrativa kontroller så att organisationer kan begränsa offentlig delning av sidor, gästers åtkomst, export och flytt eller kopiering av sidor till andra arbetsytor.

• Tillhandahålla kontroller som styr vem som får publicera kunddata på webben, bland annat via Notion-webbplatser, formulär och offentliga länkar.

• Tillhandahålla verktyg så att organisationer kan se vem som har åtkomst till en sida, vilka sidor som delas externt eller publiceras på webben och hur dessa behörigheter kan ändras.

• Respektera arbetsytans behörigheter när AI- och sökfunktioner tillhandahålls.

Användaransvar

• Fastställa lämplig åtkomstnivå för kunddata och tilldela behörigheter därefter.

• Avgöra om externt samarbete och offentlig publicering ska vara tillåtna och konfigurera kontrollerna därefter.

• Förstå hur åtkomst ärvs. Åtkomst till en sida gäller som standard även sidor som är kapslade i den. Om åtkomst ges på flera sätt gäller den högsta tilldelade åtkomstnivån.

• Regelbundet granska vem som har åtkomst, bland annat medlemmar i arbetsytan, gäster och behörighetsgrupper, samt kunddata som delas externt eller publiceras på webben.

• Ta bort åtkomsten till kunddata när ett samarbete upphör, även för gäster och externa samarbetspartner vars åtkomst inte hanteras via organisationens identitetsleverantör.

• Se till att kunddata som publiceras på webben är avsedda för allmänheten och konfigurera alternativ som sökmotorindexering därefter.

• Överföra kunddata som en användare har lagrat privat innan användaren slutar, eller inom den begränsade tid då överföring fortfarande är möjlig. Därefter kan privat lagrade kunddata i regel inte återställas. Verktyg för överföring finns bara i Enterprise-abonnemanget.

Notion lagrar och behandlar kunddata för kundernas räkning och skyddar dem under överföring och vid lagring. Kunder avgör vilka data som läggs in i Notion, hur länge de sparas och vilka rättsliga skyldigheter som gäller för dem.

Notions ansvar

• Behandla kunddata i enlighet med huvudabonnemangsavtalet, personuppgiftsbiträdesavtalet och tillämplig dataskyddslagstiftning.

• Kryptera kunddata vid lagring med AES-256 eller en branschstandardalgoritm som ger likvärdigt eller bättre skydd, även i molnlagring, databastabeller och säkerhetskopior. Kryptera data under överföring med TLS 1.2 eller senare.

• Hålla en aktuell lista över underbiträden och publicera den.

• Erbjuda regional datalagring för vissa kategorier av kunddata, så att organisationer som uppfyller kraven kan välja i vilken region dessa data ska lagras.

• Avstå från att använda kunddata för att träna Notions maskininlärningsmodeller och genom avtal förbjuda AI-underbiträden att göra det utan uttryckligt samtycke från kunden.

• Tillhandahålla funktioner som gör det möjligt för kunder att exportera, behålla och radera kunddata, och radera kunddata när avtalet upphör i enlighet med avtalet.

• Ingå ett tillägg för databehandling och, där det är tillämpligt, ett Business Associate Agreement med kunder som behöver sådana avtal.

Användarens ansvar

• Fastställa vilken data som är lämplig att lagra i Notion och säkerställa att reglerad data endast lagras där nödvändiga avtal och konfigurationer finns på plats.

• Etablera och tillämpa rutiner för bevarande av data och radera kunddata som inte längre behövs.

• Konfigurera produktens inställningar för bevarande och radering av data så att de återspeglar interna policyer.

• Skicka in fullständig och korrekt kontodata, och korrigera den omgående när fel identifieras.

• Uppfylla de förpliktelser som åligger den personuppgiftsansvarige för de personuppgifter som finns i en arbetsyta, inklusive att tillhandahålla integritetsinformation till enskilda, fastställa en rättslig grund för behandling och besvara begäranden från registrerade som rör kunddata.

• Avgöra om en specifik region för datalagring krävs, begära en sådan vid behov och förstå vilka kategorier av data och vilka Notion-produkter som faller utanför den omfattningen.

• Granska Notions lista över underbiträden.

Notion driver den infrastruktur som håller tjänsten tillgänglig och säkerhetskopierar den för att kunna återställa tjänsten. Kunder ansvarar för att återställa kunddata med de verktyg Notion tillhandahåller och för att ha en separat kopia av kunddata när skyldigheterna kräver det.

Notions ansvar

• Driva Notion-tjänsten i enlighet med de tillgänglighetsåtaganden som anges i villkoren för servicenivå, med redundant infrastruktur i flera tillgänglighetszoner.

• Publicera driftsstatus för tjänsten.

• Upprätthålla automatiserade, krypterade och övervakade säkerhetskopior av kunddata.

• Lagra säkerhetskopior i enlighet med Notions publicerade mappning av säkerhetskopieringsregioner för den valda regionen för datalagring. Datalagring gäller endast för de definierade kategorierna av kunddata.

• Upprätthålla och regelbundet testa planer för katastrofåterställning och kontinuitetshantering.

• Tillhandahålla återställningsverktyg i produkten, inklusive papperskorgen och versionshistorik, som gör det möjligt för kunder att själva återställa kunddata.

• Tillhandahålla exportfunktioner som gör det möjligt för kunder att få en kopia av sina kunddata.

Användarens ansvar

• Återställa enskilda sidor och kunddata med hjälp av papperskorgen och versionshistoriken, inom de bevarandetider som gäller för användarens abonnemang.

• Konfigurera inställningar för bevarande av kunddata, där sådana finns tillgängliga, så att de återspeglar intern policy.

• Upprätthålla en oberoende kopia av kunddata när intern policy, avtalsförpliktelser eller regelverk kräver att data bevaras längre än vad produkten medger eller att en kopia förvaras utanför Notion.

• Skapa exporter enligt ett schema som är lämpligt för dessa krav och verifiera att exporterna är fullständiga. Kunddata som kontot som används för exporten inte har åtkomst till ingår inte i exporten.

• Hämta exporter innan nedladdningslänken upphör att gälla.

• Planera för risken att tjänsten inte är tillgänglig som en del av användarens egna åtgärder för verksamhetskontinuitet.

Förstå vad Notions säkerhetskopior är – och inte är

Notions säkerhetskopior finns till för att återställa Notion-tjänsten. De är inte återställningspunkter för kunder och kan inte användas för att återställa en arbetsyta till dess tillstånd vid en viss tidpunkt. Kunder återställer enskilda kunddata via papperskorgen och versionshistoriken. När tiden i papperskorgen och de tillämpliga bevarandetiderna har löpt ut raderas kunddata permanent och kan inte återställas. Kunder bör inte förlita sig på support för att bevara data.

En export skapar en flyttbar kopia av kunddata i format som HTML, Markdown, CSV eller PDF, beroende på exporttyp och abonnemang. Det är inte en fullständig säkerhetskopia av arbetsytan: import av exporterad kunddata återskapar inte arbetsytans ursprungliga behörigheter, inställningar eller fullständiga konfiguration och kan kräva manuell omstrukturering.

Notion skapar loggposter över relevant aktivitet på en arbetsyta och gör dem tillgängliga för organisationen. Kunderna ansvarar för att granska dessa loggposter, bevara dem där det krävs och agera utifrån vad de visar.

Notions ansvar

• Registrera säkerhets- och trygghetsrelaterade händelser som inträffar på en organisations arbetsytor, inklusive vem som utförde åtgärden, vilken åtgärd det var, tidpunkten och, där uppgiften finns, IP-adressen.

• Bevara historiken i granskningsloggen under en fastställd period och tillhandahålla möjligheter att exportera och strömma loggdata så att kunder kan bevara dem längre.

• Tillhandahålla ett sätt att strömma händelser i realtid till användarens plattform för säkerhetsövervakning och stöd för anslutningar till verktyg som förhindrar dataförlust.

• Övervaka Notions infrastruktur, nätverk och system för skadlig aktivitet och upprätthålla intern loggning för dessa system.

Användarens ansvar

• Granska aktiviteter i granskningsloggen samt utreda och agera på aktivitet som verkar oväntad eller obehörig.

• Bevara loggdata så länge som kundens interna policyer eller tillämpliga regler kräver, genom att exportera eller strömma händelser innan bevarandetiden löper ut.

• Konfigurera övervakning, aviseringar och eventuella anslutningar för säkerhet eller regelefterlevnad i användarens miljö och se till att integrationerna fortsätter att fungera.

• Fastställa vad som utgör misstänkt aktivitet inom organisationen och vem som ansvarar för att granska den.

• Rapportera misstänkt aktivitet till Notion om den kan tyda på att tjänsten har utsatts för intrång.

Förstå vad granskningsloggen omfattar – och inte omfattar

Granskningsloggen registrerar händelser. Loggposter och strömmade datamängder beskriver vilka åtgärder som vidtagits och av vem. De innehåller inte kunddata från sidor.

Registrering i granskningsloggen påbörjas när en organisation får tillgång till funktionen. Aktivitet som ägde rum dessförinnan är inte tillgänglig i efterhand.

Notion utvecklar, driver och underhåller Notion-tjänsten och den infrastruktur som tjänsten körs på, inklusive att säkra och säkerhetsuppdatera infrastrukturen. Kunderna ansvarar för de miljöer från vilka de använder Notion.

Notions ansvar

• Utveckla, testa, säkerhetsuppdatera och underhålla Notion-appen och den infrastruktur som stöder den. Uppdateringar av tjänsten utförs av Notion och kräver ingen åtgärd från kunderna.

• Utföra hotmodellering och granska säkerhetsutformningen inför nya versioner samt genomföra kodrevisioner, kodgranskningar och säkerhetsskanning av kodbasen.

• Beställa årliga oberoende penetrationstester.

• Implementera och hantera nätverkssäkerheten i Notions system.

• Övervaka Notions infrastruktur, nätverk och tillgångar för skadlig aktivitet.

• Driva ett offentligt program för sårbarhetsrapportering och beställa oberoende penetrationstester.

• Säkra Notions företagssystem och medarbetarnas enheter, bland annat genom kryptering av lagrade data, upptäckt och hantering av hot på slutenheter samt centraliserad enhetshantering.

• Publicera Notion-klientapplikationer och leverera uppdateringar till dem.

Användaransvar

• Underhålla enhetsmiljöer som stöds och har nödvändiga säkerhetsuppdateringar, inklusive webbläsare, och hantera inställningar som kan hindra uppdateringar av Notions klientappar.

• Skydda de enheter och nätverk som används för att få åtkomst till Notion enligt användarens säkerhetsstandarder för enheter.

• Om uppdateringar av Notions klientappar hanteras centralt, se till att de fortsätter att installeras i tid. Om automatiska uppdateringar skjuts upp eller inaktiveras övergår ansvaret för att uppdatera klientapparna i tid till användaren.

• Att säkerställa att installationsinställningar inte hindrar användare från att få uppdateringar.

• Att rapportera misstänkta sårbarheter i Notion-tjänsten till Notion i stället för att utnyttja eller offentliggöra dem.

Var gränsen går

Notion uppdaterar Notion-tjänsten. Kunder behöver inte installera uppdateringar för Notion, och uppdateringar på serversidan kräver inga åtgärder från dem.

Klientappar fungerar annorlunda. Notion publicerar uppdateringar, men om en viss enhet får dem beror på hur den är konfigurerad och hanteras. Om en organisation styr installationer eller uppdateringar är det organisationens ansvar att hålla klientapparna uppdaterade.

Notion tillhandahåller ett API, en integrationsplattform och AI-funktioner som kan utföra åtgärder med kunddata och nå anslutna system. Kunder ansvarar för att bestämma vilka av dessa som ska aktiveras, vilken åtkomst de ska få och hur de ska styras.

Notions ansvar

• Tillhandahålla och underhålla Notions API, integrationsplattform, anslutningar och AI-funktioner.

• Respektera användarbehörigheter i Notion AI, Notion-agenten och AI-anslutningar. Skräddarsydda agenter använder sina egna uttryckligen beviljade behörigheter, som kan skilja sig från behörigheterna hos den person som interagerar med agenten.

• Tillhandahålla administrativa kontroller som styr vilka integrationer och externa AI-verktyg som får installeras, vilka agenter som får skapas och om AI-funktioner är aktiverade.

• Tillhandahålla kontroller för att aktivera eller inaktivera AI-webbsökning och kräva bekräftelse före externa webbförfrågningar.

• Upprätthålla skyddsåtgärder som är utformade för att upptäcka och minska risken för promptinjektion, bland annat genom att upptäcka dolda instruktioner i innehåll från tredje part och uppladdade filer, begränsa hanteringen av länkar och göra ytterligare kontroller när agenter agerar självständigt.

• Avstå från att använda kunddata för att träna Notions modeller och genom avtal förbjuda AI-underbiträden att göra det utan kundens uttryckliga samtycke.

• Logga aktivitet för integrationer, anslutningar, agenter och externa AI-verktyg i granskningsloggen.

Användaransvar

• Besluta vilka integrationer, anslutningar, AI-funktioner och agenter som är lämpliga för organisationen, och konfigurera de tillgängliga kontrollerna för att återspegla det beslutet.

• Granska åtkomst och funktioner som begärs av en integration eller anslutning innan den godkänns, och bekräfta att tredjepartstjänsten uppfyller användarens egna leverantörskrav.

• Hantera interna integrationstoken, inklusive att begränsa deras distribution, rotera dem och återkalla de som inte längre behövs.

• Styra skapandet och konfigurationen av agenter, inklusive vilken kunddata och anslutna verktyg varje agent kan nå, och granska den åtkomsten regelbundet.

• Kunder måste säkerställa att agentbehörigheter är lämpligt begränsade.

• Avgöra om modeller som lagrar data får aktiveras för funktioner som kräver dem.

• Säkerställa att kunddata som görs tillgänglig för Notion via anslutna system är lämplig för det ändamålet, och att åtkomst som beviljats i det anslutna systemet i sig är korrekt begränsad.

• Göra användare medvetna om att kunddata från källor utanför arbetsytan, till exempel webbsidor och uppladdade filer, kan innehålla försök att påverka hur AI fungerar.

Vad kunder bör förstå om ansluten data

Åtkomsten via en anslutning begränsas av behörigheterna i det anslutna systemet. Notion tillämpar de behörigheter som rapporteras av det anslutna systemet men åtgärdar inte alltför omfattande behörigheter i källsystemet.

Behörighetsändringar i anslutna system återspeglas i Notion först efter en synkronisering. Det kan också ta tid innan ny kunddata visas eller raderad kunddata blir otillgänglig.

Notion ansvarar för säkerheten i Notion-tjänsten och för att meddela kunder när en incident påverkar deras kunddata. Kunder ansvarar för hur de hanterar incidenter som involverar deras egna konton, arbetsytor och kunddata, inklusive eventuella aviseringar som de är skyldiga att skicka.

Notions ansvar

• Upprätthålla en dokumenterad plan för incidenthantering och testa den regelbundet.

• Upptäcka, bedöma, prioritera, utreda, begränsa och åtgärda säkerhetsincidenter som påverkar Notions system och den kunddata som Notion innehar.

• Meddela berörda kunder om säkerhetsincidenter i enlighet med databehandlingsavtalet och tillämplig lag.

• Granska incidenter i efterhand, inklusive att analysera grundorsaken, och använda resultaten för att förbättra Notions kontroller och incidenthanteringsplan.

• Publicera tjänstens driftstatus och informera om incidenter som påverkar tillgängligheten.

• Driva ett program för sårbarhetsrapportering samt bedöma och åtgärda rapporterade sårbarheter.

Användaransvar

• Rapportera misstänkta säkerhetsincidenter, komprometterade konton, misstänkta sårbarheter och missbruk av tjänsten till Notion omgående via rätt kanal.

• Upptäcka och reagera på incidenter som inträffar inom användarens egna arbetsytor och konton, inklusive komprometterade inloggningsuppgifter, olämplig delning och missbruk från interna användares sida.

• Upprätthålla användarens egna rutiner för incidenthantering, och definiera vem som ansvarar för att agera på aktivitet som identifierats i Notion.

• Vidta de åtgärder som finns i produkten för att begränsa incidenten, bland annat ta bort åtkomst, återkalla sessioner och integrationstoken, återställa inloggningsuppgifter och dra tillbaka publicerad kunddata.

• Bevara relevant bevisning, inklusive att exportera poster ur granskningsloggen innan lagringstiden för dem löper ut.

• Avgöra om en incident utlöser en anmälningsskyldighet som användaren har gentemot en tillsynsmyndighet, kund eller berörd individ, och lämna en sådan anmälan.

• Hålla administrativa kontaktuppgifter och säkerhetskontaktuppgifter uppdaterade, så att meddelanden från Notion når rätt personer.

• Rapportera misstänkta sårbarheter till Notion i stället för att utnyttja eller offentliggöra dem.

Vilken part upptäcker vad

Notion övervakar sin egen infrastruktur och kan upptäcka incidenter som påverkar tjänsten. Notion kan inte avgöra om en i övrigt giltig åtgärd på en arbetsyta var tillåten enligt användarens interna policyer. Kunder ansvarar för att övervaka aktiviteten på arbetsytan och reagera på missbruk.

Det gäller till exempel om en medlem publicerar konfidentiell kunddata, en anställd som slutar exporterar data eller någon missbrukar sina egna inloggningsuppgifter. För att upptäcka och hantera sådana händelser behöver användaren granska aktivitetsloggarna och använda de kontroller som finns tillgängliga.

Notion upprätthåller ett program för informationssäkerhet och integritet som granskas av en oberoende part, och gör dokumentationen från granskningen tillgänglig. Kunder avgör om Notion är lämpligt för deras egna regulatoriska skyldigheter och konfigurerar det därefter.

Notions ansvar

• Upprätthålla säkerhets- och integritetsprogram som granskas oberoende, enligt tillämpliga gransknings- och certifieringscykler.

• Göra dokumentation om regelefterlevnad, inklusive granskningsrapporter och certifieringar, tillgänglig för kunder och potentiella kunder via Notion Trust Center.

Användarens ansvar

• Avgöra om Notion är lämpligt för de uppgifter som användaren vill lagra och för de rättsliga krav som gäller användaren.

• Ingå de avtal som krävs för användningen, inklusive ett databehandlingsavtal eller ett Business Associate Agreement när det är aktuellt.

• Göra de inställningar som avtalen kräver, inklusive att aktivera särskilda inställningar för regelefterlevnad och de säkerhetsfunktioner som dessa inställningar är beroende av.

• Slutföra användarens egna bedömningar, inklusive riskbedömning av leverantörer och eventuell konsekvensbedömning avseende dataskydd som krävs enligt lag.

• Granska Notions certifieringar, granskningsrapporter och underbiträdeslista som en del av användarens egna processer för kontroll och förändringshantering.

• Visa användarens egna revisorer och tillsynsmyndigheter att användarens inställningar och användning av Notion uppfyller de krav som gäller användaren.

Vad certifieringen omfattar

Notions certifieringar och granskningsrapporter från oberoende tredje part omfattar de kontroller som Notion tillämpar. De omfattar inte hur en enskild organisation konfigurerar eller använder Notion.

En arbetsyta som innehåller reglerade data uppfyller inte automatiskt gällande krav bara för att Notion har en certifiering. När uppfyllandet av ett krav beror på konfigurationen, till exempel att begränsa delning, kräva Single sign-on, behålla granskningsloggar eller begränsa var data lagras, är det fortfarande användarens ansvar att uppfylla kravet.

Notion fastställer villkoren för hur tjänsten får användas och upprätthåller dem. Kunder ansvarar för sin egen användning av Notion och för den kunddata som finns i deras arbetsytor.

Notions ansvar

• Publicera och upprätthålla policyn för innehåll och användning, relevanta villkor och relaterade policyer.

• Göra det möjligt för alla som besöker en offentlig Notion-sida att rapportera kunddata som de anser vara otillåten.

• Utreda rapporter och ta bort kunddata eller begränsa åtkomsten när en överträdelse har identifierats.

• Granska typer av användning som oftare förknippas med missbruk extra noga och vid behov stänga av eller avsluta åtkomsten för att skydda tjänstens tillgänglighet.

Användarens ansvar

• Använda Notion i enlighet med villkoren och policyn för innehåll och användning, samt säkerställa att personer som använder Notion inom ramen för användarens abonnemang gör detsamma.

• Säkerställa att kunddata som lagras i, delas från eller publiceras via Notion följer dessa policyer och tillämplig lagstiftning.

• Moderera kunddata som andra har bidragit med när användaren distribuerar användargenererad kunddata via Notion.

• Använda Notion inom ramen för tjänstens avsedda kapacitet och inte försöka kringgå, inaktivera eller störa tjänstens säkerhetskontroller.

• Genomföra säkerhetstester av Notion endast via Notions program för rapportering av sårbarheter och inom ramen för programmets villkor.

• Använda support- och rapporteringskanaler i god tro.