Model for delt ansvar

Denne model for delt ansvar sikrer, at Notion og dets kunder arbejder sammen om at skabe en sikker og effektiv oplevelse i arbejdsområdet.

Se Notions MSA og DPA for definitioner af begreberne.

Notion er ét sted, hvor du kan tænke, skrive og planlægge. Her kan du bygge dine egne værktøjer, så du kan arbejde på den måde der passer dig bedst. Brugerne betror Notion både arbejdsrelaterede og personlige oplysninger. Via Forbindelser og AI-funktioner giver de også Notion adgang til oplysninger i andre systemer.

En model for delt ansvar (SRM) viser hvordan en tjenesteudbyder og brugerne fordeler ansvaret mellem sig. Den gør det klart hvilke sikkerheds- og driftsopgaver hver part står for.

Dette dokument beskriver hvordan Notion og kunderne deler ansvaret for at beskytte Notions systemer, brugerkonti og arbejdsområder og holde dem sikre.

Notions SRM gør det klart hvilke processer, opgaver og kontroller Notion og kunderne hver især har ansvar for. Det lader os fokusere på de områder hvor vi bedst kan beskytte Notions systemers fortrolighed, integritet og tilgængelighed. Samtidig viser modellen hvor kunderne selv bedst kan sikre deres konti, arbejdsområder og kundedata. Det styrker både sikkerheden og effektiviteten i beskyttelsen af Notions systemer og konti.

SRM gør det også mere gennemsigtigt hvordan Notions tjenester leveres. Det giver kunderne de oplysninger de skal bruge til at vurdere Notion som led i deres egne risiko- og kontrolprocesser. Det hjælper også Notion og kunderne med at opfylde deres respektive forpligtelser efter gældende lokale, regionale, nationale og internationale regler.

Kort sagt: Notion har ansvar for at bygge, drive og beskytte Notion-tjenestens arkitektur. Kunderne har ansvar for hvordan de indstiller og bruger tjenesten. Det omfatter at beskytte deres loginoplysninger, styre hvem der har adgang til deres arbejdsområder og kundedata, og overholde politikken for indhold og brug og andre relevante vilkår.

Nogle af de opgaver der er beskrevet i dette dokument, kan kun udføres af kunder med udvidede tilladelser i et arbejdsområde eller en organisation. Brugeren har ansvar for at tildele tilladelserne korrekt.

Hvilke værktøjer du kan bruge til at løfte et ansvar, afhænger af dit abonnement. Nogle funktioner findes kun på bestemte abonnementer. Kunder uden en bestemt funktion har stadig ansvar for resultatet og bør overveje andre måder at sikre det på.

Notion leverer de godkendelsesmetoder og administrative kontroller, der styrer, hvordan folk logger på Notion, og hvordan adgang til arbejdsområdet tildeles og fjernes. Kunder er ansvarlige for at vælge og konfigurere de kontroller, der er passende for deres organisation, samt for at beskytte de legitimationsoplysninger, der bruges til at få adgang til deres konti.

Notions ansvar

• Tilbyd og administrer godkendelsesmetoder, herunder e-mail og adgangskode, login med Google og Apple samt SAML 2.0 single sign-on til arbejdsområder med Business- og Enterprise-abonnement.

• Tilbyd tofaktorgodkendelse til konti, der logger på med en adgangskode, ved hjælp af en godkendelsesapp eller en kode via sms.

• Tilbyd SCIM-API'er, der gør det muligt for Enterprise-organisationer at automatisere oprettelse, opdatering og fjernelse af brugere fra deres identitetsudbyder.

• Tilbyd administrative kontroller, der styrer sessionsvarighed, tvungen logud, nulstilling af adgangskode, kontospærring og domænebekræftelse.

• Kræv dokumentation for bekræftet ejerskab af et domæne, før domænet kan bruges til at styre, hvordan dets brugere logger ind på Notion.

• Tilbagekald en brugers adgang til kundedata, når denne bruger fjernes fra arbejdsområdet. Tilbyd kontroller, der gør det muligt for en organisation at afslutte sessioner og nulstille legitimationsoplysninger for organisationens administrerede brugere.

• Oprethold adgangskontroller med mindste privilegier på tværs af Notions egen infrastruktur, og kræv, at Notions medarbejdere og kontraktansatte er bundet af fortrolighedsforpligtelser.

• Få kun adgang til kundedata til supportformål, når en bruger eller ejeren af et arbejdsområde har givet samtykke. Lad samtykket udløbe automatisk efter en fastsat periode.

Brugeransvar

• Beskyttelse af loginoplysninger, brug af stærke og unikke adgangskoder og undgåelse af genbrug på tværs af andre tjenester.

• Brug af individuelle konti frem for delte konti, uden deling af loginoplysninger.

• Brug af to-faktor-godkendelse på konti, der logger ind med en adgangskode.

• Opdatering af loginoplysninger efter interne retningslinjer og straks, hvis der opdages et brud på sikkerheden for loginoplysninger hos en ekstern tjeneste.

• Valg og konfiguration af de godkendelsesmetoder, der er passende for organisationen, herunder om single sign-on er påkrævet.

• Sikring af, at kun de tilsigtede brugere har adgang til arbejdsområdet, og at adgangen fjernes hurtigt, når nogen forlader organisationen eller skifter rolle. Automatisk fjernelse af adgang kræver SCIM. Uden SCIM skal adgangen fjernes manuelt.

• Fastsættelse af sessionsvarighed i overensstemmelse med interne retningslinjer, og vedligeholdelse af en gendannelsesprocedure ved tab af adgang til identitetsudbyderen.

• Kontrol af, om Notion-support kan få adgang til en konto eller et arbejdsområde, og tilbagekaldelse af denne adgang, når den ikke længere er påkrævet.

Notion leverer den tilladelsesmodel, der bestemmer, hvad en godkendt bruger kan se og gøre, sammen med administrative kontroller, der fastsætter grænserne for deling. Kunder er ansvarlige for at beslutte, hvordan denne model anvendes på deres kundedata, og for at gennemgå den adgang, der følger heraf.

Notions ansvar

• Tilbyd en tilladelsesmodel, der fungerer på arbejdsområde-, teamområde-, side- og databaseniveau, herunder tilladelsesgrupper, og håndhæv den konsekvent på tværs af produktet.

• Tilbyd særskilt adgang for medlemmer og gæster, så eksterne samarbejdspartnere kan få adgang til specifikke kundedata frem for et helt arbejdsområde.

• Tilbyd administrative kontroller, der gør det muligt for en organisation at begrænse offentlig deling af sider, gæsteadgang, brugen af funktionen Eksporter samt flytning eller duplikering af sider til andre arbejdsområder.

• Tilbyd kontroller, der styrer, hvem der må publicere kundedata på nettet, herunder Notion-websteder, formularer og offentlige links.

• Tilbyd værktøjer, så en organisation kan se, hvem der har adgang til en side, og hvilke sider der deles eksternt eller offentliggøres på nettet, samt ændre disse tilladelser.

• Respektér konfigurerede tilladelser for arbejdsområdet, når AI- og søgefunktioner stilles til rådighed.

Brugeransvar

• Fastlæggelse af det passende adgangsniveau for kundedata og anvendelse af tilladelser i overensstemmelse hermed.

• Beslutning om, hvorvidt eksternt samarbejde og offentlig publicering er tilladt, og konfiguration af de tilgængelige kontroller for at afspejle denne beslutning.

• Forståelse af, hvordan adgang nedarves. Adgang til en side gælder som standard også for sider, der er indlejret i den. Hvis adgang gives på flere måder, gælder det højeste tildelte adgangsniveau.

• Periodisk gennemgang af adgang, herunder medlemmer af arbejdsområdet, gæster, tilladelsesgrupper, kundedata delt eksternt og kundedata publiceret på nettet.

• Fjernelse af adgang til kundedata, når en samarbejdspartners involvering ophører, herunder gæster og eksterne samarbejdspartnere, hvis adgang ikke administreres via organisationens identitetsudbyder.

• Sikring af, at kundedata publiceret på nettet er beregnet til et offentligt publikum, og konfiguration af indstillinger såsom søgemaskineindeksering i overensstemmelse hermed.

• Overførsel af kundedata, der opbevares privat af en bruger, før brugeren forlader organisationen, eller inden for det begrænsede tidsvindue, hvor overførsel stadig er mulig. Efter dette vindue er private kundedata generelt ikke mulige at gendanne, og overførselsværktøjer er kun tilgængelige med et Enterprise-abonnement.

Notion opbevarer og behandler kundedata på vegne af sine kunder og beskytter dem under overførsel og opbevaring. Kunderne bestemmer, hvilke data der placeres i Notion, hvor længe de opbevares, og hvilke juridiske forpligtelser der er knyttet til dem.

Notions ansvar

• Behandl kundedata i overensstemmelse med Master Subscription Agreement, Data Processing Addendum og gældende databeskyttelseslovgivning.

• Kryptér kundedata ved opbevaring med AES-256 eller en algoritme, der er standard i branchen og giver mindst samme sikkerhed. Det gælder også kundedata i cloudlagring, databasetabeller og sikkerhedskopier. Kryptér data under overførsel med TLS 1.2 eller nyere.

• Vedligehold og publicér en aktuel liste over underdatabehandlere.

• Tilbyd mulighed for at opbevare bestemte typer kundedata i en valgt region, så organisationer, der er berettiget til det, kan vælge, hvor disse data opbevares.

• Undlad at bruge kundedata til at træne Notions maskinlæringsmodeller. Forbyd også AI-underdatabehandlere gennem aftaler at gøre det uden kundens udtrykkelige samtykke.

• Tilbyd funktioner, der giver kunderne mulighed for at eksportere deres kundedata med Eksporter samt opbevare og slette dem. Slet kundedata ved kontraktens ophør i overensstemmelse med aftalen.

• Indgå et Data Processing Addendum og, hvor det er relevant, en Business Associate Agreement med kunder, der kræver det.

Brugeransvar

• Afgøre, hvilke data der bør opbevares i Notion, og sikre, at regulerede data kun opbevares, når de nødvendige aftaler og indstillinger er på plads.

• Fastlægge og følge retningslinjer for opbevaring og slette kundedata, der ikke længere er nødvendige.

• Tilpasse produktets indstillinger for opbevaring og sletning til interne retningslinjer.

• Indsende fuldstændige og korrekte kontodata og hurtigt rette eventuelle fejl.

• Opfylde forpligtelserne som dataansvarlig for personoplysninger i et arbejdsområde. Det omfatter at give de registrerede oplysninger om behandlingen, fastlægge et lovligt behandlingsgrundlag og besvare anmodninger fra registrerede om kundedata.

• Afgøre, om der kræves en bestemt region til dataplacering, anmode om den efter behov og sætte sig ind i, hvilke datakategorier og Notion-produkter der ikke er omfattet.

• Gennemgå Notions liste over underdatabehandlere.

Notion driver den infrastruktur, der holder tjenesten tilgængelig, og vedligeholder sikkerhedskopier af denne infrastruktur med henblik på at gendanne tjenesten. Kunder er ansvarlige for at gendanne deres egne kundedata ved hjælp af de værktøjer, Notion leverer, og for at opbevare en uafhængig kopi af disse kundedata, hvor deres egne forpligtelser kræver det.

Notions ansvar

• Driv Notion-tjenesten i overensstemmelse med de tilgængelighedsforpligtelser, der er fastsat i Service Level Terms, ved hjælp af redundant infrastruktur på tværs af flere tilgængelighedszoner.

• Offentliggør tjenestens driftsstatus.

• Vedligehold automatiserede, krypterede og overvågede sikkerhedskopier af kundedata.

• Opbevar sikkerhedskopier i overensstemmelse med Notions offentliggjorte oversigt over sikkerhedskopieringsregioner for den valgte region for dataplacering. Dataplacering gælder kun for de definerede kategorier af kundedata.

• Vedligehold og test regelmæssigt planer for katastrofegendannelse og forretningskontinuitet.

• Stil gendannelsesværktøjer til rådighed i produktet, herunder papirkurv og versionshistorik, så kunderne selv kan gendanne kundedata.

• Stil en eksportfunktion til rådighed, så kunder kan få en kopi af deres kundedata.

Brugeransvar

• Gendanne enkelte sider og kundedata fra papirkurven og versionshistorikken inden for de opbevaringsperioder, der gælder for brugerens abonnement.

• Tilpasse indstillingerne for opbevaring af kundedata til interne retningslinjer, hvor indstillingerne er tilgængelige.

• Opbevare en særskilt kopi af kundedata, hvis interne retningslinjer, aftaler eller lovgivning kræver længere opbevaring, end produktet tilbyder, eller kræver en kopi uden for Notion.

• Eksportere kundedata efter en tidsplan, der passer til kravene, og kontrollere, at eksporterne er komplette. Kundedata, som den konto, der eksporterer, ikke har adgang til, er ikke med i en eksport.

• Hente eksporter, mens downloadlinket stadig er gyldigt.

• Planlægge, hvad der skal ske, hvis tjenesten bliver utilgængelig, som en del af brugerens egne planer for forretningskontinuitet.

Hvad Notions sikkerhedskopier er og ikke er

Notions sikkerhedskopier bruges til at gendanne Notion-tjenesten. De er ikke gendannelsespunkter, som kunder kan bruge til at føre et arbejdsområde tilbage til en bestemt tilstand på et bestemt tidspunkt. Kunder gendanner selv enkelte kundedata via papirkurven og versionshistorikken. Når de gældende perioder for papirkurv og opbevaring er udløbet, slettes kundedata permanent og kan ikke gendannes. Kunder bør ikke bruge support som en måde at opbevare kundedata på.

En eksport giver en kopi af kundedata, som kan bruges andre steder, i formater som HTML, Markdown, CSV eller PDF, afhængigt af eksporttypen og abonnementet. Det er ikke en komplet sikkerhedskopi af arbejdsområdet. Hvis du importerer eksporterede kundedata, genskabes arbejdsområdets oprindelige tilladelser, indstillinger og samlede konfiguration ikke, og du kan være nødt til at omstrukturere indholdet manuelt.

Notion registrerer relevant aktivitet i et arbejdsområde og giver organisationen adgang til oplysningerne. Kunderne skal gennemgå dem, opbevare dem, hvis det er påkrævet, og reagere på det, de viser.

Notions ansvar

• Registrer sikkerheds- og tryghedsrelaterede hændelser på tværs af en organisations arbejdsområder, herunder hvem der udførte handlingen, selve handlingen, tidspunktet og, hvor det er muligt, IP-adressen.

• Opbevar historikken i revisionsloggen i produktet i en fastlagt periode, og stil mekanismer til eksport og streaming til rådighed, så kunder kan opbevare den i længere tid.

• Giv mulighed for at streame hændelser til en brugers egen sikkerhedsovervågningsplatform i realtid, og understøt forbindelser til værktøjer til forebyggelse af datatab.

• Overvåg Notions egen infrastruktur, netværk og systemer for ondsindet aktivitet, og før interne logfiler for disse systemer.

Brugeransvar

• Gennemgå aktivitet i revisionsloggen og undersøge og reagere på aktivitet, der virker uventet eller uautoriseret.

• Opbevare logdata så længe, som kundens interne retningslinjer eller lovgivningen kræver, ved at eksportere eller streame hændelser, inden opbevaringsperioden udløber.

• Konfigurere overvågning, alarmer og eventuelle forbindelser til sikkerheds- eller complianceværktøjer i brugerens eget miljø og sørge for, at integrationerne fortsat fungerer.

• Afgøre, hvad der tæller som mistænkelig aktivitet i organisationen, og udpege en person, der skal gennemgå den.

• Indberette mistænkelig aktivitet til Notion, hvis den kan være tegn på, at tjenestens sikkerhed er kompromitteret.

Hvad revisionsloggen dækker og ikke dækker

Revisionsloggen registrerer hændelser. Logposter og streamede data beskriver, hvilke handlinger der er udført, og hvem der udførte dem. De indeholder ikke kundedata fra sider.

Registrering i revisionsloggen begynder, når en organisation bliver berettiget til funktionen. Aktivitet, der fandt sted forinden, er ikke tilgængelig med tilbagevirkende kraft.

Notion udvikler, driver og vedligeholder Notion-tjenesten og den infrastruktur, den kører på. Det omfatter også sikring og opdatering af infrastrukturen. Kunderne er ansvarlige for de miljøer, de bruger til at få adgang til Notion.

Notions ansvar

• Udvikl, test, patch og vedligehold Notion-applikationen og den infrastruktur, der understøtter den. Opdateringer til tjenesten installeres af Notion og kræver ingen handling fra kunderne.

• Udfør trusselsmodellering og sikre designgennemgange for nye udgivelser, og foretag kodeaudits, kodegennemgange og sikkerhedsscanning af kodebasen.

• Bestil årlig uafhængig penetrationstest.

• Implementér og administrer netværkssikkerhed på tværs af Notions systemer.

• Overvåg Notions infrastruktur, netværk og aktiver for ondsindet aktivitet.

• Driv et offentligt program for indberetning af sårbarheder, og bestil uafhængig penetrationstest.

• Sikr Notions egne virksomhedssystemer og medarbejderes enheder, herunder kryptering af data i hvile, endpoint-detektering og -respons samt centraliseret enhedsstyring.

• Udgiv Notion-klientapplikationer og lever opdateringer til dem.

Brugeransvar

• Vedligeholde understøttede endpointmiljøer, herunder webbrowsere, og sørge for, at de er opdaterede. Håndtere eventuelle kontroller, der kan forhindre opdateringer af Notion-klienten.

• Sikring af de enheder og netværk, der bruges til at få adgang til Notion, i overensstemmelse med brugerens egne standarder for endpointsikkerhed.

• Når opdateringer af Notion-klienten administreres centralt, skal de fortsat installeres rettidigt. Hvis automatiske opdateringer udskydes eller deaktiveres, overgår ansvaret for at installere sikkerhedsrettelser til klienten rettidigt til brugeren.

• Sikring af, at installationskonfigurationer ikke forhindrer brugere i at modtage opdateringer.

• Rapportering af formodede sårbarheder i Notion-tjenesten til Notion frem for at udnytte eller offentliggøre dem.

Hvor grænsen går

Notion installerer sikkerhedsrettelser til Notion-tjenesten. Kunder installerer ikke sikkerhedsrettelser til Notion, og opdateringer på serversiden kræver ingen handling fra kunderne.

Klientapplikationer fungerer anderledes. Notion udgiver opdateringer, men om en enhed modtager dem, afhænger af, hvordan den er konfigureret og administreret. Hvis en organisation styrer installationer eller opdateringer, er det dens ansvar at holde klienterne opdaterede.

Notion leverer et API, en integrationsplatform og AI-funktioner, der kan arbejde med kundedata og få adgang til forbundne systemer. Kunderne er ansvarlige for at beslutte, hvilke af disse der skal aktiveres, hvilken adgang de skal have, og hvordan de skal administreres.

Notions ansvar

• Stil Notions API, integrationsplatform, forbindelser og AI-funktioner til rådighed, og vedligehold dem.

• Overhold brugertilladelser i Notion AI, Notion-agent og AI Connectors. Tilpassede agenter bruger deres egne eksplicit tildelte tilladelser, som kan afvige fra tilladelserne hos den person, der interagerer med agenten.

• Stil administrative kontrolfunktioner til rådighed, der styrer, hvilke integrationer og eksterne AI-værktøjer der må installeres, hvilke agenter der må oprettes, og om AI-funktioner er aktiveret.

• Stil kontrolfunktioner til rådighed, så AI-websøgning kan aktiveres eller deaktiveres, og der kan kræves bekræftelse før eksterne webanmodninger.

• Vedligehold beskyttelsesforanstaltninger, der er designet til at opdage og reducere risikoen for prompt-injektion, herunder registrering af skjulte instruktioner i tredjepartsindhold og uploadede filer, begrænsninger for håndtering af links og yderligere kontroller, når agenter handler selvstændigt.

• Undlad at bruge kundedata til at træne Notions modeller, og forbyd AI-underdatabehandlere kontraktligt at gøre det uden udtrykkeligt samtykke fra kunden.

• Registrer aktivitet vedrørende integrationer, forbindelser, agenter og eksterne AI-værktøjer i revisionsloggen.

Brugeransvar

• Beslutning om, hvilke integrationer, forbindelser, AI-funktioner og agenter der er passende for organisationen, og konfigurering af de tilgængelige kontrolfunktioner i overensstemmelse med beslutningen.

• Gennemgang af den adgang og de funktioner, som en integration eller forbindelse anmoder om, før den godkendes, og bekræftelse af, at tredjepartstjenesten opfylder brugerens egne leverandørkrav.

• Håndtering af interne integrationstokens, herunder begrænsning af, hvem de deles med, løbende udskiftning og tilbagekaldelse af tokens, der ikke længere er brug for.

• Styring af oprettelse og konfiguration af agenter, herunder hvilke kundedata og forbundne værktøjer hver agent har adgang til, og periodisk gennemgang af denne adgang.

• Kunder skal sikre, at agenters tilladelser er passende afgrænset.

• Afgørelse af, om modeller, der gemmer data, må aktiveres til funktioner, som kræver dem.

• Sikring af, at kundedata, der gøres tilgængelige for Notion via forbundne systemer, er passende til det formål, og at adgang givet i det forbundne system i sig selv er korrekt afgrænset.

• At gøre brugere opmærksomme på, at kundedata fra kilder uden for arbejdsområdet, herunder websider og uploadede filer, kan forsøge at påvirke AI'ens adfærd.

Hvad kunder bør vide om forbundne data

Adgang givet via en forbindelse er kun så begrænset som de tilladelser, der er givet i det forbundne system. Notion håndhæver de tilladelser, der rapporteres af det forbundne system, men udbedrer ikke for brede tilladelser i kildesystemet.

Ændringer i tilladelser i forbundne systemer afspejles først i Notion efter en synkronisering. Der kan også gå noget tid, før nye kundedata vises, eller slettede kundedata bliver utilgængelige.

Notion er ansvarlig for sikkerheden i Notion-tjenesten og for at underrette kunder, når en hændelse påvirker deres kundedata. Kunder er ansvarlige for, hvordan de reagerer på hændelser, der involverer deres egne konti, arbejdsområder og kundedata, herunder for at foretage de underretninger, de måtte være forpligtet til.

Notions ansvar

• Oprethold en dokumenteret plan for hændelseshåndtering, og afprøv den jævnligt.

• Opdag, vurder, undersøg, inddæm og afhjælp sikkerhedshændelser, der påvirker Notions systemer og de kundedata, Notion opbevarer.

• Underret berørte kunder om sikkerhedshændelser i overensstemmelse med databehandleraftalen og gældende lovgivning.

• Gennemfør en evaluering efter hændelsen, herunder en analyse af de grundlæggende årsager, og brug resultaterne til at forbedre Notions kontroller og beredskabsplan.

• Offentliggør tjenestens driftsstatus, og informér om hændelser, der påvirker dens tilgængelighed.

• Oprethold et program for indberetning af sårbarheder, og vurder og afhjælp indberettede sårbarheder.

Brugeransvar

• Rapportering af formodede sikkerhedshændelser, kompromitterede konti, formodede sårbarheder og misbrug af tjenesten til Notion omgående gennem den relevante kanal.

• Detektering og håndtering af hændelser, der opstår inden for brugerens egne arbejdsområder og konti, herunder kompromitterede legitimationsoplysninger, upassende deling og misbrug fra interne brugere.

• Vedligeholdelse af brugerens egne planer for hændelseshåndtering og fastlæggelse af, hvem der skal reagere på aktivitet, som registreres i Notion.

• At udføre de handlinger i produktet, der kan begrænse skaden, herunder at fjerne adgang, tilbagekalde sessioner, nulstille legitimationsoplysninger, tilbagekalde integrationstokens og trække offentliggjorte kundedata tilbage.

• Bevarelse af relevant bevismateriale, herunder at eksportere poster fra revisionsloggen, før opbevaringsperioden udløber.

• Afgørelse af, om en hændelse udløser en underretningspligt, som brugeren har over for en tilsynsmyndighed, kunde eller berørt person, og foretagelse af denne underretning.

• Ajourføring af administrative kontaktoplysninger og sikkerhedskontaktoplysninger, så meddelelser fra Notion når frem til de rette personer.

• Indberetning af formodede sårbarheder til Notion frem for at udnytte eller offentliggøre dem.

Hvilken part opdager hvad

Notion overvåger sin egen infrastruktur og kan opdage hændelser, der påvirker tjenesten. Notion kan ikke afgøre, om en ellers gyldig handling i et arbejdsområde var godkendt i henhold til brugerens interne politikker. Kunder er ansvarlige for at overvåge aktivitet i arbejdsområder og reagere på misbrug.

Det kræver, at brugeren gennemgår de tilgængelige aktivitetsregistreringer og kontrolfunktioner for at opdage og håndtere disse hændelser. Det gælder for eksempel, hvis et medlem offentliggør fortrolige kundedata, en fratrædende medarbejder eksporterer data, eller den retmæssige indehaver misbruger sine legitimationsoplysninger.

Notion opretholder et program for informationssikkerhed og databeskyttelse, der revideres uafhængigt, og gør den tilhørende dokumentation tilgængelig. Kunder afgør, om Notion er egnet til at opfylde deres egne lovgivningsmæssige forpligtelser, og konfigurerer tjenesten derefter.

Notions ansvar

• Oprethold programmer for sikkerhed og databeskyttelse, som vurderes af uafhængige parter efter de gældende revisions- og certificeringscyklusser.

• Gør overholdelsesdokumentation, herunder revisionsrapporter og certificeringer, tilgængelig for kunder og potentielle kunder via Notion Trust Center.

Brugeransvar

• Afgørelse af, om Notion er egnet til de data, brugeren vil lagre, og de regulatoriske forpligtelser, der gælder for brugeren.

• Indgåelse af de aftaler, der kræves til denne brug, herunder et tillæg om databehandling eller en Business Associate Agreement, hvor det er relevant.

• Anvendelse af den konfiguration, som aftalerne kræver, herunder aktivering af særlige indstillinger for overholdelse af krav og de sikkerhedsfunktioner, de afhænger af.

• Gennemførelse af brugerens egne vurderinger, herunder leverandørrisikovurdering og enhver konsekvensanalyse vedrørende databeskyttelse, som loven kræver.

• Gennemgang af Notions certificeringer, revisionsrapporter og liste over underdatabehandlere som led i brugerens egne processer for kontrol og håndtering af ændringer.

• Dokumentation over for brugerens egne revisorer og tilsynsmyndigheder for, at brugerens konfiguration og brug af Notion opfylder de forpligtelser, der gælder for brugeren.

Hvad certificeringen dækker

Notions certificeringer fra uafhængige tredjeparter og revisionsrapporter dækker de kontrolforanstaltninger, Notion står for. De omfatter ikke den enkelte organisations konfiguration eller brug af Notion.

Et arbejdsområde, der indeholder regulerede data, overholder ikke automatisk reglerne, blot fordi Notion har en certificering. Hvor en forpligtelse afhænger af konfiguration, såsom begrænsning af deling, håndhævelse af single sign-on, opbevaring af revisionslogger eller begrænsning af, hvor data lagres, forbliver det brugerens ansvar at overholde den.

Notion fastsætter de vilkår, under hvilke tjenesten må bruges, og håndhæver dem. Kunder er ansvarlige for deres egen brug af Notion og for de kundedata, der opbevares i deres arbejdsområder.

Notions ansvar

• Notion offentliggør og vedligeholder politikken for indhold og brug, relevante vilkår og relaterede politikker.

• Notion giver alle, der ser en offentlig Notion-side, mulighed for at indberette kundedata, som de mener er forbudt.

• Notion undersøger indberetninger og fjerner kundedata eller begrænser adgangen, når der konstateres en overtrædelse.

• Notion undersøger brugskategorier med højere risiko for misbrug grundigere og suspenderer eller lukker for adgangen, når det er nødvendigt for at beskytte tjenestens tilgængelighed.

Brugeransvar

• Brug af Notion i overensstemmelse med vilkårene og politikken for indhold og brug, og sikring af, at personer, der bruger Notion under brugerens abonnement, gør det samme.

• Sikring af, at kundedata, der lagres i, deles fra eller publiceres gennem Notion, overholder disse politikker og gældende lovgivning.

• Moderering af kundedata, som andre har bidraget med, når brugeren distribuerer brugergenererede kundedata gennem Notion.

• Brug af Notion inden for den kapacitet, tjenesten er beregnet til, uden at forsøge at omgå, deaktivere eller forstyrre dens sikkerhedskontroller.

• Udførelse af sikkerhedstest af Notion udelukkende gennem Notions program for indberetning af sårbarheder og i overensstemmelse med programmets vilkår.

• Brug af support- og rapporteringskanaler i god tro.