Modelo de responsabilidad compartida

Este Modelo de responsabilidad compartida garantiza que tanto Notion como sus clientes contribuyan a que el uso del espacio de trabajo sea seguro y eficaz.

Consulta el MSA y el DPA de Notion para conocer los términos definidos.

Notion es un espacio único donde puedes pensar, escribir y planificar. Como espacio todo en uno que permite a los usuarios crear sus propias herramientas para trabajar mejor, los usuarios confían a Notion su información profesional y personal y, a través de Conexiones y funciones de IA, el acceso a información almacenada en otros sistemas.

Un Modelo de responsabilidad compartida (SRM, por sus siglas en inglés) es un marco que describe la división de responsabilidades entre un proveedor de servicios y sus usuarios. Define claramente qué tareas operativas y de seguridad son gestionadas por cada parte.

Este documento describe las responsabilidades compartidas entre Notion y sus clientes a la hora de proteger y mantener la seguridad de los sistemas, las cuentas de usuario y los espacios de trabajo de Notion.

El SRM de Notion proporciona claridad tanto a Notion como a sus clientes sobre qué parte es responsable de procesos, operaciones o controles específicos. Esto permite a Notion centrarse en las áreas en las que mejor podemos proteger la confidencialidad, integridad y disponibilidad de los sistemas de Notion, y asumir la responsabilidad de las mismas, al tiempo que identifica dónde los clientes están mejor posicionados para proteger sus propias cuentas, espacios de trabajo y datos de cliente. En general, esto mejora la seguridad y la eficiencia en la protección de los sistemas y cuentas de Notion.

El SRM también promueve la transparencia en la forma en que se prestan los servicios de Notion, proporcionando a los clientes la información que necesitan para evaluar a Notion dentro de sus propios procesos de gestión de riesgos y aseguramiento, y ayudando tanto a Notion como a sus clientes a cumplir sus respectivas obligaciones en virtud de la normativa local, regional, nacional e internacional aplicable.

En resumen: Notion es responsable de crear, operar y proteger la arquitectura del servicio de Notion. Los clientes son responsables de cómo configuran y utilizan dicho servicio, incluida la protección de sus credenciales, la gestión de quién tiene acceso a sus espacios de trabajo y datos de cliente, y el cumplimiento de la Política de contenido y uso y otros Términos pertinentes.

Algunas de las responsabilidades descritas en este documento solo pueden ser llevadas a cabo por clientes con permisos elevados en un espacio de trabajo u organización. Es responsabilidad del usuario asignar dichos permisos de forma adecuada.

Las herramientas disponibles para cumplir con una responsabilidad determinada varían según el plan. Cuando una funcionalidad está limitada a planes de suscripción específicos, los clientes que dispongan de planes de suscripción sin dicha funcionalidad seguirán siendo responsables del resultado subyacente y deberán considerar controles alternativos.

Notion proporciona los métodos de autenticación y los controles administrativos que rigen cómo inician sesión las personas en Notion y cómo se concede y revoca el acceso al espacio de trabajo. Los clientes son responsables de seleccionar y configurar los controles adecuados para su organización, así como de proteger las credenciales utilizadas para acceder a sus cuentas.

Responsabilidades de Notion

• Proporcionar y gestionar métodos de autenticación, incluidos el inicio de sesión con correo electrónico y contraseña, el inicio de sesión con Google y Apple y el Inicio de sesión único (SSO) mediante SAML 2.0 para los espacios de trabajo del plan Business y del plan Enterprise.

• Proporcionar autenticación de dos factores para las cuentas que inician sesión con contraseña, mediante una app que actúe como autenticador o un código enviado por mensaje de texto.

• Proporcionar API SCIM que permitan a las organizaciones Enterprise automatizar la creación, actualización y eliminación de usuarios desde su proveedor de identidad.

• Proporcionar controles administrativos que regulen la duración de la sesión, el cierre de sesión forzado, el restablecimiento de contraseñas, la suspensión de cuentas y la verificación de dominios.

• Requerir una prueba verificada de la propiedad del dominio antes de que este pueda utilizarse para controlar cómo su base de usuarios inicia sesión en Notion.

• Revocar el acceso de un usuario a los datos de cliente cuando dicho usuario sea eliminado del espacio de trabajo. Proporcionar controles que permitan a una organización finalizar sesiones y restablecer credenciales en toda su base de usuarios gestionada.

• Mantener controles de acceso con privilegios mínimos en toda la infraestructura de Notion y exigir que los empleados y contratistas de Notion estén sujetos a obligaciones de confidencialidad.

• Acceder a los Datos del cliente para prestar Soporte solo cuando un usuario o el propietario de un espacio de trabajo haya dado su consentimiento, y hacer que este caduque automáticamente tras un periodo definido.

Responsabilidades del Usuario

• Proteger las credenciales de inicio de sesión, utilizar contraseñas seguras y únicas, y evitar su reutilización en otros servicios.

• Mantener cuentas individuales en lugar de cuentas compartidas, y no compartir la información de inicio de sesión.

• Utilizar la autenticación de dos factores en las cuentas que inician sesión con contraseña.

• Actualizar las credenciales de acuerdo con la política interna y sin demora cuando se detecte una filtración de credenciales externas.

• Seleccionar y configurar los métodos de autenticación adecuados para la organización, incluido si se exige el Inicio de sesión único (SSO).

• Asegurarse de que el acceso al espacio de trabajo se limite a los usuarios previstos y de que se retire sin demora cuando alguien se marche o cambie de rol. La retirada automática del acceso requiere SCIM; cuando no se utiliza, la eliminación es un proceso manual.

• Establecer la duración de la sesión de acuerdo con la política interna y mantener un procedimiento de recuperación en caso de pérdida de acceso al proveedor de identidad.

• Controlar si el Soporte de Notion puede acceder a una cuenta o espacio de trabajo, y revocar dicho acceso cuando ya no sea necesario.

Notion proporciona el modelo de permisos que determina lo que un usuario autenticado puede ver y hacer, junto con controles administrativos que establecen los límites para compartir. Los clientes son responsables de decidir cómo se aplica ese modelo a sus datos de cliente y de revisar el acceso resultante.

Responsabilidades de Notion

• Proporcionar un modelo de permisos que funcione a nivel de espacio de trabajo, Espacio de equipo, página y base de datos, incluidos los grupos de permisos, y aplicarlo de forma coherente en todo el producto.

• Proporcionar un acceso diferenciado para miembros e invitados, de modo que se pueda conceder a los colaboradores externos acceso a datos de cliente específicos en lugar de a todo un espacio de trabajo.

• Proporcionar controles administrativos que permitan a una organización restringir la posibilidad de compartir páginas públicamente, el acceso de invitados, la exportación y el traslado o la duplicación de páginas a otros espacios de trabajo.

• Proporcionar controles que regulen quién puede publicar datos de cliente en la web, incluidos Notion Sites, formularios y enlaces públicos.

• Proporcionar herramientas de visibilidad que permitan a una organización identificar quién tiene acceso a una página, qué páginas se comparten externamente o se publican en la web, y modificar dichos permisos.

• Respetar los permisos configurados del espacio de trabajo al proporcionar funciones de IA y búsqueda.

Responsabilidades del usuario

• Determinar el nivel de acceso adecuado para los Datos del cliente y aplicar los permisos en consecuencia.

• Decidir si se permiten la colaboración externa y la publicación en la web, y configurar los controles disponibles en consecuencia.

• Comprender cómo se hereda el acceso. El acceso concedido a una página se extiende por defecto a las páginas anidadas en ella, y, cuando se concede acceso por varias vías, se aplica el nivel más alto concedido.

• Revisar el acceso periódicamente, incluidos los miembros del espacio de trabajo, los invitados, los grupos de permisos, los Datos del cliente compartidos externamente y los Datos del cliente publicados en la web.

• Eliminar el acceso a los Datos del cliente cuando finalice la participación de un colaborador, incluidos los invitados y los colaboradores externos cuyo acceso no se gestione a través del proveedor de identidad de la organización.

• Asegurarse de que los Datos del cliente publicados en la web estén destinados al público en general y configurar en consecuencia opciones como la Indexación en motores de búsqueda.

• Transferir los Datos del cliente almacenados de forma privada por un usuario antes de que dicho usuario se marche, o dentro del plazo limitado durante el cual la transferencia sigue siendo posible. Después de ese plazo, los Datos del cliente privados son generalmente irrecuperables, y las herramientas de transferencia solo están disponibles en el plan Enterprise.

Notion almacena y procesa los Datos del cliente en nombre de sus Clientes y los protege tanto en tránsito como en reposo. Los Clientes determinan qué datos se incluyen en Notion, cuánto tiempo se conservan y qué obligaciones legales les corresponden.

Responsabilidades de Notion

• Procesar los Datos del cliente de acuerdo con el Acuerdo de suscripción principal, el Anexo de procesamiento de datos y la legislación de protección de datos aplicable.

• Cifrar los Datos del cliente en reposo utilizando AES-256 o un algoritmo estándar del sector que proporcione una seguridad equivalente o superior, incluso en el almacenamiento en la nube, las tablas de bases de datos y las copias de seguridad, y cifrar los datos en tránsito utilizando TLS 1.2 o superior.

• Mantener y publicar una lista actualizada de subprocesadores.

• Ofrecer residencia de datos para determinadas categorías de Datos del cliente y permitir que las organizaciones que cumplan los requisitos seleccionen la región en la que se almacenan esos datos en reposo.

• Abstenerse de utilizar los Datos del cliente para entrenar los modelos de aprendizaje automático de Notion y prohibir contractualmente a los subprocesadores de IA que lo hagan sin el consentimiento explícito del cliente.

• Proporcionar una funcionalidad que permita a los Clientes exportar, conservar y eliminar sus Datos del cliente, y eliminar los Datos del cliente al finalizar el contrato de acuerdo con el mismo.

• Formalizar un Anexo de procesamiento de datos y, cuando proceda, un Acuerdo de socio comercial con los clientes que lo requieran.

Responsabilidades del usuario

• Determinar qué datos es apropiado almacenar en Notion y asegurarse de que los datos regulados solo se almacenen cuando existan los acuerdos y la configuración necesarios.

• Establecer y aplicar prácticas de conservación y eliminar los Datos del Cliente que ya no sean necesarios.

• Configurar los ajustes de retención y eliminación disponibles en el producto para reflejar la política interna.

• Proporcionar Datos de la Cuenta completos y precisos y corregirlos sin demora cuando se detecten errores.

• Cumplir con las obligaciones que corresponden al responsable del tratamiento de los datos personales almacenados en un espacio de trabajo, incluyendo proporcionar información sobre privacidad a las personas, establecer una base legal para el tratamiento y responder a las solicitudes de los interesados relativas a los Datos del Cliente.

• Determinar si se requiere una región de residencia de datos específica, solicitarla cuando sea necesario y comprender qué categorías de datos y qué productos de Notion quedan fuera de ese alcance.

• Revisar la lista de subprocesadores de Notion.

Notion opera la infraestructura que mantiene el Servicio disponible y mantiene copias de seguridad de dicha infraestructura con el fin de recuperar el Servicio. Los Clientes son responsables de recuperar sus propios Datos del Cliente utilizando las herramientas que proporciona Notion, y de mantener una copia independiente de dichos Datos del Cliente cuando sus propias obligaciones así lo requieran.

Responsabilidades de Notion

• Operar el Servicio de Notion de acuerdo con los compromisos de disponibilidad establecidos en los Términos de Nivel de Servicio, utilizando una infraestructura redundante en múltiples zonas de disponibilidad.

• Publicar el estado operativo del Servicio.

• Mantener copias de seguridad de los Datos del Cliente automatizadas, cifradas y supervisadas.

• Almacenar las copias de seguridad de acuerdo con la correspondencia entre regiones de copia de seguridad publicada por Notion para la región de residencia de datos seleccionada. La residencia de datos solo se aplica a las categorías definidas de Datos del Cliente.

• Mantener y probar periódicamente los planes de recuperación ante desastres y de continuidad del negocio.

• Proporcionar herramientas de recuperación integradas en el producto, como la Papelera y el historial de versiones, para que los Clientes puedan restaurar los Datos del Cliente por su cuenta.

• Proporcionar una función de exportación que permita a los Clientes obtener una copia de sus Datos del Cliente.

Responsabilidades del usuario

• Recuperar páginas y Datos del Cliente mediante la Papelera y el historial de versiones, dentro de los periodos de conservación aplicables al plan del Usuario.

• Configurar, cuando estén disponibles, los ajustes de conservación de datos aplicables a los Datos del Cliente según la política interna.

• Mantener una copia independiente de los Datos del Cliente cuando la política interna, los compromisos contractuales o la normativa exijan una retención superior a la que ofrece el producto, o requieran una copia almacenada fuera de Notion.

• Generar exportaciones con una frecuencia adecuada a dichos requisitos y verificar que las exportaciones estén completas. Los Datos del Cliente a los que la cuenta que realiza la exportación no pueda acceder no se incluirán en la exportación.

• Recuperar las exportaciones dentro del periodo en que el enlace de descarga permanezca válido.

• Prever posibles interrupciones del Servicio en los planes de continuidad del negocio del Usuario.

Qué son y qué no son las copias de seguridad de Notion

Las copias de seguridad de Notion sirven para restaurar el Servicio de Notion. No son puntos de restauración para los Clientes ni permiten devolver un espacio de trabajo al estado en que se encontraba en un momento determinado. Los Clientes pueden recuperar los Datos del Cliente mediante la Papelera y el historial de versiones. Cuando vencen los plazos aplicables de permanencia en la Papelera y de conservación, los Datos del Cliente se eliminan definitivamente y no pueden restaurarse. Los Clientes no deben recurrir a Soporte como mecanismo de conservación.

Una exportación genera una copia portátil de los Datos del Cliente en formatos como HTML, markdown, CSV o PDF, dependiendo del tipo de exportación y del plan. No es una copia de seguridad completa del espacio de trabajo: importar los Datos del Cliente exportados no recreará los permisos, los ajustes ni la configuración completa original del espacio de trabajo, y puede requerir una reestructuración manual.

Notion genera registros de la actividad relevante dentro de un espacio de trabajo y los pone a disposición de la organización. Los clientes son responsables de revisar dichos registros, conservarlos cuando sea necesario y actuar sobre lo que muestran.

Responsabilidades de Notion

• Registrar los eventos relacionados con la seguridad y la protección que ocurren en los espacios de trabajo de una organización, incluidos el actor, la acción, el momento y, cuando esté disponible, la dirección IP.

• Conservar el historial del registro de auditoría dentro del producto durante un período definido y proporcionar mecanismos para exportarlo y transmitirlo, de modo que los clientes puedan conservarlo durante más tiempo.

• Proporcionar un medio para transmitir eventos a la propia plataforma de supervisión de seguridad del usuario en tiempo real y admitir conexiones a herramientas de prevención de pérdida de datos.

• Supervisar la propia infraestructura, redes y sistemas de Notion en busca de actividad maliciosa y mantener el registro interno de dichos sistemas.

Responsabilidades del usuario

• Revisar la actividad del registro de auditoría e investigar y actuar sobre la actividad que parezca inesperada o no autorizada.

• Conservar los datos de registro durante el período requerido por la propia política o normativa interna del cliente, exportando o transmitiendo los eventos antes de que superen el período de retención.

• Configurar la supervisión, las alertas y cualquier conexión de seguridad o cumplimiento en el propio entorno del usuario y asegurarse de que dichas integraciones permanezcan operativas.

• Definir qué constituye una actividad sospechosa en el contexto de la organización y asignar la responsabilidad de revisarla.

• Informar a Notion sobre actividades sospechosas cuando puedan indicar un compromiso del Servicio.

Qué cubre y qué no cubre el registro de auditoría

El registro de auditoría graba eventos. Las entradas de registro y las cargas útiles transmitidas describen las acciones realizadas y por quién; no contienen los Datos del Cliente de las páginas.

El registro de auditoría empieza a grabar eventos cuando una organización cumple los requisitos para acceder a la función. La actividad anterior no puede consultarse de forma retrospectiva.

Notion desarrolla, opera y mantiene el Servicio Notion y la infraestructura sobre la que se ejecuta, incluida la protección de dicha infraestructura y la aplicación de parches. Los clientes son responsables de los entornos desde los que acceden a Notion.

Responsabilidades de Notion

• Desarrollar, probar, aplicar parches y mantener la aplicación de Notion y la infraestructura que la sustenta. Notion aplica las actualizaciones del Servicio sin que los Clientes tengan que hacer nada.

• Llevar a cabo el modelado de amenazas y las revisiones de diseño seguro para los nuevos lanzamientos, y realizar auditorías de código, revisiones de código y análisis de seguridad de la base de código.

• Encargar pruebas de penetración independientes anuales.

• Implementar y gestionar la seguridad de la red en todos los sistemas de Notion.

• Monitorizar la infraestructura, las redes y los activos de Notion en busca de actividad maliciosa.

• Mantener un programa de divulgación de vulnerabilidades público y encargar pruebas de penetración independientes.

• Proteger los sistemas corporativos y los dispositivos de los empleados de Notion, incluidos el cifrado en reposo, la detección y respuesta en el punto final y la gestión centralizada de dispositivos.

• Publicar las aplicaciones cliente de Notion y proporcionarles actualizaciones.

Responsabilidades del usuario

• Mantener entornos de punto final compatibles y con los parches adecuados, incluidos los navegadores web, y gestionar cualquier control que pueda impedir las actualizaciones del cliente de Notion.

• Proteger los dispositivos y redes utilizados para acceder a Notion, de acuerdo con los propios estándares de seguridad de punto final del Usuario.

• Cuando las actualizaciones del cliente de Notion se gestionen de forma centralizada, garantizar que sigan aplicándose de manera oportuna. Aplazar o desactivar las actualizaciones automáticas transfiere al Usuario la responsabilidad de aplicar los parches al cliente de manera oportuna.

• Garantizar que las configuraciones de instalación no impidan que los Usuarios reciban actualizaciones.

• Informar a Notion de las posibles vulnerabilidades en el Servicio de Notion en lugar de explotarlas o divulgarlas públicamente.

Dónde se sitúa el límite

Notion aplica los parches al Servicio de Notion. Los Clientes no tienen que aplicar parches a Notion ni hacer nada para recibir las actualizaciones en el servidor.

Las aplicaciones cliente son diferentes. Notion publica actualizaciones, pero si un dispositivo determinado las recibe depende de cómo esté configurado y gestionado dicho dispositivo. Cuando una organización gestiona el comportamiento de instalación o actualización, mantener los clientes actualizados es responsabilidad de la organización.

Notion proporciona una API, una plataforma de integración y funciones de IA que pueden actuar sobre los Datos del Cliente y acceder a sistemas conectados. Los clientes son responsables de decidir cuáles de estas habilitar, qué acceso concederles y cómo se rigen.

Responsabilidades de Notion

• Proporcionar y mantener la API de Notion, la plataforma de integración, las conexiones y las funciones de IA.

• Respetar los permisos de usuario en la IA de Notion, el Agente de Notion y las conexiones de IA. Los Agentes Personalizados utilizan sus propios permisos concedidos explícitamente, que pueden diferir de los de la persona que interactúa con el agente.

• Proporcionar controles administrativos que regulen qué integraciones y herramientas de IA externas pueden instalarse, qué agentes pueden crearse y si las funciones de IA están habilitadas.

• Proporcionar controles para activar o desactivar la búsqueda en la web mediante IA y exigir confirmación antes de realizar solicitudes web externas.

• Mantener defensas diseñadas para detectar y reducir el riesgo de inyección de indicaciones, incluida la detección de instrucciones ocultas en contenido de terceros y archivos cargados, restricciones en el manejo de enlaces y comprobaciones adicionales cuando los agentes actúen de forma autónoma.

• Abstenerse de utilizar Datos del Cliente para entrenar los modelos de Notion y prohibir contractualmente a los subprocesadores de IA que lo hagan sin el consentimiento explícito del cliente.

• Grabar la actividad de las integraciones, las conexiones, los agentes y las herramientas de IA externas en el registro de auditoría.

Responsabilidades del usuario

• Decidir qué integraciones, conexiones, funciones de IA y agentes son adecuados para la organización, y configurar los controles disponibles para reflejar esa decisión.

• Revisar el acceso y las capacidades solicitados por una integración o conexión antes de autorizarla, y confirmar que el servicio de terceros cumple con los requisitos de proveedor del propio Usuario.

• Gestionar los tokens de integración internos, lo que incluye restringir su distribución, rotarlos y revocar los que ya no sean necesarios.

• Supervisar la creación y configuración de los agentes, incluidos los Datos del Cliente y las herramientas conectadas a los que puede acceder cada agente, y revisar esos accesos periódicamente.

• Los Clientes deben asegurarse de que los permisos de los agentes estén delimitados adecuadamente.

• Determinar si se pueden habilitar modelos que retienen datos para las funciones que los requieran.

• Asegurarse de que los Datos del Cliente puestos a disposición de Notion a través de sistemas conectados sean adecuados para ese fin y de que el acceso concedido en el sistema conectado esté, a su vez, correctamente delimitado.

• Informar a los Usuarios de que los Datos del Cliente procedentes de fuera del Espacio de trabajo, incluidas las páginas web y los archivos cargados, pueden intentar influir en el comportamiento de la IA.

Lo que los Clientes deben entender sobre los datos conectados

El acceso concedido a través de una conexión es tan limitado como los permisos concedidos en el sistema conectado. Notion aplica los permisos comunicados por el sistema conectado, pero no subsana los permisos excesivamente amplios del sistema de origen.

Los cambios de permisos en los sistemas conectados se reflejan en Notion tras un intervalo de sincronización, no de forma inmediata. Los Datos del Cliente recién añadidos o eliminados pueden tardar en aparecer o dejar de estar disponibles.

Notion es responsable de la seguridad de su servicio y de notificar a los clientes cuando un incidente afecte a sus Datos del Cliente. Los Clientes son responsables de responder a los incidentes que afecten a sus propias cuentas, Espacios de trabajo y Datos del Cliente, incluidas las notificaciones que estén obligados a realizar.

Responsabilidades de Notion

• Mantener un plan de respuesta ante incidentes documentado y probarlo periódicamente.

• Detectar, clasificar, investigar, contener y subsanar los incidentes de seguridad que afecten a los sistemas de Notion y a los Datos del Cliente que Notion almacena.

• Notificar a los clientes afectados los incidentes de seguridad de acuerdo con el Anexo de procesamiento de datos y la legislación aplicable.

• Realizar una revisión posterior al incidente, incluido el análisis de la causa raíz, y aplicar los hallazgos a los controles y al plan de respuesta de Notion.

• Publicar el estado operativo del servicio y comunicar las incidencias de disponibilidad.

• Gestionar un programa de divulgación de vulnerabilidades, así como clasificar y subsanar las vulnerabilidades notificadas.

Responsabilidades del usuario

• Informar a Notion con prontitud, a través del canal adecuado, sobre sospechas de incidentes de seguridad, cuentas comprometidas, sospechas de vulnerabilidades y uso indebido del servicio.

• Detectar y responder a los incidentes que se produzcan dentro de los Espacios de trabajo y cuentas del Usuario, incluidas las credenciales comprometidas, el uso compartido inapropiado y el uso indebido por parte de Usuarios internos.

• Mantener los propios procedimientos de respuesta ante incidentes del Usuario y definir quién es responsable de actuar ante la actividad identificada en Notion.

• Adoptar las medidas de contención disponibles en el producto, como retirar el acceso, revocar sesiones, restablecer credenciales, revocar tokens de integración y retirar los Datos del Cliente publicados.

• Conservar las pruebas pertinentes, lo que incluye exportar los registros del registro de auditoría antes de que termine su periodo de conservación.

• Determinar si un incidente desencadena una obligación de notificación por parte del Usuario a un regulador, cliente o persona afectada, y realizar dicha notificación.

• Mantener actualizados los datos de contacto administrativo y de seguridad para que las notificaciones de Notion lleguen a las personas adecuadas.

• Informar a Notion de las posibles vulnerabilidades en lugar de explotarlas o divulgarlas públicamente.

Qué parte detecta qué

Notion supervisa su propia infraestructura y puede detectar incidentes que afecten al Servicio. Notion no puede determinar si una acción válida en el Espacio de trabajo estaba autorizada según las políticas internas del Usuario. Los clientes son responsables de supervisar la actividad del Espacio de trabajo y de responder ante un uso indebido.

Esto incluye incidentes como que un miembro publique Datos del Cliente confidenciales, que un empleado que se marcha exporte datos o que el titular legítimo de una credencial la utilice indebidamente. Para detectar estos casos y responder a ellos, el Usuario debe revisar los registros de actividad y los controles a su disposición.

Notion mantiene un programa de seguridad de la información y privacidad que es auditado de forma independiente y pone a disposición la documentación resultante. Los clientes determinan si Notion es adecuado para sus propias obligaciones normativas y lo configuran en consecuencia.

Responsabilidades de Notion

• Mantener programas de seguridad y privacidad evaluados de forma independiente de acuerdo con los ciclos de auditoría y certificación aplicables.

• Poner la documentación de cumplimiento, incluidos los informes de auditoría y las certificaciones, a disposición de los clientes y clientes potenciales a través del Notion Trust Center.

Responsabilidades del usuario

• Determinar si Notion es adecuado para los datos que el Usuario pretende almacenar y las obligaciones normativas que le son de aplicación.

• Suscribir los acuerdos obligatorios para ese uso, incluidos, cuando proceda, el Anexo de procesamiento de datos o el Acuerdo de socio comercial.

• Aplicar la configuración obligatoria según esos acuerdos, lo que incluye habilitar los ajustes específicos de cumplimiento y las funciones de seguridad de las que dependen.

• Completar las evaluaciones del Usuario, incluida la evaluación de riesgos de proveedores y cualquier evaluación de impacto relativa a la protección de datos que sea obligatoria por ley.

• Revisar las certificaciones, los informes de auditoría y la lista de subprocesadores de Notion como parte de los propios procesos de garantía y gestión de cambios del Usuario.

• Demostrar a los propios auditores y reguladores del Usuario que la configuración y el uso de Notion por parte del Usuario cumplen con las obligaciones que le son aplicables.

Qué abarca la certificación

Las certificaciones y los informes de auditoría de terceros independientes de Notion abarcan los controles que Notion gestiona. No abarcan la forma en que cada organización configura o utiliza Notion.

Un espacio de trabajo que contenga datos regulados no cumple la normativa por el mero hecho de que Notion tenga una certificación. Cuando una obligación depende de la configuración, como restringir la opción de compartir, exigir el Inicio de sesión único (SSO), conservar registros de auditoría o limitar dónde se almacenan los datos, cumplirla sigue siendo responsabilidad del Usuario.

Notion establece las condiciones de uso del servicio y vela por su cumplimiento. Los clientes son responsables del uso que hacen de Notion y de los Datos del cliente almacenados en sus espacios de trabajo.

Responsabilidades de Notion

• Publicar y mantener la Política de contenido y uso, los Términos pertinentes y las políticas relacionadas.

• Proporcionar un mecanismo para que cualquier persona que visite una página pública de Notion pueda denunciar los Datos del cliente que considere prohibidos.

• Investigar los informes recibidos y eliminar los Datos del cliente o restringir el acceso cuando se identifique una infracción.

• Examinar más detenidamente las categorías de uso con mayores tasas de abuso y suspender o cancelar el acceso cuando sea necesario para proteger la disponibilidad del Servicio.

Responsabilidades del Usuario

• Utilizar Notion de acuerdo con los Términos y la Política de contenido y uso, y asegurarse de que las personas que utilizan Notion con la suscripción del Usuario hagan lo mismo.

• Asegurarse de que los Datos del cliente almacenados en Notion, compartidos desde Notion o publicados a través de Notion cumplan dichas políticas y la legislación aplicable.

• Moderar los Datos del cliente aportados por otras personas cuando el Usuario distribuya a través de Notion Datos del cliente generados por usuarios.

• Utilizar Notion para los fines previstos y no intentar eludir ni desactivar sus controles de seguridad ni interferir en ellos.

• Realizar pruebas de seguridad de Notion únicamente a través de su programa de divulgación de vulnerabilidades y conforme a sus condiciones.

• Utilizar de buena fe los canales de soporte y notificación.