Jaettu vastuun malli
Tämä jaetun vastuun malli auttaa Notionia ja sen käyttäjiä tekemään yhteistyötä, jotta työtilan käyttö olisi turvallista ja tehokasta. Määriteltyjen termien merkitykset löydät Notionin MSA- ja DPA-asiakirjoista.
Tämä jaetun vastuun malli auttaa Notionia ja sen asiakkaita tekemään yhteistyötä, jotta työtilan käyttö olisi turvallista ja tehokasta.
Notion on yksi paikka, jossa voit ajatella, kirjoittaa ja suunnitella. Voit rakentaa siellä omat työkalusi ja tehdä työsi parhaalla mahdollisella tavalla. Käyttäjät uskovat Notionille työhönsä ja yksityiselämäänsä liittyviä tietoja sekä antavat sille Yhteyksien ja tekoälyominaisuuksien kautta käyttöoikeuden muissa järjestelmissä oleviin tietoihin.
Jaetun vastuun malli (SRM) kertoo, miten vastuut jakautuvat palveluntarjoajan ja sen käyttäjien välillä. Siinä määritellään selkeästi, mistä tietoturvaan ja palvelun toimintaan liittyvistä tehtävistä kukin osapuoli vastaa.
Tämä asiakirja hahmottelee Notionin ja sen asiakkaiden yhteiset vastuut Notionin järjestelmien, käyttäjätilien ja työtilojen suojaamisessa ja niiden tietoturvan ylläpitämisessä.
Notionin SRM selventää Notionille ja sen asiakkaille, kumpi osapuoli vastaa mistäkin prosessista, toiminnosta tai hallintakeinosta. Näin voimme keskittyä suojaamaan Notionin järjestelmien luottamuksellisuutta, eheyttä ja tavoitettavuutta siellä, missä pystymme siihen parhaiten. Malli kertoo myös, missä asiakkailla on paremmat edellytykset suojata käyttäjätilinsä, työtilansa ja asiakastietonsa. Tämä parantaa Notionin järjestelmien ja käyttäjätilien suojaamisen tehokkuutta.
SRM lisää myös avoimuutta siihen, miten Notionin palveluja tarjotaan. Se antaa asiakkaille tiedot, joita he tarvitsevat Notionin arvioimiseen omissa riskienhallinta- ja varmennusprosesseissaan, ja auttaa sekä Notionia että sen asiakkaita täyttämään sovellettavien paikallisten, alueellisten, kansallisten ja kansainvälisten säädösten mukaiset velvoitteensa.
Lyhyesti: Notion vastaa Notion-palvelun arkkitehtuurin rakentamisesta, ylläpidosta ja suojaamisesta. Asiakkaat vastaavat siitä, miten he määrittävät palvelun asetukset ja käyttävät sitä. Heidän vastuullaan on suojata kirjautumistietonsa, hallita työtilojensa ja asiakastietojensa käyttöoikeuksia sekä noudattaa sisältö- ja käyttökäytäntöä ja muita asiaankuuluvia ehtoja.
Vain asiakkaat, joilla on korotetut käyttöoikeudet työtilassa tai organisaatiossa, voivat hoitaa joitakin tässä asiakirjassa kuvattuja vastuita. Käyttäjän vastuulla on määrittää nämä käyttöoikeudet asianmukaisesti.
Vastuun hoitamiseen käytettävissä olevat työkalut vaihtelevat tilaussopimustyypin mukaan. Jotkin ominaisuudet kuuluvat vain tiettyihin tilaussopimustyyppeihin. Vaikka ominaisuus ei kuulu asiakkaan tilaussopimustyyppiin, asiakas vastaa silti tavoitellusta lopputuloksesta ja hänen kannattaa harkita muita hallintakeinoja.
Hallintakategoria | Notionin vastuut | Käyttäjien vastuut |
|---|---|---|
Käyttöoikeudet ja todennus | • Tarjota ja ylläpitää todennusmenetelmiä, kuten salasanaa, kertakirjautumista (SSO) ja kaksivaiheista todennusta. • Hallita istuntojen käsittelyä. • Hallita ja valvoa Notionin henkilöstön käyttöoikeuksia tuotantojärjestelmiin. | • Suojata kirjautumistiedot ja välttää niiden uudelleenkäyttöä eri palveluissa. • Käyttää henkilökohtaisia käyttäjätilejä jaettujen käyttäjätilien sijaan. • Ottaa kaksivaiheinen todennus käyttöön. • Määrittää SSO ja provisiointi sekä poistaa jäsenten käyttöoikeudet viipymättä heidän lähtiessään. |
Valtuutus, jakaminen ja yhteistyö | • Tarjota ja valvoa käyttöoikeusmallia, jakamisen hallintaa, vieraiden käyttöoikeuksien hallintaa ja ylläpitäjän asetuksia, jotka säätelevät julkista julkaisemista. | • Myöntää asianmukaiset käyttöoikeudet sivuihin ja asiakastietoihin. • Hallita vieraiden ja ulkoisten yhteistyökumppanien käyttöoikeuksia. • Tarkistaa käyttöoikeudet säännöllisesti. • Määrittää työtilatason jakamis- ja julkaisukäytännöt. |
Tietojen hallinta ja yksityisyys | • Käsitellä asiakastietoja sovellettavan sopimuksen, DPA:n ja muiden sovellettavien lakien mukaisesti. • Salata tiedot siirron ja säilytyksen aikana. • Tarjota tietojen poistotoiminto sekä poistaa tai palauttaa tiedot sovellettavan sopimuksen ja säilytysvaatimusten mukaisesti. • Ylläpitää alihankkijaluetteloa. | • Määrittää, mitä asiakastietoja on asianmukaista tallentaa Notioniin. • Määrittää säilytyskäytännöt ja noudattaa niitä. • Poistaa asiakastiedot, joita ei enää tarvita. • Toimittaa täsmälliset käyttäjätilin tiedot. • Toimia asiakastietojen rekisterinpitäjänä ja käsitellä muun muassa työtilan tietoihin liittyvät rekisteröityjen pyynnöt. |
Tavoitettavuus, varmuuskopiointi ja palautus | • Ylläpitää palvelun tavoitettavuutta ja julkaista sen tila. • Huolehtia Notion-palvelun alustatason varmuuskopioinnista ja katastrofista palautumisesta. | • Palauttaa yksittäisiä asiakastietoja versiohistorian, roskakorin ja palautustoimintojen avulla. • Säilyttää erillinen kopio tärkeistä asiakastiedoista, jos sisäiset käytännöt tai sääntely sitä edellyttävät, käyttämällä varmuuskopiota, Vie-toimintoa tai API-rajapintaa. |
Lokitus ja valvonta | • Luoda ja säilyttää Notionin omien järjestelmien tietoturva- ja infrastruktuurilokeja. • Valvoa alustaan kohdistuvia uhkia. | • Tarkistaa työtilan auditointilokit ja reagoida poikkeavaan toimintaan. • Viedä lokitiedot talteen, jos niitä on säilytettävä pidempään. • Määrittää lokitietojen vienti ja mahdolliset SIEM-integraatiot. |
Sovelluksen, infrastruktuurin ja päätelaitteiden tietoturva | • Kehittää, testata, paikata ja suojata Notion-palvelua ja sen taustalla olevaa infrastruktuuria. • Hallita verkon tietoturvaa sekä suojata Notionin sisäiset järjestelmät ja päätelaitteet. | • Ylläpitää tuettuja ja asianmukaisesti päivitettyjä päätelaiteympäristöjä, myös verkkoselaimia. • Tarkistaa paikalliset hallintakeinot, jotka voivat estää Notionin selain- tai työpöytäversion päivitykset. |
Integraatiot, API ja tekoäly | • Tarjota API, integraatioalusta ja tekoälyominaisuudet. • Tarjoa ylläpitäjän hallintatoimet, joilla säädellään, mitkä integraatiot ja tekoälyominaisuudet voidaan ottaa käyttöön. | • Päätä, mitkä integraatiot, yhteydet ja tekoälyominaisuudet otetaan käyttöön. • Tarkista käyttöoikeudet ja niiden laajuudet ennen valtuuttamista. Hallitse ja vaihda sisäisten integraatioiden tunnuksia. • Määritä, mitä asiakasdataa asetetaan yhdistettyjen järjestelmien saataville. |
Poikkeamiin reagointi ja niistä ilmoittaminen | • Tunnista ja tutki Notioniin vaikuttavat tietoturvapoikkeamat sekä reagoi niihin. • Ilmoita vaikutusten kohteena oleville asiakkaille DPA:n ja sovellettavan lain mukaisesti. | • Ilmoita epäillyistä haavoittuvuuksista, vaarantuneista käyttäjätileistä ja väärinkäytöksistä Notionille viipymättä. • Reagoi työtilaan vaikuttaviin poikkeamiin ja tee tarvittaessa ilmoitukset viranomaisille tai rekisteröidyille. |
Vaatimustenmukaisuus ja sertifiointi | • Ylläpidä sertifiointeja ja käytä kolmansia osapuolia riippumattomien auditointien suorittamiseen. • Aseta tietoturva- ja vaatimustenmukaisuusdokumentaatio saataville. | • Määritä, soveltuuko Notion kyseiseen dataan ja sääntely-ympäristöön. • Täytä käyttäjään sovellettavien lakien mukaiset velvoitteet. |
Hyväksyttävä käyttö ja sisältö | • Julkaise ja valvo sisältö- ja käyttöperiaatteita sekä muita asiaankuuluvia ehtoja. | • Käytä Notionia sen käyttötarkoituksen mukaisesti äläkä yritä kiertää tai testata tietoturvatoimia. • Noudata sisältö- ja käyttöperiaatteita sekä ehtoja aina. |
Notion tarjoaa todennusmenetelmät ja hallinta-asetukset, jotka määrittävät, miten käyttäjät kirjautuvat Notioniin ja miten työtilan käyttöoikeuksia myönnetään ja poistetaan. Asiakkaat vastaavat organisaatiolleen sopivien asetusten valinnasta ja määrittämisestä sekä käyttäjätiliensä kirjautumistietojen suojaamisesta.
Notionin vastuut
Tarjoa ja ylläpidä todennusmenetelmiä, mukaan lukien sähköposti ja salasana, Google- ja Apple-kirjautuminen sekä SAML 2.0 -kertakirjautuminen Business- ja Enterprise-sopimusten työtiloille.
Tarjoa kaksivaiheinen todennus salasanalla kirjautuville käyttäjätileille todennussovelluksen tai tekstiviestikoodin avulla.
Tarjoa SCIM-APIt, joiden avulla Enterprise-organisaatiot voivat automatisoida käyttäjien luomisen, päivittämisen ja poistamisen identiteetintarjoajansa kautta.
Tarjoa hallinta-asetukset, joilla voi määrittää istunnon keston, pakottaa uloskirjautumisen, nollata salasanan, jäädyttää käyttäjätilin ja vahvistaa domainin.
Vaadi vahvistettu todiste domainin omistajuudesta ennen kuin domainia voidaan käyttää hallitsemaan sitä, miten sen käyttäjäkunta kirjautuu Notioniin.
Poista käyttäjän käyttöoikeus asiakastietoihin, kun hänet poistetaan työtilasta. Tarjoa asetukset, joilla organisaatio voi päättää hallittujen käyttäjiensä istunnot ja nollata heidän kirjautumistietonsa.
Ylläpidä vähimpien käyttöoikeuksien periaatetta Notionin omassa infrastruktuurissa ja vaadi Notionin työntekijöitä ja alihankkijoita noudattamaan salassapitovelvollisuuksia.
Käytä asiakastietoja tukitarkoituksessa vain silloin, kun käyttäjä tai työtilan omistaja on antanut suostumuksensa, ja anna kyseisen suostumuksen vanhentua automaattisesti määritetyn ajan kuluttua.
Käyttäjien vastuut
Kirjautumistietojen suojaaminen, vahvojen ja yksilöllisten salasanojen käyttäminen sekä uudelleenkäytön välttäminen muissa palveluissa.
Henkilökohtaisten käyttäjätilien käyttäminen jaettujen käyttäjätilien sijaan sekä kirjautumistietojen pitäminen omana tietona.
Kaksivaiheisen todennuksen käyttäminen käyttäjätileillä, joille kirjaudutaan salasanalla.
Tunnistetietojen päivittäminen sisäisen käytännön mukaisesti ja viipymättä, jos ulkoisen palvelun tunnistetietojen vuoto havaitaan.
Organisaatiolle sopivien todennusmenetelmien valinta ja määrittäminen, mukaan lukien se, edellytetäänkö kertakirjautumista.
Sen varmistaminen, että työtilan käyttöoikeus on vain niillä käyttäjillä, joille se on tarkoitettu, ja että käyttöoikeus poistetaan viipymättä, kun käyttäjä lähtee organisaatiosta tai vaihtaa roolia. Käyttöoikeuksien automaattinen poistaminen edellyttää SCIMin käyttöä. Muuten käyttöoikeudet on poistettava käsin.
Istunnon keston asettaminen sisäisen käytännön mukaisesti ja palautusmenettelyn ylläpitäminen identiteetintarjoajaan pääsyn menetyksen varalta.
Sen hallinta, onko Notionin tuella käyttöoikeus käyttäjätiliin tai työtilaan, ja kyseisen käyttöoikeuden peruuttaminen, kun sitä ei enää tarvita.
Notion tarjoaa käyttöoikeusmallin, joka määrittää, mitä todennettu käyttäjä voi nähdä ja tehdä, sekä hallinnolliset asetukset, jotka määrittävät jakamisen rajat. Asiakkaat vastaavat siitä, miten kyseistä mallia sovelletaan heidän asiakastietoihinsa, ja siitä, että he tarkistavat näin muodostuvat käyttöoikeudet.
Notionin vastuut
Tarjoa käyttöoikeusmalli, joka toimii työtilojen, tiimitilojen, sivujen ja tietokantojen tasolla ja sisältää käyttöoikeusryhmät, sekä sovella sitä johdonmukaisesti koko tuotteessa.
Tarjoa erilliset käyttöoikeudet jäsenille ja vieraille, jotta ulkoisille yhteistyökumppaneille voidaan myöntää käyttöoikeus tiettyihin asiakastietoihin koko työtilan sijaan.
Tarjoa hallinnolliset asetukset, joiden avulla organisaatio voi rajoittaa sivujen julkista jakamista, vieraiden käyttöoikeuksia, Vie-toiminnon käyttöä sekä sivujen siirtämistä tai kopioimista muihin työtiloihin.
Tarjoa asetukset, joilla hallitaan sitä, kuka voi julkaista asiakastietoja verkossa esimerkiksi Notion-sivustoilla, lomakkeilla ja julkisten linkkien kautta.
Tarjoa työkalut, joilla organisaatio näkee, kenellä on käyttöoikeus sivuun ja mitkä sivut on jaettu organisaation ulkopuolelle tai julkaistu verkossa, sekä voi muuttaa näitä käyttöoikeuksia.
Kunnioita määritettyjä työtilan käyttöoikeuksia tarjotessasi tekoäly- ja hakuominaisuuksia.
Käyttäjien vastuut
Asiakasdatalle sopivan käyttöoikeustason määrittäminen ja käyttöoikeuksien myöntäminen sen mukaisesti.
Päättäminen siitä, sallitaanko ulkopuolisten kanssa tehtävä yhteistyö ja sisällön julkinen julkaiseminen, sekä asetusten määrittäminen päätöksen mukaisesti.
Sen ymmärtäminen, miten käyttöoikeudet periytyvät. Sivulle myönnetty käyttöoikeus ulottuu oletusarvoisesti sen alasivuille. Jos käyttöoikeus myönnetään usealla tavalla, voimaan jää laajin myönnetty käyttöoikeus.
Käyttöoikeuksien säännöllinen tarkistaminen, mukaan lukien työtilan jäsenten, vieraiden ja käyttöoikeusryhmien käyttöoikeudet sekä ulkoisesti jaettu ja verkkoon julkaistu asiakasdata.
Asiakasdataan liittyvien käyttöoikeuksien poistaminen yhteistyökumppanin osallistumisen päättyessä myös vierailta ja ulkoisilta yhteistyökumppaneilta, joiden käyttöoikeuksia ei hallita organisaation identiteetinhallintapalvelun kautta.
Sen varmistaminen, että verkkoon julkaistu asiakasdata on tarkoitettu julkiselle yleisölle, ja hakukoneindeksoinnin kaltaisten asetusten määrittäminen sen mukaisesti.
Käyttäjän yksityisesti hallussa olevan asiakasdatan siirtäminen ennen käyttäjän lähtöä tai sen jälkeen rajatun ajan kuluessa, jolloin siirto on vielä mahdollista. Tämän ajan jälkeen yksityinen asiakasdata on yleensä palautuskelvotonta, ja siirtotyökalut ovat käytettävissä vain Enterprise-sopimuksessa.
Notion tallentaa ja käsittelee asiakasdataa asiakkaidensa puolesta ja suojaa sen siirron ja tallennuksen aikana. Asiakkaat päättävät, mitä dataa Notionissa säilytetään, kuinka kauan sitä säilytetään ja mitä lakisääteisiä velvoitteita siihen liittyy.
Notionin vastuut
Käsittele asiakasdataa pääasiallisen tilaussopimuksen, tietojenkäsittelyliitteen ja sovellettavan tietosuojalainsäädännön mukaisesti.
Salaa tallennettu asiakasdata AES-256-menetelmällä tai vastaavan tai vahvemman suojauksen tarjoavalla alan standardin mukaisella algoritmilla, mukaan lukien pilvitallennustilassa, tietokantataulukoissa ja varmuuskopioissa oleva data, ja salaa siirrettävä data TLS 1.2 -protokollalla tai uudemmalla.
Ylläpidä ja julkaise ajantasaista alihankkijoiden listaa.
Tarjoa määritellyille asiakasdatan luokille tietojen säilytysalueen valintamahdollisuus, jotta siihen oikeutetut organisaatiot voivat valita alueen, jolla kyseiset tiedot säilytetään.
Pidättäydy käyttämästä asiakasdataa Notionin koneoppimismallien kouluttamiseen ja kiellä sopimuksellisesti tekoälyyn liittyviä alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Tarjoa toiminnallisuus, jonka avulla asiakkaat voivat viedä, säilyttää ja poistaa asiakasdataansa, sekä poista asiakasdata sopimuksen päättyessä sopimuksen mukaisesti.
Tee tietojenkäsittelyliite ja tarvittaessa Business Associate Agreement -sopimus asiakkaiden kanssa, jotka sitä edellyttävät.
Käyttäjien vastuut
Sen määrittäminen, mitä dataa on asianmukaista tallentaa Notioniin, ja sen varmistaminen, että säänneltyä dataa tallennetaan vain silloin, kun tarvittavat sopimukset ja asetukset ovat käytössä.
Säilytyskäytäntöjen määrittäminen ja soveltaminen sekä sellaisen asiakasdatan poistaminen, jota ei enää tarvita.
Tuotteessa käytettävissä olevien säilytys- ja poistoasetusten määrittäminen sisäisen käytännön mukaisiksi.
Täydellisten ja tarkkojen käyttäjätilin tietojen toimittaminen ja niiden korjaaminen viipymättä, kun virheitä havaitaan.
Työtilassa säilytettävän henkilötiedon rekisterinpitäjälle kuuluvien velvollisuuksien täyttäminen, mukaan lukien tietosuojatietojen tarjoaminen yksityishenkilöille, käsittelyn lainmukaisen perusteen määrittäminen ja asiakasdataa koskeviin rekisteröityjen pyyntöihin vastaaminen.
Sen määrittäminen, tarvitaanko tiettyä tietojen säilytysaluetta, sekä sen pyytäminen tarvittaessa. Lisäksi on selvitettävä, mitkä dataluokat ja Notion-tuotteet jäävät sen ulkopuolelle.
Notionin alihankkijalistan tarkistaminen.
Notion ylläpitää infrastruktuuria, joka pitää palvelun saatavilla, ja ylläpitää kyseisen infrastruktuurin varmuuskopioita palvelun palauttamista varten. Asiakkaat vastaavat oman asiakasdatansa palauttamisesta Notionin tarjoamilla työkaluilla sekä riippumattoman kopion säilyttämisestä kyseisestä asiakasdatasta, jos heidän omat velvollisuutensa sitä edellyttävät.
Notionin vastuut
Ylläpidä Notion-palvelua palvelutasoehdoissa määritettyjen tavoitettavuutta koskevien sitoumusten mukaisesti käyttämällä redundanttia infrastruktuuria useilla tavoitettavuusalueilla.
Julkaise palvelun toiminnallinen tila.
Ylläpidä automaattisia, salattuja ja valvottuja varmuuskopioita asiakasdatasta.
Säilytä varmuuskopiot valitun tietojen säilytysalueen mukaisesti Notionin julkaiseman varmuuskopioalueiden luettelon perusteella. Tietojen säilytysalue koskee vain määritettyjä asiakasdatan luokkia.
Ylläpidä ja testaa säännöllisesti häiriötilanteista palautumista ja liiketoiminnan jatkuvuutta koskevia suunnitelmia.
Tarjoa tuotteen sisäiset palautustyökalut, mukaan lukien roskakori ja versiohistoria, joiden avulla asiakkaat voivat palauttaa asiakasdatan itse.
Tarjoa vientitoiminto, jonka avulla asiakkaat voivat hankkia kopion asiakasdatastaan.
Käyttäjien vastuut
Yksittäisten sivujen ja asiakasdatan palauttaminen roskakorin ja versiohistorian avulla käyttäjän sopimustyyppiin sovellettavien säilytysaikojen puitteissa.
Asiakasdatan säilytysasetusten määrittäminen, jos ne ovat käytettävissä, sisäisen käytännön mukaisiksi.
Asiakasdatan riippumattoman kopion ylläpitäminen silloin, kun sisäinen käytäntö, sopimusvelvoitteet tai sääntely edellyttävät tuotteen tarjoamaa pidempää säilytysaikaa tai kopion säilyttämistä Notionin ulkopuolella.
Vientien tuottaminen kyseisiin vaatimuksiin sopivalla aikataululla ja vientien täydellisyyden vahvistaminen. Asiakasdata, johon vientiä tekevällä käyttäjätilillä ei ole käyttöoikeutta, ei sisälly vientiin.
Vientien noutaminen latauslinkin voimassaoloaikana.
Palvelun käyttökatkojen mahdollisuuden huomioiminen osana käyttäjän omia liiketoiminnan jatkuvuusjärjestelyjä.
Mitä Notionin varmuuskopiot ovat ja mitä ne eivät ole
Notionin varmuuskopiot on tarkoitettu Notion-palvelun palauttamiseen. Ne eivät ole asiakkaan käytettävissä olevia palautuspisteitä, eikä niiden avulla voi palauttaa työtilaa tiettyyn aiempaan tilaan. Asiakkaat palauttavat yksittäisiä asiakasdataan kuuluvia tietoja itse roskakorin ja versiohistorian avulla. Kun asiakasdatan roskakori- ja säilytysajat ovat umpeutuneet, data poistetaan pysyvästi eikä sitä voi palauttaa. Tukea ei pidä käyttää tietojen säilytyskeinona.
Vienti tuottaa siirrettävän kopion asiakasdatasta esimerkiksi HTML-, markdown-, CSV- tai PDF-muodossa viennin tyypistä ja sopimustyypistä riippuen. Se ei ole täydellinen työtilan varmuuskopio: viedyn asiakasdatan tuominen ei palauta työtilan alkuperäisiä käyttöoikeuksia, asetuksia tai täydellistä konfiguraatiota, ja se saattaa vaatia manuaalista uudelleenjärjestelyä.
Notion luo tietueita työtilan olennaisesta toiminnasta ja asettaa ne organisaation saataville. Asiakkaat vastaavat kyseisten tietueiden tarkistamisesta, niiden säilyttämisestä tarvittaessa ja niiden osoittamien asioiden perusteella toimimisesta.
Notionin vastuut
Tallenna organisaation työtiloissa tapahtuvat tietoturvaan ja turvallisuuteen liittyvät tapahtumat, mukaan lukien toimija, toiminto, aika ja mahdollisuuksien mukaan IP-osoite.
Säilytä auditointilokin tietoja tuotteessa määritetyn ajan ja tarjoa asiakkaille keinot viedä tai välittää tietoja jatkuvasti, jotta he voivat säilyttää niitä pidempään.
Tarjoa keino suoratoistaa tapahtumia käyttäjän omaan tietoturvan valvonta-alustaan reaaliajassa ja tue yhteyksiä tietovuotojen estotyökaluihin.
Valvo Notionin omaa infrastruktuuria, verkkoja ja järjestelmiä haitallisen toiminnan varalta ja ylläpidä kyseisten järjestelmien sisäistä lokitusta.
Käyttäjien vastuut
Auditointilokiin kirjatun toiminnan tarkistaminen sekä odottamattomalta tai luvattomalta vaikuttavan toiminnan tutkiminen ja siihen reagoiminen.
Lokitietojen säilyttäminen asiakkaan sisäisen käytännön tai sääntelyn edellyttämän ajan viemällä tai välittämällä tapahtumat jatkuvasti ennen niiden säilytysajan umpeutumista.
Valvonnan, hälytysten sekä mahdollisten tietoturva- tai vaatimustenmukaisuusyhteyksien määrittäminen käyttäjän omassa ympäristössä ja näiden integraatioiden toimivuuden varmistaminen.
Sen määrittäminen, mikä katsotaan epäilyttäväksi toiminnaksi organisaation kontekstissa, ja vastuun määrittäminen sen tarkistamisesta.
Epäilyttävästä toiminnasta ilmoittaminen Notionille, jos se voi viitata palvelun vaarantumiseen.
Mitä audit-loki kattaa ja mitä se ei kata
Audit-loki tallentaa tapahtumia. Lokimerkinnät ja suoratoistetut hyötykuormat kuvaavat suoritettuja toimintoja ja niiden tekijöitä; ne eivät sisällä sivujen asiakasdataa.
Audit-lokin tallennus alkaa, kun organisaatio on oikeutettu ominaisuuden käyttöön. Sitä ennen tapahtunutta toimintaa ei ole saatavilla takautuvasti.
Notion kehittää, käyttää ja ylläpitää Notion-palvelua ja sen taustalla olevaa infrastruktuuria, mukaan lukien kyseisen infrastruktuurin suojaaminen ja tietoturvapäivitysten asentaminen. Asiakkaat vastaavat ympäristöistä, joista he käyttävät Notionia.
Notionin vastuut
Notion kehittää, testaa, päivittää ja ylläpitää Notion-sovellusta sekä sitä tukevaa infrastruktuuria. Notion päivittää palvelun, eikä asiakkaiden tarvitse tehdä mitään.
Notion tekee uusille julkaisuille uhkamallinnuksen ja tietoturvallisen suunnittelun arvioinnin sekä auditoi ja arvioi koodia ja tarkistaa koodikannan tietoturvan.
Notion teettää vuosittain riippumattoman tunkeutumistestauksen.
Notion toteuttaa ja hallinnoi järjestelmiensä verkkoturvallisuutta.
Notion valvoo infrastruktuuriaan, verkkojaan ja resurssejaan haitallisen toiminnan varalta.
Notion ylläpitää julkista haavoittuvuuksien ilmoitusohjelmaa ja teettää riippumatonta tunkeutumistestausta.
Notion suojaa omat yritysjärjestelmänsä ja työntekijöidensä laitteet esimerkiksi salaamalla tallennetut tiedot, tunnistamalla ja torjumalla päätelaitteisiin kohdistuvia uhkia sekä hallinnoimalla laitteita keskitetysti.
Notion julkaisee asiakassovelluksensa ja toimittaa niihin päivityksiä.
Käyttäjien vastuut
Tuettujen ja asianmukaisesti paikattujen päätepisteympäristöjen, mukaan lukien verkkoselainten, ylläpito sekä sellaisten hallintakeinojen ylläpito, jotka voivat estää Notion-asiakasohjelmiston päivitykset.
Notionin käyttöön tarkoitettujen laitteiden ja verkkojen suojaaminen käyttäjän omien päätepisteiden tietoturvastandardien mukaisesti.
Kun Notion-asiakasohjelmiston päivityksiä hallitaan keskitetysti, on varmistettava, että päivitykset asennetaan edelleen ajallaan. Automaattisten päivitysten lykkääminen tai poistaminen käytöstä siirtää vastuun asiakasohjelmiston ajantasaisesta paikkaamisesta käyttäjälle.
Varmistetaan, etteivät asennusasetukset estä käyttäjiä vastaanottamasta päivityksiä.
Ilmoitetaan Notion-palvelun epäillyistä haavoittuvuuksista Notionille sen sijaan, että niitä hyödynnettäisiin tai niistä kerrottaisiin julkisesti.
Missä raja kulkee
Notion paikkaa Notion-palvelun. Asiakkaat eivät asenna paikkauksia Notionille, eikä palvelinpuolen päivityksiin vaadita asiakkaan toimia.
Asiakassovelluksissa tilanne on toinen. Notion julkaisee päivitykset, mutta niiden saaminen riippuu laitteen asetuksista ja hallinnasta. Jos organisaatio hallinnoi asennuksia tai päivityksiä, sen vastuulla on pitää asiakassovellukset ajan tasalla.
Notion tarjoaa API-rajapinnan, integraatioalustan ja tekoälyominaisuuksia, jotka voivat käsitellä asiakasdataa ja ulottua yhdistettyihin järjestelmiin. Asiakkaat vastaavat siitä, mitkä näistä otetaan käyttöön, mitä käyttöoikeuksia niille myönnetään ja miten niitä hallinnoidaan.
Notionin vastuut
Notion tarjoaa ja ylläpitää Notionin APIa, integraatioalustaa, yhteyksiä ja tekoälyominaisuuksia.
Notion noudattaa käyttäjien käyttöoikeuksia Notion AI:ssa, Notion-palvelijassa ja AI Connectoreissa. Mukautetut palvelijat käyttävät omia, erikseen myönnettyjä käyttöoikeuksiaan. Ne voivat poiketa palvelijan kanssa asioivan henkilön käyttöoikeuksista.
Notion tarjoaa hallintatyökalut, joilla voi määrittää, mitä integraatioita ja ulkoisia tekoälytyökaluja voi asentaa, mitä palvelijoita voi luoda ja ovatko tekoälyominaisuudet käytössä.
Notion tarjoaa hallintatyökalut tekoälyn verkkohaun käyttöönottoon ja käytöstä poistamiseen. Se edellyttää vahvistusta ennen ulkoisia verkkopyyntöjä.
Notion ylläpitää suojauksia, joiden tarkoitus on tunnistaa kehotteiden manipulointi ja vähentää sen riskiä. Niihin kuuluvat kolmansien osapuolten sisällön ja ladattujen tiedostojen piilotettujen ohjeiden tunnistus, linkkien käsittelyn rajoitukset ja lisätarkistukset, kun palvelijat toimivat itsenäisesti.
Notion ei käytä asiakasdataa malliensa kouluttamiseen ja kieltää sopimuksella tekoälyn alikäsittelijöitä tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Notion kirjaa integraatioiden, yhteyksien, palvelijoiden ja ulkoisten tekoälytyökalujen toiminnan audit-lokiin.
Käyttäjien vastuut
Sen päättäminen, mitkä integraatiot, yhteydet, tekoälyominaisuudet ja palvelijat ovat organisaatiolle sopivia, ja käytettävissä olevien hallintatyökalujen määrittäminen vastaamaan tätä päätöstä.
Integraation tai yhteyden pyytämien käyttöoikeuksien ja ominaisuuksien tarkistaminen ennen sen valtuuttamista sekä sen vahvistaminen, että kolmannen osapuolen palvelu täyttää käyttäjän omat toimittajavaatimukset.
Sisäisten integraatiotunnisteiden hallinta, mukaan lukien niiden jakelun rajoittaminen, vaihtaminen ja tarpeettomien tunnisteiden mitätöinti.
Palvelijoiden luomisen ja määrittämisen hallinta, mukaan lukien sen määrittäminen, mihin asiakasdataan ja yhdistettyihin työkaluihin kukin palvelija pääsee käsiksi, sekä näiden käyttöoikeuksien säännöllinen tarkistaminen.
Asiakkaiden on varmistettava, että palvelijoiden käyttöoikeudet on rajattu asianmukaisesti.
Sen määrittäminen, voidaanko tietoja säilyttäviä malleja ottaa käyttöön ominaisuuksille, jotka niitä edellyttävät.
Sen varmistaminen, että Notionille yhdistettyjen järjestelmien kautta saatavilla oleva asiakasdata on kyseiseen tarkoitukseen sopivaa ja että yhdistetyssä järjestelmässä myönnetyt käyttöoikeudet on rajattu oikein.
Käyttäjien tietoisuuden lisääminen siitä, että työtilan ulkopuolelta peräisin oleva asiakasdata, mukaan lukien verkkosivut ja palveluun ladatut tiedostot, voi yrittää vaikuttaa tekoälyn toimintaan.
Mitä asiakkaiden tulee ymmärtää yhdistetystä datasta
Yhteyden kautta myönnetyt käyttöoikeudet ovat vain niin rajatut kuin yhdistetyssä järjestelmässä myönnetyt oikeudet. Notion noudattaa yhdistetyn järjestelmän ilmoittamia käyttöoikeuksia, mutta ei korjaa liian laajoja lähdejärjestelmän käyttöoikeuksia.
Yhdistettyjen järjestelmien käyttöoikeusmuutokset näkyvät Notionissa synkronointivälin jälkeen, eivät välittömästi, ja vasta lisätyn tai poistetun asiakasdatan näkyminen tai käytettävyyden muuttuminen voi viedä aikaa.
Notion vastaa Notion-palvelun tietoturvasta ja ilmoittaa asiakkaille tietoturvapoikkeamista, jotka vaikuttavat heidän asiakasdataansa. Asiakkaat vastaavat omiin käyttäjätileihinsä, työtiloihinsa ja asiakasdataansa liittyviin tietoturvapoikkeamiin reagoinnista ja heiltä edellytetyistä ilmoituksista.
Notionin vastuut
Notion ylläpitää dokumentoitua suunnitelmaa tietoturvapoikkeamiin reagointiin ja testaa sitä säännöllisesti.
Notion havaitsee, arvioi, tutkii, rajaa ja korjaa tietoturvapoikkeamat, jotka vaikuttavat sen järjestelmiin tai sen hallussa olevaan asiakasdataan.
Notion ilmoittaa tietoturvapoikkeamista asiakkaille, joihin ne vaikuttavat, tietojenkäsittelysopimuksen ja sovellettavan lain mukaisesti.
Tarkastele tapausta jälkikäteen, selvitä sen perussyy ja hyödynnä havaintoja Notionin hallintatoimissa ja häiriötilanteisiin varautumisessa.
Julkaise palvelun toiminnan tila ja tiedota tavoitettavuushäiriöistä.
Ylläpidä haavoittuvuuksista ilmoittamisen ohjelmaa sekä arvioi ja korjaa raportoidut haavoittuvuudet.
Käyttäjän vastuut
Epäillyistä tietoturvatapauksista, vaarantuneista käyttäjätileistä, epäillyistä haavoittuvuuksista ja palvelun väärinkäytöstä ilmoittaminen Notionille viipymättä asianmukaista kanavaa pitkin.
Käyttäjän omissa työtiloissa ja käyttäjätileillä tapahtuvien tapausten havaitseminen ja niihin reagoiminen, mukaan lukien vaarantuneet kirjautumistiedot, epäasianmukainen jakaminen ja sisäisten käyttäjien tekemä väärinkäyttö.
Käyttäjän omien tapauksiin reagointijärjestelyjen ylläpitäminen ja sen määrittäminen, kuka vastaa Notionissa tunnistettuun toimintaan reagoimisesta.
Tuotteessa käytettävissä olevien rajoitustoimenpiteiden toteuttaminen, mukaan lukien käyttöoikeuksien poistaminen, istuntojen mitätöinti, kirjautumistietojen vaihtaminen, integraatiotunnusten mitätöinti ja julkaistun asiakasdatan poistaminen.
Asiaankuuluvan todistusaineiston säilyttäminen, mukaan lukien auditointilokin tietueiden vieminen ennen niiden säilytysajan päättymistä.
Sen määrittäminen, aiheuttaako tapaus käyttäjälle velvollisuuden ilmoittaa siitä sääntelyviranomaiselle, asiakkaalle tai henkilölle, jota asia koskee, ja kyseisen ilmoituksen tekeminen.
Hallinnollisten ja tietoturvaan liittyvien yhteystietojen pitäminen ajan tasalla, jotta Notionin ilmoitukset tavoittavat oikeat henkilöt.
Epäillyistä haavoittuvuuksista ilmoittaminen Notionille niiden hyödyntämisen tai julkisen paljastamisen sijaan.
Kuka osapuoli havaitsee mitä
Notion valvoo omaa infrastruktuuriaan ja voi havaita palveluun vaikuttavia tapauksia. Notion ei voi määrittää, oliko muuten kelvollinen työtilassa tehty toiminto valtuutettu käyttäjän sisäisten käytäntöjen mukaisesti. Asiakkaat vastaavat työtilan toiminnan valvonnasta ja väärinkäytöksiin reagoimisesta.
Tällaisia tapauksia ovat esimerkiksi se, että jäsen julkaisee luottamuksellista asiakasdataa, työsuhteensa päättävä työntekijä vie tietoja tai kirjautumistietojen oikea haltija käyttää niitä väärin. Näiden tapahtumien havaitseminen ja niihin reagoiminen edellyttää, että käyttäjä tarkastelee toimintatietoja ja hyödyntää käytettävissään olevia hallintakeinoja.
Notion ylläpitää tietoturva- ja tietosuojaohjelmaa, jonka riippumaton taho auditoi, ja asettaa auditointiin liittyvät asiakirjat saataville. Asiakkaat arvioivat, soveltuuko Notion heidän sääntelyvelvoitteisiinsa, ja määrittävät sen asetukset niiden mukaisesti.
Notionin vastuut
Ylläpidä riippumattomasti arvioituja tietoturva- ja tietosuojaohjelmia sovellettavien auditointi- ja sertifiointiaikataulujen mukaisesti.
Aseta vaatimustenmukaisuutta koskevat asiakirjat, kuten auditointiraportit ja sertifikaatit, asiakkaiden ja mahdollisten asiakkaiden saataville Notion Trust Center -palvelun kautta.
Käyttäjän vastuut
Sen arvioiminen, soveltuuko Notion käyttäjän tallennettavaksi suunnittelemille tiedoille ja häntä koskeviin sääntelyvelvoitteisiin.
Kyseiseen käyttöön vaadittavien sopimusten tekeminen, mukaan lukien tarvittaessa tietojenkäsittelysopimus (Data Processing Addendum) tai liikekumppanisopimus (Business Associate Agreement).
Sopimusten edellyttämien asetusten määrittäminen, mukaan lukien vaatimustenmukaisuuteen liittyvien asetusten ja niiden edellyttämien tietoturvaominaisuuksien käyttöönotto.
Käyttäjän omien arviointien tekeminen, mukaan lukien toimittajan riskiarviointi ja mahdollinen lain edellyttämä tietosuojaa koskeva vaikutustenarviointi.
Notionin sertifikaattien, auditointiraporttien ja alikäsittelijälistan tarkistaminen osana käyttäjän omia varmistus- ja muutoksenhallintaprosesseja.
Sen osoittaminen käyttäjän omille auditoijille ja sääntelyviranomaisille, että käyttäjän Notion-asetukset ja Notionin käyttö täyttävät häntä koskevat velvoitteet.
Mitä sertifiointi kattaa
Notionin riippumattoman kolmannen osapuolen myöntämät sertifikaatit ja auditointiraportit kattavat Notionin omat hallintatoimet. Ne eivät kata sitä, miten yksittäinen organisaatio määrittää Notionin asetukset tai käyttää Notionia.
Säänneltyä dataa sisältävä työtila ei ole vaatimustenmukainen pelkästään siksi, että Notionilla on sertifikaatti. Jos velvoitteen täyttäminen riippuu asetuksista, kuten jakamisen rajoittamisesta, kertakirjautumisen edellyttämisestä, auditointilokin tietueiden säilyttämisestä tai datan tallennuspaikan rajoittamisesta, vastuu on edelleen käyttäjällä.
Notion asettaa ehdot, joiden puitteissa palvelua saa käyttää, ja valvoo niiden noudattamista. Asiakkaat vastaavat omasta Notionin käytöstään ja työtiloissaan säilyttämästään asiakasdatasta.
Notionin vastuut
Julkaise ja ylläpidä sisältö- ja käyttöperiaatteita, asiaankuuluvia ehtoja ja niihin liittyviä käytäntöjä.
Tarjoa jokaiselle julkista Notion-sivua katsovalle keino ilmoittaa asiakasdatasta, jonka hän epäilee olevan kiellettyä.
Tutki ilmoitukset ja poista asiakasdata tai rajoita käyttöoikeutta, jos rikkomus todetaan.
Sovella tarkempaa valvontaa käyttöluokkiin, joihin liittyy enemmän väärinkäytöksiä, ja keskeytä tai lopeta käyttöoikeus tarvittaessa palvelun tavoitettavuuden suojaamiseksi.
Käyttäjän vastuut
Notionin käyttö ehtojen sekä sisältöä ja käyttöä koskevien käytäntöjen mukaisesti ja sen varmistaminen, että myös muut käyttäjän tilauksella Notionia käyttävät toimivat samoin.
Sen varmistaminen, että Notionissa tallennettu, sieltä jaettu tai sen kautta julkaistu asiakasdata on näiden periaatteiden ja sovellettavan lainsäädännön mukaista.
Muiden lisäämän asiakasdatan moderointi, jos käyttäjä jakaa käyttäjien tuottamaa asiakasdataa Notionin kautta.
Notionin käyttö sen käyttötarkoituksen mukaisesti ilman yrityksiä kiertää, poistaa käytöstä tai häiritä sen tietoturvatoimia.
Notionin tietoturvatestaus vain Notionin haavoittuvuuksista ilmoittamisen ohjelman kautta ja sen ehtojen mukaisesti.
Tuki- ja ilmoituskanavien käyttö vilpittömässä mielessä.
