Modèle de responsabilités partagées

Ce modèle de responsabilités partagées garantit que Notion et ses clients collaborent pour créer un espace de travail sûr et efficace.

Pour les termes définis, consultez le MSA et le DPA de Notion.

Notion est un espace unique où vous pouvez réfléchir, écrire et planifier. Cet espace tout-en-un permet aux utilisateurs de créer leurs propres outils pour donner le meilleur d’eux-mêmes dans leur travail. Les utilisateurs confient ainsi à Notion des informations professionnelles et personnelles et, grâce aux Connexions et aux fonctionnalités d’IA, lui donnent accès à des informations détenues dans d’autres systèmes.

Un modèle de responsabilités partagées (SRM) est un cadre qui définit la répartition des responsabilités entre un fournisseur de services et ses utilisateurs. Il définit clairement quelles tâches de sécurité et opérationnelles sont gérées par chaque partie.

Ce document décrit les responsabilités partagées entre Notion et ses clients en matière de protection et de maintien de la sécurité des systèmes, des comptes utilisateurs et des espaces de travail de Notion.

Le SRM de Notion précise les processus, opérations et contrôles dont chaque partie est responsable. Notion peut ainsi se concentrer sur les domaines où elle est le mieux placée pour protéger la confidentialité, l’intégrité et la disponibilité de ses systèmes, et en assumer la responsabilité. Le modèle indique aussi où les clients sont mieux placés pour sécuriser leurs propres comptes, espaces de travail et données client. Cela renforce la sécurité et l’efficacité de la protection des systèmes et des comptes Notion.

Le SRM rend aussi plus transparent le fonctionnement des services de Notion. Il donne aux clients les informations nécessaires pour évaluer Notion dans le cadre de leurs propres processus de gestion des risques et d’assurance. Il aide également Notion et ses clients à respecter leurs obligations respectives au regard des réglementations locales, régionales, nationales et internationales applicables.

En résumé : Notion est responsable de la construction, de l’exploitation et de la protection de l’architecture du service Notion. Les clients sont responsables de la manière dont ils configurent et utilisent ce service, notamment de la protection de leurs identifiants, de la gestion des personnes ayant accès à leurs espaces de travail et à leurs données client, ainsi que du respect de la Politique de contenu et d’utilisation et des autres Conditions applicables.

Certaines responsabilités décrites dans ce document ne peuvent être assumées que par les clients disposant d’autorisations étendues dans un espace de travail ou une organisation. Il revient à l’utilisateur d’attribuer ces autorisations de manière appropriée.

Les outils disponibles pour assumer une responsabilité donnée varient selon le forfait. Si une fonctionnalité est réservée à certains forfaits d’abonnement, les clients dont le forfait d’abonnement ne la comprend pas restent responsables du résultat attendu et doivent envisager d’autres moyens de contrôle.

Notion fournit les méthodes d’authentification et les contrôles administratifs qui régissent la façon dont les personnes se connectent à Notion et dont l’accès à l’espace de travail est accordé et révoqué. Les clients sont responsables de la sélection et de la configuration des contrôles appropriés à leur organisation, ainsi que de la protection des identifiants utilisés pour accéder à leurs comptes.

Responsabilités de Notion

• Fournir et exploiter des méthodes d’authentification, notamment l’e-mail et le mot de passe, la connexion via Google et Apple, et l’authentification unique (SSO) SAML 2.0 pour les espaces de travail bénéficiant du forfait Business ou du forfait Enterprise.

• Fournir une authentification à deux facteurs pour les comptes qui se connectent avec un mot de passe, en utilisant une application d’authentification ou un code par SMS.

• Fournir des API SCIM permettant aux organisations Enterprise d’automatiser la création, la mise à jour et la suppression d’utilisateurs depuis leur fournisseur d’identité.

• Fournir des contrôles administratifs régissant la durée de session, la déconnexion forcée, la réinitialisation du mot de passe, la suspension de compte et la vérification de domaine.

• Exiger une preuve vérifiée de la propriété d’un domaine avant que celui-ci puisse servir à contrôler la manière dont ses utilisateurs se connectent à Notion.

• Révoquer l’accès d’un utilisateur aux données client lorsque cet utilisateur est supprimé de l’espace de travail. Fournir des contrôles permettant à une organisation de mettre fin aux sessions et de réinitialiser les identifiants de tous ses utilisateurs gérés.

• Maintenir des contrôles d’accès fondés sur le principe du moindre privilège dans l’infrastructure de Notion et soumettre les employés et sous-traitants de Notion à des obligations de confidentialité.

• Accéder aux données client à des fins de service client uniquement lorsqu'un utilisateur ou un propriétaire de l’espace de travail a donné son consentement, et faire expirer ce consentement automatiquement après une période définie.

Responsabilités des utilisateurs

• Protéger les identifiants de connexion, utiliser des mots de passe forts et uniques et éviter de les réutiliser sur d’autres services.

• Utiliser des comptes individuels plutôt que des comptes partagés et ne pas partager les informations de connexion.

• Utiliser l’authentification à deux facteurs sur les comptes qui se connectent avec un mot de passe.

• Mettre à jour les identifiants conformément à la politique interne et sans tarder si une compromission des identifiants est détectée sur un autre service.

• Sélectionner et configurer les méthodes d’authentification adaptées à l’organisation, notamment en décidant si l’authentification unique (SSO) est obligatoire.

• Veiller à limiter l’accès à l’espace de travail aux utilisateurs concernés et à supprimer rapidement cet accès lorsqu’une personne quitte l’organisation ou change de rôle. La suppression automatique des accès nécessite SCIM ; sans SCIM, elle doit être effectuée manuellement.

• Définir la durée de session conformément à la politique interne et maintenir une procédure de récupération en cas de perte d’accès au fournisseur d’identité.

• Contrôler si le service client de Notion peut accéder à un compte ou à un espace de travail, et révoquer cet accès lorsqu'il n'est plus nécessaire.

Notion fournit le modèle d’autorisations qui détermine ce qu’un utilisateur authentifié peut voir et faire, ainsi que des contrôles administratifs qui définissent les limites du partage. Les clients sont responsables de l’application de ce modèle à leurs données client et de la vérification des accès qui en résultent.

Responsabilités de Notion

• Fournir un modèle d’autorisations applicable aux espaces de travail, aux espaces d’équipe, aux pages et aux bases de données, y compris aux groupes d’autorisations, et l’appliquer de manière cohérente dans tout le produit.

• Fournir des accès distincts aux membres et aux invités, afin que les collaborateurs externes puissent accéder à certaines données client plutôt qu’à l’ensemble de l’espace de travail.

• Fournir des contrôles administratifs permettant à une organisation de restreindre le partage public de pages, l’Accès des invité·es, l’utilisation de la fonction Exporter, ainsi que le déplacement ou la duplication de pages vers d’autres espaces de travail.

• Fournir des contrôles régissant qui peut publier des données client sur le Web, notamment au moyen de Notion Sites, de Formulaires et de liens publics.

• Fournir des outils permettant à une organisation de voir qui a accès à une page, quelles pages sont partagées en externe ou publiées sur le Web, et de modifier ces autorisations.

• Respecter les autorisations configurées dans l’espace de travail pour les fonctionnalités d’IA et de recherche.

Responsabilités des utilisateurs

• Déterminer le niveau d’accès approprié aux données client et appliquer les autorisations en conséquence.

• Décider si la collaboration externe et la publication publique sont autorisées, et configurer les contrôles disponibles pour refléter cette décision.

• Comprendre comment les accès sont hérités. L’accès accordé à une page s’étend par défaut aux pages qui y sont imbriquées. Si un accès est accordé de plusieurs façons, le niveau d’accès le plus élevé s’applique.

• Examiner régulièrement les accès des membres de l’espace de travail et des invités, les groupes d’autorisations, ainsi que les données client partagées en externe ou publiées sur le Web.

• Supprimer l’accès aux données client lorsqu’un collaborateur cesse de participer, y compris pour les invités et les collaborateurs externes dont l’accès n’est pas géré par le fournisseur d’identité de l’organisation.

• S’assurer que les données client publiées sur le Web sont destinées au grand public et configurer les options telles que l’Indexation par les moteurs de recherche en conséquence.

• Transférer les données client qu’un utilisateur conserve à titre privé avant son départ ou pendant la période limitée au cours de laquelle le transfert reste possible. Passé ce délai, les données client privées sont généralement irrécupérables et les outils de transfert ne sont disponibles qu’avec le forfait Enterprise.

Notion stocke et traite les données client pour le compte de ses clients et les protège lors de leur transfert et au repos. Les clients déterminent quelles données sont placées dans Notion, combien de temps elles sont conservées et quelles obligations légales s’y appliquent.

Responsabilités de Notion

• Traiter les données client conformément au Contrat-cadre d’abonnement, à l’avenant sur le traitement des données et à la loi applicable en matière de protection des données.

• Chiffrer les données client au repos à l’aide d’AES-256 ou d’un algorithme standard du secteur offrant une sécurité équivalente ou supérieure, y compris dans le stockage cloud, les tables de base de données et les sauvegardes, et chiffrer les données en transit à l’aide de TLS 1.2 ou supérieur.

• Maintenir et publier une liste à jour des sous-traitants.

• Proposer une option de résidence des données pour certaines catégories de données client, afin que les organisations éligibles puissent choisir la région où ces données sont stockées au repos.

• S’abstenir d’utiliser les données client pour entraîner les modèles d’apprentissage automatique de Notion et interdire contractuellement aux sous-traitants spécialisés dans l’IA de le faire sans le consentement explicite du client.

• Fournir des fonctionnalités permettant aux clients d’exporter, de conserver et de supprimer leurs données client, et supprimer les données client à la fin du contrat conformément à l’accord.

• Conclure un avenant sur le traitement des données et, le cas échéant, un accord d’associé commercial avec les clients qui en ont besoin.

Responsabilités des utilisateurs

• Déterminer quelles données stocker dans Notion et veiller à ne stocker les données réglementées que si les accords et la configuration nécessaires sont en place.

• Définir et appliquer des règles de conservation, puis supprimer les données client devenues inutiles.

• Configurer les paramètres de conservation et de suppression du produit conformément à la politique interne.

• Fournir des données de compte complètes et exactes, et corriger rapidement toute erreur constatée.

• Respecter les obligations qui incombent au responsable du traitement des données personnelles détenues dans un espace de travail, notamment fournir aux personnes concernées des informations sur la protection de leurs données personnelles, établir une base légale pour le traitement et répondre aux demandes des personnes concernées relatives aux données client.

• Déterminer si une région précise de résidence des données est nécessaire, en faire la demande le cas échéant et identifier les catégories de données et les produits Notion qui ne sont pas concernés par sa portée.

• Examiner la liste des sous-traitants de Notion.

Notion exploite l’infrastructure qui maintient le Service disponible et gère les sauvegardes de cette infrastructure dans le but de rétablir le Service. Les clients sont responsables de la récupération de leurs propres données client à l’aide des outils fournis par Notion, et de la conservation d’une copie indépendante de ces données client lorsque leurs propres obligations l’exigent.

Responsabilités de Notion

• Exploiter le Service Notion conformément aux engagements de disponibilité énoncés dans les Conditions de niveau de service, en utilisant une infrastructure redondante sur plusieurs zones de disponibilité.

• Publier l’état opérationnel du Service.

• Maintenir des sauvegardes automatisées, chiffrées et surveillées des Données client.

• Stocker les sauvegardes conformément à la correspondance publiée par Notion entre les régions de résidence des données et les régions de sauvegarde pour la région de résidence des données choisie. La résidence des données ne s’applique qu’aux catégories définies de Données client.

• Tenir à jour et tester régulièrement les plans de reprise et de continuité des activités.

• Fournir des outils de récupération dans le produit, notamment la Corbeille et l’historique des versions, pour permettre aux Clients de restaurer eux-mêmes leurs Données client.

• Fournir la fonctionnalité « Exporter » pour permettre aux Clients d’obtenir une copie de leurs Données client.

Responsabilités des utilisateurs

• Récupérer les pages et les Données client à l’aide de la Corbeille et de l’historique des versions, dans les délais de conservation prévus par le forfait de l’Utilisateur.

• Configurer les paramètres de conservation des Données client, lorsqu’ils sont disponibles, conformément à la politique interne.

• Conserver une copie indépendante des Données client si la politique interne, les engagements contractuels ou la réglementation imposent une durée de conservation supérieure à celle prévue par le produit, ou exigent une copie conservée hors de Notion.

• Produire des exportations à une fréquence adaptée à ces exigences et vérifier qu’elles sont complètes. Les Données client auxquelles le compte utilisé pour l’exportation n’a pas accès ne sont pas incluses.

• Récupérer les exportations pendant la période de validité du lien de téléchargement.

• Prévoir une éventuelle indisponibilité du Service dans les dispositions de continuité des activités de l’Utilisateur.

Les sauvegardes de Notion : ce qu’elles sont et ce qu’elles ne sont pas

Les sauvegardes de Notion servent à restaurer le Service Notion. Elles ne permettent pas aux Clients de restaurer eux-mêmes un espace de travail à un moment précis. Pour récupérer des Données client, les Clients utilisent la Corbeille et l’historique des versions. Passés les délais de conservation applicables, les Données client sont définitivement supprimées et ne peuvent plus être restaurées. Les Clients ne doivent pas compter sur le service client pour conserver leurs données.

Une exportation crée une copie des Données client dans des formats tels que HTML, markdown, CSV ou PDF, selon le type d’exportation et le forfait. Ce n’est pas une sauvegarde complète de l’espace de travail : l’importation des Données client exportées ne rétablit ni les autorisations, ni les paramètres, ni la configuration complète de l’espace de travail. Une réorganisation manuelle peut être nécessaire.

Notion enregistre les activités pertinentes dans un espace de travail et met ces informations à la disposition de l’organisation. Les clients doivent les consulter, les conserver si nécessaire et prendre les mesures qui s’imposent.

Responsabilités de Notion

• Enregistrer les événements liés à la sécurité et à la sûreté dans les espaces de travail d’une organisation, avec l’identité de la personne à l’origine de l’action, l’action effectuée, l’heure et, si elle est disponible, l’adresse IP.

• Conserver l’historique du journal d’audit dans le produit pendant une durée définie et proposer des moyens d’Exporter et de diffuser les événements pour permettre aux Clients de les conserver plus longtemps.

• Permettre la diffusion des événements en temps réel vers la plateforme de surveillance de la sécurité de l’Utilisateur et prendre en charge les connexions aux outils de prévention des pertes de données.

• Surveiller l’infrastructure, les réseaux et les systèmes de Notion pour détecter toute activité malveillante, et tenir un journal interne de ces systèmes.

Responsabilités des utilisateurs

• Consulter l’activité du journal d’audit, examiner toute activité inattendue ou non autorisée et prendre les mesures nécessaires.

• Conserver les données du journal pendant la durée imposée par la politique interne ou la réglementation applicable au Client, en utilisant la fonction Exporter ou en diffusant les événements avant la fin de leur période de conservation.

• Configurer la surveillance, les alertes et les connexions aux outils de sécurité ou de conformité dans l’environnement de l’Utilisateur, et veiller au bon fonctionnement de ces intégrations.

• Définir ce qui constitue une activité suspecte pour l’organisation et désigner la personne chargée de l’examiner.

• Signaler à Notion toute activité suspecte pouvant indiquer une compromission du Service.

Ce que couvre le journal d’audit, et ses limites

Le journal d’audit enregistre les événements. Les entrées du journal et les données diffusées indiquent quelles actions ont été effectuées et par qui ; elles ne contiennent pas les Données client présentes dans les pages.

Le journal d’audit commence à enregistrer les événements dès qu’une organisation peut utiliser la fonctionnalité. Les activités antérieures ne sont pas disponibles rétroactivement.

Notion développe, exploite et maintient le Service Notion et son infrastructure, qu’elle sécurise et met à jour avec les correctifs nécessaires. Les clients sont responsables des environnements depuis lesquels ils accèdent à Notion.

Responsabilités de Notion

• Développer, tester et maintenir l’application Notion et l’infrastructure qui la prend en charge, et leur appliquer des correctifs. Les dernières modifications apportées au Service sont déployées par Notion et ne demandent aucune action de la part des Clients.

• Effectuer une modélisation des menaces et des revues de conception sécurisée pour les nouvelles versions, et réaliser des audits de code, des revues de code et des analyses de sécurité de la base de code.

• Commander chaque année des tests d’intrusion indépendants.

• Mettre en œuvre et gérer la sécurité réseau sur l'ensemble des systèmes de Notion.

• Surveiller l'infrastructure, les réseaux et les actifs de Notion pour détecter toute activité malveillante.

• Gérer un programme public de divulgation des vulnérabilités et commander des tests d'intrusion indépendants.

• Sécuriser les systèmes internes et les appareils des employés de Notion, notamment par le chiffrement des données au repos, la détection et la réponse sur les points d’accès, ainsi que la gestion centralisée des appareils.

• Publier les applications client de Notion et déployer leurs dernières modifications.

Responsabilités des utilisateurs

• Maintenir les environnements des points d’accès, notamment les navigateurs, dans des versions prises en charge et correctement corrigées, et gérer les contrôles susceptibles d’empêcher l’application des dernières modifications du client Notion.

• Sécuriser les appareils et les réseaux utilisés pour accéder à Notion, conformément aux normes de sécurité des points d’accès de l’Utilisateur.

• Lorsque les dernières modifications du client Notion sont gérées de manière centralisée, veiller à les appliquer rapidement. Si l’Utilisateur reporte ou désactive leur application automatique, il lui revient d’appliquer les correctifs au client dans les délais.

• Veiller à ce que les configurations d’installation n’empêchent pas les utilisateurs de recevoir les dernières modifications.

• Signaler les vulnérabilités suspectées dans le Service Notion à Notion plutôt que de les exploiter ou de les divulguer publiquement.

Où se situe la limite

Notion applique des correctifs au service Notion. Les clients n’appliquent pas de correctifs à Notion et n’ont aucune action à entreprendre pour les dernières modifications apportées côté serveur.

Les applications clientes sont différentes. Notion publie les dernières modifications, mais leur réception par un appareil dépend de sa configuration et de sa gestion. Si une organisation gère l’installation ou les mises à jour, elle doit maintenir les applications clientes à jour.

Notion fournit une API, une plateforme d'intégration et des fonctionnalités d'IA qui peuvent agir sur les Données Client et accéder aux systèmes connectés. Il incombe aux clients de décider lesquelles activer, quels accès leur accorder et comment elles sont régies.

Responsabilités de Notion

• Fournir et maintenir l'API Notion, la plateforme d'intégration, les connexions et les fonctionnalités d'IA.

• Respecter les autorisations des utilisateurs dans l'IA de Notion, l'agent Notion et les connecteurs IA. Les custom agents utilisent leurs propres autorisations explicitement accordées, qui peuvent différer de celles de la personne interagissant avec l'agent.

• Fournir des contrôles administratifs régissant les intégrations et les outils d'IA externes pouvant être installés, les agents pouvant être créés et l'activation des fonctionnalités d'IA.

• Fournir des contrôles pour activer ou désactiver la recherche Web par IA et exiger une confirmation avant les requêtes Web externes.

• Maintenir des défenses conçues pour détecter et réduire le risque d'injection d'instructions, y compris la détection d'instructions cachées dans le contenu tiers et les fichiers téléchargés, les restrictions sur la gestion des liens et des vérifications supplémentaires lorsque les agents agissent de manière autonome.

• S'abstenir d'utiliser les Données client pour entraîner les modèles de Notion et interdire contractuellement aux sous-traitants IA de le faire sans le consentement explicite du client.

• Enregistrer l'activité d'intégration, de connexion, d'agent et d'outil d'IA externe dans le journal d’audit.

Responsabilités des utilisateurs

• Décider quelles intégrations, connexions, fonctionnalités d'IA et agents sont appropriés pour l'organisation, et configurer les contrôles disponibles pour refléter cette décision.

• Examiner les accès et les capacités demandés par les intégrations ou les connexions avant de les autoriser, puis vérifier que les services tiers répondent aux exigences de l’utilisateur concernant ses fournisseurs.

• Gérer les jetons d'intégration internes, notamment en restreignant leur distribution, en les renouvelant et en révoquant ceux qui ne sont plus nécessaires.

• Gouverner la création et la configuration des agents, y compris les Données client et les outils connectés auxquels chaque agent peut accéder, et examiner cet accès périodiquement.

• Les clients doivent s'assurer que la portée des autorisations des agents est définie de manière appropriée.

• Déterminer si des modèles conservant les données peuvent être activés pour les fonctionnalités qui les nécessitent.

• S'assurer que les Données client mises à disposition de Notion via des systèmes connectés sont appropriées à cette fin, et que la portée de l'accès accordé dans le système connecté est elle-même correctement définie.

• Informer les utilisateurs que les données client provenant de l'extérieur de l'espace de travail, y compris les pages Web et les fichiers téléversés, peuvent tenter d'influencer le comportement de l'IA.

Ce que les clients doivent comprendre concernant les données connectées

Les accès accordés via des connexions sont limités par les autorisations accordées dans les systèmes connectés. Notion applique les autorisations indiquées par ces systèmes, mais ne corrige pas celles qui sont trop étendues dans les systèmes sources.

Les modifications d'autorisation dans les systèmes connectés sont répercutées dans Notion après un intervalle de synchronisation plutôt qu'immédiatement, et les Données client nouvellement ajoutées ou supprimées peuvent mettre du temps à apparaître ou à devenir indisponibles.

Notion est responsable de la sécurité du service Notion et de la notification aux clients lorsqu'un incident affecte leurs données client. Les clients sont responsables de la manière dont ils répondent aux incidents impliquant leurs propres comptes, espaces de travail et données client, y compris toute notification qu'ils sont tenus d'effectuer.

Responsabilités de Notion

• Maintenir un plan de réponse aux incidents documenté et le tester périodiquement.

• Détecter, trier, examiner, contenir et résoudre les incidents de sécurité affectant les systèmes de Notion et les données client qu'elle détient.

• Informer les clients concernés des incidents de sécurité conformément à l’Addendum sur le traitement des données et à la législation applicable.

• Effectuer une revue post-incident, incluant une analyse des causes profondes, et appliquer les conclusions aux contrôles et au plan de réponse de Notion.

• Publier l'état opérationnel du service et communiquer sur les incidents de disponibilité.

• Exploiter un programme de divulgation des vulnérabilités, et trier et corriger les vulnérabilités signalées.

Responsabilités des utilisateurs

• Signaler rapidement à Notion les incidents de sécurité suspectés, les comptes compromis, les vulnérabilités suspectées et l'utilisation abusive du service, par le canal approprié.

• Détecter les incidents survenant dans les espaces de travail et les comptes de l'utilisateur et y répondre, notamment en cas de compromission des identifiants, de partage inapproprié ou d'utilisation abusive par des utilisateurs internes.

• Maintenir ses propres dispositifs de réponse aux incidents et définir qui est chargé d'intervenir en cas d'activité détectée dans Notion.

• Prendre des mesures de confinement disponibles au sein du produit, notamment supprimer l'accès, révoquer les sessions, réinitialiser les identifiants, révoquer les jetons d'intégration et retirer les Données client publiées.

• Préserver les preuves pertinentes, notamment en exportant les enregistrements du journal d’audit avant la fin de leur période de conservation.

• Déterminer si un incident déclenche une obligation de notification incombant à l'Utilisateur envers un régulateur, un client ou une personne concernée, et effectuer cette notification.

• Maintenir à jour les coordonnées administratives et de sécurité, afin que les notifications de Notion parviennent aux bonnes personnes.

• Signaler les vulnérabilités suspectées à Notion plutôt que de les exploiter ou de les divulguer publiquement.

Quelle partie détecte quoi

Notion surveille sa propre infrastructure et peut détecter les incidents affectant le Service. Notion ne peut pas déterminer si une action par ailleurs valide dans l’espace de travail a été autorisée en vertu des politiques internes de l’Utilisateur. Les clients sont responsables de la surveillance de l’activité de l’espace de travail et de la gestion des utilisations abusives.

Cela inclut des incidents tels qu’un membre publiant des Données client confidentielles, un employé sur le départ exportant des données ou des identifiants utilisés de manière abusive par leur titulaire légitime. La détection de ces événements et la réponse à y apporter dépendent de l’examen, par l’Utilisateur, des journaux d’activité et des contrôles à sa disposition.

Notion maintient un programme de sécurité de l'information et de confidentialité qui est audité de manière indépendante, et met à disposition la documentation qui en résulte. Les clients déterminent si Notion est approprié pour leurs propres obligations réglementaires et le configurent en conséquence.

Responsabilités de Notion

• Maintenir des programmes de sécurité et de confidentialité évalués de manière indépendante conformément aux cycles d'audit et de certification applicables.

• Mettre la documentation de conformité, y compris les rapports d'audit et les certifications, à la disposition des clients et des clients potentiels via le Notion Trust Center.

Responsabilités des utilisateurs

• Déterminer si Notion est adapté aux données que l'Utilisateur a l'intention de stocker et aux obligations réglementaires qui lui sont applicables.

• Conclure les accords requis pour cette utilisation, y compris un Addendum sur le traitement des données ou un Accord d'associé commercial, le cas échéant.

• Appliquer la configuration requise par ces accords, y compris l'activation de tout paramètre spécifique à la conformité et des fonctionnalités de sécurité dont ils dépendent.

• Réaliser les propres évaluations de l'Utilisateur, y compris l'évaluation des risques liés aux fournisseurs et toute évaluation d'impact relative à la protection des données requise par la loi.

• Examiner les certifications, les rapports d'audit et la liste des sous-traitants de Notion dans le cadre des propres processus d'assurance et de gestion du changement de l'Utilisateur.

• Démontrer aux auditeurs et aux autorités de régulation de l’Utilisateur que la configuration et l’utilisation de Notion par l’Utilisateur respectent les obligations qui lui incombent.

Ce que couvre la certification

Les certifications délivrées par des tiers indépendants et les rapports d’audit de Notion couvrent les contrôles mis en œuvre par Notion. Ils ne s’étendent pas à la manière dont une organisation configure ou utilise Notion.

Un espace de travail contenant des données réglementées n’est pas conforme du seul fait que Notion détient une certification. Lorsqu’une obligation dépend de la configuration, comme la restriction du partage, l’application de l’authentification unique (SSO), la conservation des enregistrements d’audit ou la limitation des lieux de stockage des données, son respect demeure la responsabilité de l’Utilisateur.

Notion définit les conditions dans lesquelles le service peut être utilisé et les fait respecter. Les clients sont responsables de leur propre utilisation de Notion et des Données client conservées dans leurs espaces de travail.

Responsabilités de Notion

• Publier et maintenir la politique de contenu et d’utilisation, les Conditions pertinentes et les politiques associées.

• Fournir un mécanisme permettant à toute personne consultant une page Notion publique de signaler les Données client qu’elle estime interdites.

• Enquêter sur les signalements et supprimer les Données client ou restreindre l’accès lorsqu’une violation est identifiée.

• Appliquer une surveillance accrue aux catégories d’utilisation associées à des taux d’abus plus élevés, et suspendre ou interrompre l’accès si nécessaire pour protéger la disponibilité du Service.

Responsabilités de l’Utilisateur

• Utiliser Notion conformément aux Conditions et à la politique de contenu et d’utilisation, et veiller à ce que les personnes utilisant Notion dans le cadre de l’abonnement de l’Utilisateur fassent de même.

• Veiller à ce que les Données client stockées dans Notion, partagées depuis Notion ou publiées via Notion soient conformes à ces politiques et à la loi applicable.

• Modérer les Données client fournies par des tiers lorsque l’Utilisateur diffuse des Données client générées par les utilisateurs via Notion.

• Utiliser Notion conformément à l’usage prévu et ne pas tenter de contourner, désactiver ou entraver ses contrôles de sécurité.

• Effectuer tout test de sécurité de Notion uniquement via le programme de divulgation des vulnérabilités de Notion et dans le respect de ses conditions.

• Utiliser les canaux du service client et de signalement de bonne foi.