מודל אחריות משותפת

מודל אחריות משותפת זה מבטיח ש-Notion והלקוחות שלה פועלים יחד כדי ליצור חוויית סביבת עבודה בטוחה ואפקטיבית.

לעיון בהגדרות המונחים, ניתן להיעזר ב-MSA וב-DPA של Notion.

Notion היא מרחב אחד שבו ניתן לחשוב, לכתוב ולתכנן. כמרחב "הכול באחד" המאפשר למשתמשים לבנות כלים משלהם כדי לעבוד במיטבם, המשתמשים מפקידים בידי Notion מידע מקצועי ואישי, ובאמצעות Connections ו-תכונות AI הם מעניקים לה גם גישה למידע המוחזק במערכות אחרות.

מודל אחריות משותפת (SRM) הוא מסגרת המתווה את חלוקת האחריות בין ספק שירות לבין המשתמשים שלו. הוא מגדיר בבירור אילו משימות אבטחה ותפעול מטופלות על ידי כל צד.

מסמך זה מתווה את תחומי האחריות המשותפים ל-Notion וללקוחותיה בהגנה על מערכות Notion, חשבונות המשתמשים וסביבות העבודה, ובשמירה על אבטחתם.

ה-SRM של Notion מספק בהירות הן ל-Notion והן ללקוחותיה לגבי הצד האחראי לתהליכים, פעולות או בקרות ספציפיים. הדבר מאפשר ל-Notion להתמקד בתחומים שבהם אנו יכולים להגן בצורה הטובה ביותר על הסודיות, השלמות והזמינות של מערכות Notion, ולקחת עליהם אחריות, תוך זיהוי המקומות שבהם הלקוחות נמצאים בעמדה טובה יותר לאבטחת החשבונות, סביבות העבודה ונתוני הלקוח שלהם. בסך הכל, הדבר משפר את האבטחה והיעילות בהגנה על מערכות וחשבונות Notion.

ה-SRM גם מקדם שקיפות לגבי האופן שבו שירותי Notion מסופקים, ומעניק ללקוחות את המידע הדרוש להם כדי להעריך את Notion במסגרת תהליכי ניהול הסיכונים והבטחת העמידה בדרישות שלהם. הוא גם מסייע ל-Notion וללקוחותיה לעמוד כל אחד בחובותיו לפי תקנות מקומיות, אזוריות, לאומיות ובינלאומיות החלות עליהם.

בקצרה: Notion אחראית לבנייה, לתפעול ולהגנה על הארכיטקטורה של שירות Notion. הלקוחות אחראים לאופן שבו הם מגדירים את השירות ומשתמשים בו, לרבות הגנה על פרטי ההתחברות שלהם, ניהול הרשאות הגישה לסביבות העבודה ולנתוני הלקוח שלהם, ועמידה ב-מדיניות התוכן והשימוש וב-תנאים רלוונטיים אחרים.

חלק מתחומי האחריות המתוארים במסמך זה יכולים להתבצע רק על ידי לקוחות בעלי הרשאות מורחבות בסביבת עבודה או בארגון. באחריות המשתמשים להקצות את ההרשאות האלה באופן מתאים.

הכלים הזמינים לעמידה באחריות מסוימת משתנים בהתאם לתוכנית. במקרים שבהם יכולת מסוימת מוגבלת לתוכניות מנוי ספציפיות, לקוחות בתוכניות מנוי שאינן כוללות את היכולת האמורה נותרים אחראים להשגת התוצאה הנדרשת, ועליהם לשקול בקרות חלופיות.

Notion מספקת את שיטות האימות ובקרות הניהול הקובעות כיצד אנשים נכנסים ל-Notion וכיצד מוענקת ומבוטלת הגישה לסביבת העבודה. הלקוחות אחראים לבחירה ולהגדרה של הבקרות המתאימות לארגון שלהם, ולהגנה על פרטי ההתחברות המשמשים לגישה לחשבונות שלהם.

תחומי האחריות של Notion

• לספק ולהפעיל שיטות אימות, כולל אימייל וסיסמה, התחברות באמצעות Google ו-Apple וכניסה יחידה באמצעות SAML 2.0 עבור סביבות עבודה בתוכנית לעסקים ובתוכנית Enterprise.

• לספק אימות דו-שלבי לחשבונות שמתחברים באמצעות סיסמה, בעזרת אפליקציית אימות או קוד בהודעת טקסט.

• לספק ממשקי API של SCIM המאפשרים לארגונים בתוכנית Enterprise ליצור, לעדכן ולהסיר משתמשים באופן אוטומטי באמצעות ספק הזהויות שלהם.

• לספק בקרות ניהוליות הקובעות את משך ההפעלות ומאפשרות התנתקות כפויה, איפוס סיסמה, השעיית חשבון ואימות דומיין.

• לדרוש הוכחה מאומתת לבעלות על דומיין לפני שאפשר להשתמש בו כדי לקבוע כיצד המשתמשים המשויכים אליו נכנסים ל-Notion.

• לבטל גישה של משתמש לנתוני לקוח כשהוא מוסר מסביבת העבודה. לספק בקרות המאפשרות לארגון לסיים הפעלות ולאפס פרטי כניסה של כל המשתמשים שהוא מנהל.

• לשמור על בקרות גישה המבוססות על עקרון ההרשאה המינימלית בכל התשתית של Notion, ולחייב את עובדי Notion ואת הקבלנים שלה בחובות סודיות.

• לגשת לנתוני לקוח למטרות תמיכה רק בהסכמת משתמש או בעל סביבת עבודה, ולדאוג שתוקף ההסכמה יפוג אוטומטית לאחר תקופה מוגדרת.

תחומי האחריות של המשתמשים

• הגנה על פרטי הכניסה, שימוש בסיסמאות חזקות וייחודיות, והימנעות משימוש חוזר באותן סיסמאות בשירותים אחרים.

• תחזוקת חשבונות אישיים במקום חשבונות משותפים, ואי-שיתוף פרטי כניסה.

• שימוש באימות דו-שלבי בחשבונות שנכנסים עם סיסמה.

• עדכון פרטי הכניסה בהתאם למדיניות הפנימית, וכן ללא דיחוי כאשר מתגלה דליפה של פרטי כניסה בשירות חיצוני.

• בחירה והגדרה של שיטות האימות המתאימות לארגון, לרבות ההחלטה אם לחייב כניסה יחידה.

• הבטחה שהגישה לסביבת העבודה מוגבלת למשתמשים המיועדים, ושהגישה מוסרת באופן מיידי כאשר מישהו עוזב או משנה תפקיד. ביטול הקצאה אוטומטי דורש SCIM; במקום שבו הוא אינו בשימוש, ההסרה היא תהליך ידני.

• הגדרת משך ההפעלות בהתאם למדיניות הפנימית, וקיום נוהל שחזור למקרה של אובדן גישה לספק הזהות.

• שליטה על האם התמיכה של Notion יכולה לגשת לחשבון או לסביבת עבודה, וביטול גישה זו כאשר היא אינה נדרשת עוד.

Notion מספקת את מודל ההרשאות הקובע מה משתמש מאומת יכול לראות ולעשות, יחד עם בקרות ניהוליות המגדירות את הגבולות לשיתוף. הלקוחות אחראים להחליט כיצד מודל זה מיושם על נתוני הלקוח שלהם, ולסקירת הגישה הנובעת מכך.

תחומי האחריות של Notion

• לספק מודל הרשאות ברמת סביבת העבודה, מרחב הצוות, הדף ומאגר הידע, כולל קבוצות הרשאה, ולאכוף אותו באופן עקבי בכל המוצר.

• לספק גישה נפרדת לחברים ולאורחים, כך שאפשר להעניק למשתפי פעולה חיצוניים גישה לנתוני לקוח מסוימים ולא לסביבת עבודה שלמה.

• לספק בקרות ניהוליות המאפשרות לארגון להגביל שיתוף ציבורי של דפים, גישת אורחים, ייצוא והעברה או שכפול של דפים לסביבות עבודה אחרות.

• לספק בקרות הקובעות מי רשאי לפרסם נתוני לקוח באינטרנט, כולל באמצעות Notion Sites, טפסים וקישורים ציבוריים.

• לספק כלים המאפשרים לארגון לבדוק למי יש גישה לדף, אילו דפים משותפים עם גורמים חיצוניים או מפורסמים באינטרנט ולשנות את ההרשאות האלה.

• לכבד את ההרשאות שהוגדרו בסביבת העבודה בעת הפעלת תכונות בינה מלאכותית וחיפוש.

תחומי האחריות של המשתמשים

• קביעת רמת הגישה המתאימה לנתוני לקוחות, והחלת הרשאות בהתאם.

• החלטה האם עבודה משותפת עם גורמים חיצוניים ופרסום ציבורי מותרים, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• הבנת אופן ההורשה של גישה. גישה שניתנה לדף חלה כברירת מחדל גם על דפי המשנה שלו, וכאשר גישה ניתנת בכמה דרכים, רמת הגישה הגבוהה ביותר היא שקובעת.

• סקירת גישה מעת לעת, כולל חברי סביבת העבודה, אורחים, קבוצות הרשאות, נתוני לקוחות המשותפים חיצונית, ונתוני לקוחות המפורסמים באינטרנט.

• הסרת גישה לנתוני לקוחות כאשר מעורבותו של משתף פעולה מסתיימת, כולל אורחים ומשתפי פעולה חיצוניים שהגישה שלהם אינה מנוהלת דרך ספק הזהות של הארגון.

• הבטחה שנתוני לקוחות המפורסמים באינטרנט מיועדים לקהל ציבורי, והגדרת אפשרויות כגון אינדוקס מנועי חיפוש בהתאם.

• העברת נתוני לקוחות המוחזקים באופן פרטי על ידי משתמש לפני עזיבתו, או בתוך החלון המוגבל שבו העברה נותרת אפשרית. לאחר חלון זה, נתוני לקוחות פרטיים הם בדרך כלל בלתי ניתנים לשחזור, וכלי העברה זמינים רק בתוכנית Enterprise.

Notion מאחסנת ומעבדת נתוני לקוחות עבור לקוחותיה ומגנה עליהם בזמן העברה ובזמן אחסון. הלקוחות קובעים אילו נתונים מוכנסים ל-Notion, כמה זמן הם נשמרים, ואילו חובות משפטיות חלות עליהם.

תחומי האחריות של Notion

• לעבד נתוני לקוחות בהתאם להסכם המנוי הראשי, לנספח עיבוד הנתונים ולדיני הגנת המידע החלים.

• להצפין נתוני לקוחות בעת אחסון באמצעות AES-256 או אלגוריתם מקובל בתעשייה המספק אבטחה שוות ערך או חזקה יותר, כולל באחסון בענן, בטבלאות של מאגרי ידע ובגיבויים, ולהצפין נתונים בעת העברה באמצעות TLS 1.2 ומעלה.

• לנהל ולפרסם רשימה עדכנית של מעבדי משנה.

• להציע תושבות נתונים לקטגוריות מוגדרות של נתוני לקוחות, כך שארגונים זכאים יוכלו לבחור את האזור שבו הנתונים האלה מאוחסנים.

• להימנע משימוש בנתוני לקוחות לאימון מודלי למידת המכונה של Notion, ולאסור בהסכם על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• לספק ללקוחות כלים לייצוא, שמירה ומחיקה של נתוני הלקוחות שלהם, ולמחוק נתוני לקוחות בתום החוזה בהתאם להסכם.

• לחתום על נספח עיבוד נתונים, ועל הסכם שותף עסקי במידת הצורך, עם לקוחות הדורשים זאת.

תחומי האחריות של המשתמשים

• קביעה אילו נתונים מתאימים לאחסון ב-Notion, והבטחה שנתונים מוסדרים מאוחסנים רק במקום שבו קיימים ההסכמים וההגדרות הדרושים.

• קביעה ויישום של נהלי שמירה, ומחיקת נתוני לקוחות שאינם נדרשים עוד.

• קביעת הגדרות השמירה והמחיקה הזמינות במוצר כך שישקפו את המדיניות הפנימית.

• הגשת נתוני חשבון מלאים ומדויקים, ותיקונם באופן מיידי כאשר מזוהות שגיאות.

• עמידה בחובות החלות על בעל השליטה במידע האישי המוחזק בסביבת עבודה, לרבות מסירת מידע על פרטיות לאנשים שהמידע נוגע להם, קביעת בסיס חוקי לעיבוד ומענה לבקשות של נושאי מידע הנוגעות לנתוני לקוח.

• קביעה האם נדרש אזור תושבות נתונים ספציפי, בקשתו היכן שצריך, והבנה אילו קטגוריות של נתונים ואילו מוצרי Notion חורגים מהיקף זה.

• עיון ב-רשימת מעבדי המשנה של Notion.

Notion מפעילה את התשתית ששומרת על השירות זמין ומחזיקה גיבויים של תשתית זו לצורך שחזור השירות. לקוחות אחראים לשחזור נתוני הלקוח שלהם באמצעות הכלים ש-Notion מספקת, ולהחזקת עותק עצמאי של נתוני לקוח אלו כאשר ההתחייבויות שלהם מחייבות זאת.

תחומי האחריות של Notion

• הפעלת שירות Notion בהתאם להתחייבויות הזמינות המפורטות בתנאי רמת השירות, תוך שימוש בתשתית יתירה על פני אזורי זמינות מרובים.

• פרסום הסטטוס התפעולי של השירות.

• תחזוקת גיבויים אוטומטיים, מוצפנים ומנוטרים של נתוני לקוח.

• אחסון גיבויים בהתאם ל-מיפוי אזורי הגיבוי שפורסם של Notion עבור אזור תושבות הנתונים שנבחר. תושבות נתונים חלה רק על הקטגוריות המוגדרות של נתוני לקוח.

• תחזוקה ובדיקה תקופתית של תוכניות התאוששות מאסון והמשכיות עסקית.

• מתן כלי שחזור בתוך המוצר, כולל פח האשפה והיסטוריית גרסאות, המאפשרים ללקוחות לשחזר נתוני לקוח בעצמם.

• מתן פונקציונליות ייצוא המאפשרת ללקוחות לקבל עותק של נתוני הלקוח שלהם.

תחומי האחריות של המשתמשים

• שחזור דפים בודדים ונתוני לקוח באמצעות פח האשפה והיסטוריית גרסאות, בתוך תקופות השמירה החלות על התוכנית של המשתמש.

• הגדרת הגדרות שמירת נתוני לקוח, היכן שהן זמינות, כדי לשקף את המדיניות הפנימית.

• תחזוקת עותק עצמאי של נתוני לקוח כאשר מדיניות פנימית, התחייבויות חוזיות או רגולציה מחייבות שמירה מעבר למה שהמוצר מספק, או מחייבות עותק שמוחזק מחוץ ל-Notion.

• הפקת ייצואים בלוח זמנים המתאים לדרישות אלו, ואימות שהייצואים מלאים. נתוני לקוח שחשבון הייצוא אינו יכול לגשת אליהם אינם כלולים בייצוא.

• אחזור ייצואים בתוך התקופה שבה קישור ההורדה נותר תקף.

• תכנון לאפשרות של אי-זמינות שירות כחלק מהסדרי ההמשכיות העסקית של המשתמש עצמו.

מה הם הגיבויים של Notion ומה הם לא

הגיבויים של Notion קיימים כדי לשחזר את שירות Notion. הם אינם נקודת שחזור המיועדת ללקוח, ולא ניתן להשתמש בהם כדי להחזיר סביבת עבודה (Workspace) למצבה ברגע נתון. שחזור נתוני לקוח בודדים מבוצע על ידי הלקוחות באמצעות פח האשפה והיסטוריית גרסאות. ברגע שנתוני לקוח עברו את תקופות השמירה הרלוונטיות בפח האשפה ואחריו, הם נמחקים ולא ניתן לשחזרם. לקוחות לא צריכים להסתמך על התמיכה כמנגנון שמירה.

ייצוא מפיק עותק נייד של נתוני לקוח בפורמטים כגון HTML, Markdown, CSV או PDF, בהתאם לסוג הייצוא ולתוכנית. זהו אינו גיבוי מלא של סביבת העבודה: ייבוא נתוני לקוח שיוצאו לא ישחזר את ההרשאות, ההגדרות או התצורה המלאה המקורית של סביבת העבודה, ועשוי לדרוש ארגון מחדש ידני.

Notion מייצרת רשומות של פעילות רלוונטית בתוך סביבת עבודה ומנגישה אותן לארגון. הלקוחות אחראים לבדיקת רשומות אלו, לשמירתן היכן שנדרש ולפעולה בהתאם למה שהן מציגות.

תחומי האחריות של Notion

• תיעוד אירועי אבטחה ובטיחות המתרחשים ברחבי סביבות העבודה של הארגון, כולל הגורם המבצע, הפעולה, הזמן, ובמידת האפשר כתובת ה-IP.

• שמירת היסטוריית יומן הביקורת בתוך המוצר לתקופה מוגדרת ומתן מנגנוני ייצוא והזרמה כדי שהלקוחות יוכלו לשמור אותה לזמן רב יותר.

• מתן אמצעי להזרמת אירועים לפלטפורמת ניטור האבטחה של המשתמש בזמן אמת, ותמיכה בחיבורים לכלי מניעת אובדן נתונים.

• ניטור התשתית, הרשתות והמערכות של Notion לאיתור פעילות זדונית ותחזוקת יומנים פנימיים של המערכות האלה.

תחומי האחריות של המשתמשים

• סקירת פעילות יומן הביקורת וחקירה ופעולה בנוגע לפעילות שנראית בלתי צפויה או בלתי מורשית.

• שמירת נתוני יומן למשך התקופה הנדרשת לפי המדיניות הפנימית של הלקוח או לפי הרגולציה, באמצעות ייצוא או הזרמה של אירועים לפני תום תקופת השמירה.

• הגדרת ניטור, התראות וכל חיבורי האבטחה או הציות בסביבת המשתמש, ווידוא שהאינטגרציות הללו נשארות פעילות.

• קביעה מה נחשב לפעילות חשודה בהקשר של הארגון והקצאת אחריות לבדיקתה.

• דיווח על פעילות חשודה ל-Notion במקרים שבהם היא עשויה להעיד על פגיעה בשירות.

מה יומן הביקורת מכסה ומה לא

יומן הביקורת מתעד אירועים. רשומות יומן ומטעני נתונים מוזרמים מתארים פעולות שבוצעו ועל ידי מי; הם אינם מכילים את נתוני הלקוח של דפים.

תיעוד יומן הביקורת מתחיל כאשר ארגון הופך לזכאי לתכונה. פעילות שהתרחשה לפני כן אינה זמינה בדיעבד.

Notion מפתחת, מפעילה ומתחזקת את שירות Notion ואת התשתית שעליה הוא פועל, כולל אבטחת אותה תשתית והתקנת תיקונים בה. הלקוחות אחראים לסביבות שמהן הם ניגשים ל-Notion.

תחומי האחריות של Notion

• פיתוח, בדיקה, התקנת תיקונים ותחזוקה של אפליקציית Notion והתשתית התומכת בה. Notion מתקינה את עדכוני השירות, ואין צורך בפעולה מצד הלקוחות.

• ביצוע מידול איומים וסקירות תכנון מאובטח לגרסאות חדשות, וכן ביקורות קוד, סקירות קוד וסריקות אבטחה של בסיס הקוד.

• הזמנת בדיקות חדירה עצמאיות מדי שנה.

• יישום וניהול של אבטחת רשת בכל המערכות של Notion.

• ניטור התשתית, הרשתות והנכסים של Notion לאיתור פעילות זדונית.

• הפעלת תוכנית ציבורית לחשיפת פגיעויות והזמנת בדיקות חדירה עצמאיות.

• אבטחת המערכות הארגוניות ומכשירי העובדים של Notion, לרבות הצפנת נתונים במצב מנוחה, זיהוי ותגובה בנקודות קצה וניהול מרכזי של מכשירים.

• פרסום יישומי הלקוח של Notion ואספקת עדכונים להם.

תחומי האחריות של המשתמשים

• תחזוקת סביבות נקודות קצה נתמכות שמעודכנות בתיקוני אבטחה כנדרש, כולל דפדפני אינטרנט, וטיפול בכל הגדרה שעשויה למנוע עדכונים ליישומי הלקוח של Notion.

• אבטחת המכשירים והרשתות המשמשים לגישה ל-Notion, בהתאם לתקני אבטחת נקודות הקצה של המשתמש עצמו.

• במקרים שבהם עדכונים ליישומי הלקוח של Notion מנוהלים באופן מרכזי, יש להבטיח שהעדכונים ימשיכו להיות מותקנים בזמן. דחייה או השבתה של עדכונים אוטומטיים מעבירה את האחריות להתקנת תיקונים ביישומי הלקוח בזמן לידי המשתמש.

• הבטחה שתצורות התקנה אינן מונעות מהמשתמשים לקבל עדכונים.

• דיווח על פגיעויות חשודות בשירות Notion ל-Notion במקום ניצולן או חשיפתן בפומבי.

היכן עובר הגבול

Notion מתקנת את שירות Notion. לקוחות אינם מחילים תיקונים על Notion, ולא נדרשת פעולת לקוח עבור עדכונים בצד השרת.

יישומי לקוח שונים. Notion מפרסמת עדכונים, אך השאלה אם מכשיר מסוים מקבל אותם תלויה באופן שבו המכשיר מוגדר ומנוהל. כאשר ארגון מנהל את אופן ההתקנה או העדכון, האחריות לשמירה על עדכניות יישומי הלקוח מוטלת עליו.

Notion מספקת API, פלטפורמת אינטגרציה ותכונות AI שיכולים לפעול על נתוני לקוחות ולגשת למערכות מחוברות. הלקוחות אחראים להחליט אילו מהם להפעיל, איזו גישה להעניק להם וכיצד להסדיר את השימוש בהם.

תחומי האחריות של Notion

• לספק ולתחזק את ה-API של Notion, את פלטפורמת האינטגרציה, את החיבורים ואת תכונות ה-AI.

• לכבד את הרשאות המשתמשים ב-Notion AI, בסוכן Notion ובמחברי AI. סוכנים בהתאמה אישית משתמשים בהרשאות שהוענקו להם במפורש, שעשויות להיות שונות מאלו של האדם המקיים אינטראקציה עם הסוכן.

• לספק אמצעי בקרה ניהוליים הקובעים אילו אינטגרציות וכלי AI חיצוניים מותר להתקין, אילו סוכנים מותר ליצור והאם תכונות AI מופעלות.

• לספק אמצעי בקרה להפעלה או להשבתה של חיפוש אינטרנט מבוסס בינה מלאכותית, ולדרוש אישור לפני ביצוע בקשות אינטרנט חיצוניות.

• לתחזק הגנות שנועדו לזהות ולהפחית את הסיכון להזרקת הנחיות (prompt-injection), כולל זיהוי הוראות נסתרות בתוכן של צד שלישי ובקבצים שהועלו, הגבלות על טיפול בקישורים ובדיקות נוספות במקרים שבהם סוכנים פועלים באופן אוטונומי.

• להימנע משימוש בנתוני לקוח כדי לאמן את המודלים של Notion, ולאסור בחוזה על מעבדי משנה של בינה מלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• לתעד פעילות של אינטגרציות, חיבורים, סוכנים וכלי בינה מלאכותית חיצוניים ביומן הביקורת.

תחומי האחריות של המשתמשים

• החלטה אילו אינטגרציות, חיבורים, תכונות בינה מלאכותית וסוכנים מתאימים לארגון, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• בחינת הגישה והיכולות המבוקשות על ידי אינטגרציה או חיבור לפני אישורם, ווידוא ששירות הצד השלישי עומד בדרישות שהמשתמש עצמו מציב לספקים.

• ניהול אסימוני אינטגרציה פנימיים, כולל הגבלת הפצתם, החלפתם וביטול אלו שאינם נדרשים עוד.

• ניהול היצירה וההגדרה של סוכנים, כולל לאילו נתוני לקוח וכלים מחוברים כל סוכן יכול להגיע, ובחינת גישה זו מעת לעת.

• על לקוחות לוודא שהרשאות הסוכנים מוגדרות כראוי.

• קביעה אם ניתן להפעיל מודלים השומרים נתונים עבור תכונות הדורשות זאת.

• הבטחה שנתוני לקוח הזמינים ל-Notion דרך מערכות מחוברות מתאימים למטרה זו, ושהגישה המוענקת במערכת המחוברת מוגדרת כראוי בעצמה.

• יידוע משתמשים בכך שנתוני לקוח שמקורם מחוץ לסביבת העבודה (Workspace), כולל דפי אינטרנט וקבצים שהועלו, עלולים לנסות להשפיע על התנהגות הבינה המלאכותית.

מה על לקוחות להבין בנוגע לנתונים מחוברים

גישה המוענקת דרך חיבור מוגבלת בהתאם להרשאות שהוענקו במערכת המחוברת. Notion אוכפת את ההרשאות המדווחות על ידי המערכת המחוברת, אך אינה מתקנת הרשאות רחבות מדי במערכת המקור.

שינויי הרשאות במערכות מחוברות משתקפים ב-Notion לאחר מרווח סנכרון ולא באופן מיידי, וייתכן שיידרש זמן עד שנתוני לקוח שנוספו או נמחקו יופיעו או יהפכו ללא זמינים.

Notion אחראית לאבטחת שירות Notion ולהודעה ללקוחות במקרה שאירוע משפיע על נתוני הלקוח שלהם. לקוחות אחראים לאופן שבו הם מגיבים לאירועים הכוללים את החשבונות, סביבות העבודה (Workspaces) ונתוני הלקוח שלהם, כולל כל הודעה שהם נדרשים למסור.

תחומי האחריות של Notion

• תחזוקת תוכנית מתועדת לתגובה לאירועים ובדיקתה מעת לעת.

• זיהוי, מיון, חקירה, הכלה וטיפול באירועי אבטחה המשפיעים על מערכות Notion ועל נתוני הלקוח ש-Notion מחזיקה.

• הודעה ללקוחות שנפגעו מאירועי אבטחה בהתאם לנספח עיבוד הנתונים ולדין החל.

• עריכת סקירה לאחר אירוע, כולל ניתוח סיבת השורש, ויישום הממצאים בבקרות ובתוכנית התגובה של Notion.

• פרסום הסטטוס התפעולי של השירות ודיווח על אירועי זמינות.

• הפעלת תוכנית לחשיפת פגיעויות, ומיון וטיפול בפגיעויות שדווחו.

תחומי האחריות של המשתמשים

• דיווח על אירועי אבטחה חשודים, חשבונות שנפרצו, פגיעויות חשודות ושימוש לרעה בשירות ל-Notion באופן מיידי, דרך הערוץ המתאים.

• זיהוי אירועים המתרחשים בסביבות העבודה ובחשבונות של המשתמש עצמו ותגובה להם, כולל פרטי התחברות שנפרצו, שיתוף בלתי הולם ושימוש לרעה על ידי משתמשים פנימיים.

• תחזוקת הסדרי תגובה לאירועים של המשתמש עצמו, והגדרת האחראי לפעולה בגין פעילות שזוהתה ב-Notion.

• נקיטת פעולות הכלה הזמינות במוצר, כולל הסרת גישה, ביטול הפעלות, איפוס פרטי התחברות, ביטול אסימוני אינטגרציה וביטול הפרסום של נתוני לקוח שפורסמו.

• שמירה על ראיות רלוונטיות, כולל ייצוא רשומות יומן ביקורת לפני שהן יוצאות מחלון השמירה.

• קביעה אם אירוע מהווה טריגר לחובת הודעה של המשתמש כלפי רגולטור, לקוח או אדם שנפגע, ומסירת ההודעה.

• שמירה על פרטי קשר אדמיניסטרטיביים ופרטי קשר בנושאי אבטחה מעודכנים, כדי שהודעות מ-Notion יגיעו לאנשים הנכונים.

• דיווח על פגיעויות חשודות ל-Notion במקום לנצל אותן או לחשוף אותן בפומבי.

איזה צד מזהה מה

Notion מנטרת את התשתית שלה ויכולה לזהות אירועים המשפיעים על השירות. Notion אינה יכולה לקבוע אם פעולה תקפה כשלעצמה בסביבת העבודה אושרה במסגרת המדיניות הפנימית של המשתמש. הלקוחות אחראים לניטור הפעילות בסביבת העבודה ולתגובה לשימוש לרעה.

זה כולל אירועים כגון פרסום נתוני לקוח חסויים על ידי חבר/ה, ייצוא נתונים על ידי עובד שעוזב או שימוש לרעה בפרטי התחברות על ידי בעליהם החוקיים. זיהוי אירועים אלו והתגובה אליהם תלויים בבדיקת רשומות הפעילות והבקרות העומדות לרשות המשתמש.

Notion מנהלת תוכנית לאבטחת מידע ופרטיות שעוברת ביקורת עצמאית, ומעמידה את התיעוד המתקבל לרשות הלקוחות. הלקוחות קובעים אם Notion מתאימה לחובות הרגולטוריות שלהם ומגדירים אותה בהתאם.

תחומי האחריות של Notion

• לתחזק תוכניות אבטחה ופרטיות המוערכות באופן עצמאי בהתאם למחזורי ביקורת והסמכה רלוונטיים.

• להעמיד תיעוד ציות, כולל דוחות ביקורת והסמכות, לרשות לקוחות ולקוחות פוטנציאליים דרך Notion Trust Center.

תחומי האחריות של המשתמשים

• קביעה אם Notion מתאימה לנתונים שהמשתמש מתכוון לאחסן ולחובות הרגולטוריות החלות עליו.

• התקשרות בהסכמים הנדרשים לשימוש זה, כולל נספח עיבוד נתונים או הסכם שותף עסקי במקומות הרלוונטיים.

• החלת התצורה הנדרשת על פי הסכמים אלו, לרבות הפעלת כל הגדרה ספציפית לתאימות ותכונות האבטחה שעליהן הן מסתמכות.

• השלמת הערכות עצמיות של המשתמש, לרבות הערכת סיכוני ספק וכל הערכת השפעה על הגנת נתונים הנדרשת על פי חוק.

• בחינת האישורים, דוחות הביקורת ורשימת מעבדי המשנה של Notion כחלק מתהליכי ההבטחה וניהול השינויים של המשתמש עצמו.

• הוכחה למבקרים ולרגולטורים של המשתמש שהתצורה והשימוש שלו ב-Notion עומדים בחובות החלות עליו.

מה מכסה ההסמכה

הסמכות עצמאיות של צד שלישי ודוחות ביקורת של Notion מכסים את הבקרות ש-Notion מפעילה. הם אינם חלים על האופן שבו ארגון מסוים מגדיר את Notion או משתמש בה.

סביבת עבודה המחזיקה בנתונים מוסדרים אינה עומדת בדרישות רק מכוח ההסמכה של Notion. כאשר עמידה בדרישה תלויה בתצורה, כגון הגבלת שיתוף, אכיפת כניסה יחידה, שמירת רשומות ביקורת או הגבלת מיקום אחסון הנתונים, האחריות לעמוד בה נותרת בידי המשתמשים.

Notion קובעת את התנאים שעל פיהם ניתן להשתמש בשירות ואוכפת אותם. לקוחות אחראים לשימוש שלהם ב-Notion ולנתוני הלקוח המוחזקים בסביבות העבודה שלהם.

תחומי האחריות של Notion

• פרסום ותחזוקה של מדיניות תוכן ושימוש, תנאים רלוונטיים ומדיניות קשורה.

• מתן אפשרות לכל מי שצופה בדף Notion ציבורי לדווח על נתוני לקוח שלדעתו אסורים.

• חקירת דיווחים והסרת נתוני לקוח או הגבלת הגישה כשמזוהה הפרה.

• בדיקה קפדנית יותר של קטגוריות שימוש שבהן שיעורי השימוש לרעה גבוהים יותר, והשעיית הגישה או הפסקתה לפי הצורך כדי לשמור על זמינות השירות.

תחומי האחריות של המשתמשים

• שימוש ב-Notion בהתאם לתנאים ולמדיניות תוכן ושימוש, ווידוא שגם השימוש של אחרים ב-Notion במסגרת המינוי עומד בדרישות אלה.

• וידוא שנתוני לקוח המאוחסנים ב-Notion, משותפים ממנה או מפורסמים דרכה עומדים בדרישות המדיניות האלה והדין החל.

• פיקוח על נתוני לקוח שהוסיפו אחרים, כאשר המשתמשים מפיצים באמצעות Notion נתוני לקוח שנוצרו על ידי משתמשים.

• שימוש ב-Notion במסגרת הקיבולת המיועדת לה, ואי-ניסיון לעקוף את בקרות האבטחה שלה, לגרום להשבתתן או לשבש את פעולתן.

• ביצוע כל בדיקת אבטחה של Notion אך ורק דרך תוכנית גילוי הפגיעויות של Notion ובמסגרת התנאים שלה.

• שימוש בערוצי תמיכה ודיווח בתום לב.