Model Tanggung Jawab Bersama

Model Tanggung Jawab Bersama ini memastikan bahwa Notion dan Pelanggannya bekerja sama untuk menciptakan pengalaman Ruang Kerja yang aman dan efektif.

Silakan lihat MSA dan DPA Notion untuk mengetahui definisi istilah.

Notion adalah satu ruang untuk berpikir, menulis, dan merencanakan. Di ruang serba ada ini, pengguna dapat membuat alat sendiri agar bisa bekerja sebaik mungkin. Pengguna mempercayakan informasi pekerjaan dan pribadi mereka kepada Notion. Melalui Koneksi dan fitur AI, mereka juga memberi Notion akses ke informasi di sistem lain.

Model Tanggung Jawab Bersama (SRM) adalah kerangka kerja yang membagi tanggung jawab antara penyedia layanan dan penggunanya. Model ini menjelaskan tugas keamanan dan operasional yang menjadi tanggung jawab masing-masing pihak.

Dokumen ini menjelaskan tanggung jawab bersama Notion dan Pelanggannya dalam melindungi sistem, akun pengguna, dan Ruang Kerja Notion serta menjaga keamanannya.

SRM Notion menjelaskan proses, operasi, atau kontrol yang menjadi tanggung jawab Notion dan Pelanggannya. Dengan begitu, Notion dapat berfokus pada perlindungan kerahasiaan, integritas, dan ketersediaan sistemnya. SRM juga menjelaskan hal-hal yang lebih tepat ditangani Pelanggan untuk mengamankan akun, Ruang Kerja, dan Data Pelanggan mereka. Pembagian ini membantu meningkatkan keamanan dan efisiensi dalam melindungi sistem dan akun Notion.

SRM juga menjelaskan secara transparan cara Layanan Notion diberikan. Informasi ini membantu Pelanggan menilai Notion melalui proses risiko dan penjaminan mereka sendiri. SRM juga membantu Notion dan Pelanggannya memenuhi kewajiban masing-masing berdasarkan peraturan lokal, regional, nasional, dan internasional yang berlaku.

Singkatnya: Notion bertanggung jawab untuk membangun, mengoperasikan, dan melindungi arsitektur Layanan Notion. Pelanggan bertanggung jawab atas cara mereka mengonfigurasi dan menggunakan Layanan tersebut, termasuk melindungi kredensial mereka, mengelola siapa yang memiliki akses ke Ruang Kerja dan Data Pelanggan mereka, serta mematuhi Kebijakan Konten & Penggunaan dan Ketentuan relevan lainnya.

Beberapa tanggung jawab dalam dokumen ini hanya dapat dijalankan oleh Pelanggan yang memiliki izin tingkat tinggi di ruang kerja atau organisasi. Pengguna bertanggung jawab untuk memberikan izin tersebut dengan tepat.

Alat yang tersedia untuk memenuhi tanggung jawab tertentu berbeda menurut paket. Jika suatu kemampuan hanya tersedia pada Paket Berlangganan tertentu, Pelanggan dengan paket yang tidak menyediakannya tetap bertanggung jawab atas hasil yang dimaksud dan perlu mempertimbangkan kontrol alternatif.

Notion menyediakan metode autentikasi dan kontrol administratif yang mengatur bagaimana orang masuk ke Notion serta bagaimana akses ke ruang kerja diberikan dan dicabut. Pelanggan bertanggung jawab untuk memilih dan mengonfigurasi kontrol yang sesuai untuk organisasi mereka, serta untuk melindungi kredensial yang digunakan untuk mengakses akun mereka.

Tanggung Jawab Notion

• Menyediakan dan mengoperasikan metode autentikasi, termasuk email dan kata sandi, masuk dengan Google dan Apple, serta akses masuk tunggal SAML 2.0 untuk ruang kerja pada paket Business dan Enterprise plan.

• Menyediakan autentikasi dua faktor untuk akun yang masuk dengan kata sandi, menggunakan aplikasi autentikator atau kode pesan teks.

• Menyediakan API SCIM yang memungkinkan organisasi Enterprise untuk mengotomatiskan pembuatan, pembaruan, dan penghapusan Pengguna dari penyedia identitas mereka.

• Menyediakan kontrol administratif yang mengatur durasi sesi, logout paksa, pengaturan ulang kata sandi, penangguhan akun, dan verifikasi domain.

• Memerlukan bukti kepemilikan domain yang telah diverifikasi sebelum domain dapat digunakan untuk mengontrol cara penggunanya masuk ke Notion.

• Mencabut akses pengguna ke Data Pelanggan saat pengguna tersebut dihapus dari ruang kerja. Menyediakan kontrol yang memungkinkan organisasi untuk mengakhiri sesi dan mengatur ulang kredensial di seluruh basis pengguna yang dikelolanya.

• Memelihara kontrol akses dengan hak istimewa minimum di seluruh infrastruktur Notion sendiri, dan mengharuskan karyawan serta kontraktor Notion untuk terikat oleh kewajiban kerahasiaan.

• Mengakses Data Pelanggan untuk tujuan dukungan hanya jika pengguna atau pemilik ruang kerja telah memberikan persetujuan, dan mengakhiri persetujuan tersebut secara otomatis setelah periode yang ditentukan.

Tanggung Jawab Pengguna

• Melindungi kredensial masuk, menggunakan kata sandi yang kuat dan unik, serta menghindari penggunaan kembali di layanan lain.

• Memelihara akun individu alih-alih akun bersama, dan tidak membagikan informasi masuk.

• Menggunakan autentikasi dua faktor pada akun yang masuk dengan kata sandi.

• Memperbarui kredensial sesuai dengan kebijakan internal, dan segera jika pelanggaran kredensial eksternal teridentifikasi.

• Memilih dan mengonfigurasi metode autentikasi yang sesuai untuk organisasi, termasuk apakah akses masuk tunggal (single sign-on) diberlakukan.

• Memastikan akses ruang kerja hanya diberikan kepada Pengguna yang dituju dan segera dicabut ketika seseorang keluar atau berganti peran. Penghentian penyediaan akses secara otomatis memerlukan SCIM; jika SCIM tidak digunakan, akses harus dicabut secara manual.

• Mengatur durasi sesi sesuai dengan kebijakan internal, dan memelihara prosedur pemulihan untuk kehilangan akses ke penyedia identitas.

• Mengontrol apakah dukungan Notion dapat mengakses akun atau ruang kerja, dan mencabut akses tersebut jika tidak lagi diperlukan.

Notion menyediakan model izin yang menentukan apa yang dapat dilihat dan dilakukan oleh pengguna yang terautentikasi, beserta kontrol administratif yang menetapkan batasan untuk berbagi. Pelanggan bertanggung jawab untuk memutuskan bagaimana model tersebut diterapkan pada Data Pelanggan mereka, dan untuk meninjau akses yang dihasilkan.

Tanggung Jawab Notion

• Menyediakan model izin yang beroperasi di tingkat ruang kerja, Ruang tim, halaman, dan database, termasuk grup izin, dan menerapkannya secara konsisten di seluruh produk.

• Menyediakan akses yang berbeda untuk anggota dan tamu, sehingga kolaborator eksternal dapat diberikan akses ke Data Pelanggan tertentu, bukan ke seluruh ruang kerja.

• Menyediakan kontrol administratif yang memungkinkan organisasi untuk membatasi berbagi halaman publik, akses tamu, Ekspor, serta pemindahan atau duplikasi halaman ke ruang kerja lain.

• Menyediakan kontrol yang mengatur siapa yang dapat memublikasikan Data Pelanggan ke web, termasuk Notion Sites, Forms, dan tautan publik.

• Menyediakan alat visibilitas yang memungkinkan organisasi untuk mengidentifikasi siapa yang memiliki akses ke suatu halaman, halaman mana yang dibagikan secara eksternal atau dipublikasikan ke web, serta untuk mengubah izin tersebut.

• Menghormati izin ruang kerja yang telah dikonfigurasi saat menyediakan fitur AI dan pencarian.

Tanggung Jawab Pengguna

• Menentukan tingkat akses yang sesuai untuk Data Pelanggan, dan menerapkan izin yang sesuai.

• Memutuskan apakah kolaborasi eksternal dan publikasi publik diizinkan, serta mengonfigurasi kontrol yang tersedia untuk mencerminkan keputusan tersebut.

• Memahami cara akses diwariskan. Secara bawaan, akses ke suatu halaman juga berlaku untuk halaman yang dibuat sebagai subhalamannya. Jika akses diberikan melalui beberapa jalur, tingkat akses tertinggi yang berlaku.

• Meninjau akses secara berkala, termasuk anggota ruang kerja, tamu, grup izin, Data Pelanggan yang dibagikan secara eksternal, dan Data Pelanggan yang dipublikasikan ke web.

• Menghapus akses ke Data Pelanggan ketika keterlibatan kolaborator berakhir, termasuk tamu dan kolaborator eksternal yang aksesnya tidak dikelola melalui penyedia identitas organisasi.

• Memastikan Data Pelanggan yang dipublikasikan ke web ditujukan untuk audiens publik, dan mengonfigurasi opsi seperti pengindeksan mesin pencari dengan tepat.

• Mentransfer Data Pelanggan yang disimpan secara pribadi oleh pengguna sebelum pengguna tersebut pergi, atau dalam jangka waktu terbatas saat transfer masih dimungkinkan. Setelah jangka waktu tersebut, Data Pelanggan pribadi umumnya tidak dapat dipulihkan, dan alat transfer hanya tersedia pada Enterprise plan.

Notion menyimpan dan memproses Data Pelanggan atas nama Pelanggannya dan melindunginya saat dalam pengiriman maupun saat disimpan. Pelanggan menentukan data apa yang ditempatkan di Notion, berapa lama data tersebut disimpan, dan kewajiban hukum apa yang melekat padanya.

Tanggung Jawab Notion

• Memproses Data Pelanggan sesuai dengan Perjanjian Berlangganan Utama, Adendum Pemrosesan Data, dan hukum perlindungan data yang berlaku.

• Mengenkripsi Data Pelanggan saat disimpan menggunakan AES-256 atau algoritma standar industri dengan keamanan setara atau lebih kuat, termasuk dalam penyimpanan cloud, tabel database, dan cadangan, serta mengenkripsi data saat dikirim menggunakan TLS 1.2 atau yang lebih baru.

• Memelihara dan memublikasikan daftar subprosesor terkini.

• Menawarkan residensi data untuk kategori Data Pelanggan tertentu, sehingga organisasi yang memenuhi syarat dapat memilih wilayah tempat data tersebut disimpan.

• Tidak menggunakan Data Pelanggan untuk melatih model pembelajaran mesin Notion, serta melarang subprosesor AI melakukannya tanpa persetujuan tegas dari pelanggan melalui kontrak.

• Menyediakan fitur agar Pelanggan dapat menyimpan Data Pelanggan mereka serta menggunakan fitur Ekspor dan Hapus, lalu menghapus Data Pelanggan di akhir kontrak sesuai dengan perjanjian.

• Menyepakati Adendum Pemrosesan Data dan, jika berlaku, Business Associate Agreement dengan pelanggan yang memerlukannya.

Tanggung Jawab Pengguna

• Menentukan data yang sesuai untuk disimpan di Notion, dan memastikan bahwa data yang tunduk pada regulasi hanya disimpan jika perjanjian dan konfigurasi yang diperlukan telah tersedia.

• Menetapkan dan menerapkan praktik retensi, serta menghapus Data Pelanggan yang tidak lagi diperlukan.

• Mengonfigurasi pengaturan retensi dan penghapusan yang tersedia di produk agar mencerminkan kebijakan internal.

• Mengirimkan Data Akun yang lengkap dan akurat, serta memperbaikinya dengan segera jika ditemukan kesalahan.

• Memenuhi kewajiban yang menjadi tanggung jawab pengendali data pribadi yang disimpan di ruang kerja, termasuk memberikan informasi privasi kepada individu, menetapkan dasar hukum untuk pemrosesan, dan menanggapi permintaan subjek data terkait Data Pelanggan.

• Menentukan apakah wilayah residensi data tertentu diperlukan, memintanya jika diperlukan, dan memahami kategori data serta produk Notion mana yang berada di luar cakupan tersebut.

• Meninjau daftar subprosesor Notion.

Notion mengoperasikan infrastruktur yang menjaga Layanan tetap tersedia dan memelihara cadangan infrastruktur tersebut untuk tujuan pemulihan Layanan. Pelanggan bertanggung jawab untuk memulihkan Data Pelanggan mereka sendiri menggunakan alat yang disediakan Notion, dan untuk menyimpan salinan independen Data Pelanggan tersebut jika kewajiban mereka sendiri mengharuskannya.

Tanggung Jawab Notion

• Mengoperasikan Layanan Notion sesuai dengan komitmen ketersediaan yang ditetapkan dalam Ketentuan Tingkat Layanan, menggunakan infrastruktur redundan di beberapa zona ketersediaan.

• Mempublikasikan status operasional Layanan.

• Memelihara cadangan Data Pelanggan yang otomatis, terenkripsi, dan terpantau.

• Menyimpan cadangan sesuai dengan pemetaan wilayah cadangan yang dipublikasikan Notion untuk wilayah residensi data yang dipilih. Residensi data hanya berlaku untuk kategori Data Pelanggan yang ditentukan.

• Memelihara dan menguji secara berkala rencana pemulihan bencana dan kelangsungan bisnis.

• Menyediakan alat pemulihan dalam produk, termasuk Tempat Sampah dan riwayat versi, yang memungkinkan Pelanggan untuk memulihkan Data Pelanggan sendiri.

• Menyediakan fitur ekspor agar Pelanggan dapat memperoleh salinan Data Pelanggan mereka.

Tanggung jawab pengguna

• Memulihkan halaman individu dan Data Pelanggan menggunakan Tempat Sampah dan riwayat versi, dalam periode retensi yang berlaku untuk paket Pengguna.

• Mengonfigurasi pengaturan retensi Data Pelanggan, jika tersedia, agar mencerminkan kebijakan internal.

• Memelihara salinan independen Data Pelanggan jika kebijakan internal, komitmen kontraktual, atau regulasi mengharuskan retensi di luar apa yang disediakan produk, atau mengharuskan salinan disimpan di luar Notion.

• Melakukan ekspor sesuai jadwal yang memenuhi persyaratan tersebut dan memastikan hasilnya lengkap. Data Pelanggan yang tidak dapat diakses oleh akun yang melakukan ekspor tidak disertakan dalam hasil ekspor.

• Mengambil hasil ekspor selama tautan Unduh masih berlaku.

• Merencanakan kemungkinan ketidaktersediaan layanan sebagai bagian dari pengaturan kelangsungan bisnis Pengguna sendiri.

Apa yang termasuk cadangan Notion dan apa yang tidak

Cadangan Notion digunakan untuk memulihkan Layanan Notion. Cadangan ini bukan titik pemulihan yang tersedia bagi Pelanggan dan tidak dapat digunakan untuk mengembalikan ruang kerja ke kondisi pada waktu tertentu. Pelanggan dapat memulihkan Data Pelanggan tertentu melalui Tempat Sampah dan riwayat versi. Setelah masa penyimpanan di Tempat Sampah dan periode retensi yang berlaku berakhir, Data Pelanggan dihapus dan tidak dapat dipulihkan. Pelanggan tidak boleh mengandalkan dukungan sebagai cara untuk menyimpan data.

Ekspor menghasilkan salinan Data Pelanggan yang portabel dalam format seperti HTML, Markdown, CSV, atau PDF, tergantung pada jenis ekspor dan paket. Ini bukan cadangan lengkap ruang kerja: mengimpor Data Pelanggan yang diekspor tidak akan membuat ulang izin, pengaturan, atau konfigurasi lengkap ruang kerja, dan mungkin memerlukan penataan ulang secara manual.

Notion membuat catatan aktivitas yang relevan di dalam ruang kerja dan menyediakannya bagi organisasi. Pelanggan bertanggung jawab untuk meninjau catatan tersebut, menyimpannya jika diperlukan, dan menindaklanjuti temuan dalam catatan tersebut.

Tanggung jawab Notion

• Mencatat acara terkait keamanan dan keselamatan yang terjadi di seluruh ruang kerja organisasi, termasuk pelaku, tindakan, waktu, dan, jika tersedia, alamat IP.

• Menyimpan riwayat log audit di dalam produk untuk periode yang ditentukan, serta menyediakan mekanisme ekspor dan streaming agar Pelanggan dapat menyimpannya lebih lama.

• Menyediakan sarana untuk melakukan streaming acara ke platform pemantauan keamanan milik Pengguna sendiri secara real-time, dan mendukung koneksi ke alat pencegahan kehilangan data.

• Memantau infrastruktur, jaringan, dan sistem Notion sendiri untuk aktivitas berbahaya, serta memelihara pencatatan internal untuk sistem tersebut.

Tanggung jawab pengguna

• Meninjau aktivitas log audit, serta menyelidiki dan menindaklanjuti aktivitas yang tampak tidak terduga atau tidak sah.

• Menyimpan data log selama periode yang disyaratkan oleh kebijakan internal atau peraturan yang berlaku bagi Pelanggan, dengan mengekspor atau melakukan streaming acara sebelum data tersebut melewati batas periode retensi.

• Mengonfigurasi pemantauan, peringatan, dan koneksi keamanan atau kepatuhan apa pun di lingkungan Pengguna sendiri, serta memastikan integrasi tersebut tetap beroperasi.

• Menentukan apa yang dimaksud dengan aktivitas mencurigakan dalam konteks organisasi, dan menetapkan tanggung jawab untuk meninjaunya.

• Melaporkan aktivitas mencurigakan kepada Notion jika aktivitas tersebut mungkin menandakan bahwa Layanan telah disusupi.

Apa yang dicakup dan tidak dicakup oleh log audit

Log audit mencatat acara. Entri log dan payload yang dialirkan menjelaskan tindakan yang dilakukan dan siapa yang melakukannya; entri dan payload tersebut tidak berisi Data Pelanggan dari halaman.

Pencatatan log audit dimulai saat organisasi memenuhi syarat untuk fitur tersebut. Aktivitas yang terjadi sebelumnya tidak tersedia secara retrospektif.

Notion mengembangkan, mengoperasikan, dan memelihara Layanan Notion serta infrastruktur tempat Layanan tersebut berjalan, termasuk mengamankan dan menambal infrastruktur tersebut. Pelanggan bertanggung jawab atas lingkungan tempat mereka mengakses Notion.

Tanggung jawab Notion

• Mengembangkan, menguji, menambal, dan memelihara aplikasi Notion serta infrastruktur yang mendukungnya. Pembaruan pada Layanan diterapkan oleh Notion dan tidak memerlukan tindakan apa pun dari Pelanggan.

• Melakukan pemodelan ancaman dan peninjauan keamanan desain untuk rilis baru, serta melakukan audit kode, peninjauan kode, dan pemindaian keamanan basis kode.

• Menugaskan pihak independen untuk melakukan pengujian penetrasi tahunan.

• Menerapkan dan mengelola keamanan jaringan di seluruh sistem Notion.

• Memantau infrastruktur, jaringan, dan aset Notion untuk mendeteksi aktivitas berbahaya.

• Mengelola program pengungkapan kerentanan publik dan menugaskan pihak independen untuk melakukan pengujian penetrasi.

• Mengamankan sistem perusahaan dan perangkat karyawan Notion sendiri, termasuk enkripsi data tersimpan, deteksi dan respons titik akhir, serta manajemen perangkat terpusat.

• Menerbitkan aplikasi klien Notion dan menyediakan pembaruan untuk aplikasi tersebut.

Tanggung jawab pengguna

• Memelihara lingkungan titik akhir yang didukung dan ditambal dengan tepat, termasuk peramban web, dan kontrol apa pun yang dapat mencegah pembaruan klien Notion.

• Mengamankan perangkat dan jaringan yang digunakan untuk mengakses Notion, sejalan dengan standar keamanan titik akhir milik Pengguna sendiri.

• Jika pembaruan klien Notion dikelola secara terpusat, memastikan pembaruan terus diterapkan tepat waktu. Menunda atau menonaktifkan pembaruan otomatis mengalihkan tanggung jawab untuk menambal klien tepat waktu kepada Pengguna.

• Memastikan konfigurasi instalasi tidak mencegah Pengguna menerima pembaruan.

• Melaporkan dugaan kerentanan dalam Layanan Notion kepada Notion alih-alih mengeksploitasi atau mengungkapkannya secara publik.

Di mana letak batasnya

Notion menambal Layanan Notion. Pelanggan tidak menerapkan tambalan ke Notion, dan tidak ada tindakan pelanggan yang diperlukan untuk pembaruan sisi server.

Aplikasi klien berbeda. Notion menerbitkan pembaruan, tetapi apakah perangkat tertentu menerimanya bergantung pada bagaimana perangkat tersebut dikonfigurasi dan dikelola. Jika suatu organisasi mengelola perilaku instalasi atau pembaruan, menjaga klien tetap terkini adalah tanggung jawab organisasi tersebut.

Notion menyediakan API, platform integrasi, dan fitur AI yang dapat memproses Data Pelanggan dan mengakses sistem yang terhubung. Pelanggan bertanggung jawab untuk memutuskan mana di antaranya yang akan diaktifkan, akses apa yang akan diberikan, dan bagaimana semuanya akan diatur.

Tanggung jawab Notion

• Menyediakan dan memelihara API Notion, platform integrasi, koneksi, dan fitur AI.

• Mengikuti izin pengguna di Notion AI, Notion Agent, dan AI Connectors. Agent Kustom menggunakan izin yang secara khusus diberikan kepada mereka. Izin ini mungkin berbeda dari izin orang yang berinteraksi dengan agent tersebut.

• Menyediakan kontrol administratif yang mengatur integrasi dan alat AI eksternal mana yang boleh diinstal, agen mana yang boleh dibuat, dan apakah fitur AI diaktifkan.

• Menyediakan kontrol untuk mengaktifkan atau menonaktifkan pencarian web AI dan mewajibkan konfirmasi sebelum mengirim permintaan ke web eksternal.

• Memelihara pertahanan yang dirancang untuk mendeteksi dan mengurangi risiko injeksi prompt, termasuk deteksi instruksi tersembunyi dalam konten pihak ketiga dan file yang diunggah, pembatasan penanganan tautan, dan pemeriksaan tambahan saat agen bertindak secara otonom.

• Tidak menggunakan Data Pelanggan untuk melatih model Notion, dan secara kontraktual melarang subprosesor AI melakukannya tanpa persetujuan eksplisit pelanggan.

• Mencatat aktivitas integrasi, koneksi, agen, dan alat AI eksternal dalam log audit.

Tanggung jawab pengguna

• Memutuskan integrasi, koneksi, fitur AI, dan agen mana yang sesuai untuk organisasi, serta mengonfigurasi kontrol yang tersedia untuk mencerminkan keputusan tersebut.

• Meninjau akses dan kemampuan yang diminta oleh integrasi atau koneksi sebelum mengotorisasinya, dan mengonfirmasi bahwa layanan pihak ketiga memenuhi persyaratan vendor Pengguna sendiri.

• Mengelola token integrasi internal, termasuk membatasi distribusinya, merotasinya, dan mencabut token yang tidak lagi diperlukan.

• Mengatur pembuatan dan konfigurasi agen, termasuk Data Pelanggan dan alat terhubung apa yang dapat dijangkau oleh setiap agen, serta meninjau akses tersebut secara berkala.

• Pelanggan harus memastikan bahwa izin agen dibatasi dengan tepat.

• Menentukan apakah model yang menyimpan data dapat diaktifkan untuk fitur yang memerlukannya.

• Memastikan Data Pelanggan yang disediakan untuk Notion melalui sistem yang terhubung sudah sesuai untuk tujuan tersebut, dan bahwa akses yang diberikan dalam sistem yang terhubung itu sendiri telah dibatasi dengan benar.

• Memberi tahu Pengguna bahwa Data Pelanggan yang berasal dari luar Ruang Kerja, termasuk halaman web dan file yang diunggah, dapat mencoba memengaruhi perilaku AI.

Apa yang harus dipahami Pelanggan tentang data yang terhubung

Akses yang diberikan melalui koneksi dibatasi oleh izin yang diberikan di sistem yang terhubung. Notion menerapkan izin yang dilaporkan oleh sistem yang terhubung, tetapi tidak memperbaiki izin di sistem sumber yang terlalu luas.

Perubahan izin dalam sistem yang terhubung tercermin di Notion setelah interval sinkronisasi, bukan seketika, dan Data Pelanggan yang baru ditambahkan atau dihapus mungkin memerlukan waktu untuk muncul atau menjadi tidak tersedia.

Notion bertanggung jawab atas keamanan layanan Notion dan untuk memberi tahu pelanggan jika suatu insiden memengaruhi Data Pelanggan mereka. Pelanggan bertanggung jawab atas cara mereka menanggapi insiden yang melibatkan akun, Ruang Kerja, dan Data Pelanggan mereka sendiri, termasuk pemberitahuan apa pun yang wajib mereka buat.

Tanggung jawab Notion

• Memelihara rencana respons insiden yang terdokumentasi dan mengujinya secara berkala.

• Mendeteksi, melakukan triase, menyelidiki, membatasi dampak, dan menanggulangi insiden keamanan yang memengaruhi sistem Notion dan Data Pelanggan yang disimpan Notion.

• Memberi tahu pelanggan yang terdampak mengenai insiden keamanan sesuai dengan Adendum Pemrosesan Data dan hukum yang berlaku.

• Melakukan tinjauan pascainsiden, termasuk analisis akar penyebab, dan menerapkan temuan tersebut pada kontrol dan rencana respons Notion.

• Mempublikasikan status operasional layanan dan mengomunikasikan insiden ketersediaan.

• Menjalankan program pengungkapan kerentanan serta melakukan triase dan memperbaiki kerentanan yang dilaporkan.

Tanggung jawab Pengguna

• Melaporkan dugaan insiden keamanan, akun yang disusupi, dugaan kerentanan, dan penyalahgunaan layanan kepada Notion dengan segera, melalui saluran yang sesuai.

• Mendeteksi dan menanggapi insiden yang terjadi di dalam Ruang Kerja dan akun Pengguna sendiri, termasuk kredensial yang disusupi, pembagian akses yang tidak semestinya, dan penyalahgunaan oleh Pengguna internal.

• Memelihara pengaturan respons insiden Pengguna sendiri, dan menentukan siapa yang bertanggung jawab untuk menindaklanjuti aktivitas yang teridentifikasi di Notion.

• Mengambil langkah pembatasan yang tersedia di dalam produk, termasuk menghapus akses, mencabut sesi, mengatur ulang kredensial, mencabut token integrasi, dan menarik Data Pelanggan yang telah dipublikasikan.

• Menjaga bukti yang relevan, termasuk mengekspor catatan log audit sebelum melewati batas periode retensi.

• Menentukan apakah suatu insiden memicu kewajiban notifikasi yang harus dipenuhi oleh Pengguna kepada regulator, pelanggan, atau individu yang terdampak, dan melakukan notifikasi tersebut.

• Menjaga detail kontak administratif dan keamanan tetap terkini, agar notifikasi dari Notion sampai ke orang yang tepat.

• Melaporkan kerentanan yang dicurigai kepada Notion alih-alih mengeksploitasinya atau mengungkapkannya secara publik.

Pihak mana yang mendeteksi apa

Notion memantau infrastrukturnya sendiri dan dapat mendeteksi insiden yang memengaruhi Layanan. Notion tidak dapat menentukan apakah tindakan di ruang kerja yang sebenarnya valid telah diotorisasi berdasarkan kebijakan internal Pengguna. Pelanggan bertanggung jawab untuk memantau aktivitas ruang kerja dan menanggapi penyalahgunaan.

Ini mencakup insiden seperti anggota yang memublikasikan Data Pelanggan yang bersifat rahasia, karyawan yang akan keluar mengekspor data, atau kredensial yang disalahgunakan oleh pemegang sahnya. Mendeteksi dan menanggapi peristiwa ini bergantung pada tinjauan Pengguna terhadap catatan aktivitas dan kontrol yang tersedia bagi mereka.

Notion memelihara program keamanan informasi dan privasi yang diaudit secara independen, serta menyediakan dokumentasi yang dihasilkan. Pelanggan menentukan apakah Notion sesuai untuk kewajiban regulasi mereka sendiri dan mengonfigurasinya sebagaimana mestinya.

Tanggung jawab Notion

• Memelihara program keamanan dan privasi yang dinilai secara independen sesuai dengan siklus audit dan sertifikasi yang berlaku.

• Menyediakan dokumentasi kepatuhan, termasuk laporan audit dan sertifikasi, kepada pelanggan dan calon pelanggan melalui Notion Trust Center.

Tanggung jawab Pengguna

• Menentukan apakah Notion sesuai untuk data yang ingin disimpan oleh Pengguna dan kewajiban regulasi yang berlaku bagi mereka.

• Membuat perjanjian yang diperlukan untuk penggunaan tersebut, termasuk Adendum Pemrosesan Data atau Business Associate Agreement jika berlaku.

• Menerapkan konfigurasi yang disyaratkan oleh perjanjian tersebut, termasuk mengaktifkan pengaturan khusus kepatuhan dan fitur keamanan yang diperlukan agar pengaturan itu berfungsi.

• Menyelesaikan penilaian Pengguna sendiri, termasuk penilaian risiko vendor dan penilaian dampak perlindungan data apa pun yang disyaratkan oleh hukum.

• Meninjau sertifikasi, laporan audit, dan daftar subprosesor Notion sebagai bagian dari proses jaminan dan manajemen perubahan Pengguna sendiri.

• Menunjukkan kepada auditor dan regulator Pengguna sendiri bahwa konfigurasi dan penggunaan Notion oleh Pengguna memenuhi kewajiban yang berlaku bagi mereka.

Apa yang dicakup oleh sertifikasi

Sertifikasi pihak ketiga independen dan laporan audit Notion mencakup kontrol yang dijalankan Notion. Sertifikasi dan laporan tersebut tidak mencakup cara setiap organisasi mengonfigurasi atau menggunakan Notion.

Ruang Kerja yang menyimpan data yang tunduk pada regulasi tidak serta-merta patuh hanya karena Notion memiliki sertifikasi. Jika suatu kewajiban bergantung pada konfigurasi, seperti membatasi berbagi, menerapkan akses masuk tunggal, menyimpan catatan audit, atau membatasi tempat penyimpanan data, pemenuhannya tetap menjadi tanggung jawab Pengguna.

Notion menetapkan ketentuan penggunaan layanan dan menegakkannya. Pelanggan bertanggung jawab atas penggunaan Notion mereka sendiri dan atas Data Pelanggan yang disimpan di Ruang Kerja mereka.

Tanggung jawab Notion

• Menerbitkan dan memelihara Kebijakan Konten & Penggunaan, Ketentuan yang relevan, serta kebijakan terkait.

• Menyediakan mekanisme bagi siapa pun yang melihat halaman Notion publik untuk melaporkan Data Pelanggan yang mereka yakini dilarang.

• Menyelidiki laporan, serta menghapus Data Pelanggan atau membatasi akses jika ditemukan pelanggaran.

• Menerapkan pengawasan tambahan pada kategori penggunaan yang terkait dengan tingkat penyalahgunaan yang lebih tinggi, serta menangguhkan atau menghentikan akses jika diperlukan untuk melindungi ketersediaan Layanan.

Tanggung jawab Pengguna

• Menggunakan Notion sesuai dengan Ketentuan dan Kebijakan Konten & Penggunaan, serta memastikan bahwa orang yang menggunakan Notion di bawah langganan Pengguna melakukan hal yang sama.

• Memastikan bahwa Data Pelanggan yang disimpan di, dibagikan dari, atau dipublikasikan melalui Notion mematuhi kebijakan tersebut dan hukum yang berlaku.

• Memoderasi Data Pelanggan yang dikontribusikan oleh pihak lain jika Pengguna mendistribusikan Data Pelanggan buatan pengguna melalui Notion.

• Menggunakan Notion sesuai kapasitas yang dimaksudkan, serta tidak mencoba untuk mengakali, menonaktifkan, atau mengganggu kontrol keamanannya.

• Melakukan pengujian keamanan Notion hanya melalui program pengungkapan kerentanan Notion dan sesuai ketentuannya.

• Menggunakan saluran dukungan dan pelaporan dengan itikad baik.