責任共有モデル

この共有責任モデルにより、Notionとお客様が協力して、安全で効果的なワークスペース体験を実現できます。

定義用語については、NotionのMSAおよびDPAを参照してください。

Notionは、思考し、文章を書き、計画を立てるためのひとつの場所です。ユーザーが最高の仕事をするためのツールを自ら構築できるオールインワンの場所であるNotionには、仕事上や個人の情報が託されています。また、ユーザーはコネクションやAI機能を通じて、他のシステムに保存された情報へのアクセスもNotionに委ねています。

共有責任モデル（SRM）とは、サービスプロバイダーとユーザーとの間での責任分担を示す枠組みです。セキュリティや運用に関する各タスクをどちらが担当するかを明確に定義します。

本書では、Notionのシステム、ユーザーアカウント、およびワークスペースを保護し、そのセキュリティを維持するうえで、Notionとお客様が分担する責任の概要を説明します。

NotionのSRMは、特定のプロセス、運用、管理策について、Notionとお客様のどちらが責任を負うかを明確にします。これにより、Notionは、Notionのシステムの機密性、完全性、可用性を最も効果的に保護できる領域に注力し、責任を負うことができます。同時に、お客様自身がアカウント、ワークスペース、顧客データを保護するのに適した領域も明確になります。全体として、Notionのシステムとアカウントを保護するうえでのセキュリティと効率性が向上します。

また、SRMはNotionのサービスの提供方法に関する透明性を高め、お客様が自社のリスク評価および保証プロセスの中でNotionを評価するために必要な情報を提供します。さらに、適用される地方、地域、国、国際レベルの規制に基づき、Notionとお客様の双方がそれぞれの義務を果たせるよう支援します。

要約すると、NotionはNotionサービスのアーキテクチャの構築、運用、保護に責任を負います。お客様は、認証情報の保護、ワークスペースや顧客データへのアクセス権の管理、Content & Use policy（コンテンツと利用に関するポリシー）やその他の関連するTerms（利用規約）の遵守を含め、そのサービスの設定と利用について責任を負います。

本書で説明されている責任の一部は、ワークスペースまたは組織内で高い権限を持つお客様のみが実行できます。それらの権限を適切に割り当てることは、ユーザーの責任です。

特定の責任を果たすために利用可能なツールは、プランによって異なります。特定の機能が特定のサブスクリプションプランに限定されている場合、その機能を利用できないサブスクリプションプランをご利用のお客様も、本来達成すべき結果に対して引き続き責任を負うものとし、代替の管理策を検討する必要があります。

Notionは、ユーザーのNotionへのサインイン方法や、ワークスペースへのアクセス権の付与・削除を管理する認証方法と管理機能を提供します。顧客は、組織に適した管理機能を選択・設定し、アカウントへのアクセスに使用する認証情報を保護する責任を負います。

Notionの責任範囲

• メールとパスワード、GoogleおよびAppleサインイン、ビジネスプランおよびエンタープライズプランのワークスペース向けのSAML 2.0シングルサインオンなど、認証方法を提供および運用する。

• パスワードでサインインするアカウントに対し、認証システムのアプリまたはテキストメッセージで届くコードを使った二要素認証を提供する。

• エンタープライズプランを利用する組織が、IDプロバイダーを通じてユーザーの作成、更新、削除を自動化できるようにするSCIM APIを提供する。

• セッション時間、強制ログアウト、パスワードリセット、アカウント停止、ドメイン検証を管理するための管理機能を提供する。

• ドメインを使ってそのドメインのユーザーのNotionへのサインイン方法を制御するには、事前にドメインの所有権が確認されていることを必須とする。

• ユーザーがワークスペースから削除された場合、そのユーザーの顧客データへのアクセス権を取り消すこと。組織が管理するすべてのユーザーのセッションを終了し、認証情報をリセットできる管理機能を提供すること。

• Notionのインフラ全体で最小権限のアクセス制御を維持し、Notionの従業員と業務委託先に守秘義務を課すこと。

• ユーザーまたはワークスペースオーナーが同意した場合にのみサポート目的で顧客データにアクセスし、所定の期間が経過した後にその同意が自動的に失効するようにすること。

ユーザーの責任範囲

• ログイン認証情報を保護し、強力で一意のパスワードを使用し、他のサービスでの再利用を避けること。

• 共有アカウントではなく個々のアカウントを維持し、ログイン情報を共有しないこと。

• パスワードでサインインするアカウントで二要素認証を使用すること。

• 社内ポリシーに従って、また外部での認証情報漏洩が確認された場合には速やかに、認証情報を更新すること。

• シングルサインオンを強制するかどうかを含め、組織に適した認証方法を選択および設定すること。

• ワークスペースへのアクセスを必要なユーザーだけに制限し、退職やロールの変更時にはアクセス権を速やかに削除すること。ユーザーの自動削除にはSCIMが必要で、SCIMを利用しない場合は手動で削除すること。

• 社内ポリシーに従ってセッション時間を設定し、IDプロバイダーへのアクセスが失われた場合の復旧手順を維持すること。

• Notionサポートがアカウントやワークスペースにアクセスできるかどうかを制御し、不要になった時点でそのアクセス権を取り消すこと。

Notionは、認証されたユーザーが閲覧・操作できる範囲を決める権限モデルと、共有範囲を設定する管理機能を提供します。顧客は、このモデルを顧客データにどう適用するかを決め、その結果として付与されるアクセス権をレビューする責任を負います。

Notionの責任範囲

• ワークスペース、チームスペース、ページ、データベースの各レベルで機能する権限モデル（権限グループを含む）を提供し、製品全体で一貫して適用すること。

• メンバーとゲストに異なるアクセス権を設け、外部の共同作業者にはワークスペース全体ではなく、特定の顧客データへのアクセス権を付与できるようにすること。

• 公開ページの共有、ゲストのアクセス、エクスポート、他のワークスペースへのページの移動や複製を組織が制限できる管理機能を提供すること。

• Notionサイト、フォーム、公開リンクなど、誰が顧客データをWebに公開できるかを管理するコントロールを提供すること。

• 組織が誰がページにアクセスできるか、どのページが外部に共有またはWebに公開されているかを特定し、それらの権限を変更できる可視化ツールを提供すること。

• AIおよび検索機能を提供する際は、設定されたワークスペースの権限を遵守すること。

ユーザーの責任範囲

• 顧客データへの適切なアクセスレベルを判断し、それに応じて権限を適用すること。

• 外部コラボレーションや公開を許可するかどうかを決定し、その決定を反映するように利用可能なコントロールを構成します。

• アクセスがどのように継承されるかを理解します。ページに付与されたアクセス権はデフォルトでそのページ内のネストされたページにも適用され、複数のルートを通じて付与されたアクセス権は、付与された最高レベルの権限に解決されます。

• ワークスペースメンバー、ゲスト、権限グループ、外部共有された顧客データ、Web公開された顧客データを含め、アクセス権を定期的にレビューします。

• ゲストや、組織のIDプロバイダーを通じてアクセスが管理されていない外部コラボレーターなど、コラボレーターの関与が終了した時点で顧客データへのアクセス権を削除します。

• Webに公開する顧客データが一般公開を意図したものであることを確認し、それに応じて「ネット検索を許可」などのオプションを設定します。

• ユーザーが退職する前、または転送が可能な限られた期間内に、そのユーザーがプライベートに保持している顧客データを転送します。その期間を過ぎると、プライベートな顧客データは通常復元できず、転送ツールはエンタープライズプランでのみ利用可能です。

Notionは顧客に代わって顧客データを保存・処理し、転送中および保存中のデータを保護します。どのようなデータをNotionに保存するか、どのくらいの期間保持するか、どのような法的義務が伴うかは、顧客が決定します。

Notionの責任範囲

• Master Subscription Agreement（マスターサブスクリプション契約）、Data Processing Addendum（データ処理補足条項）、および適用されるデータ保護法に従って顧客データを処理します。

• クラウドストレージ、データベーステーブル、バックアップを含め、保存中の顧客データをAES-256またはそれと同等以上のセキュリティを提供する業界標準のアルゴリズムを使用して暗号化し、転送中のデータはTLS 1.2以上を使用して暗号化します。

• サブプロセッサーの最新リストを維持および公開します。

• 特定のカテゴリの顧客データに対してデータレジデンシーを提供し、対象となる組織がそのデータの保存先となるリージョンを選択できるようにします。

• 顧客データをNotionの機械学習モデルのトレーニングには使用せず、顧客の明示的な同意なしにAIサブプロセッサーが顧客データをその目的に使用することを契約上禁止します。

• 顧客が顧客データをエクスポート、保持、削除できる機能を提供し、契約終了時には契約に従って顧客データを削除します。

• 必要とする顧客とはData Processing Addendum（データ処理補足条項）を締結し、該当する場合はBusiness Associate Agreement（業務提携者契約）も締結します。

ユーザーの責任範囲

• Notionに保存するのに適切なデータを判断し、規制対象データは必要な契約と構成が整っている場所にのみ保存されるようにします。

• データ保持に関する運用ルールを策定・適用し、不要になった顧客データを削除します。

• 社内ポリシーに合わせて、製品で利用できるデータの保持・削除設定を構成します。

• 完全かつ正確なアカウントデータを提出し、誤りが見つかった場合は速やかに修正します。

• ワークスペースに保存されている個人データの管理者として、個人へのプライバシー情報の提供、データ処理の適法な根拠の確立、顧客データに関するデータ主体からの請求への対応などの義務を果たします。

• 特定のデータレジデンシーリージョンが必要かどうかを判断し、必要な場合は申請します。また、対象外となるデータのカテゴリとNotion製品を把握します。

• Notionの サブプロセッサーのリストを確認します。

Notionは、サービスを継続的に利用可能にするインフラストラクチャを運用し、サービスを復旧する目的でそのインフラストラクチャのバックアップを維持します。顧客は、Notionが提供するツールを使用して自身の顧客データを復旧する責任を負い、自身の義務により必要な場合は、その顧客データの独立したコピーを保持する責任を負います。

Notionの責任範囲

• Service Level Terms（サービスレベル規約）に定められた可用性に関する約束に従い、複数のアベイラビリティゾーンにまたがる冗長化されたインフラストラクチャでNotionサービスを運用します。

• サービスの稼働状況を公開します。

• 顧客データのバックアップを自動で作成し、暗号化して監視します。

• 選択したデータレジデンシーリージョンについて、Notionの公開されているバックアップリージョンの対応表に従ってバックアップを保存します。データレジデンシーは、定義されたカテゴリの顧客データにのみ適用されます。

• 災害復旧計画と事業継続計画を維持し、定期的にテストします。

• ごみ箱やバージョン履歴など、顧客が自分で顧客データを復元できる製品内のツールを提供します。

• 顧客が顧客データのコピーを取得できるエクスポート機能を提供します。

ユーザーの責任範囲

• ユーザーのプランに適用される保持期間内に、ごみ箱やバージョン履歴を使って個々のページや顧客データを復元します。

• 顧客データの保持設定を利用できる場合は、社内ポリシーに合わせて設定します。

• 社内ポリシー、契約上の約束、または規制により、製品が提供する期間を超えてデータを保持する必要がある場合や、Notionの外部にコピーを保持する必要がある場合は、顧客データの別のコピーを維持します。

• それらの要件に適したスケジュールでエクスポートを作成し、必要なデータがすべて含まれていることを確認します。エクスポートに使用するアカウントがアクセスできない顧客データは、エクスポートに含まれません。

• ダウンロードリンクの有効期間内に、エクスポートしたデータを取得します。

• 自身の事業継続計画の一環として、サービスが利用できなくなる可能性に備えます。

Notionのバックアップでできること・できないこと

NotionのバックアップはNotionサービスの復旧を目的としています。顧客が利用できる復元ポイントではなく、ワークスペースを指定した時点の状態に戻すことはできません。個々の顧客データは、顧客自身がごみ箱やバージョン履歴を使って復元します。顧客データが該当するごみ箱の保存期間や保持期間を過ぎると、データは完全に削除され、復元できなくなります。データの保持手段としてサポートに頼らないでください。

エクスポートでは、エクスポートの種類やプランに応じて、HTML、マークダウン、CSV、PDFなどの形式で顧客データのポータブルなコピーが作成されます。これはワークスペースの完全なバックアップではありません。エクスポートされた顧客データをインポートしても、ワークスペースの元の権限、設定、または完全な構成は再現されず、手動での再構築が必要になる場合があります。

Notionは、ワークスペース内での関連するアクティビティの記録を生成し、組織が利用できるようにします。お客様は、それらの記録を確認し、必要に応じて保持し、記録が示す内容に基づいて行動する責任を負います。

Notionの責任範囲

• 組織のワークスペース全体で発生するセキュリティおよび安全性に関連するイベントを、実行者、アクション、時刻、および利用可能な場合はIPアドレスを含めて記録すること。

• 監査ログの履歴を製品内で一定期間保持し、お客様がより長く保持できるようにエクスポートおよびストリーミングのメカニズムを提供すること。

• イベントをユーザー自身のセキュリティ監視プラットフォームにリアルタイムでストリーミングする手段を提供し、データ損失防止ツールへの接続をサポートすること。

• Notion自身のインフラストラクチャ、ネットワーク、およびシステムを監視して悪意のあるアクティビティを検出し、それらのシステムの内部ログを維持すること。

ユーザーの責任範囲

• 監査ログのアクティビティを確認し、予期しない、または許可されていないと思われるアクティビティを調査して対応すること。

• 保持期間が過ぎる前にイベントをエクスポートまたはストリーミングすることで、お客様自身の内部ポリシーや規制で定められた期間、ログデータを保持すること。

• ユーザー自身の環境で監視、アラート、およびセキュリティやコンプライアンスに関するコネクトを設定し、それらのコネクトが確実に機能し続けるようにすること。

• 組織のコンテキストにおいて何が不審なアクティビティに該当するかを定義し、その確認を担当する者を割り当てること。

• サービスが侵害されたことを示している可能性がある場合、不審なアクティビティをNotionに報告すること。

監査ログでカバーされる範囲とされない範囲

監査ログはイベントを記録します。ログエントリとストリーミングされたペイロードには、誰がどのような操作を行ったかが記述されますが、ページ内の顧客データは含まれません。

監査ログの記録は、組織がこの機能を利用できるようになった時点から開始されます。それ以前に行われたアクティビティは、遡って確認することはできません。

Notionは、Notionサービスおよびその基盤となるインフラストラクチャの開発、運用、保守を行っており、これにはインフラストラクチャの保護とパッチ適用が含まれます。お客様は、Notionにアクセスする環境に対して責任を負います。

Notionの責任範囲

• Notionアプリケーションおよびそれをサポートするインフラストラクチャの開発、テスト、パッチ適用、保守を行うこと。サービスへのアップデートはNotionによって適用されるため、お客様側での操作は不要です。

• 新規リリースに向けて脅威モデリングとセキュアな設計レビューを実施し、コードベースの監査、コードレビュー、セキュリティスキャンを行うこと。

• 独立した第三者によるペネトレーションテストを毎年委託すること。

• Notionのシステム全体でネットワークセキュリティ対策を実施・管理すること。

• Notionのインフラストラクチャ、ネットワーク、資産を監視し、悪意のあるアクティビティを検知すること。

• 公開の脆弱性開示プログラムを運営し、独立した第三者によるペネトレーションテストを委託すること。

• 保存データの暗号化、エンドポイントでの脅威の検知と対応、デバイスの一元管理などを通じて、Notionの社内システムと従業員のデバイスを保護すること。

• Notionクライアントアプリケーションを公開し、アップデートを配信すること。

ユーザーの責任範囲

• Webブラウザを含むエンドポイント環境を、サポート対象かつ適切にパッチが適用された状態に維持し、Notionクライアントの更新を妨げる可能性のある設定にも対処すること。

• ユーザー自身のエンドポイントセキュリティ基準に沿って、Notionへのアクセスに使用するデバイスとネットワークを保護すること。

• Notionクライアントのアップデートを一元管理している場合は、アップデートが適時に適用されるようにすること。自動アップデートを延期または無効化した場合、クライアントに適時にパッチを適用する責任はユーザーが負います。

• インストール設定によってユーザーがアップデートを受け取れなくならないようにすること。

• Notionサービスに脆弱性の疑いがある場合は、悪用したり公開したりせず、Notionに報告すること。

責任分担の境界

NotionはNotionサービスにパッチを適用します。お客様がNotionにパッチを適用することはありません。また、サーバー側のアップデートに関して、お客様による操作は必要ありません。

クライアントアプリケーションは異なります。Notionはアップデートを公開しますが、各デバイスに届くかどうかは、そのデバイスの設定と管理方法によって決まります。組織がインストールやアップデートを管理する場合、クライアントを最新の状態に保つ責任はその組織が負います。

Notionは、顧客データに対して動作し、接続されたシステムにアクセスできるAPI、インテグレーションプラットフォーム、およびAI機能を提供します。これらを有効にするか、どのようなアクセス権を付与するか、またそれらをどのように管理するかを決定する責任はお客様にあります。

Notionの責任範囲

• Notion API、インテグレーションプラットフォーム、コネクト、AI機能を提供・維持すること。

• Notion AI、Notionエージェント、AI コネクターでユーザーの権限を守ること。カスタムエージェントは、明示的に付与された独自の権限を使用します。その権限は、エージェントを利用する人の権限とは異なる場合があります。

• インストール可能なインテグレーションや外部AIツール、作成可能なエージェント、AI機能の有効・無効を管理するための設定を提供すること。

• AIウェブ検索の有効・無効を切り替え、外部へのWebリクエスト前に確認を求めるための設定を提供すること。

• サードパーティのコンテンツやアップロードされたファイルに含まれる隠れた指示の検知、リンク処理の制限、エージェントが自律的に動作する場合の追加チェックなど、プロンプトインジェクションのリスクを検知・低減するための対策を維持すること。

• 顧客データをNotionのモデルの学習に使用せず、顧客の明示的な同意なしにAIサブプロセッサーが顧客データを学習に使用することを契約で禁止すること。

• インテグレーション、コネクト、エージェント、外部AIツールのアクティビティを監査ログに記録すること。

ユーザーの責任範囲

• どのインテグレーション、コネクト、AI機能、エージェントが組織に適しているかを判断し、その判断に応じて利用可能な設定を行うこと。

• インテグレーションやコネクトを承認する前に、それらが求めるアクセス権や機能を確認し、サードパーティのサービスがユーザー自身のベンダー要件を満たしていることを確かめること。

• 内部インテグレーション用トークンの配布制限、ローテーション、不要になったトークンの取り消しを含め、これらのトークンを管理すること。

• 各エージェントがアクセスできる顧客データと接続されたツールの範囲の設定、およびそのアクセス権の定期的な見直しを含め、エージェントの作成と設定を管理すること。

• 顧客は、エージェントの権限が適切な範囲に限定されていることを確認する必要があります。

• データを保持するモデルを必要とする機能について、そのモデルを有効にしてよいかどうかを判断すること。

• 接続されたシステムを通じてNotionで利用可能になる顧客データがその目的に適していること、および接続されたシステムで付与されたアクセス権自体が適切な範囲に限定されていることを確認すること。

• ウェブページやアップロードされたファイルなど、ワークスペース外から取り込まれた顧客データがAIの動作に影響を与えようとする可能性があることを、ユーザーに周知すること。

接続されたデータについて顧客が理解しておくべきこと

接続を通じたアクセス範囲は、接続先のシステムで付与された権限より狭くはなりません。Notionは接続先のシステムから報告された権限を適用しますが、元のシステムで過度に広く設定された権限を修正することはありません。

接続先のシステムにおける権限の変更は、即時ではなく、同期が行われた後にNotionに反映されます。また、新たに追加された顧客データが表示されたり、削除された顧客データが利用できなくなったりするまでに時間がかかる場合があります。

Notionは、Notionサービスのセキュリティ、およびインシデントが顧客データに影響を及ぼす場合の顧客への通知に責任を負います。顧客は、自身のアカウント、ワークスペース、顧客データに関わるインシデントへの対応について責任を負い、これには顧客に義務付けられた通知も含まれます。

Notionの責任範囲

• 文書化されたインシデント対応計画を維持し、定期的にテストすること。

• NotionのシステムおよびNotionが保持する顧客データに影響を及ぼすセキュリティインシデントを検知、トリアージ、調査、封じ込め、是正すること。

• Data Processing Addendum（データ処理補足条項）および適用法に従い、影響を受ける顧客にセキュリティインシデントを通知すること。

• 根本原因分析を含むインシデント後のレビューを実施し、その結果をNotionの管理策および対応計画に反映すること。

• サービスの稼働状況を公開し、可用性に関するインシデントを通知すること。

• 脆弱性開示プログラムを運用し、報告された脆弱性のトリアージと修正を行うこと。

ユーザーの責任範囲

• セキュリティインシデントの疑い、アカウントの侵害、脆弱性の疑い、およびサービスの不正利用について、適切なチャネルを通じて速やかにNotionに報告すること。

• 資格情報の侵害、不適切な共有、組織内のユーザーによる不正利用など、ユーザー自身のワークスペースおよびアカウント内で発生するインシデントを検知し、対応すること。

• ユーザー自身のインシデント対応体制を維持し、Notionで特定されたアクティビティへの対応責任者を定めること。

• アクセス権の削除、セッションの取り消し、資格情報のリセット、インテグレーショントークンの取り消し、公開された顧客データの取り下げなど、製品内で利用可能な封じ込め措置を講じること。

• 保持期間が過ぎる前に監査ログの記録をエクスポートするなど、関連する証拠を保全すること。

• インシデントによって、ユーザーに規制当局、顧客、または影響を受ける個人への通知義務が生じるかどうかを判断し、必要な通知を行うこと。

• Notionからの通知が適切な担当者に届くよう、管理およびセキュリティの連絡先情報を最新の状態に保つこと。

• 脆弱性が疑われる場合は、悪用したり公に開示したりせず、Notionに報告すること。

どの当事者が何を検知するか

NotionはNotionのインフラストラクチャを監視しており、サービスに影響を与えるインシデントを検知できます。ただし、形式上は有効なワークスペースでの操作が、ユーザーの内部ポリシーに基づいて承認されたものかどうかは判断できません。ワークスペースのアクティビティを監視し、不正利用に対応する責任は顧客にあります。

これには、メンバーが機密の顧客データを公開する、退職する従業員がデータをエクスポートする、または資格情報がその正当な保持者によって悪用されるといったインシデントが含まれます。これらのイベントの検知と対応は、ユーザーによるアクティビティ記録の確認と、ユーザーが利用可能な管理策に依存します。

Notionは、独立した監査を受けた情報セキュリティおよびプライバシープログラムを維持し、その結果得られる文書を提供しています。顧客は、Notionが自社の規制上の義務に対して適切かどうかを判断し、それに応じて設定を行う必要があります。

Notionの責任範囲

• 適用される監査および認定のサイクルに従い、独立した評価を受けたセキュリティおよびプライバシープログラムを維持すること。

• 監査レポートや認定に関する文書を含むコンプライアンス文書を、Notion Trust Centerを通じて顧客および見込み顧客が利用できるようにすること。

ユーザーの責任範囲

• ユーザーが保存しようとしているデータの保存先として、またユーザーに適用される規制上の義務を満たすうえで、Notionが適切かどうかを判断すること。

• 該当する場合はData Processing Addendum（データ処理補足条項）やBusiness Associate Agreement（ビジネスアソシエイト契約）を含め、その利用に必要な契約を締結すること。

• コンプライアンス固有の設定や、それらに必要なセキュリティ機能を有効にするなど、契約で求められる設定を適用すること。

• ベンダーリスク評価や法律で義務付けられているデータ保護影響評価など、ユーザー自身の評価を完了すること。

• ユーザー自身の保証および変更管理プロセスの一環として、Notionの認定、監査レポート、およびサブプロセッサリストをレビューすること。

• ユーザーによるNotionの設定と利用が、ユーザーに適用される義務を満たしていることを、ユーザー自身の監査人および規制当局に対して証明すること。

認定の対象範囲

Notionの独立した第三者による認定および監査レポートは、Notionが運用する管理策を対象としています。これらは、個々の組織によるNotionの設定や利用には適用されません。

規制対象データを保持するワークスペースは、Notionが認定を取得しているという理由だけで、適用される要件に準拠するわけではありません。共有の制限、シングルサインオンの適用、監査記録の保持、データの保存場所の制限など、設定に依存する義務を果たすことは、引き続きユーザーの責任です。

Notionはサービスの利用条件を定め、その遵守を徹底します。顧客は、自身によるNotionの利用と、ワークスペースに保持される顧客データに責任を負います。

Notionの責任範囲

• Content & Use Policy（コンテンツと利用に関するポリシー）、関連するTerms（利用規約）およびその他の関連ポリシーを公開・維持すること。

• 公開されているNotionページを閲覧する人なら誰でも、禁止されていると思われる顧客データを報告できる仕組みを提供すること。

• 報告を調査し、違反が確認された場合は、顧客データを削除するか、アクセスを制限すること。

• 不正利用の発生率が高い利用カテゴリに対してはより厳重な審査を行い、サービスの可用性を保護するために必要な場合は、アクセスを一時停止または終了すること。

ユーザーの責任範囲

• Terms（利用規約）およびContent & Use Policy（コンテンツと利用に関するポリシー）に従ってNotionを利用し、ユーザーのサブスクリプションでNotionを利用する人にもこれらを遵守させること。

• Notionに保存される、Notionから共有される、またはNotionを通じて公開される顧客データが、それらのポリシーおよび適用法に準拠していることを保証すること。

• ユーザーがユーザー生成の顧客データをNotionを通じて配布する場合、他者が投稿した顧客データをモデレートすること。

• Notionを想定された利用範囲内で使用し、そのセキュリティ対策を回避、無効化、または妨害しようとしないこと。

• Notionに対するセキュリティテストは、Notionの脆弱性開示プログラムを通じて、その規約の範囲内でのみ実施すること。

• サポート窓口および通報窓口を誠実に利用すること。