Gedeeld verantwoordelijkhedenmodel

Dit model voor gedeelde verantwoordelijkheden zorgt ervoor dat Notion en de klanten samenwerken aan een veilige en effectieve ervaring in de workspace.

Raadpleeg de MSA en DPA van Notion voor gedefinieerde termen.

Notion is één plek om te denken, schrijven en plannen. Gebruikers kunnen er hun eigen tools bouwen om optimaal te werken. Ze vertrouwen Notion professionele en persoonlijke informatie toe en geven via koppelingen en AI-functies toegang tot informatie in andere systemen.

Een model voor gedeelde verantwoordelijkheden (SRM) beschrijft hoe een dienstverlener en de gebruikers de verantwoordelijkheden verdelen. Het maakt duidelijk wie welke beveiligings- en operationele taken uitvoert.

Dit document beschrijft hoe Notion en de klanten samen verantwoordelijk zijn voor de bescherming en beveiliging van de systemen van Notion, gebruikersaccounts en workspaces.

Het SRM van Notion maakt voor Notion en de klanten duidelijk wie verantwoordelijk is voor specifieke processen, activiteiten en controles. Zo kan Notion zich richten op de gebieden waarin we de vertrouwelijkheid, integriteit en beschikbaarheid van onze systemen het best kunnen beschermen. Het model laat ook zien waar klanten hun accounts, workspaces en klantgegevens beter zelf kunnen beveiligen. Dat maakt de bescherming van de systemen en accounts van Notion veiliger en efficiënter.

Het SRM maakt ook duidelijk hoe Notion de diensten levert. Zo krijgen klanten de informatie die ze nodig hebben om Notion te beoordelen binnen hun eigen risico- en toetsingsprocessen. Ook helpt het Notion en de klanten te voldoen aan hun verplichtingen onder toepasselijke lokale, regionale, nationale en internationale regelgeving.

Kortom: Notion bouwt, beheert en beschermt de architectuur van de Notion-dienst. Klanten zijn verantwoordelijk voor hoe ze die dienst instellen en gebruiken. Ze beschermen hun inloggegevens, bepalen wie toegang heeft tot hun workspaces en klantgegevens en houden zich aan het beleid voor content en gebruik en andere relevante voorwaarden.

Sommige verantwoordelijkheden in dit document kunnen alleen worden uitgevoerd door klanten met verhoogde machtigingen in een workspace of organisatie. De gebruiker moet die machtigingen op de juiste manier toewijzen.

Welke tools beschikbaar zijn om een verantwoordelijkheid na te komen, hangt af van het Abonnement. Is een functie alleen beschikbaar bij bepaalde Abonnementen? Dan blijven klanten met een ander Abonnement verantwoordelijk voor het beoogde resultaat. Ze moeten dan andere maatregelen overwegen.

Notion biedt authenticatiemethoden en beheerdersinstellingen die bepalen hoe mensen inloggen bij Notion en hoe toegang tot de workspace wordt verleend of ingetrokken. Klanten kiezen en configureren de instellingen die bij hun organisatie passen en beschermen de inloggegevens voor toegang tot hun accounts.

Verantwoordelijkheden van Notion

• Bied authenticatiemethoden aan en beheer deze, waaronder aanmelding met e-mail en wachtwoord, aanmelding met Google en Apple, en eenmalige aanmelding via SAML 2.0 voor workspaces met een Business- of Enterprise-abonnement.

• Bied accounts die met een wachtwoord inloggen tweefactorauthenticatie via een authenticator-app of sms-code.

• Bied SCIM-API's aan waarmee Enterprise-organisaties het aanmaken, bijwerken en verwijderen van gebruikers vanuit hun identiteitsprovider kunnen automatiseren.

• Bied administratieve controles aan die sessieduur, gedwongen uitloggen, wachtwoordreset, accountopschorting en domeinverificatie regelen.

• Vereis geverifieerd bewijs van eigendom van het domein voordat dat domein kan worden gebruikt om te bepalen hoe de gebruikers ervan inloggen bij Notion.

• Trek de toegang van een gebruiker tot klantgegevens in wanneer die gebruiker uit de Workspace wordt verwijderd. Bied controles aan waarmee een organisatie sessies kan beëindigen en aanmeldgegevens kan resetten voor al haar beheerde gebruikers.

• Handhaaf toegangscontroles volgens het principe van minimale bevoegdheden binnen de eigen infrastructuur van Notion en vereis dat Notion-werknemers en contractanten gebonden zijn aan geheimhoudingsverplichtingen.

• Krijg alleen toegang tot klantgegevens voor supportdoeleinden wanneer een gebruiker of Workspace-eigenaar toestemming heeft gegeven, en laat die toestemming automatisch verlopen na een vastgestelde periode.

Verantwoordelijkheden van de gebruiker

• Inloggegevens beschermen, sterke en unieke wachtwoorden gebruiken en hergebruik bij andere diensten vermijden

• Individuele accounts gebruiken in plaats van gedeelde accounts en inloggegevens niet delen

• Tweefactorauthenticatie gebruiken voor accounts die met een wachtwoord inloggen

• Aanmeldgegevens bijwerken volgens het interne beleid en meteen als er een extern lek van aanmeldgegevens wordt ontdekt

• De authenticatiemethoden kiezen en configureren die bij de organisatie passen, waaronder de keuze om eenmalige aanmelding verplicht te stellen

• Ervoor zorgen dat alleen de beoogde gebruikers toegang hebben tot de workspace en hun toegang snel intrekken als ze vertrekken of een andere rol krijgen. Voor automatische intrekking van toegang is SCIM nodig; zonder SCIM moet de toegang handmatig worden ingetrokken

• De sessieduur instellen volgens het interne beleid en een herstelprocedure bijhouden voor het geval de toegang tot de identiteitsprovider verloren gaat

• Controleren of Notion-support toegang heeft tot een account of workspace en die toegang intrekken zodra die niet meer nodig is

Notion biedt het machtigingsmodel dat bepaalt wat een geauthenticeerde gebruiker kan zien en doen, samen met administratieve controles die de grenzen voor het delen bepalen. Klanten zijn verantwoordelijk voor de beslissing hoe dat model wordt toegepast op hun klantgegevens en voor de review van de daaruit voortvloeiende toegang.

Verantwoordelijkheden van Notion

• Bied een machtigingsmodel aan dat werkt op Workspace-, Teamspace-, pagina- en databaseniveau, inclusief machtigingsgroepen, en dwing dit consistent af in het hele product.

• Bied afzonderlijke toegang voor leden en gasten, zodat externe samenwerkers toegang kunnen krijgen tot specifieke klantgegevens in plaats van tot een volledige Workspace.

• Bied beheerdersinstellingen waarmee een organisatie het openbaar delen van pagina's, de toegang voor gasten, het exporteren en het verplaatsen of dupliceren van pagina's naar andere workspaces kan beperken.

• Bied controles aan die bepalen wie klantgegevens op het web mag publiceren, inclusief Notion Sites, Formulieren en openbare links.

• Zorg voor inzichttools waarmee een organisatie kan identificeren wie toegang heeft tot een pagina, welke pagina's extern worden gedeeld of op het web zijn gepubliceerd, en waarmee deze machtigingen kunnen worden gewijzigd.

• Respecteer geconfigureerde workspace-machtigingen bij het bieden van AI- en zoekfuncties.

Verantwoordelijkheden van de gebruiker

• Bepalen welk toegangsniveau geschikt is voor klantgegevens en de bijbehorende machtigingen instellen

• Beslissen of extern samenwerken en openbaar publiceren zijn toegestaan en de beschikbare instellingen daarop aanpassen

• Begrijpen hoe toegang wordt overgenomen. Toegang tot een pagina geldt standaard ook voor de pagina's die erin zijn geïntegreerd. Als iemand via meerdere wegen toegang krijgt, geldt het hoogste toegekende niveau

• De toegang regelmatig reviewen, waaronder die van workspace-leden, gasten en machtigingsgroepen, en de klantgegevens die extern worden gedeeld of op het web zijn gepubliceerd

• De toegang tot klantgegevens intrekken zodra iemand niet meer meewerkt, ook voor gasten en externe medewerkers van wie de toegang niet via de identiteitsprovider van de organisatie wordt beheerd

• Ervoor zorgen dat klantgegevens die op het web zijn gepubliceerd voor iedereen bedoeld zijn en opties zoals zoekmachine-indexering daarop instellen

• Klantgegevens die een gebruiker privé bewaart overdragen voordat die gebruiker vertrekt, of binnen de korte periode waarin overdracht nog mogelijk is. Daarna zijn privé bewaarde klantgegevens meestal niet meer te herstellen. Tools voor overdracht zijn alleen beschikbaar met een Enterprise-abonnement

Notion slaat klantgegevens op en verwerkt ze namens klanten. Notion beschermt die gegevens tijdens de overdracht en tijdens de opslag. Klanten bepalen welke gegevens ze in Notion plaatsen, hoe lang ze die bewaren en welke wettelijke verplichtingen ervoor gelden.

Verantwoordelijkheden van Notion

• Verwerk klantgegevens in overeenstemming met de Master Subscription Agreement, het Data Processing Addendum en de toepasselijke wetgeving inzake gegevensbescherming.

• Versleutel klantgegevens tijdens de opslag met AES-256 of een algoritme dat volgens de industriestandaard even goed of beter beveiligt, ook in cloudopslag, databasetabellen en back-ups. Versleutel gegevens tijdens de overdracht met TLS 1.2 of hoger.

• Onderhoud en publiceer een actuele lijst van subverwerkers.

• Bied voor bepaalde categorieën klantgegevens een keuze in opslagregio, zodat organisaties die hiervoor in aanmerking komen kunnen kiezen in welke regio die gegevens worden opgeslagen.

• Zie af van het gebruik van klantgegevens om de machinelearningmodellen van Notion te trainen en verbied AI-subverwerkers contractueel om dit te doen zonder uitdrukkelijke toestemming van de klant.

• Bied functionaliteit waarmee klanten hun klantgegevens kunnen exporteren, bewaren en verwijderen, en verwijder klantgegevens aan het einde van het contract in overeenstemming met de overeenkomst.

• Ga een Data Processing Addendum aan, en waar van toepassing een Business Associate Agreement, met klanten die een dergelijke overeenkomst nodig hebben.

Verantwoordelijkheden van de gebruiker

• Bepalen welke gegevens geschikt zijn om in Notion op te slaan en ervoor zorgen dat gereguleerde gegevens alleen worden opgeslagen als de noodzakelijke overeenkomsten en configuratie aanwezig zijn.

• Regels voor het bewaren van gegevens opstellen en toepassen, en klantgegevens verwijderen zodra ze niet meer nodig zijn

• De instellingen voor het bewaren en verwijderen van gegevens in het product aanpassen aan het interne beleid

• Volledige en juiste accountgegevens verstrekken en fouten daarin snel corrigeren

• Voldoen aan de verplichtingen voor de verwerkingsverantwoordelijke van persoonsgegevens in een workspace, waaronder mensen informeren over hun privacy, een rechtmatige grondslag voor verwerking vaststellen en reageren op verzoeken van betrokkenen over klantgegevens

• Bepalen of gegevens in een specifieke regio moeten worden opgeslagen, die regio zo nodig aanvragen en nagaan welke gegevenscategorieën en Notion-producten daarbuiten vallen

• De lijst met subverwerkers van Notion reviewen

Notion beheert de infrastructuur die de Service beschikbaar houdt en maakt back-ups van die infrastructuur om de Service te kunnen herstellen. Klanten zijn zelf verantwoordelijk voor het herstellen van hun klantgegevens met de tools van Notion. Ze moeten ook een onafhankelijke kopie bewaren als hun verplichtingen dat vereisen.

Verantwoordelijkheden van Notion

• De Notion-Service beheren volgens de beschikbaarheidsverplichtingen in de Service Level Terms, met redundante infrastructuur in meerdere beschikbaarheidszones.

• De operationele status van de Service publiceren.

• Geautomatiseerde, versleutelde en bewaakte back-ups van klantgegevens onderhouden.

• Back-ups opslaan volgens de gepubliceerde indeling van back-upregio's van Notion voor de gekozen regio voor gegevensresidentie. Gegevensresidentie geldt alleen voor de vastgestelde categorieën klantgegevens.

• Plannen voor noodherstel en bedrijfscontinuïteit onderhouden en periodiek testen.

• Het bieden van hersteltools in het product, waaronder de Prullenbak en versiegeschiedenis, waarmee Klanten zelf Klantgegevens kunnen herstellen.

• Een functie bieden waarmee klanten een kopie van hun klantgegevens kunnen exporteren.

Verantwoordelijkheden van de gebruiker

• Afzonderlijke pagina's en klantgegevens herstellen via de Prullenbak en de versiegeschiedenis, binnen de bewaartermijnen van het abonnement van de gebruiker.

• Instellingen voor het bewaren van klantgegevens, waar beschikbaar, afstemmen op het interne beleid.

• Een onafhankelijke kopie van klantgegevens bewaren als intern beleid, contractuele verplichtingen of regelgeving vereisen dat gegevens langer bewaard blijven dan het product toestaat, of als een kopie buiten Notion nodig is.

• Klantgegevens volgens een passend schema exporteren en verifiëren of de exportbestanden volledig zijn. Klantgegevens waartoe het exporterende account geen toegang heeft, worden niet meegenomen in een export.

• Exportbestanden ophalen zolang de link om ze te downloaden geldig is.

• In de eigen plannen voor bedrijfscontinuïteit rekening houden met de mogelijkheid dat de Service niet beschikbaar is.

Wat Notion-back-ups wel en niet zijn

Notion-back-ups zijn bedoeld om de Notion-Service te herstellen. Ze zijn geen herstelpunten voor klanten: je kunt er een workspace niet mee terugzetten naar een zelfgekozen moment. Klanten herstellen afzonderlijke klantgegevens zelf via de Prullenbak en de versiegeschiedenis. Na afloop van de toepasselijke bewaartermijnen, ook die van de Prullenbak, worden klantgegevens definitief verwijderd en kunnen ze niet meer worden hersteld. Klanten mogen niet op support vertrouwen om gegevens te bewaren.

Door klantgegevens te exporteren, maak je een overdraagbare kopie in een indeling zoals HTML, markdown, CSV of PDF, afhankelijk van het exporttype en het abonnement. Dat is geen volledige back-up van de workspace: als je geëxporteerde klantgegevens importeert, worden de oorspronkelijke machtigingen, instellingen en volledige configuratie niet hersteld. Mogelijk moet je de gegevens handmatig opnieuw indelen.

Notion legt relevante activiteit in een workspace vast en stelt die gegevens beschikbaar aan de organisatie. Klanten moeten de gegevens reviewen, ze bewaren als dat verplicht is en actie ondernemen op basis van wat erin staat.

Verantwoordelijkheden van Notion

• Beveiligings- en veiligheidsgerelateerde gebeurtenissen in de workspaces van een organisatie vastleggen, met vermelding van wie welke actie uitvoerde, wanneer dat gebeurde en, indien beschikbaar, vanaf welk IP-adres.

• De geschiedenis van het auditlogboek gedurende een vastgestelde periode in het product bewaren en klanten de mogelijkheid bieden gebeurtenissen te exporteren of te streamen, zodat ze die langer kunnen bewaren.

• Het bieden van een middel om gebeurtenissen in realtime naar het eigen beveiligingsmonitoringsplatform van een gebruiker te streamen, en het ondersteunen van verbindingen met tools voor gegevensverliespreventie.

• Het monitoren van de eigen infrastructuur, netwerken en systemen van Notion op kwaadaardige activiteiten, en het onderhouden van interne logging voor die systemen.

Verantwoordelijkheden van de gebruiker

• Het reviewen van activiteiten in het auditlogboek en het onderzoeken van en reageren op activiteiten die onverwacht of ongeautoriseerd lijken.

• Het bewaren van loggegevens voor de periode die vereist is door het eigen interne beleid of de regelgeving van de klant, door gebeurtenissen te exporteren of te streamen voordat ze buiten het bewaarvenster vallen.

• Monitoring, waarschuwingen en eventuele koppelingen voor beveiliging of compliance in de eigen omgeving van de gebruiker instellen en ervoor zorgen dat die integraties blijven werken.

• Het definiëren van wat in de context van de organisatie als verdachte activiteit wordt beschouwd, en het toewijzen van de verantwoordelijkheid voor de review ervan.

• Het melden van verdachte activiteiten aan Notion wanneer dit kan duiden op een inbreuk op de Service.

Wat het auditlogboek wel en niet dekt

Het auditlogboek registreert gebeurtenissen. Logboekvermeldingen en gestreamde payloads beschrijven welke acties zijn uitgevoerd en door wie; ze bevatten niet de klantgegevens van pagina's.

De registratie in het auditlogboek begint wanneer een organisatie in aanmerking komt voor de functie. Activiteiten die daarvoor hebben plaatsgevonden, zijn niet met terugwerkende kracht beschikbaar.

Notion ontwikkelt, beheert en onderhoudt de Notion-Service en de infrastructuur waarop die draait. Notion beveiligt en patcht die infrastructuur ook. Klanten zijn verantwoordelijk voor de omgevingen van waaruit ze toegang krijgen tot Notion.

Verantwoordelijkheden van Notion

• De Notion-applicatie en de bijbehorende infrastructuur ontwikkelen, testen, patchen en onderhouden. Notion voert updates van de Service zelf door; klanten hoeven daarvoor geen actie te ondernemen.

• Het uitvoeren van dreigingsmodellering en reviews van veilige ontwerpen voor nieuwe releases, en het uitvoeren van code-audits, codereviews en beveiligingsscans van de codebase.

• Jaarlijkse onafhankelijke penetratietests laten uitvoeren.

• Netwerkbeveiliging implementeren en beheren binnen de systemen van Notion.

• De infrastructuur, netwerken en assets van Notion monitoren op kwaadaardige activiteiten.

• Een openbaar programma voor het melden van kwetsbaarheden exploiteren en onafhankelijke penetratietests laten uitvoeren.

• De eigen bedrijfssystemen en apparaten van werknemers van Notion beveiligen, inclusief versleuteling van opgeslagen gegevens, endpoint-detectie en -respons, en gecentraliseerd apparaatbeheer.

• Notion-clientapplicaties publiceren en er updates voor uitbrengen.

Verantwoordelijkheden van de gebruiker

• Ondersteunde en goed gepatchte endpointomgevingen, waaronder webbrowsers, onderhouden en instellingen beheren die updates voor Notion-clients kunnen tegenhouden.

• Het beveiligen van de apparaten en netwerken die worden gebruikt voor toegang tot Notion, in lijn met de eigen endpoint-beveiligingsstandaarden van de Gebruiker.

• Als Notion-clientupdates centraal worden beheerd, ervoor zorgen dat ze tijdig worden geïnstalleerd. Als automatische updates worden uitgesteld of uitgeschakeld, is de gebruiker verantwoordelijk voor het tijdig patchen van de client.

• Ervoor zorgen dat installatie-instellingen niet verhinderen dat gebruikers updates ontvangen.

• Het melden van vermoedelijke kwetsbaarheden in de Notion-Service aan Notion in plaats van deze te exploiteren of openbaar te maken.

Waar de grens ligt

Notion patcht de Notion-Service. Klanten hoeven Notion niet zelf te patchen en hoeven geen actie te ondernemen voor updates aan de serverzijde.

Voor client applicaties ligt dat anders. Notion publiceert updates, maar of een apparaat ze ontvangt, hangt af van de configuratie en het beheer ervan. Als een organisatie de installatie of het updategedrag beheert, is die verantwoordelijk voor het up-to-date houden van de clients.

Notion biedt een API, een integratieplatform en AI-functies die acties kunnen uitvoeren op klantgegevens en toegang hebben tot gekoppelde systemen. Klanten bepalen welke functies ze inschakelen, welke toegang ze geven en hoe ze het gebruik beheren.

Verantwoordelijkheden van Notion

• De Notion-API, het integratieplatform, de koppelingen en de AI-functies aanbieden en onderhouden.

• De gebruikersmachtigingen in Notion AI, de Notion-agent en AI Connectors respecteren. Aangepaste agenten gebruiken hun eigen expliciet verleende machtigingen, die kunnen afwijken van die van de persoon die met de agent communiceert.

• Bied beheerdersinstellingen die bepalen welke integraties en externe AI-tools mogen worden geïnstalleerd, welke agenten mogen worden aangemaakt en of AI-functies zijn ingeschakeld.

• Bied instellingen om AI-webzoekopdrachten in of uit te schakelen en vraag om bevestiging voordat er externe webverzoeken worden gedaan.

• Zorg voor maatregelen die het risico op prompt-injectie opsporen en beperken. Denk aan het detecteren van verborgen instructies in content van derden en geüploade bestanden, beperkingen voor het verwerken van links en extra controles wanneer agenten zelfstandig handelen.

• Zie af van het gebruik van Klantgegevens om de modellen van Notion te trainen en verbied AI-subverwerkers contractueel om dit te doen zonder uitdrukkelijke toestemming van de klant.

• Registreer integratie-, verbindings- en agentactiviteiten en activiteiten van externe AI-tools in het auditlogboek.

Verantwoordelijkheden van de gebruiker

• Beslissen welke integraties, verbindingen, AI-functies en agenten geschikt zijn voor de organisatie, en de beschikbare bedieningselementen configureren op basis van die beslissing.

• De toegang en mogelijkheden beoordelen die door een integratie of verbinding worden aangevraagd voordat deze wordt geautoriseerd, en bevestigen dat de externe dienst voldoet aan de eigen leveranciersvereisten van de Gebruiker.

• Interne integratietokens beheren door de verspreiding ervan te beperken, ze regelmatig te vernieuwen en tokens in te trekken die niet meer nodig zijn.

• Toezicht houden op het aanmaken en configureren van agenten, inclusief tot welke Klantgegevens en gekoppelde tools elke agent toegang heeft, en die toegang periodiek beoordelen.

• Klanten moeten ervoor zorgen dat agentmachtigingen op de juiste wijze zijn afgebakend.

• Bepalen of modellen die gegevens bewaren mogen worden ingeschakeld voor functies die deze vereisen.

• Ervoor zorgen dat Klantgegevens die via verbonden systemen aan Notion beschikbaar worden gesteld, geschikt zijn voor dat doel, en dat de toegang die in het verbonden systeem is verleend, zelf correct is afgebakend.

• Gebruikers ervan bewust maken dat Klantgegevens die van buiten de workspace afkomstig zijn, inclusief webpagina's en geüploade bestanden, kunnen proberen het AI-gedrag te beïnvloeden.

Wat Klanten moeten begrijpen over verbonden gegevens

Toegang die via een verbinding wordt verleend, is slechts zo beperkt als de machtigingen die in het verbonden systeem zijn verleend. Notion dwingt de machtigingen af die door het verbonden systeem worden gerapporteerd, maar herstelt geen te ruime machtigingen in het bronsysteem.

Machtigingswijzigingen in verbonden systemen worden na een synchronisatie-interval in Notion weerspiegeld in plaats van onmiddellijk, en het kan enige tijd duren voordat nieuw toegevoegde of verwijderde Klantgegevens verschijnen of niet langer beschikbaar zijn.

Notion is verantwoordelijk voor de beveiliging van de Notion-service en voor het informeren van klanten wanneer een incident hun Klantgegevens treft. Klanten zijn verantwoordelijk voor de manier waarop zij reageren op incidenten met hun eigen accounts, workspaces en Klantgegevens, inclusief eventuele meldingen die zij verplicht zijn te doen.

Verantwoordelijkheden van Notion

• Houd een gedocumenteerd incidentresponsplan bij en test het regelmatig.

• Detecteer, beoordeel, onderzoek, beperk en verhelp beveiligingsincidenten die de systemen van Notion en de Klantgegevens die Notion bewaart, treffen.

• Stel getroffen klanten op de hoogte van beveiligingsincidenten in overeenstemming met het Addendum Gegevensverwerking en de toepasselijke wetgeving.

• Voer na een incident een review uit, inclusief een analyse van de hoofdoorzaak. Gebruik de bevindingen om de controles en het responsplan van Notion aan te passen.

• Publiceer de operationele status van de service en communiceer beschikbaarheidsincidenten.

• Beheer een programma voor het melden van kwetsbaarheden en beoordeel en verhelp gemelde kwetsbaarheden.

Verantwoordelijkheden van de gebruiker

• Het onverwijld melden van vermoedelijke beveiligingsincidenten, gecompromitteerde accounts, vermoedelijke kwetsbaarheden en misbruik van de service bij Notion via het juiste kanaal.

• Het detecteren van en reageren op incidenten die plaatsvinden binnen de eigen Workspaces en accounts van de Gebruiker, inclusief gecompromitteerde inloggegevens, ongepast delen en misbruik door interne Gebruikers.

• Het onderhouden van de eigen incidentresponsregelingen van de Gebruiker, en het definiëren van wie verantwoordelijk is voor het ondernemen van actie bij activiteiten die in Notion zijn geïdentificeerd.

• Het nemen van inperkingsmaatregelen die binnen het product beschikbaar zijn, inclusief het verwijderen van toegang, het intrekken van sessies, het opnieuw instellen van inloggegevens, het intrekken van integratietokens en het offline halen van gepubliceerde Klantgegevens.

• Bewaar relevant bewijsmateriaal. Exporteer bijvoorbeeld gegevens uit het auditlogboek voordat de bewaartermijn verstrijkt.

• Bepalen of een incident voor de Gebruiker een meldingsplicht jegens een toezichthouder, klant of getroffen persoon met zich meebrengt, en die melding doen.

• Het actueel houden van administratieve en beveiligingscontactgegevens, zodat meldingen van Notion de juiste personen bereiken.

• Het melden van vermoedelijke kwetsbaarheden bij Notion in plaats van ze te misbruiken of openbaar te maken.

Welke partij detecteert wat

Notion bewaakt de eigen infrastructuur en kan incidenten detecteren die de Service treffen. Notion kan niet bepalen of een op zichzelf geldige actie in een workspace volgens het interne beleid van de Gebruiker was toegestaan. Klanten zijn verantwoordelijk voor het bewaken van de activiteit in hun workspace en voor het reageren op misbruik.

Dit omvat incidenten zoals een lid dat vertrouwelijke Klantgegevens publiceert, een vertrekkende werknemer die gegevens exporteert, of inloggegevens die door de rechtmatige houder worden misbruikt. Het detecteren van en reageren op deze gebeurtenissen hangt af van de review door de Gebruiker van de activiteitsgegevens en de voor de Gebruiker beschikbare controles.

Notion onderhoudt een programma voor informatiebeveiliging en privacy dat onafhankelijk wordt gecontroleerd, en stelt de resulterende documentatie beschikbaar. Klanten bepalen of Notion geschikt is voor hun eigen wettelijke verplichtingen en configureren het dienovereenkomstig.

Verantwoordelijkheden van Notion

• Onderhoud onafhankelijk beoordeelde beveiligings- en privacyprogramma's in overeenstemming met de toepasselijke audit- en certificeringscycli.

• Stel nalevingsdocumentatie, inclusief auditrapporten en certificeringen, beschikbaar aan klanten en potentiële klanten via het Notion Trust Center.

Verantwoordelijkheden van de gebruiker

• Bepalen of Notion geschikt is voor de gegevens die de Gebruiker wil opslaan en voor de wettelijke verplichtingen die voor de Gebruiker gelden.

• Het aangaan van de overeenkomsten die voor dat gebruik vereist zijn, inclusief een Gegevensverwerkersovereenkomst of Business Associate Agreement waar van toepassing.

• Het toepassen van de configuratie die door die overeenkomsten wordt vereist, inclusief het inschakelen van alle compliance-specifieke instellingen en de beveiligingsfuncties waarvan deze afhankelijk zijn.

• De eigen beoordelingen van de Gebruiker uitvoeren, waaronder een risicobeoordeling van leveranciers en een eventueel wettelijk verplichte gegevensbeschermingseffectbeoordeling (DPIA).

• Het beoordelen van de certificeringen, auditrapporten en de lijst met subverwerkers van Notion als onderdeel van de eigen borgings- en wijzigingsbeheerprocessen van de Gebruiker.

• Het aantonen aan de eigen auditors en toezichthouders van de Gebruiker dat de configuratie en het gebruik van Notion door de Gebruiker voldoen aan de verplichtingen die op hen van toepassing zijn.

Wat certificering dekt

De onafhankelijke certificeringen en auditrapporten van derden van Notion dekken de controles die Notion uitvoert. Ze strekken zich niet uit tot de manier waarop een individuele organisatie Notion configureert of gebruikt.

Een workspace die gereguleerde gegevens bevat, voldoet niet automatisch aan de regels omdat Notion een certificering heeft. Als het voldoen aan een verplichting afhangt van de configuratie, zoals het beperken van delen, het afdwingen van eenmalige aanmelding, het bewaren van auditgegevens of het beperken van waar gegevens worden opgeslagen, blijft dit de verantwoordelijkheid van de Gebruiker.

Notion stelt de voorwaarden vast waaronder de dienst mag worden gebruikt en handhaaft deze. Klanten zijn verantwoordelijk voor hun eigen gebruik van Notion en voor de Klantgegevens die in hun workspaces worden bewaard.

Verantwoordelijkheden van Notion

• Publiceer en onderhoud het Content & Use policy, de relevante Terms en het bijbehorende beleid.

• Bied iedereen die een openbare Notion-pagina bekijkt de mogelijkheid om Klantgegevens te melden die volgens hen niet zijn toegestaan.

• Onderzoek meldingen en verwijder Klantgegevens of beperk de toegang als er een overtreding wordt vastgesteld.

• Controleer vormen van gebruik waarbij vaker misbruik voorkomt extra streng. Schort de toegang zo nodig op of beëindig deze om de beschikbaarheid van de Service te beschermen.

Verantwoordelijkheden van de gebruiker

• Het gebruik van Notion in overeenstemming met de Voorwaarden en het beleid inzake content en gebruik, en ervoor zorgen dat mensen die Notion gebruiken onder het abonnement van de Gebruiker hetzelfde doen.

• Ervoor zorgen dat Klantgegevens die in Notion worden opgeslagen, vanuit Notion worden gedeeld of via Notion worden gepubliceerd, voldoen aan die beleidslijnen en aan de toepasselijke wetgeving.

• Het modereren van Klantgegevens die anderen hebben aangeleverd wanneer de Gebruiker via Notion Klantgegevens verspreidt die door gebruikers zijn gemaakt.

• Notion gebruiken zoals bedoeld en niet proberen de beveiligingsmaatregelen te omzeilen, uit te schakelen of te verstoren.

• Het uitvoeren van beveiligingstests van Notion uitsluitend via het programma voor kwetsbaarheidsmeldingen van Notion en binnen de voorwaarden daarvan.

• Het te goeder trouw gebruiken van support- en meldingskanalen.