Modelo de responsabilidades compartilhadas

Este Modelo de Responsabilidades Compartilhadas garante que o Notion e seus clientes trabalhem juntos para criar uma experiência de espaço de trabalho segura e eficaz.

Consulte o MSA e o DPA do Notion para obter os termos definidos.

O Notion é um espaço único onde você pode pensar, escrever e planejar. Por ser um espaço completo que permite aos usuários criar as suas próprias ferramentas para fazer o seu melhor trabalho, os usuários confiam ao Notion informações profissionais e pessoais e, por meio de Conexões e recursos de IA, o acesso a informações mantidas em outros sistemas.

Um Modelo de Responsabilidades Compartilhadas (SRM) é uma estrutura que descreve a divisão de responsabilidades entre um provedor de serviços e seus usuários. Ele define claramente quais tarefas de segurança e operacionais são tratadas por cada parte.

Este documento descreve as responsabilidades compartilhadas entre o Notion e seus clientes na proteção e manutenção da segurança dos sistemas, contas de usuário e espaços de trabalho do Notion.

O SRM do Notion oferece clareza tanto para o Notion quanto para seus clientes sobre qual parte é responsável por processos, operações ou controles específicos. Isso permite que o Notion se concentre e assuma a responsabilidade pelas áreas onde podemos proteger melhor a confidencialidade, a integridade e a disponibilidade dos sistemas do Notion, ao mesmo tempo em que identifica onde os clientes estão em melhor posição para proteger suas próprias contas, espaços de trabalho e dados do cliente. No geral, isso aumenta a segurança e a eficiência na proteção dos sistemas e contas do Notion.

O SRM também promove a transparência na forma como os serviços do Notion são prestados, fornecendo aos clientes as informações necessárias para avaliar o Notion dentro de seus próprios processos de risco e garantia, e apoiando tanto o Notion quanto seus clientes no cumprimento de suas respectivas obrigações sob as regulamentações locais, regionais, nacionais e internacionais aplicáveis.

Em resumo: o Notion é responsável por criar, operar e proteger a arquitetura do serviço Notion. Os clientes são responsáveis pela forma como configuram e usam esse serviço, incluindo a proteção de suas credenciais, o gerenciamento de quem tem acesso aos seus espaços de trabalho e dados do cliente, e a adesão à Política de conteúdo e uso e a outros Termos relevantes.

Algumas responsabilidades descritas neste documento só podem ser realizadas por clientes com permissões elevadas em um espaço de trabalho ou organização. É responsabilidade do usuário atribuir essas permissões adequadamente.

As ferramentas disponíveis para cumprir uma determinada responsabilidade variam de acordo com o plano. Quando uma funcionalidade é limitada a planos de assinatura específicos, os clientes em planos de assinatura sem essa funcionalidade permanecem responsáveis pelo resultado subjacente e devem considerar controles alternativos.

O Notion fornece os métodos de autenticação e os controles administrativos que determinam como as pessoas fazem login no Notion e como o acesso ao espaço de trabalho é concedido e removido. Os clientes são responsáveis por selecionar e configurar os controles adequados à sua organização e por proteger as credenciais usadas para acessar suas contas.

Responsabilidades do Notion

• Fornecer e operar métodos de autenticação, incluindo e-mail e senha, login com Google e Apple e login único SAML 2.0 para espaços de trabalho nos planos Business e Enterprise.

• Fornecer autenticação de dois fatores para contas que fazem login com senha, usando um app autenticador ou um código enviado por mensagem de texto.

• Fornecer APIs SCIM que permitam às organizações Enterprise automatizar a criação, atualização e remoção de Usuários por meio de seus provedores de identidade.

• Fornecer controles administrativos que regulem a duração da sessão, logout forçado, redefinição de senha, suspensão de conta e verificação de domínio.

• Exigir comprovação da posse do domínio antes que ele possa ser usado para controlar como seus usuários fazem login no Notion.

• Revogar o acesso de um usuário aos Dados do Cliente quando esse usuário for removido do espaço de trabalho. Fornecer controles que permitam a uma organização encerrar sessões e redefinir credenciais em toda a sua base de usuários gerenciados.

• Manter controles de acesso de privilégio mínimo em toda a infraestrutura do Notion e exigir que funcionários e contratados do Notion estejam vinculados a obrigações de confidencialidade.

• Acessar Dados do Cliente para fins de suporte apenas com o consentimento de um usuário ou proprietário do espaço de trabalho e fazer esse consentimento expirar automaticamente após um período definido.

Responsabilidades do usuário

• Proteger credenciais de login, usar senhas fortes e exclusivas e evitar a reutilização em outros serviços.

• Manter contas individuais em vez de contas compartilhadas e não compartilhar informações de login.

• Usar autenticação de dois fatores em contas que fazem login com senha.

• Atualizar credenciais de acordo com a política interna e prontamente quando uma violação de credenciais externa for identificada.

• Selecionar e configurar os métodos de autenticação apropriados para a organização, incluindo se o login único é obrigatório.

• Garantir que o acesso ao espaço de trabalho seja limitado aos usuários previstos e que o acesso seja removido prontamente quando alguém sair ou mudar de função. O desprovisionamento automático requer SCIM; quando ele não estiver em uso, a remoção será um processo manual.

• Definir a duração da sessão de acordo com a política interna e manter um procedimento de recuperação para a perda de acesso ao provedor de identidade.

• Controlar se o suporte do Notion pode acessar uma conta ou espaço de trabalho e revogar esse acesso quando ele não for mais necessário.

O Notion fornece o modelo de permissões que determina o que um usuário autenticado pode ver e fazer, além de controles administrativos que definem os limites do compartilhamento. Os clientes são responsáveis por decidir como aplicar esse modelo aos seus Dados do Cliente e por revisar o acesso resultante.

Responsabilidades do Notion

• Fornecer um modelo de permissões que opere nos níveis de espaço de trabalho, espaço de equipe, página e base de dados, incluindo grupos de permissões, e aplicá-lo de forma consistente em todo o produto.

• Fornecer acesso distinto a membros e convidados, para que colaboradores externos possam receber acesso a Dados do Cliente específicos em vez de a um espaço de trabalho inteiro.

• Fornecer controles administrativos que permitam a uma organização restringir o compartilhamento público de páginas, o acesso de convidados, a exportação e a movimentação ou duplicação de páginas para outros espaços de trabalho.

• Fornecer controles que regulem quem pode publicar Dados do Cliente na web, incluindo Notion Sites, formulários e links públicos.

• Fornecer ferramentas de visibilidade que permitam a uma organização identificar quem tem acesso a uma página, quais páginas são compartilhadas externamente ou publicadas na web e alterar essas permissões.

• Respeitar as permissões configuradas no espaço de trabalho ao fornecer recursos de IA e busca.

Responsabilidades do usuário

• Determinar o nível apropriado de acesso aos Dados do Cliente e aplicar as permissões de acordo.

• Decidir se a colaboração externa e a publicação pública são permitidas e configurar os controles disponíveis para refletir essa decisão.

• Entender como o acesso é herdado. Por padrão, o acesso concedido a uma página se estende às páginas aninhadas nela. Quando o acesso é concedido por mais de um caminho, prevalece o nível mais alto.

• Revisar o acesso periodicamente, incluindo membros do espaço de trabalho, convidados, grupos de permissões, Dados do Cliente compartilhados externamente e Dados do Cliente publicados na web.

• Remover o acesso aos Dados do Cliente quando o envolvimento de um colaborador terminar, incluindo convidados e colaboradores externos cujo acesso não seja gerenciado por meio do provedor de identidade da organização.

• Garantir que os Dados do Cliente publicados na web sejam destinados ao público em geral e configurar opções como a indexação de motores de busca de acordo.

• Transferir Dados do Cliente mantidos em caráter particular por um usuário antes de sua saída ou dentro do prazo limitado em que a transferência ainda é possível. Após esse prazo, os Dados do Cliente particulares geralmente são irrecuperáveis, e a ferramenta de transferência está disponível apenas no Plano Enterprise.

O Notion armazena e processa Dados do Cliente em nome de seus Clientes e os protege em trânsito e em repouso. Os Clientes determinam quais dados são colocados no Notion, por quanto tempo são mantidos e quais obrigações legais estão vinculadas a eles.

Responsabilidades do Notion

• Processar Dados do Cliente de acordo com o Acordo de assinatura Master, o Adendo de Processamento de Dados e a legislação aplicável de proteção de dados.

• Criptografar Dados do Cliente em repouso usando AES-256 ou um algoritmo padrão do setor que ofereça segurança equivalente ou superior, inclusive em armazenamento em nuvem, tabelas de bancos de dados e backups, e criptografar dados em trânsito usando TLS 1.2 ou superior.

• Manter e publicar uma lista atualizada de supoperadores.

• Oferecer residência de dados para categorias definidas de Dados do Cliente, permitindo que organizações elegíveis selecionem a região onde esses dados são armazenados em repouso.

• Não usar Dados do Cliente para treinar os modelos de aprendizado de máquina do Notion e proibir contratualmente que supoperadores de IA façam isso sem o consentimento explícito do cliente.

• Fornecer recursos para que os Clientes possam exportar, reter e excluir seus Dados do Cliente e excluir esses dados ao final do contrato, conforme o acordo.

• Celebrar um Adendo de Processamento de Dados e, quando aplicável, um Acordo de associação comercial com os clientes que precisem desses acordos.

Responsabilidades do usuário

• Determinar quais dados são apropriados para armazenar no Notion e garantir que dados regulamentados sejam armazenados apenas onde os acordos e a configuração necessários estejam em vigor.

• Estabelecer e aplicar práticas de retenção e excluir Dados do Cliente que não sejam mais necessários.

• Configurar as definições de retenção e exclusão disponíveis no produto para refletir a política interna.

• Enviar Dados da Conta completos e precisos, e corrigi-los prontamente quando erros forem identificados.

• Cumprir as obrigações que cabem ao controlador dos dados pessoais mantidos em um espaço de trabalho, incluindo fornecer informações de privacidade aos indivíduos, estabelecer uma base legal para o processamento e responder a solicitações de titulares de dados relacionadas aos Dados do Cliente.

• Determinar se uma região específica de residência de dados é necessária, solicitá-la quando necessário e entender quais categorias de dados e quais produtos Notion estão fora desse escopo.

• Analisar a lista de supoperadores do Notion.

O Notion opera a infraestrutura que mantém o Serviço disponível e mantém backups dessa infraestrutura com o objetivo de recuperar o Serviço. Os Clientes são responsáveis por recuperar seus próprios Dados do Cliente usando as ferramentas que o Notion fornece, e por manter uma cópia independente desses Dados do Cliente quando suas próprias obrigações exigirem uma.

Responsabilidades do Notion

• Operar o Serviço Notion de acordo com os compromissos de disponibilidade estabelecidos nos Termos de Nível de Serviço, usando infraestrutura redundante em múltiplas zonas de disponibilidade.

• Publicar o status operacional do Serviço.

• Manter backups automatizados, criptografados e monitorados dos Dados do Cliente.

• Armazenar backups de acordo com o mapeamento de regiões de backup publicado pelo Notion para a região de residência de dados selecionada. A residência de dados se aplica apenas às categorias definidas de Dados do Cliente.

• Manter e testar periodicamente planos de recuperação de desastres e continuidade de negócios.

• Fornecer ferramentas de recuperação no produto, incluindo a lixeira e o histórico da versão, para que os Clientes possam restaurar os Dados do Cliente por conta própria.

• Fornecer funcionalidade de exportação permitindo que os Clientes obtenham uma cópia de seus Dados do Cliente.

Responsabilidades do usuário

• Recuperar páginas individuais e Dados do Cliente usando a lixeira e o histórico da versão, dentro dos períodos de retenção aplicáveis ao plano do Usuário.

• Configurar as definições de retenção de Dados do Cliente, quando disponíveis, para refletir a política interna.

• Manter uma cópia independente dos Dados do Cliente quando a política interna, os compromissos contratuais ou a regulamentação exigirem retenção além do que o produto oferece ou exigirem uma cópia mantida fora do Notion.

• Fazer exportações de acordo com um cronograma adequado a esses requisitos e verificar se estão completas. Os Dados do Cliente aos quais a conta usada para exportar não tem acesso não são incluídos na exportação.

• Baixar as exportações enquanto o link de download estiver válido.

• Planejar a possibilidade de indisponibilidade do serviço como parte dos próprios planos de continuidade de negócios do Usuário.

O que são e o que não são os backups do Notion

Os backups do Notion existem para restaurar o Serviço Notion. Eles não são pontos de restauração disponíveis aos clientes e não podem ser usados para retornar um espaço de trabalho ao estado em que estava em um momento específico. Os Clientes recuperam Dados do Cliente específicos por meio da lixeira e do histórico da versão. Depois que os períodos aplicáveis de permanência na lixeira e de retenção terminam, os Dados do Cliente são excluídos e não podem ser restaurados. Os Clientes não devem depender do suporte como mecanismo de retenção.

Uma exportação produz uma cópia portátil dos Dados do Cliente em formatos como HTML, Markdown, CSV ou PDF, dependendo do tipo de exportação e do plano. Não é um backup completo do espaço de trabalho: importar Dados do Cliente exportados não recriará as autorizações, as definições nem a configuração original completa do espaço de trabalho e pode exigir reestruturação manual.

O Notion gera registros de atividades relevantes dentro de um espaço de trabalho e os disponibiliza para a organização. Os Clientes são responsáveis por revisar esses registros, retê-los quando necessário e agir sobre o que eles mostram.

Responsabilidades do Notion

• Registrar eventos de segurança e proteção que ocorrem nos espaços de trabalho de uma organização, incluindo o autor, a ação, o horário e, quando disponível, o endereço IP.

• Reter o histórico do registro de auditoria dentro do produto por um período definido e fornecer mecanismos de exportação e streaming para que os Clientes possam retê-lo por mais tempo.

• Fornecer um meio de transmitir eventos para a própria plataforma de monitoramento de segurança do Usuário em tempo real e oferecer suporte a conexões com ferramentas de prevenção contra perda de dados.

• Monitorar a própria infraestrutura, redes e sistemas do Notion em busca de atividades maliciosas e manter o registro interno desses sistemas.

Responsabilidades do usuário

• Analisar a atividade do registro de auditoria e investigar e agir sobre atividades que pareçam inesperadas ou não autorizadas.

• Reter os dados de registro pelo período exigido pela política interna do Cliente ou pela regulamentação aplicável, exportando ou transmitindo os eventos antes do fim do período de retenção.

• Configurar o monitoramento, alertas e quaisquer conexões de segurança ou conformidade no ambiente do próprio Usuário, e garantir que essas integrações permaneçam operacionais.

• Definir o que constitui atividade suspeita no contexto da organização e atribuir a responsabilidade por analisá-la.

• Relatar atividades suspeitas ao Notion quando elas puderem indicar um comprometimento do Serviço.

O que o registro de auditoria cobre e o que não cobre

O registro de auditoria registra eventos. As entradas do registro e os payloads transmitidos descrevem as ações realizadas e por quem; eles não contêm os Dados do Cliente das páginas.

O registro de auditoria começa a registrar eventos quando uma organização se torna elegível para o recurso. As atividades anteriores não ficam disponíveis retroativamente.

O Notion desenvolve, opera e mantém o Serviço Notion e a infraestrutura na qual ele é executado, incluindo a segurança e a aplicação de patches nessa infraestrutura. Os Clientes são responsáveis pelos ambientes a partir dos quais acessam o Notion.

Responsabilidades do Notion

• Desenvolver, testar, aplicar patches e manter o aplicativo Notion e a infraestrutura que o suporta. As atualizações do Serviço são aplicadas pelo Notion e não exigem nenhuma ação dos Clientes.

• Realizar modelagem de ameaças e revisões de design seguro para novos lançamentos e executar auditorias de código, revisões de código e varreduras de segurança da base de código.

• Contratar testes de penetração independentes anualmente.

• Implementar e gerenciar a segurança de rede nos sistemas do Notion.

• Monitorar a infraestrutura, redes e ativos do Notion quanto a atividades maliciosas.

• Operar um programa de divulgação de vulnerabilidades público e contratar testes de penetração independentes.

• Proteger os sistemas corporativos e os dispositivos dos funcionários do Notion, com criptografia de dados em repouso, detecção e resposta em endpoints e gerenciamento centralizado de dispositivos.

• Publicar aplicativos cliente do Notion e disponibilizar atualizações para eles.

Responsabilidades do usuário

• Manter os ambientes de endpoint compatíveis e com as correções em dia, incluindo os navegadores web, e gerenciar quaisquer controles que possam impedir as atualizações dos aplicativos cliente do Notion.

• Proteger os dispositivos e redes usados para acessar o Notion, de acordo com os próprios padrões de segurança de endpoint do Usuário.

• Quando as atualizações do cliente Notion são gerenciadas centralmente, garantir que continuem sendo aplicadas em tempo hábil. Adiar ou desativar atualizações automáticas transfere ao Usuário a responsabilidade por aplicar patches ao cliente em tempo hábil.

• Garantir que as configurações de instalação não impeçam os Usuários de receber atualizações.

• Comunicar ao Notion suspeitas de vulnerabilidades no Serviço Notion, em vez de explorá-las ou divulgá-las publicamente.

Onde fica o limite

O Notion aplica patches no Serviço Notion. Os clientes não aplicam patches ao Notion, e nenhuma ação do cliente é necessária para atualizações do lado do servidor.

Os aplicativos cliente são diferentes. O Notion publica atualizações, mas o recebimento delas por determinado dispositivo depende de como ele é configurado e gerenciado. Quando uma organização gerencia a instalação ou as atualizações, é responsabilidade dela manter os aplicativos cliente atualizados.

O Notion fornece uma API, uma plataforma de integração e recursos de IA que podem realizar ações com os Dados do Cliente e acessar sistemas conectados. Os clientes são responsáveis por decidir quais deles ativar, que acesso conceder e como gerenciá-los.

Responsabilidades do Notion

• Fornecer e manter a API do Notion, a plataforma de integração, as conexões e os recursos de IA.

• Respeitar as permissões do usuário na IA do Notion, no Agente do Notion e nos conectores de IA. Agentes personalizados usam suas próprias permissões explicitamente concedidas, que podem diferir daquelas da pessoa que interage com o agente.

• Fornecer controles administrativos que regem quais integrações e ferramentas de IA externas podem ser instaladas, quais agentes podem ser criados e se os recursos de IA estão habilitados.

• Fornecer controles para ativar ou desativar a busca online por IA e exigir confirmação antes de fazer solicitações externas na web.

• Manter defesas projetadas para detectar e reduzir o risco de injeção de prompt, incluindo a detecção de instruções ocultas em conteúdo de terceiros e arquivos carregados, restrições no tratamento de links e verificações adicionais quando os agentes agem de forma autônoma.

• Não usar Dados do Cliente para treinar os modelos do Notion e proibir contratualmente que suboperadores de IA façam isso sem o consentimento explícito do cliente.

• Registrar no registro de auditoria as atividades de integrações, conexões, agentes e ferramentas externas de IA.

Responsabilidades do usuário

• Decidir quais integrações, conexões, recursos de IA e agentes são apropriados para a organização e configurar os controles disponíveis para refletir essa decisão.

• Revisar o acesso e os recursos solicitados por uma integração ou conexão antes de autorizá-la e confirmar se o serviço de terceiros atende aos requisitos de fornecedor do próprio Usuário.

• Gerenciar tokens de integração interna, incluindo restringir sua distribuição, rotacioná-los e revogar aqueles que não são mais necessários.

• Gerenciar a criação e a configuração de agentes, incluindo quais Dados do Cliente e ferramentas conectadas cada agente pode acessar, e revisar esse acesso periodicamente.

• Os clientes devem garantir que as permissões dos agentes tenham o escopo adequado.

• Determinar se modelos que retêm dados podem ser habilitados para recursos que os exigem.

• Garantir que os Dados do Cliente disponibilizados ao Notion por meio de sistemas conectados sejam apropriados para essa finalidade e que o acesso concedido nesses sistemas também tenha o escopo adequado.

• Informar aos Usuários que os Dados do Cliente originados fora do espaço de trabalho, incluindo páginas da web e arquivos carregados, podem tentar influenciar o comportamento da IA.

O que os clientes devem entender sobre dados conectados

O nível de restrição do acesso por meio de uma conexão depende das permissões concedidas no sistema conectado. O Notion aplica as permissões informadas pelo sistema conectado, mas não corrige permissões excessivamente amplas no sistema de origem.

As alterações de permissão em sistemas conectados são refletidas no Notion após um intervalo de sincronização, em vez de imediatamente, e os Dados do Cliente recém-adicionados ou excluídos podem levar algum tempo para aparecer ou se tornar indisponíveis.

O Notion é responsável pela segurança do seu serviço e por notificar os clientes quando um incidente afeta seus Dados do Cliente. Os clientes são responsáveis por responder a incidentes que envolvam suas contas, espaços de trabalho e Dados do Cliente, inclusive por fazer as notificações exigidas.

Responsabilidades do Notion

• Manter um plano de resposta a incidentes documentado e testá-lo periodicamente.

• Detectar, avaliar, investigar, conter e solucionar incidentes de segurança que afetem os sistemas do Notion e os Dados do Cliente mantidos pelo Notion.

• Notificar os clientes afetados sobre incidentes de segurança de acordo com o Aditivo de Processamento de Dados e a lei aplicável.

• Realizar uma revisão pós-incidente, incluindo a análise de causa raiz, e aplicar as conclusões aos controles e ao plano de resposta do Notion.

• Publicar o status operacional do serviço e comunicar incidentes de disponibilidade.

• Operar um programa de divulgação de vulnerabilidades e fazer a triagem e a remediação das vulnerabilidades relatadas.

Responsabilidades do usuário

• Relatar prontamente ao Notion incidentes de segurança suspeitos, contas comprometidas, vulnerabilidades suspeitas e uso indevido do serviço, por meio do canal apropriado.

• Detectar e responder a incidentes que ocorrem nos próprios espaços de trabalho e contas do Usuário, incluindo credenciais comprometidas, compartilhamento inadequado e uso indevido por Usuários internos.

• Manter os próprios procedimentos de resposta a incidentes e definir quem é responsável por agir diante das atividades identificadas no Notion.

• Tomar medidas de contenção disponíveis dentro do produto, incluindo remover acesso, revogar sessões, redefinir credenciais, revogar tokens de integração e retirar Dados do Cliente publicados.

• Preservar evidências relevantes, incluindo a exportação de registros de auditoria antes que saiam do período de retenção.

• Determinar se um incidente obriga o Usuário a notificar um órgão regulador, cliente ou pessoa afetada e, se for o caso, fazer essa notificação.

• Manter os dados de contato administrativo e de segurança atualizados para que as notificações do Notion cheguem às pessoas certas.

• Relatar vulnerabilidades suspeitas ao Notion em vez de explorá-las ou divulgá-las publicamente.

Qual parte detecta o quê

O Notion monitora sua própria infraestrutura e pode detectar incidentes que afetam o Serviço. O Notion não pode determinar se uma ação no espaço de trabalho, embora válida em outros aspectos, foi autorizada pelas políticas internas do Usuário. Os clientes são responsáveis por monitorar as atividades do espaço de trabalho e responder a usos indevidos.

Isso inclui incidentes como a publicação de Dados do Cliente confidenciais por um membro, a exportação de dados por um funcionário que está deixando a empresa ou o uso indevido de uma credencial por seu titular legítimo. A detecção desses eventos e a resposta a eles dependem da análise, pelo Usuário, dos registros de atividades e dos controles à sua disposição.

O Notion mantém um programa de segurança da informação e privacidade que é auditado de forma independente e disponibiliza a documentação resultante. Os clientes determinam se o Notion é apropriado para suas próprias obrigações regulatórias e o configuram de acordo.

Responsabilidades do Notion

• Manter programas de segurança e privacidade avaliados de forma independente, de acordo com os ciclos de auditoria e certificação aplicáveis.

• Disponibilizar a documentação de conformidade, incluindo relatórios de auditoria e certificações, aos clientes e potenciais clientes por meio do Notion Trust Center.

Responsabilidades do usuário

• Determinar se o Notion é adequado para os dados que o Usuário pretende armazenar e para as obrigações regulatórias às quais o Usuário está sujeito.

• Firmar os contratos necessários para esse uso, incluindo um Aditivo de Processamento de Dados ou um Acordo de Associação Comercial, quando aplicável.

• Aplicar as configurações exigidas por esses contratos, incluindo a ativação de quaisquer configurações específicas de conformidade e dos recursos de segurança dos quais elas dependem.

• Concluir as próprias avaliações do Usuário, incluindo uma avaliação de riscos de fornecedores e qualquer avaliação de impacto sobre a proteção de dados exigida por lei.

• Analisar as certificações, os relatórios de auditoria e a lista de suboperadores do Notion como parte dos processos de avaliação e gestão de mudanças do Usuário.

• Demonstrar aos próprios auditores e reguladores do Usuário que a configuração e o uso do Notion pelo Usuário atendem às obrigações às quais o Usuário está sujeito.

O que a certificação abrange

As certificações e os relatórios de auditoria independentes do Notion abrangem os controles mantidos pelo Notion. Não abrangem a forma como cada organização configura ou usa o Notion.

Um espaço de trabalho que contém dados regulamentados não está em conformidade pelo simples fato de o Notion possuir uma certificação. Quando uma obrigação depende de configuração, como restringir o compartilhamento, exigir login único, reter registros de auditoria ou limitar onde os dados são armazenados, cabe ao Usuário cumpri-la.

O Notion define os termos de uso do serviço e garante seu cumprimento. Os clientes são responsáveis por como usam o Notion e pelos Dados do Cliente mantidos em seus espaços de trabalho.

Responsabilidades do Notion

• Publicar e manter a Política de Conteúdo e Uso, os Termos relevantes e políticas relacionadas.

• Fornecer um mecanismo para que qualquer pessoa que visualize uma página pública do Notion possa denunciar Dados do Cliente que acredite serem proibidos.

• Investigar denúncias e remover Dados do Cliente ou restringir o acesso quando uma violação for identificada.

• Analisar com mais rigor as categorias de uso com maior incidência de abuso e suspender ou encerrar o acesso quando necessário para proteger a disponibilidade do Serviço.

Responsabilidades do usuário

• Usar o Notion de acordo com os Termos e a Política de Conteúdo e Uso e garantir que as pessoas que usam o Notion pela assinatura do Usuário façam o mesmo.

• Garantir que os Dados do Cliente armazenados no Notion, compartilhados a partir dele ou publicados por meio dele estejam em conformidade com essas políticas e com a lei aplicável.

• Moderar os Dados do Cliente fornecidos por terceiros quando o Usuário distribuir Dados do Cliente gerados por usuários por meio do Notion.

• Usar o Notion dentro dos limites para os quais foi projetado e não tentar contornar, desativar ou interferir em seus controles de segurança.

• Realizar testes de segurança do Notion somente por meio do programa de divulgação de vulnerabilidades do Notion e de acordo com os termos do programa.

• Usar os canais de suporte e denúncia de boa-fé.