共同责任模型

该共同责任模型确保 Notion 与客户共同打造安全、高效的工作空间体验。

术语定义请参阅 Notion 的 MSA 和 DPA。

Notion 是一个让你思考、写作和规划的空间。在这里，你可以创建适合自己的工具，更好地完成工作。你将工作和个人信息托付给 Notion，还可以通过 连接和 AI 功能，允许 Notion 访问其他系统中的信息。

共同责任模型（SRM）是一个框架，用于划分服务提供商与用户的责任，明确双方各自负责哪些安全和运营工作。

本文档说明 Notion 与客户如何共同保护 Notion 系统、用户帐号和工作空间的安全。

Notion SRM 明确了 Notion 与客户各自负责哪些流程、操作和控制措施。Notion 负责最适合由我们保护的部分，确保系统的机密性、完整性和可用性；客户则负责更适合由自己保护的帐号、工作空间和客户数据。这样能更安全、高效地保护 Notion 系统和帐号。

SRM 还让 Notion 的服务交付方式更加透明。客户可以据此在自己的风险评估和保障流程中评估 Notion，Notion 与客户也可以各自履行适用的地方、区域、国家和国际法规所规定的义务。

简而言之：Notion 负责构建、运营和保护 Notion 服务的架构。客户负责如何配置和使用该服务，包括保护其凭据、管理谁有权访问其工作空间和客户数据，以及遵守 内容与使用政策 和其他相关 条款。

本文档中的部分责任只能由在工作空间或组织中拥有较高权限的客户人员履行。用户有责任妥善分配这些权限。

履行各项责任所能使用的工具因订阅方案而异。如果某项功能仅限特定订阅方案，即使客户的方案不包含该功能，客户仍须实现相应的安全目标，并应考虑其他控制措施。

Notion 提供验证方法和管理控制措施，用于管理人员如何登录 Notion，以及如何授予和撤销工作空间访问权限。客户负责选择和配置适合其组织的控制措施，并保护用于访问其帐号的登录凭据。

Notion 的责任

• 提供并运行验证方法，包括电子邮件和密码、Google 和 Apple 登录，以及面向商业版和企业版工作空间的 SAML 2.0 单点登录。

• 为使用密码登录的帐号提供双重验证，可使用身份验证器应用或短信验证码。

• 提供 SCIM API，使企业组织能够通过其身份提供商自动创建、更新和移除用户。

• 提供管理控制措施，用于管理会话持续时间、强制注销、密码重置、帐号暂停和域名验证。

• 在域名可用于控制其用户群如何登录 Notion 之前，要求提供经过验证的域名所有权证明。

• 当用户从工作空间中移除时，撤销该用户对客户数据的访问权限。提供控制措施，使组织能够终止会话并重置其受管理的用户的登录凭据。

• 在 Notion 自身的基础设施中维护最小权限访问控制，并要求 Notion 员工和承包商遵守保密义务。

• 仅在用户或工作空间所有者同意的情况下，出于支持目的访问客户数据，并在规定期限后自动终止该授权。

用户责任

• 保护登录凭据，使用高强度且不重复的密码，并避免在其他服务中重复使用。

• 使用个人帐号而非共用帐号，且不共享登录信息。

• 对使用密码登录的帐号启用双重验证。

• 根据内部政策更新凭据，并在发现外部凭据泄露时及时更新。

• 选择并配置适合组织的身份验证方法，包括是否强制执行单点登录。

• 确保只有应获授权的用户才能访问工作空间，并在人员离职或变更角色时及时撤销其访问权限。自动撤销访问权限需要使用 SCIM；如果未使用 SCIM，则需手动撤销。

• 根据内部政策设置会话持续时间，并维护身份提供商访问权限丢失时的恢复程序。

• 控制 Notion 支持人员是否可以访问帐号或工作空间，并在不再需要时撤销该访问权限。

Notion 提供权限模型，用于决定经过验证的用户可以查看哪些内容以及执行哪些操作，同时提供用于设定共享边界的管理控制措施。客户负责决定如何将该模型应用于其客户数据，并审查由此产生的访问权限。

Notion 的责任

• 提供覆盖工作空间、团队协作区、页面和数据库各级别的权限模型（包括权限群组），并在整个产品中一致地执行该模型。

• 为成员和访客提供不同的访问权限，以便仅授予外部协作者对特定客户数据的访问权限，而非整个工作空间的访问权限。

• 提供管理控制措施，允许组织限制公开分享页面、访客访问、导出以及将页面移动或复制到其他工作空间。

• 提供控制措施，管理谁可以通过 Notion 网站、表单和公开链接等方式将客户数据发布到网上。

• 提供查看权限的工具，使组织能够识别谁有权访问页面、哪些页面已对外分享或发布到网上，并更改这些权限。

• 在提供 AI 和搜索功能时，遵守已配置的工作空间权限。

用户责任

• 确定客户数据的适当访问级别，并相应地应用权限。

• 决定是否允许外部协作和公开发布，并相应地配置管理控制措施。

• 了解访问权限如何继承。授予页面的访问权限默认也适用于其中嵌套的页面；如果通过多种方式获得访问权限，则以其中最高的权限级别为准。

• 定期审查访问权限，包括工作空间成员、访客、权限群组、对外分享的客户数据以及发布到网上的客户数据。

• 当协作者不再参与时，撤销其对客户数据的访问权限，包括访问权限不由组织身份提供商管理的访客和外部协作者。

• 确保发布到网络的客户数据是面向公众的，并相应地配置搜索引擎索引等选项。

• 在用户离职前，或在离职后仍可转移数据的有限期限内，转移该用户私人保存的客户数据。超过该期限后，这些数据通常无法恢复，且转移工具仅在企业版中提供。

Notion 代表客户存储和处理客户数据，并保护数据在传输和静态存储过程中的安全。客户决定将哪些数据存入 Notion、保留多久，以及这些数据涉及哪些法律义务。

Notion 的责任

• 根据主订阅协议、数据处理附录和适用的数据保护法处理客户数据。

• 使用 AES-256 或安全性同等或更高的行业标准算法，对云存储、数据库表和备份中的客户数据进行静态加密，并使用 TLS 1.2 或更高版本对传输中的数据进行加密。

• 维护并发布最新的第三方服务商列表。

• 为特定类别的客户数据提供数据驻留功能，让符合条件的组织选择这些数据的静态存储区域。

• 不使用客户数据来训练 Notion 的机器学习模型，并在合同中禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 提供允许客户导出、保留和删除其客户数据的功能，并根据协议在合同终止时删除客户数据。

• 与有需要的客户签订数据处理附录，并在适用的情况下签订商业伙伴协议。

用户责任

• 确定适合存储在 Notion 中的数据，并确保仅在具备必要协议和配置的情况下存储受监管的数据。

• 制定并执行数据保留规则，删除不再需要的客户数据。

• 配置产品中可用的保留和删除设置，以反映内部政策。

• 提交完整且准确的帐号数据，并在发现错误时及时更正。

• 履行工作空间中所持个人数据控制者的义务，包括向个人提供隐私信息、建立处理的合法依据，以及响应与客户数据相关的数据主体请求。

• 确定是否需要特定的数据驻留区域，在需要时提出请求，并了解哪些数据类别和哪些 Notion 产品不在该范围内。

• 查看 Notion 的 第三方服务商列表。

Notion 运营着保持服务可用性的基础设施，并维护该基础设施的备份，以用于恢复服务。客户负责使用 Notion 提供的工具恢复其自身的客户数据，并在其自身义务有要求时，持有该客户数据的独立副本。

Notion 的责任

• 按照服务级别条款中规定的可用性承诺运营 Notion 服务，并在多个可用区使用冗余基础设施。

• 发布服务的运行状态。

• 维护客户数据的自动化、加密和受监控的备份。

• 根据 Notion 针对所选数据驻留区域发布的 备份区域映射 存储备份。数据驻留仅适用于定义的客户数据类别。

• 维护并定期测试灾难恢复和业务连续性计划。

• 提供产品内恢复工具（包括垃圾箱和版本历史），允许客户自行恢复客户数据。

• 提供导出功能，允许客户获取其客户数据的副本。

用户责任

• 在用户套餐适用的保留期内，使用垃圾箱和版本历史恢复单个页面和客户数据。

• 在可配置的情况下，配置客户数据保留设置，以符合内部政策。

• 在内部政策、合同承诺或法规要求的保留期限超出产品提供的期限，或要求在 Notion 之外保存副本时，维护客户数据的独立副本。

• 按照适合这些要求的时间表生成导出文件，并验证导出文件是否完整。执行导出的帐号无权访问的客户数据不会包含在导出文件中。

• 在下载链接有效期内下载导出文件。

• 将服务不可用的可能性纳入用户自身业务连续性安排的规划中。

Notion 的备份能做什么、不能做什么

Notion 的备份用于恢复 Notion 服务，不是供客户使用的还原点，也无法将工作空间恢复到指定时间点的状态。客户应通过垃圾箱和版本历史自行恢复单项客户数据。客户数据超过适用的垃圾箱和数据保留期限后，就会被清除，无法恢复。客户不应依赖支持服务来保留数据。

导出功能会生成客户数据的可移植副本，格式包括 HTML、markdown、CSV 或 PDF，具体取决于导出类型和套餐。它不是完整的工作空间备份：导入已导出的客户数据不会重新创建工作空间原有的权限、设置或完整配置，并且可能需要手动重构。

Notion 会生成工作空间内相关活动的记录，并将其提供给组织。客户负责审查这些记录，在需要时予以保留，并根据记录显示的内容采取行动。

Notion 的责任

• 记录组织各工作空间内发生的安全与防护相关事件，包括操作者、操作内容、时间以及可获取的 IP 地址。

• 在产品内将审计日志历史记录保留一段规定的时间，并提供导出和流式传输机制，以便客户将其保留更长时间。

• 提供一种实时将事件流式传输到用户自己的安全监控平台的方法，并支持与数据丢失防护工具的连接。

• 监控 Notion 自身的基础设施、网络和系统是否存在恶意活动，并维护这些系统的内部日志。

用户责任

• 查看审计日志，调查并处理异常或未经授权的活动。

• 在日志数据超出保留期限前，导出或流式传输事件，以便按客户内部政策或法规要求保留这些数据。

• 在用户自己的环境中配置监控、警报以及任何安全或合规性连接，并确保这些集成保持正常运行。

• 根据组织的实际情况，确定哪些活动属于可疑活动，并指定负责审查的人员。

• 向 Notion 报告可能表明服务受到损害的可疑活动。

审计日志涵盖与不涵盖的内容

审计日志记录事件。日志条目和流式传输的数据会说明谁执行了什么操作，但不包含页面中的客户数据。

审计日志记录从组织获得该功能使用资格时开始。此前发生的活动记录无法追溯获取。

Notion 开发、运营并维护 Notion 服务及其运行的基础设施，包括保护和修补该基础设施。客户负责其访问 Notion 的环境。

Notion 的责任

• 开发、测试、修补并维护 Notion 应用程序及支持它的基础设施。服务更新由 Notion 实施，客户无需采取任何操作。

• 针对新版本进行威胁建模和安全设计审查，并执行代码审计、代码审查以及代码库的安全扫描。

• 委托进行年度独立渗透测试。

• 在 Notion 的系统中实施并管理网络安全。

• 监控 Notion 的基础设施、网络和资产是否存在恶意活动。

• 运营一个公开的漏洞披露计划，并委托进行独立渗透测试。

• 保护 Notion 自身的企业系统和员工设备，包括静态数据加密、端点检测与响应以及集中式设备管理。

• 发布 Notion 客户端应用程序并向其提供更新。

用户责任

• 维护受支持且已适当安装补丁的端点环境（包括网页浏览器），并管理可能阻碍 Notion 客户端更新的控制措施。

• 保护用于访问 Notion 的设备和网络，并符合用户自身的端点安全标准。

• 如果 Notion 客户端更新是集中管理的，请确保及时应用更新。推迟或禁用自动更新会将及时修补客户端的责任转移给用户。

• 确保安装配置不会阻止用户接收更新。

• 向 Notion 报告 Notion 服务中疑似存在的漏洞，而不是利用或公开披露这些漏洞。

责任边界在哪里

Notion 会修补 Notion 服务。客户无需对 Notion 应用补丁，服务器端更新无需客户采取任何操作。

客户端应用程序则不同。Notion 会发布更新，但设备能否收到更新取决于其配置和管理方式。如果组织管理安装或更新，保持客户端为最新版本就是该组织的责任。

Notion 提供 API、集成平台和 AI 功能，这些功能可以处理客户数据并访问连接的系统。客户负责决定启用哪些功能、授予它们什么访问权限以及如何管理它们。

Notion 的责任

• 提供并维护 Notion API、集成平台、连接和 AI 功能。

• Notion AI、Notion 代理和 AI 连接器遵循用户权限。自定义代理使用明确授予它们的权限，这些权限可能与使用代理的用户拥有的权限不同。

• 提供管理选项，用于决定哪些集成和外部 AI 工具可以安装、哪些代理可以创建，以及是否启用 AI 功能。

• 提供启用或禁用 AI 网络搜索的管理选项，并要求在发起外部网络请求前确认。

• 维护旨在检测和降低提示词注入风险的防御措施，包括检测第三方内容和上传文件中的隐藏指令、限制链接处理，以及在代理自主行动时进行额外检查。

• 不得使用客户数据来训练 Notion 的模型，并在合同中禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 在审计日志中记录集成、连接、代理和外部 AI 工具的活动。

用户责任

• 确定哪些集成、连接、AI 功能和代理适合组织，并据此配置可用的管理选项。

• 在授权集成或连接之前，审查其请求的访问权限和功能，并确认第三方服务符合用户自身的供应商要求。

• 管理内部集成令牌，包括限制其分发、轮换令牌以及撤销不再需要的令牌。

• 管理代理的创建和配置，包括每个代理可访问的客户数据和已连接的工具，并定期检查这些访问权限。

• 客户必须确保代理权限的范围设定得当。

• 确定是否可以为需要使用数据保留型模型的功能启用此类模型。

• 确保通过连接系统提供给 Notion 的客户数据适用于该目的，并确保在连接系统中授予的访问权限本身已正确限定范围。

• 告知用户，源自工作空间外部的客户数据（包括网页和上传的文件）可能会尝试影响 AI 行为。

客户应了解的有关连接数据的信息

通过连接授予的访问权限，其范围取决于连接系统中授予的权限。Notion 会强制执行连接系统报告的权限，但不会修复源系统中过于宽泛的权限。

连接系统中的权限更改会在同步间隔后反映在 Notion 中，而不是立即生效，并且新添加或删除的客户数据可能需要一段时间才能显示或变得不可用。

Notion 负责保障 Notion 服务的安全，并在安全事件影响客户数据时通知客户。客户负责应对涉及其自身帐号、工作空间和客户数据的事件，包括履行其应承担的任何通知义务。

Notion 的责任

• 维护一份成文的事件响应方案，并定期进行测试。

• 检测、分类、调查、遏制并修复影响 Notion 系统及 Notion 所持有的客户数据的安全事件。

• 根据《数据处理附录》和适用法律，将安全事件通知受影响的客户。

• 开展事件后复盘，包括根本原因分析，并将所得结论应用于 Notion 的控制措施和响应方案。

• 发布服务运行状态，并通报影响服务可用性的事件。

• 实施漏洞披露方案，并对报告的漏洞进行分类处理和修复。

用户责任

• 通过适当渠道及时向 Notion 报告可疑安全事件、帐号被盗用、可疑漏洞和服务滥用行为。

• 检测并应对用户自身工作空间和帐号内发生的事件，包括登录凭据泄露、不当共享以及内部用户滥用服务。

• 维护用户自身的事件响应安排，并明确由谁负责对在 Notion 中发现的活动采取应对措施。

• 采取产品内可用的遏制措施，包括移除访问权限、撤销会话、重置登录凭据、撤销集成令牌，以及撤回已发布的客户数据。

• 保留相关证据，包括在审计日志记录超出保留期限之前将其导出。

• 确定事件是否触发了用户对监管机构、客户或受影响个人的通知义务，并进行相应通知。

• 及时更新管理和安全联系信息，确保 Notion 的通知能够送达相关人员。

• 向 Notion 报告可疑漏洞，而不是利用它们或公开披露它们。

各方负责检测哪些事件

Notion 会监控自身的基础设施，并能够检测影响服务的事件。但对于工作空间内其他方面均有效的操作，Notion 无法判断其是否已按用户的内部政策获得授权。客户负责监控工作空间活动并应对滥用行为。

这包括成员发布机密客户数据、离职员工导出数据，或登录凭据被其合法持有人滥用等事件。能否检测并应对这些事件，取决于用户是否查看活动记录并运用可用的管理选项。

Notion 维护着一套经过独立审计的信息安全与隐私管理体系，并提供相关文件。客户需自行判断 Notion 是否适合满足自身的监管要求，并据此进行配置。

Notion 的责任

• 按照适用的审计和认证周期，维护经独立评估的安全与隐私管理体系。

• 通过 Notion 信任中心 向客户和潜在客户提供合规性文件，包括审计报告和认证。

用户责任

• 确定 Notion 是否适合存储用户想要存储的数据，以及能否满足适用于用户的监管要求。

• 签署该用途所需的协议，包括适用的数据处理附录或商业伙伴协议。

• 按照这些协议进行配置，包括启用合规专用设置及其所依赖的安全功能。

• 完成用户自身的评估，包括供应商风险评估和法律要求的任何数据保护影响评估。

• 作为用户自身合规保障和变更管理流程的一部分，审查 Notion 的认证、审计报告和第三方服务商列表。

• 向用户自身的审计师和监管机构证明，用户对 Notion 的配置和使用符合适用于用户的义务。

认证涵盖的范围

Notion 的独立第三方认证和审计报告涵盖 Notion 实施的控制措施，但不涵盖各个组织配置或使用 Notion 的方式。

存储受监管数据的工作空间并不会因为 Notion 获得认证而自动合规。如果某项义务取决于配置（例如限制共享、强制执行单点登录、保留审计记录或限制数据存储位置），则履行该义务仍是用户的责任。

Notion 设定了服务的使用条款并执行这些条款。客户需对其自身使用 Notion 的行为以及其工作空间中存储的客户数据负责。

Notion 的责任

• 发布并维护内容与使用政策、相关的条款以及相关政策。

• 让任何浏览公开 Notion 页面的人员都能举报他们认为违反规定的客户数据。

• 调查举报，并在确定存在违规行为时删除客户数据或限制访问。

• 对滥用行为较多的使用类别加强审查，并在必要时暂停或终止访问权限，以保障服务可用。

用户责任

• 按照条款和内容与使用政策使用 Notion，并确保通过用户订阅使用 Notion 的人员也遵守这些规定。

• 确保存储在 Notion 中、从 Notion 共享或通过 Notion 发布的客户数据符合这些政策和适用法律。

• 当用户通过Notion分发用户生成的客户数据时，对他人贡献的客户数据进行审核。

• 在预期用途范围内使用Notion，且不试图规避、禁用或干扰其安全控制。

• 仅通过Notion的漏洞披露计划并在其条款范围内对Notion进行任何安全测试。

• 诚信使用支持和报告渠道。