已共享責任模型

此共同責任模型確保 Notion 及其客戶攜手合作，創造安全且有效的工作空間體驗。

請參閱 Notion 的 MSA 與 DPA，了解已定義的術語。

Notion 是讓你思考、寫作和規劃的單一空間。這個一體化空間讓使用者建立自己的工具，發揮最佳工作表現。使用者將工作與個人資訊託付給 Notion，也透過 連接 和 AI 功能，授予 Notion 存取其他系統中資訊的權限。

共同責任模型（SRM）是一個概述服務提供者與其使用者之間責任劃分的框架。它明確定義了每一方所負責的安全與營運任務。

本文件概述了 Notion 與其客戶在保護及維護 Notion 系統、使用者帳號與工作空間安全方面的共同責任。

Notion SRM 明確說明 Notion 與客戶各自負責哪些流程、作業或控制措施。這讓 Notion 能專注於最能保障其系統機密性、完整性與可用性的領域，並承擔相關責任；同時指出哪些方面更適合由客戶保護自己的帳號、工作空間與客戶資料。整體而言，這有助於更安全、有效率地保護 Notion 系統與帳號。

SRM 也提升了 Notion 服務交付方式的透明度，讓客戶獲得評估 Notion 時所需的資訊，以納入其自身的風險與保證流程中，並支援 Notion 及其客戶履行各自在適用之當地、區域、國家與國際法規下的義務。

簡而言之：Notion 負責建構、營運與保護 Notion 服務的架構。客戶則負責如何設定與使用該服務，包括保護其憑證、管理誰擁有其工作空間與客戶資料的存取權限，以及遵守 內容與使用政策 及其他相關 條款。

本文件所述的部分責任僅能由在工作空間或組織中擁有較高權限的客戶執行。適當指派這些權限是使用者的責任。

用於履行特定責任的工具會因方案而異。若某項功能僅限於特定訂閱方案，訂閱方案未提供該功能的客戶仍須對相關結果負責，並應考慮替代的控制措施。

Notion 提供驗證方法與管理控制措施，以管理使用者登入 Notion 的方式，以及授予與移除工作空間存取權限的方式。客戶有責任選擇並設定適合其組織的控制措施，並保護用於存取其帳號的憑證。

Notion 的責任

• 提供並操作驗證方法，包括電子郵件與密碼、Google 與 Apple 登入，以及適用於商業版與企業版方案工作空間的 SAML 2.0 單一登入。

• 為使用密碼登入的帳號提供雙重驗證，可使用驗證器應用程式或簡訊驗證碼。

• 提供 SCIM API，讓企業版組織能透過其身分識別提供者，自動建立、更新及移除使用者。

• 提供管理控制項，以規範工作階段持續時間、強制登出、密碼重設、帳號暫停與網域驗證。

• 網域用於控制其使用者如何登入 Notion 前，必須先提供經驗證的網域擁有權證明。

• 當使用者從工作空間移除時，撤銷該使用者對客戶資料的存取權限。提供控制項，讓組織能終止其受管理使用者的工作階段並重設其憑證。

• 在 Notion 自身的基礎架構中落實最小權限原則的存取權限控管，並要求 Notion 員工與承包商遵守保密義務。

• 僅在使用者或工作空間擁有者同意的情況下，才為支援目的存取客戶資料，並在指定期限後自動使該同意失效。

使用者責任

• 保護登入憑證，使用高強度且不重複的密碼，並避免在其他服務中重複使用。

• 使用個人帳號而非共用帳號，且不分享登入資訊。

• 在以密碼登入的帳號上使用雙重驗證。

• 依照內部政策更新憑證，若發現外部憑證外洩，則應立即更新。

• 選取並設定適合該組織的驗證方法，包括是否強制執行單一登入。

• 確保只有應獲授權的使用者能存取工作空間，並在人員離職或職務異動時立即移除其存取權限。自動取消佈建需要使用 SCIM；若未使用 SCIM，則需手動移除。

• 依照內部政策設定工作階段持續時間，並維護身分識別提供者存取權限遺失時的復原程序。

• 控制 Notion 支援團隊是否能存取帳號或工作空間，並在不再需要時撤銷該存取權限。

Notion 提供權限模型，決定完成驗證的使用者可以查看哪些內容、執行哪些操作，並提供管理控制項，設定分享範圍。客戶則需決定如何將此模型套用至客戶資料，並審查依此設定的存取權限。

Notion 的責任

• 提供在工作空間、團隊協作區、頁面與資料庫層級運作的權限模型（包含權限群組），並在整個產品中一致地執行。

• 提供成員與訪客不同的存取權限，讓外部協作者僅能存取特定的客戶資料，而非整個工作空間。

• 提供管理控制項，讓組織能限制公開頁面共享、訪客存取權限、匯出，以及將頁面移動或複製到其他工作空間。

• 提供控制項以規範誰能將客戶資料發布至網路，包括 Notion 網站、表單與公開連結。

• 提供檢視工具，讓組織能查看誰擁有頁面的存取權限、哪些頁面已對外共享或發布至網路，並變更相關權限。

• 在提供 AI 與搜尋功能時，遵循已設定的工作空間權限。

使用者責任

• 判斷客戶資料適用的存取權限層級，並據此套用權限。

• 決定是否允許外部協作與公開發布，並設定可用的控制選項以反映該決策。

• 了解存取權限是如何繼承的。授予頁面的存取權限預設會延伸至其中嵌套的頁面，且透過多種途徑授予的存取權限會以所授予的最高層級為準。

• 定期審查存取權限，包括工作空間成員、訪客、權限群組、對外共享的客戶資料，以及發布至網路的客戶資料。

• 當協作者的參與結束時，移除其對客戶資料的存取權限，包括未透過組織身分識別提供者管理存取權限的訪客與外部協作者。

• 確保發布至網路的客戶資料原本就是供公眾閱覽，並據此設定搜尋引擎索引等選項。

• 在使用者離職前，或仍可轉移資料的有限期限內，轉移該使用者私人持有的客戶資料。期限過後，私人客戶資料通常無法復原，且轉移工具僅適用於企業版。

Notion 代表客戶儲存並處理客戶資料，並在傳輸與靜態儲存時保護該資料。客戶可決定將哪些資料放入 Notion、保留多久，以及適用於該資料的法律義務。

Notion 的責任

• 依照主訂閱協議、資料處理附錄及適用的資料保護法處理客戶資料。

• 使用 AES-256 或提供同等或更強安全性的業界標準演算法，對靜態儲存的客戶資料進行加密（包含雲端儲存、資料庫表格及備份），並使用 TLS 1.2 或更高版本對傳輸中的資料進行加密。

• 維護並發布最新的轉包處理器列表。

• 針對特定類別的客戶資料提供資料駐留服務，讓符合資格的組織能選取該資料靜態儲存的區域。

• 不使用客戶資料來訓練 Notion 的機器學習模型，並在合約中禁止 AI 轉包處理器在未經客戶明確同意的情況下進行此類行為。

• 提供讓客戶能匯出、保留及刪除其客戶資料的功能，並依照合約規定在合約終止時刪除客戶資料。

• 與有需要的客戶簽署資料處理附錄，並在適用時簽署商業夥伴協議。

使用者責任

• 決定哪些資料適合儲存在 Notion 中，並確保受監管的資料僅儲存在已具備必要協議與設定的地方。

• 建立並執行保留實務，並刪除不再需要的客戶資料。

• 設定產品中可用的保留與刪除設定，以反映內部政策。

• 提交完整且準確的帳號資料，並在發現錯誤時立即修正。

• 履行工作空間中所持有個人資料控制者應盡的義務，包括向個人提供隱私權資訊、建立處理資料的合法基礎，以及回應與客戶資料相關的資料主體請求。

• 判斷是否需要特定的資料駐留區域、在需要時提出請求，並了解哪些資料類別與 Notion 產品不在該範圍內。

• 審閱 Notion 的 轉包處理器列表。

Notion 負責營運維持服務可用性的基礎架構，並維護該基礎架構的備份以利復原服務。客戶有責任使用 Notion 提供的工具復原其自身的客戶資料，並在自身義務有要求時，保留一份獨立的客戶資料副本。

Notion 的責任

• 依照服務水準條款中規定的可用性承諾營運 Notion 服務，並在多個可用區使用備援基礎架構。

• 發布服務的 營運狀態。

• 維護自動化、加密且受監控的客戶資料備份。

• 根據 Notion 針對所選資料駐留區域發布的備份區域對應資訊儲存備份。資料駐留僅適用於特定類別的客戶資料。

• 維護並定期測試災害復原與業務持續性計畫。

• 提供產品內復原工具（包括垃圾桶與版本記錄），讓客戶能自行還原客戶資料。

• 提供匯出功能，讓客戶能取得其客戶資料的副本。

使用者責任

• 在使用者方案適用的保留期限內，使用垃圾桶與版本記錄復原個別頁面與客戶資料。

• 設定客戶資料保留選項（如有提供），以符合內部政策。

• 若內部政策、合約承諾或法規要求保留期限超過產品提供的範圍，或要求在 Notion 之外持有副本，則需維護一份獨立的客戶資料副本。

• 依照符合這些需求的排程進行匯出，並驗證匯出內容是否完整。匯出帳號沒有存取權限的客戶資料將不包含在匯出內容中。

• 在下載連結有效的期限內擷取匯出檔案。

• 將服務無法使用的可能性納入使用者自身的業務持續運作安排。

Notion 備份的用途與限制

Notion 備份的用途是還原 Notion 服務。這些備份並非供客戶使用的還原點，也無法用於將工作空間恢復至特定時間點的狀態。個別客戶資料由客戶透過垃圾桶與版本記錄自行復原。一旦客戶資料超過適用的垃圾桶與保留期限，資料將被清除且無法還原。客戶不應依賴支援服務作為資料保留機制。

匯出功能會產生一份可攜式的客戶資料副本，格式包括 HTML、Markdown、CSV 或 PDF，具體取決於匯出類型與方案。這並非完整的工作空間備份：匯入已匯出的客戶資料無法重建工作空間原有的權限、設定或完整配置，且可能需要手動重整結構。

Notion 會產生工作空間內相關活動的紀錄，並提供給組織使用。客戶有責任審閱這些紀錄、在必要時予以保留，並針對紀錄顯示的內容採取行動。

Notion 的責任

• 記錄組織工作空間中發生的安全性與防護相關事件，包括執行者、動作、時間，以及可取得的 IP 位址。

• 在產品內將稽核記錄檔保留一段指定期間，並提供匯出與串流機制，以便客戶能更長時間地保留這些紀錄。

• 提供將事件即時串流至使用者自身安全性監控平台的管道，並支援與資料外洩防護工具的連接。

• 監控 Notion 自身的基礎架構、網路與系統是否有惡意活動，並維護這些系統的內部記錄檔。

使用者責任

• 審閱稽核記錄檔中的活動，並調查與處理看似異常或未經授權的活動。

• 根據客戶自身的內部政策或法規要求，在記錄檔資料超出保留期限前，透過匯出或串流事件的方式將其保留。

• 設定使用者自身環境中的監控、警示以及任何安全性或合規性連接，並確保這些整合功能維持運作。

• 定義組織環境中何謂可疑活動，並指派負責審閱的人員。

• 若可疑活動可能顯示服務遭到入侵，請向 Notion 提交可疑活動報告

稽核記錄檔涵蓋哪些內容？

稽核記錄檔會記錄事件。記錄檔項目與串流傳送的資料會說明執行了哪些動作、由誰執行，但不包含頁面中的客戶資料。

稽核記錄檔會在組織符合使用該功能的資格時開始記錄。在此之前發生的活動無法回溯取得。

Notion 開發、營運並維護 Notion 服務及其運作所在的基礎架構，包括保護與修補該基礎架構。客戶需自行負責其存取 Notion 的環境。

Notion 的責任

• 開發、測試、修補並維護 Notion 應用程式及支援該應用程式的基礎架構。服務更新由 Notion 執行，客戶無需採取任何動作。

• 針對新版本進行威脅建模與安全設計審查，並執行程式碼稽核、程式碼審查以及程式碼庫的安全掃描。

• 每年委託進行獨立滲透測試。

• 在 Notion 的系統中實作並管理網路安全。

• 監控 Notion 的基礎架構、網路與資產是否有惡意活動。

• 營運公開的 漏洞揭露計畫，並委託獨立滲透測試。

• 保護 Notion 自身的企業系統與員工裝置，包括靜態資料加密、端點偵測與回應，以及集中式裝置管理。

• 發布 Notion 用戶端應用程式並提供更新。

使用者責任

• 維護受支援且已適當修補的端點環境（包括網頁瀏覽器），並管理任何可能阻礙 Notion 用戶端更新的安全控制措施。

• 保護用於存取 Notion 的裝置與網路，並符合使用者自身的端點安全標準。

• 若 Notion 用戶端更新採集中管理，需確保更新能持續及時套用。延遲或停用自動更新，即代表將用戶端及時修補的責任轉移給使用者。

• 確保安裝設定不會阻礙使用者接收更新。

• 向 Notion 報告 Notion 服務中疑似存在的漏洞，而非利用或公開揭露這些漏洞。

責任邊界在哪裡

Notion 會修補 Notion 服務。客戶無需對 Notion 套用修補程式，且伺服器端更新無需客戶採取任何行動。

用戶端 應用程式則不同。Notion 會發布更新，但特定裝置是否能接收更新，取決於該裝置的設定與管理方式。若組織管理安裝或更新行為，則保持用戶端為最新版本即為該組織的責任。

Notion 提供 API、整合平台以及可對客戶資料採取行動並存取已連線系統的 AI 功能。客戶需自行決定啟用哪些功能、授予何種存取權限，以及如何管理這些功能。

Notion 的責任

• 提供並維護 Notion API、整合平台、連接以及 AI 功能。

• 在 Notion AI、Notion 代理程式與 AI 連接器中遵循使用者權限。自訂代理程式使用各自獲明確授予的權限，這些權限可能與和代理程式互動的人員所擁有的權限不同。

• 提供管理控制項，以規範可安裝哪些整合與外部 AI 工具、可建立哪些代理程式，以及是否啟用 AI 功能。

• 提供控制項以啟用或停用 AI 網頁搜尋，並要求在進行外部網路請求前進行確認。

• 維護旨在偵測並降低（文字）指令注入風險的防禦措施，包括偵測第三方內容和上傳檔案中的隱藏指示、限制連結處理，以及在代理程式自主運作時進行額外檢查。

• 不使用客戶資料訓練 Notion 的模型，並透過合約禁止 AI 轉包處理器在未經客戶明確同意的情況下使用客戶資料進行訓練。

• 在稽核記錄檔中記錄整合、連接、代理程式及外部 AI 工具的活動。

使用者責任

• 決定哪些整合、連接、AI 功能和代理程式適合該組織，並設定可用的控制項以反映該決定。

• 在授權整合或連接之前，審查其所請求的存取權限與功能，並確認該第三方服務符合使用者自身的供應商要求。

• 管理內部整合權杖，包括限制其分發、輪替權杖，以及撤銷不再需要的權杖。

• 管理代理程式的建立與設定，包括每個代理程式可存取的客戶資料與已連接的工具，並定期審查該存取權限。

• 客戶必須確保代理程式的權限範圍設定得當。

• 針對必須使用會保留資料的模型的功能，決定是否啟用這類模型。

• 確保透過已連接的系統提供給 Notion 的客戶資料適用於該目的，並確保在已連接的系統中所授予的存取權限本身已正確設定範圍。

• 讓使用者了解源自工作空間外部的客戶資料（包括網頁和上傳的檔案）可能會嘗試影響 AI 行為。

關於已連接的資料，客戶應了解的事

透過連接授予的存取權限，僅限於連接的系統中所授予的權限範圍。Notion 會強制執行連接的系統所回報的權限，但不會修正來源系統中過於寬鬆的權限。

連接的系統中的權限變更會在同步間隔後反映在 Notion 中，而非立即生效；新增或刪除的客戶資料可能需要一些時間才會顯示或變得無法存取。

Notion 負責 Notion 服務的安全性，並在事件影響客戶資料時通知客戶。客戶須自行負責因應涉及自身帳號、工作空間及客戶資料的事件，包括發出任何應由客戶發出的通知。

Notion 的責任

• 維護書面事件回應方案，並定期測試。

• 偵測、評估、調查、遏止並補救影響 Notion 系統及 Notion 所持有客戶資料的安全事件。

• 依據資料處理附錄及適用法律，就安全事件通知受影響的客戶。

• 進行事件後審查，包括根本原因分析，並將調查結果用於改善 Notion 的控制措施與事件回應方案。

• 發布服務運作狀態，並通報影響服務可用性的事件。

• 營運漏洞揭露計畫，並對回報的漏洞進行分類與修復。

使用者責任

• 透過適當管道，及時向 Notion 報告疑似安全事件、帳號遭盜用、疑似漏洞以及服務濫用情形。

• 偵測並回應使用者自身工作空間和帳號內發生的事件，包括憑證外洩、不當共享以及內部使用者濫用。

• 維護使用者自身的事件應變安排，並定義由誰負責處理在 Notion 中識別出的活動。

• 採取產品內可用的遏制措施，包括移除存取權限、撤銷工作階段、重設憑證、撤銷整合權杖，以及撤回已發布的客戶資料。

• 保存相關證據，包括在稽核記錄檔中的記錄超出保留期限前將其匯出。

• 判斷事故是否觸發使用者對監管機構、客戶或受影響個人的通知義務，並進行該通知。

• 保持管理和安全聯絡資訊為最新狀態，以便 Notion 的通知能傳達給正確的人員。

• 向 Notion 報告疑似漏洞，而非利用漏洞或公開揭露。

哪一方偵測到什麼

Notion 會監控自身的基礎設施，並能偵測影響服務的事件。但工作空間中的動作即使看似有效，Notion 也無法判斷該動作是否符合使用者內部政策的授權規定。客戶有責任監控工作空間活動，並因應濫用行為。

這包括成員發布機密客戶資料、離職員工匯出資料，或憑證遭其合法持有人濫用等事故。偵測並回應這些事件取決於使用者對活動記錄的審查以及其可用的控制措施。

Notion 維護經獨立稽核的資訊安全與隱私計畫，並提供相關文件。客戶須自行判斷 Notion 是否適合用於履行自身的法規義務，並據此設定。

Notion 的責任

• 依照適用的稽核與認證週期，維持經獨立評估的安全與隱私計畫。

• 透過 Notion Trust Center 向客戶與潛在客戶提供合規文件，包括稽核報告與認證。

使用者責任

• 判斷 Notion 是否適合儲存使用者預定的資料，以及履行適用於使用者的法規義務。

• 簽署該用途所需的協議，包括適用的資料處理附錄或商業夥伴協議。

• 套用協議要求的設定，包括啟用合規專用設定及這些設定所需的安全功能。

• 完成使用者自身的評估，包括供應商風險評估以及法律要求的任何資料保護影響評估。

• 審閱 Notion 的認證、稽核報告以及轉包處理器列表，作為使用者自身保證與變更管理流程的一部分。

• 向使用者自身的稽核人員與監管機構證明，使用者對 Notion 的設定與使用方式符合應履行的義務。

認證涵蓋的範圍

Notion 的獨立第三方認證與稽核報告涵蓋由 Notion 執行的控制措施，但不涵蓋個別組織如何設定或使用 Notion。

即使 Notion 已取得認證，儲存受法規管制資料的工作空間也不會因此自動合規。如果履行義務有賴於特定設定，例如限制分享、強制使用單一登入、保留稽核記錄，或限制資料儲存位置，相關責任仍由使用者承擔。

Notion 設定服務的使用條款並執行這些條款。客戶需對其自身使用 Notion 的行為以及其工作空間中持有的客戶資料負責。

Notion 的責任

• 發布並維護 內容與使用政策、相關 條款 以及相關政策。

• 提供機制，讓瀏覽公開 Notion 頁面的任何人都能報告疑似違規的客戶資料。

• 調查收到的報告，並在確認違規時移除客戶資料或限制存取權限。

• 針對與較高濫用率相關的使用類別加強審查，並在必要時暫停或終止存取權限，以確保服務持續可供使用。

使用者責任

• 依照條款及《內容與使用政策》使用 Notion，並確保透過使用者訂閱使用 Notion 的人員也遵守相同規定。

• 確保儲存於 Notion、從 Notion 分享或透過 Notion 發布的客戶資料符合這些政策及適用法律。

• 當使用者透過 Notion 發布使用者產生的客戶資料時，需審核他人提供的客戶資料。

• 在設計容量範圍內使用 Notion，不得嘗試規避、停用或干擾其安全控制措施。

• 僅透過 Notion 的漏洞揭露計畫並在其條款範圍內對 Notion 進行任何安全性測試。

• 誠信使用支援與報告管道。