Gedeeld verantwoordelijkhedenmodel

Dit Gedeeld verantwoordelijkheidsmodel zorgt ervoor dat Notion en zijn klanten samenwerken om een veilige en effectieve Workspace-ervaring te creëren.

Raadpleeg de MSA en DPA van Notion voor gedefinieerde termen.

Notion is een centrale workspace waar je kunt denken, schrijven en plannen. Als een alles-in-één workspace waarmee gebruikers hun eigen tools kunnen bouwen om hun beste werk te doen, vertrouwen gebruikers Notion hun professionele en persoonlijke informatie toe, en via koppelingen en AI-functies ook toegang tot informatie die in andere systemen wordt bewaard.

Een Gedeeld verantwoordelijkheidsmodel (SRM) is een raamwerk dat de verdeling van verantwoordelijkheden tussen een dienstverlener en zijn gebruikers schetst. Het definieert duidelijk welke beveiligings- en operationele taken door welke partij worden afgehandeld.

Dit document schetst de verantwoordelijkheden die worden gedeeld tussen Notion en zijn klanten bij het beschermen en onderhouden van de beveiliging van de systemen, gebruikersaccounts en Workspaces van Notion.

Het SRM van Notion biedt zowel Notion als zijn klanten duidelijkheid over welke partij verantwoordelijk is voor specifieke processen, operaties of controles. Hierdoor kan Notion zich concentreren op, en verantwoordelijkheid nemen voor, de gebieden waar wij de vertrouwelijkheid, integriteit en beschikbaarheid van de systemen van Notion het beste kunnen beschermen, terwijl we identificeren waar klanten beter in staat zijn om hun eigen accounts, Workspaces en klantgegevens te beveiligen. Over het algemeen verbetert dit de beveiliging en efficiëntie bij het beschermen van de systemen en accounts van Notion.

Het SRM bevordert ook transparantie in de manier waarop de diensten van Notion worden geleverd, waardoor klanten de informatie krijgen die ze nodig hebben om Notion te beoordelen binnen hun eigen risico- en borgingsprocessen, en ondersteunt zowel Notion als zijn klanten bij het voldoen aan hun respectievelijke verplichtingen onder toepasselijke lokale, regionale, nationale en internationale regelgeving.

Kortom: Notion is verantwoordelijk voor het bouwen, exploiteren en beschermen van de architectuur van de Notion-dienst. Klanten zijn verantwoordelijk voor de manier waarop zij die dienst configureren en gebruiken, inclusief het beschermen van hun inloggegevens, het beheren van wie toegang heeft tot hun Workspaces en klantgegevens, en het naleven van het content & Use policy en andere relevante voorwaarden.

Sommige verantwoordelijkheden die in dit document worden beschreven, kunnen alleen worden uitgevoerd door Klanten met verhoogde rechten in een Workspace of organisatie. Het is de verantwoordelijkheid van de gebruiker om die rechten op de juiste wijze toe te wijzen.

De tools die beschikbaar zijn om aan een bepaalde verantwoordelijkheid te voldoen, variëren per Abonnement. Wanneer een mogelijkheid beperkt is tot specifieke Abonnementen, blijven Klanten met Abonnementen zonder die mogelijkheid verantwoordelijk voor het onderliggende resultaat en dienen zij alternatieve controles te overwegen.

Notion biedt de authenticatiemethoden en administratieve controles die bepalen hoe mensen inloggen bij Notion en hoe toegang tot de Workspace wordt verleend en ingetrokken. Klanten zijn verantwoordelijk voor het selecteren en configureren van de controles die geschikt zijn voor hun organisatie, en voor het beschermen van de inloggegevens die worden gebruikt om toegang te krijgen tot hun accounts.

Verantwoordelijkheden van Notion

• Bied authenticatiemethoden aan en beheer deze, inclusief e-mail en wachtwoord, Google- en Apple-inloggegevens, en SAML 2.0 eenmalige aanmelding voor Workspaces op de Business- en Enterprise-abonnementen.

• Bied tweefactorauthenticatie voor accounts die inloggen met een wachtwoord, met behulp van een authenticator-app of een sms-code.

• Bied SCIM-API's aan waarmee Enterprise-organisaties het aanmaken, bijwerken en verwijderen van gebruikers vanuit hun identiteitsprovider kunnen automatiseren.

• Bied administratieve controles aan die sessieduur, gedwongen uitloggen, wachtwoordreset, accountopschorting en domeinverificatie regelen.

• Vereis geverifieerd bewijs van domeineigendom voordat een domein kan worden gebruikt om te bepalen hoe de gebruikersbasis inlogt bij Notion.

• Trek de toegang van een gebruiker tot klantgegevens in wanneer die gebruiker uit de Workspace wordt verwijderd. Bied controles aan waarmee een organisatie sessies kan beëindigen en inloggegevens kan resetten voor de gehele beheerde gebruikersbasis.

• Handhaaf toegangscontroles met de minste privileges binnen de eigen infrastructuur van Notion, en vereis dat Notion-werknemers en contractanten gebonden zijn aan vertrouwelijkheidsverplichtingen.

• Krijg alleen toegang tot klantgegevens voor ondersteuningsdoeleinden wanneer een gebruiker of Workspace-eigenaar toestemming heeft gegeven, en laat die toestemming automatisch verlopen na een gedefinieerde periode.

Verantwoordelijkheden van de gebruiker

• Inloggegevens beschermen, sterke en unieke wachtwoorden gebruiken en hergebruik bij andere diensten vermijden.

• Individuele accounts onderhouden in plaats van gedeelde accounts, en inloggegevens niet delen.

• Tweefactorauthenticatie gebruiken op accounts die inloggen met een wachtwoord.

• Inloggegevens bijwerken in overeenstemming met het interne beleid, en onverwijld wanneer een extern lek van inloggegevens wordt vastgesteld.

• De authenticatiemethoden selecteren en configureren die geschikt zijn voor de organisatie, inclusief of eenmalige aanmelding verplicht is.

• Ervoor zorgen dat Workspace-toegang beperkt is tot de beoogde gebruikers, en dat toegang onverwijld wordt verwijderd wanneer iemand vertrekt of van rol verandert. Geautomatiseerde deprovisioning vereist SCIM; waar dit niet in gebruik is, is verwijdering een handmatig proces.

• Sessieduur instellen in overeenstemming met het interne beleid, en een herstelprocedure onderhouden voor verlies van toegang tot de identiteitsprovider.

• Controleren of Notion support toegang kan krijgen tot een account of Workspace, en die toegang intrekken wanneer deze niet langer vereist is.

Notion biedt het machtigingsmodel dat bepaalt wat een geauthenticeerde gebruiker kan zien en doen, samen met administratieve controles die de grenzen voor het delen bepalen. Klanten zijn verantwoordelijk voor het beslissen hoe dat model wordt toegepast op hun klantgegevens, en voor het controleren van de resulterende toegang.

Verantwoordelijkheden van Notion

• Bied een machtigingsmodel aan dat werkt op Workspace-, Teamspace-, pagina- en databaseniveau, inclusief machtigingsgroepen, en dwing dit consistent af in het hele product.

• Bied afzonderlijke toegang voor leden en gasten, zodat externe samenwerkers toegang kunnen krijgen tot specifieke klantgegevens in plaats van tot een volledige Workspace.

• Bied administratieve controles aan waarmee een organisatie het openbaar delen van pagina's, gasttoegang, Exporteren en het verplaatsen of dupliceren van pagina's naar andere Workspaces kan beperken.

• Bied controles aan die bepalen wie klantgegevens op het web mag publiceren, inclusief Notion Sites, Formulieren en openbare links.

• Zorg voor inzichttools waarmee een organisatie kan identificeren wie toegang heeft tot een pagina, welke pagina's extern worden gedeeld of op het web zijn gepubliceerd, en waarmee deze machtigingen kunnen worden gewijzigd.

• Respecteer geconfigureerde Workspace-machtigingen bij het bieden van AI- en Snelzoeken-functies.

Verantwoordelijkheden van de gebruiker

• Het bepalen van het juiste toegangsniveau voor klantgegevens en het dienovereenkomstig toepassen van machtigingen.

• Beslissen of externe samenwerking en openbare publicatie zijn toegestaan, en de beschikbare controles configureren om die beslissing te weerspiegelen.

• Begrijpen hoe toegang wordt overgeërfd. Toegang die aan een pagina is verleend, strekt zich standaard uit tot de pagina's die erin geïntegreerd zijn, en toegang die via meerdere routes is verleend, wordt toegekend op het hoogste verleende niveau.

• Periodiek controleren van toegang, inclusief Workspace-leden, gasten, machtigingsgroepen, extern gedeelde klantgegevens en klantgegevens die op het web zijn gepubliceerd.

• Toegang tot klantgegevens verwijderen wanneer de betrokkenheid van een samenwerker eindigt, inclusief gasten en externe samenwerkers wiens toegang niet wordt beheerd via de identiteitsprovider van de organisatie.

• Ervoor zorgen dat klantgegevens die op het web zijn gepubliceerd bedoeld zijn voor een openbaar publiek, en opties zoals zoekmachine-indexering dienovereenkomstig configureren.

• Klantgegevens overdragen die Privé door een gebruiker worden beheerd voordat die gebruiker vertrekt, of binnen het beperkte venster waarin overdracht mogelijk blijft. Na dat venster zijn Privé-klantgegevens over het algemeen onherstelbaar en zijn overdrachtstools alleen beschikbaar in het Enterprise-abonnement.

Notion slaat klantgegevens op en verwerkt deze namens zijn klanten en beschermt deze tijdens transport en in rust. Klanten bepalen welke gegevens in Notion worden geplaatst, hoe lang deze worden bewaard en welke wettelijke verplichtingen hieraan verbonden zijn.

Verantwoordelijkheden van Notion

• Verwerk klantgegevens in overeenstemming met de Master Subscription Agreement, het Data Processing Addendum en de toepasselijke wetgeving inzake gegevensbescherming.

• Versleutel klantgegevens in rust met AES-256 of een industriestandaard algoritme dat gelijkwaardige of sterkere beveiliging biedt, inclusief in cloudopslag, databasetabellen en back-ups, en versleutel gegevens tijdens transport met TLS 1.2 of hoger.

• Onderhoud en publiceer een actuele lijst van subverwerkers.

• Bied gegevensresidentie voor gedefinieerde categorieën klantgegevens, waardoor in aanmerking komende organisaties de regio kunnen selecteren waarin die gegevens in rust worden opgeslagen.

• Zie af van het gebruik van klantgegevens om de machine learning-modellen van Notion te trainen en verbied AI-subverwerkers contractueel om dit te doen zonder uitdrukkelijke toestemming van de klant.

• Bied functionaliteit waarmee klanten hun klantgegevens kunnen Exporteren, bewaren en verwijderen, en verwijder klantgegevens aan het einde van het contract in overeenstemming met de overeenkomst.

• Ga een Data Processing Addendum aan, en waar van toepassing een Business Associate Agreement, met klanten die hierom vragen.

Verantwoordelijkheden van de gebruiker

• Bepalen welke gegevens geschikt zijn om in Notion op te slaan en ervoor zorgen dat gereguleerde gegevens alleen worden opgeslagen waar de noodzakelijke overeenkomsten en configuratie aanwezig zijn.

• Vaststellen en toepassen van bewaarpraktijken en het verwijderen van klantgegevens die niet langer nodig zijn.

• Het configureren van de instellingen voor retentie en verwijdering die in het product beschikbaar zijn om het interne beleid te weerspiegelen.

• Het indienen van volledige en nauwkeurige accountgegevens, en het onverwijld corrigeren ervan wanneer fouten worden vastgesteld.

• Het voldoen aan de verplichtingen die rusten op de verwerkingsverantwoordelijke van de persoonsgegevens die in een Workspace worden bewaard, waaronder het verstrekken van privacyinformatie aan individuen, het vaststellen van een wettelijke grondslag voor verwerking en het reageren op verzoeken van betrokkenen met betrekking tot Klantgegevens.

• Het bepalen of een specifieke regio voor gegevensresidentie vereist is, het aanvragen daarvan waar nodig, en het begrijpen welke categorieën gegevens en welke Notion-producten buiten die reikwijdte vallen.

• Het beoordelen van de subprocessor lijst van Notion.

Notion beheert de infrastructuur die de Service beschikbaar houdt en onderhoudt back-ups van die infrastructuur met het doel de Service te herstellen. Klanten zijn zelf verantwoordelijk voor het herstellen van hun eigen Klantgegevens met behulp van de tools die Notion biedt, en voor het bewaren van een onafhankelijke kopie van die Klantgegevens wanneer hun eigen verplichtingen dit vereisen.

Verantwoordelijkheden van Notion

• De Notion-Service exploiteren in overeenstemming met de beschikbaarheidsverplichtingen zoals uiteengezet in de Service Level Terms, met gebruikmaking van redundante infrastructuur over meerdere beschikbaarheidszones.

• De operationele status van de Service publiceren.

• Het onderhouden van geautomatiseerde, versleutelde en bewaakte back-ups van Klantgegevens.

• Het opslaan van back-ups volgens de gepubliceerde back-upregio-toewijzing van Notion voor de geselecteerde regio voor gegevensresidentie. Gegevensresidentie is alleen van toepassing op de gedefinieerde categorieën Klantgegevens.

• Het onderhouden en periodiek testen van plannen voor noodherstel en bedrijfscontinuïteit.

• Het bieden van hersteltools in het product, waaronder Prullenbak en versiegeschiedenis, waarmee Klanten zelf Klantgegevens kunnen herstellen.

• Het bieden van functionaliteit voor het Exporteren, zodat klanten hun Klantgegevens kunnen Kopiëren.

Verantwoordelijkheden van de gebruiker

• Het herstellen van individuele pagina's en Klantgegevens met behulp van de Prullenbak en versiegeschiedenis, binnen de retentieperioden die van toepassing zijn op het Abonnement van de Gebruiker.

• Het configureren van instellingen voor retentie van Klantgegevens, waar beschikbaar, om het interne beleid te weerspiegelen.

• Het bijhouden van een onafhankelijke kopie van Klantgegevens wanneer intern beleid, contractuele verplichtingen of regelgeving retentie vereisen die verder gaat dan wat het product biedt, of wanneer een kopie buiten Notion vereist is.

• Het produceren van exportbestanden volgens een schema dat passend is voor die vereisten, en het verifiëren dat exportbestanden volledig zijn. Klantgegevens waartoe het exporterende (het) account geen toegang heeft, zijn niet inbegrepen in een export.

• Het ophalen van exportbestanden binnen de periode dat de Downloaden-link geldig blijft.

• Het plannen van de mogelijkheid van onbeschikbaarheid van de service als onderdeel van de eigen bedrijfscontinuïteitsregelingen van de Gebruiker.

Wat Notion-back-ups wel en niet zijn

Notion-back-ups bestaan om de Notion-service te herstellen. Het zijn geen herstelpunten voor klanten en ze kunnen niet worden gebruikt om een workspace terug te brengen naar de staat op een gekozen moment in de tijd. Het herstel van individuele Klantgegevens wordt door klanten zelf uitgevoerd via de Prullenbak en de versiegeschiedenis. Zodra Klantgegevens de toepasselijke Prullenbak- en bewaarperioden hebben doorlopen, worden ze verwijderd en kunnen ze niet meer worden hersteld. Klanten moeten niet op support vertrouwen als bewaarmechanisme.

Een export produceert een draagbare kopie van Klantgegevens in formaten zoals HTML, markdown, CSV of /pdf, afhankelijk van het exporttype en het Abonnement. Het is geen volledige back-up van de workspace: het Importeren van geëxporteerde Klantgegevens zal de oorspronkelijke machtigingen, instellingen of volledige configuratie van de workspace niet herstellen en kan handmatige herstructurering vereisen.

Notion genereert records van relevante activiteit binnen een workspace en stelt deze beschikbaar aan de organisatie. Klanten zijn verantwoordelijk voor het reviewen van die records, het bewaren ervan waar vereist en het ondernemen van actie op basis van wat ze tonen.

Verantwoordelijkheden van Notion

• Het registreren van beveiligings- en veiligheidsgerelateerde Gebeurtenissen die plaatsvinden in de werkruimten van een organisatie, inclusief de actor, de Actie, het tijdstip en, indien beschikbaar, het IP-adres.

• Het bewaren van de auditlogboekgeschiedenis binnen het product voor een gedefinieerde periode, en het bieden van Exporteren- en streamingsmechanismen zodat klanten deze langer kunnen bewaren.

• Het bieden van een middel om Gebeurtenissen in realtime naar het eigen beveiligingsmonitoringsplatform van een gebruiker te streamen, en het ondersteunen van koppelingen met tools voor gegevensverliespreventie.

• Het monitoren van de eigen infrastructuur, netwerken en systemen van Notion op kwaadaardige activiteit, en het onderhouden van interne logregistratie voor die systemen.

Verantwoordelijkheden van de gebruiker

• Het reviewen van auditlogboekactiviteiten en het onderzoeken van en reageren op activiteit die onverwacht of ongeautoriseerd lijkt.

• Het bewaren van loggegevens voor de periode die vereist is door het eigen interne beleid of de regelgeving van de klant, door Gebeurtenissen te Exporteren of te streamen voordat ze buiten het bewaarvenster vallen.

• Het configureren van monitoring, waarschuwingen en eventuele beveiligings- of compliance-koppelingen in de eigen omgeving van de gebruiker, en ervoor zorgen dat die integraties operationeel blijven.

• Het definiëren van wat verdachte activiteit inhoudt in de context van de organisatie, en het toewijzen van de verantwoordelijkheid voor het reviewen ervan.

• Het rapporteren van verdachte activiteit aan Notion wanneer dit kan duiden op een inbreuk op de Service.

Wat het auditlogboek wel en niet dekt

Het auditlogboek registreert Gebeurtenissen. Auditlogboekvermeldingen en gestreamde payloads beschrijven welke Acties zijn ondernomen en door wie; ze bevatten niet de klantgegevens van pagina's.

De registratie in het auditlogboek begint wanneer een organisatie in aanmerking komt voor de functie. Activiteit die daarvoor heeft plaatsgevonden, is niet met terugwerkende kracht beschikbaar.

Notion ontwikkelt, beheert en onderhoudt de Notion-service en de infrastructuur waarop deze draait, inclusief het beveiligen en patchen van die infrastructuur. Klanten zijn verantwoordelijk voor de omgevingen van waaruit zij toegang tot Notion hebben.

Verantwoordelijkheden van Notion

• Het ontwikkelen, testen, patchen en onderhouden van de Notion app en de infrastructuur die deze ondersteunt. Updates van de Service worden door Notion toegepast en vereisen geen Actie van klanten.

• Dreigingsmodellering en veilige ontwerpbeoordelingen uitvoeren voor nieuwe releases, en code-audits, code reviews en beveiligingsscans van de codebase uitvoeren.

• Jaarlijkse onafhankelijke penetratietests laten uitvoeren.

• Netwerkbeveiliging implementeren en beheren binnen de systemen van Notion.

• De infrastructuur, netwerken en assets van Notion monitoren op kwaadaardige activiteit.

• Een openbaar programma voor het melden van kwetsbaarheden exploiteren en onafhankelijke penetratietests laten uitvoeren.

• De eigen bedrijfssystemen en apparaten van werknemers van Notion beveiligen, inclusief versleuteling in rust, endpoint-detectie en -respons, en gecentraliseerd apparaatbeheer.

• Notion-clientapplicaties publiceren en updates daarvoor leveren.

Verantwoordelijkheden van de gebruiker

• Het onderhouden van ondersteunde en op de juiste wijze gepatchte endpoint-omgevingen, inclusief webbrowsers, en alle controles die Notion-clientupdates kunnen voorkomen.

• Het beveiligen van de apparaten en netwerken die worden gebruikt voor toegang tot Notion, in lijn met de eigen endpoint-beveiligingsstandaarden van de Gebruiker.

• Waar Notion-clientupdates centraal worden beheerd, moet ervoor worden gezorgd dat Updates tijdig blijven worden toegepast. Het uitstellen of uitschakelen van automatische Updates verlegt de verantwoordelijkheid voor het tijdig patchen van de client naar de Gebruiker.

• Ervoor zorgen dat installatieconfiguraties Gebruikers er niet van weerhouden Updates te ontvangen.

• Het melden van vermoedelijke kwetsbaarheden in de Notion-Service aan Notion in plaats van deze te exploiteren of openbaar te maken.

Waar de grens ligt

Notion patcht de Notion-Service. Klanten passen geen patches toe op Notion en er is geen Actie van de klant vereist voor Updates aan de serverzijde.

Client applicaties zijn anders. Notion publiceert Updates, maar of een bepaald apparaat deze ontvangt, hangt af van hoe dat apparaat is geconfigureerd en beheerd. Waar een organisatie het installatie- of updategedrag beheert, is het up-to-date houden van clients de verantwoordelijkheid van de organisatie.

Notion biedt een API, een integratieplatform en AI-functies die acties kunnen uitvoeren op Klantgegevens en toegang kunnen krijgen tot verbonden systemen. Klanten zijn verantwoordelijk voor het besluit welke hiervan moeten worden ingeschakeld, welke toegang ze krijgen en hoe ze worden beheerd.

Verantwoordelijkheden van Notion

• De Notion API, het integratieplatform, verbindingen en AI-functies leveren en onderhouden.

• Gebruikersmachtigingen in Notion AI, Notion Agent en AI Connectors respecteren. Aangepaste agenten gebruiken hun eigen expliciet verleende machtigingen, die kunnen afwijken van die van de persoon die met de agent communiceert.

• Beheerderscontroles bieden die bepalen welke integraties en externe AI-tools mogen worden geïnstalleerd, welke agenten mogen worden gemaakt en of AI-functies zijn ingeschakeld.

• Zorg voor bedieningselementen om AI-webzoekopdrachten in of uit te schakelen en vereis bevestiging vóór externe webverzoeken.

• Onderhoud verdedigingsmechanismen die zijn ontworpen om het risico op prompt-injectie te detecteren en te verminderen, inclusief de detectie van verborgen instructies in content van derden en geüploade bestanden, beperkingen op het afhandelen van koppelingen en aanvullende controles waar agents autonoom handelen.

• Zie af van het gebruik van Klantgegevens om de modellen van Notion te trainen en verbied AI-subverwerkers contractueel om dit te doen zonder uitdrukkelijke toestemming van de klant.

• Registreer de activiteit van integraties, koppelingen, agents en externe AI-tools in het auditlogboek.

Verantwoordelijkheden van de gebruiker

• Beslissen welke integraties, koppelingen, AI-functies en agents geschikt zijn voor de organisatie, en de beschikbare bedieningselementen configureren om die beslissing te weerspiegelen.

• De toegang en mogelijkheden beoordelen die door een integratie of koppeling worden aangevraagd voordat deze wordt geautoriseerd, en bevestigen dat de externe dienst voldoet aan de eigen leveranciersvereisten van de Gebruiker.

• Interne integratietokens beheren, inclusief het beperken van de distributie ervan, het roteren ervan en het intrekken van tokens die niet langer nodig zijn.

• Beheer het creëren en configureren van agents, inclusief welke Klantgegevens en verbonden tools elke agent kan bereiken, en beoordeel die toegang periodiek.

• Klanten moeten ervoor zorgen dat agentmachtigingen op de juiste wijze zijn afgebakend.

• Bepalen of modellen die gegevens bewaren mogen worden ingeschakeld voor functies die deze vereisen.

• Ervoor zorgen dat Klantgegevens die via verbonden systemen aan Notion beschikbaar worden gesteld, geschikt zijn voor dat doel, en dat de toegang die in het verbonden systeem is verleend, zelf correct is afgebakend.

• Gebruikers ervan bewust maken dat Klantgegevens die van buiten de Workspace afkomstig zijn, inclusief webpagina's en geüploade bestanden, kunnen proberen het AI-gedrag te beïnvloeden.

Wat Klanten moeten begrijpen over verbonden gegevens

Toegang die via een koppeling wordt verleend, is slechts zo beperkt als de machtigingen die in het verbonden systeem zijn verleend. Notion dwingt de machtigingen af die door het verbonden systeem worden gerapporteerd, maar herstelt geen te ruime machtigingen in het bronsysteem.

Machtigingswijzigingen in verbonden systemen worden na een synchronisatie-interval in Notion weerspiegeld in plaats van onmiddellijk, en het kan enige tijd duren voordat nieuw toegevoegde of verwijderde Klantgegevens verschijnen of niet langer beschikbaar zijn.

Notion is verantwoordelijk voor de beveiliging van de Notion-service en voor het informeren van klanten wanneer een incident hun Klantgegevens treft. Klanten zijn verantwoordelijk voor de manier waarop zij reageren op incidenten met hun eigen accounts, Workspaces en Klantgegevens, inclusief eventuele meldingen die zij verplicht zijn te doen.

Verantwoordelijkheden van Notion

• Onderhoud een gedocumenteerd incidentresponsplan en test dit periodiek.

• Beveiligingsincidenten die van invloed zijn op de systemen van Notion en de Klantgegevens die Notion beheert, detecteren, triëren, onderzoeken, inperken en verhelpen.

• Stel getroffen klanten op de hoogte van beveiligingsincidenten in overeenstemming met het Addendum Gegevensverwerking en de toepasselijke wetgeving.

• Voer een post-incident review uit, inclusief een analyse van de hoofdoorzaak, en pas de bevindingen toe op de controles en het responsplan van Notion.

• Publiceer de operationele status van de service en communiceer beschikbaarheidsincidenten.

• Beheer een programma voor het bekendmaken van kwetsbaarheden, en trieer en verhelp gerapporteerde kwetsbaarheden.

Verantwoordelijkheden van de gebruiker

• Het onverwijld rapporteren van vermoedelijke beveiligingsincidenten, gecompromitteerde accounts, vermoedelijke kwetsbaarheden en misbruik van de service aan Notion, via het juiste kanaal.

• Het detecteren van en reageren op incidenten die plaatsvinden binnen de eigen Workspaces en accounts van de Gebruiker, inclusief gecompromitteerde inloggegevens, ongepast delen en misbruik door interne Gebruikers.

• Het onderhouden van de eigen incidentresponsregelingen van de Gebruiker, en het definiëren van wie verantwoordelijk is voor het ondernemen van actie bij activiteiten die in Notion zijn geïdentificeerd.

• Het nemen van inperkingsmaatregelen die binnen het product beschikbaar zijn, inclusief het verwijderen van toegang, het intrekken van sessies, het opnieuw instellen van inloggegevens, het intrekken van integratietokens en het intrekken van gepubliceerde Klantgegevens.

• Het bewaren van relevant bewijsmateriaal, inclusief het exporteren van auditlogboekrecords voordat deze buiten het bewaartermijnvenster vallen.

• Bepalen of een incident een meldingsplicht activeert die de Gebruiker verschuldigd is aan een toezichthouder, klant of getroffen individu, en het maken van die melding.

• Houd administratieve en beveiligingscontactgegevens actueel, zodat meldingen van Notion de juiste personen bereiken.

• Meld vermoedelijke kwetsbaarheden aan Notion in plaats van ze te exploiteren of openbaar te maken.

Welke partij detecteert wat

Notion bewaakt zijn eigen infrastructuur en kan incidenten detecteren die van invloed zijn op de Service. Notion kan niet bepalen of een verder geldige Workspace-actie was geautoriseerd onder het interne beleid van de Gebruiker. Klanten zijn verantwoordelijk voor het monitoren van Workspace-activiteit en het reageren op misbruik.

Dit omvat incidenten zoals een lid dat vertrouwelijke Klantgegevens publiceert, een vertrekkende werknemer die gegevens exporteert, of een inloggegeven dat door de rechtmatige houder wordt misbruikt. Het detecteren van en reageren op deze gebeurtenissen hangt af van de review door de Gebruiker van de activiteitsrecords en de voor hen beschikbare controles.

Notion onderhoudt een programma voor informatiebeveiliging en privacy dat onafhankelijk wordt gecontroleerd, en stelt de resulterende documentatie beschikbaar. Klanten bepalen of Notion geschikt is voor hun eigen wettelijke verplichtingen en configureren het dienovereenkomstig.

Verantwoordelijkheden van Notion

• Onderhoud onafhankelijk beoordeelde beveiligings- en privacyprogramma's in overeenstemming met de toepasselijke audit- en certificeringscycli.

• Stel nalevingsdocumentatie, inclusief auditrapporten en certificeringen, beschikbaar aan klanten en potentiële klanten via het Notion Trust Center.

Verantwoordelijkheden van de gebruiker

• Bepalen of Notion geschikt is voor de gegevens die de Gebruiker van plan is op te slaan en de wettelijke verplichtingen die op hen van toepassing zijn.

• Het aangaan van de overeenkomsten die voor dat gebruik vereist zijn, inclusief een Gegevensverwerkersovereenkomst of Business Associate Agreement waar van toepassing.

• Het toepassen van de configuratie die door die overeenkomsten wordt vereist, inclusief het inschakelen van alle compliance-specifieke instellingen en de beveiligingsfuncties waarvan deze afhankelijk zijn.

• Het voltooien van de eigen beoordelingen van de Gebruiker, inclusief risicobeoordeling van leveranciers en elke door de wet vereiste gegevensbeschermingseffectbeoordeling.

• Het beoordelen van de certificeringen, auditrapporten en de lijst met subverwerkers van Notion als onderdeel van de eigen borgings- en wijzigingsbeheerprocessen van de Gebruiker.

• Het aantonen aan de eigen auditors en toezichthouders van de Gebruiker dat de configuratie en het gebruik van Notion door de Gebruiker voldoen aan de verplichtingen die op hen van toepassing zijn.

Wat certificering dekt

De onafhankelijke certificeringen en auditrapporten van derden van Notion dekken de controles die Notion uitvoert. Ze strekken zich niet uit tot de manier waarop een individuele organisatie Notion configureert of gebruikt.

Een workspace die gereguleerde gegevens bevat, is niet compliant enkel omdat Notion een certificering bezit. Waar een verplichting afhangt van configuratie, zoals het beperken van delen, het afdwingen van eenmalige aanmelding, het bewaren van auditrecords of het beperken van waar gegevens worden opgeslagen, blijft het voldoen daaraan de verantwoordelijkheid van de Gebruiker.

Notion stelt de voorwaarden vast waaronder de dienst mag worden gebruikt en handhaaft deze. Klanten zijn verantwoordelijk voor hun eigen gebruik van Notion en voor de Klantgegevens die in hun Werkruimten worden bewaard.

Verantwoordelijkheden van Notion

• Het publiceren en onderhouden van het Content & Use policy, relevante Terms en gerelateerde beleidslijnen.

• Bied een mechanisme voor iedereen die een openbare Notion-pagina bekijkt om Klantgegevens te melden waarvan zij denken dat deze verboden zijn.

• Het onderzoeken van Rapporten en het verwijderen van Klantgegevens of het beperken van de toegang wanneer een schending wordt vastgesteld.

• Het toepassen van extra controle op categorieën van gebruik die geassocieerd worden met hogere percentages misbruik, en het opschorten of beëindigen van de toegang waar nodig om de beschikbaarheid van de Service te beschermen.

Verantwoordelijkheden van de gebruiker

• Het gebruik van Notion in overeenstemming met de Voorwaarden en het content & Use Policy, en ervoor zorgen dat mensen die Notion gebruiken onder het abonnement van de Gebruiker hetzelfde doen.

• Ervoor zorgen dat Klantgegevens die in Notion worden opgeslagen, vanuit Notion worden gedeeld of via Notion worden gepubliceerd, voldoen aan die beleidslijnen en aan de toepasselijke wetgeving.

• Het modereren van Klantgegevens die door anderen zijn bijgedragen wanneer de Gebruiker door gebruikers gegenereerde Klantgegevens via Notion verspreidt.

• Het gebruik van Notion binnen de beoogde capaciteit, en niet proberen de beveiligingscontroles te omzeilen, uit te schakelen of te verstoren.

• Het uitvoeren van beveiligingstests van Notion uitsluitend via het programma voor kwetsbaarheidsmeldingen van Notion en binnen de voorwaarden daarvan.

• Het te goeder trouw gebruiken van support- en Rapportkanalen.