Jaettu vastuun malli
Tämä jaetun vastuun malli varmistaa, että Notion ja sen käyttäjät työskentelevät yhdessä luodakseen turvallisen ja tehokkaan työtilakokemuksen. Katso määritellyt termit Notionin MSA- ja DPA-asiakirjoista.
Tämä jaetun vastuun malli varmistaa, että Notion ja sen asiakkaat työskentelevät yhdessä luodakseen turvallisen ja tehokkaan työtilakokemuksen.
Notion on yksi paikka ajattelulle, kirjoittamiselle ja suunnittelulle. Käyttäjät voivat rakentaa siellä omia työkalujaan, jotka auttavat heitä tekemään työnsä mahdollisimman hyvin. He antavat Notionin käyttöön työ- ja henkilökohtaisia tietojaan sekä Yhteyksien ja tekoälyominaisuuksien kautta pääsyn muissa järjestelmissä oleviin tietoihin.
Jaetun vastuun malli (SRM) on viitekehys, joka määrittelee palveluntarjoajan ja sen käyttäjien välisen vastuunjaon. Se määrittelee selkeästi, mitkä tietoturvaan ja toimintaan liittyvät tehtävät kuuluvat kullekin osapuolelle.
Tässä asiakirjassa kuvataan, miten Notion ja sen asiakkaat jakavat vastuun Notionin järjestelmien, käyttäjätilien ja työtilojen suojaamisesta ja tietoturvan ylläpidosta.
Notionin SRM selventää Notionille ja sen asiakkaille, kumpi osapuoli vastaa mistäkin prosessista, toiminnosta tai hallintakeinosta. Näin Notion voi keskittyä turvaamaan järjestelmiensä luottamuksellisuuden, eheyden ja tavoitettavuuden siellä, missä se pystyy siihen parhaiten. Samalla malli osoittaa, missä asiakkailla on parhaat edellytykset suojata omat käyttäjätilinsä, työtilansa ja asiakastietonsa. Tämä parantaa Notionin järjestelmien ja käyttäjätilien suojausta ja tekee siitä tehokkaampaa.
SRM lisää myös avoimuutta siitä, miten Notionin palvelut tuotetaan. Se antaa asiakkaille tiedot, joita he tarvitsevat arvioidakseen Notionia omissa riski- ja varmennusprosesseissaan, ja auttaa sekä Notionia että sen asiakkaita täyttämään sovellettavien paikallisten, alueellisten, kansallisten ja kansainvälisten säädösten mukaiset velvoitteensa.
Lyhyesti: Notion vastaa Notion-palvelun arkkitehtuurin rakentamisesta, käytöstä ja suojaamisesta. Asiakkaat vastaavat palvelun asetuksista ja käytöstä. Heidän vastuullaan on esimerkiksi suojata kirjautumistietonsa, hallita työtilojensa ja asiakastietojensa käyttöoikeuksia sekä noudattaa sisältö- ja käyttökäytäntöä ja muita asiaankuuluvia ehtoja.
Joitakin tässä asiakirjassa kuvattuja tehtäviä voivat hoitaa vain asiakkaat, joilla on korotetut käyttöoikeudet työtilassa tai organisaatiossa. Käyttäjän vastuulla on määrittää nämä käyttöoikeudet asianmukaisesti.
Tietyn vastuun täyttämiseen käytettävissä olevat työkalut vaihtelevat sopimustyypin mukaan. Jos ominaisuus on saatavilla vain tietyissä sopimustyypeissä, asiakkaat, joiden sopimustyyppiin kyseinen ominaisuus ei kuulu, ovat edelleen vastuussa tavoitellun lopputuloksen saavuttamisesta, ja heidän tulisi harkita vaihtoehtoisia hallintakeinoja.
Hallintakeinojen luokka | Notionin vastuut | Käyttäjien vastuut |
|---|---|---|
Käyttöoikeudet ja todennus | • Tarjota ja ylläpitää todennusmenetelmiä, kuten salasanaan perustuvaa todennusta, kertakirjautumista (SSO) ja kaksivaiheista todennusta. • Hallita istuntojen käsittelyä. • Valvoa ja seurata Notionin henkilöstön pääsyä tuotantojärjestelmiin. | • Suojata kirjautumistiedot ja välttää niiden uudelleenkäyttöä eri palveluissa. • Käyttää henkilökohtaisia käyttäjätilejä jaettujen käyttäjätilien sijaan. • Ottaa kaksivaiheinen todennus käyttöön. • Määrittää SSO ja käyttäjien provisiointi sekä poistaa jäsenten käyttöoikeudet viipymättä heidän lähtiessään. |
Valtuutus, jakaminen ja yhteistyö | • Tarjota ja valvoa käyttöoikeusmallia, jakamisen hallintaa, vieraskäyttöoikeuksien hallintaa ja ylläpitäjän asetuksia, jotka säätelevät julkista julkaisemista. | • Määrittää asianmukaiset käyttöoikeudet sivuille ja asiakastiedoille. • Hallita vieraiden ja ulkoisten yhteistyökumppanien käyttöoikeuksia. • Tarkistaa käyttöoikeudet säännöllisesti. • Määrittää työtilatason jakamis- ja julkaisukäytännöt. |
Tiedonhallinta ja yksityisyys | • Käsitellä asiakastietoja sovellettavan sopimuksen, mukaan lukien DPA:n, sekä sovellettavien lakien mukaisesti. • Salata tiedot siirron aikana ja tallennettuina. • Tarjota tietojen poistotoiminto sekä poistaa tai palauttaa tiedot sovellettavan sopimuksen ja säilytysvaatimusten mukaisesti. • Ylläpitää alikäsittelijöiden luetteloa. | • Määrittää, mitä asiakastietoja on asianmukaista tallentaa Notion-palveluun. • Määrittää säilytyskäytännöt ja noudattaa niitä. • Poistaa asiakastiedot, joita ei enää tarvita. • Toimittaa oikeat käyttäjätilin tiedot. • Toimia asiakastietojen rekisterinpitäjänä ja käsitellä työtilaan liittyvät rekisteröityjen pyynnöt. |
Tavoitettavuus, varmuuskopiointi ja palautus | • Ylläpitää palvelun tavoitettavuutta ja julkaista tilatiedot. • Ylläpitää Notion-palvelun alustatason varmuuskopiointia ja palautumista suurhäiriöistä. | • Palauttaa yksittäisiä asiakastietoja versiohistorian, roskakorin ja palautustoimintojen avulla. • Säilyttää erillinen kopio tärkeistä asiakastiedoista, jos sisäinen käytäntö tai sääntely sitä vaatii, käyttämällä varmuuskopiointia, tietojen vientiä tai API-rajapintaa. |
Lokitus ja valvonta | • Luoda ja säilyttää tietoturva- ja infrastruktuurilokeja Notionin omista järjestelmistä. • Valvoa alustaan kohdistuvia uhkia. | • Tarkistaa työtilan auditointilokit ja reagoida odottamattomaan toimintaan. • Viedä lokitiedot, jos niitä on säilytettävä pidempään. • Määrittää lokitietojen vienti ja mahdolliset SIEM-integraatiot. |
Sovellusten, infrastruktuurin ja päätelaitteiden tietoturva | • Kehittää, testata, paikata ja vahvistaa Notion-palvelua ja sen taustalla olevaa infrastruktuuria. • Hallita verkon tietoturvaa ja suojata Notionin yritysjärjestelmät ja päätelaitteet. | • Ylläpitää tuettuja ja asianmukaisesti paikattuja päätelaiteympäristöjä, mukaan lukien verkkoselaimet. • Tarkistaa, voivatko paikalliset hallintakeinot estää Notionin selain- tai työpöytäversion päivitykset. |
Integraatiot, API ja tekoäly | • Tarjota API, integraatioalusta ja tekoälyominaisuudet. • Tarjoa ylläpitäjille hallintatyökalut, joilla voi määrittää, mitkä integraatiot ja tekoälyominaisuudet voidaan ottaa käyttöön. | • Päätä, mitkä integraatiot, yhteydet ja tekoälyominaisuudet otetaan käyttöön. • Tarkista käyttöoikeudet ja niiden laajuudet ennen valtuuttamista. Hallitse ja vaihda sisäisiä integraatiotunnuksia. • Määritä, mitä asiakasdataa annetaan yhdistettyjen järjestelmien käyttöön. |
Tietoturvapoikkeamiin reagointi ja niistä ilmoittaminen | • Tunnista ja tutki Notioniin vaikuttavat tietoturvapoikkeamat ja reagoi niihin. • Ilmoita asiasta asianomaisille asiakkaille DPA:n ja sovellettavan lain mukaisesti. | • Ilmoita epäillyistä haavoittuvuuksista, vaarantuneista käyttäjätileistä ja väärinkäytöksistä Notionille viipymättä. • Reagoi työtilaan vaikuttaviin tietoturvapoikkeamiin ja tee niiden johdosta tarvittavat ilmoitukset viranomaisille ja rekisteröidyille. |
Vaatimustenmukaisuus ja sertifiointi | • Ylläpidä sertifiointeja ja teetä riippumattomia auditointeja ulkopuolisilla tahoilla. • Aseta tietoturva- ja vaatimustenmukaisuusdokumentaatio saataville. | • Arvioi, soveltuuko Notion kyseisten tietojen käsittelyyn ja sääntely-ympäristöön. • Täytä käyttäjään sovellettavien lakien mukaiset velvoitteet. |
Hyväksyttävä käyttö ja sisältö | • Julkaise sisältö- ja käyttökäytäntö sekä muut asiaankuuluvat ehdot ja valvo niiden noudattamista. | • Käytä Notionia sen käyttötarkoituksen mukaisesti yrittämättä kiertää tai testata tietoturvatoimia. • Noudata aina sisältö- ja käyttökäytäntöä sekä ehtoja. |
Notion tarjoaa todennusmenetelmät ja hallintatyökalut, joilla määritetään, miten Notioniin kirjaudutaan ja miten työtilan käyttöoikeuksia myönnetään ja poistetaan. Asiakkaat vastaavat organisaatiolleen sopivien työkalujen valinnasta ja määrittämisestä sekä käyttäjätiliensä kirjautumistietojen suojaamisesta.
Notionin vastuut
Tarjoa ja ylläpidä todennusmenetelmiä, kuten sähköposti- ja salasanakirjautuminen, Google- ja Apple-kirjautuminen sekä SAML 2.0 -kertakirjautuminen Business- ja Enterprise-sopimuksiin kuuluville työtiloille.
Tarjoa kaksivaiheinen todennus salasanaa käyttäville tileille todennussovelluksen tai tekstiviestikoodin avulla.
Tarjoa SCIM-APIt, joiden avulla Enterprise-sopimusta käyttävät organisaatiot voivat automatisoida käyttäjien lisäämisen, tietojen päivittämisen ja käyttäjien poistamisen identiteetintarjoajansa kautta.
Tarjoa hallinnolliset työkalut, joilla hallitaan istunnon kestoa, pakotettua uloskirjautumista, salasanan nollaamista, käyttäjätilin jäädyttämistä ja domainin vahvistamista.
Vaadi vahvistettu todiste domainin omistajuudesta ennen kuin domainia voidaan käyttää hallitsemaan sitä, miten sen käyttäjät kirjautuvat Notioniin.
Peruuta käyttäjän pääsy asiakastietoihin, kun kyseinen käyttäjä poistetaan työtilasta. Tarjoa työkalut, joiden avulla organisaatio voi päättää istuntoja ja nollata kirjautumistietoja hallittujen käyttäjiensä osalta.
Ylläpidä vähimpien oikeuksien periaatteen mukaisia käyttöoikeuksia Notionin omassa infrastruktuurissa ja velvoita Notionin työntekijät ja alihankkijat salassapitoon.
Käytä asiakastietoja tukitarkoituksessa vain, jos käyttäjä tai työtilan omistaja on antanut siihen suostumuksensa. Varmista, että suostumus päättyy automaattisesti määräajan kuluttua.
Käyttäjän vastuut
Kirjautumistietojen suojaaminen, vahvojen ja yksilöllisten salasanojen käyttäminen sekä niiden uudelleenkäytön välttäminen muissa palveluissa.
Henkilökohtaisten käyttäjätilien käyttäminen jaettujen käyttäjätilien sijaan ja kirjautumistietojen pitäminen omana tietona.
Kaksivaiheisen todennuksen käyttäminen tileillä, joille kirjaudutaan salasanalla.
Tunnistetietojen päivittäminen sisäisen käytännön mukaisesti ja viipymättä, jos ulkoisen palvelun tunnistetietojen havaitaan vuotaneen.
Organisaatiolle sopivien todennusmenetelmien valinta ja määrittäminen, mukaan lukien sen määrittäminen, edellytetäänkö kertakirjautumista.
Sen varmistaminen, että työtilan käyttöoikeus on vain niillä käyttäjillä, joille se on tarkoitettu, ja että käyttöoikeus poistetaan viipymättä, kun henkilö lähtee organisaatiosta tai vaihtaa tehtävää. Käyttäjien automaattinen poistaminen edellyttää SCIMin käyttöä. Muuten käyttäjät on poistettava manuaalisesti.
Istunnon keston asettaminen sisäisen käytännön mukaisesti ja palautusmenettelyn ylläpitäminen siltä varalta, että pääsy identiteetintarjoajaan menetetään.
Sen hallinta, voiko Notionin tuki käyttää käyttäjätiliä tai työtilaa, ja käyttöoikeuden poistaminen, kun sitä ei enää tarvita.
Notion tarjoaa käyttöoikeusmallin, joka määrittää, mitä todennettu käyttäjä voi nähdä ja tehdä, sekä hallintatyökalut, joilla jakamista voi rajoittaa. Asiakkaat päättävät, miten mallia sovelletaan asiakastietoihin, ja tarkistavat näin muodostuvat käyttöoikeudet.
Notionin vastuut
Tarjoa työtilojen, tiimitilojen, sivujen ja tietokantojen tasolla toimiva käyttöoikeusmalli, johon kuuluvat myös käyttöoikeusryhmät, ja sovella sitä johdonmukaisesti koko tuotteessa.
Tarjoa erilliset käyttöoikeudet jäsenille ja vieraille, jotta ulkoisille yhteistyökumppaneille voidaan antaa pääsy tiettyihin asiakastietoihin koko työtilan sijaan.
Tarjoa hallinnolliset työkalut, joiden avulla organisaatio voi rajoittaa sivujen julkista jakamista, vieraskäyttöoikeuksia, vientiä sekä sivujen siirtämistä tai kopioimista muihin työtiloihin.
Tarjoa työkalut, joilla voi määrittää, kuka saa julkaista asiakastietoja verkossa esimerkiksi Notion-sivustoilla, lomakkeilla tai julkisten linkkien kautta.
Tarjoa työkalut, joilla organisaatio näkee, kenellä on käyttöoikeus sivuun ja mitkä sivut on jaettu organisaation ulkopuolelle tai julkaistu verkossa, sekä voi muuttaa käyttöoikeuksia.
Noudata määritettyjä työtilan käyttöoikeuksia tekoäly- ja hakuominaisuuksissa.
Käyttäjän vastuut
Asiakastietojen sopivan käyttöoikeustason määrittäminen ja käyttöoikeuksien myöntäminen sen mukaisesti.
Sen päättäminen, sallitaanko ulkoinen yhteistyö ja julkinen julkaiseminen, sekä käytettävissä olevien hallinta-asetusten määrittäminen päätöksen mukaisesti.
Käyttöoikeuksien periytymisen ymmärtäminen. Sivulle myönnetty käyttöoikeus ulottuu oletusarvoisesti myös sen alisivuille. Jos käyttöoikeus myönnetään useaa kautta, voimassa on korkein myönnetty käyttöoikeustaso.
Työtilan jäsenten, vieraiden ja käyttöoikeusryhmien sekä organisaation ulkopuolelle jaettujen ja verkossa julkaistujen asiakastietojen käyttöoikeuksien säännöllinen tarkistaminen.
Asiakastietojen käyttöoikeuden poistaminen, kun henkilön osallistuminen yhteistyöhön päättyy. Tämä koskee myös vieraita ja ulkoisia yhteistyökumppaneita, joiden käyttöoikeuksia ei hallita organisaation identiteetintarjoajan kautta.
Sen varmistaminen, että verkossa julkaistut asiakastiedot on tarkoitettu kaikkien nähtäviksi, ja esimerkiksi hakukoneindeksoinnin määrittäminen sen mukaisesti.
Käyttäjän yksityisesti säilyttämän asiakasdatan siirtäminen ennen hänen lähtöään tai sen jälkeen rajallisen ajan kuluessa, jolloin siirto on vielä mahdollista. Tämän ajan jälkeen yksityistä asiakasdataa ei yleensä voi palauttaa, ja siirtotyökalut ovat käytettävissä vain Enterprise-sopimuksella.
Notion tallentaa ja käsittelee asiakasdataa asiakkaidensa puolesta ja suojaa sen sekä siirron aikana että tallennettuna. Asiakkaat päättävät, mitä dataa Notioniin tallennetaan, kuinka kauan sitä säilytetään ja mitä lakisääteisiä velvoitteita siihen liittyy.
Notionin vastuut
Käsittele asiakasdataa päätilaussopimuksen, tietojenkäsittelyä koskevan lisäyksen ja sovellettavan tietosuojalainsäädännön mukaisesti.
Salaa tallennettu asiakasdata, myös pilvitallennustilassa, tietokantataulukoissa ja varmuuskopioissa, AES-256-salauksella tai vastaavan tai vahvemman suojan tarjoavalla alan standardin mukaisella algoritmilla. Salaa siirrettävä data TLS 1.2:lla tai uudemmalla versiolla.
Ylläpidä ja julkaise ajantasaista luetteloa henkilötietojen alikäsittelijöistä.
Tarjoa ehdot täyttäville organisaatioille mahdollisuus valita alue, jolla määriteltyihin luokkiin kuuluvaa asiakasdataa säilytetään.
Älä käytä asiakasdataa Notionin koneoppimismallien kouluttamiseen. Kiellä sopimuksella myös tekoälypalveluja tarjoavia henkilötietojen alikäsittelijöitä tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Tarjoa asiakkaille mahdollisuus viedä, säilyttää ja poistaa asiakasdatansa. Poista asiakasdata sopimuksen päättyessä sopimuksen mukaisesti.
Tee tietojenkäsittelyä koskeva lisäsopimus ja tarvittaessa Business Associate Agreement -sopimus sitä edellyttävien asiakkaiden kanssa.
Käyttäjien vastuut
Sen määrittäminen, mitä dataa on asianmukaista tallentaa Notioniin, ja sen varmistaminen, että säänneltyä dataa tallennetaan vain, kun tarvittavat sopimukset ja asetukset ovat voimassa.
Säilytyskäytäntöjen määrittäminen ja soveltaminen sekä sellaisen asiakasdatan poistaminen, jota ei enää tarvita.
Tuotteen säilytys- ja poistoasetusten määrittäminen sisäisen käytännön mukaisiksi.
Täydellisten ja täsmällisten käyttäjätilitietojen toimittaminen ja niiden korjaaminen viipymättä, jos niissä havaitaan virheitä.
Työtilassa säilytettävien henkilötietojen rekisterinpitäjälle kuuluvien velvollisuuksien täyttäminen: tietosuojasta kertominen rekisteröidyille, käsittelyn lainmukaisen perusteen määrittäminen ja asiakasdataa koskeviin rekisteröityjen pyyntöihin vastaaminen.
Sen määrittäminen, tarvitaanko tiettyä datan sijaintialuetta, sen pyytäminen tarvittaessa sekä sen ymmärtäminen, mitkä dataluokat ja mitkä Notion-tuotteet jäävät kyseisen soveltamisalan ulkopuolelle.
Notionin henkilötietojen alikäsittelijöiden luettelon tarkistaminen.
Notion ylläpitää palvelun käytettävyyden varmistavaa infrastruktuuria ja sen varmuuskopioita, joiden avulla palvelu voidaan palauttaa. Asiakkaat vastaavat asiakasdatansa palauttamisesta Notionin tarjoamilla työkaluilla sekä erillisen kopion säilyttämisestä, jos heidän velvollisuutensa sitä edellyttävät.
Notionin vastuut
Ylläpidä Notion-palvelua palvelutasoehdoissa määriteltyjen käytettävyyssitoumusten mukaisesti käyttäen useille saatavuusalueille hajautettua, vikasietoista infrastruktuuria.
Julkaise palvelun toimintatila.
Ylläpidä automaattisia, salattuja ja valvottuja varmuuskopioita asiakasdatasta.
Säilytä varmuuskopiot valitun datan säilytysalueen osalta Notionin julkaiseman varmuuskopioiden aluejaon mukaisesti. Alueellinen säilytys koskee vain määriteltyjä asiakasdatan luokkia.
Ylläpidä ja testaa säännöllisesti katastrofista palautumista ja liiketoiminnan jatkuvuutta koskevia suunnitelmia.
Tarjoa tuotteen sisäiset palautustyökalut, mukaan lukien roskakori ja versiohistoria, joiden avulla asiakkaat voivat palauttaa asiakasdatan itse.
Tarjoa vientitoiminto, jonka avulla asiakkaat voivat hankkia kopion asiakasdatastaan.
Käyttäjien vastuut
Yksittäisten sivujen ja asiakasdatan palauttaminen roskakorin ja versiohistorian avulla käyttäjän sopimustyyppiin sovellettavien säilytysaikojen puitteissa.
Asiakasdatan säilytysasetusten määrittäminen, jos ne ovat käytettävissä, sisäisen käytännön mukaisiksi.
Riippumattoman kopion ylläpitäminen asiakasdatasta, jos sisäinen käytäntö, sopimusvelvoitteet tai sääntely edellyttävät tuotteen tarjoamaa pidempää säilytysaikaa tai kopion säilyttämistä Notionin ulkopuolella.
Vientien tuottaminen kyseisiin vaatimuksiin sopivalla aikataululla ja vientien täydellisyyden varmistaminen. Asiakasdata, johon vientiä tekevällä käyttäjätilillä ei ole käyttöoikeutta, ei sisälly vientiin.
Vientien noutaminen latauslinkin voimassaoloaikana.
Palvelukatkosten mahdollisuuden huomioiminen käyttäjän omissa liiketoiminnan jatkuvuusjärjestelyissä.
Mitä Notionin varmuuskopiot ovat ja mitä ne eivät ole
Notionin varmuuskopiot on tarkoitettu Notion-palvelun palauttamiseen. Ne eivät ole asiakkaiden käytettävissä olevia palautuspisteitä, eikä niiden avulla voi palauttaa työtilaa tietyn ajankohdan mukaiseen tilaan. Asiakkaat palauttavat yksittäisiä asiakastietoja itse roskakorin ja versiohistorian avulla. Kun roskakorin säilytysaika ja muut sovellettavat säilytysajat ovat umpeutuneet, asiakasdata poistetaan pysyvästi eikä sitä voi palauttaa. Asiakkaiden ei tule käyttää tukea tietojen säilytyskeinona.
Vienti tuottaa siirrettävän kopion asiakasdatasta esimerkiksi HTML-, markdown-, CSV- tai PDF-muodossa viennin tyypistä ja sopimustyypistä riippuen. Se ei ole täydellinen työtilan varmuuskopio: viedyn asiakasdatan tuominen ei palauta työtilan alkuperäisiä käyttöoikeuksia, asetuksia tai koko kokoonpanoa, ja tietoja voi joutua järjestämään uudelleen käsin.
Notion luo lokitietoja työtilan olennaisesta toiminnasta ja asettaa ne organisaation saataville. Asiakkaat vastaavat näiden tietojen tarkastelusta, säilyttämisestä tarvittaessa ja niiden perusteella toimimisesta.
Notionin vastuut
Tallenna organisaation työtiloissa tapahtuvat tietoturvaan ja turvallisuuteen liittyvät tapahtumat, mukaan lukien toimija, toiminto, aika ja mahdollisuuksien mukaan IP-osoite.
Säilytä tarkastuslokin tietoja tuotteessa määritetyn ajan ja tarjoa asiakkaille mahdollisuus viedä tietoja tai välittää niitä jatkuvasti, jotta he voivat säilyttää niitä pidempään.
Tarjoa mahdollisuus välittää tapahtumat reaaliaikaisesti käyttäjän omaan tietoturvan valvontajärjestelmään ja tue yhteyksiä tietovuotojen estotyökaluihin.
Valvo Notionin omaa infrastruktuuria, verkkoja ja järjestelmiä haitallisen toiminnan varalta ja ylläpidä sisäistä lokia näille järjestelmille.
Käyttäjien vastuut
Tarkastuslokin tapahtumien tarkastelu sekä odottamattomalta tai luvattomalta vaikuttavan toiminnan tutkiminen ja siihen reagoiminen.
Lokitietojen säilyttäminen asiakkaan sisäisten käytäntöjen tai sääntelyn edellyttämän ajan viemällä tai välittämällä tapahtumat ennen niiden säilytysajan päättymistä.
Valvonnan, hälytysten sekä mahdollisten tietoturva- tai vaatimustenmukaisuusyhteyksien määrittäminen käyttäjän omassa ympäristössä ja näiden integraatioiden toimivuuden varmistaminen.
Sen määrittäminen, millaista toimintaa organisaatiossa pidetään epäilyttävänä ja kuka vastaa sen tarkastelusta.
Epäilyttävästä toiminnasta ilmoittaminen Notionille, jos se voi viitata palvelun vaarantumiseen.
Mitä tarkastusloki kattaa ja mitä se ei kata
Tarkastusloki tallentaa tapahtumia. Lokimerkinnät ja suoratoistetut hyötykuormat kuvaavat suoritettuja toimintoja ja niiden tekijöitä; ne eivät sisällä sivujen asiakastietoja.
Tarkastuslokin tallennus alkaa, kun organisaatio saa ominaisuuden käyttöönsä. Sitä ennen tapahtunut toiminta ei ole saatavilla jälkikäteen.
Notion kehittää, käyttää ja ylläpitää Notion-palvelua ja sen taustalla olevaa infrastruktuuria sekä suojaa infrastruktuurin ja asentaa siihen tietoturvapäivityksiä. Asiakkaat vastaavat ympäristöistä, joista he käyttävät Notionia.
Notionin vastuut
Kehitä, testaa ja ylläpidä Notion-sovellusta ja sitä tukevaa infrastruktuuria sekä asenna niihin tietoturvapäivityksiä. Notion päivittää palvelun, eivätkä päivitykset vaadi asiakkailta toimenpiteitä.
Tee uusille julkaisuille uhkamallinnus ja arvioi niiden suunnittelun tietoturva. Tee myös koodin auditointeja ja katselmuksia sekä tarkista koodikannan tietoturva.
Tilaa vuosittainen riippumaton tunkeutumistestaus.
Toteuta ja hallitse verkkoturvallisuutta Notionin järjestelmissä.
Valvo Notionin infrastruktuuria, verkkoja ja resursseja haitallisen toiminnan varalta.
Ylläpidä julkista haavoittuvuuksista ilmoittamisen ohjelmaa ja tilaa riippumaton tunkeutumistestaus.
Suojaa Notionin omat yritysjärjestelmät ja työntekijöiden laitteet muun muassa salaamalla tallennetut tiedot, käyttämällä päätepisteiden uhkien tunnistusta ja niihin reagointia sekä hallitsemalla laitteita keskitetysti.
Julkaise Notion-asiakasohjelmistot ja toimita niihin päivityksiä.
Käyttäjien vastuut
Ylläpidä tuettuja ja asianmukaisesti päivitettyjä päätelaiteympäristöjä, kuten verkkoselaimia, sekä hallintakeinoja, jotka voivat estää Notion-asiakasohjelmistojen päivitykset.
Suojaa laitteet ja verkot, joilla käytät Notionia, omien päätelaitteidesi tietoturvavaatimusten mukaisesti.
Kun Notion-asiakasohjelmiston päivityksiä hallitaan keskitetysti, varmista, että ne asennetaan ajallaan. Jos automaattisia päivityksiä lykätään tai ne poistetaan käytöstä, vastuu asiakasohjelmiston oikea-aikaisista tietoturvapäivityksistä siirtyy käyttäjälle.
Varmista, etteivät asennusasetukset estä käyttäjiä vastaanottamasta päivityksiä.
Ilmoita Notion-palvelun epäillyistä haavoittuvuuksista Notionille sen sijaan, että hyödyntäisit niitä tai julkistaisit ne.
Missä raja kulkee
Notion paikkaa Notion-palvelun. Asiakkaat eivät asenna paikkauksia Notionille, eikä palvelinpuolen päivityksiin vaadita asiakkaan toimia.
Asiakassovellusten tilanne on toinen. Notion julkaisee päivityksiä, mutta se, saako tietty laite ne, riippuu laitteen määrityksistä ja hallinnasta. Jos organisaatio hallitsee sovellusten asennusta tai päivityksiä, sen vastuulla on pitää asiakassovellukset ajan tasalla.
Notion tarjoaa API-rajapinnan, integraatioalustan ja tekoälyominaisuuksia, jotka voivat käsitellä asiakastietoja ja ulottua yhdistettyihin järjestelmiin. Asiakkaat vastaavat siitä, mitkä näistä otetaan käyttöön, mitä käyttöoikeuksia niille myönnetään ja miten niitä hallinnoidaan.
Notionin vastuut
Tarjoa ja ylläpidä Notionin API-rajapintaa, integraatioalustaa, yhteyksiä ja tekoälyominaisuuksia.
Noudata käyttäjien käyttöoikeuksia Notion AI:ssa, Notion-palvelijassa ja AI Connectoreissa. Mukautetut palvelijat käyttävät niille erikseen myönnettyjä käyttöoikeuksia, jotka voivat poiketa palvelijan kanssa vuorovaikutuksessa olevan henkilön käyttöoikeuksista.
Tarjoa hallintatoiminnot, joilla määritetään, mitä integraatioita ja ulkoisia tekoälytyökaluja voidaan asentaa, mitä palvelijoita voidaan luoda ja ovatko tekoälyominaisuudet käytössä.
Tarjoa hallintatoiminnot tekoälyn verkkohaun käyttöön ottamiseen ja käytöstä poistamiseen sekä vaadi vahvistus ennen ulkoisia verkkopyyntöjä.
Ylläpidä suojauksia, jotka on suunniteltu havaitsemaan kehoteinjektioita ja vähentämään niiden riskiä. Näihin kuuluvat kolmannen osapuolen sisältöön ja palveluun ladattuihin tiedostoihin piilotettujen ohjeiden tunnistaminen, linkkien käsittelyn rajoitukset sekä lisätarkistukset tilanteissa, joissa palvelijat toimivat itsenäisesti.
Älä käytä asiakastietoja Notionin mallien kouluttamiseen. Kiellä myös sopimuksella tekoälypalvelujen alihankkijoita tekemästä niin ilman asiakkaan nimenomaista suostumusta.
Kirjaa integraatioiden, yhteyksien, palvelijoiden ja ulkoisten tekoälytyökalujen toiminta tarkastuslokiin.
Käyttäjien vastuut
Sen päättäminen, mitkä integraatiot, yhteydet, tekoälyominaisuudet ja palvelijat ovat organisaatiolle sopivia, sekä käytettävissä olevien hallinta-asetusten määrittäminen päätöksen mukaisesti.
Integraation tai yhteyden pyytämien käyttöoikeuksien ja ominaisuuksien tarkistaminen ennen integraation tai yhteyden valtuuttamista sekä sen varmistaminen, että kolmannen osapuolen palvelu täyttää käyttäjän omat toimittajavaatimukset.
Sisäisten integraatiotunnusten hallinta, mukaan lukien niiden jakelun rajoittaminen, vaihtaminen ja tarpeettomien tunnusten mitätöinti.
Palvelijoiden luomisen ja määritysten hallinta: mihin asiakastietoihin ja yhdistettyihin työkaluihin kukin palvelija pääsee sekä näiden käyttöoikeuksien säännöllinen tarkistaminen.
Asiakkaiden on varmistettava, että palvelijoiden käyttöoikeudet on rajattu asianmukaisesti.
Sen määrittäminen, voidaanko tietoja säilyttäviä malleja ottaa käyttöön ominaisuuksissa, jotka niitä edellyttävät.
Sen varmistaminen, että yhdistettyjen järjestelmien kautta Notionin saataville tuodut asiakastiedot sopivat tähän tarkoitukseen ja että yhdistetyssä järjestelmässä myönnetyt käyttöoikeudet on rajattu oikein.
Käyttäjille kertominen siitä, että työtilan ulkopuolelta peräisin olevat asiakastiedot, kuten verkkosivut ja palveluun ladatut tiedostot, voivat sisältää yrityksiä vaikuttaa tekoälyn toimintaan.
Mitä asiakkaiden tulee tietää yhdistettyjen järjestelmien tiedoista
Yhteyden kautta saatavat käyttöoikeudet riippuvat siitä, miten oikeudet on rajattu yhdistetyssä järjestelmässä. Notion noudattaa yhdistetyn järjestelmän ilmoittamia käyttöoikeuksia, mutta ei korjaa liian laajoja lähdejärjestelmän käyttöoikeuksia.
Yhdistettyjen järjestelmien käyttöoikeusmuutokset näkyvät Notionissa vasta synkronoinnin jälkeen. Myös uusien asiakastietojen ilmestyminen tai poistettujen tietojen katoaminen näkyvistä voi viedä aikaa.
Notion vastaa Notion-palvelun tietoturvasta ja ilmoittaa asiakkaille, jos poikkeama vaikuttaa heidän asiakastietoihinsa. Asiakkaat vastaavat siitä, miten he reagoivat käyttäjätileihinsä, työtiloihinsa ja asiakastietoihinsa liittyviin poikkeamiin sekä mitä ilmoituksia heiltä edellytetään.
Notionin vastuut
Ylläpidä dokumentoitua suunnitelmaa tietoturvapoikkeamiin reagointia varten ja testaa sitä säännöllisesti.
Havaitse, arvioi ja priorisoi, tutki, rajaa ja korjaa Notionin järjestelmiin ja Notionin hallussa oleviin asiakastietoihin vaikuttavat tietoturvapoikkeamat.
Ilmoita tietoturvapoikkeamista asianomaisille asiakkaille tietojenkäsittelyä koskevan lisäyksen ja sovellettavan lain mukaisesti.
Tee poikkeaman jälkiarviointi, johon sisältyy juurisyyanalyysi, ja hyödynnä sen tuloksia Notionin hallintatoimissa ja poikkeamien hallintasuunnitelmassa.
Julkaise palvelun toimintatila ja tiedota saatavuushäiriöistä.
Ylläpidä haavoittuvuuksien ilmoitusohjelmaa sekä arvioi, priorisoi ja korjaa ilmoitetut haavoittuvuudet.
Käyttäjien vastuut
Epäillyistä tietoturvapoikkeamista, vaarantuneista käyttäjätileistä, epäillyistä haavoittuvuuksista ja palvelun väärinkäytöstä ilmoittaminen Notionille viipymättä asianmukaista kanavaa pitkin.
Käyttäjän omissa työtiloissa ja käyttäjätileillä tapahtuvien poikkeamien, kuten tunnistetietojen vaarantumisen, asiattoman jakamisen ja sisäisten käyttäjien väärinkäytösten, havaitseminen ja niihin reagoiminen.
Käyttäjän omien poikkeamien hallintajärjestelyjen ylläpitäminen ja sen määrittäminen, kuka vastaa Notionissa havaitun toiminnan edellyttämistä toimista.
Tuotteessa käytettävissä olevien rajaamistoimien toteuttaminen, kuten käyttöoikeuksien poistaminen, istuntojen mitätöinti, tunnistetietojen uusiminen, integraatiotunnusten mitätöinti ja julkaistujen asiakastietojen poistaminen julkisesta näkyvyydestä.
Asiaankuuluvan todistusaineiston säilyttäminen, mukaan lukien auditointilokin tietueiden vieminen ennen niiden säilytysajan päättymistä.
Sen määrittäminen, syntyykö käyttäjälle poikkeaman vuoksi velvollisuus ilmoittaa siitä valvontaviranomaiselle, asiakkaalle tai asianomaiselle henkilölle, sekä kyseisen ilmoituksen tekeminen.
Hallinnollisten ja tietoturvaan liittyvien yhteystietojen pitäminen ajan tasalla, jotta Notionin ilmoitukset tavoittavat oikeat henkilöt.
Epäillyistä haavoittuvuuksista ilmoittaminen Notionille niiden hyödyntämisen tai julkistamisen sijaan.
Kuka osapuoli havaitsee mitä
Notion valvoo omaa infrastruktuuriaan ja voi havaita palveluun vaikuttavia poikkeamia. Notion ei voi määrittää, oliko sinänsä kelvollinen työtilassa tehty toiminto käyttäjän sisäisten käytäntöjen mukaan sallittu. Asiakkaat vastaavat työtilan toiminnan seurannasta ja väärinkäytöksiin reagoimisesta.
Tällaisia tapauksia ovat esimerkiksi se, että jäsen julkaisee luottamuksellista asiakasdataa, lähtevä työntekijä vie tietoja tai tunnistetietojen oikeutettu haltija käyttää niitä väärin. Näiden tapahtumien havaitseminen ja niihin reagoiminen edellyttää, että käyttäjä tarkastelee toimintatietoja ja käytettävissään olevia hallintakeinoja.
Notion ylläpitää tietoturva- ja tietosuojaohjelmaa, joka on auditoitu riippumattomasti, ja asettaa auditoinnin tuloksena syntyneet asiakirjat saataville. Asiakkaat arvioivat, soveltuuko Notion heidän omiin sääntelyvelvoitteisiinsa, ja määrittävät sen asetukset sen mukaisesti.
Notionin vastuut
Ylläpidä riippumattomasti arvioituja tietoturva- ja tietosuojaohjelmia sovellettavien auditointi- ja sertifiointiaikataulujen mukaisesti.
Aseta vaatimustenmukaisuusdokumentaatio, mukaan lukien auditointiraportit ja sertifikaatit, asiakkaiden ja potentiaalisten asiakkaiden saataville Notion Trust Centerin kautta.
Käyttäjien vastuut
Sen arvioiminen, soveltuuko Notion käyttäjän tallennettaviksi aikomien tietojen säilyttämiseen ja täyttääkö se käyttäjää koskevat sääntelyvelvoitteet.
Kyseiseen käyttöön vaadittavien sopimusten tekeminen, mukaan lukien tarvittaessa tietojenkäsittelyä koskeva lisäys (Data Processing Addendum) tai liikekumppanisopimus (Business Associate Agreement).
Kyseisten sopimusten edellyttämien asetusten määrittäminen, mukaan lukien vaatimustenmukaisuuteen liittyvien asetusten ja niiden edellyttämien tietoturvaominaisuuksien käyttöönotto.
Käyttäjän omien arviointien suorittaminen, mukaan lukien toimittajan riskiarviointi ja kaikki lain edellyttämät tietosuojan vaikutustenarvioinnit.
Notionin sertifikaattien, auditointiraporttien ja alikäsittelijäluettelon tarkastelu osana käyttäjän omia varmistus- ja muutoksenhallintaprosesseja.
Sen osoittaminen käyttäjän omille auditoijille ja valvontaviranomaisille, että tapa, jolla käyttäjä on määrittänyt Notionin asetukset ja käyttää palvelua, täyttää häntä koskevat velvoitteet.
Mitä sertifiointi kattaa
Notionin riippumattomilta kolmansilta osapuolilta saamat sertifikaatit ja auditointiraportit kattavat Notionin ylläpitämät hallintatoimet. Ne eivät kata sitä, miten yksittäinen organisaatio määrittää Notionin asetukset tai käyttää palvelua.
Säänneltyä dataa sisältävä työtila ei ole vaatimustenmukainen vain siksi, että Notionilla on sertifikaatti. Jos velvoite riippuu konfiguraatiosta, kuten jakamisen rajoittamisesta, kertakirjautumisen pakottamisesta, auditointilokien säilyttämisestä tai datan tallennuspaikan rajoittamisesta, sen täyttäminen on edelleen käyttäjän vastuulla.
Notion asettaa ehdot, joiden puitteissa palvelua saa käyttää, ja valvoo niiden noudattamista. Asiakkaat vastaavat omasta Notionin käytöstään ja työtiloissaan olevasta asiakasdatasta.
Notionin vastuut
Julkaise ja ylläpidä sisältö- ja käyttöperiaatteita, asiaankuuluvia ehtoja ja niihin liittyviä käytäntöjä.
Anna kaikille julkista Notion-sivua katsoville mahdollisuus ilmoittaa asiakasdatasta, jonka he uskovat olevan kiellettyä.
Tutki ilmoitukset ja poista asiakasdata tai rajoita pääsyä, jos rikkomus todetaan.
Sovella tarkempaa valvontaa sellaisiin käyttötapoihin, joissa väärinkäytöksiä esiintyy tavallista enemmän, ja keskeytä tai lopeta käyttöoikeus tarvittaessa palvelun tavoitettavuuden suojaamiseksi.
Käyttäjien vastuut
Notionin käyttö ehtojen ja sisältö- ja käyttöperiaatteiden mukaisesti sekä sen varmistaminen, että myös muut käyttäjän tilauksella Notionia käyttävät henkilöt noudattavat niitä.
Sen varmistaminen, että Notionissa säilytetty, sieltä jaettu tai sen kautta julkaistu asiakasdata on näiden periaatteiden ja soveltuvan lainsäädännön mukaista.
Muiden tuottaman asiakasdatan moderointi, jos käyttäjä jakaa käyttäjien luomaa asiakasdataa Notionin kautta.
Notionin käyttö sen tarkoitetussa laajuudessa ilman yrityksiä kiertää, poistaa käytöstä tai häiritä sen tietoturvatoimia.
Notionin tietoturvatestauksen suorittaminen ainoastaan Notionin haavoittuvuuksien ilmoitusohjelman kautta ja sen ehtojen mukaisesti.
Tuki- ja ilmoituskanavien käyttö hyvässä uskossa.
