מודל אחריות משותפת

מודל אחריות משותפת זה מבטיח ש-Notion והלקוחות שלה פועלים יחד כדי ליצור חוויית סביבת עבודה בטוחה ואפקטיבית.

להגדרות המונחים אפשר לעיין ב-MSA וב-DPA של Notion.

Notion היא מרחב אחד שבו ניתן לחשוב, לכתוב ולתכנן. כמרחב "הכול באחד" המאפשר למשתמשים לבנות כלים משלהם כדי לעשות את עבודתם על הצד הטוב ביותר, המשתמשים מפקידים בידי Notion מידע מקצועי ואישי, ובאמצעות חיבורים ו-תכונות בינה מלאכותית גם גישה למידע המוחזק במערכות אחרות.

מודל אחריות משותפת (SRM) הוא מסגרת המתווה את חלוקת האחריות בין ספק שירות לבין המשתמשים שלו. הוא מגדיר בבירור אילו משימות אבטחה ותפעול מטופלות על ידי כל צד.

מסמך זה מתווה את תחומי האחריות המשותפים ל-Notion וללקוחותיה בהגנה על מערכות Notion, חשבונות המשתמשים וסביבות העבודה, ובשמירה על אבטחתם.

ה-SRM של Notion מספק בהירות הן ל-Notion והן ללקוחותיה לגבי הצד האחראי לתהליכים, פעולות או בקרות ספציפיים. הדבר מאפשר ל-Notion להתמקד בתחומים שבהם אנו יכולים להגן בצורה הטובה ביותר על הסודיות, השלמות והזמינות של מערכות Notion, ולקחת עליהם אחריות, תוך זיהוי המקומות שבהם הלקוחות נמצאים בעמדה טובה יותר לאבטח את החשבונות, סביבות העבודה ונתוני הלקוח שלהם. בסך הכל, הדבר משפר את האבטחה והיעילות בהגנה על מערכות וחשבונות Notion.

ה-SRM גם מקדם שקיפות באופן שבו שירותי Notion מסופקים, ומעניק ללקוחות את המידע הדרוש להם כדי להעריך את Notion במסגרת תהליכי ניהול הסיכונים והבטחת העמידה בדרישות שלהם, ותומך הן ב-Notion והן בלקוחותיה בעמידה בהתחייבויותיהם לפי תקנות מקומיות, אזוריות, לאומיות ובינלאומיות רלוונטיות.

בקצרה: Notion אחראית לבנייה, לתפעול ולהגנה על הארכיטקטורה של שירות Notion. הלקוחות אחראים לאופן שבו הם מגדירים ומשתמשים בשירות זה, כולל הגנה על פרטי ההתחברות שלהם, ניהול הגישה לסביבות העבודה ולנתוני הלקוח שלהם, ועמידה ב-מדיניות התוכן והשימוש וב-תנאים רלוונטיים אחרים.

חלק מתחומי האחריות המתוארים במסמך זה יכולים להתבצע רק על ידי לקוחות בעלי הרשאות מורחבות בסביבת עבודה או בארגון. באחריות המשתמש להקצות הרשאות אלו כראוי.

הכלים הזמינים למילוי תחום אחריות מסוים משתנים בהתאם לתוכנית. כאשר יכולת מסוימת זמינה רק בתוכניות מנוי ספציפיות, לקוחות בתוכניות מנוי שאינן כוללות אותה עדיין אחראים להשגת התוצאה הנדרשת, ועליהם לשקול אמצעי בקרה חלופיים.

Notion מספקת את שיטות האימות ובקרות הניהול הקובעות כיצד אנשים מתחברים ל-Notion וכיצד ניתנת ומבוטלת גישה לסביבת העבודה. הלקוחות אחראים לבחור ולהגדיר את הבקרות המתאימות לארגונם, ולהגן על פרטי ההתחברות המשמשים לגישה לחשבונותיהם.

תחומי האחריות של Notion

• לספק ולהפעיל שיטות אימות, לרבות אימייל וסיסמה, התחברות באמצעות Google ו-Apple וכניסה יחידה באמצעות SAML 2.0 לסביבות עבודה בתוכנית לעסקים ובתוכנית Enterprise.

• לספק אימות דו-שלבי לחשבונות שמתחברים באמצעות סיסמה, בעזרת אפליקציית אימות או קוד בהודעת טקסט.

• לספק ממשקי API של SCIM שמאפשרים לארגונים בתוכנית Enterprise לבצע באופן אוטומטי יצירה, עדכון והסרה של משתמשים באמצעות ספק הזהויות שלהם.

• לספק בקרות ניהוליות לניהול משך ההפעלות, התנתקות כפויה, איפוס סיסמה, השעיית חשבון ואימות דומיין.

• לדרוש הוכחת בעלות מאומתת על דומיין לפני שאפשר להשתמש בו כדי לקבוע כיצד המשתמשים המשויכים אליו נכנסים ל-Notion.

• לבטל את גישת המשתמש לנתוני לקוחות כשהוא מוסר מסביבת העבודה. לספק בקרות שמאפשרות לארגון לסיים הפעלות ולאפס פרטי התחברות לכלל המשתמשים שהוא מנהל.

• לשמור על בקרות גישה המבוססות על עקרון ההרשאה המינימלית בכל התשתיות של Notion ולחייב את עובדי Notion ואת קבלניה בחובות סודיות.

• לגשת לנתוני לקוחות לצורכי תמיכה רק בהסכמת משתמשים או בעלי סביבות עבודה, ולדאוג שההסכמה תפוג אוטומטית לאחר תקופה מוגדרת.

תחומי האחריות של המשתמשים

• הגנה על פרטי התחברות, שימוש בסיסמאות חזקות וייחודיות והימנעות משימוש חוזר באותן סיסמאות בשירותים אחרים.

• שימוש בחשבונות אישיים ולא בחשבונות משותפים ואי־שיתוף של פרטי התחברות.

• שימוש באימות דו־שלבי בחשבונות שהכניסה אליהם מתבצעת באמצעות סיסמה.

• עדכון פרטי התחברות בהתאם למדיניות הפנימית, ובמהירות כאשר מתגלה דליפה של פרטי התחברות בשירות חיצוני.

• בחירה והגדרה של שיטות האימות המתאימות לארגון, לרבות ההחלטה אם לחייב כניסה באמצעות הזדהות אחודה.

• הבטחת גישה לסביבת העבודה רק למשתמשים שאמורים לגשת אליה, והסרת הגישה בהקדם כשמישהו עוזב או משנה תפקיד. הסרת גישה אוטומטית מחייבת שימוש ב-SCIM; בלעדיו יש להסיר את הגישה ידנית.

• הגדרת משך ההפעלות בהתאם למדיניות הפנימית, וקיום נוהל לשחזור הגישה במקרה של אובדן גישה לספק הזהויות.

• קביעה אם צוות התמיכה של Notion יוכל לגשת לחשבון או לסביבת עבודה, וביטול הגישה הזו כאשר היא אינה נדרשת עוד.

Notion מספקת את מודל ההרשאות הקובע מה משתמש מאומת יכול לראות ולעשות, לצד בקרות ניהוליות המגדירות את הגבולות לשיתוף. הלקוחות אחראים להחליט כיצד מודל זה מיושם על נתוני הלקוח שלהם, ולסקור את הגישה הנובעת מכך.

תחומי האחריות של Notion

• לספק מודל הרשאות שפועל ברמת סביבת העבודה, מרחב הצוות, הדף ומאגר הידע, כולל קבוצות הרשאות, ולאכוף אותו בעקביות בכל המוצר.

• לספק גישה נפרדת לחברים ולאורחים, כך שאפשר יהיה להעניק למשתפי פעולה חיצוניים גישה לנתוני לקוחות מסוימים ולא לסביבת עבודה שלמה.

• לספק בקרות ניהוליות שמאפשרות לארגון להגביל שיתוף ציבורי של דפים, גישת אורחים, ייצוא והעברה או שכפול של דפים לסביבות עבודה אחרות.

• לספק בקרות שקובעות מי רשאי לפרסם נתוני לקוחות באינטרנט, לרבות ב-Notion Sites, בטפסים ובאמצעות קישורים ציבוריים.

• לספק כלים שמאפשרים לארגון לבדוק למי יש גישה לדף, אילו דפים משותפים עם גורמים חיצוניים או מפורסמים באינטרנט, ולשנות את ההרשאות האלה.

• לפעול בהתאם להרשאות שהוגדרו לסביבת העבודה בעת אספקת תכונות בינה מלאכותית וחיפוש.

תחומי האחריות של המשתמשים

• קביעת רמת הגישה המתאימה לנתוני לקוחות והחלת הרשאות בהתאם.

• החלטה האם שיתוף פעולה חיצוני ופרסום ציבורי מותרים, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• הבנה כיצד גישה לדפים עוברת בירושה. גישה שניתנת לדף חלה כברירת מחדל גם על דפי המשנה שלו, וכשגישה ניתנת בכמה דרכים, חלה רמת הגישה הגבוהה ביותר שניתנה.

• סקירת גישה מעת לעת, כולל חברי סביבת העבודה, אורחים, קבוצות הרשאות, נתוני לקוח המשותפים חיצונית ונתוני לקוח המפורסמים באינטרנט.

• הסרת גישה לנתוני לקוחות כאשר מעורבותו של משתף פעולה מסתיימת, כולל אורחים ומשתפי פעולה חיצוניים שהגישה שלהם אינה מנוהלת דרך ספק הזהות של הארגון.

• הבטחה שנתוני לקוחות המפורסמים באינטרנט מיועדים לקהל ציבורי, והגדרת אפשרויות כגון אינדוקס מנועי חיפוש בהתאם.

• העברת נתוני לקוחות שמשתמש מחזיק באופן פרטי לפני עזיבתו, או בפרק הזמן המוגבל שבו ההעברה עדיין אפשרית. לאחר מכן, בדרך כלל אי אפשר לשחזר את הנתונים הפרטיים, וכלי ההעברה זמינים רק בתוכנית Enterprise.

Notion מאחסנת ומעבדת נתוני לקוחות עבור לקוחותיה ומגנה עליהם בעת העברתם וכשהם מאוחסנים. הלקוחות קובעים אילו נתונים יוזנו ל-Notion, כמה זמן הם יישמרו ואילו חובות משפטיות חלות עליהם.

תחומי האחריות של Notion

• לעבד נתוני לקוחות בהתאם להסכם המנוי הראשי, לנספח עיבוד הנתונים ולחוקי הגנת הנתונים הרלוונטיים.

• להצפין נתוני לקוחות כשהם מאוחסנים באמצעות AES-256 או אלגוריתם מקובל בתעשייה שמספק רמת אבטחה שוות ערך או גבוהה יותר, לרבות באחסון בענן, בטבלאות של מסדי נתונים ובגיבויים, ולהצפין נתונים בעת העברתם באמצעות TLS 1.2 ומעלה.

• לנהל ולפרסם רשימה עדכנית של מעבדי משנה.

• להציע אפשרות לאחסון קטגוריות מוגדרות של נתוני לקוחות באזור גאוגרפי נבחר, כך שארגונים זכאים יוכלו לבחור את האזור שבו הנתונים יאוחסנו.

• להימנע משימוש בנתוני לקוחות לאימון מודלי למידת המכונה של Notion ולאסור בחוזה על מעבדי המשנה שלה בתחום הבינה המלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• לספק ללקוחות אפשרות לייצא, לשמור ולמחוק את הנתונים שלהם, ולמחוק את נתוני הלקוחות בתום החוזה בהתאם להסכם.

• לחתום עם לקוחות שדורשים זאת על נספח עיבוד נתונים ועל הסכם שותף עסקי, במקרים הרלוונטיים.

תחומי האחריות של המשתמשים

• קביעה אילו נתונים מתאימים לאחסון ב-Notion, והבטחה שנתונים הכפופים לרגולציה יאוחסנו רק אם קיימים ההסכמים וההגדרות הנדרשים.

• קביעה ויישום של נהלי שמירת נתונים, ומחיקת נתוני לקוחות שאינם נדרשים עוד.

• התאמת הגדרות השמירה והמחיקה הזמינות במוצר למדיניות הפנימית.

• הגשת נתוני חשבון מלאים ומדויקים, ותיקונם באופן מיידי כאשר מזוהות שגיאות.

• עמידה בהתחייבויות החלות על הגורם האחראי למידע האישי המוחזק בסביבת עבודה, לרבות מסירת מידע על פרטיות לאנשים, קביעת בסיס חוקי לעיבוד ומענה לבקשות של נושאי מידע הנוגעות לנתוני לקוחות.

• קביעה האם נדרש אזור תושבות נתונים ספציפי, בקשתו היכן שצריך, והבנה אילו קטגוריות של נתונים ואילו מוצרי Notion חורגים מהיקף זה.

• סקירת רשימת מעבדי המשנה של Notion.

Notion מפעילה את התשתית ששומרת על זמינות השירות ומחזיקה גיבויים של תשתית זו לצורך שחזור השירות. הלקוחות אחראים לשחזור נתוני הלקוחות שלהם באמצעות הכלים ש-Notion מספקת, ולהחזקת עותק עצמאי של הנתונים האלה כאשר התחייבויותיהם מחייבות זאת.

תחומי האחריות של Notion

• הפעלת שירות Notion בהתאם להתחייבויות הזמינות המפורטות בתנאי רמת השירות, באמצעות תשתית יתירה במספר אזורי זמינות.

• פרסום המצב התפעולי של השירות.

• תחזוקת גיבויים אוטומטיים, מוצפנים ומנוטרים של נתוני לקוחות.

• אחסון גיבויים בהתאם ל-מיפוי אזורי הגיבוי שפרסמה Notion עבור אזור תושבות הנתונים שנבחר. תושבות הנתונים חלה רק על הקטגוריות המוגדרות של נתוני לקוחות.

• תחזוקת תוכניות התאוששות מאסון והמשכיות עסקית ובדיקתן מעת לעת.

• אספקת כלי שחזור בתוך המוצר, כולל פח האשפה והיסטוריית גרסאות, המאפשרים ללקוחות לשחזר נתוני לקוחות בעצמם.

• אספקת אפשרות ייצוא המאפשרת ללקוחות לקבל עותק של נתוני הלקוחות שלהם.

תחומי האחריות של המשתמשים

• שחזור דפים בודדים ונתוני לקוחות באמצעות פח האשפה והיסטוריית גרסאות, במסגרת תקופות השמירה החלות על התוכנית של המשתמש.

• קביעת הגדרות השמירה של נתוני לקוחות, ככל שהן זמינות, בהתאם למדיניות הפנימית.

• החזקת עותק עצמאי של נתוני לקוחות כאשר מדיניות פנימית, התחייבויות חוזיות או רגולציה מחייבות שמירה מעבר למה שהמוצר מספק, או מחייבות עותק שמוחזק מחוץ ל-Notion.

• הפקת ייצואים בלוח זמנים המתאים לדרישות אלו, ואימות שהייצואים מלאים. נתוני לקוחות שלחשבון שמבצע את הייצוא אין גישה אליהם אינם נכללים בייצוא.

• אחזור ייצואים בתוך התקופה שבה קישור ההורדה נותר תקף.

• תכנון לאפשרות של אי-זמינות שירות כחלק מהסדרי ההמשכיות העסקית של המשתמש עצמו.

מה הגיבויים של Notion הם ומה הם לא

הגיבויים של Notion נועדו לשחזור שירות Notion. הם אינם נקודת שחזור הזמינה ללקוחות, ואי אפשר להשתמש בהם כדי להחזיר סביבת עבודה למצבה ברגע מסוים. הלקוחות משחזרים נתוני לקוחות בודדים באמצעות פח האשפה והיסטוריית הגרסאות. לאחר שחולפות תקופות השמירה החלות על פח האשפה ועל הנתונים, נתוני הלקוחות נמחקים לצמיתות ואי אפשר לשחזר אותם. אין להסתמך על התמיכה כמנגנון לשמירת נתונים.

ייצוא מפיק עותק נייד של נתוני לקוחות בפורמטים כגון HTML, Markdown, CSV או PDF, בהתאם לסוג הייצוא ולתוכנית. זה אינו גיבוי מלא של סביבת העבודה: ייבוא נתוני לקוחות שיוצאו לא ישחזר את ההרשאות, ההגדרות או התצורה המקורית המלאה של סביבת העבודה, ועשוי לדרוש ארגון מחדש ידני.

Notion מייצרת רשומות של פעילות רלוונטית בתוך סביבת עבודה ומנגישה אותן לארגון. הלקוחות אחראים לבדיקת רשומות אלו, לשמירתן היכן שנדרש, ולפעולה בהתבסס על מה שהן מציגות.

תחומי האחריות של Notion

• תיעוד אירועי אבטחה ובטיחות המתרחשים בסביבות העבודה של הארגון, כולל הגורם המבצע, הפעולה, המועד וכתובת ה-IP, כאשר היא זמינה.

• שמירת היסטוריית יומן ביקורת בתוך המוצר לתקופה מוגדרת, ומתן מנגנוני ייצוא והזרמה כדי שהלקוחות יוכלו לשמור אותה לזמן רב יותר.

• מתן אמצעי להזרמת אירועים לפלטפורמת ניטור האבטחה של המשתמש עצמו בזמן אמת, ותמיכה בחיבורים לכלי מניעת אובדן נתונים.

• ניטור התשתית, הרשתות והמערכות של Notion עצמה לאיתור פעילות זדונית, וניהול יומנים פנימיים עבור מערכות אלו.

תחומי האחריות של המשתמשים

• סקירת הפעילות ביומן הביקורת, חקירת פעילות שנראית בלתי צפויה או בלתי מורשית ונקיטת פעולה לגביה.

• שמירת נתוני יומן למשך התקופה הנדרשת לפי המדיניות הפנימית של הלקוח או לפי דרישות רגולטוריות, באמצעות ייצוא או הזרמה של אירועים לפני שתסתיים תקופת שמירתם.

• הגדרת ניטור, התראות וחיבורים לכלי אבטחה או עמידה בדרישות בסביבתו של המשתמש, ווידוא שהחיבורים הללו ממשיכים לפעול.

• הגדרת מה מהווה פעילות חשודה בהקשר של הארגון, והקצאת אחריות לבדיקתה.

• דיווח על פעילות חשודה ל-Notion במקרים שבהם היא עשויה להעיד על פגיעה באבטחת השירות.

מה מתועד ביומן הביקורת ומה לא

יומן הביקורת מתעד אירועים. רשומות היומן והנתונים המוזרמים מתארים אילו פעולות בוצעו ומי ביצע אותן; הם אינם מכילים נתוני לקוח מתוך הדפים.

התיעוד ביומן הביקורת מתחיל כאשר התכונה נעשית זמינה לארגון. פעילות שהתרחשה לפני כן אינה זמינה רטרואקטיבית.

Notion מפתחת, מפעילה ומתחזקת את שירות Notion ואת התשתית שעליה הוא פועל, לרבות אבטחת התשתית והתקנת תיקוני אבטחה בה. הלקוחות אחראים לסביבות שמהן הם ניגשים ל-Notion.

תחומי האחריות של Notion

• פיתוח, בדיקה, התקנת תיקונים ותחזוקה של יישום Notion ושל התשתית התומכת בו. Notion מחילה את העדכונים לשירות ללא צורך בפעולה מצד הלקוחות.

• ביצוע מידול איומים וסקירות תכנון מאובטח לגרסאות חדשות, וכן ביקורות קוד, סקירות קוד וסריקות אבטחה של בסיס הקוד.

• הזמנת בדיקות חדירות עצמאיות מדי שנה.

• יישום וניהול אבטחת רשת בכל המערכות של Notion.

• ניטור התשתית, הרשתות והנכסים של Notion לאיתור פעילות זדונית.

• הפעלת תוכנית ציבורית לדיווח על פגיעויות והזמנת בדיקות חדירות עצמאיות.

• אבטחת המערכות הארגוניות ומכשירי העובדים של Notion, כולל הצפנת נתונים במצב מנוחה, זיהוי ותגובה בנקודות קצה וניהול מכשירים מרכזי.

• פרסום יישומי הלקוח של Notion ואספקת עדכונים להם.

תחומי האחריות של המשתמשים

• תחזוקת סביבות נקודות קצה נתמכות שהוחלו עליהן תיקונים כנדרש, כולל דפדפני אינטרנט, וכל בקרות שעשויות למנוע עדכונים ליישומי הלקוח של Notion.

• אבטחת המכשירים והרשתות המשמשים לגישה ל-Notion, בהתאם לתקני אבטחת נקודות הקצה של המשתמש עצמו.

• כאשר עדכונים ליישומי הלקוח של Notion מנוהלים באופן מרכזי, וידוא שהם ממשיכים להיות מותקנים בזמן. דחייה או השבתה של עדכונים אוטומטיים מעבירה למשתמש את האחריות להתקנת תיקונים ביישום הלקוח בזמן.

• הבטחה שתצורות התקנה אינן מונעות מהמשתמשים לקבל עדכונים.

• דיווח על פגיעויות חשודות בשירות Notion ל-Notion במקום ניצולן או חשיפתן בפומבי.

היכן עובר הגבול

Notion מחילה תיקונים על שירות Notion. לקוחות אינם מחילים תיקונים על Notion, ולא נדרשת מהם פעולה לצורך עדכונים בצד השרת.

יישומי לקוח שונים מבחינה זו. Notion מפרסמת עדכונים, אך השאלה אם מכשיר מסוים מקבל אותם תלויה באופן שבו המכשיר מוגדר ומנוהל. כאשר ארגון מנהל את אופן ההתקנה או העדכון, האחריות לשמור על עדכניות יישומי הלקוח מוטלת עליו.

Notion מספקת API, פלטפורמת אינטגרציה ותכונות AI שיכולות לפעול על נתוני לקוחות ולגשת למערכות מחוברות. הלקוחות אחראים להחליט אילו מהן להפעיל, איזו גישה להעניק להן וכיצד להסדיר את השימוש בהן.

תחומי האחריות של Notion

• לספק ולתחזק את ה-API של Notion, את פלטפורמת האינטגרציה, את החיבורים ואת תכונות ה-AI.

• לכבד את הרשאות המשתמשים ב-Notion AI, בסוכן Notion ובמחברי AI. סוכנים בהתאמה אישית משתמשים בהרשאות שהוענקו להם במפורש, שעשויות להיות שונות מההרשאות של מי שפועלים מול הסוכן.

• לספק בקרות ניהוליות הקובעות אילו אינטגרציות וכלי AI חיצוניים אפשר להתקין, אילו סוכנים אפשר ליצור והאם תכונות AI מופעלות.

• לספק בקרות להפעלה או להשבתה של חיפוש AI באינטרנט, ולדרוש אישור לפני שליחת בקשות לאתרים חיצוניים.

• לתחזק הגנות שנועדו לזהות ולהפחית את הסיכון להזרקת הנחיות (prompt-injection), כולל זיהוי הוראות נסתרות בתוכן של צד שלישי ובקבצים שהועלו, הגבלות על טיפול בקישורים ובדיקות נוספות כאשר סוכנים פועלים באופן אוטונומי.

• להימנע משימוש בנתוני לקוח לאימון המודלים של Notion, ולאסור בחוזה על מעבדי משנה בתחום הבינה המלאכותית לעשות זאת ללא הסכמה מפורשת של הלקוח.

• לתעד פעילות של אינטגרציות, חיבורים, סוכנים וכלי בינה מלאכותית חיצוניים ביומן הביקורת.

תחומי האחריות של המשתמשים

• החלטה אילו אינטגרציות, חיבורים, תכונות בינה מלאכותית וסוכנים מתאימים לארגון, והגדרת הבקרות הזמינות כדי לשקף החלטה זו.

• בחינת הגישה והיכולות שאינטגרציה או חיבור מבקשים לפני מתן אישור לשימוש בהם, ווידוא ששירות הצד השלישי עומד בדרישות המשתמש מספקים.

• ניהול אסימוני אינטגרציה פנימיים, כולל הגבלת הפצתם, החלפתם וביטול אלו שאינם נדרשים עוד.

• ניהול היצירה והתצורה של סוכנים, כולל לאילו נתוני לקוח וכלים מחוברים כל סוכן יכול להגיע, ובחינת גישה זו מעת לעת.

• על הלקוחות לוודא שהיקף הרשאות הסוכנים מוגדר כראוי.

• קביעה אם ניתן להפעיל מודלים השומרים נתונים עבור תכונות הדורשות זאת.

• וידוא שנתוני הלקוח שהועמדו לרשות Notion דרך מערכות מחוברות מתאימים למטרה זו, ושהיקף הגישה שהוענקה במערכת המחוברת הוגדר כראוי.

• יידוע המשתמשים בכך שנתוני לקוח שמקורם מחוץ לסביבת העבודה, כולל דפי אינטרנט וקבצים שהועלו, עלולים לנסות להשפיע על התנהגות הבינה המלאכותית.

מה על לקוחות להבין בנוגע לנתונים מחוברים

הגישה המוענקת באמצעות חיבור מוגבלת בהתאם להרשאות שהוענקו במערכת המחוברת. Notion אוכפת את ההרשאות שעליהן מדווחת המערכת המחוברת, אך אינה מתקנת הרשאות רחבות מדי במערכת המקור.

שינויים בהרשאות במערכות מחוברות משתקפים ב-Notion רק לאחר פרק זמן הנדרש לסנכרון, ולא באופן מיידי, וייתכן שיחלוף זמן עד שנתוני לקוח שנוספו יופיעו או שנתוני לקוח שנמחקו לא יהיו זמינים עוד.

Notion אחראית לאבטחת שירות Notion ולהודעה ללקוחות במקרה שאירוע משפיע על נתוני הלקוח שלהם. הלקוחות אחראים לאופן שבו הם מגיבים לאירועים הכוללים את החשבונות, סביבות העבודה ונתוני הלקוח שלהם, כולל כל הודעה שהם נדרשים למסור.

תחומי האחריות של Notion

• לתחזק תוכנית מתועדת לתגובה לאירועים ולבדוק אותה מעת לעת.

• לזהות אירועי אבטחה המשפיעים על מערכות Notion ועל נתוני הלקוח ש-Notion מחזיקה, לבצע להם מיון ראשוני, לחקור אותם, לבלום אותם ולטפל בהם.

• להודיע ללקוחות שנפגעו על אירועי אבטחה בהתאם לנספח עיבוד הנתונים ולדין החל.

• לבצע סקירה לאחר אירוע, לרבות ניתוח של גורם השורש, וליישם את הממצאים בבקרות ובתוכנית התגובה של Notion.

• לפרסם את המצב התפעולי של השירות ולדווח על אירועים המשפיעים על זמינותו.

• להפעיל תוכנית לדיווח על פגיעויות, ולמיין פגיעויות שדווחו ולטפל בהן.

תחומי האחריות של המשתמשים

• דיווח על אירועי אבטחה חשודים, חשבונות שנפרצו, פגיעויות חשודות ושימוש לרעה בשירות ל-Notion באופן מיידי, דרך הערוץ המתאים.

• זיהוי אירועים המתרחשים בסביבות העבודה ובחשבונות של המשתמש עצמו ותגובה אליהם, לרבות פרטי גישה שנחשפו, שיתוף בלתי הולם ושימוש לרעה בידי משתמשים פנימיים.

• תחזוקת הסדרי תגובה לאירועים של המשתמש עצמו, והגדרת האחראי לפעולה בגין פעילות שזוהתה ב-Notion.

• נקיטת פעולות בלימה הזמינות במוצר, לרבות הסרת גישה, ביטול הפעלות, איפוס פרטי גישה, ביטול אסימוני אינטגרציה והסרת נתוני לקוח שפורסמו.

• שמירה על ראיות רלוונטיות, לרבות ייצוא רשומות יומן ביקורת לפני תום תקופת השמירה שלהן.

• קביעה אם אירוע מחייב את המשתמש להודיע לרגולטור, ללקוח או לאדם שנפגע, ומסירת ההודעה.

• שמירה על פרטי קשר מעודכנים לענייני ניהול ואבטחה, כדי שהודעות מ-Notion יגיעו לאנשים הנכונים.

• דיווח ל-Notion על פגיעויות חשודות, במקום לנצל אותן או לחשוף אותן בפומבי.

איזה צד מזהה מה

Notion מנטרת את התשתית שלה ויכולה לזהות אירועים המשפיעים על השירות. Notion אינה יכולה לקבוע אם פעולה תקפה כשלעצמה בסביבת העבודה אושרה במסגרת המדיניות הפנימית של המשתמש. הלקוחות אחראים לנטר את הפעילות בסביבת העבודה ולהגיב לשימוש לרעה.

זה כולל אירועים כגון פרסום נתוני לקוח חסויים בידי חבר בסביבת העבודה, ייצוא נתונים בידי עובד שעומד לעזוב או שימוש לרעה בפרטי גישה בידי בעליהם החוקי. זיהוי האירועים האלה והתגובה להם תלויים בבדיקת רשומות הפעילות והבקרות העומדות לרשות המשתמש.

Notion מנהלת תוכנית לאבטחת מידע ופרטיות שעוברת ביקורת עצמאית, ומעמידה לרשות הלקוחות את התיעוד הנובע מכך. הלקוחות קובעים אם Notion מתאימה לחובות הרגולטוריות שלהם ומגדירים אותה בהתאם.

תחומי האחריות של Notion

• לתחזק תוכניות אבטחה ופרטיות שעוברות הערכה עצמאית בהתאם למחזורי הביקורת וההסמכה הרלוונטיים.

• להעמיד תיעוד ציות, כולל דוחות ביקורת והסמכות, לרשות לקוחות ולקוחות פוטנציאליים דרך Notion Trust Center.

תחומי האחריות של המשתמשים

• קביעה אם Notion מתאימה לנתונים שהמשתמש מתכוון לאחסן ולחובות הרגולטוריות החלות עליו.

• התקשרות בהסכמים הנדרשים לשימוש זה, כולל נספח עיבוד נתונים או הסכם שותף עסקי, במידת הצורך.

• החלת התצורה הנדרשת על פי הסכמים אלו, לרבות הפעלת הגדרות ייעודיות לעמידה בדרישות ותכונות האבטחה שהגדרות אלו תלויות בהן.

• השלמת הערכות עצמיות של המשתמש, לרבות הערכת סיכוני ספק וכל הערכת השפעה על הגנת מידע הנדרשת על פי חוק.

• בחינת ההסמכות, דוחות הביקורת ורשימת מעבדי המשנה של Notion כחלק מתהליכי הבקרה וניהול השינויים של המשתמש.

• הצגת הוכחה למבקרים ולרגולטורים של המשתמש לכך שההגדרות והשימוש שלו ב-Notion עומדים בחובות החלות עליו.

מה מכסה ההסמכה

ההסמכות שהעניקו ל-Notion גופי צד שלישי בלתי תלויים ודוחות הביקורת שלה מכסים את הבקרות ש-Notion מפעילה. הם אינם חלים על האופן שבו ארגון מסוים מגדיר את Notion או משתמש בה.

סביבת עבודה המחזיקה בנתונים הכפופים לרגולציה אינה עומדת בדרישות רק מכוח העובדה של-Notion יש הסמכה. כאשר עמידה בחובה תלויה בהגדרות, כגון הגבלת שיתוף, אכיפת כניסה יחידה (SSO), שמירת רשומות ביקורת או הגבלת מיקום אחסון הנתונים, האחריות לעמוד בה נותרת בידי המשתמש.

Notion קובעת את התנאים שבהם ניתן להשתמש בשירות ואוכפת אותם. לקוחות אחראים לשימוש שלהם ב-Notion ולנתוני הלקוח המוחזקים בסביבות העבודה שלהם.

תחומי האחריות של Notion

• פרסום ותחזוקה של מדיניות תוכן ושימוש, תנאים רלוונטיים ומדיניות קשורה.

• מתן אפשרות לכל מי שצופים בדף Notion ציבורי לדווח על נתוני לקוח שלדעתם אסורים.

• חקירת דיווחים והסרת נתוני לקוח או הגבלת גישה כאשר מזוהה הפרה.

• החלת בדיקה קפדנית יותר על קטגוריות שימוש הקשורות לשיעורים גבוהים יותר של שימוש לרעה, והשעיה או הפסקה של גישה במידת הצורך כדי להגן על זמינות השירות.

תחומי האחריות של המשתמש

• שימוש ב-Notion בהתאם לתנאים ולמדיניות תוכן ושימוש, והבטחה שגם אנשים המשתמשים ב-Notion במסגרת המנוי של המשתמש יעשו זאת.

• הבטחה שנתוני לקוח המאוחסנים ב-Notion, משותפים מתוכה או מפורסמים באמצעותה עומדים במסמכי המדיניות האלה ובדין החל.

• פיקוח על נתוני לקוח שסיפקו אחרים כאשר המשתמש מפיץ באמצעות Notion נתוני לקוח שנוצרו על ידי משתמשים.

• שימוש ב-Notion במסגרת הקיבולת המיועדת לה, בלי לנסות לעקוף, להשבית או לשבש את בקרות האבטחה שלה.

• ביצוע בדיקות אבטחה של Notion רק במסגרת התוכנית של Notion לדיווח על פגיעויות ובכפוף לתנאיה.

• שימוש בערוצי תמיכה ודיווח בתום לב.