Model Tanggung Jawab Bersama

Model Tanggung Jawab Bersama ini memastikan bahwa Notion dan Pelanggannya bekerja sama untuk menciptakan pengalaman ruang kerja yang aman dan efektif.

Silakan merujuk ke MSA dan DPA Notion untuk istilah-istilah yang didefinisikan.

Notion adalah satu ruang untuk berpikir, menulis, dan membuat rencana. Pengguna dapat membuat alat sendiri di Notion agar dapat bekerja sebaik mungkin. Mereka memercayakan informasi profesional dan pribadi kepada Notion. Melalui Koneksi dan fitur AI, mereka juga memberi Notion akses ke informasi di sistem lain.

Model Tanggung Jawab Bersama (SRM) adalah kerangka kerja yang menjelaskan pembagian tanggung jawab antara penyedia layanan dan penggunanya. Model ini menjelaskan tugas keamanan dan operasional yang menjadi tanggung jawab masing-masing pihak.

Dokumen ini menguraikan tanggung jawab yang dibagi antara Notion dan Pelanggannya dalam melindungi dan menjaga keamanan sistem, akun pengguna, dan ruang kerja Notion.

SRM Notion memperjelas proses, operasi, dan kontrol yang menjadi tanggung jawab Notion maupun Pelanggan. Dengan begitu, Notion dapat berfokus dan bertanggung jawab pada area tempat kami paling mampu melindungi kerahasiaan, integritas, dan ketersediaan sistem Notion. SRM juga menunjukkan area tempat Pelanggan dapat mengamankan akun, ruang kerja, dan Data Pelanggan mereka sendiri dengan lebih baik. Pembagian ini meningkatkan keamanan dan efisiensi perlindungan sistem dan akun Notion.

SRM juga meningkatkan transparansi tentang cara Layanan Notion diberikan. Pelanggan dapat menggunakan informasi ini untuk menilai Notion dalam proses penilaian risiko dan penjaminan mereka sendiri. Informasi ini juga membantu Notion dan Pelanggan memenuhi kewajiban masing-masing berdasarkan peraturan lokal, regional, nasional, dan internasional yang berlaku.

Singkatnya: Notion bertanggung jawab untuk membangun, mengoperasikan, dan melindungi arsitektur Layanan Notion. Pelanggan bertanggung jawab atas cara mereka mengonfigurasi dan menggunakan Layanan tersebut, termasuk melindungi kredensial mereka, mengelola siapa yang memiliki akses ke ruang kerja dan Data Pelanggan mereka, serta mematuhi Kebijakan Konten & Penggunaan dan Ketentuan relevan lainnya.

Beberapa tanggung jawab yang dijelaskan dalam dokumen ini hanya dapat dilaksanakan oleh Pelanggan dengan izin yang ditingkatkan di Ruang Kerja atau organisasi. Merupakan tanggung jawab Pengguna untuk menetapkan izin tersebut dengan tepat.

Alat yang tersedia untuk memenuhi tanggung jawab tertentu berbeda menurut paket. Jika suatu kemampuan hanya tersedia pada Paket Berlangganan tertentu, Pelanggan dengan paket tanpa kemampuan tersebut tetap bertanggung jawab untuk mencapai hasil yang diharapkan dan perlu mempertimbangkan kontrol alternatif.

Notion menyediakan metode autentikasi dan kontrol administratif yang mengatur bagaimana orang masuk ke Notion serta bagaimana akses ruang kerja diberikan dan dihapus. Pelanggan bertanggung jawab untuk memilih dan mengonfigurasi kontrol yang sesuai bagi organisasi mereka, serta untuk melindungi kredensial yang digunakan untuk mengakses akun mereka.

Tanggung Jawab Notion

• Menyediakan dan mengoperasikan metode autentikasi, termasuk email dan kata sandi, masuk dengan Google dan Apple, serta akses masuk tunggal SAML 2.0 untuk ruang kerja pada paket Business dan Enterprise plan.

• Menyediakan autentikasi dua faktor untuk akun yang masuk dengan kata sandi, menggunakan aplikasi autentikator atau kode pesan teks.

• Menyediakan API SCIM yang memungkinkan organisasi Enterprise untuk mengotomatiskan pembuatan, pembaruan, dan penghapusan Pengguna dari penyedia identitas mereka.

• Menyediakan kontrol administratif yang mengatur durasi sesi, logout paksa, pengaturan ulang kata sandi, penangguhan akun, dan verifikasi domain.

• Memerlukan bukti kepemilikan domain yang telah diverifikasi sebelum domain dapat digunakan untuk mengatur cara penggunanya masuk ke Notion.

• Mencabut akses pengguna ke Data Pelanggan saat pengguna tersebut dihapus dari ruang kerja. Menyediakan kontrol yang memungkinkan organisasi untuk mengakhiri sesi dan mengatur ulang kredensial di seluruh basis pengguna yang dikelolanya.

• Menerapkan kontrol akses dengan hak istimewa minimum di seluruh infrastruktur milik Notion, serta mewajibkan karyawan dan kontraktor Notion untuk menjaga kerahasiaan.

• Mengakses Data Pelanggan untuk tujuan dukungan hanya jika pengguna atau pemilik ruang kerja telah memberikan persetujuan, dan mengakhiri persetujuan tersebut secara otomatis setelah periode yang ditentukan.

Tanggung Jawab Pengguna

• Melindungi kredensial masuk, menggunakan kata sandi yang kuat dan unik, serta menghindari penggunaan kembali di layanan lain.

• Memelihara akun individu alih-alih akun bersama, dan tidak membagikan informasi masuk.

• Menggunakan autentikasi dua faktor pada akun yang masuk dengan kata sandi.

• Memperbarui kredensial sesuai kebijakan internal, dan segera memperbaruinya jika diketahui terjadi kebocoran kredensial di layanan lain.

• Memilih dan mengonfigurasi metode autentikasi yang sesuai untuk organisasi, termasuk apakah akses masuk tunggal (single sign-on) diberlakukan.

• Memastikan akses ruang kerja terbatas pada Pengguna yang dituju, dan bahwa akses segera dihapus ketika seseorang keluar atau berganti peran. Penonaktifan akses otomatis memerlukan SCIM; jika tidak digunakan, penghapusan dilakukan secara manual.

• Mengatur durasi sesi sesuai dengan kebijakan internal, dan memelihara prosedur pemulihan untuk kehilangan akses ke penyedia identitas.

• Mengontrol apakah dukungan Notion dapat mengakses akun atau ruang kerja, dan mencabut akses tersebut jika tidak lagi diperlukan.

Notion menyediakan model izin yang menentukan apa yang dapat dilihat dan dilakukan oleh pengguna terautentikasi, beserta kontrol administratif yang menetapkan batasan untuk berbagi. Pelanggan bertanggung jawab untuk memutuskan bagaimana model tersebut diterapkan pada Data Pelanggan mereka, dan untuk meninjau akses yang dihasilkan.

Tanggung Jawab Notion

• Menyediakan model izin yang beroperasi di tingkat ruang kerja, Ruang tim, halaman, dan database, termasuk grup izin, dan menerapkannya secara konsisten di seluruh produk.

• Menyediakan akses yang berbeda untuk anggota dan tamu, sehingga kolaborator eksternal dapat diberikan akses ke Data Pelanggan tertentu, bukan ke seluruh ruang kerja.

• Menyediakan kontrol administratif yang memungkinkan organisasi untuk membatasi berbagi halaman publik, akses tamu, Ekspor, serta pemindahan atau duplikasi halaman ke ruang kerja lain.

• Menyediakan kontrol yang mengatur siapa yang boleh memublikasikan Data Pelanggan ke web, termasuk Notion Sites, Forms, dan tautan publik.

• Menyediakan perangkat visibilitas yang memungkinkan organisasi mengidentifikasi siapa yang memiliki akses ke suatu halaman, halaman mana yang dibagikan secara eksternal atau dipublikasikan ke web, serta mengubah izin tersebut.

• Mematuhi izin ruang kerja yang telah dikonfigurasi saat menyediakan fitur AI dan pencarian.

Tanggung Jawab Pengguna

• Menentukan tingkat akses yang sesuai untuk Data Pelanggan, dan menerapkan izin yang sesuai.

• Memutuskan apakah kolaborasi eksternal dan publikasi untuk umum diizinkan, lalu mengonfigurasi kontrol yang tersedia sesuai keputusan tersebut.

• Memahami cara akses diwariskan. Secara default, akses ke suatu halaman juga berlaku untuk halaman yang dibuat di dalamnya. Jika akses diberikan melalui beberapa jalur, tingkat akses tertinggilah yang berlaku.

• Meninjau akses secara berkala, termasuk anggota ruang kerja, tamu, grup izin, Data Pelanggan yang dibagikan secara eksternal, dan Data Pelanggan yang dipublikasikan ke web.

• Menghapus akses ke Data Pelanggan ketika keterlibatan kolaborator berakhir, termasuk tamu dan kolaborator eksternal yang aksesnya tidak dikelola melalui penyedia identitas organisasi.

• Memastikan Data Pelanggan yang dipublikasikan ke web ditujukan untuk audiens publik, dan mengonfigurasi opsi seperti pengindeksan mesin pencari dengan tepat.

• Mentransfer Data Pelanggan yang disimpan secara pribadi oleh pengguna sebelum pengguna tersebut keluar, atau dalam jangka waktu terbatas ketika transfer masih dimungkinkan. Setelah jangka waktu tersebut, Data Pelanggan pribadi umumnya tidak dapat dipulihkan, dan alat transfer hanya tersedia pada Enterprise plan.

Notion menyimpan dan memproses Data Pelanggan atas nama Pelanggannya serta melindungi data tersebut selama dikirim dan saat disimpan. Pelanggan menentukan data yang disimpan di Notion, berapa lama data itu disimpan, dan kewajiban hukum yang berlaku atasnya.

Tanggung Jawab Notion

• Memproses Data Pelanggan sesuai dengan Perjanjian Berlangganan Utama, Adendum Pemrosesan Data, dan hukum perlindungan data yang berlaku.

• Mengenkripsi Data Pelanggan saat disimpan menggunakan AES-256 atau algoritma standar industri dengan keamanan setara atau lebih kuat, termasuk di penyimpanan cloud, tabel database, dan cadangan, serta mengenkripsi data selama dikirim menggunakan TLS 1.2 atau versi yang lebih baru.

• Memelihara dan memublikasikan daftar subprosesor terkini.

• Menawarkan residensi data untuk kategori Data Pelanggan tertentu agar organisasi yang memenuhi syarat dapat memilih wilayah tempat data tersebut disimpan.

• Tidak menggunakan Data Pelanggan untuk melatih model pembelajaran mesin Notion, serta melarang subprosesor AI melakukannya melalui perjanjian kontrak tanpa persetujuan tegas dari pelanggan.

• Menyediakan fitur Ekspor, penyimpanan, dan Hapus agar Pelanggan dapat mengelola Data Pelanggan mereka, serta menghapus Data Pelanggan saat kontrak berakhir sesuai perjanjian.

• Menandatangani Adendum Pemrosesan Data dan, jika berlaku, Business Associate Agreement dengan pelanggan yang memerlukannya.

Tanggung Jawab Pengguna

• Menentukan data apa yang sesuai untuk disimpan di Notion, dan memastikan bahwa data yang tunduk pada peraturan hanya disimpan jika perjanjian dan konfigurasi yang diperlukan telah tersedia.

• Menetapkan dan menerapkan praktik retensi, serta menghapus Data Pelanggan yang tidak lagi diperlukan.

• Mengonfigurasi pengaturan retensi dan penghapusan yang tersedia di produk untuk mencerminkan kebijakan internal.

• Mengirimkan Data Akun yang lengkap dan akurat, serta memperbaikinya dengan segera jika ditemukan kesalahan.

• Memenuhi kewajiban yang menjadi tanggung jawab pengendali data pribadi yang disimpan di ruang kerja, termasuk memberikan informasi privasi kepada individu, menetapkan dasar hukum untuk pemrosesan, dan menanggapi permintaan subjek data terkait Data Pelanggan.

• Menentukan apakah wilayah residensi data tertentu diperlukan, memintanya jika diperlukan, dan memahami kategori data serta produk Notion mana yang berada di luar cakupan tersebut.

• Meninjau daftar subprosesor Notion.

Notion mengoperasikan infrastruktur yang menjaga Layanan tetap tersedia dan memelihara cadangan infrastruktur tersebut untuk tujuan pemulihan Layanan. Pelanggan bertanggung jawab untuk memulihkan Data Pelanggan mereka sendiri menggunakan alat yang disediakan Notion, dan untuk menyimpan salinan independen Data Pelanggan tersebut jika kewajiban mereka sendiri mengharuskannya.

Tanggung Jawab Notion

• Mengoperasikan Layanan Notion sesuai dengan komitmen ketersediaan yang ditetapkan dalam Ketentuan Tingkat Layanan, menggunakan infrastruktur redundan di beberapa zona ketersediaan.

• Mempublikasikan status operasional Layanan.

• Memelihara cadangan Data Pelanggan yang otomatis, terenkripsi, dan terpantau.

• Menyimpan cadangan sesuai dengan pemetaan wilayah cadangan yang dipublikasikan Notion untuk wilayah residensi data yang dipilih. Residensi data hanya berlaku untuk kategori Data Pelanggan yang ditentukan.

• Memelihara dan menguji secara berkala rencana pemulihan bencana dan kelangsungan bisnis.

• Menyediakan alat pemulihan dalam produk, termasuk Tempat Sampah dan riwayat versi, yang memungkinkan Pelanggan untuk memulihkan Data Pelanggan sendiri.

• Menyediakan fungsi ekspor agar Pelanggan dapat memperoleh salinan Data Pelanggan mereka.

Tanggung Jawab Pengguna

• Memulihkan halaman individu dan Data Pelanggan menggunakan Tempat Sampah dan riwayat versi, dalam periode retensi yang berlaku untuk paket Pengguna.

• Mengonfigurasi pengaturan retensi Data Pelanggan, jika tersedia, untuk mencerminkan kebijakan internal.

• Memelihara salinan independen Data Pelanggan jika kebijakan internal, komitmen kontraktual, atau peraturan mengharuskan retensi di luar apa yang disediakan produk, atau mengharuskan salinan disimpan di luar Notion.

• Melakukan ekspor sesuai jadwal yang memenuhi persyaratan tersebut dan memastikan hasilnya lengkap. Data Pelanggan yang tidak dapat diakses oleh akun pengekspor tidak disertakan dalam ekspor.

• Mengambil hasil ekspor selama tautan unduh masih berlaku.

• Merencanakan kemungkinan layanan tidak tersedia sebagai bagian dari rencana kelangsungan bisnis Pengguna sendiri.

Apa itu cadangan Notion dan apa yang bukan

Cadangan Notion digunakan untuk memulihkan Layanan Notion. Cadangan tersebut bukan titik pemulihan yang tersedia bagi pelanggan dan tidak dapat digunakan untuk mengembalikan ruang kerja ke keadaannya pada waktu tertentu. Pemulihan masing-masing Data Pelanggan dilakukan oleh Pelanggan melalui Tempat Sampah dan riwayat versi. Setelah Data Pelanggan melewati masa penyimpanan di Tempat Sampah dan periode retensi yang berlaku, data tersebut akan dihapus secara permanen dan tidak dapat dipulihkan. Pelanggan tidak boleh mengandalkan dukungan sebagai mekanisme retensi.

Ekspor menghasilkan salinan portabel Data Pelanggan dalam format seperti HTML, Markdown, CSV, atau PDF, tergantung pada jenis ekspor dan paket. Ini bukan cadangan lengkap ruang kerja: mengimpor Data Pelanggan yang diekspor tidak akan membuat ulang izin, pengaturan, atau konfigurasi lengkap ruang kerja semula, dan mungkin memerlukan penataan ulang secara manual.

Notion membuat catatan Aktivitas yang relevan dalam ruang kerja dan menyediakannya bagi organisasi. Pelanggan bertanggung jawab untuk meninjau catatan tersebut, menyimpannya jika diperlukan, dan menindaklanjuti temuan dalam catatan tersebut.

Tanggung Jawab Notion

• Mencatat Acara terkait keamanan dan keselamatan yang terjadi di seluruh ruang kerja organisasi, termasuk pelaku, tindakan, waktu, dan alamat IP jika tersedia.

• Menyimpan riwayat log audit dalam produk selama periode yang ditentukan serta menyediakan mekanisme ekspor dan streaming agar Pelanggan dapat menyimpannya lebih lama.

• Menyediakan sarana untuk melakukan streaming acara ke platform pemantauan keamanan milik Pengguna secara real-time dan mendukung koneksi ke alat pencegahan kehilangan data.

• Memantau infrastruktur, jaringan, dan sistem Notion untuk mendeteksi aktivitas berbahaya serta memelihara log internal untuk sistem tersebut.

Tanggung Jawab Pengguna

• Meninjau aktivitas log audit serta menyelidiki dan menindaklanjuti aktivitas yang tampak tidak terduga atau tidak sah.

• Menyimpan data log selama periode yang disyaratkan oleh kebijakan internal Pelanggan atau peraturan, dengan mengekspor atau melakukan streaming acara sebelum masa retensinya berakhir.

• Mengonfigurasi pemantauan, peringatan, dan koneksi keamanan atau kepatuhan di lingkungan Pengguna sendiri serta memastikan integrasi tersebut tetap berfungsi.

• Menentukan apa yang dianggap sebagai aktivitas mencurigakan dalam konteks organisasi dan menetapkan pihak yang bertanggung jawab untuk meninjaunya.

• Melaporkan aktivitas mencurigakan kepada Notion jika hal tersebut dapat mengindikasikan bahwa keamanan Layanan telah terganggu.

Apa yang dicakup dan tidak dicakup oleh log audit

Log audit mencatat acara. Entri log dan payload yang dialirkan menjelaskan tindakan yang diambil dan oleh siapa; log tersebut tidak berisi Data Pelanggan dari halaman.

Pencatatan log audit dimulai ketika organisasi memenuhi syarat untuk fitur tersebut. Aktivitas yang terjadi sebelumnya tidak tersedia secara retrospektif.

Notion mengembangkan, mengoperasikan, dan memelihara Layanan Notion serta infrastruktur tempat Layanan tersebut berjalan, termasuk mengamankan dan menambal infrastruktur tersebut. Pelanggan bertanggung jawab atas lingkungan tempat mereka mengakses Notion.

Tanggung Jawab Notion

• Mengembangkan, menguji, menambal, dan memelihara aplikasi Notion serta infrastruktur yang mendukungnya. Pembaruan pada Layanan diterapkan oleh Notion dan tidak memerlukan tindakan apa pun dari Pelanggan.

• Melakukan pemodelan ancaman dan tinjauan desain yang aman untuk rilis baru, serta audit kode, tinjauan kode, dan pemindaian keamanan basis kode.

• Menugaskan pengujian penetrasi independen tahunan.

• Menerapkan dan mengelola keamanan jaringan di seluruh sistem Notion.

• Memantau infrastruktur, jaringan, dan aset Notion untuk aktivitas berbahaya.

• Mengoperasikan program pengungkapan kerentanan publik dan menugaskan pengujian penetrasi independen.

• Mengamankan sistem perusahaan dan perangkat karyawan Notion sendiri, termasuk enkripsi data saat tersimpan, deteksi dan respons titik akhir, serta manajemen perangkat terpusat.

• Menerbitkan aplikasi klien Notion dan mengirimkan pembaruan ke aplikasi tersebut.

Tanggung Jawab Pengguna

• Memelihara lingkungan titik akhir yang didukung dan ditambal dengan tepat, termasuk peramban web, dan kontrol apa pun yang dapat mencegah pembaruan klien Notion.

• Mengamankan perangkat dan jaringan yang digunakan untuk mengakses Notion, sejalan dengan standar keamanan titik akhir milik Pengguna sendiri.

• Jika pembaruan klien Notion dikelola secara terpusat, memastikan pembaruan terus diterapkan tepat waktu. Menunda atau menonaktifkan pembaruan otomatis mengalihkan tanggung jawab penambalan klien tepat waktu kepada Pengguna.

• Memastikan konfigurasi instalasi tidak mencegah Pengguna menerima pembaruan.

• Melaporkan dugaan kerentanan dalam Layanan Notion kepada Notion alih-alih mengeksploitasi atau mengungkapkannya secara publik.

Di mana batasnya berada

Notion menambal Layanan Notion. Pelanggan tidak menerapkan tambalan ke Notion, dan tidak ada tindakan pelanggan yang diperlukan untuk pembaruan sisi server.

Aplikasi klien berbeda. Notion menerbitkan pembaruan, tetapi apakah perangkat tertentu menerimanya bergantung pada cara perangkat tersebut dikonfigurasi dan dikelola. Jika suatu organisasi mengelola instalasi atau pembaruan, organisasi tersebut bertanggung jawab menjaga agar aplikasi klien tetap terkini.

Notion menyediakan API, platform integrasi, dan fitur AI yang dapat bertindak atas Data Pelanggan dan menjangkau sistem yang terhubung. Pelanggan bertanggung jawab untuk memutuskan mana dari fitur ini yang akan diaktifkan, akses apa yang akan diberikan kepada fitur tersebut, dan bagaimana fitur tersebut diatur.

Tanggung Jawab Notion

• Menyediakan dan memelihara API Notion, platform integrasi, koneksi, dan fitur AI.

• Mematuhi izin pengguna di Notion AI, Notion Agent, dan AI Connectors. Agent Kustom menggunakan izin yang diberikan secara khusus kepada mereka, yang mungkin berbeda dari izin orang yang berinteraksi dengan agent tersebut.

• Menyediakan kontrol administratif yang mengatur integrasi dan alat AI eksternal mana yang boleh diinstal, agen mana yang boleh dibuat, dan apakah fitur AI diaktifkan.

• Menyediakan kontrol untuk mengaktifkan atau menonaktifkan pencarian web AI dan mewajibkan konfirmasi sebelum permintaan web eksternal.

• Memelihara pertahanan yang dirancang untuk mendeteksi dan mengurangi risiko injeksi prompt, termasuk deteksi instruksi tersembunyi dalam konten pihak ketiga dan file yang diunggah, pembatasan penanganan tautan, dan pemeriksaan tambahan saat agen bertindak secara otonom.

• Menahan diri untuk tidak menggunakan Data Pelanggan guna melatih model Notion, dan secara kontraktual melarang subprosesor AI untuk melakukannya tanpa persetujuan eksplisit dari pelanggan.

• Mencatat aktivitas integrasi, koneksi, agen, dan alat AI eksternal dalam log audit.

Tanggung Jawab Pengguna

• Memutuskan integrasi, koneksi, fitur AI, dan agen mana yang sesuai untuk organisasi, serta mengonfigurasi kontrol yang tersedia untuk mencerminkan keputusan tersebut.

• Meninjau akses dan kemampuan yang diminta oleh integrasi atau koneksi sebelum mengotorisasinya, dan mengonfirmasi bahwa layanan pihak ketiga memenuhi persyaratan vendor Pengguna sendiri.

• Mengelola token integrasi internal, termasuk membatasi distribusinya, merotasinya, dan mencabut token yang tidak lagi diperlukan.

• Mengatur pembuatan dan konfigurasi agen, termasuk Data Pelanggan dan alat terhubung apa yang dapat dijangkau oleh setiap agen, serta meninjau akses tersebut secara berkala.

• Pelanggan harus memastikan bahwa izin agen dibatasi dengan tepat.

• Menentukan apakah model yang menyimpan data dapat diaktifkan untuk fitur yang memerlukannya.

• Memastikan Data Pelanggan yang disediakan untuk Notion melalui sistem yang terhubung sudah sesuai untuk tujuan tersebut, dan bahwa akses yang diberikan dalam sistem yang terhubung itu sendiri telah dibatasi dengan benar.

• Memberi tahu Pengguna bahwa Data Pelanggan yang berasal dari luar ruang kerja, termasuk halaman web dan file yang diunggah, dapat mencoba memengaruhi perilaku AI.

Apa yang harus dipahami Pelanggan tentang data yang terhubung

Akses yang diberikan melalui koneksi hanya terbatas pada izin yang diberikan dalam sistem yang terhubung. Notion menerapkan izin yang dilaporkan oleh sistem yang terhubung tetapi tidak memperbaiki izin sistem sumber yang terlalu luas.

Perubahan izin dalam sistem yang terhubung tercermin di Notion setelah interval sinkronisasi, bukan seketika, dan Data Pelanggan yang baru ditambahkan atau dihapus mungkin memerlukan waktu untuk muncul atau menjadi tidak tersedia.

Notion bertanggung jawab atas keamanan layanan Notion dan memberi tahu pelanggan jika suatu insiden memengaruhi Data Pelanggan mereka. Pelanggan bertanggung jawab untuk menangani insiden yang melibatkan akun, ruang kerja, dan Data Pelanggan mereka sendiri, termasuk menyampaikan pemberitahuan yang diwajibkan.

Tanggung jawab Notion

• Memelihara rencana respons insiden yang terdokumentasi, dan mengujinya secara berkala.

• Mendeteksi, melakukan triase, menyelidiki, membatasi dampak, dan memperbaiki insiden keamanan yang memengaruhi sistem Notion dan Data Pelanggan yang disimpan Notion.

• Memberi tahu pelanggan yang terdampak mengenai insiden keamanan sesuai dengan Adendum Pemrosesan Data dan hukum yang berlaku.

• Melakukan tinjauan pascainsiden, termasuk analisis akar penyebab, dan menerapkan temuan tersebut pada kontrol dan rencana respons Notion.

• Memublikasikan status operasional layanan dan mengomunikasikan insiden ketersediaan.

• Mengoperasikan program pengungkapan kerentanan, serta melakukan triase dan memperbaiki kerentanan yang dilaporkan.

Tanggung jawab Pengguna

• Melaporkan dugaan insiden keamanan, akun yang disusupi, dugaan kerentanan, dan penyalahgunaan layanan kepada Notion dengan segera, melalui saluran yang tepat.

• Mendeteksi dan menanggapi insiden yang terjadi di ruang kerja dan akun Pengguna sendiri, termasuk kredensial yang disusupi, tindakan berbagi yang tidak semestinya, dan penyalahgunaan oleh Pengguna internal.

• Memelihara rencana respons insiden Pengguna sendiri dan menentukan siapa yang bertanggung jawab untuk menindaklanjuti Aktivitas yang teridentifikasi di Notion.

• Mengambil langkah pembatasan yang tersedia dalam produk, termasuk menghapus akses, mencabut sesi, mengatur ulang kredensial, mencabut token integrasi, dan menarik Data Pelanggan yang telah dipublikasikan.

• Menjaga bukti yang relevan, termasuk mengekspor catatan log audit sebelum melewati masa retensi.

• Menentukan apakah suatu insiden memicu kewajiban notifikasi yang harus dipenuhi oleh Pengguna kepada regulator, pelanggan, atau individu yang terdampak, dan melakukan notifikasi tersebut.

• Menjaga detail kontak administratif dan keamanan tetap terkini, agar notifikasi dari Notion sampai ke orang yang tepat.

• Melaporkan kerentanan yang dicurigai kepada Notion alih-alih mengeksploitasinya atau mengungkapkannya secara publik.

Pihak mana yang mendeteksi apa

Notion memantau infrastrukturnya sendiri dan dapat mendeteksi insiden yang memengaruhi Layanan. Namun, Notion tidak dapat menentukan apakah tindakan di ruang kerja yang tampak sah diizinkan menurut kebijakan internal Pengguna. Pelanggan bertanggung jawab untuk memantau Aktivitas di ruang kerja dan menanggapi penyalahgunaan.

Ini mencakup insiden seperti anggota yang memublikasikan Data Pelanggan rahasia, karyawan yang akan keluar mengekspor data, atau pemegang sah kredensial yang menyalahgunakannya. Untuk mendeteksi dan menanggapi Acara ini, Pengguna perlu meninjau catatan Aktivitas dan kontrol yang tersedia bagi mereka.

Notion memelihara program keamanan informasi dan privasi yang diaudit secara independen, serta menyediakan dokumentasi yang dihasilkan. Pelanggan menentukan apakah Notion sesuai untuk kewajiban regulasi mereka sendiri dan mengonfigurasinya sebagaimana mestinya.

Tanggung jawab Notion

• Memelihara program keamanan dan privasi yang dinilai secara independen sesuai dengan siklus audit dan sertifikasi yang berlaku.

• Menyediakan dokumentasi kepatuhan, termasuk laporan audit dan sertifikasi, kepada pelanggan dan calon pelanggan melalui Notion Trust Center.

Tanggung jawab Pengguna

• Menentukan apakah Notion sesuai untuk data yang ingin disimpan oleh Pengguna dan kewajiban regulasi yang berlaku bagi mereka.

• Membuat perjanjian yang diperlukan untuk penggunaan tersebut, termasuk Adendum Pemrosesan Data atau Business Associate Agreement jika berlaku.

• Menerapkan konfigurasi yang disyaratkan oleh perjanjian tersebut, termasuk mengaktifkan pengaturan khusus kepatuhan dan fitur keamanan yang menjadi sandarannya.

• Menyelesaikan penilaian Pengguna sendiri, termasuk penilaian risiko vendor dan penilaian dampak perlindungan data apa pun yang disyaratkan oleh hukum.

• Meninjau sertifikasi, laporan audit, dan daftar subprosesor Notion sebagai bagian dari proses jaminan dan manajemen perubahan Pengguna sendiri.

• Menunjukkan kepada auditor dan regulator Pengguna sendiri bahwa konfigurasi dan penggunaan Notion oleh Pengguna memenuhi kewajiban yang berlaku bagi mereka.

Apa yang dicakup oleh sertifikasi

Sertifikasi independen dari pihak ketiga dan laporan audit Notion mencakup kontrol yang dijalankan Notion. Cakupannya tidak meliputi cara tiap organisasi mengonfigurasi atau menggunakan Notion.

Ruang kerja yang menyimpan data yang diatur tidak serta-merta patuh hanya karena Notion memiliki sertifikasi. Jika suatu kewajiban bergantung pada konfigurasi, seperti membatasi berbagi, mewajibkan akses masuk tunggal, menyimpan catatan audit, atau membatasi lokasi penyimpanan data, pemenuhannya tetap menjadi tanggung jawab Pengguna.

Notion menetapkan dan menegakkan ketentuan penggunaan layanan. Pelanggan bertanggung jawab atas penggunaan Notion dan Data Pelanggan yang disimpan di ruang kerja mereka.

Tanggung jawab Notion

• Menerbitkan dan memelihara Kebijakan Konten & Penggunaan, Ketentuan yang relevan, serta kebijakan terkait.

• Menyediakan mekanisme bagi siapa pun yang melihat halaman Notion publik untuk melaporkan Data Pelanggan yang mereka yakini dilarang.

• Menyelidiki laporan, serta menghapus Data Pelanggan atau membatasi akses jika ditemukan pelanggaran.

• Menerapkan pengawasan tambahan pada kategori penggunaan yang terkait dengan tingkat penyalahgunaan yang lebih tinggi, serta menangguhkan atau menghentikan akses jika diperlukan untuk melindungi ketersediaan Layanan.

Tanggung jawab Pengguna

• Menggunakan Notion sesuai dengan Ketentuan dan Kebijakan Konten & Penggunaan, serta memastikan bahwa orang yang menggunakan Notion di bawah langganan Pengguna melakukan hal yang sama.

• Memastikan bahwa Data Pelanggan yang disimpan di, dibagikan dari, atau dipublikasikan melalui Notion mematuhi kebijakan tersebut dan hukum yang berlaku.

• Memoderasi Data Pelanggan yang dikontribusikan oleh pihak lain jika Pengguna mendistribusikan Data Pelanggan yang dibuat oleh pengguna melalui Notion.

• Menggunakan Notion sesuai dengan kapasitas yang diperuntukkan, serta tidak mencoba mengakali, menonaktifkan, atau mengganggu kontrol keamanannya.

• Melakukan pengujian keamanan Notion hanya melalui program pengungkapan kerentanan Notion dan sesuai dengan ketentuannya.

• Menggunakan saluran dukungan dan pelaporan dengan itikad baik.