Modello di responsabilità condivisa

Questo Modello di responsabilità condivisa garantisce che Notion e i suoi Clienti collaborino per offrire un'esperienza sicura ed efficace nello Spazio di lavoro.

Per le definizioni dei termini, consulta l’MSA e il DPA di Notion.

Notion è uno spazio unico in cui puoi pensare, scrivere e pianificare. È uno spazio tutto in uno in cui puoi creare gli strumenti che ti servono per lavorare al meglio. Per questo, chi lo usa affida a Notion informazioni professionali e personali e, tramite Connessioni e funzionalità di IA, l’accesso alle informazioni contenute in altri sistemi.

Un modello di responsabilità condivisa (SRM) stabilisce come si dividono le responsabilità tra un fornitore di servizi e chi li usa. Specifica quali attività di sicurezza e operative spettano a ciascuna parte.

Questo documento delinea le responsabilità condivise tra Notion e i suoi Clienti nella protezione e nel mantenimento della sicurezza dei sistemi di Notion, degli account utente e degli Spazi di lavoro.

L’SRM di Notion chiarisce quali processi, operazioni e controlli spettano a Notion e quali ai Clienti. Notion può così concentrarsi sugli ambiti in cui può proteggere al meglio la riservatezza, l’integrità e la disponibilità dei propri sistemi, mentre i Clienti proteggono i propri account, Spazi di lavoro e Dati del cliente negli ambiti in cui possono intervenire più efficacemente. Questa ripartizione rende più sicura ed efficiente la protezione dei sistemi e degli account di Notion.

L'SRM promuove inoltre la trasparenza sulle modalità di erogazione dei Servizi di Notion, fornendo ai Clienti le informazioni necessarie per valutare Notion nell'ambito dei propri processi di gestione del rischio e di verifica, e aiutando sia Notion sia i suoi Clienti ad adempiere ai rispettivi obblighi previsti dalle normative locali, regionali, nazionali e internazionali applicabili.

In breve: Notion è responsabile della creazione, del funzionamento e della protezione dell’architettura del Servizio Notion. I Clienti sono responsabili di come configurano e usano il Servizio: devono proteggere le proprie credenziali, gestire l’accesso ai propri Spazi di lavoro e ai Dati del cliente e rispettare la Policy su contenuti e utilizzo e gli altri Termini pertinenti.

Alcune responsabilità descritte in questo documento possono essere svolte solo dai Clienti con permessi elevati in uno Spazio di lavoro o in un’organizzazione. Spetta all’Utente assegnare questi permessi in modo appropriato.

Gli strumenti disponibili per assolvere ciascuna responsabilità variano in base al piano. Se una funzionalità è disponibile solo con determinati piani di abbonamento, i Clienti che non la includono restano responsabili del risultato da ottenere e dovrebbero valutare controlli alternativi.

Notion fornisce metodi di autenticazione e controlli amministrativi per gestire l'accesso a Notion e la concessione e revoca dell'accesso agli spazi di lavoro. I clienti scelgono e configurano i controlli adatti alla propria organizzazione e proteggono le credenziali dei propri account.

Responsabilità di Notion

• Fornire e gestire metodi di autenticazione, inclusi email e password, accesso tramite Google e Apple e single sign-on SAML 2.0 per gli spazi di lavoro nei piani Business ed Enterprise.

• Fornire l'autenticazione a due fattori per gli account che accedono con una password, utilizzando un'app di autenticazione o un codice via SMS.

• Fornire API SCIM che consentano alle organizzazioni Enterprise di automatizzare la creazione, l'aggiornamento e la rimozione degli Utenti dal proprio identity provider.

• Fornire controlli amministrativi che regolano la durata della sessione, il logout forzato, la reimpostazione della password, la sospensione dell'account e la verifica del dominio.

• Richiedere la verifica della proprietà del dominio prima di usarlo per controllare come gli utenti accedono a Notion.

• Revocare l'accesso di un utente ai Dati del cliente quando viene rimosso dallo spazio di lavoro. Fornire controlli che consentano a un'organizzazione di terminare le sessioni e reimpostare le credenziali dei propri utenti gestiti.

• Mantenere controlli di accesso basati sul principio del privilegio minimo in tutta l'infrastruttura di Notion e richiedere che i dipendenti e i collaboratori di Notion siano vincolati da obblighi di riservatezza.

• Accedere ai Dati del cliente per scopi di assistenza solo con il consenso di un utente o del proprietario dello spazio di lavoro e far scadere automaticamente il consenso dopo un periodo prestabilito.

Responsabilità dell'utente

• Proteggere le credenziali di accesso, utilizzare password complesse e univoche ed evitare il riutilizzo su altri servizi.

• Utilizzare account individuali anziché condivisi e non condividere le credenziali di accesso.

• Utilizzare l'autenticazione a due fattori sugli account che accedono con una password.

• Aggiornare le credenziali in linea con la politica interna e tempestivamente qualora venga rilevata una violazione delle credenziali presso un servizio esterno.

• Selezionare e configurare i metodi di autenticazione appropriati per l'organizzazione, compresa l'eventuale imposizione del single sign-on.

• Limitare l'accesso allo spazio di lavoro agli utenti autorizzati e revocarlo tempestivamente quando qualcuno lascia l'organizzazione o cambia ruolo. La revoca automatica dell'accesso richiede SCIM; se SCIM non è in uso, occorre revocarlo manualmente.

• Impostare la durata della sessione in linea con la politica interna e mantenere una procedura di ripristino in caso di perdita dell'accesso al provider di identità.

• Controllare se l'assistenza di Notion può accedere a un account o a uno spazio di lavoro e revocare l'accesso quando non è più necessario.

Notion fornisce il modello di autorizzazioni che determina ciò che un utente autenticato può vedere e fare, insieme ai controlli amministrativi che definiscono i limiti per la condivisione. I clienti sono responsabili di decidere come tale modello viene applicato ai propri Dati del cliente e di verificare l'accesso che ne deriva.

Responsabilità di Notion

• Fornire un modello di permessi per spazi di lavoro, teamspace, pagine e database, che includa i gruppi di permessi, e applicarlo in modo coerente in tutto il prodotto.

• Fornire accessi distinti a membri e ospiti, in modo che i collaboratori esterni possano accedere a specifici Dati del cliente anziché all'intero spazio di lavoro.

• Fornire controlli che consentano a un'organizzazione di limitare la condivisione pubblica delle pagine, l'accesso come ospite, l'esportazione e lo spostamento o la duplicazione delle pagine in altri spazi di lavoro.

• Fornire controlli che regolano chi può pubblicare Dati del cliente sul web, inclusi Notion Sites, moduli e link pubblici.

• Fornire strumenti per verificare chi ha accesso a una pagina, quali pagine sono condivise all'esterno o pubblicate sul web e per modificare i relativi permessi.

• Rispettare i permessi impostati per lo spazio di lavoro quando si forniscono funzionalità di IA e ricerca.

Responsabilità dell'utente

• Determinare il livello di accesso appropriato per i Dati del cliente e applicare le autorizzazioni di conseguenza.

• Decidere se consentire la collaborazione con persone esterne e la pubblicazione sul web, quindi configurare i controlli disponibili di conseguenza.

• Comprendere come viene ereditato l'accesso. L'accesso concesso a una pagina si estende per impostazione predefinita alle pagine nidificate al suo interno e, quando l'accesso è concesso tramite più percorsi, prevale il livello più elevato.

• Verificare periodicamente gli accessi, compresi quelli dei membri dello spazio di lavoro e degli ospiti, i gruppi di permessi e i Dati del cliente condivisi all'esterno o pubblicati sul web.

• Revocare l'accesso ai Dati del cliente quando termina la collaborazione, anche agli ospiti e ai collaboratori esterni il cui accesso non è gestito tramite il provider di identità dell'organizzazione.

• Assicurarsi che i Dati del cliente pubblicati sul web siano destinati al pubblico e configurare di conseguenza opzioni come l'indicizzazione sui motori di ricerca.

• Trasferire i Dati del cliente conservati in privato da un utente prima che lasci l'organizzazione, o entro il breve periodo in cui il trasferimento è ancora possibile. Dopo tale periodo, in genere non è più possibile recuperare questi dati. Gli strumenti di trasferimento sono disponibili solo con il piano Enterprise.

Notion conserva ed elabora i Dati del cliente per conto dei propri clienti e li protegge sia durante il trasferimento sia quando sono archiviati. I clienti decidono quali dati inserire in Notion, per quanto tempo conservarli e quali obblighi di legge si applicano.

Responsabilità di Notion

• Elaborare i Dati del Cliente in conformità con il Contratto quadro di abbonamento, l'Addendum sul Trattamento dei Dati e la normativa applicabile in materia di protezione dei dati.

• Crittografare i Dati del Cliente a riposo, inclusi quelli nell'archiviazione cloud, nelle tabelle di database e nei backup, con AES-256 o un algoritmo standard del settore che offra una protezione equivalente o superiore. Crittografare i dati in transito con TLS 1.2 o versioni successive.

• Mantenere e pubblicare un elenco aggiornato dei subprocessori.

• Offrire la residenza dei dati per categorie definite di Dati del Cliente, consentendo alle organizzazioni idonee di scegliere la regione in cui conservarli a riposo.

• Astenersi dall'utilizzare i Dati del Cliente per addestrare i modelli di apprendimento automatico di Notion e vietare contrattualmente ai subprocessori di IA di farlo senza l'esplicito consenso del cliente.

• Fornire ai Clienti funzionalità per esportare, conservare ed eliminare i Dati del Cliente e, al termine del contratto, eliminare tali dati secondo quanto previsto dall'accordo.

• Stipulare un Addendum sul Trattamento dei Dati con i clienti che lo richiedono e, ove applicabile, un Business Associate Agreement.

Responsabilità dell'utente

• Valutazione dei dati che è opportuno archiviare in Notion e verifica che i dati soggetti a normative specifiche siano archiviati solo in presenza degli accordi e delle configurazioni necessari.

• Definizione e applicazione di pratiche di conservazione ed eliminazione dei Dati del Cliente non più necessari.

• Configurazione delle impostazioni di conservazione ed eliminazione disponibili nel prodotto per riflettere la politica interna.

• Invio di Dati dell'account completi e accurati e loro correzione tempestiva laddove vengano identificati errori.

• Adempimento degli obblighi del titolare del trattamento dei dati personali conservati in uno spazio di lavoro, tra cui fornire agli interessati le informazioni sulla privacy, individuare una base giuridica per il trattamento e rispondere alle richieste degli interessati relative ai Dati del Cliente.

• Determinazione dell'eventuale necessità di una specifica regione di residenza dei dati, richiesta della stessa ove necessario e comprensione di quali categorie di dati e quali prodotti Notion esulino da tale ambito.

• Consultazione dell'elenco dei subprocessori di Notion.

Notion gestisce l'infrastruttura che mantiene disponibile il Servizio e ne conserva i backup per poterlo ripristinare. I Clienti sono responsabili del ripristino dei propri Dati del Cliente con gli strumenti forniti da Notion e della conservazione di una copia indipendente dei dati, quando richiesto dai loro obblighi.

Responsabilità di Notion

• Gestire il Servizio Notion in conformità con gli impegni di disponibilità stabiliti nei Termini del livello di servizio, utilizzando un'infrastruttura ridondante in più zone di disponibilità.

• Pubblicare lo stato operativo del Servizio.

• Mantenere backup automatizzati, crittografati e monitorati dei Dati del Cliente.

• Archiviare i backup in base alla mappatura delle regioni di backup pubblicata da Notion per la regione di residenza dei dati selezionata. La residenza dei dati si applica solo alle categorie definite di Dati del Cliente.

• Mantenere e testare periodicamente i piani di ripristino di emergenza e di continuità operativa.

• Fornire strumenti di ripristino nel prodotto, tra cui il Cestino e la cronologia delle versioni, che consentano ai Clienti di ripristinare autonomamente i Dati del Cliente.

• Fornire una funzionalità di esportazione che consenta ai Clienti di ottenere una copia dei Dati del Cliente.

Responsabilità dell'utente

• Ripristino di singole pagine e dei Dati del Cliente tramite il Cestino e la cronologia delle versioni, entro i periodi di conservazione previsti dal piano dell'Utente.

• Configurazione delle impostazioni di conservazione dei Dati del Cliente, ove disponibili, in base alle politiche interne.

• Mantenimento di una copia indipendente dei Dati del Cliente laddove le politiche interne, gli impegni contrattuali o le normative richiedano una conservazione più lunga di quella prevista dal prodotto o una copia conservata al di fuori di Notion.

• Produzione di esportazioni con una frequenza adeguata a tali requisiti e verifica della loro completezza. I Dati del Cliente a cui l'account utilizzato per l'esportazione non può accedere non sono inclusi nell'esportazione.

• Recupero delle esportazioni entro il periodo in cui il link per il download rimane valido.

• Pianificazione dell'eventualità che il servizio non sia disponibile nell'ambito dei piani di continuità operativa dell'Utente.

Cosa sono e cosa non sono i backup di Notion

I backup di Notion servono a ripristinare il Servizio Notion. Non costituiscono punti di ripristino a disposizione dei Clienti e non possono essere utilizzati per riportare uno Spazio di lavoro allo stato in cui si trovava in un momento specifico. I Clienti recuperano i singoli Dati del Cliente tramite il Cestino e la cronologia delle versioni. Una volta trascorsi i periodi applicabili di permanenza nel Cestino e di conservazione, i Dati del Cliente vengono eliminati definitivamente e non possono essere ripristinati. I Clienti non dovrebbero fare affidamento sull'assistenza come meccanismo di conservazione.

Un'esportazione produce una copia portatile dei Dati del Cliente in formati come HTML, markdown, CSV o PDF, a seconda del tipo di esportazione e del piano. Non è un backup completo dello spazio di lavoro: importare i Dati del Cliente esportati non ripristina i permessi, le impostazioni o la configurazione originale completa dello spazio di lavoro e può richiedere una riorganizzazione manuale.

Notion genera registri delle attività rilevanti all'interno di uno Spazio di lavoro e li rende disponibili all'organizzazione. I Clienti sono responsabili di esaminare tali registri, conservarli ove richiesto e agire in base a quanto vi è riportato.

Responsabilità di Notion

• Registrare gli eventi relativi alla sicurezza e alla protezione che si verificano negli Spazi di lavoro di un'organizzazione, indicando chi ha compiuto l'azione, l'azione stessa, l'ora e, ove disponibile, l'indirizzo IP.

• Conservare la cronologia del registro di controllo all'interno del prodotto per un periodo definito e fornire meccanismi di esportazione e streaming in modo che i Clienti possano conservarla più a lungo.

• Fornire un mezzo per trasmettere eventi in tempo reale alla piattaforma di monitoraggio della sicurezza dell'Utente e consentire le connessioni agli strumenti di prevenzione della perdita di dati.

• Monitorare l'infrastruttura, le reti e i sistemi di Notion per rilevare attività dannose e mantenere registri interni per tali sistemi.

Responsabilità dell'utente

• Esame delle attività nel registro di controllo, verifica di quelle inattese o non autorizzate e adozione delle misure necessarie.

• Conservazione dei dati di registro per il periodo richiesto dalla politica interna o dai regolamenti del Cliente, esportando o trasmettendo gli eventi prima che superino la finestra di conservazione.

• Configurazione del monitoraggio, degli avvisi e di qualsiasi connessione di sicurezza o conformità nell'ambiente dell'Utente, e garanzia che tali integrazioni rimangano operative.

• Definizione delle attività considerate sospette nell'organizzazione e assegnazione della responsabilità di esaminarle.

• Segnalazione di attività sospette a Notion laddove possano indicare una compromissione del Servizio.

Cosa copre e cosa non copre il registro di controllo

Il registro di controllo registra gli eventi. Le voci del registro e i dati trasmessi in streaming indicano quali azioni sono state compiute e da chi, ma non contengono i Dati del Cliente presenti nelle pagine.

La registrazione degli eventi nel registro di controllo inizia quando un'organizzazione diventa idonea per la funzionalità. L'attività avvenuta in precedenza non è disponibile retroattivamente.

Notion sviluppa, gestisce e mantiene il Servizio Notion e l'infrastruttura su cui viene eseguito, inclusa la messa in sicurezza e l'applicazione di patch a tale infrastruttura. I Clienti sono responsabili degli ambienti da cui accedono a Notion.

Responsabilità di Notion

• Sviluppare, testare, applicare patch e mantenere l'applicazione Notion e l'infrastruttura che la supporta. Gli aggiornamenti al Servizio vengono applicati da Notion e non richiedono alcuna azione da parte dei Clienti.

• Condurre attività di modellazione delle minacce e verificare la sicurezza della progettazione delle nuove versioni. Eseguire inoltre audit e revisioni del codice e scansioni di sicurezza della base di codice.

• Commissionare test di penetrazione indipendenti annuali.

• Implementare e gestire la sicurezza di rete nei sistemi di Notion.

• Monitorare l'infrastruttura, le reti e le risorse di Notion per rilevare attività dannose.

• Gestire un programma di divulgazione delle vulnerabilità pubblico e commissionare test di penetrazione indipendenti.

• Proteggere i sistemi aziendali di Notion e i dispositivi del personale, anche tramite la crittografia dei dati archiviati, il rilevamento e la risposta alle minacce sugli endpoint e la gestione centralizzata dei dispositivi.

• Pubblicare le applicazioni client di Notion e distribuire i relativi aggiornamenti.

Responsabilità dell'utente

• Mantenere compatibili e aggiornati con le patch necessarie gli ambienti degli endpoint, inclusi i browser web, e gestire gli eventuali controlli che potrebbero impedire gli aggiornamenti dei client di Notion.

• Protezione dei dispositivi e delle reti utilizzati per accedere a Notion, in linea con gli standard di sicurezza degli endpoint dell'Utente.

• Se gli aggiornamenti del client Notion sono gestiti centralmente, assicurarsi che vengano comunque applicati tempestivamente. Rinviare o disattivare gli aggiornamenti automatici trasferisce all'Utente la responsabilità di applicare tempestivamente le patch al client.

• Garantire che le configurazioni di installazione non impediscano agli Utenti di ricevere gli aggiornamenti.

• Segnalazione a Notion delle sospette vulnerabilità nel Servizio Notion, anziché sfruttarle o divulgarle pubblicamente.

Dove passa il confine delle responsabilità

Notion applica le patch al Servizio Notion. I clienti non applicano patch a Notion e non è richiesta alcuna azione da parte del cliente per gli aggiornamenti lato server.

Le applicazioni client sono diverse. Notion pubblica gli aggiornamenti, ma la ricezione degli stessi da parte di un determinato dispositivo dipende da come tale dispositivo è configurato e gestito. Laddove un'organizzazione gestisce il comportamento di installazione o aggiornamento, mantenere i client aggiornati è responsabilità dell'organizzazione.

Notion fornisce un'API, una piattaforma di integrazione e funzionalità di IA che possono operare sui Dati del Cliente e accedere ai sistemi connessi. I clienti decidono quali di queste abilitare, quali permessi concedere e come gestirle.

Responsabilità di Notion

• Fornire e mantenere l'API di Notion, la piattaforma di integrazione, le connessioni e le funzionalità di IA.

• Rispettare i permessi degli utenti in Notion AI, nell'agente di Notion e nelle connessioni AI. Gli agenti personalizzati utilizzano permessi propri, concessi esplicitamente, che potrebbero differire da quelli della persona che interagisce con l'agente.

• Fornire controlli amministrativi che regolino quali integrazioni e strumenti di IA esterni possono essere installati, quali agenti possono essere creati e se le funzionalità di IA sono abilitate.

• Fornire controlli per attivare o disattivare la ricerca web tramite IA e richiedere una conferma prima di effettuare richieste web esterne.

• Mantenere difese progettate per rilevare e ridurre il rischio di iniezione di prompt, inclusa la rilevazione di istruzioni nascoste in contenuti di terze parti e file caricati, restrizioni sulla gestione dei link e controlli aggiuntivi laddove gli agenti agiscono in modo autonomo.

• Astenersi dall'utilizzare i Dati del Cliente per addestrare i modelli di Notion e vietare per contratto ai subprocessori di IA di farlo senza il consenso esplicito del cliente.

• Registrare nel registro di controllo le attività delle integrazioni, delle connessioni, degli agenti e degli strumenti di IA esterni.

Responsabilità dell'utente

• Decidere quali integrazioni, connessioni, funzionalità di IA e agenti siano adatti all'organizzazione e configurare i controlli disponibili di conseguenza.

• Esaminare l'accesso e le funzionalità richieste da un'integrazione o connessione prima di autorizzarla e confermare che il servizio di terze parti soddisfi i requisiti dell'Utente per i fornitori.

• Gestire i token di integrazione interni, inclusa la limitazione della loro distribuzione, la loro rotazione e la revoca di quelli non più necessari.

• Gestire la creazione e la configurazione degli agenti, stabilire a quali Dati del Cliente e strumenti connessi può accedere ciascuno e riesaminare periodicamente tali accessi.

• I Clienti devono assicurarsi che le autorizzazioni degli agenti siano limitate in modo appropriato.

• Determinare se i modelli che conservano i dati possono essere abilitati per le funzionalità che li richiedono.

• Assicurarsi che i Dati del Cliente resi disponibili a Notion tramite sistemi connessi siano appropriati per tale scopo e che l'accesso concesso nel sistema connesso sia a sua volta correttamente limitato.

• Informare gli Utenti che i Dati del Cliente provenienti dall'esterno dello spazio di lavoro, incluse pagine web e file caricati, potrebbero tentare di influenzare il comportamento dell'IA.

Cosa devono sapere i clienti sui dati dei sistemi connessi

L'accesso tramite una connessione è limitato dai permessi concessi nel sistema connesso. Notion rispetta i permessi comunicati da quel sistema, ma non corregge quelli troppo ampi impostati nel sistema di origine.

Le modifiche ai permessi nei sistemi connessi si riflettono in Notion solo dopo la sincronizzazione. Anche la comparsa dei Dati del Cliente appena aggiunti o la rimozione di quelli eliminati può richiedere tempo.

Notion è responsabile della sicurezza del servizio Notion e informa i clienti quando un incidente interessa i Dati del Cliente che li riguardano. I clienti sono responsabili della risposta agli incidenti che coinvolgono i propri account, spazi di lavoro e Dati del Cliente, comprese le eventuali notifiche dovute.

Responsabilità di Notion

• Mantenere un piano di risposta agli incidenti documentato e testarlo periodicamente.

• Rilevare, classificare, indagare, contenere e risolvere gli incidenti di sicurezza che interessano i sistemi di Notion e i Dati del Cliente detenuti da Notion.

• Notificare i clienti interessati in caso di incidenti di sicurezza in conformità con l'Addendum sul trattamento dei dati e la legge applicabile.

• Esaminare gli incidenti dopo la loro risoluzione, analizzarne le cause principali e usare i risultati per migliorare i controlli e il piano di risposta di Notion.

• Pubblicare lo stato operativo del servizio e comunicare gli incidenti di disponibilità.

• Gestire un programma di divulgazione delle vulnerabilità, nonché valutare e risolvere le vulnerabilità segnalate.

Responsabilità dell'utente

• Segnalare tempestivamente a Notion sospetti incidenti di sicurezza, account compromessi, sospette vulnerabilità e uso improprio del servizio, attraverso il canale appropriato.

• Rilevare e rispondere agli incidenti che si verificano all'interno degli spazi di lavoro e degli account dell'Utente, incluse credenziali compromesse, condivisione inappropriata e uso improprio da parte di Utenti interni.

• Mantenere le proprie procedure di risposta agli incidenti e definire chi è responsabile di intervenire sulle attività individuate in Notion.

• Adottare le misure di contenimento disponibili nel prodotto, tra cui rimuovere gli accessi, revocare le sessioni, reimpostare le credenziali, revocare i token di integrazione e rimuovere i Dati del Cliente pubblicati.

• Conservare le prove pertinenti, anche esportando le voci del registro di controllo prima della fine del periodo di conservazione.

• Determinare se un incidente comporta per l'Utente l'obbligo di notificare un ente regolatore, un cliente o una persona interessata, ed effettuare tale notifica.

• Mantenere aggiornati i recapiti amministrativi e di sicurezza affinché le notifiche di Notion raggiungano le persone giuste.

• Segnalare le vulnerabilità sospette a Notion invece di sfruttarle o divulgarle pubblicamente.

Chi rileva cosa

Notion monitora la propria infrastruttura ed è in grado di rilevare incidenti che interessano il Servizio. Notion non può determinare se un'azione altrimenti valida nello Spazio di lavoro sia stata autorizzata secondo le politiche interne dell'Utente. I Clienti sono responsabili del monitoraggio delle attività dello Spazio di lavoro e della gestione degli usi impropri.

Sono inclusi casi come la pubblicazione di Dati del Cliente riservati da parte di un membro, l'esportazione di dati da parte di una persona che sta lasciando l'azienda o l'uso improprio delle credenziali da parte del legittimo titolare. Per rilevare e gestire questi eventi, l'Utente deve esaminare i registri delle attività e utilizzare i controlli a sua disposizione.

Notion mantiene un programma per la sicurezza delle informazioni e la privacy sottoposto a verifiche indipendenti e rende disponibile la relativa documentazione. I Clienti valutano se Notion è adatto a soddisfare i propri obblighi normativi e lo configurano di conseguenza.

Responsabilità di Notion

• Mantenere programmi di sicurezza e privacy valutati in modo indipendente in conformità con i cicli di audit e certificazione applicabili.

• Rendere la documentazione di conformità, inclusi report di audit e certificazioni, disponibile ai clienti e ai potenziali clienti tramite il Notion Trust Center.

Responsabilità dell'Utente

• Determinare se Notion è adatto ai dati che l'Utente intende archiviare e agli obblighi normativi a cui è soggetto.

• Stipulare gli accordi richiesti per tale utilizzo, inclusi un Addendum sul trattamento dei dati o un Business Associate Agreement, ove applicabile.

• Applicare la configurazione richiesta da tali accordi, inclusa l'attivazione di eventuali impostazioni specifiche per la conformità e delle funzionalità di sicurezza da cui dipendono.

• Completare le proprie valutazioni, incluse quelle del rischio dei fornitori e le valutazioni d'impatto sulla protezione dei dati richieste dalla legge.

• Esaminare le certificazioni, i report di audit e l'elenco dei subprocessori di Notion nell'ambito dei processi di verifica e gestione delle modifiche dell'Utente.

• Dimostrare ai propri revisori e alle autorità di regolamentazione che la configurazione e l'utilizzo di Notion da parte dell'Utente soddisfano gli obblighi applicabili all'Utente.

Cosa copre la certificazione

Le certificazioni e i report di audit rilasciati a Notion da organismi terzi indipendenti riguardano i controlli gestiti da Notion. Non riguardano il modo in cui una singola organizzazione configura o utilizza Notion.

Uno spazio di lavoro che contiene dati regolamentati non è conforme per il solo fatto che Notion possieda una certificazione. Laddove un obbligo dipenda dalla configurazione, come limitare la condivisione, imporre il single sign-on, conservare i registri di audit o limitare i luoghi in cui vengono archiviati i dati, il suo adempimento rimane responsabilità dell'Utente.

Notion stabilisce e applica le condizioni d'uso del Servizio. I Clienti sono responsabili del proprio utilizzo di Notion e dei Dati del Cliente conservati nei loro spazi di lavoro.

Responsabilità di Notion

• Pubblicare e mantenere la Policy sui contenuti e sull'utilizzo, i Termini pertinenti e le relative policy.

• Offrire a chiunque visualizzi una pagina pubblica di Notion un modo per segnalare i Dati del Cliente che ritiene vietati.

• Indagare sulle segnalazioni e rimuovere i Dati del cliente o limitarne l'accesso qualora venga identificata una violazione.

• Esaminare con maggiore attenzione le categorie d'uso più soggette ad abusi e, se necessario, sospendere o interrompere l'accesso per tutelare la disponibilità del Servizio.

Responsabilità dell'Utente

• Utilizzare Notion in conformità con i Termini e la Policy sui contenuti e sull'utilizzo e garantire che le persone che utilizzano Notion nell'ambito dell'abbonamento dell'Utente facciano lo stesso.

• Garantire che i Dati del cliente archiviati su Notion, condivisi da Notion o pubblicati tramite Notion siano conformi a tali policy e alla legge applicabile.

• Moderare i Dati del Cliente forniti da altre persone, se l'Utente diffonde tramite Notion Dati del Cliente creati da altre persone.

• Utilizzare Notion nei limiti dell'uso previsto e non tentare di aggirare, disattivare o interferire con i suoi controlli di sicurezza.

• Eseguire test di sicurezza su Notion solo nell'ambito del suo programma di segnalazione delle vulnerabilità e nel rispetto delle relative condizioni.

• Utilizzare i canali di assistenza e di segnalazione in buona fede.