공동 책임 모델

이 공동 책임 모델은 Notion과 고객이 함께 안전하고 효과적인 워크스페이스 환경을 만들 수 있도록 해요.

용어의 정의는 Notion의 MSA와 DPA를 참고하세요.

Notion은 생각하고 글을 쓰고 계획을 세울 수 있는 하나의 공간이에요. 사용자는 최고의 성과를 내기 위한 도구를 직접 만들 수 있는 이 올인원 공간에 업무 정보와 개인 정보를 맡겨요. 연결과 AI 기능을 통해 다른 시스템에 저장된 정보에 접근할 수 있는 권한도 맡기죠.

공동 책임 모델(SRM)은 서비스 제공업체와 사용자 사이의 책임 분담을 설명하는 프레임워크예요. 보안과 운영 작업을 어느 쪽이 맡는지 명확히 정의해요.

이 문서는 Notion 시스템, 사용자 계정과 워크스페이스의 보안을 유지하기 위해 Notion과 고객이 나누어 맡는 책임을 설명해요.

Notion SRM은 특정 프로세스, 운영이나 통제에 대해 Notion과 고객 중 어느 쪽이 책임을 지는지 명확히 알려줘요. 이를 통해 Notion은 자사 시스템의 기밀성, 무결성과 가용성을 가장 잘 보호할 수 있는 영역에 집중하고 책임을 져요. 고객이 자신의 계정, 워크스페이스와 고객 데이터를 직접 보호하는 것이 더 적절한 영역도 확인할 수 있어요. 결과적으로 Notion 시스템과 계정을 더욱 안전하고 효율적으로 보호할 수 있죠.

SRM은 Notion 서비스가 제공되는 방식을 투명하게 보여줘요. 고객은 이를 바탕으로 자체 위험 평가와 보증 절차에서 Notion을 평가하고, Notion과 고객 모두 해당하는 지방, 지역, 국가와 국제 규정에 따른 각자의 의무를 이행할 수 있어요.

요약하면 Notion은 Notion 서비스의 아키텍처를 구축하고 운영하며 보호할 책임이 있어요. 고객은 서비스를 구성하고 사용하는 방식에 책임을 져요. 여기에는 인증 정보 보호, 워크스페이스와 고객 데이터에 접근할 수 있는 사용자 관리, 콘텐츠 및 사용 정책과 기타 관련 약관 준수가 포함돼요.

이 문서에서 설명하는 일부 책임은 워크스페이스나 조직에서 상위 권한을 가진 고객만 이행할 수 있어요. 이러한 권한을 적절히 부여하는 것은 사용자의 책임이에요.

책임을 이행하는 데 사용할 수 있는 도구는 요금제에 따라 달라요. 특정 기능이 일부 구독 요금제에서만 제공되더라도, 그 기능을 사용할 수 없는 요금제의 고객은 여전히 해당 책임을 이행해야 해요. 따라서 대체 통제 수단을 고려해야 해요.

Notion은 사용자가 Notion에 로그인하는 방식과 워크스페이스 사용 권한이 부여 및 철회되는 방식을 관리하는 인증 방법과 관리자 제어 기능을 제공합니다. 고객은 조직에 적합한 제어 기능을 선택하고 구성하며, 계정에 액세스하는 데 사용되는 인증 정보를 보호할 책임이 있습니다.

Notion의 책임

• 이메일 및 비밀번호, Google 및 Apple 로그인, 비즈니스 및 엔터프라이즈 요금제 워크스페이스를 위한 SAML 2.0 SSO(통합 로그인)를 포함한 인증 방법을 제공하고 운영합니다.

• 인증기 앱이나 문자 메시지 코드를 사용하여 비밀번호로 로그인하는 계정에 2단계 인증을 제공합니다.

• 엔터프라이즈 조직이 ID 공급자를 통해 사용자의 생성, 업데이트 및 제거를 자동화할 수 있도록 SCIM API를 제공합니다.

• 세션 기간, 강제 로그아웃, 비밀번호 재설정, 계정 일시 중지 및 도메인 인증을 관리하는 제어 기능을 제공합니다.

• 도메인을 사용해 해당 도메인 사용자의 Notion 로그인 방식을 제어하려면 먼저 도메인 소유권을 입증하고 확인받아야 합니다.

• 사용자가 워크스페이스에서 제거되면 해당 사용자의 고객 데이터 사용 권한을 취소합니다. 조직이 관리 대상 사용자 전체의 세션을 종료하고 인증 정보를 재설정할 수 있는 제어 기능을 제공합니다.

• Notion 자체 인프라 전반에서 최소 권한 원칙에 따른 사용 권한 제어를 유지하고, Notion 직원 및 계약자가 기밀 유지 의무를 준수하도록 요구합니다.

• 사용자 또는 워크스페이스 소유자가 동의한 경우에만 지원 목적으로 고객 데이터에 접근하며, 정해진 기간이 지나면 해당 동의가 자동으로 만료되도록 합니다.

사용자의 책임

• 로그인 정보를 보호하고, 강력하고 고유한 비밀번호를 사용하며, 다른 서비스에서 비밀번호를 재사용하지 않습니다.

• 공유 계정이 아닌 개별 계정을 유지하고 로그인 정보를 공유하지 않습니다.

• 비밀번호로 로그인하는 계정에 2단계 인증을 사용합니다.

• 내부 정책에 따라 인증 정보를 업데이트하고, 외부 서비스에서 인증 정보가 유출된 것으로 확인되면 즉시 업데이트합니다.

• SSO 강제 적용 여부를 포함하여 조직에 적합한 인증 방법을 선택하고 구성합니다.

• 워크스페이스 사용 권한을 지정된 사용자로 제한하고, 퇴사하거나 역할이 변경되면 해당 사용 권한을 신속하게 제거합니다. 사용 권한을 자동으로 제거하려면 SCIM이 필요하며, SCIM을 사용하지 않는 경우 수동으로 제거해야 합니다.

• 내부 정책에 따라 세션 기간을 설정하고, ID 공급자에 대한 사용 권한을 상실했을 때를 대비한 복구 절차를 유지합니다.

• Notion 지원팀에 계정이나 워크스페이스 사용 권한을 부여할지 제어하고, 더 이상 필요하지 않으면 해당 권한을 취소합니다.

Notion은 인증된 사용자가 무엇을 보고 무엇을 할 수 있는지 결정하는 권한 모델과 공유 범위를 설정하는 관리 제어 기능을 제공합니다. 고객은 해당 모델을 고객 데이터에 어떻게 적용할지 결정하고 그 결과로 발생하는 사용 권한을 검토할 책임이 있습니다.

Notion의 책임

• 워크스페이스, 팀스페이스, 페이지 및 데이터베이스 수준에서 작동하는 권한 모델(권한 그룹 포함)을 제공하고 제품 전반에 걸쳐 일관되게 적용합니다.

• 멤버와 게스트에 대해 별도의 사용 권한을 제공하여, 외부 협업자가 전체 워크스페이스가 아닌 특정 고객 데이터에만 접근할 수 있도록 합니다.

• 조직이 공개 페이지 공유, 게스트 사용 권한, 내보내기, 그리고 페이지를 다른 워크스페이스로 이동하거나 복제하는 것을 제한할 수 있는 관리 제어 기능을 제공합니다.

• Notion 사이트, 폼 및 공개 링크를 포함하여 누가 고객 데이터를 웹에 게시할 수 있는지 제어하는 기능을 제공합니다.

• 조직이 누가 페이지에 접근할 수 있는지, 어떤 페이지가 외부와 공유되거나 웹에 게시되었는지 식별하고 해당 권한을 변경할 수 있도록 하는 가시성 도구를 제공합니다.

• AI 및 검색 기능을 제공할 때 설정된 워크스페이스 권한을 준수합니다.

사용자의 책임

• 고객 데이터에 대한 적절한 사용 권한 수준을 결정하고 그에 따라 권한을 적용합니다.

• 외부 공동 작업과 공개 게시를 허용할지 결정하고, 그에 맞게 제어 기능을 설정합니다.

• 사용 권한이 상속되는 방식을 이해합니다. 페이지에 부여된 사용 권한은 기본적으로 그 안의 하위 페이지에도 적용되며, 여러 경로를 통해 사용 권한이 부여된 경우 가장 높은 수준의 권한이 적용됩니다.

• 워크스페이스 멤버, 게스트, 권한 그룹, 외부와 공유된 고객 데이터, 웹에 게시된 고객 데이터에 대한 사용 권한을 주기적으로 검토합니다.

• 협업자의 참여가 끝나면 해당 협업자의 고객 데이터 사용 권한을 제거합니다. 여기에는 게스트와 조직의 ID 공급자를 통해 사용 권한을 관리하지 않는 외부 협업자도 포함됩니다.

• 웹에 게시하는 고객 데이터가 공개해도 되는 데이터인지 확인하고, 이에 따라 검색 엔진 인덱싱 등의 옵션을 설정합니다.

• 사용자가 조직을 떠나기 전이나 데이터 이전이 가능한 제한된 기간 내에 해당 사용자가 비공개로 보유한 고객 데이터를 이전합니다. 그 기간이 지나면 비공개 고객 데이터는 일반적으로 복구할 수 없으며, 이전 도구는 엔터프라이즈 요금제에서만 사용할 수 있습니다.

Notion은 고객을 대신하여 고객 데이터를 저장 및 처리하며 전송 중이거나 저장된 상태의 데이터를 보호합니다. 고객은 Notion에 어떤 데이터를 저장할지, 얼마나 오래 보관할지, 그리고 어떤 법적 의무가 적용되는지를 결정합니다.

Notion의 책임

• 마스터 구독 계약, 데이터 처리 부속서 및 관련 데이터 보호법에 따라 고객 데이터를 처리합니다.

• 클라우드 스토리지, 데이터베이스 테이블 및 백업에 저장된 고객 데이터를 AES-256 또는 이와 동등하거나 더 강력한 보안을 제공하는 업계 표준 알고리즘으로 암호화하고, 전송 중인 데이터는 TLS 1.2 이상으로 암호화합니다.

• 최신 데이터 처리 위탁업체 리스트를 유지하고 게시합니다.

• 특정 범주의 고객 데이터에 데이터 레지던시를 제공하여 자격을 갖춘 조직이 해당 데이터가 저장 상태로 보관될 지역을 선택할 수 있도록 하는 것.

• 고객 데이터를 Notion의 머신러닝 모델 학습에 사용하지 않고, 명시적인 고객 동의 없이 AI 데이터 처리 위탁업체가 이를 수행하지 못하도록 계약상 금지하는 것.

• 고객이 고객 데이터를 내보내고 보관하고 삭제할 수 있는 기능을 제공하며, 계약 종료 시 계약에 따라 고객 데이터를 삭제하는 것.

• 해당 계약이 필요한 고객과 데이터 처리 부속서를 체결하고, 해당하는 경우 사업 제휴 계약서도 체결하는 것.

사용자의 책임

• Notion에 저장하기에 적절한 데이터를 결정하고, 규제 대상 데이터는 필요한 계약과 설정이 마련된 경우에만 저장되도록 하는 것.

• 데이터 보관 방침을 수립하고 적용하며, 더 이상 필요하지 않은 고객 데이터를 삭제하는 것.

• 내부 정책을 반영하도록 제품에서 제공하는 데이터 보관 및 삭제 설정을 구성하는 것.

• 완전하고 정확한 계정 데이터를 제출하고, 오류가 확인되면 즉시 수정하는 것.

• 개인에게 개인정보 보호 관련 정보를 제공하고, 처리의 적법한 근거를 마련하며, 고객 데이터와 관련된 정보 주체의 요청에 대응하는 등 워크스페이스에 보관된 개인정보의 처리 목적과 수단을 결정하는 주체로서 의무를 이행하는 것.

• 특정 데이터 레지던시 리전이 필요한지 결정하고, 필요한 경우 요청하며, 어떤 데이터 범주와 Notion 제품이 해당 범위에서 제외되는지 파악하는 것.

• Notion의 데이터 처리 위탁업체 리스트를 검토하는 것.

Notion은 서비스를 가용 상태로 유지하는 인프라를 운영하며, 서비스 복구를 목적으로 해당 인프라의 백업을 유지합니다. 고객은 Notion이 제공하는 도구를 사용하여 자신의 고객 데이터를 복구할 책임이 있으며, 자체 의무에 따라 필요한 경우 해당 고객 데이터의 독립적인 사본을 보관할 책임이 있습니다.

Notion의 책임

• 여러 가용성 영역에 걸쳐 중복 인프라를 사용하여 서비스 수준 약관에 명시된 가용성 약정에 따라 Notion 서비스를 운영합니다.

• 서비스의 운영 상태를 게시합니다.

• 고객 데이터의 백업을 자동으로 생성하고 암호화하며 모니터링합니다.

• 선택한 데이터 레지던시 리전에 대해 Notion의 공개된 백업 리전 매핑에 따라 백업을 저장합니다. 데이터 레지던시는 정의된 고객 데이터 범주에만 적용됩니다.

• 재해 복구 계획과 비즈니스 연속성 계획을 유지하고 주기적으로 테스트합니다.

• 휴지통 및 버전 기록을 포함한 제품 내 복구 도구를 제공하여 고객이 직접 고객 데이터를 복원할 수 있도록 합니다.

• 고객이 고객 데이터 사본을 확보할 수 있도록 내보내기 기능을 제공합니다.

사용자의 책임

• 사용자 요금제에 적용되는 보존 기간 내에 휴지통 및 버전 기록을 사용하여 개별 페이지와 고객 데이터를 복구합니다.

• 내부 정책을 반영하기 위해 가능한 경우 고객 데이터 보관 설정을 구성합니다.

• 내부 정책, 계약상 의무 또는 규정에 따라 제품에서 제공하는 것 이상의 보존이 필요하거나 Notion 외부에서 보관하는 사본이 필요한 경우 고객 데이터의 독립적인 사본을 유지합니다.

• 해당 요구 사항에 적합한 주기로 데이터를 내보내고 내보내기가 빠짐없이 완료되었는지 확인합니다. 내보내기를 수행하는 계정에 사용 권한이 없는 고객 데이터는 내보내기에 포함되지 않습니다.

• 다운로드 링크가 유효한 기간 내에 내보낸 파일을 다운로드합니다.

• 사용자 자체 비즈니스 연속성 계획의 일환으로 서비스 중단 가능성에 대비합니다.

Notion 백업의 용도와 한계

Notion 백업은 Notion 서비스를 복원하기 위한 것입니다. 고객이 직접 사용할 수 있는 복원 지점이 아니므로 워크스페이스를 원하는 시점의 상태로 되돌리는 데 사용할 수 없습니다. 개별 고객 데이터는 고객이 휴지통과 버전 기록을 사용해 직접 복구합니다. 고객 데이터의 휴지통 보관 기간과 해당 데이터 보관 기간이 지나면 데이터가 완전히 삭제되어 복구할 수 없습니다. 고객 데이터를 보관하기 위해 지원팀에 의존해서는 안 됩니다.

내보내기 기능은 내보내기 유형 및 요금제에 따라 HTML, Markdown, CSV 또는 PDF와 같은 형식으로 고객 데이터의 이동 가능한 사본을 생성합니다. 이는 전체 워크스페이스 백업이 아닙니다. 내보낸 고객 데이터를 가져와도 워크스페이스의 원래 권한, 설정 또는 전체 구성이 재현되지 않으며, 수동으로 재구성해야 할 수도 있습니다.

Notion은 워크스페이스 내의 관련 활동 기록을 생성하여 조직이 확인할 수 있도록 제공합니다. 고객은 해당 기록을 검토하고, 필요한 경우 보관하며, 기록에 나타난 내용에 따라 조치를 취할 책임이 있습니다.

Notion의 책임

• 행위자, 작업, 시간 및 가능한 경우 IP 주소를 포함하여 조직의 워크스페이스 전반에서 발생하는 보안 및 안전 관련 이벤트를 기록합니다.

• 정해진 기간 동안 제품 내에 감사 로그 기록을 보관하고, 고객이 더 오래 보관할 수 있도록 내보내기 및 스트리밍 메커니즘을 제공합니다.

• 이벤트를 사용자의 자체 보안 모니터링 플랫폼으로 실시간 스트리밍하는 수단을 제공하고, 데이터 손실 방지 도구와의 연결을 지원합니다.

• Notion의 자체 인프라, 네트워크 및 시스템에서 악의적인 활동을 모니터링하고 해당 시스템에 대한 내부 로깅을 유지합니다.

사용자의 책임

• 감사 로그 활동을 검토하고, 예상치 못했거나 승인되지 않은 것으로 보이는 활동을 조사하여 조치를 취합니다.

• 고객의 자체 내부 정책이나 규정에서 요구하는 기간 동안 로그 데이터를 보관하며, 보관 기간이 지나기 전에 이벤트를 내보내거나 스트리밍합니다.

• 사용자의 자체 환경에서 모니터링, 알림, 보안 또는 규정 준수 연결을 구성하고 해당 통합이 계속 작동하도록 유지합니다.

• 조직의 맥락에서 의심스러운 활동이 무엇인지 정의하고, 이를 검토할 책임을 할당합니다.

• 서비스 침해를 나타낼 수 있는 의심스러운 활동을 Notion에 보고합니다.

감사 로그의 적용 범위와 한계

감사 로그는 이벤트를 기록합니다. 로그 항목과 스트리밍된 페이로드는 수행된 작업과 작업자를 설명하며, 페이지의 고객 데이터는 포함하지 않습니다.

감사 로그 기록은 조직이 해당 기능을 사용할 자격을 갖추게 될 때 시작됩니다. 그 이전에 발생한 활동은 소급하여 확인할 수 없습니다.

Notion은 Notion 서비스와 서비스가 실행되는 인프라를 개발, 운영, 유지 관리하며 해당 인프라의 보안과 패치 작업을 수행합니다. 고객은 Notion에 접속하는 데 사용하는 환경에 대한 책임이 있습니다.

Notion의 책임

• Notion 애플리케이션과 이를 지원하는 인프라를 개발, 테스트, 패치하고 유지 관리합니다. 서비스 업데이트는 Notion이 적용하므로 고객이 별도로 조치를 취할 필요가 없습니다.

• 신규 릴리스에 대한 위협 모델링과 보안 설계 검토를 수행하고, 코드베이스에 대한 코드 감사와 코드 검토, 보안 스캔을 실시합니다.

• 매년 독립적인 모의 해킹을 의뢰합니다.

• Notion 시스템 전반에 걸쳐 네트워크 보안을 구현하고 관리합니다.

• 악의적인 활동에 대해 Notion의 인프라, 네트워크 및 자산을 모니터링합니다.

• 누구나 참여할 수 있는 취약점 공개 프로그램을 운영하고 독립적인 모의 해킹을 의뢰합니다.

• 저장 데이터 암호화, 엔드포인트 탐지 및 대응, 중앙 집중식 기기 관리를 포함하여 Notion의 자체 기업 시스템 및 직원 기기를 보호합니다.

• Notion 클라이언트 애플리케이션을 게시하고 업데이트를 제공합니다.

사용자의 책임

• 웹 브라우저를 포함하여 지원 대상이며 적절히 패치된 엔드포인트 환경과 Notion 클라이언트 업데이트를 방해할 수 있는 모든 제어 기능을 유지 관리합니다.

• 사용자의 자체 엔드포인트 보안 표준에 따라 Notion에 접근하는 데 사용되는 기기 및 네트워크를 보호합니다.

• Notion 클라이언트 업데이트가 중앙에서 관리되는 경우, 업데이트가 적시에 계속 적용되도록 보장합니다. 자동 업데이트를 연기하거나 비활성화하면 클라이언트의 적시 패치에 대한 책임은 사용자에게 이전됩니다.

• 설치 구성이 사용자의 업데이트 수신을 방해하지 않도록 보장합니다.

• Notion 서비스에서 의심되는 취약점을 악용하거나 공개하는 대신 Notion에 보고합니다.

책임의 경계

Notion은 Notion 서비스를 패치합니다. 고객은 Notion에 패치를 적용하지 않으며, 서버 측 업데이트를 위해 고객이 취해야 할 조치는 없습니다.

클라이언트 애플리케이션은 다릅니다. Notion은 업데이트를 게시하지만, 특정 기기가 업데이트를 수신할지 여부는 해당 기기가 어떻게 구성되고 관리되는지에 따라 달라집니다. 조직이 설치 또는 업데이트 동작을 관리하는 경우, 클라이언트를 최신 상태로 유지하는 것은 조직의 책임입니다.

Notion은 고객 데이터에 대해 작동하고 연결된 시스템에 접근할 수 있는 API, 통합 플랫폼 및 AI 기능을 제공합니다. 고객은 이러한 기능 중 무엇을 활성화할지, 어떤 접근 권한을 부여할지, 그리고 이를 어떻게 관리할지 결정할 책임이 있습니다.

Notion의 책임

• Notion API, 통합 플랫폼, 연결 및 AI 기능을 제공하고 유지 관리합니다.

• Notion AI, Notion 에이전트 및 AI 커넥터에서 사용자 권한을 준수합니다. 커스텀 에이전트는 명시적으로 부여된 자체 권한을 사용하며, 이는 에이전트와 상호 작용하는 사람의 권한과 다를 수 있습니다.

• 설치할 수 있는 통합 및 외부 AI 도구, 생성할 수 있는 에이전트, 그리고 AI 기능 활성화 여부를 관리하는 관리 제어 기능을 제공합니다.

• AI 웹 검색을 활성화하거나 비활성화하고 외부 웹 요청 전에 확인을 요구하는 제어 기능을 제공합니다.

• 타사 콘텐츠 및 업로드된 파일에 숨겨진 지침 감지, 링크 처리 제한, 에이전트가 자율적으로 작동할 때의 추가 검사를 포함하여 프롬프트 주입 위험을 감지하고 줄이도록 설계된 방어 체계를 유지합니다.

• 고객 데이터를 Notion의 모델 학습에 사용하지 않으며, 명시적인 고객 동의 없이 AI 데이터 처리 위탁업체가 고객 데이터를 학습에 사용하지 못하도록 계약으로 금지합니다.

• 감사 로그에 통합, 연결, 에이전트와 외부 AI 도구의 활동을 기록합니다.

사용자의 책임

• 조직에 적합한 통합, 연결, AI 기능과 에이전트를 결정하고, 그 결정에 맞게 사용 가능한 제어 기능을 구성합니다.

• 통합 또는 연결을 승인하기 전에 해당 통합 또는 연결이 요청하는 사용 권한과 기능을 검토하고, 타사 서비스가 사용자의 공급업체 요건을 충족하는지 확인합니다.

• 내부 통합 토큰의 배포를 제한하고 토큰을 교체하며 더 이상 필요하지 않은 토큰을 폐기하는 등 내부 통합 토큰을 관리합니다.

• 각 에이전트가 접근할 수 있는 고객 데이터와 연결된 도구를 관리하는 것을 포함해 에이전트의 생성과 구성을 감독하고, 해당 사용 권한을 주기적으로 검토합니다.

• 고객은 에이전트 권한의 범위가 적절하게 지정되었는지 확인해야 합니다.

• 데이터 보존 모델이 필요한 기능에 해당 모델을 활성화할지 결정합니다.

• 연결된 시스템을 통해 Notion에 제공되는 고객 데이터가 해당 목적에 적합한지, 연결된 시스템에서 부여한 사용 권한의 범위가 적절하게 설정되어 있는지 확인합니다.

• 웹 페이지와 업로드된 파일을 비롯해 워크스페이스 외부에서 유래한 고객 데이터가 AI의 동작에 영향을 미치려 할 수 있음을 사용자에게 알립니다.

연결된 데이터에 대해 고객이 이해해야 할 사항

연결을 통한 사용 권한의 범위는 연결된 시스템에서 부여한 권한의 범위에 따라 결정됩니다. Notion은 연결된 시스템에서 전달한 권한을 적용하지만, 원본 시스템에서 지나치게 광범위하게 설정된 권한을 수정하지는 않습니다.

연결된 시스템의 권한 변경 사항은 즉시 반영되지 않고 동기화가 이루어진 후 Notion에 반영됩니다. 새로 추가되거나 삭제된 고객 데이터가 표시되거나 더 이상 표시되지 않기까지도 시간이 걸릴 수 있습니다.

Notion은 Notion 서비스의 보안을 책임지며, 사고가 고객 데이터에 영향을 미치는 경우 고객에게 알립니다. 고객은 자신의 계정, 워크스페이스와 고객 데이터에 관한 사고에 대응하고, 필요한 경우 관련 당사자에게 알릴 책임이 있습니다.

Notion의 책임

• 문서화된 사고 대응 계획을 유지하고 주기적으로 테스트합니다.

• Notion의 시스템과 Notion이 보유한 고객 데이터에 영향을 미치는 보안 사고를 탐지, 분류, 조사하고 확산을 방지하며 해결합니다.

• 데이터 처리 부속서와 관련 법률에 따라 보안 사고 발생 시 영향을 받는 고객에게 알립니다.

• 근본 원인 분석을 포함한 사고 사후 검토를 수행하고, 그 결과를 Notion의 통제 체계와 대응 계획에 반영합니다.

• 서비스의 운영 상태를 게시하고 서비스 이용에 영향을 미치는 사고를 알립니다.

• 취약점 공개 프로그램을 운영하고, 보고된 취약점을 분류하고 해결합니다.

사용자의 책임

• 의심되는 보안 사고, 계정 침해, 의심되는 취약점과 서비스 오용을 적절한 채널을 통해 Notion에 즉시 보고합니다.

• 인증 정보 침해, 부적절한 공유, 내부 사용자에 의한 오용을 포함하여 사용자 자신의 워크스페이스와 계정에서 발생하는 사고를 탐지하고 대응합니다.

• 사용자 자신의 사고 대응 체계를 유지하고, Notion에서 확인된 활동에 대한 조치 담당자를 정합니다.

• 사용 권한 제거, 세션 취소, 인증 정보 재설정, 통합 토큰 취소, 게시된 고객 데이터 철회 등 제품에서 가능한 사고 확산 방지 조치를 취합니다.

• 감사 로그 기록의 보존 기간이 끝나기 전에 해당 기록을 내보내는 등 관련 증거를 보존합니다.

• 사고가 발생했을 때 사용자가 규제 기관, 고객 또는 영향을 받는 개인에게 알려야 할 의무가 있는지 판단하고, 의무가 있다면 통지합니다.

• Notion의 알림이 적절한 담당자에게 전달되도록 관리 및 보안 연락처 정보를 최신 상태로 유지합니다.

• 의심되는 취약점을 악용하거나 공개하는 대신 Notion에 보고합니다.

각 당사자의 사고 탐지 범위

Notion은 자체 인프라를 모니터링하며 서비스에 영향을 미치는 사고를 탐지할 수 있습니다. 하지만 그 자체로는 유효한 워크스페이스 작업이 사용자의 내부 정책에 따라 승인된 것인지는 판단할 수 없습니다. 고객은 워크스페이스 활동을 모니터링하고 오용에 대응할 책임이 있습니다.

여기에는 멤버가 기밀 고객 데이터를 게시하거나, 퇴사하는 직원이 데이터를 내보내거나, 정당한 소유자가 자신의 인증 정보를 오용하는 등의 사고가 포함됩니다. 이러한 이벤트를 탐지하고 대응하려면 사용자가 활동 기록을 검토하고 제공되는 제어 기능을 활용해야 합니다.

Notion은 독립적으로 감사받는 정보 보안 및 개인정보 보호 프로그램을 유지하며, 그 결과 문서를 제공합니다. 고객은 Notion이 자신의 규제 의무에 적합한지 판단하고 그에 따라 구성해야 합니다.

Notion의 책임

• 적용 가능한 감사 및 인증 주기에 따라 독립적으로 평가받는 보안 및 개인정보 보호 프로그램을 유지합니다.

• 감사 보고서 및 인증을 포함한 규정 준수 문서를 Notion Trust Center를 통해 고객 및 잠재 고객에게 제공합니다.

사용자의 책임

• 사용자가 저장하려는 데이터와 사용자에게 적용되는 규제 의무에 Notion이 적합한지 판단합니다.

• 해당되는 경우 데이터 처리 부속서 또는 사업 제휴 계약서를 포함하여 해당 사용에 필요한 계약을 체결합니다.

• 해당 계약에서 요구하는 설정을 적용합니다. 여기에는 규정 준수를 위한 설정과 그 설정에 필요한 보안 기능을 활성화하는 것이 포함됩니다.

• 공급업체 위험 평가 및 법률에서 요구하는 데이터 보호 영향 평가를 포함하여 사용자가 직접 평가를 완료합니다.

• 사용자의 자체 보증 및 변경 관리 프로세스의 일환으로 Notion의 인증, 감사 보고서 및 데이터 처리 위탁업체 리스트를 검토합니다.

• 사용자의 구성 및 Notion 사용이 사용자에게 적용되는 의무를 충족함을 사용자의 자체 감사인 및 규제 기관에 입증합니다.

인증 적용 범위

Notion이 독립적인 제3자로부터 받은 인증과 감사 보고서는 Notion이 운영하는 통제 항목을 다룹니다. 개별 조직이 Notion을 설정하거나 사용하는 방식은 그 범위에 포함되지 않습니다.

규제 대상 데이터를 보유한 워크스페이스는 Notion이 인증을 보유하고 있다는 이유만으로 규정을 준수하는 것이 아닙니다. 공유 제한, SSO(통합 로그인) 적용, 감사 기록 보관 또는 데이터 저장 위치 제한과 같이 의무 이행이 설정에 달린 경우, 이를 충족하는 것은 사용자의 책임입니다.

Notion은 서비스 사용 조건을 설정하고 이를 집행합니다. 고객은 자신의 Notion 사용 및 워크스페이스에 보관된 고객 데이터에 대해 책임을 집니다.

Notion의 책임

• 콘텐츠 및 사용 정책, 관련 약관 및 관련 정책을 게시하고 유지합니다.

• 공개 Notion 페이지를 보는 사람이 금지된 고객 데이터라고 판단되는 내용을 신고할 수 있는 메커니즘을 제공합니다.

• 신고 내용을 조사하고, 위반 사항이 확인되면 고객 데이터를 삭제하거나 사용 권한을 제한합니다.

• 남용 비율이 높은 사용 범주를 추가로 면밀히 검토하고, 서비스의 이용 가능성을 보호하기 위해 필요한 경우 사용 권한을 일시 중지하거나 종료합니다.

사용자의 책임

• 약관과 콘텐츠 및 사용 정책에 따라 Notion을 사용하고, 사용자의 구독을 통해 Notion을 이용하는 사용자들도 이를 준수하도록 합니다.

• Notion에 저장되거나 Notion에서 공유되거나 Notion을 통해 게시되는 고객 데이터가 해당 정책 및 관련 법률을 준수하도록 합니다.

• 사용자가 Notion을 통해 사용자 생성 고객 데이터를 배포하는 경우, 다른 사람이 제공한 고객 데이터를 검토하고 관리합니다.

• Notion을 의도된 사용 범위 내에서 이용하며, 보안 제어 기능을 우회하거나 비활성화하거나 방해하려고 시도하지 않습니다.

• Notion에 대한 보안 테스트는 Notion의 취약점 공개 프로그램을 통해서만, 해당 프로그램의 조건에 따라 수행합니다.

• 선의를 가지고 지원 및 신고 채널을 사용합니다.