已共享責任模型

此共同責任模型確保 Notion 及其客戶攜手合作，創造安全且有效的工作空間體驗。

請參閱 Notion 的 MSA 與 DPA，了解定義用語。

Notion 是讓你思考、寫作與規劃的空間。使用者可以在這個一體化空間建立自己的工具，發揮最佳工作表現，因此將工作與個人資訊託付給 Notion，並透過 連接 與 AI 功能，授予 Notion 存取其他系統中資訊的權限。

共同責任模型（SRM）是劃分服務提供者與使用者責任的框架，明確界定雙方各自負責的安全與營運任務。

本文件概述了 Notion 與其客戶在保護及維護 Notion 系統、使用者帳號與工作空間安全方面的共同責任。

Notion SRM 清楚界定 Notion 與客戶各自負責的流程、作業與控制措施。這讓 Notion 能專注於最能保護其系統機密性、完整性與可用性的領域，並承擔相關責任；同時指出哪些方面由客戶自行保護帳號、工作空間與客戶資料更為合適。整體而言，這有助於更安全、有效率地保護 Notion 系統與帳號。

SRM 也提升了 Notion 服務交付方式的透明度，提供客戶在自身風險評估與確信程序中評估 Notion 所需的資訊，並協助 Notion 與客戶履行各自在適用的地方、區域、國家及國際法規下的義務。

簡而言之：Notion 負責建構、營運與保護 Notion 服務的架構。客戶則負責其設定與使用該服務的方式，包括保護其憑證、管理誰有權存取其工作空間與客戶資料，以及遵守 內容與使用政策 及其他相關 條款。

本文件所述的部分責任，只能由在工作空間或組織中擁有較高權限的客戶履行。使用者有責任妥善指派這些權限。

履行特定責任時可使用的工具因方案而異。如果某項功能僅提供給特定訂閱方案，未提供該功能的方案客戶仍須負責達成相應目標，並考慮採取替代控制措施。

Notion 提供驗證方法與管理控制措施，以管理使用者登入 Notion 的方式，以及授予與移除工作空間存取權限的方式。客戶有責任選擇並設定適合其組織的控制措施，並保護用於存取其帳號的憑證。

Notion 責任

• 提供並運作驗證方法，包括電子郵件與密碼、Google 與 Apple 登入，以及商業版與企業版工作空間的 SAML 2.0 單一登入。

• 為使用密碼登入的帳號提供雙重驗證，可使用驗證器應用程式或簡訊驗證碼。

• 提供 SCIM API，讓企業組織能透過身分識別提供者，自動建立、更新及移除使用者。

• 提供管理控制項，以規範工作階段持續時間、強制登出、密碼重設、帳號停用與網域驗證。

• 必須先驗證網域擁有權，才能使用該網域控制其使用者登入 Notion 的方式。

• 當使用者從工作空間移除時，撤銷該使用者對客戶資料的存取權限。提供控制項，讓組織能終止其受管理使用者的工作階段並重設其憑證。

• 在 Notion 自身的基礎架構中維持最小權限存取控制，並要求 Notion 員工與承包商遵守保密義務。

• 僅在使用者或工作空間擁有者同意的情況下，才為支援目的存取客戶資料，並在指定期限後讓該同意自動失效。

使用者責任

• 保護登入憑證、使用高強度且不重複的密碼，並避免在其他服務重複使用。

• 維護個人帳號而非共用帳號，且不共用登入資訊。

• 在以密碼登入的帳號上使用雙重驗證。

• 依照內部政策更新憑證，若發現外部憑證外洩，應立即更新。

• 選擇並設定適合該組織的驗證方法，包括是否強制執行單一登入。

• 確保只有應獲授權的使用者能存取工作空間，並在人員離職或職務異動時立即移除其存取權限。自動取消佈建需要使用 SCIM；若未使用，則需手動移除存取權限。

• 依照內部政策設定工作階段持續時間，並備妥無法存取身分識別提供者時的復原程序。

• 控制 Notion 支援團隊是否能存取帳號或工作空間，並在不再需要時撤銷該存取權限。

Notion 提供權限模型，決定已驗證使用者能查看哪些內容及執行哪些操作，並提供設定分享範圍的管理控制項。客戶需負責決定如何將該模型套用於其客戶資料，並審查由此產生的存取權限。

Notion 責任

• 提供在工作空間、團隊協作區、頁面與資料庫層級運作的權限模型（包含權限群組），並在整個產品中一致地執行。

• 為成員與訪客提供不同的存取權限，以便授予外部協作者特定客戶資料的存取權限，而非整個工作空間的存取權限。

• 提供管理控制項，讓組織能限制公開分享頁面、訪客存取、匯出，以及將頁面移動或複製到其他工作空間。

• 提供控制項以規範誰能將客戶資料發布至網路，包括 Notion 網站、表單與公開連結。

• 提供檢視工具，讓組織能識別誰有權存取頁面、哪些頁面已對外分享或發布至網路，並變更這些權限。

• 在提供 AI 與搜尋功能時，遵循已設定的工作空間權限。

使用者責任

• 判斷客戶資料的適當存取層級，並據此套用權限。

• 決定是否允許外部協作與公開發布，並據此設定可用的控制項。

• 了解存取權限如何繼承。授予頁面的存取權限預設會延伸至嵌套於其中的頁面，而透過多種途徑授予的存取權限，則以授予的最高層級為準。

• 定期審查存取權限，包括工作空間成員、訪客、權限群組、對外共享的客戶資料，以及發布至網路的客戶資料。

• 當協作者的參與結束時，移除其對客戶資料的存取權，包括未透過組織身分識別提供者管理存取權的訪客與外部協作者。

• 確保發布至網路的客戶資料是供公眾閱覽，並據此設定搜尋引擎索引等選項。

• 在使用者離職前，或仍可轉移資料的有限期限內，轉移該使用者私人儲存的客戶資料。期限過後，這類資料通常無法復原，且轉移工具僅適用於企業版。

Notion 代表客戶儲存並處理客戶資料，並在傳輸及靜態儲存期間保護這些資料。客戶可決定將哪些資料放入 Notion、保留多久，以及這些資料涉及哪些法律義務。

Notion 的責任

• 依照主訂閱協議、資料處理附錄及適用的資料保護法規處理客戶資料。

• 使用 AES-256 或提供同等或更強安全性的業界標準演算法，對靜態儲存的客戶資料進行加密（包含雲端儲存、資料庫表格及備份），並使用 TLS 1.2 或更高版本對傳輸中的資料進行加密。

• 維護並發布最新的轉包處理器清單。

• 針對特定類別的客戶資料提供資料落地服務，讓符合資格的組織能選擇資料靜態儲存的區域。

• 不使用客戶資料訓練 Notion 的機器學習模型，並透過合約禁止 AI 轉包處理器在未經客戶明確同意的情況下使用客戶資料進行訓練。

• 提供讓客戶能匯出、保留及刪除其客戶資料的功能，並依照合約規定在合約終止時刪除客戶資料。

• 與有需要的客戶簽署資料處理附錄，並在適用情況下簽署商業夥伴協議。

使用者責任

• 判斷哪些資料適合儲存在 Notion 中，並確保受監管的資料僅儲存在已具備必要協議與設定的地方。

• 建立並執行資料保留措施，刪除不再需要的客戶資料。

• 調整產品提供的資料保留與刪除設定，以符合內部政策。

• 提交完整且準確的帳號資料，並在發現錯誤時立即修正。

• 履行工作空間中所持有個人資料控制者應盡的義務，包括向個人提供隱私權資訊、建立處理資料的合法基礎，以及回應與客戶資料相關的資料主體請求。

• 判斷是否需要特定的資料落地區域、在需要時提出請求，並了解哪些資料類別與哪些 Notion 產品不在該範圍內。

• 檢視 Notion 的轉包處理器列表。

Notion 負責營運維持服務可用性的基礎架構，並維護該基礎架構的備份，以利復原服務。客戶有責任使用 Notion 提供的工具復原其自身的客戶資料，並在自身義務有要求時，保留一份獨立的客戶資料副本。

Notion 的責任

• 根據服務水準條款中規定的可用性承諾營運 Notion 服務，並跨多個可用區域使用備援基礎架構。

• 發布服務的營運狀態。

• 維護自動化、加密且受監控的客戶資料備份。

• 根據 Notion 針對所選資料落地區域發布的備份區域對應表儲存備份。資料落地僅適用於指定類別的客戶資料。

• 維護並定期測試災害復原與業務持續運作計畫。

• 提供產品內復原工具（包括垃圾桶與版本記錄），讓客戶能自行還原客戶資料。

• 提供匯出功能，讓客戶能取得其客戶資料的副本。

使用者責任

• 在使用者方案適用的保留期限內，使用垃圾桶與版本記錄復原個別頁面與客戶資料。

• 若產品提供相關功能，請依內部政策設定客戶資料保留方式。

• 若內部政策、合約承諾或法規要求保留期限超過產品提供的範圍，或要求將副本儲存在 Notion 之外，則需維護一份獨立的客戶資料副本。

• 依照符合這些需求的排程產生匯出檔案，並驗證匯出內容是否完整。匯出帳號無法存取的客戶資料將不包含在匯出檔案中。

• 在下載連結的有效期限內下載匯出檔案。

• 將服務中斷的可能性納入規劃，作為使用者自身業務持續運作安排的一部分。

Notion 備份的用途與限制

Notion 備份的存在是為了還原 Notion 服務。它們並非供客戶使用的還原點，也無法用於將工作空間恢復至特定時間點的狀態。個別客戶資料的復原是由客戶透過垃圾桶與版本記錄自行執行。一旦客戶資料超過適用的垃圾桶與保留期限，資料將會被清除且無法還原。客戶不應依賴支援服務作為保留機制。

匯出功能會產生一份可攜式的客戶資料副本，格式包括 HTML、Markdown、CSV 或 PDF，具體取決於匯出類型與方案。這並非完整的工作空間備份：匯入已匯出的客戶資料無法重建工作空間原本的權限、設定或完整配置，且可能需要手動重新調整結構。

Notion 會記錄工作空間內的相關活動，並將記錄提供給組織。客戶有責任檢視這些記錄、在必要時保留，並根據記錄內容採取行動。

Notion 的責任

• 記錄組織工作空間中發生的安全性與防護相關事件，包括執行者、動作、時間，以及可取得的 IP 位址。

• 在產品內將稽核記錄檔歷史資料保留一段指定期間，並提供匯出與串流機制，以便客戶能保留更長時間。

• 提供將事件即時串流至使用者自有安全性監控平台的管道，並支援與資料外洩防護工具的連線。

• 監控 Notion 自身的基礎架構、網路與系統是否有惡意活動，並維護這些系統的內部記錄檔。

使用者責任

• 審閱稽核記錄檔中的活動，並調查與處理看似異常或未經授權的活動。

• 在事件超出保留期限前將其匯出或串流，以依照客戶自身的內部政策或法規要求保留記錄檔資料。

• 在使用者自己的環境中設定監控、警示以及任何安全性或合規性連線，並確保這些整合功能維持運作。

• 定義組織環境中何謂可疑活動，並指派負責審閱的人員。

• 若發現可能顯示服務遭入侵的可疑活動，請向 Notion 回報。

稽核記錄檔的涵蓋範圍與限制

稽核記錄檔會記錄事件。記錄檔項目與串流傳送的酬載會描述所採取的動作及其執行者；它們不包含頁面的客戶資料。

組織一旦符合使用該功能的資格，稽核記錄檔便會開始記錄事件。在此之前發生的活動無法回溯取得。

Notion 負責開發、營運並維護 Notion 服務及其運作所需的基礎架構，包括保護基礎架構並安裝修補程式。客戶則須自行負責用於存取 Notion 的環境。

Notion 的責任

• 開發、測試、修補並維護 Notion 應用程式及其基礎架構。服務更新由 Notion 套用，客戶無需採取任何動作。

• 針對新版本進行威脅建模與安全設計審查，並執行程式碼稽核、程式碼審查以及程式碼庫的安全掃描。

• 每年委託進行獨立滲透測試。

• 在 Notion 的系統中實作並管理網路安全。

• 監控 Notion 的基礎架構、網路與資產中的惡意活動。

• 執行公開的 漏洞揭露計畫，並委託進行獨立滲透測試。

• 保護 Notion 自身的企業系統與員工裝置，包括靜態資料加密、端點偵測與回應，以及集中式裝置管理。

• 發布 Notion 用戶端應用程式並提供更新。

使用者的責任

• 維護受支援且已適當修補的端點環境（包括網頁瀏覽器），並管理可能阻礙 Notion 用戶端更新的控制措施。

• 根據使用者自身的端點安全標準，保護用於存取 Notion 的裝置與網路。

• 若 Notion 用戶端更新採集中式管理，請確保更新能持續及時套用。延遲或停用自動更新，即代表將用戶端及時修補的責任轉移給使用者。

• 確保安裝設定不會阻礙使用者接收更新。

• 向 Notion 回報 Notion 服務中疑似存在的漏洞，而非利用或公開揭露這些漏洞。

責任界線

Notion 會修補 Notion 服務。客戶無需對 Notion 套用修補程式，且伺服器端更新無需客戶採取任何行動。

用戶端應用程式則不同。Notion 會發布更新，但裝置能否收到更新，取決於裝置的設定和管理方式。若由組織管理安裝或更新，確保用戶端維持最新版本就是該組織的責任。

Notion 提供 API、整合平台以及 AI 功能，這些功能可對客戶資料採取行動並存取已連線的系統。客戶需自行決定啟用哪些功能、授予何種存取權限，以及如何管理這些功能。

Notion 的責任

• 提供並維護 Notion API、整合平台、連接以及 AI 功能。

• 在 Notion AI、Notion 代理程式和 AI 連接器中遵循使用者權限。自訂代理程式則依據各自獲明確授予的權限運作，其權限可能與互動者的權限不同。

• 提供管理控制項，以規範可安裝哪些整合與外部 AI 工具、可建立哪些代理程式，以及是否啟用 AI 功能。

• 提供啟用或停用 AI 網頁搜尋的控制項，並在向外部網站發出請求前要求確認。

• 維護旨在偵測並降低提示詞注入風險的防禦措施，包括偵測第三方內容和上傳檔案中的隱藏指令、限制連結處理，以及在代理程式自主運作時進行額外檢查。

• 不使用客戶資料訓練 Notion 的模型，並透過合約禁止 AI 轉包處理器在未經客戶明確同意的情況下使用客戶資料訓練模型。

• 將整合、連接、代理程式和外部 AI 工具的活動記錄在稽核記錄檔中。

使用者的責任

• 決定哪些整合、連接、AI 功能和代理程式適合組織使用，並據此設定可用的控制項。

• 在授權整合或連接之前，審查其所請求的存取權限和功能，並確認該第三方服務符合使用者自身的供應商要求。

• 管理內部整合權杖，包括限制發放範圍、定期輪替，以及撤銷不再需要的權杖。

• 管理代理程式的建立與設定，包括各代理程式可存取的客戶資料和已連接的工具，並定期審查存取權限。

• 客戶必須確保代理程式的權限範圍設定得當。

• 決定是否可為需要使用會保留資料之模型的功能啟用這類模型。

• 確保透過連接系統提供給 Notion 的客戶資料適用於該目的，並確保在連接系統中所授予的存取權限本身已正確設定範圍。

• 讓使用者了解，來自工作空間外部的客戶資料（包括網頁和上傳檔案）可能包含試圖影響 AI 行為的內容。

客戶應了解的連接資料注意事項

透過連接取得的存取權限，其範圍取決於連接系統授予的權限。Notion 會依照連接系統回報的權限控管存取，但不會修正來源系統中設定得過於寬鬆的權限。

連接系統中的權限變更須經過一段同步時間才會反映在 Notion 中，不會立即生效；新增的客戶資料可能需要一段時間才會顯示，刪除的資料也可能需要一段時間才會無法存取。

Notion 負責 Notion 服務的安全性，並在事件影響客戶的客戶資料時通知相關客戶。客戶需自行負責應對涉及其自身帳號、工作空間和客戶資料的事件，包括履行其必須承擔的通知義務。

Notion 責任

• 維護書面的事件回應計畫，並定期測試。

• 偵測、初步評估、調查、控制並修復影響 Notion 系統及其持有的客戶資料的安全事件。

• 根據資料處理附錄及適用法律，通知受影響的客戶有關安全事件的資訊。

• 進行事件後檢討，包括根本原因分析，並依據檢討結果調整 Notion 的控制措施和回應計畫。

• 發布服務的運作狀態，並通報影響服務可用性的事件。

• 執行漏洞揭露計畫，並對回報的漏洞進行初步評估與修復。

使用者的責任

• 透過適當管道，及時向 Notion 回報疑似安全事件、帳號遭入侵、疑似漏洞以及服務濫用情形。

• 偵測並回應使用者自身工作空間和帳號內發生的事件，包括憑證遭盜用、不當分享，以及內部使用者濫用服務。

• 建立並維護自身的事件回應機制，並指定由誰負責處理在 Notion 中發現的活動。

• 採取產品提供的控制措施，包括移除存取權限、撤銷工作階段、重設憑證、撤銷整合權杖，以及撤下已發布的客戶資料。

• 保存相關證據，包括在稽核記錄檔的記錄超出保留期限前將其匯出。

• 判斷事故是否觸發使用者對監管機構、客戶或受影響個人的通知義務，並發出通知。

• 保持管理和安全聯絡資訊為最新狀態，以便 Notion 的通知能傳達給正確的人員。

• 向 Notion 回報疑似漏洞，而非利用或公開揭露這些漏洞。

哪一方偵測到什麼

Notion 會監控自身的基礎架構，並能偵測影響服務的事故。但對於工作空間中看似有效的動作，Notion 無法判斷是否符合使用者內部政策的授權規定。客戶有責任監控工作空間活動，並因應濫用行為。

這包括成員發布機密客戶資料、離職員工匯出資料，或憑證遭其合法持有人濫用等事故。偵測並回應這些事件，取決於使用者是否檢視活動記錄及其可用的控制措施。

Notion 維護一套經獨立稽核的資訊安全與隱私計畫，並提供相關文件。客戶需自行判斷 Notion 是否符合其自身的監管義務，並據此進行設定。

Notion 的責任

• 根據適用的稽核和認證週期，維持經獨立評估的安全與隱私計畫。

• 透過 Notion Trust Center 向客戶及潛在客戶提供合規文件，包括稽核報告和認證。

使用者的責任

• 判斷 Notion 是否適合儲存使用者打算儲存的資料，以及是否符合使用者須履行的監管義務。

• 簽署該用途所需的協議，包括在適用的情況下簽署資料處理附錄或商業夥伴協議。

• 套用這些協議所要求的設定，包括啟用任何合規專用設定，以及這些設定所依賴的安全功能。

• 完成使用者自身的評估，包括供應商風險評估以及法律要求的任何資料保護影響評估。

• 檢視 Notion 的認證、稽核報告及轉包處理器列表，作為使用者自身查核及變更管理流程的一部分。

• 向使用者自身的稽核人員與監管機構證明，使用者對 Notion 的設定與使用符合其適用的義務。

認證涵蓋的範圍

Notion 的獨立第三方認證與稽核報告涵蓋 Notion 運作的控制措施。這些認證與報告並不延伸至個別組織如何設定或使用 Notion。

工作空間儲存受監管資料，不代表只要 Notion 取得認證，該工作空間就自動合規。若履行義務有賴特定設定，例如限制分享、強制使用單一登入、保留稽核記錄或限制資料儲存位置，相關責任仍由使用者承擔。

Notion 設定服務的使用條款並執行這些條款。客戶需對其自身使用 Notion 的行為以及工作空間中持有的客戶資料負責。

Notion 的責任

• 發布並維護 內容與使用政策、相關 條款 以及相關政策。

• 提供機制，讓任何瀏覽公開 Notion 頁面的人都能檢舉其認為屬於禁止內容的客戶資料。

• 調查檢舉內容，並在確認違規時移除客戶資料或限制存取權限。

• 針對濫用率較高的使用類別加強審查，並在必要時暫停或終止存取權限，以保護服務的可用性。

使用者的責任

• 依照條款及「內容與使用政策」使用 Notion，並確保透過使用者的訂閱使用 Notion 的人員也遵守相同規定。

• 確保儲存在 Notion 中、從 Notion 分享或透過 Notion 發布的客戶資料符合這些政策及適用法律。

• 當使用者透過 Notion 散布使用者產生的客戶資料時，應審核並管理他人提供的客戶資料。

• 在 Notion 的預定使用範圍內使用服務，不得嘗試規避、停用或干擾其安全控制措施。

• 如要對 Notion 進行安全性測試，必須透過 Notion 的漏洞揭露計畫，並遵守該計畫的條款。

• 誠信使用支援與通報管道。