Modèle de responsabilités partagées

Ce modèle de responsabilités partagées garantit que Notion et ses clients collaborent pour créer un espace de travail sûr et efficace.

Consultez le MSA et le DPA de Notion pour connaître la définition des termes employés.

Notion est un espace unique où vous pouvez réfléchir, écrire et planifier. Vous pouvez y créer vos propres outils pour travailler au mieux. Vous confiez ainsi à Notion des informations professionnelles et personnelles et, par l’intermédiaire des Connexions et des fonctionnalités d’IA, l’accès à des informations stockées dans d’autres systèmes.

Un modèle de responsabilités partagées (SRM) définit la répartition des responsabilités entre un fournisseur de services et ses utilisateurs. Il précise les tâches de sécurité et les opérations qui incombent à chaque partie.

Ce document décrit les responsabilités partagées entre Notion et ses clients en matière de protection et de maintien de la sécurité des systèmes, des comptes utilisateurs et des espaces de travail de Notion.

Le SRM de Notion précise qui, de Notion ou de ses clients, est responsable de chaque processus, opération ou contrôle. Notion peut ainsi se concentrer sur les domaines où elle est la mieux placée pour protéger la confidentialité, l’intégrité et la disponibilité de ses systèmes. Il précise aussi les domaines où les clients sont les mieux placés pour sécuriser leurs comptes, leurs espaces de travail et leurs données client. Cette répartition renforce la sécurité et l’efficacité de la protection des systèmes et des comptes Notion.

Le SRM favorise également la transparence dans la manière dont les services de Notion sont fournis, en donnant aux clients les informations dont ils ont besoin pour évaluer Notion dans le cadre de leurs propres processus d’évaluation des risques et d’assurance, et en aidant Notion et ses clients à respecter leurs obligations respectives en vertu des réglementations locales, régionales, nationales et internationales applicables.

En résumé : Notion est responsable de la conception, de l’exploitation et de la protection de l’architecture du service Notion. Les clients sont responsables de la configuration et de l’utilisation de ce service. Ils doivent notamment protéger leurs identifiants, gérer les accès à leurs espaces de travail et à leurs données client, et respecter la politique de contenu et d’utilisation ainsi que les autres conditions applicables.

Certaines responsabilités décrites dans ce document ne peuvent être assumées que par des clients disposant d’autorisations élevées dans un espace de travail ou une organisation. Il incombe à l’utilisateur d’attribuer ces autorisations de manière appropriée.

Les outils disponibles pour assumer chaque responsabilité varient selon le forfait. Si une fonctionnalité est réservée à certains forfaits d’abonnement, les clients dont le forfait ne la propose pas restent responsables du résultat attendu et doivent envisager d’autres mesures de contrôle.

Notion fournit les méthodes d’authentification et les contrôles administratifs qui déterminent comment les personnes se connectent à Notion et comment l’accès à l’espace de travail est accordé ou retiré. Les clients choisissent et configurent les contrôles adaptés à leur organisation et protègent les identifiants utilisés pour accéder à leurs comptes.

Responsabilités de Notion

• Fournir et exploiter des méthodes d’authentification, notamment l’e-mail et le mot de passe, la connexion via Google et Apple, et l’authentification unique SAML 2.0 pour les espaces de travail bénéficiant des forfaits Business et Enterprise.

• Fournir une authentification à deux facteurs pour les comptes qui se connectent avec un mot de passe, en utilisant une application d’authentification ou un code par SMS.

• Fournir des API SCIM permettant aux organisations Enterprise d’automatiser la création, la mise à jour et la suppression des utilisateurs dans Notion à partir de leur fournisseur d’identité.

• Fournir des contrôles administratifs régissant la durée de session, la déconnexion forcée, la réinitialisation du mot de passe, la suspension de compte et la vérification de domaine.

• Exiger la vérification de la propriété d’un domaine avant qu’il puisse servir à contrôler la façon dont ses utilisateurs se connectent à Notion.

• Révoquer l’accès d’un utilisateur aux données client lorsque cet utilisateur est retiré de l’espace de travail. Fournir des contrôles permettant à une organisation de mettre fin aux sessions et de réinitialiser les identifiants de l’ensemble de ses utilisateurs gérés.

• Maintenir des contrôles d’accès fondés sur le principe du moindre privilège dans l’ensemble de l’infrastructure de Notion et exiger que les employés et les sous-traitants de Notion soient soumis à des obligations de confidentialité.

• Accéder aux données client à des fins de service client uniquement lorsqu’un utilisateur ou un propriétaire de l’espace de travail y a consenti, et faire expirer ce consentement automatiquement après une période définie.

Responsabilités des utilisateurs

• Protéger les identifiants de connexion, utiliser des mots de passe forts et uniques et éviter de les réutiliser sur d’autres services.

• Utiliser des comptes individuels plutôt que des comptes partagés et ne pas partager les informations de connexion.

• Utiliser l’authentification à deux facteurs sur les comptes qui se connectent avec un mot de passe.

• Mettre à jour les identifiants conformément à la politique interne, et rapidement lorsqu’une compromission d’identifiants est détectée sur un service externe.

• Choisir et configurer les méthodes d’authentification adaptées à l’organisation, et décider si l’authentification unique doit être obligatoire.

• Veiller à ce que l’accès à l’espace de travail soit limité aux utilisateurs concernés et retiré rapidement lorsqu’une personne quitte l’organisation ou change de rôle. La suppression automatique des accès nécessite SCIM ; sans SCIM, les accès doivent être retirés manuellement.

• Définir la durée de session conformément à la politique interne et maintenir une procédure de récupération en cas de perte d’accès au fournisseur d’identité.

• Contrôler si le service client de Notion peut accéder à un compte ou à un espace de travail, et révoquer cet accès lorsqu’il n’est plus nécessaire.

Notion fournit le modèle d’autorisations qui détermine ce qu’un utilisateur authentifié peut voir et faire, ainsi que des contrôles administratifs qui encadrent le partage. Les clients décident comment appliquer ce modèle à leurs données client et vérifient les accès qui en résultent.

Responsabilités de Notion

• Fournir un modèle d’autorisations fonctionnant au niveau de l’espace de travail, de l’espace d’équipe, de la page et de la base de données, y compris des groupes d’autorisations, et l’appliquer de manière cohérente dans tout le produit.

• Fournir un accès distinct aux membres et aux invités, afin que les collaborateurs externes puissent accéder à certaines données client plutôt qu’à l’ensemble d’un espace de travail.

• Fournir des contrôles administratifs permettant à une organisation de restreindre le partage de pages publiques, l’accès des invité·es, l’exportation ainsi que le déplacement ou la duplication de pages vers d’autres espaces de travail.

• Fournir des contrôles régissant qui peut publier des données client sur le Web, notamment au moyen de Notion Sites, de formulaires et de liens publics.

• Fournir des outils permettant à une organisation de voir qui a accès à une page, quelles pages sont partagées à l’extérieur ou publiées sur le Web, et de modifier les autorisations correspondantes.

• Respecter les autorisations configurées pour l’espace de travail lors de la fourniture de fonctionnalités d’IA et de recherche.

Responsabilités des utilisateurs

• Déterminer le niveau d’accès approprié aux données client et appliquer les autorisations en conséquence.

• Décider si la collaboration externe et la publication publique sont autorisées, et configurer les contrôles disponibles pour refléter cette décision.

• Comprendre comment l’accès est hérité. L’accès accordé à une page s’étend par défaut aux pages qui y sont imbriquées, et lorsque l’accès est accordé par plusieurs voies, le niveau d’accès le plus élevé s’applique.

• Examiner régulièrement les accès, notamment ceux des membres de l’espace de travail, des invités et des groupes d’autorisations, ainsi que les données client partagées à l’extérieur ou publiées sur le Web.

• Retirer l’accès aux données client lorsqu’une personne cesse de collaborer, y compris aux invités et aux collaborateurs externes dont l’accès n’est pas géré par le fournisseur d’identité de l’organisation.

• S’assurer que les données client publiées sur le Web sont destinées au public, et configurer les options telles que l’indexation par les moteurs de recherche en conséquence.

• Transférer les données client détenues en privé par un utilisateur avant son départ, ou pendant la période limitée durant laquelle le transfert reste possible. Après cette période, les données client privées sont généralement irrécupérables, et les outils de transfert ne sont disponibles qu’avec le forfait Enterprise.

Notion stocke et traite les données client pour le compte de ses clients et les protège en transit et au repos. Les clients déterminent quelles données sont placées dans Notion, combien de temps elles sont conservées et quelles obligations légales s’y appliquent.

Responsabilités de Notion

• Traiter les données client conformément au Contrat-cadre d’abonnement, à l’avenant relatif au traitement des données et à la législation applicable en matière de protection des données.

• Chiffrer les données client au repos à l’aide d’AES-256 ou d’un algorithme standard du secteur offrant une sécurité équivalente ou supérieure, y compris dans le stockage cloud, les tables de base de données et les sauvegardes, et chiffrer les données en transit à l’aide de TLS 1.2 ou d’une version ultérieure.

• Maintenir et publier une liste à jour des sous-traitants.

• Offrir la résidence des données pour des catégories définies de données client, permettant aux organisations éligibles de sélectionner la région dans laquelle ces données sont stockées au repos.

• S’abstenir d’utiliser les données client pour entraîner les modèles d’apprentissage automatique de Notion et interdire contractuellement aux sous-traitants spécialisés dans l’IA de le faire sans le consentement explicite du client.

• Fournir des fonctionnalités permettant aux clients d’exporter, de conserver et de supprimer leurs données client, et supprimer les données client à la fin du contrat conformément à l’accord.

• Conclure un avenant relatif au traitement des données et, le cas échéant, un Business Associate Agreement avec les clients qui en ont besoin.

Responsabilités des utilisateurs

• Déterminer quelles données stocker dans Notion et veiller à ne stocker les données réglementées que lorsque les accords et la configuration nécessaires sont en place.

• Établir et appliquer des pratiques de conservation, et supprimer les données client qui ne sont plus nécessaires.

• Configurer les paramètres de conservation et de suppression disponibles dans le produit pour refléter la politique interne.

• Fournir des données de compte complètes et exactes, et les corriger rapidement lorsque des erreurs sont détectées.

• Respecter les obligations qui incombent au responsable du traitement des données personnelles détenues dans un espace de travail, notamment informer les personnes concernées sur la confidentialité, établir une base légale pour le traitement et répondre aux demandes des personnes concernées relatives aux données client.

• Déterminer si une région spécifique de résidence des données est nécessaire, la demander si besoin et comprendre quelles catégories de données et quels produits Notion ne sont pas couverts.

• Consulter la liste des sous-traitants ultérieurs de Notion.

Notion exploite l’infrastructure qui assure la disponibilité du service et conserve des sauvegardes de cette infrastructure afin de rétablir le service. Les clients sont responsables de la récupération de leurs propres données client à l’aide des outils fournis par Notion, ainsi que de la conservation d’une copie indépendante de ces données client lorsque leurs propres obligations l’exigent.

Responsabilités de Notion

• Exploiter le Service Notion conformément aux engagements de disponibilité énoncés dans les Conditions de niveau de service, en utilisant une infrastructure redondante sur plusieurs zones de disponibilité.

• Publier l’état opérationnel du Service.

• Maintenir des sauvegardes automatisées, chiffrées et surveillées des Données client.

• Stocker les sauvegardes conformément à la liste publiée par Notion des régions de sauvegarde correspondantes pour la région de résidence des données sélectionnée. La résidence des données ne s’applique qu’aux catégories définies de Données client.

• Tenir à jour et tester régulièrement les plans de reprise après sinistre et de continuité d’activité.

• Fournir des outils de récupération intégrés au produit, notamment la Corbeille et l’historique des versions, pour permettre aux Clients de restaurer eux-mêmes leurs Données client.

• Fournir une fonctionnalité d’exportation permettant aux Clients d’obtenir une copie de leurs Données client.

Responsabilités des utilisateurs

• Récupérer des pages et des Données client à l’aide de la Corbeille et de l’historique des versions, dans les délais de conservation applicables au forfait de l’Utilisateur.

• Configurer les paramètres de conservation des Données client, lorsqu’ils sont disponibles, conformément à la politique interne.

• Conserver une copie indépendante des Données client si la politique interne, les engagements contractuels ou la réglementation imposent de les conserver plus longtemps que ne le permet le produit, ou d’en garder une copie hors de Notion.

• Exporter les Données client à une fréquence adaptée à ces exigences et vérifier que les exportations sont complètes. Les Données client auxquelles le compte utilisé pour l’exportation n’a pas accès ne sont pas incluses dans l’exportation.

• Récupérer les exportations avant l’expiration du lien de téléchargement.

• Prévoir une éventuelle indisponibilité du Service dans les plans de continuité d’activité de l’Utilisateur.

Ce que sont et ne sont pas les sauvegardes de Notion

Les sauvegardes de Notion servent à restaurer le Service Notion. Elles ne constituent pas un point de restauration accessible aux Clients et ne permettent pas de ramener un espace de travail à l’état dans lequel il se trouvait à un moment donné. Les Clients récupèrent eux-mêmes leurs Données client à l’aide de la Corbeille et de l’historique des versions. Une fois les délais de conservation applicables expirés, les Données client sont définitivement supprimées et ne peuvent plus être restaurées. Les Clients ne doivent pas compter sur le service client pour conserver leurs données.

Une exportation crée une copie portable des Données client dans des formats tels que HTML, markdown, CSV ou PDF, selon le type d’exportation et le forfait. Elle ne constitue pas une sauvegarde complète de l’espace de travail : l’importation des Données client exportées ne recrée ni les autorisations, ni les paramètres, ni l’ensemble de la configuration d’origine. Une réorganisation manuelle peut être nécessaire.

Notion enregistre les activités pertinentes au sein d’un espace de travail et met ces enregistrements à la disposition de l’organisation. Les Clients sont chargés de les examiner, de les conserver si nécessaire et d’agir en conséquence.

Responsabilités de Notion

• Enregistrer les événements liés à la sécurité et à la sûreté dans les espaces de travail d’une organisation, avec l’identité de la personne à l’origine de l’action, l’action effectuée, l’heure et, si elle est disponible, l’adresse IP.

• Conserver l’historique du journal d’audit dans le produit pendant une période définie et proposer des moyens d’exporter ou de transmettre les événements en continu pour permettre aux Clients de le conserver plus longtemps.

• Fournir un moyen de diffuser les événements vers la propre plateforme de surveillance de la sécurité d'un Utilisateur en temps réel, et prendre en charge les connexions aux outils de prévention des pertes de données.

• Surveiller l’infrastructure, les réseaux et les systèmes de Notion pour détecter les activités malveillantes, et tenir des journaux internes pour ces systèmes.

Responsabilités des utilisateurs

• Examiner les activités du journal d’audit et enquêter sur celles qui semblent inattendues ou non autorisées afin de prendre les mesures nécessaires.

• Conserver les données des journaux pendant la durée imposée par la politique interne ou la réglementation du Client, en exportant les événements ou en les transmettant en continu avant la fin de leur période de conservation.

• Configurer la surveillance, les alertes et les connexions aux outils de sécurité ou de conformité dans l’environnement de l’Utilisateur, et veiller au bon fonctionnement de ces intégrations.

• Définir ce qui constitue une activité suspecte pour l’organisation et désigner les personnes chargées de l’examiner.

• Signaler à Notion toute activité suspecte pouvant indiquer une compromission du Service.

Ce que couvre le journal d’audit, et ce qu’il ne couvre pas

Le journal d’audit enregistre les événements. Les entrées du journal et les données transmises en continu indiquent quelles actions ont été effectuées et par qui ; elles ne contiennent pas les Données client des pages.

L’enregistrement des événements dans le journal d’audit commence dès qu’une organisation peut utiliser cette fonctionnalité. Les activités antérieures ne sont pas accessibles rétroactivement.

Notion développe, exploite et maintient le Service Notion ainsi que son infrastructure, qu’il sécurise et met à jour. Les Clients sont responsables des environnements depuis lesquels ils accèdent à Notion.

Responsabilités de Notion

• Développer, tester et maintenir l’application Notion et l’infrastructure qui la prend en charge, et leur appliquer des correctifs. Notion déploie les mises à jour du Service sans intervention des Clients.

• Effectuer une modélisation des menaces et des revues de conception sécurisée pour les nouvelles versions, ainsi que des audits de code, des revues de code et des analyses de sécurité de la base de code.

• Commander chaque année des tests d'intrusion indépendants.

• Mettre en œuvre et gérer la sécurité réseau sur l'ensemble des systèmes de Notion.

• Surveiller l'infrastructure, les réseaux et les actifs de Notion afin de détecter toute activité malveillante.

• Gérer un programme public de divulgation des vulnérabilités et commander des tests d'intrusion indépendants.

• Sécuriser les systèmes d'entreprise et les appareils des employés de Notion, notamment au moyen du chiffrement des données au repos, de la détection et de la réponse sur les terminaux, ainsi que de la gestion centralisée des appareils.

• Publier les applications clientes de Notion et leur fournir des mises à jour.

Responsabilités des utilisateurs

• Maintenir les environnements des terminaux, y compris les navigateurs, dans des versions prises en charge et correctement corrigées, et gérer les contrôles susceptibles d’empêcher les mises à jour des applications clientes de Notion.

• Sécuriser les appareils et les réseaux utilisés pour accéder à Notion, conformément aux normes de sécurité des terminaux de l'Utilisateur.

• Lorsque les mises à jour des applications clientes de Notion sont gérées de manière centralisée, veiller à ce qu'elles continuent d'être appliquées dans les meilleurs délais. Le report ou la désactivation des mises à jour automatiques transfère à l'Utilisateur la responsabilité d'appliquer rapidement les correctifs aux applications clientes.

• Veiller à ce que les configurations d’installation n’empêchent pas les utilisateurs de recevoir les mises à jour.

• Signaler à Notion les vulnérabilités présumées du service Notion plutôt que de les exploiter ou de les divulguer publiquement.

Où se situe la limite

Notion applique les correctifs au service Notion. Les clients n’ont pas à appliquer de correctifs à Notion et aucune action de leur part n’est nécessaire pour les mises à jour côté serveur.

Les applications clientes sont différentes. Notion publie des mises à jour, mais leur réception par un appareil dépend de la façon dont celui-ci est configuré et géré. Si une organisation gère l’installation ou les mises à jour, il lui revient de maintenir les applications clientes à jour.

Notion fournit une API, une plateforme d’intégration et des fonctionnalités d’IA qui peuvent agir sur les données client et accéder aux systèmes connectés. Il appartient aux clients de décider lesquelles activer, quels accès leur accorder et comment les encadrer.

Responsabilités de Notion

• Fournir et maintenir l’API Notion, la plateforme d’intégration, les connexions et les fonctionnalités d’IA.

• Respecter les autorisations des utilisateurs dans l’IA de Notion, l’agent Notion et les connecteurs IA. Les custom agents utilisent leurs propres autorisations, accordées explicitement, qui peuvent différer de celles de la personne qui interagit avec eux.

• Fournir des contrôles permettant de définir quelles intégrations et quels outils d’IA externes peuvent être installés, quels agents peuvent être créés et si les fonctionnalités d’IA sont activées.

• Fournir des contrôles permettant d’activer ou de désactiver la recherche sur le Web par IA et d’exiger une confirmation avant toute requête Web externe.

• Maintenir des protections conçues pour détecter et réduire le risque d’injection d’instructions, notamment la détection des instructions cachées dans les contenus tiers et les fichiers téléversés, les restrictions sur la gestion des liens et des vérifications supplémentaires lorsque les agents agissent de manière autonome.

• Ne pas utiliser les données client pour entraîner les modèles de Notion et interdire contractuellement aux sous-traitants IA de le faire sans le consentement explicite du client.

• Consigner dans le journal d’audit l’activité des intégrations, des connexions, des agents et des outils d’IA externes.

Responsabilités des utilisateurs

• Décider quelles intégrations, connexions, fonctionnalités d’IA et agents conviennent à l’organisation, puis configurer les contrôles disponibles en conséquence.

• Examiner les accès et les capacités demandés par une intégration ou une connexion avant de l’autoriser, puis vérifier que le service tiers répond aux critères de sélection des fournisseurs de l’utilisateur.

• Gérer les jetons d’intégration internes, notamment en limitant leur diffusion, en les renouvelant et en révoquant ceux qui ne sont plus nécessaires.

• Encadrer la création et la configuration des agents, notamment les données client et les outils connectés auxquels chaque agent peut accéder, et réexaminer régulièrement ces accès.

• Les clients doivent s’assurer que la portée des autorisations des agents est adaptée.

• Déterminer si des modèles conservant les données peuvent être activés pour les fonctionnalités qui les nécessitent.

• S’assurer que les données client mises à la disposition de Notion par les systèmes connectés conviennent à cette utilisation et que la portée des accès accordés dans ces systèmes est correctement définie.

• Informer les utilisateurs que les données client provenant de l’extérieur de l’espace de travail, notamment les pages Web et les fichiers téléversés, peuvent tenter d’influencer le comportement de l’IA.

Ce que les clients doivent savoir sur les données connectées

L’accès accordé via une connexion ne peut pas être plus restreint que les autorisations accordées dans le système connecté. Notion applique les autorisations indiquées par ce système, mais ne corrige pas les autorisations trop larges définies à la source.

Les changements d’autorisation dans les systèmes connectés ne sont répercutés dans Notion qu’après un délai de synchronisation. Les données client ajoutées ou supprimées peuvent aussi mettre du temps à apparaître ou à devenir indisponibles.

Notion est responsable de la sécurité de son service et informe les clients lorsqu’un incident touche leurs données client. Les clients sont responsables de leur réponse aux incidents qui concernent leurs comptes, espaces de travail et données client, y compris des notifications qu’ils doivent effectuer.

Responsabilités de Notion

• Maintenir un plan de réponse aux incidents documenté et le tester périodiquement.

• Détecter, trier, examiner, contenir et résoudre les incidents de sécurité affectant les systèmes de Notion et les Données client détenues par Notion.

• Notifier les clients concernés des incidents de sécurité conformément à l’avenant relatif au traitement des données et à la législation applicable.

• Effectuer une analyse après chaque incident, notamment de ses causes profondes, et en tirer les enseignements pour les contrôles et le plan de réponse de Notion.

• Publier l’état de fonctionnement du service et communiquer sur les incidents de disponibilité.

• Gérer un programme de divulgation des vulnérabilités, puis trier et corriger les vulnérabilités signalées.

Responsabilités des utilisateurs

• Signaler rapidement à Notion, par le canal approprié, les incidents de sécurité présumés, les comptes compromis, les vulnérabilités présumées et toute utilisation abusive du service.

• Détecter les incidents survenant dans les espaces de travail et les comptes de l’utilisateur et y répondre, notamment en cas de compromission d’identifiants, de partage inapproprié ou d’utilisation abusive par des utilisateurs internes.

• Maintenir son propre dispositif de réponse aux incidents et définir qui doit intervenir en cas d’activité détectée dans Notion.

• Prendre les mesures de confinement disponibles dans le produit, notamment supprimer des accès, révoquer des sessions, réinitialiser des identifiants, révoquer des jetons d’intégration et retirer des données client publiées.

• Préserver les preuves pertinentes, notamment en exportant les enregistrements du journal d’audit avant qu’ils ne sortent de la période de conservation.

• Déterminer si un incident oblige l’utilisateur à informer une autorité de régulation, un client ou une personne concernée, puis effectuer cette notification.

• Maintenir à jour les coordonnées des contacts administratifs et de sécurité pour que les notifications de Notion parviennent aux bonnes personnes.

• Signaler les vulnérabilités suspectées à Notion plutôt que de les exploiter ou de les divulguer publiquement.

Quelle partie détecte quoi

Notion surveille sa propre infrastructure et peut détecter les incidents affectant le service. Notion ne peut pas déterminer si une action par ailleurs valide dans un espace de travail est autorisée par les règles internes de l’utilisateur. Les clients doivent surveiller l’activité de leurs espaces de travail et réagir aux utilisations abusives.

Il peut s’agir d’un membre qui publie des données client confidentielles, d’une personne quittant l’entreprise qui exporte des données ou d’identifiants utilisés abusivement par leur titulaire légitime. Pour détecter ces événements et y répondre, l’utilisateur doit examiner les relevés d’activité et les contrôles à sa disposition.

Notion maintient un programme de sécurité de l’information et de protection de la vie privée soumis à un audit indépendant, et met la documentation correspondante à disposition. Les clients déterminent si Notion répond à leurs obligations réglementaires et le configurent en conséquence.

Responsabilités de Notion

• Maintenir des programmes de sécurité et de protection de la vie privée évalués de manière indépendante, conformément aux cycles d’audit et de certification applicables.

• Mettre la documentation de conformité, notamment les rapports d’audit et les certifications, à la disposition des clients actuels et potentiels via le Notion Trust Center.

Responsabilités des utilisateurs

• Déterminer si Notion convient aux données que l’utilisateur souhaite stocker et aux obligations réglementaires qui lui incombent.

• Conclure les accords requis pour cette utilisation, notamment un avenant relatif au traitement des données ou un accord avec un partenaire commercial, le cas échéant.

• Appliquer la configuration prévue par ces accords, notamment activer les paramètres propres à la conformité et les fonctionnalités de sécurité dont ils dépendent.

• Réaliser ses propres évaluations, notamment une évaluation des risques liés aux fournisseurs et toute analyse d’impact relative à la protection des données requise par la loi.

• Examiner les certifications, les rapports d’audit et la liste des sous-traitants de Notion dans le cadre de ses propres processus de vérification et de gestion des changements.

• Démontrer aux auditeurs et aux autorités de contrôle de l’Utilisateur que sa configuration et son utilisation de Notion respectent les obligations qui lui incombent.

Ce que couvre la certification

Les certifications délivrées par des tiers indépendants et les rapports d'audit indépendants de Notion couvrent les contrôles mis en œuvre par Notion. Ils ne s'étendent pas à la manière dont une organisation configure ou utilise Notion.

Un espace de travail contenant des données réglementées n'est pas conforme du seul fait que Notion détient une certification. Lorsqu'une obligation dépend de la configuration, comme la restriction du partage, l'application de l'authentification unique, la conservation des enregistrements d'audit ou la limitation des lieux de stockage des données, il incombe toujours à l'Utilisateur de la respecter.

Notion définit les conditions dans lesquelles le service peut être utilisé et les fait respecter. Les clients sont responsables de leur propre utilisation de Notion et des Données client conservées dans leurs espaces de travail.

Responsabilités de Notion

• Publier et maintenir la Politique de contenu et d'utilisation, les Conditions pertinentes et les politiques associées.

• Fournir à toute personne consultant une page Notion publique un moyen de signaler les Données client qu’elle estime interdites.

• Enquêter sur les signalements et supprimer les Données client ou restreindre l’accès lorsqu’un manquement est constaté.

• Examiner plus attentivement les catégories d’utilisation associées à des taux d’abus plus élevés et suspendre ou interrompre l’accès, si nécessaire, pour protéger la disponibilité du Service.

Responsabilités de l'Utilisateur

• Utiliser Notion conformément aux Conditions et à la Politique de contenu et d'utilisation, et veiller à ce que les personnes utilisant Notion dans le cadre de l'abonnement de l'Utilisateur fassent de même.

• Veiller à ce que les Données client stockées dans Notion, partagées depuis Notion ou publiées via Notion respectent ces politiques et la législation applicable.

• Modérer les Données client fournies par des tiers lorsque l’Utilisateur diffuse via Notion des Données client générées par les utilisateurs.

• Utiliser Notion dans les limites de capacité prévues et ne pas tenter de contourner, de désactiver ou de perturber ses contrôles de sécurité.

• Effectuer tout test de sécurité de Notion uniquement via le programme de divulgation des vulnérabilités de Notion et dans le respect de ses conditions.

• Utiliser les canaux du service client et de signalement de bonne foi.