Modello di responsabilità condivisa

Questo modello di responsabilità condivisa aiuta Notion e i suoi Clienti a collaborare per rendere lo spazio di lavoro sicuro ed efficace.

Per le definizioni dei termini, consulta l'MSA e il DPA di Notion.

Notion è un unico spazio in cui puoi pensare, scrivere e pianificare. Puoi creare gli strumenti che ti servono per lavorare al meglio. Chi usa Notion gli affida informazioni professionali e personali e, tramite le Connessioni e le funzionalità di IA, l'accesso alle informazioni conservate in altri sistemi.

Un modello di responsabilità condivisa (SRM) definisce come si dividono le responsabilità tra chi fornisce un servizio e chi lo usa. Indica quali attività operative e di sicurezza spettano a ciascuna parte.

Questo documento descrive le responsabilità che Notion e i suoi Clienti condividono per proteggere e mantenere sicuri i sistemi di Notion, gli account degli utenti e gli spazi di lavoro.

L'SRM di Notion chiarisce quali processi, operazioni e controlli spettano a Notion e quali ai suoi Clienti. In questo modo possiamo concentrarci sugli ambiti in cui siamo nella posizione migliore per proteggere la riservatezza, l'integrità e la disponibilità dei sistemi di Notion. L'SRM indica anche dove i Clienti possono proteggere meglio i propri account, spazi di lavoro e Dati del cliente. Questo rende più sicura ed efficiente la protezione dei sistemi e degli account di Notion.

L'SRM rende inoltre più trasparente il modo in cui Notion fornisce i propri Servizi. Offre ai Clienti le informazioni necessarie per valutare Notion nell'ambito dei loro processi di gestione dei rischi e di verifica e aiuta entrambe le parti a rispettare gli obblighi previsti dalle normative locali, regionali, nazionali e internazionali applicabili.

In breve: Notion realizza, gestisce e protegge l'architettura del Servizio Notion. I Clienti sono responsabili di come configurano e usano il Servizio: devono proteggere le proprie credenziali, gestire l'accesso ai propri spazi di lavoro e ai Dati del cliente e rispettare la Policy su contenuti e utilizzo e gli altri Termini pertinenti.

Alcune responsabilità descritte in questo documento possono essere svolte solo da Clienti con permessi elevati in uno spazio di lavoro o in un'organizzazione. Chi usa il servizio deve assegnare questi permessi in modo appropriato.

Gli strumenti disponibili per adempiere a una responsabilità variano in base al piano. Se una funzionalità è disponibile solo in alcuni piani di abbonamento, i Clienti che non ne dispongono restano responsabili dell'obiettivo previsto e devono valutare misure di controllo alternative.

Notion fornisce i metodi di autenticazione e i controlli amministrativi che regolano come le persone accedono a Notion e come viene concesso o revocato l’accesso allo spazio di lavoro. I clienti scelgono e configurano i controlli adatti alla propria organizzazione e proteggono le credenziali usate per accedere ai propri account.

Responsabilità di Notion

• Fornire e gestire metodi di autenticazione, inclusi email e password, accesso tramite Google e Apple e single sign-on SAML 2.0 per gli spazi di lavoro nei piani Business ed Enterprise.

• Fornire l’autenticazione a due fattori per gli account a cui si accede con una password, tramite un’app che funge da metodo di autenticazione o un codice ricevuto via SMS.

• Fornire API SCIM che consentano alle organizzazioni Enterprise di automatizzare la creazione, l’aggiornamento e la rimozione degli Utenti tramite il proprio provider di identità.

• Fornire controlli amministrativi che regolino la durata della sessione, il logout forzato, la reimpostazione della password, la sospensione dell'account e la verifica del dominio.

• Richiedere la verifica della proprietà del dominio prima di consentire di usarlo per controllare come i suoi utenti accedono a Notion.

• Revocare l'accesso di un utente ai Dati del Cliente quando tale utente viene rimosso dallo spazio di lavoro. Fornire controlli che consentano a un'organizzazione di terminare le sessioni e reimpostare le credenziali per tutti i suoi utenti gestiti.

• Mantenere controlli di accesso basati sul principio del privilegio minimo in tutta l'infrastruttura di Notion e richiedere che i dipendenti e i collaboratori di Notion siano vincolati da obblighi di riservatezza.

• Accedere ai Dati del Cliente per scopi di assistenza solo con il consenso di un utente o del proprietario dello spazio di lavoro e far scadere automaticamente il consenso dopo un periodo definito.

Responsabilità dell'utente

• Proteggere le credenziali di login, utilizzare password complesse e univoche ed evitare il riutilizzo su altri servizi.

• Mantenere account individuali anziché account condivisi e non condividere le informazioni di login.

• Utilizzare l'autenticazione a due fattori sugli account che accedono con una password.

• Aggiornare le credenziali secondo le policy interne e farlo tempestivamente se viene rilevata una compromissione delle credenziali presso un servizio esterno.

• Selezionare e configurare i metodi di autenticazione appropriati per l'organizzazione, compresa l'eventuale imposizione del single sign-on.

• Garantire che l’accesso allo spazio di lavoro sia limitato agli Utenti autorizzati e venga revocato tempestivamente quando una persona lascia l’organizzazione o cambia ruolo. La rimozione automatica degli accessi richiede SCIM; se non è in uso, occorre rimuoverli manualmente.

• Impostare la durata della sessione secondo la policy interna e prevedere una procedura di ripristino in caso di perdita dell’accesso al provider di identità.

• Controllare se l'assistenza di Notion può accedere a un account o a uno spazio di lavoro e revocare tale accesso quando non è più necessario.

Notion fornisce il modello di autorizzazioni che determina ciò che un utente autenticato può vedere e fare, insieme ai controlli amministrativi che definiscono i limiti per la condivisione. I clienti sono responsabili di decidere come tale modello viene applicato ai propri Dati del Cliente e di verificare l'accesso che ne deriva.

Responsabilità di Notion

• Fornire un modello di permessi per spazi di lavoro, teamspace, pagine e database, inclusi i gruppi di permessi, e applicarlo in modo coerente in tutto il prodotto.

• Fornire un accesso distinto per membri e ospiti, in modo che ai collaboratori esterni possa essere concesso l'accesso a specifici Dati del Cliente anziché a un intero spazio di lavoro.

• Fornire controlli amministrativi che consentano a un'organizzazione di limitare la condivisione pubblica delle pagine, l'accesso degli ospiti, la possibilità di esportare e lo spostamento o la duplicazione di pagine in altri spazi di lavoro.

• Fornire controlli che regolino chi può pubblicare Dati del Cliente sul web, inclusi Notion Sites, moduli e link pubblici.

• Fornire strumenti di visibilità che consentano a un'organizzazione di identificare chi ha accesso a una pagina, quali pagine sono condivise esternamente o pubblicate sul web, e di modificare tali permessi.

• Rispettare i permessi configurati per lo spazio di lavoro quando si forniscono funzionalità di IA e ricerca.

Responsabilità dell'utente

• Determinare il livello di accesso appropriato per i Dati del Cliente e applicare i permessi di conseguenza.

• Decidere se la collaborazione esterna e la pubblicazione sul web siano consentite e configurare i controlli disponibili per riflettere tale decisione.

• Comprendere come viene ereditato l’accesso. Per impostazione predefinita, chi ha accesso a una pagina può accedere anche alle pagine nidificate al suo interno. Se l’accesso è concesso in più modi, si applica il livello di permesso più alto.

• Verificare periodicamente chi ha accesso allo spazio di lavoro, inclusi membri, ospiti e gruppi di permessi, e controllare i Dati del Cliente condivisi all’esterno o pubblicati sul web.

• Revocare l’accesso ai Dati del Cliente quando termina la collaborazione, anche per ospiti e collaboratori esterni il cui accesso non è gestito tramite il provider di identità dell’organizzazione.

• Assicurarsi che i Dati del Cliente pubblicati sul web siano destinati al pubblico e configurare di conseguenza opzioni come l’indicizzazione sui motori di ricerca.

• Trasferire i Dati del Cliente conservati in privato da un utente prima che lasci l’organizzazione o entro il breve periodo in cui il trasferimento resta possibile. Trascorso questo periodo, i Dati del Cliente privati in genere non sono recuperabili e gli strumenti per trasferirli sono disponibili solo nel piano Enterprise.

Notion archivia ed elabora i Dati del Cliente per conto dei clienti e li protegge sia durante il trasferimento sia quando sono archiviati. I clienti decidono quali dati inserire in Notion, per quanto tempo conservarli e quali obblighi di legge si applicano.

Responsabilità di Notion

• Elaborare i Dati del cliente in conformità con il Contratto quadro di abbonamento, l'Addendum sul trattamento dei dati e la legge applicabile sulla protezione dei dati.

• Crittografare i Dati del cliente archiviati con AES-256 o un algoritmo standard del settore che offra una sicurezza equivalente o superiore, anche nell'archiviazione cloud, nelle tabelle del database e nei backup. Crittografare i dati in transito con TLS 1.2 o versioni successive.

• Mantenere e pubblicare un elenco aggiornato dei subprocessori.

• Offrire la residenza dei dati per categorie definite di Dati del cliente, consentendo alle organizzazioni idonee di selezionare la regione in cui tali dati vengono archiviati.

• Astenersi dall'utilizzare i Dati del cliente per allenare i modelli di apprendimento automatico di Notion e vietare contrattualmente ai subprocessori di IA di farlo senza l'esplicito consenso del cliente.

• Fornire funzionalità che consentano ai Clienti di esportare, conservare ed eliminare i propri Dati del cliente, ed eliminare i Dati del cliente al termine del contratto in conformità con l'accordo.

• Stipulare un Addendum sul trattamento dei dati e, ove applicabile, un Business Associate Agreement con i clienti che ne richiedono uno.

Responsabilità dell'utente

• Determinare quali dati è opportuno archiviare in Notion e assicurarsi che i dati regolamentati siano archiviati solo se sono presenti gli accordi e la configurazione necessari.

• Stabilire e applicare pratiche di conservazione ed eliminare i Dati del cliente che non sono più necessari.

• Configurare le impostazioni di conservazione ed eliminazione disponibili nel prodotto in base alle regole interne.

• Fornire Dati dell'account completi e accurati e correggere tempestivamente eventuali errori.

• Adempiere agli obblighi del titolare del trattamento dei dati personali conservati in uno spazio di lavoro: fornire le informative sulla privacy alle persone interessate, stabilire una base giuridica per il trattamento e rispondere alle richieste degli interessati relative ai Dati del cliente.

• Stabilire se è necessaria una specifica regione di residenza dei dati, richiederla se necessario e individuare quali categorie di dati e prodotti Notion non rientrano in tale ambito.

• Consultare l'elenco dei subprocessori di Notion.

Notion gestisce l'infrastruttura che mantiene disponibile il Servizio e ne conserva i backup per ripristinarlo. I Clienti sono responsabili del ripristino dei propri Dati del cliente con gli strumenti forniti da Notion e della conservazione di una copia indipendente quando i loro obblighi lo richiedono.

Responsabilità di Notion

• Gestire il Servizio Notion in conformità con gli impegni di disponibilità stabiliti nei Termini del livello di servizio, utilizzando un'infrastruttura ridondante in più zone di disponibilità.

• Pubblicare lo stato operativo del Servizio.

• Mantenere backup automatizzati, crittografati e monitorati dei Dati del cliente.

• Archiviare i backup in base alla mappatura delle regioni di backup pubblicata di Notion per la regione di residenza dei dati selezionata. La residenza dei dati si applica solo alle categorie definite di Dati del cliente.

• Mantenere e testare periodicamente i piani di ripristino di emergenza e di continuità operativa.

• Fornire strumenti di ripristino nel prodotto, inclusi il Cestino e la cronologia delle versioni, che consentano ai Clienti di ripristinare autonomamente i Dati del cliente.

• Fornire funzionalità di esportazione che consentano ai Clienti di ottenere una copia dei propri Dati del cliente.

Responsabilità dell'utente

• Recuperare singole pagine e Dati del cliente tramite il Cestino e la cronologia delle versioni, entro i periodi di conservazione previsti dal piano dell'Utente.

• Configurare le impostazioni di conservazione dei Dati del cliente, se disponibili, in base alle regole interne.

• Conservare una copia indipendente dei Dati del cliente se le regole interne, gli impegni contrattuali o la normativa richiedono di conservarli più a lungo di quanto consenta il prodotto, oppure di mantenerne una copia fuori da Notion.

• Esportare i Dati del cliente con una frequenza adeguata a tali requisiti e verificare che le esportazioni siano complete. I Dati del cliente a cui l'account che esegue l'esportazione non ha accesso non vengono inclusi nell'esportazione.

• Recuperare le esportazioni prima che scada il link per scaricarle.

• Prevedere la possibilità che il Servizio non sia disponibile nei propri piani di continuità operativa.

A cosa servono i backup di Notion e a cosa no

I backup di Notion servono a ripristinare il Servizio Notion. Non sono punti di ripristino a disposizione dei Clienti e non consentono di riportare uno spazio di lavoro allo stato in cui si trovava in un momento specifico. I Clienti possono recuperare i singoli Dati del cliente tramite il Cestino e la cronologia delle versioni. Una volta trascorsi i periodi previsti per la permanenza nel Cestino e la conservazione dei dati, i Dati del cliente vengono eliminati definitivamente e non possono essere ripristinati. I Clienti non dovrebbero fare affidamento sull'assistenza per conservare i dati.

Un'esportazione crea una copia trasferibile dei Dati del cliente in formati come HTML, markdown, CSV o PDF, a seconda del tipo di esportazione e del piano. Non è un backup completo dello spazio di lavoro: importare i Dati del cliente esportati non ricrea i permessi, le impostazioni o la configurazione originale completa dello spazio di lavoro e può richiedere una riorganizzazione manuale.

Notion registra le attività rilevanti in uno spazio di lavoro e mette i registri a disposizione dell'organizzazione. I Clienti sono responsabili di consultarli, conservarli quando necessario e intervenire in base a quanto riportano.

Responsabilità di Notion

• Registrare gli eventi relativi alla sicurezza negli spazi di lavoro di un'organizzazione, indicando chi ha compiuto l'azione, quale azione è stata compiuta, l'ora e, se disponibile, l'indirizzo IP.

• Conservare la cronologia del registro di controllo nel prodotto per un periodo definito e fornire ai Clienti strumenti per esportare o trasmettere gli eventi in streaming, così da conservarli più a lungo.

• Consentire la trasmissione degli eventi in tempo reale alla piattaforma di monitoraggio della sicurezza dell'Utente ed essere compatibile con le connessioni agli strumenti di prevenzione della perdita di dati.

• Monitorare l'infrastruttura, le reti e i sistemi di Notion per rilevare attività dannose e mantenere un registro interno per tali sistemi.

Responsabilità dell'utente

• Consultare le attività nel registro di controllo, esaminare quelle impreviste o non autorizzate e intervenire.

• Conservare i dati di registro per il periodo previsto dalle regole interne del Cliente o dalla normativa, esportando o trasmettendo gli eventi prima della scadenza del periodo di conservazione.

• Configurare il monitoraggio, gli avvisi e le connessioni per la sicurezza o la conformità nel proprio ambiente e assicurarsi che queste integrazioni continuino a funzionare.

• Definire quali attività sono sospette nel contesto dell'organizzazione e assegnare la responsabilità di esaminarle.

• Segnalare a Notion le attività sospette che potrebbero indicare una compromissione del Servizio.

Cosa copre e cosa non copre il registro di controllo

Il registro di controllo registra gli eventi. Le voci del registro e i dati trasmessi descrivono le azioni compiute e chi le ha eseguite; non contengono i Dati del cliente presenti nelle pagine.

Il registro di controllo inizia a registrare gli eventi quando l'organizzazione diventa idonea a usare la funzionalità. Le attività precedenti non sono disponibili retroattivamente.

Notion sviluppa, gestisce e mantiene il Servizio Notion e l'infrastruttura su cui opera, proteggendola e applicandovi le patch. I Clienti sono responsabili degli ambienti da cui accedono a Notion.

Responsabilità di Notion

• Sviluppare, testare, applicare patch e mantenere l'applicazione Notion e l'infrastruttura che la supporta. Gli aggiornamenti al Servizio vengono applicati da Notion e non richiedono alcuna azione da parte dei Clienti.

• Eseguire la modellazione delle minacce e verifiche della sicurezza della progettazione per le nuove versioni, oltre ad audit, revisioni e scansioni di sicurezza del codice.

• Commissionare test di penetrazione indipendenti annuali.

• Implementare e gestire la sicurezza di rete nei sistemi di Notion.

• Monitorare l'infrastruttura, le reti e le risorse di Notion per rilevare attività dannose.

• Gestire un programma pubblico di segnalazione delle vulnerabilità e commissionare test di penetrazione indipendenti.

• Proteggere i sistemi aziendali e i dispositivi dei dipendenti di Notion, anche mediante crittografia dei dati archiviati, rilevamento e risposta sugli endpoint e gestione centralizzata dei dispositivi.

• Pubblicare le applicazioni client di Notion e distribuire i relativi aggiornamenti.

Responsabilità dell'utente

• Mantenimento di ambienti endpoint compatibili e adeguatamente aggiornati con le patch, inclusi i browser web, e gestione di eventuali controlli che potrebbero impedire gli aggiornamenti del client Notion.

• Protezione dei dispositivi e delle reti utilizzati per accedere a Notion, in linea con gli standard di sicurezza degli endpoint dell'Utente.

• Laddove gli aggiornamenti del client Notion siano gestiti centralmente, assicurarsi che continuino a essere applicati tempestivamente. Rinviare o disattivare gli aggiornamenti automatici trasferisce all'Utente la responsabilità di applicare tempestivamente le patch al client.

• Assicurarsi che le configurazioni di installazione non impediscano agli Utenti di ricevere gli aggiornamenti.

• Segnalare a Notion le sospette vulnerabilità del Servizio Notion anziché sfruttarle o divulgarle pubblicamente.

Come si dividono le responsabilità

Notion applica le patch al Servizio Notion. I clienti non applicano patch a Notion e non è richiesta alcuna azione da parte del cliente per gli aggiornamenti lato server.

Le applicazioni client sono diverse. Notion pubblica gli aggiornamenti, ma la loro ricezione dipende dalla configurazione e dalla gestione del dispositivo. Se un'organizzazione gestisce l'installazione o gli aggiornamenti, è sua responsabilità mantenere aggiornati i client.

Notion fornisce un'API, una piattaforma di integrazione e funzionalità di IA che possono operare sui Dati del Cliente e accedere ai sistemi connessi. I clienti decidono quali abilitare, quale accesso concedere e come gestirle.

Responsabilità di Notion

• Fornire e mantenere l'API di Notion, la piattaforma di integrazione, le connessioni e le funzionalità di IA.

• Rispettare i permessi degli utenti in Notion AI, nell'agente di Notion e nelle connessioni AI. Gli agenti personalizzati utilizzano permessi propri, concessi esplicitamente, che possono differire da quelli della persona che interagisce con l'agente.

• Fornire controlli amministrativi che regolano quali integrazioni e strumenti di IA esterni possono essere installati, quali agenti possono essere creati e se le funzionalità di IA sono abilitate.

• Fornire controlli per abilitare o disattivare la ricerca web tramite IA e richiedere una conferma prima di effettuare richieste web esterne.

• Mantenere misure di difesa per rilevare e ridurre il rischio di iniezione di prompt, tra cui il rilevamento di istruzioni nascoste nei contenuti di terze parti e nei file caricati, restrizioni sulla gestione dei link e controlli aggiuntivi quando gli agenti agiscono autonomamente.

• Astenersi dall'utilizzare i Dati del Cliente per allenare i modelli di Notion e vietare contrattualmente ai subprocessori di IA di farlo senza l'esplicito consenso del cliente.

• Registrare l'attività di integrazione, connessione, agente e strumento IA esterno nel registro di controllo.

Responsabilità dell'utente

• Decidere quali integrazioni, connessioni, funzionalità IA e agenti siano appropriati per l'organizzazione e configurare i controlli disponibili per riflettere tale decisione.

• Esaminare l'accesso e le funzionalità richieste da un'integrazione o connessione prima di autorizzarla e confermare che il servizio di terze parti soddisfi i requisiti dell'Utente per i propri fornitori.

• Gestire i token di integrazione interni, inclusa la limitazione della loro distribuzione, la loro rotazione e la revoca di quelli non più necessari.

• Gestire la creazione e la configurazione degli agenti, definire a quali Dati del Cliente e strumenti connessi può accedere ogni agente e verificare periodicamente tale accesso.

• I Clienti devono assicurarsi che l'ambito dei permessi degli agenti sia definito in modo appropriato.

• Determinare se i modelli che conservano i dati possono essere abilitati per le funzionalità che li richiedono.

• Assicurarsi che i Dati del Cliente resi disponibili a Notion tramite sistemi connessi siano appropriati per tale scopo e che l'accesso concesso nel sistema connesso sia a sua volta correttamente limitato.

• Informare gli Utenti che i Dati del Cliente provenienti dall'esterno dello spazio di lavoro, come pagine web e file caricati, potrebbero contenere istruzioni volte a influenzare il comportamento dell'IA.

Cosa i Clienti dovrebbero sapere sui dati connessi

L'accesso tramite una connessione dipende dai permessi concessi nel sistema connesso: non può essere più limitato di quanto prevedano tali permessi. Notion applica i permessi comunicati dal sistema connesso, ma non corregge quelli troppo ampi nel sistema di origine.

Le modifiche ai permessi nei sistemi connessi si applicano in Notion dopo un intervallo di sincronizzazione, non immediatamente. I Dati del Cliente aggiunti o eliminati di recente possono impiegare del tempo a comparire o a non essere più disponibili.

Notion è responsabile della sicurezza del servizio Notion e deve informare i clienti degli incidenti che riguardano i loro Dati del Cliente. I clienti sono responsabili della risposta agli incidenti che coinvolgono i propri account, spazi di lavoro e Dati del Cliente, comprese le notifiche che sono tenuti a inviare.

Responsabilità di Notion

• Mantenere un piano di risposta agli incidenti documentato e testarlo periodicamente.

• Rilevare, classificare, indagare, contenere e porre rimedio agli incidenti di sicurezza che interessano i sistemi di Notion e i Dati del Cliente detenuti da Notion.

• Notificare i clienti interessati in merito agli incidenti di sicurezza in conformità con l'Addendum sul trattamento dei dati e la legge applicabile.

• Condurre una revisione post-incidente, inclusa l'analisi delle cause principali, e applicare i risultati ai controlli e al piano di risposta di Notion.

• Pubblicare lo stato operativo del servizio e comunicare gli incidenti di disponibilità.

• Gestire un programma di segnalazione delle vulnerabilità e valutare e correggere quelle segnalate.

Responsabilità dell'utente

• Segnalare tempestivamente a Notion, tramite il canale appropriato, sospetti incidenti di sicurezza, account compromessi, sospette vulnerabilità e uso improprio del servizio.

• Rilevare e rispondere agli incidenti che si verificano all'interno degli spazi di lavoro e degli account dell'Utente, incluse credenziali compromesse, condivisione inappropriata e uso improprio da parte di Utenti interni.

• Mantenere le proprie procedure di risposta agli incidenti e definire chi è responsabile di intervenire sulle attività identificate in Notion.

• Adottare le misure di contenimento disponibili nel prodotto, tra cui revocare l'accesso e le sessioni, reimpostare le credenziali, revocare i token di integrazione e rimuovere i Dati del Cliente pubblicati.

• Preservare le prove pertinenti, anche esportando i record del registro di controllo prima che scada il periodo di conservazione.

• Determinare se un incidente comporta per l'Utente l'obbligo di informare un'autorità di regolamentazione, un cliente o una persona interessata e, in tal caso, inviare la notifica.

• Mantenere aggiornati i dettagli di contatto amministrativi e di sicurezza, affinché le notifiche di Notion raggiungano le persone giuste.

• Segnalare le vulnerabilità sospette a Notion invece di sfruttarle o divulgarle pubblicamente.

Quale parte rileva cosa

Notion monitora la propria infrastruttura e può rilevare gli incidenti che interessano il Servizio. Non può però stabilire se un'azione valida nello spazio di lavoro sia autorizzata dalle politiche interne dell'Utente. I Clienti devono monitorare le attività nello spazio di lavoro e intervenire in caso di uso improprio.

Tra questi incidenti rientrano la pubblicazione di Dati del Cliente riservati da parte di un membro, l'esportazione di dati da parte di una persona che sta lasciando l'azienda e l'uso improprio di credenziali da parte di chi ne è titolare. Per rilevare questi eventi e intervenire, l'Utente deve esaminare i registri delle attività e usare i controlli a sua disposizione.

Notion gestisce un programma per la sicurezza delle informazioni e la privacy sottoposto a verifiche indipendenti e mette a disposizione la relativa documentazione. I Clienti valutano se Notion soddisfa i propri obblighi normativi e lo configurano di conseguenza.

Responsabilità di Notion

• Mantenere programmi di sicurezza e privacy valutati in modo indipendente in conformità con i cicli di audit e certificazione applicabili.

• Rendere la documentazione di conformità, inclusi i report di audit e le certificazioni, disponibile ai clienti e ai potenziali clienti tramite il Notion Trust Center.

Responsabilità dell'utente

• Determinare se Notion è adatto ai dati che l'Utente intende archiviare e agli obblighi normativi che deve rispettare.

• Stipulare gli accordi necessari per tale utilizzo, tra cui, ove applicabile, un addendum sul trattamento dei dati o un Business Associate Agreement.

• Applicare la configurazione prevista dagli accordi, attivando le eventuali impostazioni specifiche per la conformità e le funzionalità di sicurezza necessarie al loro funzionamento.

• Svolgere le proprie valutazioni, tra cui la valutazione dei rischi legati al fornitore e ogni valutazione d'impatto sulla protezione dei dati obbligatoria per legge.

• Esaminare le certificazioni, i report di audit e l'elenco dei subprocessori di Notion nell'ambito dei processi di verifica e gestione delle modifiche dell'Utente.

• Dimostrare ai propri revisori e alle autorità di regolamentazione che la configurazione e l'utilizzo di Notion rispettano gli obblighi applicabili all'Utente.

Cosa copre la certificazione

Le certificazioni rilasciate da terze parti indipendenti e i report di audit di Notion riguardano i controlli gestiti da Notion, non il modo in cui una singola organizzazione configura o utilizza il prodotto.

Uno spazio di lavoro che contiene dati soggetti a norme specifiche non è automaticamente conforme solo perché Notion dispone di una certificazione. Se un obbligo dipende dalla configurazione, per esempio dalla limitazione della condivisione, dall'imposizione del single sign-on, dalla conservazione dei registri di audit o dalla scelta di dove archiviare i dati, rispettarlo resta responsabilità dell'Utente.

Notion stabilisce e applica le condizioni d'uso del Servizio. I Clienti sono responsabili di come usano Notion e dei Dati del Cliente conservati nei loro spazi di lavoro.

Responsabilità di Notion

• Pubblicare e mantenere la Content & Use policy, i Termini pertinenti e le relative policy.

• Consentire a chi visualizza una pagina pubblica di Notion di inviare un report sui Dati del Cliente che ritiene vietati.

• Esaminare le segnalazioni e, se viene accertata una violazione, rimuovere i Dati del Cliente o limitare l'accesso.

• Esaminare con maggiore attenzione le categorie di utilizzo più esposte agli abusi e, se necessario per garantire la disponibilità del Servizio, sospendere o interrompere l'accesso.

Responsabilità dell'utente

• Utilizzare Notion in conformità con i Termini e la Content & Use Policy, e garantire che le persone che utilizzano Notion nell'ambito dell'abbonamento dell'Utente facciano lo stesso.

• Garantire che i Dati del Cliente archiviati su Notion, condivisi da Notion o pubblicati tramite Notion rispettino tali policy e le leggi applicabili.

• Moderare i Dati del Cliente forniti da altre persone quando l'Utente distribuisce tramite Notion Dati del Cliente generati da chi lo utilizza.

• Utilizzare Notion entro i limiti previsti, senza tentare di aggirare, disattivare o compromettere i suoi controlli di sicurezza.

• Condurre qualsiasi test di sicurezza di Notion solo tramite il programma di divulgazione delle vulnerabilità di Notion e secondo i suoi termini.

• Utilizzare i canali di assistenza e segnalazione in buona fede.