共同责任模型

此共同责任模型确保 Notion 及其客户携手合作，创造安全有效的工作空间体验。

有关定义术语，请参阅 Notion 的 MSA 和 DPA。

Notion 是一个供你思考、写作和规划的单一空间。作为一个允许用户构建自己的工具以实现最佳工作表现的一体化空间，用户将专业和个人信息托付给 Notion，并通过 连接 和 AI 功能，授予其访问其他系统中存储的信息的权限。

共同责任模型 (SRM) 是一个概述服务提供商与其用户之间责任划分的框架。它明确定义了每一方负责的安全和运营任务。

本文档概述了 Notion 与其客户在保护 Notion 系统、用户帐号和工作空间并维护其安全方面共同承担的责任。

Notion SRM 明确了 Notion 及其客户各自负责哪些具体流程、操作或控制措施。这使 Notion 能够专注于我们最有能力保护 Notion 系统机密性、完整性和可用性的领域，并承担相应责任，同时明确客户在哪些方面更适合保护自己的帐号、工作空间和客户数据。总体而言，这提高了保护 Notion 系统和帐号的安全性与效率。

SRM 还提高了 Notion 服务交付方式的透明度，为客户提供了在自身风险和保障流程中评估 Notion 所需的信息，并支持 Notion 及其客户履行其在适用的地方、区域、国家和国际法规下的各自义务。

简而言之：Notion 负责构建、运营和保护 Notion 服务的架构。客户负责配置和使用该服务，包括保护自己的登录凭据、管理其工作空间和客户数据的访问权限，以及遵守 内容与使用政策 和其他相关 条款。

本文档中描述的部分职责只能由在工作空间或组织中拥有较高权限的客户履行。用户有责任妥善分配这些权限。

用于履行特定责任的工具因方案而异。如果某项功能仅限于特定订阅方案，所订阅方案不具备该功能的客户仍需对相关结果负责，并应考虑采用替代控制措施。

Notion 提供验证方法和管理控制措施，用于管理人员如何登录 Notion 以及如何授予和移除工作空间访问权限。客户负责选择和配置适合其组织的控制措施，并负责保护用于访问其帐号的凭据。

Notion 责任

• 提供并运营验证方法，包括电子邮件和密码、Google 和 Apple 登录，以及面向商业版和企业版工作空间的 SAML 2.0 单点登录。

• 为使用密码登录的帐号提供双重验证，可使用身份验证器应用或短信验证码。

• 提供 SCIM API，使企业能够通过身份提供商自动创建、更新和移除 Notion 用户。

• 提供管理控制措施，用于管理会话持续时间、强制退出登录、密码重置、帐号停用和域名验证。

• 只有验证域名所有权后，才能使用该域名控制其用户登录 Notion 的方式。

• 当用户从工作空间中移除时，撤销该用户对客户数据的访问权限。提供控制措施，使组织能够终止会话并重置其受管理用户的登录凭据。

• 在 Notion 自身的整个基础设施中维护最小权限访问控制，并要求 Notion 员工和承包商遵守保密义务。

• 仅在用户或工作空间所有者同意的情况下，出于支持目的访问客户数据，并在规定期限后自动终止该授权。

用户责任

• 保护登录凭据，使用高强度且不重复的密码，并避免在其他服务中重复使用。

• 使用个人帐号而非共享帐号，且不共享登录信息。

• 为使用密码登录的帐号启用双重验证。

• 根据内部政策更新凭据，并在发现外部凭据泄露时及时更新。

• 选择并配置适合组织的身份验证方法，包括是否强制执行单点登录。

• 确保只有指定用户才能访问工作空间，并在人员离职或变更角色时及时撤销其访问权限。自动撤销访问权限需要使用 SCIM；未使用 SCIM 时，则需手动撤销。

• 根据内部政策设置会话持续时间，并制定无法访问身份提供商时的恢复流程。

• 控制 Notion 支持人员是否可以访问帐号或工作空间，并在不再需要时撤销该访问权限。

Notion 提供权限模型，用于确定经过身份验证的用户可以查看哪些内容及执行哪些操作，同时提供设定共享边界的管理控制措施。客户负责决定如何将该模型应用于其客户数据，并检查由此产生的访问权限。

Notion 责任

• 提供适用于工作空间、团队协作区、页面和数据库级别的权限模型（包括权限群组），并在整个产品中一致地执行该模型。

• 为成员和访客提供不同的访问权限，以便外部协作者可以被授予对特定客户数据的访问权限，而不是整个工作空间的访问权限。

• 提供管理控制措施，让组织能够限制公开分享页面、访客访问、导出，以及将页面移动或复制到其他工作空间。

• 提供管理控制，规定谁可以通过 Notion 网站、表单和公开链接等方式将客户数据发布到网上。

• 提供访问情况查看工具，使组织能够确定谁有权访问页面、哪些页面已共享给外部人员或发布到网上，并更改相关权限。

• 在提供 AI 和搜索功能时，遵循已配置的工作空间权限。

用户责任

• 确定客户数据的适当访问级别，并相应地应用权限。

• 决定是否允许外部协作和公开发布，并据此配置相应的管理控制措施。

• 了解访问权限如何继承。页面的访问权限默认延伸至其中嵌套的页面；如果通过多种途径获得访问权限，则以获得的最高权限为准。

• 定期审查访问权限，包括工作空间成员、访客、权限群组、对外共享的客户数据以及发布到网上的客户数据。

• 协作结束后，撤销协作者对客户数据的访问权限。这也包括访问权限未通过组织的身份提供商管理的访客和外部协作者。

• 确保发布到网络的客户数据是面向公众的，并相应地配置搜索引擎索引等选项。

• 在用户离职前，或在离职后仍可转移数据的有限期限内，转移该用户私人保存的客户数据。超过该期限后，这些数据通常无法恢复；转移工具仅在企业版提供。

Notion 代表客户存储和处理客户数据，并保护数据在传输和静态存储过程中的安全。客户决定将哪些数据放入 Notion、保留多久，以及这些数据涉及哪些法律义务。

Notion 责任

• 根据主订阅协议、数据处理附录和适用的数据保护法处理客户数据。

• 使用 AES-256 或安全性相当或更高的行业标准算法，对云存储、数据库表和备份中的客户数据进行静态加密，并使用 TLS 1.2 或更高版本加密传输中的数据。

• 维护并发布最新的第三方服务商列表。

• 为特定类别的客户数据提供数据驻留功能，让符合条件的组织选择这些数据静态存储的区域。

• 不使用客户数据来训练 Notion 的机器学习模型，并在合同中禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 提供允许客户导出、保留和删除其客户数据的功能，并根据协议在合同终止时删除客户数据。

• 与有需要的客户签订《数据处理附录》，并在适用时签订《业务伙伴协议》。

用户责任

• 确定哪些数据适合存储在 Notion 中，并确保仅在签署必要协议并完成相应配置后，才存储受监管的数据。

• 制定并实施数据保留措施，并删除不再需要的客户数据。

• 配置产品中可用的保留和删除设置，以反映内部政策。

• 提交完整且准确的帐号数据，并在发现错误时及时更正。

• 履行作为工作空间中所持个人数据控制者的义务，包括向个人提供隐私信息、建立处理的合法依据，以及响应与客户数据相关的数据主体请求。

• 确定是否需要特定的数据驻留区域，在需要时提出请求，并了解哪些数据类别和哪些 Notion 产品不在该范围内。

• 查看 Notion 的第三方服务商列表。

Notion 运营保障服务可用的基础设施，并为这些基础设施保留备份，以便恢复服务。客户负责使用 Notion 提供的工具恢复自己的客户数据，并在自身义务要求时保留一份独立的客户数据副本。

Notion 责任

• 按照服务级别条款中规定的可用性承诺运营 Notion 服务，并在多个可用区使用冗余基础设施。

• 发布服务的运行状态。

• 维护客户数据的自动化、加密和受监控的备份。

• 根据 Notion 针对所选数据驻留区域发布的备份区域映射存储备份。数据驻留仅适用于定义的客户数据类别。

• 维护并定期测试灾难恢复和业务连续性计划。

• 提供产品内恢复工具（包括垃圾箱和版本历史），允许客户自行恢复客户数据。

• 提供导出功能，允许客户获取其客户数据的副本。

用户责任

• 在用户方案适用的保留期内，使用垃圾箱和版本历史恢复单个页面和客户数据。

• 在可用的情况下，配置客户数据保留设置，以符合内部政策。

• 如果内部政策、合同承诺或法规要求保留客户数据的时间超过产品支持的期限，或要求在 Notion 之外保留副本，用户需自行保留一份独立的客户数据副本。

• 按照符合这些要求的日程生成导出文件，并验证导出文件是否完整。执行导出的帐号无法访问的客户数据不会包含在导出文件中。

• 在下载链接保持有效的期限内检索导出文件。

• 将服务不可用的可能性纳入用户自身业务连续性安排的规划中。

Notion 备份的用途与局限

Notion 备份用于恢复 Notion 服务。它们不是供客户使用的还原点，也不能用于将工作空间恢复到选定时间点的状态。客户可通过垃圾箱和版本历史恢复单项客户数据。一旦客户数据超过适用的垃圾箱存放期限和数据保留期限，就会被清除，无法恢复。客户不应依赖支持服务来保留数据。

导出功能会根据导出类型和方案，生成 HTML、markdown、CSV 或 PDF 等格式的可移植客户数据副本。它不是完整的工作空间备份：导入已导出的客户数据不会重建工作空间原有的权限、设置或完整配置，并且可能需要手动重新整理。

Notion 会生成工作空间内相关活动的记录，并将其提供给组织。客户负责审查这些记录，在需要时予以保留，并根据记录显示的内容采取行动。

Notion 责任

• 记录组织各工作空间内发生的安全与防护相关事件，包括操作者、操作内容、时间，以及可获取的 IP 地址。

• 在产品内保留一定期限的审计日志历史记录，并提供导出和流式传输机制，以便客户可以更长时间地保留这些记录。

• 提供一种实时将事件流式传输到用户自己的安全监控平台的方法，并支持与数据丢失防护工具的连接。

• 监控 Notion 自身的基础设施、网络和系统是否存在恶意活动，并维护这些系统的内部日志。

用户责任

• 查看审计日志中的活动，并调查和处理看似异常或未经授权的活动。

• 根据客户自身的内部政策或法规要求，在日志数据超出保留期限前，通过导出或流式传输事件来保留日志数据。

• 在用户自己的环境中配置监控、警报以及任何安全或合规性连接，并确保这些集成保持正常运行。

• 定义在组织背景下何为可疑活动，并指定负责审查这些活动的人员。

• 向 Notion 报告可能表明服务受到损害的可疑活动。

审计日志涵盖与不涵盖的内容

审计日志记录事件。日志条目和流式传输的内容会说明执行了什么操作、由谁执行，但不包含页面中的客户数据。

组织符合使用该功能的条件后，审计日志才会开始记录。此前发生的活动无法追溯获取。

Notion 开发、运营并维护 Notion 服务及其运行的基础设施，包括为基础设施提供安全防护和安装补丁。客户负责保障其访问 Notion 时所用环境的安全。

Notion 责任

• 开发、测试、修补并维护 Notion 应用程序及支持它的基础设施。服务更新由 Notion 实施，无需客户采取任何操作。

• 针对新版本进行威胁建模和安全设计审查，并执行代码审计、代码审查以及代码库的安全扫描。

• 委托进行年度独立渗透测试。

• 在 Notion 的系统中实施并管理网络安全。

• 监控 Notion 的基础设施、网络和资产是否存在恶意活动。

• 运营公开的漏洞披露计划，并委托进行独立渗透测试。

• 保护 Notion 自身的企业系统和员工设备，包括静态加密、端点检测与响应以及集中式设备管理。

• 发布 Notion 客户端应用程序并为其提供更新。

用户责任

• 维护受支持且已适当安装补丁的端点环境（包括网页浏览器），并管理任何可能阻止 Notion 客户端更新的控制措施。

• 保护用于访问 Notion 的设备和网络，并符合用户自身的端点安全标准。

• 如果 Notion 客户端更新是集中管理的，请确保及时应用更新。推迟或禁用自动更新会将客户端及时修补的责任转移给用户。

• 确保安装配置不会阻止用户接收更新。

• 向 Notion 报告 Notion 服务中疑似存在的漏洞，而不是利用或公开披露这些漏洞。

职责边界在哪里

Notion 会修补 Notion 服务。客户无需对 Notion 应用补丁，服务器端更新也无需客户采取任何操作。

客户端应用程序则不同。Notion 会发布更新，但特定设备是否接收更新取决于该设备的配置和管理方式。如果组织管理安装或更新行为，则保持客户端为最新版本是该组织的责任。

Notion 提供 API、集成平台和 AI 功能，这些功能可以处理客户数据并访问连接的系统。客户负责决定启用哪些功能、授予它们什么访问权限以及如何管理它们。

Notion 责任

• 提供并维护 Notion API、集成平台、连接和 AI 功能。

• 遵循 Notion AI、Notion 代理和 AI 连接器中的用户权限。自定义代理使用单独授予它们的权限，这些权限可能与和代理交互的人员所拥有的权限不同。

• 提供管理控制功能，以管控可以安装哪些集成和外部 AI 工具、可以创建哪些代理，以及是否启用 AI 功能。

• 提供控制项以启用或禁用 AI 网络搜索，并要求在进行外部网络请求前进行确认。

• 维持防护措施，检测并降低提示词注入风险。这包括检测第三方内容和上传文件中的隐藏指令、限制链接处理，以及在代理自主执行操作时进行额外检查。

• 不得使用客户数据来训练 Notion 的模型，并以合同形式禁止 AI 第三方服务商在未经客户明确同意的情况下这样做。

• 在审计日志中记录集成、连接、代理和外部 AI 工具的活动。

用户的责任

• 决定哪些集成、连接、AI 功能和代理适合组织，并据此配置可用的控制项。

• 在授权集成或连接之前，审查其请求的访问权限和功能，并确认第三方服务符合用户自身的供应商要求。

• 管理内部集成令牌，包括限制其分发、轮换令牌以及撤销不再需要的令牌。

• 管理代理的创建和配置，包括每个代理可以访问哪些客户数据和连接的工具，并定期审查该访问权限。

• 客户必须确保代理权限的范围设置得当。

• 确定是否可以为需要使用数据保留型模型的功能启用此类模型。

• 确保通过连接系统提供给 Notion 的客户数据适用于该目的，并确保在连接系统中授予的访问权限本身已正确限定范围。

• 让用户了解：来自工作空间外部的客户数据（包括网页和上传的文件）可能试图影响 AI 的行为。

客户应了解的有关连接数据的信息

通过连接获得的访问权限，最小范围取决于连接系统中授予的权限。Notion 会执行连接系统提供的权限设置，但不会修正源系统中过于宽泛的权限。

连接系统中的权限变更不会立即同步到 Notion，而是要经过一段同步时间。新增的客户数据可能需要一段时间才会显示，已删除的客户数据也可能需要一段时间才会变得不可访问。

Notion 负责 Notion 服务的安全，并在事件影响客户数据时通知客户。客户负责应对涉及其自身帐号、工作空间和客户数据的事件，包括履行其应承担的任何通知义务。

Notion 的责任

• 维护成文的事件响应方案，并定期测试。

• 检测、评估、调查、遏制并修复影响 Notion 系统及其所持客户数据的安全事件。

• 根据《数据处理附录》和适用法律，将安全事件通知受影响的客户。

• 开展事后复盘，包括根本原因分析，并根据复盘结果改进 Notion 的控制措施和响应方案。

• 发布服务运行状态，并通报影响服务可用性的事件。

• 运营漏洞披露计划，并对报告的漏洞进行分类和修复。

用户的责任

• 通过适当渠道及时向 Notion 报告疑似安全事件、遭入侵的帐号、疑似漏洞以及服务滥用行为。

• 检测并应对用户自身工作空间和帐号内发生的事件，包括登录凭据泄露、不当共享以及内部用户滥用服务。

• 维护用户自身的事件响应安排，并明确由谁负责处理在 Notion 中发现的活动。

• 采取产品内可用的遏制措施，包括移除访问权限、撤销会话、重置登录凭据、撤销集成令牌，以及撤回已发布的客户数据。

• 保留相关证据，包括在审计日志记录的保留期限届满前将其导出。

• 确定事件是否触发了用户对监管机构、客户或受影响个人的通知义务，并进行相应的通知。

• 确保管理和安全联系信息及时更新，以便 Notion 的通知送达相关人员。

• 向 Notion 报告可疑漏洞，而不是利用它们或公开披露它们。

哪些事件由谁来检测

Notion 会监控自身的基础设施，并能够检测影响服务的事件。Notion 无法确定某项原本有效的工作空间操作是否获得用户内部政策的授权。客户负责监控工作空间活动并应对滥用行为。

例如，成员发布机密客户数据、离职员工导出数据，或登录凭据的持有人滥用该凭据。要检测并应对这些事件，用户需要查看活动记录，并使用可用的控制功能。

Notion 建立并维护经独立审计的信息安全与隐私保护体系，并提供相关审计文件。客户需自行判断 Notion 是否满足其监管义务，并据此配置 Notion。

Notion 的责任

• 按照适用的审计和认证周期，维护经独立评估的安全与隐私保护体系。

• 通过 Notion 信任中心 向客户和潜在客户提供合规性文件，包括审计报告和认证。

用户的责任

• 确定 Notion 是否适合存储用户计划存储的数据，以及是否满足用户适用的监管要求。

• 签署该用途所需的协议，包括适用情况下的数据处理附录或业务伙伴协议。

• 应用这些协议所要求的配置，包括启用合规专用设置及其所依赖的安全功能。

• 完成用户自身的评估，包括供应商风险评估以及法律要求的任何数据保护影响评估。

• 作为用户自身的合规保障和变更管理流程的一部分，审查 Notion 的认证、审计报告和第三方服务商列表。

• 向用户自身的审计师和监管机构证明，用户对 Notion 的配置和使用符合适用于他们的义务。

认证涵盖的范围

Notion 的独立第三方认证和审计报告涵盖了 Notion 实施的控制措施，但不涵盖各组织配置或使用 Notion 的方式。

存储受监管数据的工作空间不会仅仅因为 Notion 获得了认证就自动合规。如果某项义务取决于配置（例如限制共享、强制执行单点登录、保留审计记录或限制数据存储位置），则履行该义务仍是用户的责任。

Notion 制定并执行服务使用条款。客户需对自身使用 Notion 的行为以及其工作空间中存储的客户数据负责。

Notion 的责任

• 发布并维护内容与使用政策、相关条款及其他相关政策。

• 提供举报机制，供任何浏览 Notion 公开页面的人举报他们认为不允许发布的客户数据。

• 调查举报，并在确定存在违规行为时删除客户数据或限制访问。

• 对滥用风险较高的使用类别加强审查，并在必要时暂停或终止访问权限，以保障服务可用性。

用户的责任

• 按照条款和内容与使用政策使用 Notion，并确保在用户订阅下使用 Notion 的人员也这样做。

• 确保存储在 Notion 中、从 Notion 共享或通过 Notion 发布的客户数据符合这些政策及适用法律。

• 当用户通过 Notion 分发用户生成的客户数据时，对他人贡献的客户数据进行审核。

• 按 Notion 的设计用途使用 Notion，不试图规避、禁用或干扰其安全控制措施。

• 仅通过 Notion 的漏洞披露计划并在其条款范围内对 Notion 进行任何安全测试。

• 诚信使用支持和举报渠道。