責任共有モデル

この共有責任モデルにより、Notionとその顧客が協力して、安全で効果的なワークスペース体験を実現できます。

定義された用語については、NotionのMSAおよびDPAを参照してください。

Notionは、思考、執筆、計画を行うための単一のスペースです。ユーザーが最高の仕事をするためのツールを自ら構築できるオールインワンのスペースとして、Notionはユーザーから仕事や個人に関する情報を託されています。また、コネクションやAI機能を通じて、他のシステムに保存されている情報へのアクセスも託されています。

共有責任モデル（SRM）とは、サービスプロバイダーとユーザーとの間で責任を分担する仕組みを示すフレームワークです。各種セキュリティや運用タスクがどの当事者によって担当されるのかを明確に定義しています。

本書では、Notionのシステム、ユーザーアカウント、およびワークスペースのセキュリティを保護・維持するために、Notionと顧客の間で共有される責任の概要を説明します。

NotionのSRMは、特定のプロセス、運用、または管理策に対して、Notionと顧客のどちらが責任を負うのかを明確にします。これにより、Notionは、Notionのシステムの機密性、完全性、可用性を最も効果的に保護できる領域に集中し、責任を負うことができます。同時に、顧客自身がアカウント、ワークスペース、顧客データを保護するのに適した領域を明らかにします。全体として、これによりNotionのシステムとアカウントを保護する上でのセキュリティと効率が向上します。

また、SRMはNotionのサービスがどのように提供されるかについての透明性を高め、顧客が自身のリスク評価および保証のプロセスにおいてNotionを評価するために必要な情報を提供します。さらに、適用される地方、地域、国、および国際的な規制の下で、Notionと顧客の双方がそれぞれの義務を果たすことを支援します。

要約すると、NotionはNotionサービスのアーキテクチャを構築、運用、保護する責任を負います。顧客は、認証情報の保護、ワークスペースや顧客データへのアクセス権の管理、Content & Use policy（コンテンツおよび利用に関するポリシー）やその他の関連するTerms（利用規約）の遵守を含め、そのサービスの設定と利用について責任を負います。

本書で説明されている責任の一部は、ワークスペースまたは組織内で高い権限を持つ顧客のみが果たすことができます。それらの権限を適切に割り当てることは、ユーザーの責任です。

特定の責任を果たすために利用できるツールは、プランによって異なります。特定のサブスクリプションプランでしか利用できない機能がある場合、その機能を利用できないプランの顧客も、求められる成果を達成する責任を引き続き負い、代替の管理策を検討する必要があります。

Notionは、ユーザーのサインイン方法や、ワークスペースへのアクセス権の付与と削除を管理するための認証方法と管理機能を提供します。顧客は、組織に適した機能を選択・設定し、アカウントへのアクセスに使う認証情報を保護する責任を負います。

Notionの責任範囲

• メールとパスワード、GoogleおよびAppleによるサインイン、ならびにビジネスプランおよびエンタープライズプランのワークスペース向けのSAML 2.0シングルサインオンを含む認証方法を提供・運用する。

• 認証アプリまたはSMSで届くコードを使った二要素認証を、パスワードでサインインするアカウントに提供すること。

• エンタープライズの組織がIDプロバイダーを通じてユーザーの作成、更新、削除を自動化できるSCIM APIを提供する。

• セッション時間、強制ログアウト、パスワードのリセット、アカウントの停止、ドメイン検証を管理するための管理機能を提供する。

• ドメインを使ってそのユーザーのNotionへのサインイン方法を管理できるようにする前に、ドメインの所有権が確認されていることを必須とすること。

• ユーザーがワークスペースから削除された場合、そのユーザーの顧客データへのアクセス権を取り消すこと。また、組織が管理するユーザーのセッションを終了し、認証情報をリセットできる管理機能を提供すること。

• Notion自身のインフラストラクチャ全体で最小権限のアクセス制御を維持し、Notionの従業員および契約社員に守秘義務を課すこと。

• ユーザーまたはワークスペースオーナーが同意した場合にのみサポート目的で顧客データにアクセスし、その同意は定められた期間後に自動的に失効するようにすること。

ユーザーの責任範囲

• ログイン認証情報を保護し、強力で一意のパスワードを使用し、他のサービスでの再利用を避けること。

• 共有アカウントではなく個々のアカウントを維持し、ログイン情報を共有しないこと。

• パスワードでサインインするアカウントには、二要素認証を使用すること。

• 社内ポリシーに従って、また外部での認証情報漏洩が確認された場合には速やかに、認証情報を更新すること。

• シングルサインオンを強制するかどうかを含め、組織に適した認証方法を選択および設定すること。

• ワークスペースへのアクセスを対象ユーザーのみに制限し、退職や役割の変更があった場合は速やかにアクセス権を削除すること。アクセス権の自動削除にはSCIMが必要であり、SCIMを使用していない場合は手動で削除すること。

• 社内ポリシーに従ってセッション時間を設定し、IDプロバイダーにアクセスできなくなった場合の復旧手順を整備すること。

• Notionサポートがアカウントやワークスペースにアクセスできるかどうかを制御し、不要になった時点でそのアクセス権を取り消すこと。

Notionは、認証済みのユーザーが表示・操作できる範囲を定める権限モデルと、共有範囲を設定する管理機能を提供します。顧客は、そのモデルを顧客データにどう適用するかを決め、付与されたアクセス権を確認する責任を負います。

Notionの責任範囲

• ワークスペース、チームスペース、ページ、データベースの各レベルで機能する権限モデル（権限グループを含む）を提供し、製品全体で一貫して適用すること。

• メンバーとゲストに対して個別のアクセス権を提供し、外部のコラボレーターがワークスペース全体ではなく特定の顧客データにのみアクセスできるようにすること。

• 組織が公開ページの共有、ゲストのアクセス、エクスポート、および他のワークスペースへのページの移動や複製を制限できる管理機能を提供すること。

• Notion サイト、フォーム、公開リンクなど、誰が顧客データをWebに公開できるかを管理するコントロールを提供すること。

• 組織が誰がページにアクセスできるか、どのページが外部共有またはWeb公開されているかを特定し、それらの権限を変更できるようにする可視化ツールを提供すること。

• AI機能や検索機能を提供する際は、設定されたワークスペースの権限に従うこと。

ユーザーの責任範囲

• 顧客データに対する適切なアクセスレベルを決定し、それに応じて権限を適用します。

• 外部コラボレーションや公開を許可するかどうかを決定し、その決定を反映するように利用可能なコントロールを構成します。

• アクセスがどのように継承されるかを理解します。ページに付与されたアクセス権はデフォルトでそのページ内にネストされたページにも適用され、複数の経路を通じてアクセス権が付与されている場合は、付与された権限のうち最も高いレベルのものが適用されます。

• ワークスペースメンバー、ゲスト、権限グループ、外部共有された顧客データ、Web公開された顧客データを含め、アクセス権を定期的にレビューします。

• ゲストや、組織のIDプロバイダーを通じてアクセスが管理されていない外部コラボレーターを含め、コラボレーターの関与が終了した時点で顧客データへのアクセス権を削除します。

• Web公開された顧客データが一般公開を意図したものであることを確認し、ネット検索を許可するかどうかなどのオプションをそれに応じて設定します。

• ユーザーが退職する前、または転送が可能な限られた期間内に、そのユーザーがプライベートで保持している顧客データを転送します。その期間を過ぎると、プライベートな顧客データは通常復元できず、転送ツールはエンタープライズプランでのみ利用可能です。

Notionは顧客に代わって顧客データを保存・処理し、転送中および保存中のデータを保護します。どのようなデータをNotionに保存するか、どのくらいの期間保持するか、どのような法的義務がそれに付随するかは、顧客が決定します。

Notionの責任範囲

• Master Subscription Agreement（マスターサブスクリプション契約）、Data Processing Addendum（データ処理補足条項）、および適用されるデータ保護法に従って顧客データを処理します。

• クラウドストレージ、データベーステーブル、バックアップを含め、AES-256またはそれと同等以上のセキュリティを提供する業界標準のアルゴリズムを使用して保存中の顧客データを暗号化し、TLS 1.2以上を使用して転送中のデータを暗号化します。

• サブプロセッサーの最新リストを維持し、公開します。

• 特定のカテゴリの顧客データに対してデータレジデンシーを提供し、対象となる組織が保存中のデータが保管されるリージョンを選択できるようにします。

• 顧客データをNotionの機械学習モデルのトレーニングに使用せず、顧客の明示的な同意なしにAIサブプロセッサーが顧客データをその目的に使用することを契約上禁止します。

• 顧客が顧客データをエクスポート、保持、削除できる機能を提供し、契約終了時には契約に従って顧客データを削除します。

• 必要とする顧客とData Processing Addendum（データ処理補足条項）を締結し、該当する場合はBusiness Associate Agreement（事業提携者契約）も締結します。

ユーザーの責任範囲

• Notionに保存するのに適切なデータを判断し、必要な契約の締結と設定が済んでいる場合にのみ規制対象データを保存するようにします。

• データの保持に関する運用方針を定めて適用し、不要になった顧客データを削除します。

• 社内ポリシーに合わせて、製品で利用できるデータの保持と削除の設定を行います。

• 完全かつ正確なアカウントデータを提出し、誤りが見つかった場合は速やかに修正します。

• ワークスペースに保存された個人データの管理者としての義務を果たします。これには、本人へのプライバシー情報の提供、データ処理の適法な根拠の確立、顧客データに関するデータ主体からの請求への対応が含まれます。

• 特定のデータレジデンシーリージョンが必要かを判断し、必要に応じて申請します。また、対象外となるデータのカテゴリとNotion製品を把握します。

• Notionのサブプロセッサーリストを確認します。

Notionは、サービスの可用性を維持するインフラストラクチャを運用し、サービスを復旧する目的でそのインフラストラクチャのバックアップを保持します。顧客は、Notionが提供するツールを使用して自身の顧客データを復旧する責任を負い、また自身の義務により必要とされる場合には、その顧客データの独立したコピーを保持する責任を負います。

Notionの責任範囲

• Service Level Terms（サービスレベル規約）に定められた可用性に関する約束に従い、複数のアベイラビリティゾーンにまたがる冗長化されたインフラストラクチャを使用してNotionサービスを運用します。

• サービスの稼働状況を公開します。

• 顧客データのバックアップを自動的に作成し、暗号化して監視します。

• 選択したデータレジデンシーリージョンに対応する、Notionの公開済みのバックアップリージョン対応表に従ってバックアップを保存します。データレジデンシーは、定められたカテゴリの顧客データにのみ適用されます。

• 災害復旧計画と事業継続計画を維持し、定期的にテストします。

• ごみ箱やバージョン履歴など、製品内で利用できる復旧ツールを提供し、顧客自身が顧客データを復元できるようにします。

• 顧客が顧客データのコピーを取得できるよう、エクスポート機能を提供します。

ユーザーの責任範囲

• ユーザーのプランに適用される保持期間内に、ごみ箱やバージョン履歴を使って個々のページや顧客データを復元します。

• 顧客データの保持設定を利用できる場合は、社内ポリシーに合わせて設定します。

• 社内ポリシー、契約上の義務、または規制により、製品で提供される期間を超えるデータの保持やNotion外でのコピーの保持が必要な場合は、顧客データの別個のコピーを保持します。

• それらの要件に合ったスケジュールでエクスポートを作成し、データに欠けがないことを検証します。エクスポートを行うアカウントがアクセスできない顧客データは、エクスポートに含まれません。

• ダウンロードリンクの有効期間内に、エクスポートしたデータを取得します。

• ユーザー自身の事業継続計画の一環として、サービスが利用できなくなる場合に備えます。

Notionのバックアップの用途と限界

Notionのバックアップは、Notionサービスを復旧するためのものです。顧客が利用できる復元ポイントではなく、ワークスペースを任意の時点の状態に戻すことはできません。個々の顧客データは、顧客自身がごみ箱やバージョン履歴を使って復元します。顧客データがごみ箱での保存期間や該当する保持期間を過ぎると、そのデータは完全に削除され、復元できなくなります。データの保持手段としてサポートに頼らないでください。

エクスポートでは、エクスポートの種類やプランに応じて、HTML、マークダウン、CSV、PDFなどの形式で顧客データのポータブルコピーが作成されます。これはワークスペースの完全なバックアップではありません。エクスポートされた顧客データをインポートしても、ワークスペースの元の権限、設定、または完全な構成は再現されず、手動での再構築が必要になる場合があります。

Notionは、ワークスペース内での関連するアクティビティの記録を生成し、組織が利用できるようにします。お客様は、それらの記録を確認し、必要に応じて保持し、記録が示す内容に基づいて行動する責任を負います。

Notionの責任範囲

• 組織のワークスペース全体で発生するセキュリティおよび安全関連のイベントを記録します。これには、実行者、アクション、時刻、および利用可能な場合はIPアドレスが含まれます。

• 所定の期間、製品内に監査ログの履歴を保持し、お客様がさらに長期間保持できるよう、エクスポートとストリーミングの手段を提供します。

• イベントをユーザー自身のセキュリティ監視プラットフォームにリアルタイムでストリーミングする手段を提供し、データ損失防止ツールへの接続をサポートします。

• Notion自身のインフラストラクチャ、ネットワーク、およびシステムを監視して悪意のあるアクティビティを検出し、それらのシステムの内部ログを維持します。

ユーザーの責任範囲

• 監査ログのアクティビティを確認し、予期しない、または許可されていないと思われるアクティビティを調査して対処すること。

• 保持期間が過ぎる前にイベントをエクスポートまたはストリーミングすることで、お客様自身の内部ポリシーや規制で定められた期間、ログデータを保持すること。

• ユーザー自身の環境で監視やアラート、セキュリティやコンプライアンスに関する接続を設定し、それらの連携が正常に機能し続けるようにすること。

• 組織にとって何が不審なアクティビティに当たるかを定義し、その確認を担当する人を決めること。

• 不審なアクティビティがサービスの侵害を示唆する場合は、Notionに報告すること。

監査ログに記録されるものと記録されないもの

監査ログにはイベントが記録されます。ログの記録とストリーミングされたペイロードには、誰がどのアクションを実行したかが示されますが、ページ内の顧客データは含まれません。

監査ログの記録は、組織がこの機能を利用できるようになった時点から開始されます。それ以前のアクティビティの記録を遡って取得することはできません。

Notionは、Notionサービスとその稼働基盤となるインフラストラクチャを開発、運用、保守し、そのインフラストラクチャの保護とパッチ適用も行います。お客様は、Notionにアクセスする環境に対して責任を負います。

Notionの責任範囲

• Notionアプリケーションとそれを支えるインフラストラクチャを開発、テスト、パッチ適用、保守します。サービスの更新はNotionが適用するため、お客様による対応は不要です。

• 新規リリースの脅威モデリングとセキュアな設計レビューを実施し、コードベースのコード監査、コードレビュー、およびセキュリティスキャンを行います。

• 独立した第三者による年次ペネトレーションテストを委託します。

• Notionのシステム全体でネットワークセキュリティを実装および管理します。

• Notionのインフラストラクチャ、ネットワーク、資産を監視し、悪意のあるアクティビティを検知します。

• 公開の脆弱性開示プログラムを運営し、独立した第三者によるペネトレーションテストを委託します。

• 保存データの暗号化、エンドポイントでの脅威の検知と対応、デバイスの一元管理などにより、Notionの社内システムと従業員のデバイスを保護します。

• Notionクライアントアプリケーションを公開し、アップデートを配信します。

ユーザーの責任範囲

• Webブラウザを含むエンドポイント環境を、サポート対象で適切にパッチが適用された状態に保ち、Notionクライアントの更新を妨げる可能性がある設定にも対処すること。

• ユーザー自身のエンドポイントセキュリティ基準に沿って、Notionへのアクセスに使用するデバイスとネットワークを保護すること。

• Notionクライアントの更新を一元管理している場合は、更新が適時に適用され続けるようにすること。自動更新を延期または無効化した場合、クライアントに適時にパッチを適用する責任はユーザーに移ります。

• インストール設定によってユーザーが更新を受け取れなくならないようにすること。

• Notionサービスに脆弱性が疑われる場合は、悪用したり公表したりせず、Notionに報告すること。

責任範囲の境界

NotionはNotionサービスにパッチを適用します。お客様がNotionにパッチを適用することはありません。また、サーバー側のアップデートに関して、お客様による操作は不要です。

クライアントアプリケーションは扱いが異なります。Notionは更新を公開しますが、デバイスが更新を受け取れるかどうかは、そのデバイスの設定や管理方法によって決まります。組織がインストールや更新を管理している場合、クライアントを最新の状態に保つ責任はその組織にあります。

Notionは、顧客データを扱い、接続先のシステムにもアクセスできるAPI、インテグレーションプラットフォーム、AI機能を提供しています。どれを有効にするか、どのようなアクセス権を付与するか、どう管理するかを決める責任はお客様にあります。

Notionの責任範囲

• Notion API、インテグレーションプラットフォーム、コネクション、およびAI機能を提供し、維持します。

• Notion AI、Notionエージェント、AI コネクターではユーザーの権限に従います。カスタムエージェントは、明示的に付与された独自の権限を使用します。その権限は、エージェントを利用するユーザーの権限とは異なる場合があります。

• インストールできるインテグレーションや外部AIツール、作成できるエージェント、AI機能の有効・無効を管理するための設定を提供します。

• AIウェブ検索を有効または無効にするためのコントロールを提供し、外部へのウェブ要求を行う前に確認を求めるようにします。

• サードパーティのコンテンツやアップロードされたファイルに含まれる隠れた指示の検知、リンク処理の制限、およびエージェントが自律的に動作する場合の追加チェックなど、プロンプトインジェクションのリスクを検知・軽減するように設計された防御策を維持します。

• 顧客データをNotionのモデルの学習には使用せず、AIサブプロセッサーが顧客の明示的な同意なしに顧客データを学習に使用することを契約上禁止します。

• インテグレーション、コネクション、エージェント、および外部AIツールのアクティビティを監査ログに記録します。

ユーザーの責任範囲

• 組織に適したインテグレーション、コネクション、AI機能、エージェントを決め、その決定に合わせて利用可能な設定を行うこと。

• 連携や接続を承認する前に、それらが要求するアクセス権や機能をレビューし、サードパーティサービスがユーザー自身のベンダー要件を満たしていることを確認します。

• 内部連携用トークンを管理します。これには、配布の制限、定期的な更新、不要になったトークンの取り消しが含まれます。

• エージェントの作成と設定を管理します。これには、各エージェントがどの顧客データや接続されたツールにアクセスできるかの管理、およびそのアクセスの定期的なレビューが含まれます。

• 顧客は、エージェントの権限が適切な範囲に限定されていることを確認する必要があります。

• データ保持を行うモデルを必要とする機能に対して、それらのモデルを有効にするかどうかを判断します。

• 接続先のシステムを通じてNotionが利用できるようにする顧客データがその目的に適していること、また、接続先のシステムで付与したアクセス権が適切な範囲に限定されていることを確認します。

• ウェブページやアップロードされたファイルなど、ワークスペース外に由来する顧客データがAIの動作に影響を与えようとする可能性があることをユーザーに周知します。

接続されたデータについて顧客が理解しておくべきこと

接続を通じて付与されるアクセスの範囲は、接続先のシステムで付与された権限の範囲に左右されます。Notionは接続先のシステムから報告された権限を適用しますが、元のシステムで過度に広く設定された権限を修正することはありません。

接続先のシステムで変更された権限は、すぐにはNotionに反映されず、同期までに時間がかかります。また、新たに追加された顧客データが表示されるまでや、削除された顧客データが利用できなくなるまでに時間がかかる場合があります。

NotionはNotionサービスのセキュリティ、およびインシデントが顧客データに影響を及ぼす場合に顧客へ通知する責任を負います。顧客は、自身のアカウント、ワークスペース、および顧客データに関わるインシデントへの対応について、必要な通知を含めて責任を負います。

Notionの責任範囲

• 文書化されたインシデント対応計画を維持し、定期的にテストを行います。

• NotionのシステムおよびNotionが保持する顧客データに影響を及ぼすセキュリティインシデントを検知し、優先順位を判断したうえで、調査、封じ込め、修復を行います。

• Data Processing Addendum（データ処理補足条項）および適用法に従い、セキュリティインシデントの影響を受けた顧客に通知します。

• 根本原因の分析を含むインシデント後のレビューを実施し、その結果をNotionの管理策と対応計画に反映します。

• サービスの稼働状況を公開し、可用性に関するインシデントを通知します。

• 脆弱性開示プログラムを運用し、報告された脆弱性の優先順位を判断して修正します。

ユーザーの責任範囲

• セキュリティインシデントの疑い、アカウントの侵害、脆弱性の疑い、サービスの不正利用について、適切な窓口を通じて速やかにNotionに報告します。

• 資格情報の侵害、不適切な共有、内部ユーザーによる不正利用など、ユーザー自身のワークスペースやアカウント内で発生するインシデントを検知し、対応します。

• ユーザー自身のインシデント対応体制を維持し、Notionで確認されたアクティビティに誰が対応するかを定めます。

• アクセス権の削除、セッションの取り消し、資格情報のリセット、連携用トークンの取り消し、公開した顧客データの公開停止など、製品内で実行できる封じ込め措置を講じます。

• 監査ログの記録を保持期間が過ぎる前にエクスポートするなど、関連する証拠を保存します。

• インシデントについて、ユーザーが規制当局、顧客、影響を受けた個人に通知する義務があるかどうかを判断し、必要な通知を行います。

• Notionからの通知が適切な担当者に届くよう、管理者とセキュリティ担当者の連絡先情報を最新の状態に保ちます。

• 脆弱性が疑われる場合は、悪用したり公に開示したりせず、Notionに報告します。

どの当事者が何を検知するか

NotionはNotionのインフラストラクチャを監視しており、サービスに影響を及ぼすインシデントを検知できます。一方、通常のワークスペースでの操作がユーザーの内部ポリシーに基づいて承認されたものかどうかは判断できません。ワークスペースのアクティビティを監視し、不正利用に対応する責任は顧客にあります。

これには、メンバーによる機密性の高い顧客データの公開、退職予定の従業員によるデータのエクスポート、資格情報を正当に保有する本人による悪用といったインシデントが含まれます。これらのイベントの検知と対応には、ユーザーによるアクティビティ記録の確認と、利用可能な管理策の活用が必要です。

Notionは、独立した監査を受けた情報セキュリティおよびプライバシープログラムを維持し、その結果得られる文書を提供しています。顧客は、Notionが自社の規制上の義務に適合しているかどうかを判断し、それに応じて設定を行う必要があります。

Notionの責任範囲

• 適用される監査および認定のサイクルに従い、独立した評価を受けたセキュリティおよびプライバシープログラムを維持します。

• 監査レポートや認定に関する資料を含むコンプライアンス文書を、Notion Trust Centerを通じて顧客および見込み顧客に提供します。

ユーザーの責任範囲

• Notionが、ユーザーの保存予定のデータやユーザーに適用される規制上の義務に照らして適切かどうかを判断します。

• 必要に応じてData Processing Addendum（データ処理補足条項）やBusiness Associate Agreement（医療情報保護契約）など、その利用に必要な契約を締結します。

• それらの契約で求められる設定を行います。これには、コンプライアンスに固有の設定や、その前提となるセキュリティ機能を有効にすることが含まれます。

• ベンダーリスク評価や法律で義務付けられたデータ保護影響評価など、ユーザー自身の評価を実施します。

• ユーザー自身の保証および変更管理のプロセスの一環として、Notionの認定、監査レポート、サブプロセッサのリストをレビューします。

• ユーザーによるNotionの設定と利用が、ユーザーに適用される義務を満たしていることを、自身の監査人や規制当局に示します。

認定の対象範囲

Notionが取得した独立した第三者による認定と監査レポートは、Notionが運用する管理策を対象としています。個々の組織によるNotionの設定や利用方法は対象外です。

規制対象データを含むワークスペースは、Notionが認定を受けているという理由だけでコンプライアンス要件を満たすわけではありません。共有の制限、シングルサインオンの強制、監査記録の保持、データの保存場所の制限など、義務の履行が設定に依存する場合、その義務を果たす責任はユーザーにあります。

Notionはサービスの利用条件を定め、その遵守を徹底します。顧客は、自身によるNotionの利用および自身のワークスペースに保存されている顧客データについて責任を負います。

Notionの責任範囲

• コンテンツおよび利用ポリシー、関連する利用規約、および関連ポリシーを公開し、維持すること。

• 公開されているNotionページを閲覧する人なら誰でも、禁止されていると思われる顧客データを報告できる仕組みを提供すること。

• 報告を調査し、違反が確認された場合には、顧客データを削除するか、アクセスを制限すること。

• 不正利用の発生率が高い利用カテゴリについては、より厳格な審査を行い、サービスの可用性を守るために必要な場合はアクセスを一時停止または終了すること。

ユーザーの責任範囲

• 利用規約およびコンテンツおよび利用ポリシーに従ってNotionを利用し、自分のサブスクリプションでNotionを利用するユーザーにも、これらを守ってもらうこと。

• Notionに保存され、Notionから共有され、またはNotionを通じて公開される顧客データが、それらのポリシーおよび適用法に準拠していることを確認すること。

• ユーザーがNotionを通じてユーザー生成の顧客データを配布する場合、他の人が投稿した顧客データを管理すること。

• Notionを想定された利用範囲内で使用し、そのセキュリティ対策を回避、無効化、または妨害しようとしないこと。

• Notionのセキュリティテストは、Notionの脆弱性開示プログラムを通じて、その規約の範囲内でのみ実施すること。

• サポート窓口や報告窓口を誠実に利用すること。