Mô hình Trách nhiệm đã chia sẻ

Mô hình trách nhiệm chung này giúp Notion và khách hàng cùng tạo nên trải nghiệm an toàn, hiệu quả trong không gian làm việc.

Vui lòng tham khảo MSA và DPA của Notion để biết các thuật ngữ được định nghĩa.

Notion là một không gian để bạn suy nghĩ, viết và lập kế hoạch. Tại đây, người dùng có thể tự tạo công cụ để làm việc hiệu quả nhất. Họ tin tưởng giao cho Notion thông tin công việc và cá nhân, cũng như quyền truy cập vào thông tin trong các hệ thống khác thông qua kết nối và các tính năng AI.

Mô hình trách nhiệm chung (SRM) là khuôn khổ phân chia trách nhiệm giữa nhà cung cấp dịch vụ và người dùng. Mô hình xác định rõ bên nào đảm nhiệm từng nhiệm vụ bảo mật và vận hành.

Tài liệu này nêu rõ trách nhiệm chung của Notion và khách hàng trong việc bảo vệ và duy trì an ninh cho hệ thống của Notion, tài khoản người dùng và không gian làm việc.

SRM của Notion giúp Notion và khách hàng hiểu rõ bên nào chịu trách nhiệm cho từng quy trình, hoạt động hoặc biện pháp kiểm soát. Nhờ đó, chúng tôi có thể tập trung vào những lĩnh vực mình có thể bảo vệ tốt nhất tính bảo mật, toàn vẹn và sẵn sàng của hệ thống Notion. SRM cũng xác định những lĩnh vực mà khách hàng có thể tự bảo vệ tài khoản, không gian làm việc và dữ liệu khách hàng tốt hơn. Nhìn chung, cách phân chia này giúp bảo vệ hệ thống và tài khoản Notion an toàn, hiệu quả hơn.

SRM cũng giúp khách hàng hiểu rõ cách Notion cung cấp dịch vụ. Nhờ đó, họ có thông tin cần thiết để đánh giá Notion theo quy trình quản lý rủi ro và bảo đảm của mình. SRM còn hỗ trợ Notion và khách hàng thực hiện nghĩa vụ tương ứng theo các quy định hiện hành ở cấp địa phương, khu vực, quốc gia và quốc tế.

Tóm lại: Notion chịu trách nhiệm xây dựng, vận hành và bảo vệ kiến trúc của dịch vụ Notion. Khách hàng chịu trách nhiệm về cách họ định cấu hình và sử dụng dịch vụ, bao gồm bảo vệ thông tin đăng nhập, quản lý quyền truy cập vào không gian làm việc và dữ liệu khách hàng, cũng như tuân thủ Chính sách nội dung và sử dụng và các điều khoản liên quan khác.

Một số trách nhiệm trong tài liệu này chỉ có thể do khách hàng có quyền nâng cao trong không gian làm việc hoặc tổ chức thực hiện. Người dùng có trách nhiệm cấp các quyền đó một cách phù hợp.

Các công cụ để thực hiện từng trách nhiệm sẽ khác nhau tùy theo gói. Nếu một tính năng chỉ có trong một số gói đăng ký, khách hàng sử dụng gói không có tính năng đó vẫn chịu trách nhiệm đạt được kết quả cần thiết và nên cân nhắc các biện pháp kiểm soát thay thế.

Notion cung cấp các phương thức xác thực và công cụ quản trị để kiểm soát cách mọi người đăng nhập vào Notion cũng như cách cấp và thu hồi quyền truy cập không gian làm việc. Khách hàng chịu trách nhiệm chọn và định cấu hình các công cụ kiểm soát phù hợp với tổ chức của mình, cũng như bảo vệ thông tin đăng nhập dùng để truy cập tài khoản của họ.

Trách nhiệm của Notion

• Cung cấp và vận hành các phương thức xác thực, bao gồm email và mật khẩu, đăng nhập bằng Google và Apple, cũng như đăng nhập một lần qua SAML 2.0 cho các không gian làm việc thuộc gói Business và Enterprise.

• Cung cấp xác thực hai yếu tố cho các tài khoản đăng nhập bằng mật khẩu, thông qua ứng dụng xác thực hoặc mã gửi qua tin nhắn văn bản.

• Cung cấp các API SCIM cho phép các tổ chức sử dụng gói Enterprise tự động hóa việc tạo, cập nhật và xóa người dùng thông qua nhà cung cấp danh tính của họ.

• Cung cấp các biện pháp kiểm soát dành cho quản trị viên đối với thời lượng phiên, đăng xuất bắt buộc, đặt lại mật khẩu, tạm khóa tài khoản và xác minh miền.

• Yêu cầu xác minh bằng chứng về quyền sở hữu miền trước khi dùng miền đó để kiểm soát cách người dùng thuộc miền đăng nhập vào Notion.

• Thu hồi quyền truy cập vào Dữ liệu khách hàng của người dùng khi người dùng đó bị xóa khỏi không gian làm việc. Cung cấp các biện pháp kiểm soát cho phép tổ chức chấm dứt phiên và đặt lại thông tin đăng nhập cho toàn bộ người dùng được quản lý của mình.

• Duy trì các biện pháp kiểm soát truy cập theo nguyên tắc đặc quyền tối thiểu trên toàn bộ cơ sở hạ tầng của Notion, đồng thời yêu cầu nhân viên và nhà thầu của Notion tuân thủ nghĩa vụ bảo mật.

• Chỉ truy cập Dữ liệu khách hàng để hỗ trợ khi người dùng hoặc chủ sở hữu không gian làm việc đã đồng ý, và tự động cho sự đồng ý đó hết hiệu lực sau một khoảng thời gian xác định.

Trách nhiệm của Người dùng

• Bảo vệ thông tin đăng nhập, sử dụng mật khẩu mạnh và duy nhất, đồng thời tránh sử dụng lại trên các dịch vụ khác.

• Duy trì các tài khoản cá nhân thay vì tài khoản dùng chung và không chia sẻ thông tin đăng nhập.

• Sử dụng xác thực hai yếu tố trên các tài khoản đăng nhập bằng mật khẩu.

• Cập nhật thông tin đăng nhập theo chính sách nội bộ và cập nhật ngay khi phát hiện thông tin đăng nhập bị lộ trong một vụ vi phạm bảo mật bên ngoài.

• Chọn và định cấu hình các phương thức xác thực phù hợp với tổ chức, bao gồm cả việc có bắt buộc đăng nhập một lần hay không.

• Đảm bảo chỉ những người dùng được chỉ định mới có quyền truy cập không gian làm việc và quyền truy cập được thu hồi kịp thời khi có người rời tổ chức hoặc thay đổi vai trò. Việc tự động thu hồi quyền truy cập yêu cầu sử dụng SCIM; nếu không sử dụng SCIM, việc thu hồi phải thực hiện thủ công.

• Thiết lập thời lượng phiên làm việc theo chính sách nội bộ và duy trì quy trình khôi phục khi mất quyền truy cập vào nhà cung cấp danh tính.

• Kiểm soát việc bộ phận hỗ trợ của Notion có thể truy cập tài khoản hoặc không gian làm việc hay không và thu hồi quyền truy cập đó khi không còn cần thiết.

Notion cung cấp mô hình quyền xác định người dùng đã xác thực có thể xem và làm gì, cùng các công cụ quản trị để đặt giới hạn chia sẻ. Khách hàng chịu trách nhiệm quyết định cách áp dụng mô hình này cho Dữ liệu Khách hàng của mình và xem xét những quyền truy cập được cấp theo đó.

Trách nhiệm của Notion

• Cung cấp mô hình quyền hoạt động ở cấp Không gian làm việc, không gian nhóm, trang và cơ sở dữ liệu, bao gồm các nhóm quyền và thực thi mô hình đó một cách nhất quán trên toàn bộ sản phẩm.

• Cung cấp quyền truy cập riêng biệt cho thành viên và khách, để cộng tác viên bên ngoài có thể được cấp quyền truy cập vào Dữ liệu Khách hàng cụ thể thay vì toàn bộ Không gian làm việc.

• Cung cấp các công cụ quản trị cho phép tổ chức hạn chế chia sẻ trang công khai, quyền truy cập của khách, xuất dữ liệu cũng như việc di chuyển hoặc sao chép trang sang các không gian làm việc khác.

• Cung cấp các công cụ kiểm soát để quy định ai có thể xuất bản Dữ liệu Khách hàng lên web, bao gồm qua Trang web Notion, biểu mẫu và liên kết công khai.

• Cung cấp công cụ giúp tổ chức xem ai có quyền truy cập một trang, trang nào được chia sẻ ra bên ngoài hoặc xuất bản lên web, và thay đổi các quyền đó.

• Tôn trọng các quyền đã định cấu hình cho không gian làm việc khi cung cấp các tính năng AI và tìm kiếm.

Trách nhiệm của Người dùng

• Xác định mức độ truy cập phù hợp cho Dữ liệu Khách hàng và áp dụng các quyền tương ứng.

• Quyết định có cho phép cộng tác với người bên ngoài và xuất bản công khai hay không, rồi định cấu hình các công cụ kiểm soát cho phù hợp.

• Hiểu cách kế thừa quyền truy cập. Quyền truy cập vào một trang mặc định cũng áp dụng cho các trang phụ của trang đó. Nếu được cấp quyền truy cập theo nhiều cách, mức quyền cao nhất sẽ được áp dụng.

• Xem xét quyền truy cập định kỳ, bao gồm các thành viên của không gian làm việc, khách, nhóm quyền, Dữ liệu Khách hàng được chia sẻ ra bên ngoài và Dữ liệu Khách hàng được xuất bản lên web.

• Thu hồi quyền truy cập vào Dữ liệu Khách hàng khi cộng tác viên không còn tham gia, kể cả khách và cộng tác viên bên ngoài không được quản lý quyền truy cập qua nhà cung cấp danh tính của tổ chức.

• Đảm bảo Dữ liệu Khách hàng xuất bản lên web dành cho đối tượng công chúng và định cấu hình các tùy chọn như lập chỉ mục công cụ tìm kiếm cho phù hợp.

• Chuyển Dữ liệu Khách hàng được người dùng lưu giữ riêng tư trước khi người dùng đó rời đi, hoặc trong khoảng thời gian giới hạn mà việc chuyển dữ liệu vẫn có thể thực hiện được. Sau khoảng thời gian đó, Dữ liệu Khách hàng riêng tư thường không thể khôi phục được và công cụ chuyển dữ liệu chỉ khả dụng trên gói Enterprise.

Notion lưu trữ và xử lý Dữ liệu Khách hàng thay mặt cho Khách hàng của mình và bảo vệ dữ liệu đó trong quá trình truyền tải và lưu trữ. Khách hàng quyết định dữ liệu nào được đưa vào Notion, thời gian lưu giữ dữ liệu đó và các nghĩa vụ pháp lý nào gắn liền với dữ liệu đó.

Trách nhiệm của Notion

• Xử lý Dữ liệu Khách hàng theo Thỏa thuận Đăng ký Chính, Phụ lục Xử lý Dữ liệu và luật bảo vệ dữ liệu hiện hành.

• Mã hóa Dữ liệu Khách hàng khi lưu trữ bằng AES-256 hoặc thuật toán tiêu chuẩn ngành cung cấp bảo mật tương đương hoặc mạnh hơn, bao gồm trong lưu trữ đám mây, bảng cơ sở dữ liệu và bản sao lưu, đồng thời mã hóa dữ liệu trong quá trình truyền tải bằng TLS 1.2 trở lên.

• Duy trì và công bố danh sách cập nhật các bên xử lý dữ liệu phụ.

• Cung cấp tùy chọn lưu trữ dữ liệu theo khu vực cho các loại Dữ liệu Khách hàng được xác định, cho phép các tổ chức đủ điều kiện chọn khu vực lưu trữ dữ liệu đó.

• Không sử dụng Dữ liệu Khách hàng để huấn luyện các mô hình học máy của Notion và quy định trong hợp đồng rằng các bên xử lý dữ liệu phụ về AI không được làm như vậy nếu không có sự đồng ý rõ ràng của khách hàng.

• Cung cấp chức năng cho phép Khách hàng xuất, lưu giữ và xóa Dữ liệu Khách hàng của họ, đồng thời xóa Dữ liệu Khách hàng khi kết thúc hợp đồng theo thỏa thuận.

• Ký kết Phụ lục Xử lý Dữ liệu và, khi áp dụng, Thỏa thuận Đối tác Kinh doanh với những khách hàng yêu cầu các thỏa thuận này.

Trách nhiệm của Người dùng

• Xác định dữ liệu nào phù hợp để lưu trữ trong Notion và đảm bảo rằng dữ liệu thuộc diện quản lý theo quy định chỉ được lưu trữ khi đã có các thỏa thuận và cấu hình cần thiết.

• Thiết lập và áp dụng quy trình lưu giữ dữ liệu, đồng thời xóa Dữ liệu Khách hàng không còn cần thiết.

• Cấu hình các cài đặt lưu giữ và xóa có sẵn trong sản phẩm để phản ánh chính sách nội bộ.

• Gửi Dữ liệu Tài khoản đầy đủ và chính xác, đồng thời sửa lỗi kịp thời khi phát hiện.

• Đáp ứng các nghĩa vụ của bên kiểm soát dữ liệu cá nhân được lưu giữ trong không gian làm việc, bao gồm cung cấp thông tin về quyền riêng tư cho các cá nhân, thiết lập cơ sở pháp lý để xử lý dữ liệu và phản hồi các yêu cầu của chủ thể dữ liệu liên quan đến Dữ liệu Khách hàng.

• Xác định xem có cần một khu vực lưu trữ dữ liệu cụ thể hay không, yêu cầu khu vực đó khi cần thiết và hiểu những danh mục dữ liệu và sản phẩm Notion nào nằm ngoài phạm vi đó.

• Xem xét danh sách bên xử lý dữ liệu phụ của Notion.

Notion vận hành cơ sở hạ tầng giúp Dịch vụ luôn khả dụng và duy trì các bản sao lưu của cơ sở hạ tầng đó nhằm mục đích phục hồi Dịch vụ. Khách hàng chịu trách nhiệm phục hồi Dữ liệu Khách hàng của riêng mình bằng cách sử dụng các công cụ mà Notion cung cấp, và giữ một bản sao độc lập của Dữ liệu Khách hàng đó khi các nghĩa vụ của họ yêu cầu.

Trách nhiệm của Notion

• Vận hành Dịch vụ Notion theo các cam kết về tính khả dụng được quy định trong Điều khoản Mức độ Dịch vụ, sử dụng cơ sở hạ tầng dự phòng trên nhiều vùng khả dụng.

• Công bố trạng thái hoạt động của Dịch vụ.

• Duy trì các bản sao lưu tự động, được mã hóa và được giám sát của Dữ liệu Khách hàng.

• Lưu trữ các bản sao lưu theo bảng đối chiếu khu vực sao lưu đã công bố của Notion cho khu vực lưu trữ dữ liệu đã chọn. Yêu cầu lưu trữ dữ liệu tại khu vực chỉ áp dụng cho các danh mục Dữ liệu Khách hàng được xác định.

• Duy trì và kiểm tra định kỳ các kế hoạch phục hồi sau thảm họa và duy trì hoạt động kinh doanh.

• Cung cấp các công cụ phục hồi trong sản phẩm, bao gồm Thùng rác và lịch sử phiên bản, cho phép Khách hàng tự khôi phục Dữ liệu Khách hàng.

• Cung cấp chức năng xuất dữ liệu cho phép Khách hàng lấy bản sao Dữ liệu Khách hàng của họ.

Trách nhiệm của Người dùng

• Khôi phục các trang riêng lẻ và Dữ liệu Khách hàng bằng cách sử dụng Thùng rác và lịch sử phiên bản, trong thời hạn lưu giữ áp dụng cho gói của Người dùng.

• Cấu hình các cài đặt lưu giữ Dữ liệu Khách hàng, nếu có, để phản ánh chính sách nội bộ.

• Duy trì một bản sao độc lập của Dữ liệu Khách hàng khi chính sách nội bộ, cam kết hợp đồng hoặc quy định yêu cầu lưu giữ dữ liệu lâu hơn thời hạn sản phẩm hỗ trợ, hoặc yêu cầu lưu giữ một bản sao bên ngoài Notion.

• Xuất dữ liệu theo lịch trình phù hợp với các yêu cầu đó và xác minh rằng các bản xuất đã đầy đủ. Dữ liệu Khách hàng mà tài khoản thực hiện xuất dữ liệu không thể truy cập sẽ không có trong bản xuất.

• Tải các bản xuất xuống khi liên kết tải xuống còn hiệu lực.

• Lập kế hoạch ứng phó với khả năng dịch vụ không khả dụng trong khuôn khổ kế hoạch duy trì hoạt động kinh doanh của chính Người dùng.

Bản sao lưu của Notion dùng và không dùng để làm gì

Các bản sao lưu của Notion được dùng để khôi phục Dịch vụ Notion. Chúng không phải là điểm khôi phục dành cho khách hàng và không thể được sử dụng để đưa không gian làm việc trở về trạng thái tại một thời điểm đã chọn. Khách hàng có thể khôi phục từng dữ liệu khách hàng thông qua Thùng rác và lịch sử phiên bản. Sau khi hết thời hạn áp dụng cho Thùng rác và thời hạn lưu giữ, Dữ liệu Khách hàng sẽ bị xóa vĩnh viễn và không thể khôi phục. Khách hàng không nên dựa vào bộ phận hỗ trợ như một cơ chế lưu giữ dữ liệu.

Việc xuất dữ liệu tạo ra một bản sao Dữ liệu Khách hàng có thể chuyển sang nơi khác ở các định dạng như HTML, Markdown, CSV hoặc PDF, tùy thuộc vào loại bản xuất và gói. Đây không phải là bản sao lưu đầy đủ của không gian làm việc: việc nhập Dữ liệu Khách hàng đã xuất sẽ không tái tạo các quyền, cài đặt hoặc toàn bộ cấu hình ban đầu của không gian làm việc và có thể cần tái cấu trúc thủ công.

Notion ghi lại các hoạt động liên quan trong không gian làm việc và cung cấp các bản ghi đó cho tổ chức. Khách hàng chịu trách nhiệm xem xét, lưu giữ các bản ghi khi cần và xử lý những gì được ghi nhận.

Trách nhiệm của Notion

• Ghi lại các sự kiện liên quan đến bảo mật và an toàn trên các không gian làm việc của tổ chức, bao gồm người thực hiện, hành động, thời gian và địa chỉ IP nếu có.

• Lưu giữ lịch sử nhật ký kiểm tra trong sản phẩm trong một khoảng thời gian xác định và cung cấp cơ chế xuất và truyền phát dữ liệu để Khách hàng có thể lưu giữ lâu hơn.

• Cung cấp phương tiện truyền sự kiện đến nền tảng giám sát bảo mật của riêng Người dùng trong thời gian thực và hỗ trợ kết nối với các công cụ ngăn ngừa mất dữ liệu.

• Giám sát cơ sở hạ tầng, mạng và hệ thống của chính Notion để phát hiện hoạt động độc hại, đồng thời duy trì việc ghi nhật ký nội bộ cho các hệ thống đó.

Trách nhiệm của Người dùng

• Xem xét hoạt động trong nhật ký kiểm tra, đồng thời điều tra và xử lý các hoạt động có vẻ bất thường hoặc không được ủy quyền.

• Lưu giữ dữ liệu nhật ký trong thời hạn theo chính sách nội bộ của Khách hàng hoặc theo quy định bằng cách xuất hoặc truyền sự kiện trước khi hết thời hạn lưu giữ.

• Cấu hình giám sát, cảnh báo và mọi kết nối bảo mật hoặc tuân thủ trong môi trường riêng của Người dùng, đồng thời đảm bảo các tích hợp đó vẫn hoạt động.

• Xác định những gì cấu thành hoạt động đáng ngờ trong bối cảnh của tổ chức và phân công trách nhiệm xem xét hoạt động đó.

• Báo cáo hoạt động đáng ngờ cho Notion khi hoạt động đó có thể cho thấy Dịch vụ đã bị xâm phạm.

Nhật ký kiểm tra ghi lại và không ghi lại những gì

Nhật ký kiểm tra ghi lại các sự kiện. Các mục nhật ký và dữ liệu được truyền mô tả các hành động đã thực hiện và người thực hiện; chúng không chứa Dữ liệu Khách hàng của các trang.

Nhật ký kiểm tra bắt đầu ghi lại các sự kiện khi một tổ chức đủ điều kiện sử dụng tính năng này. Hoạt động diễn ra trước đó không thể được truy xuất hồi tố.

Notion phát triển, vận hành và duy trì Dịch vụ Notion cùng cơ sở hạ tầng vận hành dịch vụ này, bao gồm cả việc bảo mật và vá lỗi cơ sở hạ tầng đó. Khách hàng chịu trách nhiệm về các môi trường mà từ đó họ truy cập Notion.

Trách nhiệm của Notion

• Phát triển, kiểm thử, vá lỗi và duy trì ứng dụng Notion cùng cơ sở hạ tầng hỗ trợ ứng dụng đó. Notion áp dụng các bản cập nhật cho dịch vụ; khách hàng không cần làm gì.

• Thực hiện mô hình hóa mối đe dọa và đánh giá thiết kế bảo mật cho các bản phát hành mới, đồng thời thực hiện kiểm tra mã nguồn, đánh giá mã nguồn và quét bảo mật cơ sở mã.

• Thuê đơn vị độc lập thực hiện kiểm thử xâm nhập hằng năm.

• Triển khai và quản lý bảo mật mạng trên các hệ thống của Notion.

• Giám sát cơ sở hạ tầng, mạng và tài sản của Notion để phát hiện hoạt động độc hại.

• Vận hành chương trình công bố lỗ hổng bảo mật công khai và thuê đơn vị độc lập thực hiện kiểm thử xâm nhập.

• Bảo mật các hệ thống doanh nghiệp và thiết bị của nhân viên Notion, bao gồm mã hóa dữ liệu lưu trữ, phát hiện và phản hồi trên thiết bị đầu cuối và quản lý thiết bị tập trung.

• Phát hành các ứng dụng khách Notion và cung cấp các bản cập nhật cho chúng.

Trách nhiệm của người dùng

• Duy trì các môi trường thiết bị đầu cuối được hỗ trợ và vá lỗi phù hợp, bao gồm trình duyệt web và bất kỳ biện pháp kiểm soát nào có thể ngăn cản các bản cập nhật ứng dụng khách Notion.

• Bảo mật các thiết bị và mạng dùng để truy cập Notion theo tiêu chuẩn bảo mật thiết bị đầu cuối của người dùng.

• Nếu các bản cập nhật ứng dụng khách Notion được quản lý tập trung, hãy đảm bảo chúng tiếp tục được áp dụng kịp thời. Khi trì hoãn hoặc tắt cập nhật tự động, người dùng chịu trách nhiệm vá lỗi ứng dụng khách kịp thời.

• Đảm bảo cấu hình cài đặt không ngăn người dùng nhận các bản cập nhật.

• Báo cáo cho Notion các lỗ hổng đáng ngờ trong dịch vụ Notion thay vì khai thác hoặc công bố công khai các lỗ hổng đó.

Ranh giới nằm ở đâu

Notion vá lỗi cho dịch vụ Notion. Khách hàng không tự áp dụng bản vá cho Notion và không cần làm gì để nhận các bản cập nhật phía máy chủ.

Ứng dụng khách thì khác. Notion phát hành các bản cập nhật, nhưng thiết bị có nhận được hay không còn tùy vào cách thiết bị được cấu hình và quản lý. Nếu tổ chức quản lý việc cài đặt hoặc cập nhật, tổ chức đó có trách nhiệm duy trì ứng dụng khách ở phiên bản mới nhất.

Notion cung cấp API, nền tảng tích hợp và các tính năng AI có thể tác động đến dữ liệu khách hàng và truy cập các hệ thống được kết nối. Khách hàng quyết định bật những gì, cấp quyền truy cập nào và quản lý chúng ra sao.

Trách nhiệm của Notion

• Cung cấp và duy trì API Notion, nền tảng tích hợp, các kết nối và tính năng AI.

• Tuân thủ quyền của người dùng trong Notion AI, Trợ lý Notion và các trình kết nối AI. Trợ lý tùy chỉnh dùng những quyền được cấp riêng cho mình, có thể khác với quyền của người đang tương tác với trợ lý.

• Cung cấp các tùy chọn quản trị để quyết định những tích hợp và công cụ AI bên ngoài nào được cài đặt, những trợ lý nào được tạo và có bật tính năng AI hay không.

• Cung cấp tùy chọn bật hoặc tắt tính năng tìm kiếm trên web bằng AI và yêu cầu xác nhận trước khi gửi yêu cầu ra web bên ngoài.

• Duy trì các biện pháp phòng thủ được thiết kế để phát hiện và giảm thiểu rủi ro tiêm lệnh (prompt-injection), bao gồm việc phát hiện các hướng dẫn ẩn trong nội dung của bên thứ ba và các tệp được tải lên, các hạn chế đối với việc xử lý liên kết và các kiểm tra bổ sung khi các trợ lý hoạt động tự chủ.

• Không dùng dữ liệu khách hàng để huấn luyện các mô hình của Notion và cấm theo hợp đồng các đơn vị xử lý phụ về AI làm vậy nếu không có sự đồng ý rõ ràng của khách hàng.

• Ghi lại hoạt động của các tích hợp, kết nối, trợ lý và công cụ AI bên ngoài trong nhật ký kiểm tra.

Trách nhiệm của người dùng

• Quyết định những tích hợp, kết nối, tính năng AI và trợ lý nào phù hợp với tổ chức, đồng thời cấu hình các biện pháp kiểm soát hiện có cho phù hợp với quyết định đó.

• Xem xét quyền truy cập và các chức năng mà một tích hợp hoặc kết nối yêu cầu trước khi cấp phép, đồng thời xác nhận dịch vụ bên thứ ba đáp ứng yêu cầu của người dùng đối với nhà cung cấp.

• Quản lý mã thông báo tích hợp nội bộ: hạn chế chia sẻ, thay mới định kỳ và thu hồi những mã không còn cần thiết.

• Quản lý việc tạo và cấu hình trợ lý, gồm dữ liệu khách hàng và các công cụ được kết nối mà mỗi trợ lý có thể truy cập; định kỳ rà soát các quyền truy cập đó.

• Khách hàng phải đảm bảo quyền của các trợ lý được giới hạn ở phạm vi phù hợp.

• Xác định liệu có thể bật các mô hình lưu giữ dữ liệu cho những tính năng cần đến chúng hay không.

• Đảm bảo dữ liệu khách hàng cung cấp cho Notion qua các hệ thống được kết nối phù hợp với mục đích này, đồng thời giới hạn đúng phạm vi quyền truy cập được cấp trong các hệ thống đó.

• Cho người dùng biết dữ liệu khách hàng từ bên ngoài không gian làm việc, bao gồm các trang web và tệp được tải lên, có thể chứa nội dung nhằm tác động đến hành vi của AI.

Những điều khách hàng cần hiểu về dữ liệu được kết nối

Phạm vi quyền truy cập được cấp thông qua một kết nối phụ thuộc vào phạm vi quyền được cấp trong hệ thống được kết nối. Notion thực thi các quyền do hệ thống được kết nối cung cấp nhưng không khắc phục các quyền quá rộng trong hệ thống nguồn.

Các thay đổi về quyền trong hệ thống được kết nối chỉ được phản ánh trong Notion sau một khoảng thời gian đồng bộ, chứ không phải ngay lập tức. Dữ liệu khách hàng mới được thêm hoặc đã bị xóa cũng có thể mất một thời gian mới xuất hiện hoặc không còn truy cập được.

Notion chịu trách nhiệm bảo mật dịch vụ Notion và thông báo cho khách hàng khi sự cố ảnh hưởng đến dữ liệu khách hàng của họ. Khách hàng chịu trách nhiệm ứng phó với các sự cố liên quan đến tài khoản, không gian làm việc và dữ liệu khách hàng của mình, bao gồm cả việc gửi những thông báo bắt buộc.

Trách nhiệm của Notion

• Duy trì một kế hoạch ứng phó sự cố được lập thành văn bản và kiểm tra kế hoạch đó định kỳ.

• Phát hiện, phân loại, điều tra, ngăn chặn và khắc phục các sự cố bảo mật ảnh hưởng đến hệ thống của Notion và dữ liệu khách hàng mà Notion lưu giữ.

• Thông báo cho các khách hàng bị ảnh hưởng về các sự cố bảo mật theo Phụ lục Xử lý Dữ liệu và luật hiện hành.

• Đánh giá sự cố sau khi xử lý, bao gồm phân tích nguyên nhân gốc rễ, rồi áp dụng kết quả vào các biện pháp kiểm soát và kế hoạch ứng phó của Notion.

• Công bố trạng thái hoạt động của dịch vụ và thông báo về các sự cố liên quan đến tính khả dụng.

• Vận hành chương trình công bố lỗ hổng bảo mật, đồng thời phân loại và khắc phục các lỗ hổng được báo cáo.

Trách nhiệm của người dùng

• Kịp thời báo cáo cho Notion qua kênh phù hợp về các sự cố bảo mật hoặc lỗ hổng đáng ngờ, tài khoản bị xâm phạm và việc sử dụng dịch vụ sai mục đích.

• Phát hiện và ứng phó với sự cố trong không gian làm việc và tài khoản của người dùng, bao gồm việc thông tin đăng nhập bị xâm phạm, chia sẻ không phù hợp và người dùng nội bộ sử dụng dịch vụ sai mục đích.

• Duy trì phương án ứng phó sự cố của người dùng và xác định người chịu trách nhiệm xử lý các hoạt động được phát hiện trong Notion.

• Thực hiện các biện pháp ngăn chặn có sẵn trong sản phẩm, gồm xóa quyền truy cập, thu hồi phiên, đặt lại thông tin đăng nhập, thu hồi mã thông báo tích hợp và rút lại dữ liệu khách hàng đã xuất bản.

• Lưu giữ các bằng chứng liên quan, bao gồm xuất các bản ghi nhật ký kiểm tra trước khi hết thời hạn lưu giữ.

• Xác định xem một sự cố có kích hoạt nghĩa vụ thông báo mà Người dùng phải thực hiện với cơ quan quản lý, khách hàng hoặc cá nhân bị ảnh hưởng hay không, và thực hiện thông báo đó.

• Giữ cho thông tin liên hệ về quản trị và bảo mật luôn được cập nhật để các thông báo từ Notion đến được đúng người.

• Báo cáo cho Notion các lỗ hổng bảo mật nghi ngờ tồn tại thay vì khai thác hoặc công khai chúng.

Bên nào phát hiện điều gì

Notion giám sát cơ sở hạ tầng của riêng mình và có thể phát hiện các sự cố ảnh hưởng đến Dịch vụ. Notion không thể xác định liệu một hành động trong Không gian làm việc vốn hợp lệ có được ủy quyền theo các chính sách nội bộ của Người dùng hay không. Khách hàng chịu trách nhiệm giám sát hoạt động của Không gian làm việc và phản hồi đối với việc sử dụng sai mục đích.

Điều này bao gồm các sự cố như một thành viên xuất bản Dữ liệu Khách hàng cần được bảo mật, một nhân viên sắp nghỉ việc xuất dữ liệu, hoặc thông tin đăng nhập bị chính người sở hữu hợp pháp sử dụng sai mục đích. Việc phát hiện và phản hồi các sự kiện này phụ thuộc vào việc Người dùng xem xét các bản ghi hoạt động và các biện pháp kiểm soát khả dụng đối với họ.

Notion duy trì một chương trình bảo mật thông tin và quyền riêng tư được kiểm toán độc lập, và cung cấp các tài liệu liên quan. Khách hàng tự xác định xem Notion có phù hợp với các nghĩa vụ pháp lý của riêng họ hay không và cấu hình Notion cho phù hợp.

Trách nhiệm của Notion

• Duy trì các chương trình bảo mật và quyền riêng tư được đánh giá độc lập theo các chu kỳ kiểm toán và chứng nhận hiện hành.

• Cung cấp tài liệu tuân thủ, bao gồm báo cáo kiểm toán và chứng nhận, cho khách hàng và khách hàng tiềm năng thông qua Notion Trust Center.

Trách nhiệm của Người dùng

• Xác định xem Notion có phù hợp với dữ liệu mà Người dùng dự định lưu trữ và các nghĩa vụ pháp lý áp dụng cho họ hay không.

• Ký kết các thỏa thuận cần thiết cho việc sử dụng đó, bao gồm Phụ lục Xử lý Dữ liệu hoặc Thỏa thuận Đối tác Kinh doanh nếu có.

• Áp dụng cấu hình theo yêu cầu của các thỏa thuận đó, bao gồm việc bật mọi cài đặt cụ thể về tuân thủ và các tính năng bảo mật mà các cài đặt đó phụ thuộc vào.

• Hoàn thành các đánh giá của riêng Người dùng, bao gồm đánh giá rủi ro nhà cung cấp và mọi đánh giá tác động bảo vệ dữ liệu theo yêu cầu của pháp luật.

• Xem xét các chứng nhận, báo cáo kiểm toán và danh sách bên xử lý phụ của Notion như một phần trong các quy trình đảm bảo và quản lý thay đổi của riêng Người dùng.

• Chứng minh cho các kiểm toán viên và cơ quan quản lý của riêng Người dùng thấy rằng cấu hình và việc sử dụng Notion của Người dùng đáp ứng các nghĩa vụ áp dụng cho họ.

Phạm vi của chứng nhận

Các chứng nhận và báo cáo kiểm toán độc lập của bên thứ ba về Notion bao quát các biện pháp kiểm soát do Notion vận hành. Chúng không áp dụng cho cách từng tổ chức cấu hình hoặc sử dụng Notion.

Một không gian làm việc chứa dữ liệu chịu sự quản lý theo quy định không mặc nhiên tuân thủ các quy định chỉ vì Notion có chứng nhận. Khi việc đáp ứng một nghĩa vụ phụ thuộc vào cấu hình, chẳng hạn như hạn chế chia sẻ, thực thi đăng nhập một lần, lưu giữ hồ sơ kiểm toán hoặc giới hạn nơi lưu trữ dữ liệu, trách nhiệm đáp ứng nghĩa vụ đó vẫn thuộc về Người dùng.

Notion đặt ra và thực thi các điều khoản sử dụng dịch vụ. Khách hàng chịu trách nhiệm về cách họ sử dụng Notion và Dữ liệu Khách hàng được lưu giữ trong không gian làm việc của họ.

Trách nhiệm của Notion

• Xuất bản và duy trì Content & Use policy, các Terms liên quan và các chính sách liên quan khác.

• Cung cấp cơ chế để bất kỳ ai đang xem một trang Notion công khai đều có thể báo cáo Dữ liệu Khách hàng mà họ cho là bị cấm.

• Điều tra các báo cáo, đồng thời xóa Dữ liệu Khách hàng hoặc hạn chế quyền truy cập khi xác định được hành vi vi phạm.

• Xem xét kỹ hơn các loại hình sử dụng có tỷ lệ lạm dụng cao hơn, đồng thời tạm ngưng hoặc chấm dứt quyền truy cập khi cần thiết để bảo đảm tính khả dụng của Dịch vụ.

Trách nhiệm của Người dùng

• Sử dụng Notion theo Terms và Content & Use Policy, đồng thời đảm bảo những người sử dụng Notion theo gói đăng ký của Người dùng cũng làm như vậy.

• Đảm bảo rằng Dữ liệu Khách hàng được lưu trữ trong, chia sẻ từ hoặc xuất bản thông qua Notion tuân thủ các chính sách đó và luật hiện hành.

• Kiểm duyệt Dữ liệu Khách hàng do người khác đóng góp khi Người dùng phân phối Dữ liệu Khách hàng do người dùng tạo thông qua Notion.

• Sử dụng Notion trong phạm vi được thiết kế và không tìm cách vượt qua, tắt hoặc can thiệp vào các biện pháp kiểm soát bảo mật của Notion.

• Chỉ thực hiện kiểm tra bảo mật Notion thông qua chương trình tiết lộ lỗ hổng bảo mật của Notion và trong phạm vi các điều khoản của chương trình đó.

• Sử dụng các kênh hỗ trợ và báo cáo một cách thiện chí.