Notion Güvenli mi? Cloud, Şifreleme, Privacy ve Data Residency Gerçekte Ne Anlama Geliyor?

“Güvenli mi?” sorusunu tek checkbox ile cevaplama.

Cloud modeli

Notion web uygulaması cloud-first çalışır.

Customer Data AWS altyapısında tutulur.

Notion resmî security sayfası:

• encryption at rest,
• encryption in transit,
• access logging,
• automated backups,
• separated production environment

gibi kontrolleri listeler.

Şifreleme

Resmî belge:

**at rest → AES-256** **in transit → TLS 1.2 veya üstü**

diyor.

Bu güçlü standartlar.

Ama bu model [[Anytype'taki kullanıcı anahtarlı E2EE]] ile aynı mimari değildir.

İki ürünü “ikisi de encrypted” diyerek eşitleme.

Customer Data kimin?

Notion Privacy Practices, Customer Data'nın müşteriye ait olduğunu ve müşterinin hangi veriyi yüklediğini/kimlerin eriştiğini yönettiğini belirtir.

Account Information ve analytics data ayrı kategorilerdir.

Bu sözleşmesel/veri governance ayrımı teknik encryption modelinden farklıdır.

Backup

Notion kendi cloud altyapısında customer/system data için otomatik backup kullandığını belirtir.

Privacy sayfası ayrıca customer data için per-minute backup ifadesini kullanır.

Ama senin günlük recovery araçların:

• page history,
• Trash,
• export

olmaya devam eder.

[[Yedek yazısında]] neden kendi export'unu da tutman gerektiğini açtık.

Data residency

Enterprise workspace owner uygunluk dahilinde data at rest region seçebilir.

Güncel belgede bölgeler arasında:

• US
• EU / Frankfurt
• Japan
• Korea

örnekleniyor (Notion, Data residency).

Ancak yalnız belirli Customer Data kategorileri bu region kapsamındadır.

Data residency neyi kapsamıyor?

Notion Help açıkça:

• Account Information,
• Usage Data,
• subprocessor processing,
• Notion Calendar,
• Notion Mail,
• Beta Services

gibi alanların region taahhüdü dışında olabileceğini belirtiyor.

Bu yüzden “EU residency açtım, bütün veri ve processing yalnız AB'de” sonucu çıkarma.

AI ve eğitim

Notion AI güvenlik belgeleri customer data'nın Notion veya üçüncü taraf model sağlayıcılarının modellerini eğitmek için kullanılmadığını belirtiyor.

AI Connectors tarafında mevcut permission'ların korunması hedefleniyor.

Ancak AI yeni:

• subprocessor,
• retrieval,
• agent permission

yüzeyleri açar.

Bu yüzden [[AI connectors]] ve [[Custom Agents]] için erişim scope'unu ayrıca yönet.

Tehdit modeli

Hesap çalınması

MFA/SSO ve hesap güvenliği kritik.

Yanlış paylaşım

En sık gerçek risklerden biri permission hatasıdır.

Yetkili workspace owner

Workspace yönetim modeli kapsamında bazı admin yetkileri bulunabilir; şirket hesabını kişisel kasa gibi düşünme.

Export

Export ZIP'i cihazında şifresiz kalabilir.

Agent

Geniş tool/access verilmiş agent yeni veri sızıntısı yüzeyi oluşturabilir.

Karar

Notion güvenlik kontrolleri ciddi bir cloud SaaS düzeyindedir.

Ama ihtiyacın:

“provider bile plaintext içeriğime erişemesin”

ise farklı bir mimari arıyorsun.

İhtiyacın:

“ekip collaboration, admin, audit ve managed cloud ile güvenli çalışma”

ise Notion'ın güvenlik modeli daha doğal olabilir.

Güvenlik ürün etiketi değil, **threat model uyumu**dur.