Notion
Notion est un espace de travail connecté qui combine documents, wiki, projets, bases de données et fonctionnalités CRM légères. Notion peut être embarqué dans un site public (iframe notion.site ou notion.so) ou interrogé via l'API Notion. Notion Labs Inc. est établi aux États Unis et la plateforme pose plusieurs cookies analytiques, de sécurité et de session dans le navigateur lors du chargement des pages Notion publiques.
Que fait Notion ?
Qu'est ce que Notion et où apparaît il dans un site web
Notion est un espace de travail connecté où les équipes rédigent des documents, construisent un wiki, suivent des projets, conçoivent des bases de données et exploitent des flux CRM et RH légers. La majeure partie de l'usage de Notion se fait derrière authentification sur notion.so, mais des pages Notion publiques peuvent aussi être partagées via notion.site et embarquées dans un site public via une iframe ou récupérées côté serveur via l'API Notion. Certaines équipes utilisent Notion comme CMS headless léger pour des centres d'aide, des changelogs, des pages de recrutement et des roadmaps.
Données et cookies collectés par Notion
Le chargement d'une page Notion dans le navigateur pose plusieurs cookies : cookies de session (token_v2, notion_user_id), cookies de sécurité et CSRF (notion_check_cookie_consent), cookies d'analyse produit basés sur Segment et Amplitude (ajs_anonymous_id, ajs_user_id, _amp_id), cookies de feature flags et préférences de langue (NEXT_LOCALE). Notion collecte aussi des métadonnées (adresse IP, User Agent, géolocalisation), l'activité dans l'espace de travail, les requêtes de recherche et l'ensemble du contenu saisi par les rédacteurs.
Implications RGPD et ePrivacy
Notion est un SaaS tiers qui pose des cookies analytiques et produit dépassant le strict nécessaire ; il déclenche donc la règle de consentement ePrivacy lorsque des pages Notion publiques sont embarquées dans un site avec des visiteurs européens. Un consentement au sens de l'article 6, paragraphe 1, point a) du RGPD est requis avant le chargement de l'embed, en particulier pour les cookies analytiques et produit. Pour les salariés et prestataires utilisant Notion dans l'espace de travail, la base légale est l'exécution d'un contrat au sens de l'article 6, paragraphe 1, point b) du RGPD et l'intérêt légitime pour les journaux de sécurité.
Transferts internationaux de données
Notion fonctionne principalement sur AWS aux États Unis. Les clients Enterprise peuvent activer la résidence des données européenne, qui stocke le contenu des espaces de travail dans AWS Francfort tandis que comptes, facturation et support restent aux États Unis. Les transferts s'appuient sur l'Addendum Notion au traitement, les Clauses Contractuelles Types européennes au sens de l'article 46, paragraphe 2, point c) du RGPD et le Data Privacy Framework UE États Unis, avec TLS 1.3 en transit, chiffrement au repos, SOC 2 Type II et ISO 27001.
Étapes pratiques de conformité
Signez l'Addendum Notion, activez la résidence des données UE sur le plan Enterprise lorsque vos clients européens l'exigent, configurez SAML SSO, des permissions granulaires et des journaux d'audit, et définissez des règles de rétention pour les contenus archivés. Si vous embarquez Notion dans un site public, conditionnez l'iframe à une plateforme de gestion du consentement afin que les cookies analytiques ne se chargent qu'après l'acceptation du visiteur. Inscrivez Notion comme sous traitant dans le registre des activités de traitement et mentionnez le service dans la politique de confidentialité.
Notion et le RGPD
Notion est classé dans la catégorie « Mesure d'audience ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.
- Base légale
- Performance of a contract (Art. 6(1)(b) GDPR) for the SaaS itself; consent (Art. 6(1)(a) GDPR) for analytics and marketing cookies when Notion content is embedded in a public website
- Niveau de risque
- medium
- Textes applicables
- GDPR, ePrivacy Directive (Cookie Law), CCPA
Analyse d'impact (AIPD)
Une AIPD est recommandée lorsque Notion stocke à grande échelle des données personnelles d'employés, de clients ou de fournisseurs, lorsqu'il est utilisé dans des secteurs régulés (services financiers, santé, secteur public), lorsque les AI Connectors envoient des données personnelles à des tiers ou lorsque des volumes significatifs de mineurs européens interagissent avec Notion via des formulaires embarqués.
Exemple de texte pour votre bannière
Nous embarquons du contenu Notion (Notion Labs Inc., États Unis). Le chargement du contenu Notion pose des cookies analytiques, de sécurité et de session (NEXT_LOCALE, notion_check_cookie_consent, ajs_anonymous_id) et transfère votre adresse IP et les métadonnées de votre requête vers des serveurs Notion, y compris aux États Unis. En acceptant, vous autorisez ce traitement sous Clauses Contractuelles Types européennes et Data Privacy Framework UE États Unis.
Ce que Notion dépose et contacte
- Méthode de suivi
- Embedded iframe (notion.site or notion.so public page) or Notion API consumed by the website backend; SaaS web app at notion.so for authenticated users
- Localisation des serveurs
- United States (Notion Labs Inc., AWS based, with EU data residency option for Enterprise plan)
- Transfert de données hors UE
- Notion Labs Inc. is established in San Francisco and operates the platform on AWS. EU customers can opt in to the EU data residency option introduced for Enterprise plans, which stores workspace content in AWS Frankfurt. Account, billing and support data remain in the United States. Transfers rely on the Notion Data Processing Addendum, the EU Standard Contractual Clauses under Article 46(2)(c) GDPR and the EU US Data Privacy Framework.
Cookies déposés (6)
| Nom | Type | Durée | Finalité |
|---|---|---|---|
| token_v2 | Strictly necessary | 1 year | Stores the Notion authentication token for users logged in to a workspace. |
| notion_user_id | Strictly necessary | 1 year | Stores the Notion user identifier of the currently signed in account, used to scope content access. |
| notion_check_cookie_consent | Strictly necessary (security) | 1 year | Used by Notion to detect whether the browser accepts third party cookies, in order to fall back gracefully on the embed flow. |
| ajs_anonymous_id | Analytics | 1 year | Segment based product analytics cookie that assigns a pseudonymous identifier to the visitor. Used to track Notion product usage across sessions. |
| ajs_user_id | Analytics | 1 year | Segment based product analytics cookie that stores the authenticated user identifier for cross device analytics inside Notion. |
| NEXT_LOCALE | Functional | 1 year | Stores the preferred language and region settings for the Notion interface. |
Domaines tiers contactés (6)
notion.sonotion.sitenotion.comnotion-static.comamplitude.comsegment.io
Questions fréquentes sur Notion
Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.
Quels cookies Notion pose t il lorsqu'une page publique est embarquée ?
Le chargement d'une iframe notion.site ou notion.so pose des cookies de session (token_v2, notion_user_id), des cookies de sécurité (notion_check_cookie_consent), des cookies analytiques Segment (ajs_anonymous_id, ajs_user_id), des cookies produit Amplitude (_amp_id) et des cookies de langue (NEXT_LOCALE). La liste exacte évolue avec la stack analytics de Notion.
Faut il un consentement pour embarquer du contenu Notion sur un site européen ?
Oui. L'embed Notion pose des cookies analytiques et produit qui dépassent le strict nécessaire, ce qui déclenche la règle de consentement ePrivacy. Un consentement au sens de l'article 6, paragraphe 1, point a) du RGPD doit être recueilli avant le chargement de l'embed, généralement via une plateforme de gestion du consentement qui charge l'iframe à la demande, après acceptation.
Quelle est la base légale du traitement des données dans le workspace Notion ?
Pour les salariés et prestataires utilisant le workspace Notion, la base légale est l'exécution d'un contrat au sens de l'article 6, paragraphe 1, point b) du RGPD pour les fonctionnalités collaboratives courantes, complétée par l'intérêt légitime au sens de l'article 6, paragraphe 1, point f) du RGPD pour les journaux de sécurité et la prévention des abus.
Comment les transferts vers les États Unis sont ils encadrés ?
Notion signe les Clauses Contractuelles Types européennes au sens de l'article 46, paragraphe 2, point c) du RGPD via son Addendum et confirme son adhésion au Data Privacy Framework UE États Unis. Les clients Enterprise peuvent en outre activer la résidence des données dans AWS Francfort. Les mesures complémentaires comprennent TLS 1.3, le chiffrement au repos, SOC 2 Type II et ISO 27001.
Une AIPD est elle requise pour Notion ?
Une AIPD est recommandée lorsque Notion contient des volumes significatifs de données RH, clients ou fournisseurs, lorsqu'il alimente des flux RH ou de recrutement pour les salariés européens, lorsqu'il s'intègre à Notion AI Connectors envoyant des données personnelles à des tiers ou lorsqu'il est utilisé dans des secteurs régulés (santé, services financiers, administration publique).
Comment intégrer Notion de manière conforme au RGPD ?
Signez l'Addendum Notion, activez la résidence des données UE sur le plan Enterprise si nécessaire, configurez SAML SSO et SCIM, définissez des permissions granulaires et des règles de partage externe, restreignez l'usage de Notion AI sur les pages confidentielles, conditionnez tout embed public à une plateforme de gestion du consentement et inscrivez Notion comme sous traitant dans le registre des activités.
Quelles sont les alternatives européennes à Notion ?
Les alternatives avec hébergement européen incluent Coda (US mais options UE), Confluence Cloud (Atlassian, résidence UE sur les plans enterprise), Outline (open source, auto hébergeable en UE), Affine (open source, auto hébergeable), Logseq (local first, open source), Anytype (local first, projet UE) et Nuclino (Allemagne).
Comment mettre à jour la politique cookies lors de l'embed Notion ?
Listez Notion Labs Inc. comme sous traitant pour l'embed Notion, décrivez les catégories de cookies posées par Notion (session, sécurité, analytics, produit), précisez que des données dont l'adresse IP peuvent être transférées aux États Unis sous CCT et Data Privacy Framework, renvoyez vers la Politique de confidentialité de Notion et expliquez comment retirer le consentement via votre CMP.
Mettez votre site en conformité aujourd'hui.
Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.