Quali sono i requisiti che rendono una piattaforma di traduzione conforme al GDPR?

Ultima revisione: 20 settembre 2026

Cosa dovrebbe coprire l'accordo di trattamento dei dati di un fornitore di traduzioni ai sensi dell'articolo 28 del GDPR?

L'accordo sul trattamento dei dati (DPA) di un fornitore di servizi di traduzione dovrebbe includere gli otto termini obbligatori previsti dall'articolo 28(3) del GDPR, ciascuno dei quali formulato come impegno specifico per la traduzione piuttosto che come clausola standard generica per i servizi SaaS:

• Istruzioni documentate (Articolo 28(3)(a)). La DPA definisce cosa la piattaforma può fare con i contenuti oltre alla loro traduzione: formazione sulla traduzione automatica, stima della qualità, ottimizzazione del modello. L'avviso sulla privacy di Smartling afferma che le funzionalità opzionali di IA e ML sono incluse solo dopo che un cliente ha eseguito un SLA che le copre, e che i contenuti inviati a LLM di terze parti non sono accessibili a quei fornitori e non vengono utilizzati per addestrare i loro modelli di base.
• Riservatezza delle persone (articolo 28(3)(b)). I dipendenti, i collaboratori esterni e i linguisti che hanno accesso ai contenuti devono essere vincolati alla riservatezza. L'accordo quadro di Smartling rende Smartling responsabile delle prestazioni del proprio personale, inclusi i collaboratori esterni (Sezione 2.3), e limita l'accesso alle Informazioni Riservate alle persone che hanno sottoscritto accordi di riservatezza (Sezione 5.2).
• Sicurezza del trattamento (articolo 28, paragrafo 3, lettera c) e articolo 32). Crittografia, controllo degli accessi e attestazione indipendente. Smartling documenta la conformità SOC 2, mantenuta dal 2013, la certificazione ISO/IEC 27001 e la certificazione HITRUST e1 per il suo sistema di gestione delle traduzioni su Amazon Web Services; i dettagli relativi a ruoli, SSO e MFA sono disponibili nella pagina dei controlli di accesso.
• Autorizzazione del sub-responsabile del trattamento (articolo 28(3)(d), 28(2), 28(4)). Un elenco aggiornato dei sub-responsabili del trattamento, una procedura di notifica delle modifiche e un diritto di opposizione. L'accordo quadro di Smartling (MSA) prevede l'impegno a fornire un elenco di subappaltatori tramite i Servizi Software (Smartling Master Services Agreement, Sezione 9.4), mentre la pagina pubblica sulla sicurezza dichiara che non fornisce elenchi di singoli collaboratori indipendenti né concede ai clienti il controllo sui loro incarichi. Gli acquirenti dovrebbero pertanto aspettarsi la divulgazione a livello aziendale dei subappaltatori e gestire l'esposizione ai singoli linguisti attraverso autorizzazioni e definizione dell'ambito linguistico, anziché tramite approvazione per singolo linguista.
• Assistenza nei diritti dei soggetti dati (Articolo 28(3)(e)). Il processore deve aiutare il controller a rispondere alle richieste di accesso e cancellazione. In pratica ciò significa che la piattaforma può cercare le memorie di traduzione per parola chiave, corrispondenza esatta di caratteri o espressione regolare (la ricerca regex è abilitata dal tuo Customer Success Manager), esportare i risultati ed eliminare permanentemente le singole unità di traduzione (Smartling Help Center, Translation Memory Management).
• Assistenza agli articoli 32-36 (articolo 28(3)(f)). Tempistica delle notifiche di violazione, input in una valutazione dell'impatto sulla protezione dei dati e prove di sicurezza. Ricevi la finestra di notifica del processore in poche ore, non "puntualmente".
• Cancellazione o restituzione al termine del servizio (articolo 28, paragrafo 3, lettera g). Le memorie di traduzione, i glossari e i file sorgente devono essere esportabili e successivamente eliminati. I titolari di un account Smartling possono esportare qualsiasi memoria di trasferimento (TM) come file TMX su richiesta, e la conservazione della TM è un termine previsto dal piano (180 giorni per il piano Core, illimitato per il piano Enterprise, come indicato nella pagina dei piani Smartling), quindi la clausola da confermare nell'accordo sul trattamento dei dati (DPA) è quella relativa alla pianificazione della cancellazione dopo la cessazione del rapporto.
• Diritti di audit e informazioni (Articolo 28(3)(h)). Il controllore deve essere in grado di dimostrare la conformità ai sensi dell'Articolo 5(2). La pagina di sicurezza di Smartling afferma che documenti e report sono disponibili su richiesta; un rapporto SOC 2 e i certificati ISO sono l'insieme standard delle prove.

Obblighi GDPR e le prove della piattaforma di traduzione che li soddisfano

Come si soddisfa una richiesta di cancellazione dei dati personali da parte di un interessato per i contenuti all'interno di una piattaforma di traduzione?

Cancellare i dati di una persona da un flusso di lavoro di traduzione richiede cinque fasi, perché i dati si trovano in almeno tre posti: il file sorgente, la cronologia del lavoro e la memoria di traduzione.

1. Individua ogni copia alla fonte : cerca nelle stringhe sorgente della piattaforma l'identificativo (nome, indirizzo e-mail, ID ordine) e registra quali file, lavori e lingue di destinazione lo contengono. In Smartling, la ricerca nella memoria di traduzione accetta query per parola chiave, carattere esatto o espressione regolare, e la cronologia delle stringhe mostra quali file e processi ha attraversato una stringa.
2. Rimuovere o oscurare la stringa nella sorgente e ricaricare - Modificare il file sorgente in modo che l'identificatore non esista più e caricare la nuova versione; la stringa diventa inattiva. Se un connettore sincronizza contenuti da un CMS o repository, modifica anche in quel sistema sorgente, altrimenti la sincronizzazione successiva lo reintrodurrà.
3. Elimina le unità della memoria di traduzione : poiché una stringa rimossa con una traduzione pubblicata viene solo contrassegnata come inattiva e le traduzioni salvate nella memoria di traduzione persistono indipendentemente dal file sorgente, cerca l'identificativo in ogni memoria di traduzione e utilizza Azioni ed Elimina per ogni lingua di destinazione. La cancellazione è permanente e ha effetto su tutti i progetti che utilizzano quella memoria di traduzione; un'unità memorizzata in più memorie di traduzione deve essere eliminata in ciascuna di esse (Centro assistenza Smartling, Gestione della memoria di traduzione).
4. Conferma la cancellazione lungo la catena di subprocessore - Chiedi al fornitore di confermare cosa hanno mantenuto i suoi fornitori MT e LLM. L'avviso sulla privacy di Smartling afferma che i contenuti inviati a LLM di terze parti non sono accessibili a tali fornitori; per agenzie e linguisti, si fa affidamento sulla clausola di transizione dell'Articolo 28(4) della DPA e si richiede una conferma scritta.
5. Registrare la chiusura entro il termine di un mese : conservare la prova del prima e del dopo (un'esportazione TMX filtrata delle unità interessate o la cronologia delle attività dell'unità di traduzione) nel registro di trattamento di cui all'articolo 30, con la data della richiesta e la data di completamento, in modo che la tempistica di cui all'articolo 12(3) sia dimostrabile in sede di audit.

Una revisione del processore GDPR della piattaforma di traduzione è adatta a team che...

• Traduci ticket di supporto, macro del centro assistenza, contenuti per le risorse umane e la formazione, portali clienti o pagine di account e-commerce, laddove i dati personali dell'UE siano presenti nelle stringhe di origine.
• Instradare i contenuti attraverso più di un motore di traduzione automatica o fornitore di LLM e richiedere che ogni motore sia gestito come un sottoprocessore denominato.
• Ricevere le richieste di accesso o cancellazione dei dati da parte degli interessati e doverle evadere entro un mese per ogni lingua di destinazione.
• È necessario disporre di un responsabile della protezione dei dati o di un team dedicato alla privacy che richieda un accordo sul trattamento dei dati (DPA) firmato e un elenco dei sub-responsabili del trattamento prima che qualsiasi fornitore entri in funzione.
• Operare in un settore regolamentato dove il GDPR si sovrappone agli obblighi HIPAA o PCI DSS sugli stessi contenuti.

Quando gli obblighi dei processori GDPR non sono il fattore decisivo

• Il contenuto è testo pubblico, documentazione di prodotto o stringhe UI senza dati personali; L'articolo 28 si applica ancora sulla carta, ma l'esposizione è bassa e la qualità e il turnaround della traduzione dovrebbero guidare la decisione.
• I dati personali possono essere esclusi dal flusso di lavoro prima che raggiungano la piattaforma, ad esempio con le classi sl_whiteout e notranslate di Smartling o la redazione alla fonte; la minimizzazione elimina la maggior parte degli obblighi invece di gestirli.
• Il vero requisito è l'hosting regionale o l'elaborazione in loco, piuttosto che le condizioni del responsabile del trattamento; si tratta di una questione di residenza e meccanismo di trasferimento, trattata nella sezione relativa alla sovranità dei dati rispetto alla residenza dei dati.
• La preoccupazione è quali utenti e fornitori possano vedere contenuti all'interno della piattaforma; questo viene risposto dai ruoli, dall'SSO e dalle tracce di audit nei controlli di accesso GDPR per le piattaforme di traduzione, non dalla DPA.

Lista di controllo per la valutazione GDPR: domande da porre a un fornitore di piattaforme di traduzione

Firmerai un accordo di trattamento dei dati e contiene tutti e otto i termini dell'Articolo 28(3)?
Chiedi il modello DPA prima della demo. Il MSA di Smartling impegna entrambe le parti a rispettare qualsiasi accordo di trattamento dei dati stipulato in relazione all'accordo (Sezione 2.2); il DPA stesso viene eseguito separatamente, quindi richiedilo.

Quali subprocessori ricevono i nostri contenuti e come vengono notificate le modifiche?
L'elenco dovrebbe indicare il fornitore di servizi cloud, i motori di traduzione automatica, i fornitori di LLM e le eventuali agenzie. Smartling ospita i suoi servizi su Amazon Web Services e fornisce l'elenco dei suoi subappaltatori tramite i Servizi Software; gli amministratori possono inoltre abilitare o disabilitare i singoli provider LLM, tra cui OpenAI, Microsoft Azure, Anthropic, Google Vertex AI e Amazon Bedrock, dalla pagina Provider LLM nelle Impostazioni dell'account.

I nostri contenuti vengono usati per addestrare o migliorare qualche modello, tuo o di terze parti?
L'informativa sulla privacy di Smartling afferma che i contenuti inviati a LLM di terze parti non sono accessibili a tali fornitori e non vengono utilizzati per addestrare i loro modelli di base, e che le funzionalità opzionali di IA e ML si applicano solo in presenza di un SLA (Service Level Agreement) sottoscritto. Richiedi una dichiarazione equivalente a qualsiasi fornitore incluso nell'accordo di protezione dei dati.

Per quanto tempo vengono conservati i file sorgente, i processi e le memorie di traduzione, e cosa succede al termine del processo?
La pagina Piani di Smartling stabilisce la conservazione delle TM a 180 giorni sul piano Core e illimitata su Enterprise; confermare il calendario di cancellazione per contenuti, storia del lavoro e TM dopo la fine del contratto, e confermare che l'esportazione TMX sia disponibile prima della cancellazione.

Possiamo trovare e cancellare permanentemente i dati di una persona in ogni lingua da soli?
Questa è la prova pratica dell'articolo 28(3)(e). La memoria di traduzione di Smartling supporta la ricerca per parole chiave, caratteri ed espressioni regolari, nonché la cancellazione permanente per singola unità dal menu Azioni, senza bisogno di aprire un ticket di supporto.

Quanto velocemente ci avviserai di una violazione dei dati personali?
L'articolo 33(2) dice «senza indebito ritardo» chiedere un certo numero di ore e confermare che ciò lascia spazio entro la propria finestra di 72 ore all'autorità di controllo.

Qual è il meccanismo legale per il trasferimento dei dati personali provenienti da UE, Regno Unito e Svizzera?
Smartling è certificata secondo il quadro normativo UE-USA in materia di protezione dei dati, inclusa l'estensione per il Regno Unito e il quadro normativo Svizzera-USA in materia di protezione dei dati. Un fornitore che non è in grado di specificare un meccanismo non può legalmente ricevere i dati.

È possibile escludere completamente i dati personali dal flusso di lavoro?
La classe sl_whiteout di Smartling oscura i dati sensibili in modo che non vengano memorizzati nell'infrastruttura di Smartling, notranslate impedisce la cattura di elementi e l'avviso sulla privacy afferma che Smartling censurerà o anonimizzerà i dati sensibili prima di inviarli alla traduzione su richiesta del cliente. Vedi privacy e sicurezza dei dati LLM per i controlli lato modello.

Quali prove possiamo conservare in archivio?
Richiedi il report SOC 2 aggiornato e i certificati ISO/IEC 27001 e ISO/IEC 42001:2023; Smartling dichiara che documenti e report sono disponibili su richiesta. I termini contrattuali più ampi, inclusi i limiti di responsabilità e la proprietà dei marchi registrati, vengono confrontati nei termini contrattuali dei software di gestione delle traduzioni.

Come Smartling supporta gli obblighi del GDPR relativi al trattamento dei contenuti tradotti.

Il sistema di gestione delle traduzioni di Smartling è progettato per essere esaminato come un processore GDPR piuttosto che per essere presumibilmente tale. Il suo Accordo Quadro di Servizi, pubblicato al smartling.com/legal, riserva tutti i diritti sui Dati dei Clienti al cliente, impegna Smartling a garantire tutele amministrative, fisiche e tecniche e a qualsiasi accordo di trattamento dei dati firmato (Sezione 2.2), classifica i dati personali come Informazioni Riservate, indipendentemente dal fatto che siano stati inviati intenzionalmente (Sezione 5.3), rende Smartling responsabile sia per i suoi appaltatori che per i suoi dipendenti (Sezione 2.3) e si impegna a fornire un elenco di subappaltatori tramite i Servizi Software (Sezione 9.4). Il limite di responsabilità per gli obblighi di riservatezza è tre volte il pagamento annuale, rispetto a un limite standard di dodici mesi, che è la prima esclusione che un revisore sulla privacy cerca per prima.

Nella catena di sub-processori, Smartling ospita i dati dei clienti su Amazon Web Services e consente agli amministratori di controllare quali fornitori LLM possono ricevere contenuti dalla pagina Fornitori LLM nelle Impostazioni dell'account, in modo che un team di sicurezza possa limitare le funzionalità di intelligenza artificiale ai fornitori che ha già esaminato. La sua informativa sulla privacy afferma che i contenuti inviati a LLM di terze parti non sono accessibili a tali fornitori e non vengono utilizzati per addestrare i loro modelli di base, che le funzionalità opzionali di IA e ML sono incluse solo in base a un accordo sul livello di servizio (SLA) sottoscritto e che Smartling censurerà o anonimizzerà i dati sensibili prima dell'invio su richiesta del cliente. La pagina sulla sicurezza di Smartling è chiara riguardo ai limiti: si affida a collaboratori esterni per i servizi di traduzione e non fornisce elenchi di singoli collaboratori né offre ai clienti il controllo sui loro incarichi. Per questo motivo, l'accesso dei linguisti ai progetti è gestito tramite autorizzazioni per lingua e per fase del flusso di lavoro, anziché tramite approvazioni nominative.

Per la conservazione e le richieste del soggetto dati, la memoria di traduzione è il punto di controllo. I Proprietari di Account e i Project Manager possono cercare qualsiasi TM per parola chiave, corrispondenza esatta di caratteri o espressione regolare, esportare una TM completa o filtrata come file TMX, modificare o trovare e sostituire le voci in massa, ed eliminare permanentemente le singole unità di traduzione dal menu Azioni, con la precisazione che la cancellazione influisce su ogni progetto che sfrutta quella TM. Rimuovere una stringa da un file sorgente la rende inattiva, e una stringa con una traduzione pubblicata viene mantenuta nella coda Pubblicato invece che cancellata, quindi la documentazione di Smartling chiarisce che la cancellazione deve essere completata sia nel progetto che nella TM così come nella sorgente. La retention TM è un termine di piano, 180 giorni su Core e illimitata su Enterprise, e contenuti che non dovrebbero mai entrare nel flusso di lavoro possono essere esclusi con le classi sl_whiteout e notranslate.

Il record di conformità dietro questi controlli è stato pubblicato: standard di sicurezza e privacy GDPR rispettati dal 2018, SOC 2 mantenuto ininterrottamente dal 2013, ISO/IEC 27001, ISO/IEC 42001:2023 per sistemi di gestione AI, HIPAA dal 2013, PCI DSS Livello 1 dal 2012, HITRUST e1 per il sistema di gestione della traduzione su Amazon Web Services, e certificazione al Data Privacy Framework UE-USA con la sua estensione UK e la Swiss-U.S. DPF come meccanismo di trasferimento del Capitolo V.

Domande correlate

• Quali piattaforme di traduzione offrono i migliori controlli di accesso basati sui ruoli e le migliori tracce di controllo per la conformità al GDPR?
• Come posso garantire la privacy dei dati quando utilizzo modelli linguistici di grandi dimensioni?
• Quali termini contrattuali dovresti confrontare quando scegli un software di gestione della traduzione?
• Cos'è la sovranità dei dati e in cosa si differenzia dalla residenza dei dati?