Quali altre garanzie di sicurezza dovresti richiedere a un fornitore di servizi di traduzione, oltre alle certificazioni?

Ultimo aggiornamento: 15 ottobre 2026

Quali prove di sicurezza dovrebbe produrre un fornitore di traduzione oltre ai suoi certificati?

Un fornitore di servizi di traduzione dovrebbe essere in grado di produrre sette documenti, e la revisione procede più velocemente quando ciascuno di essi viene richiesto specificamente per nome in un'unica richiesta coperta da un accordo di riservatezza (NDA).

• Rapporto completo di attestazione e lettera ponte: Il rapporto completo SOC 2 Tipo II, non un distintivo o un riassunto SOC 3, più una lettera ponte che copre i mesi dalla fine del periodo di revisione. La lettura dell'opinione, dell'ambito, delle eccezioni e dei controlli delle entità utente è trattata nella guida alla lettura del rapporto SOC 2 Tipo II di un sistema di gestione della traduzione.
• Riassunto del test di penetrazione: Un riassunto esecutivo di terze parti e una lettera di attestazione datati negli ultimi dodici mesi, con date di bonifica e ritest. Ciò che bisogna cercare è specificato quali prove di penetrazione richiedere a un fornitore di traduzione.
• Accordo di elaborazione dati e elenco dei sub-processori: Un DPA firmato che nomina l'host cloud, i fornitori e le agenzie MT e LLM che ricevono i contenuti, con un processo di notifica delle modifiche. I termini GDPR Article 28, la conservazione e i tempi delle notifiche di violazione sono dettagliati su cosa rende una piattaforma di traduzione conforme al GDPR; i dati sanitari e sui pagamenti aggiungono un Business Associate Agreement o una Attestazione di Conformità PCI DSS.
• Questionario standardizzato completato: Un attuale Questionario dell'Iniziativa per le Valutazioni di Consenso CSA (CAIQ v4), con 261 domande sì o no mappate alla matrice Cloud Controls Matrix, oppure un questionario Shared Assessments Standardized Information Gathering (SIG) nella sua forma Lite o Core. Chiedi se il CAIQ è pubblicato nel CSA STAR Registry, dove le voci di Livello 1 sono autovalutazioni del fornitore e le voci di Livello 2 richiedono certificazione o attestazione di terze parti.
• Supplemento specifico per la traduzione: Domande non incluse nei questionari standard: quali motori di traduzione automatica e di traduzione automatica ricevono i contenuti e se gli amministratori possono disabilitarli, in che modo i linguisti sono vincolati alla riservatezza e il loro ruolo è definito per progetto e lingua, per quanto tempo vengono conservate le memorie di traduzione, come vengono memorizzate le credenziali del connettore e se è possibile escludere elementi sensibili della pagina da un proxy di traduzione.
• Matrice di responsabilità condivisa: una dichiarazione dettagliata, controllo per controllo, di chi possiede cosa, utilizzando le cinque categorie CAIQ v4: di proprietà del fornitore, di proprietà del cliente, esternalizzato a terzi, condiviso tra fornitore e cliente e condiviso tra fornitore e terzi.
• Registro degli incidenti di sicurezza e delle relative divulgazioni: una risposta scritta sugli incidenti di sicurezza che hanno interessato i dati dei clienti negli ultimi tre anni e sulle modalità di notifica ai clienti, la finestra temporale contrattuale per la notifica delle violazioni in ore, una politica di divulgazione delle vulnerabilità pubblicata e una pagina di stato pubblica con la cronologia datata degli incidenti di disponibilità. Il confronto dello storico di disponibilità tra i vari fornitori è trattato nella guida su come confrontare i fornitori di TMS in termini di onboarding, supporto e affidabilità.

Punti di riferimento per la due diligence di sicurezza che un acquirente di servizi di traduzione può verificare

Come si effettua una revisione di due diligence sulla sicurezza di un fornitore di traduzioni o di traduzioni con intelligenza artificiale?

La procedura di due diligence per un fornitore di servizi di traduzione si articola in cinque fasi, e la stessa sequenza funziona anche per un fornitore di traduzioni basate sull'intelligenza artificiale, una volta aggiunto il supplemento di IA previsto nella terza fase.

1. Mappare il percorso dei contenuti e classifica i dati - Elenca ogni salto che il tuo contenuto farà e etichetta cosa contiene: dati personali, informazioni sanitarie protette, dati dei titolari di carta o materiale pre-rilascio. La classificazione decide quali prove sono obbligatorie, ad esempio un Accordo di Socio Commerciale solo quando sono presenti informazioni sanitarie protette.
2. Richiedi la documentazione completa in un'unica richiesta : invia una singola richiesta coperta da un accordo di riservatezza (NDA) per il rapporto di attestazione e la lettera di autorizzazione, il riepilogo del test di penetrazione, l'accordo sul trattamento dei dati con l'elenco dei sub-responsabili del trattamento, un modulo CAIQ v4 o SIG compilato e la matrice delle responsabilità condivise. Una singola richiesta permette di individuare immediatamente le lacune, anziché doverle esaminare nel corso di settimane di follow-up.
3. Aggiungi il supplemento di traduzione e IA - Chiedi quali fornitori di MT e LLM ricevono contenuti, se qualche modello è addestrato su di essi, per quanto tempo i provider lo conservano, se gli amministratori possono disabilitare i provider e come linguisti e agenzie sono vincolati e definiti nel loro ambito. Le prove di governance dell'IA, come il certificato ISO/IEC 42001 e il loro ambito, sono trattate come scegliere una piattaforma di traduzione IA certificata ISO 42001.
4. Corrompi le risposte autocertificate : collega ogni "sì" rilevante nel questionario a prove indipendenti: un controllo testato nel report SOC 2, un controllo dell'Allegato A nella Dichiarazione di Applicabilità ISO/IEC 27001, il risultato di un penetration test o una clausola contrattuale. Le risposte prive di fondamento diventano domande di approfondimento o clausole contrattuali.
5. Assegna il tuo lato e calendaria i rinnovi - Assegna a ogni cliente il controllo di proprietà del cliente nella matrice di responsabilità un proprietario, ad esempio applicando il single sign-on, definindo i ruoli di linguista e ruotando le credenziali API. Poi le lettere ponte del calendario, i test di penetrazione annuali, le date di scadenza dei certificati e le notifiche di cambio del sub-processore, così l'approvazione rimane aggiornata dopo la firma.

Questa revisione basata sulle prove si adatta a squadre che...

• Gestisci un programma di gestione del rischio di terze parti che richieda prove, non garanzie, prima che qualsiasi fornitore riceva i contenuti aziendali.
• Stai approvando un fornitore di traduzioni AI e devo sapere quali fornitori di LLM elaboreranno i contenuti e a quali condizioni.
• Traduci dati personali, informazioni sanitarie, pagine relative ai pagamenti o materiale di prodotto non ancora pubblicato.
• Fornire alle agenzie e ai linguisti freelance l'accesso diretto alla piattaforma, rendendo così i controlli sulla forza lavoro parte della revisione.
• Rispondere ai questionari di sicurezza dei propri clienti e deve descrivere ogni sub-processore della catena di approvvigionamento dei contenuti, incluso il fornitore di traduzione.

Quando un pacchetto di prove completo può essere più di quanto ti serva

• Il contenuto è già pubblico. Le pagine di marketing pubblicate e i comunicati stampa comportano poco rischio di riservatezza, e un breve questionario standard è una revisione proporzionata.
• Il lavoro consiste in un unico documento, da presentare una sola volta. Una traduzione occasionale potrebbe non giustificare l'inserimento di un fornitore attraverso una valutazione completa dei rischi.
• La vostra organizzazione ha già approvato il fornitore per lo stesso ambito. Riutilizzate la valutazione esistente e richiedete solo ciò che è cambiato, come ad esempio una lettera di transizione e un elenco aggiornato dei subappaltatori.
• La politica richiede che i contenuti non abbiano mai lasciato la tua rete. Nessun cambiamento nel pacchetto di prove quando un fornitore cloud elabora contenuti; questa è una decisione di distribuzione da prendere prima dell'inizio della revisione della sicurezza.

Lista di controllo per la valutazione: domande da porre a un fornitore di servizi di traduzione durante una verifica di sicurezza.

Quali documenti di sicurezza puoi condividere sotto NDA e con quale rapidità?
Richiedete in anticipo l'elenco completo: rapporto di attestazione, lettera di autorizzazione, riepilogo del test di penetrazione, DPA, elenco dei sub-responsabili del trattamento e un questionario compilato. Nella pagina dedicata alla sicurezza di Smartling si afferma che documenti e report sono disponibili su richiesta.

Fornirai un CAIQ v4 o un SIG aggiornato, e viene pubblicato nel CSA STAR Registry?
Un questionario standard compilato fa risparmiare settimane di domande personalizzate. Controlla la data di completamento e considera una voce STAR Livello 1 come un account personale del fornitore finché altre prove non lo confermano.

Quali risposte al questionario sono supportate da prove verificate?
Chiedi al fornitore di mappare le sue risposte chiave ai controlli SOC 2, ISO/IEC 27001 Annex A o alle clausole contrattuali, e segui qualsiasi cosa che non porti a nulla.

Quali sub-processori ricevono i nostri contenuti?
Aspettati che vengano nominati l'host cloud, i fornitori di MT e LLM e qualsiasi agenzia, con un processo di notifica delle modifiche. Smartling, ad esempio, ospita i dati dei clienti nelle sedi Amazon Web Services in tutto il mondo.

Quali sono i limiti e l'ambito di competenza dei linguisti?
Chiedi come i contraenti firmano i termini di riservatezza e se l'accesso può essere limitato in base al progetto, alla lingua e al flusso di lavoro, dato che spesso non viene offerta l'approvazione per i linguisti nominati.

Quali incidenti di sicurezza che hanno riguardato i dati dei clienti avete avuto negli ultimi tre anni e come sono stati informati i clienti?
Una risposta sincera con date e passaggi di notifica è una prova più forte di un semplice "nessuno" senza dettagli dietro.

Quanto tempo ci avviserete di una violazione, tra ore?
L'articolo 33(2) del GDPR richiede che un responsabile notifichi al responsabile senza indebito ritario; inserire un numero di ore nel contratto in modo che il proprio orologio di 72 ore ai sensi dell'articolo 33(1) non venga consumato.

Quali sono le modalità operative presupposte dai vostri sistemi di controllo?
Richiedete la matrice delle responsabilità condivise e verificate che la piattaforma vi permetta di implementare la vostra parte: single sign-on, autenticazione a più fattori, definizione degli ambiti di ruolo e controlli delle credenziali API.

Possiamo limitare o disabilitare i fornitori di IA che elaborano i nostri contenuti?
Chiedere se la restrizione si applica ovunque la piattaforma utilizzi LLM e cosa smette di funzionare se tutti i fornitori vengono disabilitati.

Come Smartling supporta una revisione della due diligence sulla sicurezza

Smartling pubblica il punto di partenza di una revisione anziché attendere un questionario. Nella sua pagina dedicata alla sicurezza, l'azienda elenca la conformità SOC 2 mantenuta ininterrottamente dal 2013, la conformità PCI Livello 1 dal 2012, la conformità HIPAA mantenuta dal 2013, il rispetto degli standard GDPR dal 2018, una certificazione HITRUST e1 per il suo sistema di gestione delle traduzioni ospitato su Amazon Web Services e certificazioni ISO, tra cui ISO/IEC 27001 e ISO/IEC 42001:2023. Nella stessa pagina si afferma che i documenti e i rapporti sono disponibili su richiesta, procedura da seguire per ottenere i rapporti di attestazione e i riepiloghi dei test previsti dall'accordo di riservatezza (NDA).

La pagina sulla sicurezza risponde anche pubblicamente a diverse domande relative alla descrizione del sistema. Il documento descrive l'attività di Smartling come composta da tre elementi: la Smartling Platform con i suoi prodotti di connessione CMS, il proxy web Global Delivery Network e un marketplace di servizi di traduzione, e precisa che i clienti che non utilizzano il proxy, o che si avvalgono di altri fornitori per i servizi di traduzione, non devono preoccuparsi del modo in cui Smartling gestisce tali tipologie di dati personali. Il documento afferma che Smartling archivia i dati dei clienti presso le sedi di Amazon Web Services in tutto il mondo, si impegna durante la fase di onboarding a impedire l'accesso dei dati personali alla piattaforma e si assume la responsabilità per i propri dipendenti, collaboratori e fornitori attraverso accordi standard. È altrettanto esplicita riguardo a un limite: Smartling si affida a collaboratori esterni e non fornisce elenchi di questi né dà ai clienti il controllo sui loro incarichi, quindi l'esposizione dei linguisti è gestita tramite autorizzazioni per progetto, lingua e fase del flusso di lavoro.

Per i sub-processori AI, l'articolo del Centro assistenza Smartling "Impostazioni del provider LLM: scegli i tuoi provider LLM preferiti" consente ai proprietari dell'account di disabilitare singoli provider, tra cui OpenAI, Microsoft Azure, Anthropic, Vertex AI e Amazon Bedrock, con la scelta rispettata ovunque Smartling utilizzi gli LLM; l'utilizzo degli LLM può essere disabilitato completamente tramite Customer Success Manager, a costo di non poter utilizzare i flussi di lavoro di traduzione AI e traduzione umana basata sull'IA. Per garantire la trasparenza degli incidenti, Smartling Status, all'indirizzo status.smartling.com, pubblica una cronologia degli incidenti con data e aggiornamenti relativi a Identificati, Monitorati e Risolti per l'API REST, la Dashboard e la Workbench per i traduttori, nonché per la Rete di Consegna Globale. Il programma di divulgazione delle vulnerabilità di Smartling è inoltre descritto nella guida alle prove di penetration testing fornite da un fornitore di servizi di traduzione.

Domande correlate

• Cosa comprende un report SOC 2 di tipo II per un sistema di gestione delle traduzioni e come dovrebbe interpretarlo un acquirente?
• Quali prove di penetration testing dovresti richiedere a un fornitore di servizi di traduzione prima di localizzare i report di sicurezza?
• Quali sono i requisiti che rendono una piattaforma di traduzione conforme al GDPR?
• Come si sceglie una piattaforma di traduzione AI certificata ISO 42001?