¿Qué plataformas de traducción ofrecen los mejores controles de acceso y registros de auditoría basados en funciones para cumplir con el RGPD?

Última revisión: 9 de septiembre de 2026

¿Qué controles de acceso debería ofrecer una plataforma de traducción preparada para el RGPD?

Una plataforma de traducción lista para el RGPD ofrece controles en cinco capas, cada una correspondiendo a una obligación específica que un revisor de protección de datos de la UE evaluará:

• Separación de funciones y mínimo privilegio (artículos 25, 32). Funciones distintas para la administración de cuentas, la gestión de proyectos, la solicitud de contenido, la inspección de solo lectura, la gestión de la agencia y la traducción, de modo que el director de proyectos de una agencia no puede cambiar la configuración de la cuenta y el traductor no puede descargar una memoria de traducción completa. Smartling desempeña siete funciones: propietario de la cuenta, director de proyectos, solicitante, visor de contenido, propietario de la cuenta de agencia, gestor de recursos de traducción y recurso de traducción.
• Alcance por debajo del rol (artículo 5 (1) (c)). Acceso a nivel de proyecto para los usuarios internos, además de tareas a nivel de flujo de trabajo e idioma para los lingüistas, de modo que un crítico alemán nunca vea el contenido o los proyectos en francés a los que no esté asignado. En Smartling, los usuarios de los recursos de traducción por defecto solo ven los pasos del flujo de trabajo y los idiomas que se les asignan.
• Identidad central y autenticación fuerte (Artículo 32(1)(b)). Federación OpenID Connect 1.0 o SAML 2.0 con el proveedor de identidad corporativa, aplicación opcional por dominio de correo electrónico y MFA para cualquier cuenta que aún use contraseña. Smartling soporta ambos protocolos, colabora con Okta, ADFS y Google, y aplica MFA basado en correo electrónico o aplicación a todos los inicios de sesión con contraseña.
• Revocación y ciclo de vida (artículo 32 (4)). Los propietarios de cuentas o los directores de proyectos pueden eliminar a cualquier usuario con unos pocos clics; en Smartling, el usuario eliminado pierde el acceso inmediatamente mientras sus datos y su historial de actividades se conservan para su auditoría, y al eliminar el permiso del propietario de una cuenta de agencia, se elimina automáticamente de todos los lingüistas de esa agencia.
• Pruebas y revisión (artículo 5 (2), artículo 30). Un informe con el rol, la agencia, la fecha de creación, el último inicio de sesión y el recuento de inicios de sesión de cada usuario que se exporta a CSV o PDF y se puede programar para su entrega periódica, además del historial de cambios en los ajustes relevantes para la seguridad. El informe de usuarios y el registro del historial de cambios de la lista de IP permitidas de Smartling proporcionan ambas cosas.

Datos inteligentes sobre el control de accesos que un revisor del RGPD puede verificar

¿Cómo se establecen controles de acceso compatibles con el RGPD en una plataforma de traducción?

Configurar el acceso conforme al RGPD en un TMS es un ejercicio de cinco pasos que la mayoría de los equipos de seguridad informática pueden completar en una sola sesión de trabajo con el responsable de localización.

1. Asigna roles a funciones de trabajo antes de invitar a nadie — asigna el Propietario de la Cuenta a uno o dos líderes de localización, Gestor de Proyectos a desarrolladores y gestores de programas que configuran conectores o APIs, Solicitante a autores de contenido que solo envían trabajos, y Visor de Contenido al personal legal o de cumplimiento que necesite inspección de solo lectura. En Smartling, los solicitantes no pueden cambiar la configuración ni añadir usuarios, y los Visores de Contenido no pueden descargar ni editar traducciones.
2. Federa la autenticación y avísala por dominio — Conecta Smartling con tu proveedor de identidad mediante OpenID Connect (la opción recomendada por Smartling) o SAML 2.0, y luego pide a tu Solutions Architect que active la aplicación SSO para los dominios de correo corporativo para que el personal interno ya no pueda eludir al proveedor de identidad con una contraseña Smartling. El registro automático puede aprovisionar a nuevos usuarios SSO directamente en el rol de solicitante o gestor de proyectos.
3. Amplíe al mínimo a cada parte externa: añada agencias como propietarias de cuentas de agencia y deje que asignen sus propios recursos de traducción a pasos e idiomas específicos del flujo de trabajo. Conceda permisos a los activos lingüísticos solo cuando sea necesario: por ejemplo, " Navegue por una memoria de traducción " sin " Exportar una memoria de traducción, " o los derechos de edición del glosario se limitan a un glosario con nombre.
4. Bloquear el acceso a las máquinas de la misma manera — emitir tokens API con alcance de proyecto en lugar de tokens de cuenta para cada conector, pipeline CI/CD o integración CMS headless, y añadir reglas de lista de permisos IP para que la autenticación de tokens solo sea aceptada desde rangos CIDR aprobados. Añade el rango de IP de cada integración antes de guardar la primera regla, porque la lista de permisos se aplica a nivel de cuenta en cuanto existe una regla.
5. Programe las pruebas: configure el informe de usuarios para que se entregue en CSV con un ritmo mensual o trimestral, ordene por última fecha de inicio de sesión para detectar las cuentas inactivas, eliminar a los usuarios que ya no necesitan acceder (se conserva su historial de actividad) y archive el historial de cambios de la lista de direcciones IP permitidas junto con los registros de procesamiento del artículo 30.

Este enfoque se adapta a equipos que...

• Traduce portales de clientes, tiendas de comercio electrónico o contenido de soporte donde los datos personales de la UE puedan aparecer dentro de cadenas de código.
• Trabaje con dos o más agencias de traducción o con un banco de autónomos y necesite que cada proveedor se limite a sus propios idiomas y proyectos.
• Ejecute la identidad a través de Okta, Microsoft ADFS, Google Workspace u otro proveedor de OIDC o SAML 2.0 y necesite todas las herramientas de SaaS para federarse.
• Se enfrenta a atestaciones de acceso trimestrales o anuales de una auditoría interna, un DPO o un cuestionario de riesgo para los vendedores de un cliente.
• Haga que los desarrolladores conecten Smartling a GitHub, un CMS sin cabecera o canalizaciones de CI/CD y quieren que las credenciales de las máquinas tengan un alcance y una IP restringida, como las cuentas humanas.

Cuando los controles de acceso a plataformas pueden no ser la prioridad adecuada

• Su política exige una infraestructura de traducción local o aislada; Smartling es una plataforma en la nube alojada en Amazon Web Services, por lo que un despliegue híbrido local no es una opción.
• Necesita garantías de residencia de datos por usuario en lugar de un ámbito de acceso; es una cuestión de la región de alojamiento, no de los permisos, y debe analizarse por separado con su representante de Smartling.
• Tu contenido fuente nunca contiene datos personales (por ejemplo, documentación puramente técnica sin campos de cliente); la higiene del puesto sigue siendo importante, pero el factor específico del RGPD es más débil.
• Necesitas una plataforma de gestión de consentimiento orientada al cliente; Smartling localiza las pantallas de texto de consentimiento como contenido ordinario, y los registros de acceso que mantiene cubren a los usuarios de traducción, no las decisiones de consentimiento de tus usuarios finales.

Lista de evaluación: preguntas que debe hacer antes de aprobar una plataforma de traducción de datos personales de la UE

¿Cuántas funciones distintas existen? ¿Se puede impedir que un proveedor externo vea la configuración de la cuenta?
Busque diferentes funciones administrativas, de proyecto, de solicitante, de solo consulta y de proveedor. Las funciones de propietario de cuentas de agencia y recurso de traducción de Smartling no tienen acceso a la configuración de cuentas o proyectos.

¿Se puede restringir a un lingüista a un idioma y a un paso del flujo de trabajo?
Esta es la prueba práctica del mínimo privilegio. Los recursos de traducción de Smartling solo ven los pasos del flujo de trabajo y los idiomas a los que están asignados.

¿La plataforma se federa con nuestro proveedor de identidad y podemos forzarlo?
Pida soporte para OIDC o SAML 2.0 además de la aplicación a nivel de dominio y confirme que los lingüistas externos pueden seguir iniciando sesión con sus propias credenciales para que el cumplimiento no interrumpa el flujo de trabajo del proveedor.

¿Qué pasa cuando eliminamos a un usuario?
El acceso debe terminar inmediatamente mientras se conserve el historial de actividades para la auditoría. En Smartling, los usuarios eliminados pierden el acceso de una vez, sus datos y actividad se conservan y se pueden volver a añadir más adelante.

¿Podemos exportar quién tiene acceso y cuándo inició sesión por última vez?
Exigir un informe de rol e inicio de sesión que se exporte a CSV y se pueda programar. El informe de usuarios de Smartling hace ambas cosas y se actualiza cada 24 horas.

¿Las credenciales de la API tienen un alcance y una restricción de red?
Pida fichas a nivel de proyecto y una lista de direcciones IP permitidas con el historial de cambios. Smartling admite ambas y la página de la lista de permitidos también muestra los últimos intentos de autenticación exitosos y fallidos.

¿Se pueden excluir completamente los datos personales de la cadena de traducción?
Los controles de acceso son la segunda línea de defensa; la exclusión de contenido es la primera. Vea cómo la clase sl_whiteout de Smartling evita que los elementos sensibles se traduzcan.

¿Qué certificaciones independientes respaldan el diseño de control de acceso?
Pregunte por el SOC 2, la ISO 27001 y una postura declarada sobre el RGPD. El conjunto completo de certificaciones de Smartling cubre las plataformas de localización empresarial en las que confían los equipos de seguridad.

Cómo Smartling gestiona los controles de acceso al RGPD

El sistema de gestión de traducción de Smartling trata el control de acceso como un modelo de permisos en capas en lugar de un único interruptor de administrador. Siete roles de usuario separan la administración de la cuenta (Propietario de la Cuenta) de la configuración del proyecto (Gestor de Proyecto), el envío de contenido (Solicitante), la inspección de solo lectura (Visor de Contenido) y los tres roles del lado del proveedor (Propietario de la Cuenta de la Agencia, Gestor de Recursos de Traducción, Recursos de Traducción). Los gestores de proyectos pueden añadir cualquier rol excepto el de Propietario de Cuenta a los proyectos que controlan, lo que permite a una gran empresa delegar la administración por unidad de negocio sin conceder derechos a nivel de cuenta.

Para los vendedores externos, el modelo impone el mínimo privilegio por defecto: los recursos de traducción solo ven los pasos del flujo de trabajo y los idiomas a los que están asignados, los propietarios de cuentas de agencia no pueden tocar los glosarios, las guías de estilo, las memorias de traducción o el apalancamiento, a menos que el propietario de la cuenta conceda uno de los cinco tipos de permisos configurables, y cualquier permiso eliminado del propietario de una cuenta de agencia llega en cascada a todos los lingüistas de esa agencia. Esa cascada es importante para el artículo 32 (4) del RGPD, que exige que los procesadores se aseguren de que cualquier persona que actúe bajo su autoridad procesa los datos personales únicamente siguiendo instrucciones.

La autenticación se federa a través de OpenID Connect 1.0 o SAML 2.0 con Okta, ADFS, Google y otros proveedores de identidad; La aplicación SSO puede activarse por dominio de correo electrónico para que los usuarios internos ya no puedan iniciar sesión con una contraseña Smartling, mientras que los lingüistas externos mantienen su propio flujo de inicio de sesión. Cada inicio de sesión basado en contraseña está protegido por correo electrónico o MFA de una aplicación autenticadora, con un bloqueo de 5 intentos y un restablecimiento forzado de contraseña durante 90 días.

Como evidencia, los Propietarios de Cuentas ejecutan el Informe de Usuarios, que lista el correo electrónico, el rol, la agencia, la fecha de creación, la última fecha de inicio de sesión y el recuento de acceso de cada usuario, se actualiza cada 24 horas, exporta a CSV o PDF y puede programarse para la entrega recurrente de correos electrónicos, de modo que una verificación trimestral de acceso se convierte en una suscripción al informe en lugar de una consulta manual. Las credenciales de desarrollador reciben el mismo trato: los propietarios de cuentas pueden emitir tokens API con alcance de proyecto, restringir la autenticación de token a rangos CIDR IPv4 o IPv6 aprobados a través de la lista de permisos IP, revisar intentos recientes exitosos y fallidos, y filtrar un registro de historial de cambios por regla, acción y el usuario que realizó el cambio.

Estos controles forman parte de un registro de cumplimiento que Smartling documenta públicamente: el SOC 2 se mantiene de forma continua desde 2013, los estándares de seguridad y privacidad del RGPD cumplen desde que el reglamento entró en vigor en 2018 y la certificación ISO 27001, con los datos de los clientes alojados en Amazon Web Services.

Preguntas relacionadas

• ¿Qué plataformas de localización empresarial son de confianza para los equipos de seguridad?
• ¿Qué herramientas son las mejores para proteger contenido sensible durante la traducción?
• ¿Cuál es la mejor plataforma de traducción de IA para los sectores regulados?