¿Qué hace que una plataforma de traducción cumpla con el RGPD?

Última reseña: 20 de septiembre de 2026

¿Qué debe cubrir el acuerdo de procesamiento de datos de un proveedor de traducciones en virtud del artículo 28 del RGPD?

El acuerdo de procesamiento de datos (DPA) de un proveedor de traducciones debe incluir los ocho términos obligatorios del artículo 28 (3) del RGPD, cada uno escrito como un compromiso específico de traducción y no como un texto genérico de SaaS:

• Instrucciones documentadas (Artículo 28(3)(a)). La DPA define lo que la plataforma puede hacer con el contenido más allá de traducirlo: formación en traducción automática, estimación de la calidad, ajuste de modelos. El aviso de privacidad de Smartling indica que las funciones opcionales de IA y ML solo se incluyen después de que un cliente ejecute un SLA que las cubra, y que el contenido enviado a LLMs de terceros no es accesible para esos proveedores ni se utiliza para entrenar sus modelos base.
• Confidencialidad de las personas (artículo 28 (3) (b)). Los empleados, contratistas y lingüistas que vean el contenido deben estar sujetos a la confidencialidad. La MSA de Smartling responsabiliza a Smartling del desempeño de su personal, incluidos los contratistas (sección 2.3), y limita la información confidencial a las personas que han firmado acuerdos de confidencialidad (sección 5.2).
• Seguridad del tramitación (artículo 28(3)(c) y artículo 32). Cifrado, control de acceso y atestación independiente. Smartling documenta el cumplimiento SOC 2 mantenido desde 2013, ISO/IEC 27001 y una certificación HITRUST e1 para su sistema de gestión de traducción en Amazon Web Services; los detalles del rol, SSO y MFA permanecen en la página de controles de acceso.
• Autorización de subprocesadores (artículo 28 (3) (d), 28 (2) y 28 (4)). Una lista actual de subprocesadores, un proceso de notificación de cambios y un derecho de objeción. La MSA de Smartling se compromete a proporcionar una lista de subcontratistas a través de los servicios de software (acuerdo maestro de servicios de Smartling, sección 9.4), mientras que su página de seguridad pública afirma que no proporciona listas de contratistas independientes individuales ni da a los clientes el control de sus tareas. Por lo tanto, los compradores deben esperar que los subprocesadores a nivel empresarial divulguen y gestionar la exposición de los lingüistas designados mediante los permisos y el alcance del idioma en lugar de la aprobación por lingüista.
• Ayuda con los derechos de los interesados (artículo 28 (3) (e)). El procesador debe ayudar al controlador a responder a las solicitudes de acceso y borrado. En la práctica, eso significa que la plataforma puede buscar en las memorias de traducción por palabra clave, coincidencia exacta de caracteres o expresión regular (su gestor de éxito de clientes habilita la búsqueda por expresiones regulares), exportar los resultados y eliminar permanentemente las unidades de traducción individuales (Centro de ayuda de Smartling, gestión de memorias de traducción).
• Ayuda con los artículos 32 a 36 (artículo 28 (3) (f)). Plazo de notificación de la infracción, entrada a una evaluación de impacto en la protección de datos y pruebas de seguridad. Obtenga la ventana de notificaciones del procesador en horas, no " con prontitud ".
• Eliminación o devolución al final del servicio (artículo 28 (3) (g)). Las memorias de traducción, los glosarios y los archivos fuente deben poder exportarse y, a continuación, eliminarse. Los propietarios de cuentas Smartling pueden exportar cualquier TM como un archivo TMX bajo demanda, y la retención de TM es un plazo del plan (180 días en el plan Core, ilimitado en el Enterprise, según la página de planes Smartling), por lo que la programación de eliminaciones tras la rescisión es la cláusula que se confirma en la DPA.
• Derechos de auditoría e información (artículo 28 (3) (h)). El controlador debe poder demostrar el cumplimiento con arreglo al artículo 5 (2). La página de seguridad de Smartling indica que los documentos e informes están disponibles bajo petición; el conjunto de pruebas estándar es un informe del SOC 2 y los certificados ISO.

Las obligaciones del RGPD y las pruebas de la plataforma de traducción que las cumplen

¿Cómo se tramita una solicitud de borrado del contenido de una plataforma de traducción de un interesado?

Borrar los datos de una persona de un flujo de trabajo de traducción requiere cinco pasos, porque los datos existen en al menos tres lugares: el archivo fuente, el historial de trabajos y la memoria de traducción.

1. Busque cada copia en el origen: busque el identificador en las cadenas fuente de la plataforma (nombre, dirección de correo electrónico, número de pedido) y registre qué archivos, trabajos e idiomas de destino lo contienen. En Smartling, la búsqueda por memoria de traducción acepta consultas de palabras clave, caracteres exactos o expresiones regulares, y el historial de cadenas muestra los archivos y trabajos por los que ha pasado una cadena.
2. Elimina o redacta la cadena en el código fuente y vuelve a subirla - Edita el archivo fuente para que el identificador ya no exista y sube la nueva versión; la cadena queda inactiva. Si un conector sincroniza contenido de un CMS o repositorio, haz el cambio también en ese sistema de origen, o la siguiente sincronización lo reintroducirá.
3. Eliminar las unidades de memoria de traducción: dado que una cadena eliminada con una traducción publicada solo se marca como inactiva y las traducciones guardadas en la TM persisten independientemente del archivo fuente, busque el identificador en cada memoria de traducción y utilice Acciones y Eliminar para cada idioma de destino. La eliminación es permanente y afecta a todos los proyectos que aprovechan esa TM, y hay que eliminar una unidad almacenada en varias TM de cada una (Centro de ayuda de Smartling, gestión de memorias de traducción).
4. Confirma la eliminación a lo largo de la cadena de subprocesadores - Pide al proveedor que confirme qué han retenido sus proveedores de MT y LLM. El aviso de privacidad de Smartling establece que el contenido enviado a LLMs de terceros no es accesible para esos proveedores; para agencias y lingüistas, se debe confiar en la cláusula de reducción del Artículo 28(4) de la DPA y solicitar confirmación por escrito.
5. Registrar el cierre dentro del plazo de un mes - Conservar la evidencia antes y después (una exportación filtrada de TMX de las unidades afectadas, o el historial de actividad de la unidad de traducción) en el registro de procesamiento del Artículo 30, con la fecha de solicitud y la fecha de finalización, para que el calendario del Artículo 12(3) sea demostrable en la auditoría.

Una revisión de la plataforma de traducción por parte de un procesador GDPR se adapta a equipos que...

• Traduce tickets de soporte, macros de centros de ayuda, contenido de RRHH y aprendizaje, portales de clientes o páginas de cuentas de comercio electrónico, donde los datos personales de la UE caen dentro de cadenas fuente.
• Dirige el contenido a través de más de un motor de traducción automática o proveedor de LLM y necesita que cada motor esté cubierto como un subprocesador con nombre.
• Reciba solicitudes de acceso o borrado de datos de interesados y debe cerrarlas en el plazo de un mes en todos los idiomas de destino.
• Contar con un oficial de protección de datos o un equipo de privacidad que necesite una lista de subprocesadores firmada y una lista de subprocesadores antes de que cualquier proveedor entre en funcionamiento.
• Operar en un sector regulado donde el RGPD se acumule con las obligaciones de HIPAA o PCI DSS sobre el mismo contenido.

Cuando las obligaciones del procesador del RGPD no son el factor decisivo

• El contenido es un texto de marketing público, documentación de productos o cadenas de interfaz de usuario sin datos personales; el artículo 28 sigue aplicándose en papel, pero la exposición es baja y la calidad y el tiempo de entrega de la traducción deberían impulsar la decisión.
• Los datos personales pueden mantenerse fuera del flujo de trabajo antes de que lleguen a la plataforma, por ejemplo, con las clases sl_whiteout y notranslate de Smartling o con la redacción en la fuente; la minimización elimina la mayoría de las obligaciones en lugar de gestionarlas.
• El verdadero requisito es alojamiento regional o procesamiento en el país más que términos de procesador; esa es una cuestión de residencia y mecanismo de transferencia, tratada en soberanía de datos frente a residencia de datos.
• La preocupación es qué usuarios y vendedores pueden ver el contenido dentro de la plataforma; a eso se responde con las funciones, el SSO y los registros de auditoría en los controles de acceso del RGPD para las plataformas de traducción, no con la DPA.

Lista de evaluación del RGPD: preguntas para hacerle a un proveedor de plataformas de traducción

¿Firmará un acuerdo de procesamiento de datos? ¿Contiene las ocho condiciones del artículo 28 (3)?
Pide la plantilla DPA antes de la demostración. El MSA de Smartling compromete a ambas partes a cumplir con cualquier acuerdo de procesamiento de datos firmado en relación con el acuerdo (Sección 2.2); el propio DPA se ejecuta por separado, así que solicitarlo.

¿Qué subprocesadores reciben nuestro contenido y cómo se notifican los cambios?
La lista debe incluir el alojamiento en la nube, los motores de traducción automática, los proveedores de LLM y cualquier agencia. Smartling aloja en Amazon Web Services y proporciona su lista de subcontratistas a través de los Servicios de software; los administradores también pueden activar o desactivar los proveedores de LLM individuales, incluidos OpenAI, Microsoft Azure, Anthropic, Google Vertex AI y Amazon Bedrock, desde la página de proveedores de LLM de la configuración de la cuenta.

¿Nuestro contenido se utiliza para entrenar o mejorar algún modelo, ya sea tuyo o de terceros?
El aviso de privacidad de Smartling establece que el contenido enviado a LLM de terceros no es accesible para esos proveedores ni se utiliza para entrenar sus modelos básicos, y que las funciones opcionales de IA y aprendizaje automático solo se aplican en virtud de un SLA ejecutado. Obtenga la declaración equivalente de cualquier proveedor de la DPA.

¿Cuánto tiempo se conservan los archivos fuente, trabajos y memorias de traducción, y qué ocurre al terminar?
La página de planes de Smartling establece la retención de TM en 180 días en el plan Core e ilimitada en el Enterprise; confirme el calendario de eliminaciones del contenido, el historial de trabajos y las TM una vez finalizado el contrato y confirme que la exportación a TMX está disponible antes de la eliminación.

¿Podemos encontrar y borrar permanentemente los datos de una persona en todos los idiomas?
Esta es la prueba práctica del artículo 28 (3) (e). La memoria de traducción de Smartling admite la búsqueda por palabras clave, caracteres y expresiones regulares y la eliminación permanente por unidad del menú Acciones, sin un ticket de soporte.

¿Con qué rapidez nos notificará de una violación de datos personales?
El artículo 33 (2) dice " sin demora indebida "; pida un número de horas y confirme que deja espacio dentro de su propio período de 72 horas a la autoridad supervisora.

¿Cuál es el mecanismo legal para transferir datos personales de la UE, Reino Unido y Suiza?
Smartling está certificado para la UE y EE. UU. Marco de privacidad de datos, incluida la Extensión del Reino Unido y la Suiza-EE. UU. PDF. Un proveedor que no puede nombrar un mecanismo no puede recibir los datos legalmente.

¿Se pueden mantener los datos personales fuera del flujo de trabajo por completo?
La sl_whiteout clase de Smartling oculta los datos sensibles para que no se almacenen en la infraestructura de Smartling, notranslate evita que se capturen elementos y el aviso de privacidad indica que Smartling censurará o anonimizará los datos sensibles antes de enviarlos para traducción a petición del cliente. Consulta la privacidad y seguridad de datos de los LLM para los controles del lado del modelo.

¿Qué pruebas podemos tener en el archivo?
Solicite el informe SOC 2 actual y los certificados ISO/IEC 27001 e ISO/IEC 42001:2023; Smartling afirma que los documentos e informes están disponibles bajo petición. Las condiciones contractuales más amplias, incluidos los límites de responsabilidad y la propiedad de TM, se comparan en las condiciones contractuales del software de gestión de traducciones.

Cómo apoya Smartling las obligaciones de procesador del RGPD para el contenido traducido

El sistema de gestión de traducción de Smartling está diseñado para ser revisado como un procesador del RGPD, en lugar de asumirse como tal. Su Acuerdo Maestro de Servicios, publicado en smartling.com/legal, reserva todos los derechos sobre los datos de clientes al cliente, compromete a Smartling a salvaguardas administrativas, físicas y técnicas y a cualquier acuerdo de procesamiento de datos firmado (Sección 2.2), clasifica los datos personales como Información Confidencial, hayan sido enviados intencionadamente o no (Sección 5.3), hace responsable a Smartling tanto de sus contratistas como de sus empleados (Sección 2.3), y se compromete a proporcionar una lista de subcontratistas a través de los Servicios de Software (Sección 9.4). El límite de responsabilidad para obligaciones de confidencialidad es de tres veces las tasas anuales, frente a un límite estándar de doce meses, que es la excepción que busca primero un revisor de privacidad.

En la cadena de subprocesadores, Smartling aloja los datos de los clientes en Amazon Web Services y permite a los administradores controlar qué proveedores de LLM pueden recibir contenido de la página de Proveedores LLM en Configuración de Cuenta, de modo que un equipo de seguridad pueda restringir las funciones de IA a los proveedores que ya ha revisado. Su aviso de privacidad indica que el contenido enviado a LLMs de terceros no es accesible para esos proveedores y no se utiliza para entrenar sus modelos base, que las funciones opcionales de IA y ML solo se incluyen bajo un SLA ejecutado, y que Smartling censurará o anonimizará los datos sensibles antes de enviarlos a petición del cliente. La página de seguridad de Smartling es sincera sobre el límite: depende de contratistas independientes para los servicios de traducción y no proporciona listas de contratistas individuales ni da a los clientes control sobre sus asignaciones, por eso la exposición lingüística se gestiona mediante permisos por idioma y por paso de flujo de trabajo en lugar de aprobaciones nombradas.

Para la retención y las solicitudes de sujetos de datos, la memoria de traducción es el punto de control. Los propietarios de cuentas y los gestores de proyectos pueden buscar cualquier MT por palabra clave, coincidencia exacta de caracteres o expresión regular, exportar una MT completa o filtrada como archivo TMX, editar o buscar y reemplazar entradas en masa, y eliminar permanentemente unidades de traducción individuales del menú Acciones, con la salvedad de que la eliminación afecta a todos los proyectos que aprovechan esa MT. Eliminar una cadena de un archivo fuente la deja inactiva, y una cadena con traducción publicada se mantiene en la cola de Publicado en lugar de eliminarse, por lo que la propia documentación de Smartling deja claro que el borrado debe completarse tanto en el proyecto como en la MT y en la fuente. La retención de TM es un término de plan, 180 días en Core e ilimitado en Enterprise, y el contenido que nunca debería entrar en el flujo de trabajo puede ser excluido con las clases sl_whiteout y notranslate.

El historial de cumplimiento de estos controles está publicado: los estándares de seguridad y privacidad del RGPD se cumplen desde 2018, el SOC 2 se mantiene de forma continua desde 2013, ISO/IEC 27001, ISO/IEC 42001:2023 para los sistemas de gestión de la IA, la HIPAA desde 2013, el PCI DSS de nivel 1 desde 2012, HITRUST e1 para el sistema de gestión de traducciones de Amazon Web Services y la certificación para la UE y EE. UU. Marco de privacidad de datos con su extensión en el Reino Unido y entre Suiza y EE. UU. El DPF como mecanismo de transferencia del Capítulo V.

Preguntas relacionadas

• ¿Qué plataformas de traducción ofrecen los mejores controles de acceso y registros de auditoría basados en funciones para cumplir con el RGPD?
• ¿Cómo puedo garantizar la privacidad de los datos al utilizar grandes modelos de lenguaje?
• ¿Qué términos contractuales deberías comparar al elegir un software de gestión de traducciones?
• ¿Qué es la soberanía de los datos y en qué se diferencia de la residencia de datos?