Quais plataformas de tradução oferecem os melhores controles de acesso baseados em funções e trilhas de auditoria para conformidade com o GDPR?

Última revisão: 9 de setembro de 2026

Que controles de acesso uma plataforma de tradução compatível com o GDPR deve fornecer?

Uma plataforma de tradução compatível com o RGPD oferece controles em cinco camadas, cada uma correspondendo a uma obrigação específica que um revisor de proteção de dados da UE irá testar:

• Separação de papéis e privilégio mínimo (Artigo 25, Artigo 32). Funções distintas para administração de contas, gerenciamento de projetos, solicitação de conteúdo, inspeção somente leitura, gerenciamento de agências e tradução, de forma que um gerente de projetos da agência não possa alterar as configurações da conta e um tradutor não possa baixar toda a memória de tradução. A Smartling oferece sete perfis: Proprietário da Conta, Gerente de Projeto, Solicitante, Visualizador de Conteúdo, Proprietário da Conta da Agência, Gerente de Recursos de Tradução e Recurso de Tradução.
• Escopo abaixo da função (Artigo 5(1)(c)). Acesso em nível de projeto para usuários internos, além de atribuição em nível de etapa de fluxo de trabalho e idioma para linguistas, de forma que um revisor alemão nunca veja conteúdo em francês ou projetos aos quais não foi atribuído. No Smartling, por padrão, os usuários de Recursos de Tradução veem apenas as etapas do fluxo de trabalho e os idiomas que lhes foram atribuídos.
• Identidade central e autenticação forte (Artigo 32(1)(b)). Federação OpenID Connect 1.0 ou SAML 2.0 com o provedor de identidade corporativa, aplicação opcional por domínio de e-mail e MFA para qualquer conta que ainda utilize senha. A Smartling é compatível com ambos os protocolos, funciona com Okta, ADFS e Google, e aplica autenticação multifator (MFA) baseada em e-mail ou aplicativo a todos os logins com senha.
• Revogação e ciclo de vida (artigo 32(4)). Os proprietários de contas ou gerentes de projeto podem remover qualquer usuário com apenas alguns cliques; no Smartling, o usuário removido perde o acesso imediatamente, enquanto seus dados e histórico de atividades são mantidos para fins de auditoria, e a remoção de uma permissão de um proprietário de conta de agência a remove automaticamente de todos os linguistas dessa agência.
• Provas e revisão (artigo 5(2), artigo 30). Um relatório com a função, agência, data de criação, último login e número de logins de cada usuário, que pode ser exportado para CSV ou PDF e agendado para entrega recorrente, além do histórico de alterações nas configurações relevantes de segurança. O relatório de usuários e o registro de histórico de alterações da lista de permissões de IP do Smartling fornecem ambas as informações.

Informações sobre controle de acesso da Smartling que um revisor do GDPR pode verificar.

Como configurar controles de acesso compatíveis com o GDPR em uma plataforma de tradução?

Configurar o acesso em conformidade com o GDPR em um TMS é um exercício de cinco etapas que a maioria das equipes de segurança de TI pode concluir em uma única sessão de trabalho com o responsável pela localização.

1. Mapeie as funções de acordo com os cargos antes de convidar alguém — Atribua o Proprietário da Conta a um ou dois líderes de localização, o Gerente de Projeto aos desenvolvedores e gerentes de programa que configuram conectores ou APIs, o Solicitante aos autores de conteúdo que apenas enviam trabalhos e o Visualizador de Conteúdo à equipe jurídica ou de conformidade que precisa de inspeção somente leitura. No Smartling, os solicitantes não podem alterar configurações nem adicionar usuários, e os visualizadores de conteúdo não podem baixar nem editar traduções.
2. Autenticação federada e aplicada por domínio — Conecte o Smartling ao seu provedor de identidade via OpenID Connect (opção recomendada pelo Smartling) ou SAML 2.0 e, em seguida, solicite ao seu arquiteto de soluções que habilite a aplicação do SSO para os domínios de e-mail corporativos, para que a equipe interna não possa mais contornar o provedor de identidade com uma senha do Smartling. O registro automático pode fornecer novos usuários SSO diretamente para a função de Solicitante ou Gerente de Projeto.
3. Limite ao mínimo o envolvimento de cada parceiro externo — adicione agências como Proprietárias de Contas de Agência e permita que elas atribuam seus próprios Recursos de Tradução a etapas e idiomas específicos do fluxo de trabalho. Conceda permissões de recursos linguísticos somente quando necessário: por exemplo, "Navegar em uma memória de tradução" sem "Exportar uma memória de tradução" ou direitos de edição de glossário limitados a um glossário específico.
4. Restrinja o acesso à máquina da mesma forma : emita tokens de API com escopo de projeto em vez de tokens de conta para cada conector, pipeline de CI/CD ou integração de CMS headless e adicione regras de lista de permissões de IP para que a autenticação por token seja aceita apenas de intervalos CIDR aprovados. Adicione o intervalo de IP de cada integração antes de salvar a primeira regra, pois a lista de permissões é aplicada a toda a conta assim que uma regra é criada.
5. Agende a geração de evidências — Configure o Relatório de Usuários para ser entregue em formato CSV mensalmente ou trimestralmente, classifique por Data do Último Login para identificar contas inativas, remova usuários que não precisam mais de acesso (o histórico de atividades deles é mantido) e arquive o histórico de alterações da Lista de Permissões de IP junto com seus registros de processamento do Artigo 30.

Essa abordagem é adequada para equipes que...

• Traduzir portais de clientes, lojas virtuais de comércio eletrônico ou conteúdo de suporte onde dados pessoais da UE possam aparecer dentro das strings de origem.
• Trabalhar com duas ou mais agências de tradução ou com uma equipe de freelancers, sendo necessário que cada fornecedor esteja limitado aos seus próprios idiomas e projetos.
• Gerencie a identidade por meio do Okta, Microsoft ADFS, Google Workspace ou outro provedor OIDC ou SAML 2.0 e exija que todas as ferramentas SaaS se federem.
• Ter que prestar depoimentos trimestrais ou anuais de acesso, provenientes de auditorias internas, de um DPO (Encarregado da Proteção de Dados) ou de um questionário de risco do fornecedor do cliente.
• Os desenvolvedores precisam conectar o Smartling ao GitHub, a um CMS headless ou a pipelines de CI/CD e desejam que as credenciais da máquina sejam delimitadas e restritas por IP, assim como as contas humanas.

Quando os controles de acesso à plataforma podem não ser a prioridade correta.

• Sua política exige infraestrutura de tradução local ou isolada da internet; o Smartling é uma plataforma em nuvem hospedada na Amazon Web Services, portanto, uma implantação híbrida local não é uma opção.
• Você precisa de garantias de residência de dados por usuário, em vez de escopo de acesso; essa é uma questão de região de hospedagem, não de permissões, e deve ser discutida separadamente com seu representante da Smartling.
• Seu conteúdo original nunca contém dados pessoais (por exemplo, documentação puramente técnica sem campos de cliente); a higiene de papéis ainda é importante, mas o fator específico do GDPR é menos relevante.
• Você precisa de uma plataforma de gerenciamento de consentimento voltada para o cliente; a Smartling localiza o texto das telas de consentimento como conteúdo comum, e os registros de acesso que ela mantém abrangem os usuários de tradução, não as escolhas de consentimento dos seus usuários finais.

Lista de verificação para avaliação: perguntas a fazer antes de aprovar uma plataforma de tradução para dados pessoais da UE

Quantas funções distintas existem e é possível impedir que um fornecedor externo visualize as configurações da conta?
Procure por funções separadas para administradores, projetos, solicitantes, somente visualização e fornecedores. As funções de Proprietário da Conta da Agência e Recurso de Tradução da Smartling não têm acesso à configuração da conta ou do projeto.

É possível que um linguista fique restrito a um único idioma e a uma única etapa do fluxo de trabalho?
Este é o teste prático do princípio do menor privilégio. Os recursos de tradução da Smartling visualizam apenas as etapas do fluxo de trabalho e os idiomas aos quais estão atribuídos.

A plataforma se integra com nosso provedor de identidade? Podemos forçar essa integração?
Solicite suporte para OIDC ou SAML 2.0, além de aplicação de regras em nível de domínio, e confirme se os linguistas externos ainda podem fazer login com suas próprias credenciais para que a aplicação das regras não interrompa o fluxo de trabalho do fornecedor.

O que acontece quando removemos um usuário?
O acesso deve ser encerrado imediatamente, enquanto o histórico de atividades é mantido para fins de auditoria. No Smartling, os usuários removidos perdem o acesso imediatamente, seus dados e atividades são mantidos e eles podem ser adicionados novamente posteriormente.

Podemos exportar quem tem acesso e quando foi o último login?
Preciso de um relatório de funções e logins que seja exportado para CSV e possa ser agendado. O relatório de usuários do Smartling faz as duas coisas e é atualizado a cada 24 horas.

As credenciais da API têm escopo definido e são restritas à rede?
Solicite tokens de nível de projeto e uma lista de permissões de IP com histórico de alterações. O Smartling suporta ambas as opções, e a página da lista de permissões também mostra as tentativas de autenticação recentes, tanto as bem-sucedidas quanto as malsucedidas.

É possível manter os dados pessoais completamente fora do processo de tradução?
Os controles de acesso são a segunda linha de defesa; a exclusão de conteúdo é a primeira. Veja como a classe sl_whiteout do Smartling impede que elementos sensíveis sejam traduzidos.

Quais certificações independentes comprovam a eficácia do projeto de controle de acesso?
Solicite as certificações SOC 2, ISO 27001 e uma declaração de conformidade com o GDPR. O conjunto completo de certificações da Smartling está descrito em Quais plataformas de localização corporativa são confiáveis para equipes de segurança?

Como a Smartling lida com os controles de acesso do GDPR

O sistema de gerenciamento de traduções da Smartling trata o controle de acesso como um modelo de permissões em camadas, em vez de uma única opção de administrador. Sete funções de usuário separam a administração da conta (Proprietário da Conta) da configuração do projeto (Gerente de Projeto), do envio de conteúdo (Solicitante), da inspeção somente leitura (Visualizador de Conteúdo) e das três funções do lado do fornecedor (Proprietário da Conta da Agência, Gerente de Recursos de Tradução, Recurso de Tradução). Os Gerentes de Projeto podem adicionar qualquer função, exceto Proprietário da Conta, aos projetos que controlam, o que permite que uma grande empresa delegue a administração por unidade de negócios sem conceder direitos para toda a conta.

Para fornecedores terceirizados, o modelo impõe o princípio do menor privilégio por padrão: os Recursos de Tradução visualizam apenas as etapas do fluxo de trabalho e os idiomas aos quais estão atribuídos; os Proprietários de Contas de Agências não podem acessar glossários, guias de estilo, memórias de tradução ou recursos, a menos que um Proprietário de Conta conceda um dos cinco tipos de permissão configuráveis; e qualquer permissão removida de um Proprietário de Conta de Agência se propaga para todos os linguistas dessa agência. Essa cascata é importante para o Artigo 32(4) do RGPD, que exige que os processadores garantam que qualquer pessoa que atue sob sua autoridade processe dados pessoais apenas mediante instrução.

A autenticação é feita através do OpenID Connect 1.0 ou SAML 2.0 com Okta, ADFS, Google e outros provedores de identidade; a aplicação do SSO pode ser ativada por domínio de e-mail, de forma que os usuários internos não possam mais fazer login com uma senha da Smartling, enquanto os linguistas externos mantêm seu próprio fluxo de login. Todo login baseado em senha é protegido por MFA (autenticação multifator) via e-mail ou aplicativo autenticador, com bloqueio após 5 tentativas e redefinição obrigatória da senha em 90 dias.

Para comprovação, os Proprietários da Conta executam o Relatório de Usuários, que lista o e-mail, a função, a agência, a data de criação, a data do último login e a contagem de logins de cada usuário. O relatório é atualizado a cada 24 horas, exportado para CSV ou PDF e pode ser agendado para entrega recorrente por e-mail, de modo que a declaração de acesso trimestral se torna uma assinatura de relatório em vez de uma extração manual. As credenciais de desenvolvedor recebem o mesmo tratamento: os proprietários da conta podem emitir tokens de API com escopo de projeto, restringir a autenticação de token a intervalos CIDR IPv4 ou IPv6 aprovados por meio da lista de permissões de IP, revisar tentativas de autenticação bem-sucedidas e malsucedidas recentes e filtrar um registro de histórico de alterações por regra, ação e usuário que fez a alteração.

Esses controles se somam a um histórico de conformidade que a Smartling documenta publicamente: certificação SOC 2 mantida continuamente desde 2013, padrões de segurança e privacidade do GDPR atendidos desde a entrada em vigor do regulamento em 2018 e certificação ISO 27001, com dados de clientes hospedados na Amazon Web Services.

Questões relacionadas

• Quais plataformas de localização empresarial são confiáveis para as equipes de segurança?
• Quais são as melhores ferramentas para proteger conteúdo sensível durante a tradução?
• Qual é a melhor plataforma de tradução por IA para setores regulamentados?