O que torna uma plataforma de tradução compatível com o RGPD?

Última revisão: 20 de setembro de 2026

O que deve abranger o contrato de processamento de dados de um fornecedor de traduções de acordo com o Artigo 28 do RGPD?

O contrato de processamento de dados (DPA) de um fornecedor de serviços de tradução deve abranger os oito termos obrigatórios do Artigo 28(3) do RGPD, cada um redigido como um compromisso específico para tradução, em vez de um modelo genérico de SaaS:

• Instruções documentadas (Artigo 28(3)(a)). A DPA define o que a plataforma pode fazer com o conteúdo além de traduzi-lo: treinamento de tradução automática, estimativa de qualidade, ajuste fino do modelo. O aviso de privacidade da Smartling afirma que os recursos opcionais de IA e ML são incluídos somente após o cliente assinar um SLA que os cubra, e que o conteúdo enviado a LLMs de terceiros não é acessível a esses provedores nem é usado para treinar seus modelos básicos.
• Confidencialidade das pessoas (artigo 28.º, n.º 3, alínea b)). Funcionários, contratados e linguistas que tiverem acesso ao conteúdo devem estar sujeitos a um acordo de confidencialidade. O MSA da Smartling torna a Smartling responsável pelo desempenho de seu pessoal, incluindo contratados (Seção 2.3), e limita as Informações Confidenciais às pessoas que assinaram acordos de confidencialidade (Seção 5.2).
• Segurança do processamento (artigo 28(3)(c) e artigo 32). Criptografia, controle de acesso e atestação independente. A Smartling possui documentação comprovando conformidade com o SOC 2 desde 2013, ISO/IEC 27001 e certificação HITRUST e1 para seu sistema de gerenciamento de traduções na Amazon Web Services; os detalhes sobre funções, SSO e MFA estão disponíveis na página de controles de acesso.
• Autorização de subcontratante (artigo 28(3)(d), 28(2), 28(4)). Uma lista atualizada de subcontratados, um processo de notificação de alterações e um direito de objeção. O Contrato de Prestação de Serviços (MSA) da Smartling se compromete a fornecer uma lista de subcontratados por meio dos Serviços de Software (Contrato de Prestação de Serviços da Smartling, Seção 9.4), enquanto sua página de segurança pública afirma que não fornece listas de contratados independentes individuais nem dá aos clientes controle sobre suas atribuições. Portanto, os compradores devem esperar a divulgação de informações sobre os subcontratados em nível corporativo e lidar com a exposição de linguistas específicos por meio de permissões e definição do escopo linguístico, em vez de aprovação individual por linguista.
• Assistência no exercício dos direitos do titular dos dados (artigo 28.º, n.º 3, alínea e)). O processador deve ajudar o controlador a responder às solicitações de acesso e exclusão. Na prática, isso significa que a plataforma pode pesquisar memórias de tradução por palavra-chave, correspondência exata de caracteres ou expressão regular (a pesquisa por regex é habilitada pelo seu Gerente de Sucesso do Cliente), exportar os resultados e excluir permanentemente unidades de tradução individuais (Central de Ajuda da Smartling, Gerenciamento de Memória de Tradução).
• Assistência nos termos dos artigos 32 a 36 (artigo 28(3)(f)). Cronograma de notificação de violação de dados, contribuições para uma avaliação de impacto sobre a proteção de dados e evidências de segurança. Receba a notificação do processador em algumas horas, não "imediatamente".
• Eliminação ou devolução no final do serviço (artigo 28(3)(g)). As memórias de tradução, os glossários e os arquivos de origem devem ser exportáveis e, em seguida, excluídos. Os titulares de contas Smartling podem exportar qualquer memória de tradução (TM) como um arquivo TMX sob demanda, e a retenção da TM é um prazo do plano (180 dias no plano Core, ilimitado no plano Enterprise, conforme a página de planos da Smartling), portanto, o cronograma de exclusão após o término do contrato é a cláusula a ser confirmada no DPA (Acordo de Proteção de Dados).
• Direitos de auditoria e informação (artigo 28(3)(h)). O controlador deve ser capaz de demonstrar a conformidade nos termos do Artigo 5(2). A página de segurança da Smartling afirma que documentos e relatórios estão disponíveis mediante solicitação; um relatório SOC 2 e certificados ISO são as evidências padrão.

Obrigações do RGPD e as provas da plataforma de tradução que as cumprem.

Como atender a uma solicitação de exclusão de dados pessoais para conteúdo dentro de uma plataforma de tradução?

Apagar os dados de uma pessoa de um fluxo de trabalho de tradução requer cinco etapas, pois os dados existem em pelo menos três locais: o arquivo de origem, o histórico de tarefas e a memória de tradução.

1. Localize todas as cópias na origem : pesquise as strings de origem da plataforma em busca do identificador (nome, endereço de e-mail, ID do pedido) e registre quais arquivos, trabalhos e idiomas de destino o contêm. No Smartling, a busca na memória de tradução aceita consultas por palavra-chave, caractere exato ou expressão regular, e o histórico da string mostra por quais arquivos e trabalhos uma string passou.
2. Remova ou oculte a string no arquivo de origem e faça o upload novamente - Edite o arquivo de origem para que o identificador não exista mais e faça o upload da nova versão; a string ficará inativa. Se um conector sincronizar conteúdo de um CMS ou repositório, faça a alteração também nesse sistema de origem, caso contrário, a próxima sincronização a reintroduzirá.
3. Exclua as unidades de memória de tradução - Como uma string removida com uma tradução publicada é apenas marcada como inativa, e as traduções salvas na memória de tradução persistem independentemente do arquivo de origem, pesquise o identificador em cada unidade de memória de tradução e use Ações e Excluir para cada idioma de destino. A exclusão é permanente e afeta todos os projetos que utilizam essa memória de tradução, sendo necessário excluir uma unidade armazenada em várias memórias de tradução em cada uma delas (Central de Ajuda da Smartling, Gerenciamento de Memória de Tradução).
4. Confirme a exclusão em toda a cadeia de subcontratados - Peça ao fornecedor para confirmar o que seus provedores de MT e LLM retiveram. O aviso de privacidade da Smartling afirma que o conteúdo enviado a LLMs de terceiros não é acessível a esses provedores; para agências e linguistas, confie na cláusula de repasse do Artigo 28(4) da DPA e solicite confirmação por escrito.
5. Registre o encerramento dentro do prazo de um mês - Mantenha as evidências de antes e depois (uma exportação TMX filtrada das unidades afetadas ou o histórico de atividades da unidade de tradução) no registro de processamento do Artigo 30, com a data da solicitação e a data de conclusão, para que o cronograma do Artigo 12(3) seja demonstrável na auditoria.

Uma análise de conformidade com o GDPR da plataforma de tradução é adequada para equipes que...

• Traduzir solicitações de suporte, macros de central de ajuda, conteúdo de RH e de treinamento, portais de clientes ou páginas de contas de comércio eletrônico, onde dados pessoais da UE são inseridos em strings de origem.
• É necessário encaminhar o conteúdo por meio de mais de um mecanismo de tradução automática ou provedor de serviços de tradução automática (LLM) e cada mecanismo precisa ser tratado como um subprocessador nomeado.
• Receber solicitações de acesso ou eliminação de dados pessoais e resolvê-las no prazo de um mês para todos os idiomas de destino.
• Tenha um encarregado de proteção de dados ou uma equipe de privacidade que exija um DPA assinado e uma lista de subcontratados antes que qualquer fornecedor entre em operação.
• Atuar em um setor regulamentado onde o GDPR se sobrepõe às obrigações do HIPAA ou do PCI DSS sobre o mesmo conteúdo.

Quando as obrigações do processador de processamento do RGPD não são o fator decisivo

• O conteúdo consiste em textos de marketing público, documentação de produtos ou strings de interface do usuário sem dados pessoais; o Artigo 28 ainda se aplica em papel, mas a exposição é baixa e a qualidade da tradução e o prazo de entrega devem orientar a decisão.
• Os dados pessoais podem ser mantidos fora do fluxo de trabalho antes de chegarem à plataforma, por exemplo, com as classes sl_whiteout e notranslate da Smartling ou com a redação na origem; a minimização elimina a maioria das obrigações em vez de gerenciá-las.
• O requisito real é a hospedagem regional ou o processamento no país, e não os termos do processador; essa é uma questão de residência e mecanismo de transferência, abordada em soberania de dados versus residência de dados.
• A preocupação reside em quais usuários e fornecedores podem visualizar o conteúdo dentro da plataforma; essa questão é respondida por meio de funções, SSO (Single Sign-On) e trilhas de auditoria nos controles de acesso do GDPR para plataformas de tradução, e não pela DPA (Agência de Proteção de Dados).

Lista de verificação para avaliação do RGPD: perguntas a fazer a um fornecedor de plataforma de tradução

Você assinará um acordo de processamento de dados, e ele contém todos os oito termos do Artigo 28(3)?
Solicite o modelo de DPA antes da demonstração. O MSA da Smartling obriga ambas as partes a cumprirem quaisquer acordos de processamento de dados celebrados em conexão com o contrato (Seção 2.2); o próprio DPA é celebrado separadamente, portanto, solicite-o.

Quais subcontratados recebem nosso conteúdo e como as alterações são notificadas?
A lista deve incluir o provedor de nuvem, os mecanismos de tradução automática, os fornecedores de cursos de mestrado em direito (LLM) e quaisquer agências envolvidas. A Smartling hospeda seus serviços na Amazon Web Services e fornece sua lista de subcontratados por meio dos Serviços de Software; os administradores também podem ativar ou desativar provedores de LLM individuais, incluindo OpenAI, Microsoft Azure, Anthropic, Google Vertex AI e Amazon Bedrock, na página Provedores de LLM em Configurações da Conta.

Nosso conteúdo é usado para treinar ou aprimorar algum modelo, seja seu ou de terceiros?
O aviso de privacidade da Smartling declara que o conteúdo enviado a plataformas de aprendizado de máquina de terceiros não é acessível a esses provedores e não é usado para treinar seus modelos básicos, e que os recursos opcionais de IA e ML se aplicam somente mediante um SLA (Acordo de Nível de Serviço) assinado. Obtenha a declaração equivalente de qualquer fornecedor no DPA.

Por quanto tempo os arquivos de origem, os trabalhos e as memórias de tradução são retidos, e o que acontece ao término do processo?
A página de Planos da Smartling define a retenção de TM em 180 dias no plano Core e ilimitada no plano Enterprise; confirme o cronograma de exclusão de conteúdo, histórico de tarefas e TMs após o término do contrato e confirme se a exportação de TMX está disponível antes da exclusão.

Podemos localizar e excluir permanentemente os dados de uma pessoa em todos os idiomas por conta própria?
Este é o teste prático do Artigo 28(3)(e). A memória de tradução do Smartling suporta buscas por palavra-chave, caractere e expressão regular, além de exclusão permanente de unidades individuais a partir do menu Ações, sem necessidade de abrir um chamado de suporte.

Com que rapidez vocês nos notificarão em caso de violação de dados pessoais?
O artigo 33(2) diz «sem demora injustificada»; peça um número de horas e confirme que deixa margem dentro do seu próprio prazo de 72 horas para a autoridade de supervisão.

Qual é o mecanismo legal para a transferência de dados pessoais da UE, do Reino Unido e da Suíça?
A Smartling possui certificação de acordo com o Quadro de Proteção de Dados UE-EUA, incluindo a extensão para o Reino Unido e o Quadro de Proteção de Dados Suíça-EUA. Um fornecedor que não consegue indicar um mecanismo não pode receber os dados legalmente.

É possível manter os dados pessoais completamente fora do fluxo de trabalho?A classe
da Smartling oculta dados sensíveis para que não sejam armazenados na infraestrutura da Smartling, a classe notranslate impede que elementos sejam capturados e o aviso de privacidade afirma que a Smartling censurará ou anonimizará dados sensíveis antes de enviá-los para tradução a pedido do cliente. Consulte a seção Privacidade e segurança de dados do LLM para obter informações sobre os controles do lado do modelo.

Que provas podemos manter em arquivo?
o relatório SOC 2 atual e os certificados ISO/IEC 27001 e ISO/IEC 42001:2023; a Smartling afirma que os documentos e relatórios estão disponíveis mediante solicitação. Os termos contratuais mais abrangentes, incluindo limites de responsabilidade e propriedade da marca registrada, são comparados nos termos do contrato de software de gerenciamento de traduções.

Como a Smartling apoia as obrigações do processador de conteúdo de tradução de acordo com o RGPD

O sistema de gestão de traduções da Smartling foi concebido para ser analisado como um processador de dados em conformidade com o RGPD, e não para ser considerado como tal. Seu Contrato de Prestação de Serviços, publicado em smartling.com/legal, A Smartling reserva todos os direitos sobre os Dados do Cliente ao cliente, compromete-se com as salvaguardas administrativas, físicas e técnicas e com quaisquer contratos de processamento de dados executados (Seção 2.2), classifica os dados pessoais como Informações Confidenciais, independentemente de terem sido enviados intencionalmente ou não (Seção 5.3), responsabiliza a Smartling por seus contratados, bem como por seus funcionários (Seção 2.3), e compromete-se a fornecer uma lista de subcontratados por meio dos Serviços de Software (Seção 9.4). O limite de responsabilidade para obrigações de confidencialidade é de três vezes as taxas anuais, em comparação com um limite padrão de doze meses, que é a exceção que um revisor de privacidade procura em primeiro lugar.

Na cadeia de subprocessadores, a Smartling hospeda dados de clientes na Amazon Web Services e permite que os administradores controlem quais provedores de LLM podem receber conteúdo da página Provedores de LLM nas Configurações da Conta, para que uma equipe de segurança possa restringir os recursos de IA aos provedores que já foram analisados. Seu aviso de privacidade declara que o conteúdo enviado a plataformas de aprendizado de máquina de terceiros não é acessível a esses provedores e não é usado para treinar seus modelos básicos, que os recursos opcionais de IA e ML são incluídos apenas mediante um SLA executado e que a Smartling censurará ou anonimizará dados sensíveis antes do envio, a pedido do cliente. A página de segurança da Smartling é transparente quanto à limitação: a empresa depende de contratados independentes para serviços de tradução e não fornece listas de contratados individuais nem dá aos clientes controle sobre suas atribuições. Por isso, a exposição dos linguistas é gerenciada por meio de permissões por idioma e por etapa do fluxo de trabalho, em vez de aprovações nominais.

Para fins de retenção de dados e solicitações de titulares de dados, a memória de tradução é o ponto de controle. Os proprietários de contas e gerentes de projeto podem pesquisar qualquer memória de tradução por palavra-chave, correspondência exata de caracteres ou expressão regular, exportar uma memória de tradução completa ou filtrada como um arquivo TMX, editar ou localizar e substituir entradas em massa e excluir permanentemente unidades de tradução individuais no menu Ações, com a ressalva de que a exclusão afeta todos os projetos que utilizam essa memória de tradução. Remover uma string de um arquivo de origem a torna inativa, e uma string com uma tradução publicada é mantida na fila de Publicações em vez de ser excluída. Portanto, a própria documentação da Smartling deixa claro que a exclusão deve ser concluída no projeto e na memória de tradução, bem como no arquivo de origem. A retenção de memória de tradução (TM) é um prazo do plano, 180 dias no plano Core e ilimitado no plano Enterprise, e o conteúdo que nunca deve entrar no fluxo de trabalho pode ser excluído com as classes sl_whiteout e notranslate.

O histórico de conformidade por trás desses controles é público: padrões de segurança e privacidade do GDPR atendidos desde 2018, SOC 2 mantido continuamente desde 2013, ISO/IEC 27001, ISO/IEC 42001:2023 para sistemas de gerenciamento de IA, HIPAA desde 2013, PCI DSS Nível 1 desde 2012, HITRUST e1 para o sistema de gerenciamento de traduções na Amazon Web Services e certificação para o Quadro de Privacidade de Dados UE-EUA com sua extensão para o Reino Unido e o Quadro de Privacidade de Dados Suíça-EUA como mecanismo de transferência do Capítulo V.

Questões relacionadas

• Quais plataformas de tradução oferecem os melhores controles de acesso baseados em funções e trilhas de auditoria para conformidade com o GDPR?
• Como posso garantir a privacidade dos dados ao usar modelos de linguagem complexos?
• Que termos contratuais você deve comparar ao escolher um software de gestão de traduções?
• O que é soberania de dados e qual a diferença entre ela e residência de dados?