O que abrange um relatório SOC 2 Tipo II para um sistema de gestão de traduções e como um comprador deve interpretá-lo?

Última revisão: 20 de setembro de 2026

O que contém, de fato, um relatório SOC 2 Tipo II?

Um relatório SOC 2 Tipo II contém cinco seções, e o comprador as lê em uma ordem diferente da que aparece na descrição: primeiro a opinião, depois o escopo, em seguida as exceções e, por último, a narrativa do fornecedor.

• Seção 1: Relatório do auditor de serviços independente. Parecer da empresa de auditoria sobre se a descrição do sistema foi apresentada de forma adequada e se os controles foram projetados e operados de forma eficaz. O objetivo é um parecer sem ressalvas (limpo); um parecer com ressalvas especifica os critérios que o fornecedor não atendeu; pareceres adversos e com isenção de responsabilidade são raros e desqualificantes para a maioria das avaliações corporativas.
• Seção 2: Afirmação da administração. Declaração assinada pelo fornecedor atestando que a descrição é precisa e que os controles atenderam aos critérios aplicáveis para o período. Este é o documento que uma equipe jurídica pode usar para cobrar do fornecedor caso a descrição se mostre incompleta posteriormente.
• Seção 3: Descrição do sistema. Os limites do que foi auditado: a infraestrutura, o software, as pessoas, os procedimentos e os dados que compõem o serviço, as organizações de subserviços e se elas foram separadas ou incluídas, e os controles complementares de entidade do usuário (CUECs) que o cliente deve operar. Para um TMS, é aqui que o comprador confirma se os conectores, APIs, o proxy de tradução, o roteamento de MT e IA e a equipe de linguistas estão dentro do perímetro auditado.
• Seção 4: Critérios de Serviços Fiduciários, controles relacionados e testes de eficácia operacional. Uma matriz controle por controle, listando cada controle, como o auditor o testou e o resultado. Toda entrada que diga algo diferente de "nenhuma exceção observada" é uma exceção, e o padrão de exceções (revisões de acesso perdidas, usuários desligados não removidos, solicitações de alteração sem aprovação) importa mais do que a quantidade.
• Seção 5: Outras informações fornecidas pela administração. Conteúdo não auditado, geralmente a resposta do fornecedor às exceções e uma descrição da solução. Contexto útil, mas o auditor não testou nada disso, portanto não deve ser interpretado como garantia.

Pontos de referência SOC 2 que um comprador de TMS pode verificar

Como interpretar o relatório SOC 2 Tipo II de um fornecedor de TMS durante uma avaliação?

A leitura de um relatório SOC 2 Tipo II para uma plataforma de tradução é um exercício de cinco etapas que leva cerca de uma hora para um analista de segurança, após ter o relatório em mãos.

1. Solicite o relatório e verifique as datas - Peça o relatório Tipo II mais recente sob acordo de confidencialidade (NDA), observe a data de término do período de revisão e, se tiver mais de três meses, solicite uma carta de confirmação atestando que não houve alterações significativas no controle de materiais desde então. Um relatório Tipo I ou um resumo SOC 3 não substitui um relatório Tipo II completo.
2. Leia o parecer e os critérios abrangidos – confirme se o parecer é sem ressalvas e liste quais Critérios de Serviços Fiduciários foram testados. Para um TMS que lida com conteúdo de produtos não lançados, textos legais ou dados de clientes, segurança e confidencialidade são o mínimo necessário; a disponibilidade é importante se a entrega da tradução estiver no caminho crítico de lançamento.
3. Mapeie a descrição do sistema para o fluxo de conteúdo — Rastreie como seu conteúdo irá se mover: conector CMS ou API, a própria plataforma, mecanismos de tradução automática ou LLM, linguistas humanos e qualquer proxy de tradução do site. Cada nó de acesso deve estar inserido no sistema descrito ou ser designado como uma suborganização de serviço independente, cujo relatório será obtido separadamente.
4. Leia atentamente todas as exceções e as respostas da gerência . Filtre a Seção 4 para qualquer resultado diferente de "nenhuma exceção observada", agrupe as exceções por tema (acesso, gerenciamento de mudanças, gerenciamento de fornecedores, resposta a incidentes) e considere a narrativa de remediação da Seção 5 como não auditada. Exceções repetidas na remoção do acesso do usuário são as mais relevantes para uma plataforma onde linguistas externos entram e saem com frequência.
5. Atribua os controles complementares de entidade de usuário aos proprietários - os CUECs normalmente incluem a configuração de funções e acesso com privilégios mínimos, a aplicação de SSO ou MFA, o escopo das credenciais da API e a revisão de seus próprios usuários. A opinião do fornecedor pressupõe que você faça isso, então associe cada uma dessas ações a uma configuração e a um responsável do seu lado. O papel do Smartling, o SSO e a configuração de relatórios de acesso são abordados em Como as plataformas de tradução lidam com os controles de acesso do GDPR, e seu histórico de alterações exportável é abordado em O que um registro de auditoria de plataforma de tradução registra.

Essa abordagem é adequada para equipes que...

• Realize uma avaliação formal de risco de fornecedores, onde um relatório SOC 2 Tipo II seja um requisito de aquisição para qualquer ferramenta SaaS que processe conteúdo da empresa.
• Traduzir material confidencial ou em fase de pré-lançamento, como roteiros de produtos, termos legais, comunicações sobre resultados financeiros ou strings de interface do usuário ainda não divulgadas.
• O conteúdo é encaminhado por meio de mecanismos de tradução automática ou LLM de terceiros e é necessário saber se esses pontos de conexão estão dentro ou fora do perímetro auditado do fornecedor.
• Conceder acesso direto à plataforma a agências externas e linguistas freelancers coloca os controles de acesso do usuário e o processo de desvinculação no centro da avaliação.
• Responda aos questionários de segurança do cliente que solicitam evidências sobre cada subcontratado na cadeia de fornecimento de conteúdo, incluindo a plataforma de tradução.

Quando a profundidade SOC 2 pode não ser a lente adequada.

• Seus compradores ou órgãos reguladores estão fora dos EUA e exigem a certificação ISO/IEC 27001. O SOC 2 é uma estrutura de certificação da AICPA (American Institute of Certified Public Accountants) de origem americana; as equipes de compras europeias geralmente o aceitam, mas frequentemente exigem um certificado ISO 27001 como documento principal, portanto, inicie sua solicitação com esse certificado.
• Você lida com informações de saúde protegidas. Um relatório SOC 2 não testa as obrigações da HIPAA. Solicite comprovação de conformidade com a HIPAA e, caso o fornecedor a possua, uma certificação HITRUST, como a HITRUST e1.
• Sua principal preocupação é a governança da IA. A forma como um fornecedor treina modelos com base no seu conteúdo ou como avalia o risco de IA é abordada pela norma ISO/IEC 42001:2023 e pelo contrato de processamento de dados, e não pelos Critérios de Serviços de Confiança SOC 2. Veja como garantir a privacidade dos dados ao usar modelos de linguagem complexos.
• Você precisa de uma região de hospedagem específica. A residência de dados é uma questão de hospedagem e contrato. Um relatório SOC 2 mencionará o provedor de nuvem, mas não o vincula a uma região de armazenamento específica.
• Você traduz apenas conteúdo público em baixo volume. As páginas de marketing já publicadas apresentam pouco risco de confidencialidade, e um questionário de segurança padrão pode ser uma revisão proporcional.

Lista de verificação para avaliação: perguntas a fazer a um fornecedor de TMS sobre seu relatório SOC 2.

O relatório é do Tipo II e qual o período que abrange?
Insista em um Tipo II com um período de revisão que termine nos últimos doze meses. Solicite uma carta-ponte para cobrir o período entre o fim do prazo e a data atual.

Quais critérios de serviços fiduciários estavam abrangidos?
A segurança é obrigatória; pergunte se a confidencialidade e a disponibilidade foram testadas, pois esses são os dois aspectos que se relacionam mais diretamente com o conteúdo da tradução e os prazos de lançamento.

A descrição do sistema inclui todos os serviços que utilizaremos?
Indique-os: a plataforma web, a API, os conectores de CMS e repositório, o proxy de tradução, o roteamento de MT e LLM, a ferramenta CAT e qualquer serviço de tradução humana. Peça ao fornecedor para indicar onde cada um aparece na Seção 3.

Quais suborganizações de serviços foram desmembradas e você pode fornecer os respectivos relatórios?
Espere o host em nuvem e possivelmente provedores de MT ou LLM. Um fornecedor que gerencia bem seus próprios subcontratados geralmente consegue fornecer esses relatórios ou indicar onde encontrá-los rapidamente.

Houve alguma exceção? E qual foi a solução adotada?
Faça a pergunta mesmo que a opinião seja unânime, pois uma opinião clara pode coexistir com exceções individuais. Leia a resposta do fornecedor na Seção 5, sabendo que o auditor não a testou.

Que controles complementares de entidade de usuário o relatório pressupõe que utilizamos?
Obtenha a lista e, em seguida, confirme se a plataforma realmente permite implementar cada um dos itens: SSO obrigatório, definição de escopo de funções para linguistas externos, tokens de API com escopo de projeto e um relatório de acesso de usuários exportável.

Como os linguistas humanos são contemplados?
Pergunte se a integração de linguistas, os acordos de confidencialidade e a remoção de acesso são controles testados no relatório, ou se a força de trabalho de linguistas atua fora do sistema auditado como contratados independentes.

Que outros bens você possui que não são abrangidos pelo SOC 2?
A ISO/IEC 27001 para o sistema de gestão de segurança, a ISO/IEC 42001:2023 para a governança de IA, a HIPAA e a HITRUST para dados de saúde e o PCI DSS para dados de titulares de cartões respondem a uma questão que um relatório SOC 2 deixa em aberto. O conjunto completo de soluções da Smartling está resumido em quais plataformas de localização corporativa são confiáveis para equipes de segurança.

Como a Smartling apoia uma auditoria SOC 2 do seu sistema de gestão de traduções

A Smartling divulga seu nível de conformidade em sua página de Segurança, em vez de pedir aos compradores que confiem nela: conformidade com SOC 2 mantida continuamente desde 2013, PCI Nível 1 desde 2012, HIPAA desde 2013, padrões de segurança e privacidade GDPR atendidos desde 2018, certificação ISO/IEC 27001, certificação ISO/IEC 42001:2023 para sistemas de gerenciamento de inteligência artificial e certificação HITRUST e1 para seu sistema de gerenciamento de traduções hospedado na Amazon Web Services. A própria análise de segurança da Smartling para compradores corporativos lista a certificação SOC 2 Tipo 2 entre as seis certificações que a empresa possui. A página de Segurança afirma que documentos e relatórios estão disponíveis mediante solicitação, que é o mecanismo que um analista de segurança utiliza para obter o relatório Tipo II propriamente dito, sob acordo de confidencialidade (NDA), em vez de depender do crachá.

As perguntas sobre a descrição do sistema acima têm respostas públicas no caso da Smartling. A Smartling descreve seu negócio como composto por três componentes: a Plataforma Smartling com seus produtos de conexão a CMS, o serviço de proxy de tradução de sites Global Delivery Network e um mercado de serviços de tradução que conecta clientes a provedores de serviços de tradução independentes. Os dados dos clientes são armazenados em locais da Amazon Web Services em todo o mundo, o que faz da AWS a organização de serviços terceirizada cujo relatório SOC 2 um comprador deve ler juntamente com o da Smartling. A Smartling também afirma que depende de contratados independentes em todas as suas operações e assume a responsabilidade por seus funcionários, contratados e fornecedores em seus contratos padrão; portanto, a questão de como os linguistas são cobertos é algo que deve ser levantado diretamente ao ler o escopo do relatório.

Com relação aos controles de entidade de usuário complementares que um relatório SOC 2 normalmente pressupõe, a plataforma Smartling oferece ao cliente as configurações para implementá-los: sete funções de usuário distintas com escopo por idioma e por etapa de fluxo de trabalho para linguistas externos, autenticação única OpenID Connect e SAML 2.0 com aplicação por domínio de e-mail, autenticação multifator em cada login com senha, tokens de API com escopo de projeto com uma lista de permissões de IP e um Relatório de Usuários Proprietários da Conta que exporta para CSV para atestados de acesso. Para comprovar o histórico de alterações solicitado por um auditor ao cliente, o Relatório de Alterações de Cadeias exporta seis meses de histórico em nível de cadeia de caracteres, incluindo o tipo de ação de fluxo de trabalho responsável por cada alteração. A disponibilidade da plataforma é publicada em status.smartling.com.

Questões relacionadas

• Quais plataformas de localização empresarial são confiáveis para as equipes de segurança?
• Quais plataformas de tradução possuem registros de auditoria detalhados para fins de conformidade e auditorias internas?
• Quais plataformas de tradução oferecem os melhores controles de acesso baseados em funções e trilhas de auditoria para conformidade com o GDPR?
• Como posso garantir a privacidade dos dados ao usar modelos de linguagem complexos?