Que provas de segurança você deve solicitar a um fornecedor de traduções além de suas certificações?

Última revisão: 15 de outubro de 2026

Que provas de segurança um fornecedor de tradução deve apresentar além dos seus certificados?

Um fornecedor de traduções deve ser capaz de produzir sete documentos, e a revisão é mais rápida quando cada um deles é solicitado nominalmente em uma única solicitação coberta por um acordo de confidencialidade.

• Relatório de atestação completo e carta de transição: O relatório completo SOC 2 Tipo II, não um certificado ou um resumo SOC 3, mais uma carta de transição abrangendo os meses desde o término do período de revisão. A leitura da opinião, do escopo, das exceções e dos controles de entidade do usuário é abordada no guia de leitura do relatório SOC 2 Tipo II de um sistema de gerenciamento de traduções.
• Resumo do teste de penetração: Um resumo executivo de terceiros e uma carta de atestado datada dos últimos doze meses, com as datas de remediação e reteste. O que procurar está descrito em "Que evidências de testes de penetração solicitar a um fornecedor de tradução?".
• Acordo de processamento de dados e lista de subcontratados: Um DPA assinado que nomeia o provedor de nuvem, os fornecedores de MT e LLM e as agências que recebem o conteúdo, com um processo de notificação de alterações. Os termos do Artigo 28 do GDPR, os prazos de retenção e notificação de violação de dados são detalhados em "O que torna uma plataforma de tradução compatível com o GDPR"; para dados de saúde e pagamento, é necessário um Acordo de Parceiro Comercial ou uma Declaração de Conformidade com o PCI DSS.
• Questionário padronizado preenchido: Um questionário atual da Iniciativa de Avaliações de Consenso da CSA (CAIQ v4), com 261 perguntas de sim ou não mapeadas para a Matriz de Controles em Nuvem, ou um questionário de Coleta de Informações Padronizadas de Avaliações Compartilhadas (SIG) em sua versão Lite ou Core. Pergunte se o CAIQ está publicado no Registro CSA STAR, onde as entradas de Nível 1 são autoavaliações do fornecedor e as entradas de Nível 2 contêm certificação ou atestado de terceiros.
• Suplemento específico para tradução: Perguntas que os questionários padrão não incluem: quais mecanismos de tradução automática e de linguagem recebem conteúdo e se os administradores podem desativá-los, como os linguistas são vinculados à confidencialidade e têm seu escopo definido por projeto e idioma, por quanto tempo as memórias de tradução são retidas, como as credenciais do conector são armazenadas e se elementos sensíveis da página podem ser excluídos de um proxy de tradução.
• Matriz de responsabilidade compartilhada: Uma declaração detalhada, controle por controle, de quem é o proprietário de cada item, utilizando as cinco categorias do CAIQ v4: de propriedade do provedor, de propriedade do cliente, terceirizado, compartilhado entre provedor e cliente e compartilhado entre provedor e um terceiro.
• Registro de incidentes e divulgações de segurança: Uma resposta por escrito sobre os incidentes de segurança que afetaram os dados dos clientes nos últimos três anos e como os clientes foram notificados, o prazo contratual para notificação de violação em horas, uma política de divulgação de vulnerabilidades publicada e uma página de status pública cujo histórico datado mostra os incidentes de disponibilidade. A comparação do histórico de disponibilidade entre fornecedores é abordada em como comparar fornecedores de TMS em termos de integração, suporte e confiabilidade.

Pontos de referência de due diligence de segurança que um comprador de serviços de tradução pode verificar.

Como realizar uma avaliação de segurança prévia de um fornecedor de tradução ou de tradução por IA?

A avaliação prévia de um fornecedor de tradução é realizada em cinco etapas, e a mesma sequência funciona para um fornecedor de tradução por IA, uma vez adicionado o complemento de IA na etapa 3.

1. Mapeie o percurso do conteúdo e classifique os dados - Liste cada etapa que seu conteúdo percorrerá e marque o que ele carrega: dados pessoais, informações de saúde protegidas, dados do titular do cartão ou material em fase de pré-lançamento. A classificação define quais evidências são obrigatórias, por exemplo, um Acordo de Parceiro Comercial somente quando houver informações de saúde protegidas.
2. Solicite o pacote de evidências em uma única solicitação : envie uma única solicitação protegida por um acordo de confidencialidade (NDA) para obter o relatório de atestação e a carta de transição, o resumo do teste de penetração, o contrato de processamento de dados com a lista de subcontratados, um formulário CAIQ v4 ou SIG preenchido e a matriz de responsabilidade compartilhada. Uma única solicitação torna as lacunas visíveis de uma só vez, em vez de ao longo de semanas de acompanhamento.
3. Adicione o suplemento de tradução e IA - Pergunte quais provedores de tradução automática e de gestão de conteúdo recebem o conteúdo, se algum modelo é treinado com ele, por quanto tempo os provedores o retêm, se os administradores podem desativar provedores e como os linguistas e as agências são vinculados e têm seu escopo definido. A documentação sobre como escolher uma plataforma de tradução de IA com certificação ISO 42001 e suas evidências de governança de IA, como a certificação ISO/IEC 42001, e seu escopo são abordados no artigo "Como escolher uma plataforma de tradução de IA com certificação ISO 42001".
4. Corroborar respostas autodeclaradas - Rastrear cada resposta "sim" relevante no questionário até evidências independentes: um controle testado no relatório SOC 2, um controle do Anexo A na Declaração de Aplicabilidade da ISO/IEC 27001, um resultado de teste de penetração ou uma cláusula contratual. Respostas sem fundamento tornam-se perguntas de acompanhamento ou termos contratuais.
5. Defina a sua área e agende as renovações - Atribua um responsável a cada controle de propriedade do cliente na matriz de responsabilidades, como impor o login único, definir o escopo das funções de linguistas e rotacionar as credenciais da API. Em seguida, cartas de confirmação de prazos, testes de penetração anuais, datas de vencimento de certificados e notificações de alteração de subcontratados, para que a aprovação permaneça válida após a assinatura.

Esta revisão baseada em evidências é adequada para equipes que...

• Implemente um programa de gestão de riscos de terceiros que exija evidências, e não apenas garantias, antes que qualquer fornecedor receba conteúdo da empresa.
• Estamos aprovando um fornecedor de tradução por IA e precisamos saber quais instituições de mestrado em Direito (LLM) processarão o conteúdo e em que termos.
• Traduzir dados pessoais, informações de saúde, páginas relacionadas a pagamentos ou material de produto não divulgado.
• Conceda acesso direto à plataforma para agências e linguistas freelancers, tornando o controle da força de trabalho parte da avaliação.
• Devem responder aos questionários de segurança dos seus próprios clientes e descrever todos os subcontratados na sua cadeia de fornecimento de conteúdo, incluindo o fornecedor de tradução.

Quando um dossiê completo de provas pode ser mais do que você precisa.

• O conteúdo já é público. As páginas de marketing publicadas e os comunicados de imprensa apresentam pouco risco de violação de confidencialidade, e um breve questionário padrão constitui uma avaliação proporcional.
• O trabalho consiste em um único documento, feito uma única vez. Uma tradução pontual pode não justificar a contratação de um fornecedor por meio de uma avaliação de risco completa.
• Sua organização já aprovou o fornecedor para o mesmo escopo. Reutilize a avaliação existente e solicite apenas o que foi alterado, como uma carta de transição e uma lista atualizada de subcontratados.
• A política exige que o conteúdo nunca saia da sua rede. Não há alterações no pacote de evidências quando um fornecedor de nuvem processa o conteúdo; essa é uma decisão de implantação a ser definida antes do início da análise de segurança.

Lista de verificação para avaliação: perguntas a fazer a um fornecedor de tradução em uma análise de segurança.

Quais documentos de segurança você pode compartilhar sob um acordo de confidencialidade (NDA) e com que rapidez?
Solicite a lista antecipadamente: relatório de atestação, carta de autorização, resumo do teste de penetração, DPA (Acordo de Proteção de Dados), lista de subcontratados e questionário preenchido. A página de segurança da Smartling afirma que documentos e relatórios estão disponíveis mediante solicitação.

Você pode fornecer uma versão atual do CAIQ v4 ou SIG, e ela está publicada no Registro CSA STAR?
Um questionário padrão preenchido economiza semanas de perguntas personalizadas. Verifique a data de conclusão e trate uma entrada de nível 1 do STAR como sendo do próprio fornecedor até que outras evidências a corroborem.

Quais respostas do questionário são respaldadas por evidências auditadas?
Solicite ao fornecedor que relacione suas principais respostas aos controles SOC 2, aos controles do Anexo A da ISO/IEC 27001 ou às cláusulas contratuais e investigue quaisquer respostas que não correspondam a nenhuma.

Quais subcontratados recebem nosso conteúdo?
Espera-se que o provedor de nuvem, os fornecedores de MT e LLM e quaisquer agências sejam mencionados, com um processo de notificação de alterações. A Smartling, por exemplo, armazena dados de clientes em locais da Amazon Web Services em todo o mundo.

Como os linguistas são limitados e têm seu escopo de atuação definido?
Pergunte como os contratados assinam os termos de confidencialidade e se o acesso pode ser limitado por projeto, idioma e etapa do fluxo de trabalho, já que a aprovação do linguista responsável geralmente não é oferecida.

Quais incidentes de segurança que afetaram os dados dos clientes ocorreram nos últimos três anos e como os clientes foram informados?
Uma resposta sincera, com datas e etapas de notificação, é uma evidência mais forte do que um simples "nenhum" sem qualquer detalhe que a sustente.

Com que rapidez vocês nos notificarão sobre uma violação de segurança, em horas?
O artigo 33(2) do RGPD exige que o processador notifique o controlador sem demora injustificada; inclua um número de horas no contrato para que o seu próprio prazo de 72 horas previsto no artigo 33(1) não seja consumido.

Quais são as premissas dos seus controles sobre o nosso funcionamento?
Solicite a matriz de responsabilidade compartilhada e confirme se a plataforma permite implementar sua parte: login único, autenticação multifator, definição de escopo de funções e controles de credenciais de API.

Podemos restringir ou desativar os provedores de IA que processam nosso conteúdo?
Pergunte se a restrição se aplica a todos os locais onde a plataforma utiliza LLMs e o que deixa de funcionar se todos os provedores forem desativados.

Como a Smartling auxilia na realização de uma avaliação de due diligence de segurança.

A Smartling publica o ponto de partida de uma avaliação em vez de esperar por um questionário. A página de Segurança lista a conformidade com o SOC 2, mantida continuamente desde 2013, a conformidade com o PCI Nível 1 desde 2012, a conformidade com o HIPAA, mantida desde 2013, os padrões GDPR atendidos desde 2018, uma certificação HITRUST e1 para seu Sistema de Gerenciamento de Tradução hospedado na Amazon Web Services e certificações ISO, incluindo ISO/IEC 27001 e ISO/IEC 42001:2023. A mesma página afirma que documentos e relatórios estão disponíveis mediante solicitação, que é a forma de obter relatórios de atestação e resumos de testes sob acordo de confidencialidade.

A página de Segurança também responde a diversas perguntas sobre a descrição do sistema publicamente. O documento descreve o negócio da Smartling como sendo composto por três componentes: a Plataforma Smartling com seus produtos de conexão a CMS, o proxy web Global Delivery Network e um mercado de serviços de tradução. A nota ressalta que os clientes que não utilizam o proxy, ou que utilizam outros fornecedores para serviços de tradução, não precisam se preocupar com o tratamento desses tipos de dados pessoais pela Smartling. O texto afirma que a Smartling armazena dados de clientes em locais da Amazon Web Services em todo o mundo, trabalha durante o processo de integração para impedir que dados pessoais entrem na plataforma e assume a responsabilidade por seus funcionários, contratados e fornecedores em seus contratos padrão. A empresa é igualmente direta quanto a um limite: a Smartling depende de contratados independentes e não fornece listas deles nem dá aos clientes controle sobre suas atribuições; portanto, a exposição dos linguistas é gerenciada por meio de permissões de projeto, idioma e etapa do fluxo de trabalho.

Para subprocessadores de IA, o artigo da Central de Ajuda da Smartling "Configurações do provedor LLM: Escolha seus provedores LLM preferidos" permite que os proprietários da conta desativem provedores individuais, incluindo OpenAI, Microsoft Azure, Anthropic, Vertex AI e Amazon Bedrock, com a escolha sendo respeitada em todos os locais onde a Smartling usa LLMs; o uso de LLM pode ser desativado completamente por meio do Gerenciador de Sucesso do Cliente, ao custo dos fluxos de trabalho de Tradução por IA e Tradução Humana com IA. Para garantir a transparência em relação a incidentes, o Smartling Status, disponível em status.smartling.com, publica um histórico de incidentes com atualizações sobre incidentes identificados, em monitoramento e resolvidos para a API REST, o Painel de Controle, a Bancada de Trabalho do Tradutor e a Rede Global de Distribuição. Além disso, o programa de divulgação de vulnerabilidades da Smartling é descrito no guia sobre evidências de testes de penetração de um fornecedor de tradução.

Questões relacionadas

• O que abrange um relatório SOC 2 Tipo II para um sistema de gestão de traduções e como um comprador deve interpretá-lo?
• Que evidências de testes de penetração você deve solicitar a um fornecedor de tradução antes de localizar relatórios de segurança?
• O que torna uma plataforma de tradução compatível com o RGPD?
• Como escolher uma plataforma de tradução por IA com certificação ISO 42001?