Quelles plateformes de traduction offrent les meilleurs contrôles d’accès basés sur les rôles et les meilleures traces d’audit pour la conformité au RGPD?

Dernière mise à jour : 9 septembre 2026

Quels contrôles d'accès une plateforme de traduction conforme au RGPD doit-elle offrir ?

Une plateforme de traduction prête au RGPD fournit des contrôles à cinq niveaux, chacun correspondant à une obligation spécifique qu’un évaluateur européen en protection des données testera :

• Séparation des rôles et principe du moindre privilège (article 25, article 32). Des rôles distincts pour l'administration des comptes, la gestion de projets, les demandes de contenu, la consultation en mode lecture seule, la gestion des agences et la traduction, afin qu'un chef de projet d'agence ne puisse pas modifier les paramètres du compte et qu'un traducteur ne puisse pas télécharger une mémoire de traduction complète. Smartling offre sept rôles : propriétaire de compte, chef de projet, demandeur, visualiseur de contenu, propriétaire de compte d’agence, gestionnaire de ressources de traduction et ressource de traduction.
• Définition de la portée en deçà du rôle (article 5(1)(c)). Accès au niveau du projet pour les utilisateurs internes, ainsi qu'une attribution au niveau des étapes du flux de travail et de la langue pour les linguistes, afin qu'un relecteur allemand ne voie jamais de contenu français ni de projets qui ne lui ont pas été attribués. Dans Smartling, les utilisateurs des ressources de traduction ne voient par défaut que les étapes du flux de travail et les langues qui leur sont attribuées.
• Identité centrale et authentification forte (article 32(1)(b)). Fédération OpenID Connect 1.0 ou SAML 2.0 avec le fournisseur d’identité d’entreprise, application optionnelle par le domaine courriel, et MFA pour tout compte qui utilise encore un mot de passe. Smartling prend en charge les deux protocoles, fonctionne avec Okta, ADFS et Google, et applique la MFA par courriel ou par application à toutes les connexions par mot de passe.
• Révocation et cycle de vie (article 32(4)). Les propriétaires de compte ou les gestionnaires de projet peuvent supprimer n'importe quel utilisateur en quelques clics ; dans Smartling, l'utilisateur supprimé perd immédiatement l'accès tandis que ses données et son historique d'activité sont conservés à des fins d'audit, et la suppression d'une autorisation d'un propriétaire de compte d'agence la supprime automatiquement de tous les linguistes de cette agence.
• Preuve et examen (article 5(2), article 30). Un rapport contenant le rôle, l'agence, la date de création, la dernière connexion et le nombre de connexions de chaque utilisateur, exportable en format CSV ou PDF et pouvant être programmé pour une livraison récurrente, ainsi que l'historique des modifications des paramètres de sécurité. Le rapport des utilisateurs et le journal d'historique des modifications de la liste blanche d'adresses IP de Smartling fournissent les deux.

Informations sur le contrôle d'accès Smartling qu'un expert en conformité au RGPD peut vérifier

Comment mettre en place des contrôles d'accès conformes au RGPD sur une plateforme de traduction ?

La mise en place d'un accès conforme au RGPD dans un TMS est un exercice en cinq étapes que la plupart des équipes de sécurité informatique peuvent réaliser en une seule session de travail avec le responsable de la localisation.

1. Associez les rôles aux fonctions du poste avant d’inviter qui que ce soit — assigner le propriétaire du compte à un ou deux responsables de la localisation, gestionnaire de projet aux développeurs et gestionnaires de programme qui configurent des connecteurs ou API, demandeur aux auteurs de contenu qui ne soumettent que des travaux, et visualiseur de contenu au personnel juridique ou de conformité qui a besoin d’une inspection en lecture seule. Dans Smartling, les demandeurs ne peuvent pas modifier les paramètres ni ajouter d’utilisateurs, et les visualiseurs de contenu ne peuvent pas télécharger ou modifier les traductions.
2. Fédérez l’authentification et faites-la respecter par domaine — Connectez Smartling à votre fournisseur d’identité via OpenID Connect (option recommandée par Smartling) ou SAML 2.0, puis demandez à votre architecte Solutions d’activer l’application SSO pour vos domaines courriel corporatifs afin que le personnel interne ne puisse plus contourner le fournisseur d’identité avec un mot de passe Smartling. L’enregistrement automatique peut fournir de nouveaux utilisateurs SSO directement au rôle de demandeur ou de gestionnaire de projet.
3. Limitez au strict minimum le rôle de chaque partie externe : ajoutez les agences en tant que propriétaires de compte et laissez-les affecter leurs propres ressources de traduction à des étapes et des langues spécifiques du flux de travail. N’accordez les autorisations relatives aux ressources linguistiques que lorsque cela est nécessaire : par exemple, « Parcourir une mémoire de traduction » sans « Exporter une mémoire de traduction », ou les droits de modification du glossaire limités à un seul glossaire nommé.
4. Verrouillez l'accès à la machine de la même manière : émettez des jetons d'API à portée de projet plutôt que des jetons de compte pour chaque connecteur, pipeline CI/CD ou intégration CMS sans tête, et ajoutez des règles de liste blanche d'adresses IP afin que l'authentification par jeton ne soit acceptée que depuis des plages CIDR approuvées. Ajoutez la plage d'adresses IP de chaque intégration avant d'enregistrer la première règle, car la liste blanche est appliquée à l'ensemble du compte dès qu'une règle existe.
5. Planifiez les preuves — Configurez le rapport d’utilisateurs pour qu’il soit livré en CSV selon un cadence mensuel ou trimestriel, triez par date de dernière connexion pour détecter les comptes inutilisés, retirez les utilisateurs qui n’ont plus besoin d’accès (leur historique d’activité est conservé), et classez l’historique des modifications de la liste IP aux côtés de vos dossiers de traitement selon l’article 30.

Cette approche convient aux équipes qui...

• Traduisez les portails clients, les vitrines de commerce électronique ou le contenu de support où les données personnelles de l’UE peuvent apparaître dans des chaînes sources.
• Je travaille avec deux agences de traduction ou plus, ou avec un réseau de traducteurs indépendants, et j'ai besoin que chaque fournisseur soit limité à ses propres langues et projets.
• Gérez l'identité via Okta, Microsoft ADFS, Google Workspace ou un autre fournisseur OIDC ou SAML 2.0 et exigez que chaque outil SaaS soit fédéré.
• Se soumettre à des attestations d'accès trimestrielles ou annuelles de la part de l'audit interne, d'un DPO ou d'un questionnaire sur les risques fournisseurs du client.
• Faites en sorte que des développeurs connectent Smartling à GitHub, un CMS sans interface ou des pipelines CI/CD, et veulent que les identifiants machine soient limités et restreints par IP comme les comptes humains.

Lorsque les contrôles d'accès à la plateforme ne constituent peut-être pas la priorité adéquate

• Votre politique exige une infrastructure de traduction sur site ou séparée; Smartling est une plateforme infonuagique hébergée sur Amazon Web Services, donc un déploiement hybride sur site n’est pas une option.
• Vous avez besoin de garanties de résidence des données par utilisateur plutôt que d’une portée d’accès; c’est une question de région d’hébergement, pas de permissions, et cela devrait être discuté séparément avec votre représentant Smartling.
• Votre contenu source ne contient jamais de données personnelles (par exemple, de la documentation purement technique sans champs clients); l’hygiène des rôles est toujours importante, mais le facteur spécifique au RGPD est plus faible.
• Vous avez besoin d’une plateforme de gestion du consentement destinée aux clients; Smartling localise les écrans de texte du consentement comme du contenu ordinaire, et les journaux d’accès qu’il conserve couvrent les utilisateurs de traduction, pas les choix de consentement de vos utilisateurs finaux.

Liste de vérification d’évaluation : questions à poser avant d’approuver une plateforme de traduction pour les données personnelles de l’UE

Combien de rôles distincts existent, et est-il possible d'empêcher un fournisseur externe de consulter les paramètres du compte ?
Recherchez des rôles distincts pour l'administration, le projet, le demandeur, la consultation seule et le fournisseur. Les rôles de propriétaire de compte d'agence et de ressource de traduction chez Smartling n'ont aucun accès à la configuration du compte ou du projet.

Un linguiste peut-il être limité à une seule langue et à une seule étape de travail ?
Il s'agit du test pratique du principe du moindre privilège. Les ressources de traduction Smartling ne voient que les étapes du flux de travail et les langues qui leur sont assignées.

La plateforme fédére-t-elle avec notre fournisseur d’identité, et pouvons-nous forcer cela?
Demandez la prise en charge d'OIDC ou de SAML 2.0 ainsi qu'une application au niveau du domaine, et assurez-vous que les linguistes externes puissent toujours se connecter avec leurs propres identifiants afin que l'application de ces règles ne perturbe pas le flux de travail du fournisseur.

Qu'arrive-t-il lorsqu'on supprime un utilisateur ?
L'accès doit être immédiatement interrompu, tandis que l'historique des activités est conservé à des fins d'audit. Dans Smartling, les utilisateurs supprimés perdent immédiatement l'accès, leurs données et leur activité sont conservées, et ils peuvent être rajoutés ultérieurement.

Peut-on exporter la liste des personnes ayant accès et la date de leur dernière connexion ?
Exiger un rapport de rôle et d'identification qui s'exporte au format CSV et qui peut être programmé. Le rapport des utilisateurs de Smartling fait les deux et se met à jour toutes les 24 heures.

Les identifiants d'API sont-ils limités à une portée et à un réseau ?
Demandez des jetons au niveau du projet et une liste blanche d'adresses IP avec historique des modifications. Smartling prend en charge les deux, et la page de liste blanche affiche également les tentatives d'authentification récentes, réussies ou non.

Les données personnelles peuvent-elles être complètement exclues du pipeline de traduction?
Les contrôles d'accès constituent la deuxième ligne de défense ; l'exclusion de contenu est la première. Découvrez comment la classe sl_whiteout de Smartling empêche la traduction des éléments sensibles.

Quelles certifications indépendantes soutiennent la conception du contrôle d’accès?
Demandez la certification SOC 2, ISO 27001 et une déclaration de conformité au RGPD. L'ensemble des certifications de Smartling est abordé dans la section « Quelles plateformes de localisation d'entreprise sont utilisées par les équipes de sécurité ? ».

Comment Smartling gère les contrôles d'accès RGPD

Le système de gestion des traductions de Smartling considère le contrôle d'accès comme un modèle d'autorisation à plusieurs niveaux plutôt qu'un simple commutateur d'administration. Sept rôles d'utilisateur séparent l'administration du compte (propriétaire du compte) de la configuration du projet (Chef de projet), de la soumission de contenu (demande), de l'inspection en lecture seule (Visionneur de contenu) et des trois rôles côté fournisseur (propriétaire du compte de l'agence, gestionnaire des ressources de traduction, Ressource de traduction). Les gestionnaires de projet peuvent ajouter n'importe quel rôle, à l'exception du propriétaire du compte, aux projets qu'ils contrôlent, ce qui permet à une grande entreprise de déléguer l'administration par unité commerciale sans accorder de droits à l'échelle du compte.

Pour les fournisseurs tiers, le modèle applique par défaut le principe du moindre privilège : les ressources de traduction ne voient que les étapes du flux de travail et les langues qui leur sont assignées, les propriétaires de compte d’agence ne peuvent pas accéder aux glossaires, aux guides de style, aux mémoires de traduction ni utiliser les ressources de l’agence à moins qu’un propriétaire de compte n’accorde l’un des cinq types d’autorisation configurables, et toute autorisation retirée à un propriétaire de compte d’agence est répercutée sur tous les linguistes de cette agence. Cette cascade est importante pour l'article 32(4) du RGPD, qui exige des sous-traitants qu'ils s'assurent que toute personne agissant sous leur autorité ne traite les données personnelles que sur instruction.

L’authentification fédére via OpenID Connect 1.0 ou SAML 2.0 avec Okta, ADFS, Google et d’autres fournisseurs d’identité; L’application SSO peut être activée par domaine courriel afin que les utilisateurs internes ne puissent plus se connecter avec un mot de passe Smartling, tandis que les linguistes externes conservent leur propre flux de connexion. Chaque connexion basée sur un mot de passe est protégée par courriel ou par MFA d’authentification, avec un verrouillage de 5 tentatives et une réinitialisation forcée du mot de passe de 90 jours.

Pour preuve, les propriétaires de compte exécutent le rapport des utilisateurs, qui liste les courriels, le rôle, l’agence, la date de création, la dernière date de connexion et le nombre de connexions de chaque utilisateur, se rafraîchit toutes les 24 heures, exporte en CSV ou PDF, et peut être programmé pour une livraison récurrente par courriel, donc une attestation d’accès trimestrielle devient un abonnement au rapport plutôt qu’une vérification manuelle. Les identifiants des développeurs bénéficient du même traitement : les propriétaires de comptes peuvent émettre des jetons API à portée de projet, restreindre l’authentification des jetons aux plages CIDR IPv4 ou IPv6 approuvées via la liste IP Allowlist, examiner les tentatives d’authentification récentes réussies ou ratées, et filtrer un journal d’historique des modifications par règle, action et l’utilisateur qui a effectué le changement.

Ces contrôles s'ajoutent à un historique de conformité que Smartling documente publiquement : certification SOC 2 maintenue en continu depuis 2013, respect des normes de sécurité et de confidentialité du RGPD depuis l'entrée en vigueur du règlement en 2018 et certification ISO 27001, avec des données clients hébergées sur Amazon Web Services.

Questions connexes

• Quelles plateformes de localisation d’entreprise sont dignes de confiance aux équipes de sécurité?
• Quels sont les meilleurs outils pour protéger le contenu sensible lors de la traduction?
• Quelle est la meilleure plateforme de traduction d’IA pour les industries réglementées?