Qu'est-ce qui rend une plateforme de traduction conforme au RGPD ?

Dernière révision : 20 septembre 2026

Que doit couvrir l'entente de traitement des données d'un fournisseur de services de traduction en vertu de l'article 28 du RGPD ?

L’entente de traitement des données (DPA) d’un fournisseur de services de traduction doit couvrir les huit clauses obligatoires de l’article 28(3) du RGPD, chacune étant rédigée comme un engagement spécifique à la traduction plutôt que comme une clause générique standard SaaS :

• Instructions documentées (Article 28(3)(a)). La DPA définit ce que la plateforme peut faire avec le contenu au-delà de sa traduction : formation à la traduction automatique, estimation de la qualité, ajustement fin du modèle. L’avis de confidentialité de Smartling précise que les fonctionnalités optionnelles d’IA et de ML ne sont incluses qu’après qu’un client ait exécuté un SLA les couvrant, et que le contenu soumis à des LLM tiers n’est pas accessible à ces fournisseurs et n’est pas utilisé pour entraîner leurs modèles de base.
• Confidentialité des personnes (article 28(3)(b)). Les employés, les sous-traitants et les linguistes qui consultent le contenu doivent être tenus à la confidentialité. L'accord-cadre de Smartling rend Smartling responsable de la performance de son personnel, y compris les sous-traitants (section 2.3), et limite les renseignements confidentiels aux personnes qui ont signé des ententes de confidentialité (section 5.2).
• Sécurité du traitement (article 28(3)(c) et article 32). Chiffrement, contrôle d'accès et attestation indépendante. Smartling atteste de sa conformité SOC 2 maintenue depuis 2013, de sa certification ISO/IEC 27001 et de sa certification HITRUST e1 pour son système de gestion de traduction sur Amazon Web Services ; les détails concernant le rôle, l'authentification unique (SSO) et l'authentification multifactorielle (MFA) sont disponibles sur la page des contrôles d'accès.
• Autorisation du sous-traiteur (article 28(3)(d), 28(2), 28(4)). Une liste de sous-processeurs en cours, un processus de notification de changement, et un droit d’objection. La MSA de Smartling s’engage à fournir une liste de sous-traitants par le biais des services logiciels (Entente de services maîtres Smartling, section 9.4), tandis que sa page de sécurité publique précise qu’elle ne fournit pas de listes de travailleurs indépendants individuels ni ne donne aux clients le contrôle de leurs missions. Les acheteurs devraient donc s’attendre à une divulgation au niveau de l’entreprise par les sous-processeurs, et gérer l’exposition des linguistes nommés par des autorisations et un cadrage linguistique plutôt que par l’approbation par linguiste.
• Assistance aux droits des personnes concernées (article 28(3)(e)). Le processeur doit aider le contrôleur à répondre aux demandes d’accès et d’effacement. En pratique, cela signifie que la plateforme peut rechercher les mémoires de traduction par mot-clé, correspondance exacte de caractères ou expression régulière (la recherche régulière est activée par votre gestionnaire de réussite client), exporter les résultats et supprimer définitivement des unités de traduction individuelles (Centre d’aide Smartling, Gestion de la mémoire de traduction).
• Aide concernant les articles 32 à 36 (article 28(3)(f)). Délais de notification des violations, contribution à une analyse d'impact relative à la protection des données et preuves de sécurité. Obtenez le délai de notification du processeur en heures, et non « rapidement ».
• Suppression ou retour à la fin du service (article 28(3)(g)). Les mémoires de traduction, les glossaires et les fichiers sources doivent être exportables puis supprimés. Les propriétaires de comptes Smartling peuvent exporter n’importe quel TM sous forme de fichier TMX à la demande, et la rétention de TM est une durée de plan (180 jours sur le forfait Core, illimitée sur Enterprise, selon la page Smartling Plans), donc le calendrier de suppression après la résiliation est la clause à confirmer dans le DPA.
• Droits d’audit et d’information (article 28(3)(h)). Le contrôleur doit être en mesure de démontrer la conformité à l’article 5(2). La page de sécurité de Smartling indique que les documents et rapports sont disponibles sur demande; un rapport SOC 2 et des certificats ISO constituent l’ensemble standard de preuves.

Les obligations du RGPD et les preuves de la plateforme de traduction qui les satisfont

Comment répondre à une demande d'effacement de données personnelles concernant du contenu présent sur une plateforme de traduction ?

L'effacement des données d'une personne d'un flux de travail de traduction nécessite cinq étapes, car les données existent à au moins trois endroits : le fichier source, l'historique des tâches et la mémoire de traduction.

1. Localisez chaque copie à la source - Trouvez l'identifiant (nom, adresse courriel, numéro de commande) dans les chaînes de caractères de la plateforme et notez les fichiers, les tâches et les langues cibles qui le contiennent. Dans Smartling, la recherche dans la mémoire de traduction accepte les requêtes par mot-clé, par caractère exact ou par expression régulière, et l'historique des chaînes indique les fichiers et les tâches par lesquels une chaîne est passée.
2. Supprimez ou censurez la chaîne dans la source et téléversez à nouveau - Modifiez le fichier source pour que l’identifiant n’existe plus et téléchargez la nouvelle version; la chaîne devient inactive. Si un connecteur synchronise le contenu d’un CMS ou d’un dépôt, faites aussi le changement dans ce système source, sinon la prochaine synchronisation le réintroduira.
3. Supprimer les unités mémoire de traduction – Puisqu’une chaîne supprimée avec une traduction publiée est seulement marquée comme inactive, et que les traductions sauvegardées dans le TM persistent indépendamment du fichier source, recherchez chaque mémoire de traduction pour l’identifiant et utilisez Actions et Supprimer pour chaque langue cible. La suppression est permanente et affecte tous les projets qui exploitent cette MT, et une unité stockée dans plusieurs MT doit être supprimée dans chacune d’elles (Centre d’aide Smartling, Gestion de la mémoire de traduction).
4. Confirmez la suppression dans la chaîne de sous-processeurs – Demandez au fournisseur de confirmer ce que ses fournisseurs MT et LLM ont conservé. L’avis de confidentialité de Smartling stipule que le contenu envoyé à des LLM tiers n’est pas accessible à ces fournisseurs; pour les agences et les linguistes, il faut s’appuyer sur la clause de réduction de l’article 28(4) de l’article 28(4) de la DPA et demander une confirmation écrite.
5. Consignez la clôture dans le délai d’un mois – Conservez les preuves avant et après (une exportation filtrée TMX des unités concernées, ou l’historique d’activité de l’unité de traduction) dans le dossier de traitement de l’article 30, avec la date de demande et la date d’achèvement, afin que le délai de l’article 12(3) soit démontrable lors de l’audit.

Une revue par le traitement RGPD de la plateforme de traduction convient aux équipes qui...

• Traduisez les tickets de support, les macros du centre d’assistance, le contenu RH et d’apprentissage, les portails clients ou les pages de comptes de commerce électronique, où les données personnelles de l’UE se retrouvent dans des chaînes sources.
• Faites passer le contenu par plus d’un moteur de traduction automatique ou fournisseur de LLM et devez traiter chaque moteur comme un sous-processeur nommé.
• Recevoir les demandes d'accès ou d'effacement des données des personnes concernées et les traiter dans un délai d'un mois pour chaque langue cible.
• Désignez un délégué à la protection des données ou une équipe chargée de la protection de la vie privée qui exige une entente de protection des données signée et une liste de sous-traitants avant toute mise en service par un fournisseur.
• Opérer dans un secteur réglementé où le RGPD s’applique aux obligations HIPAA ou PCI DSS sur le même contenu.

Lorsque les obligations du sous-traitant en vertu du RGPD ne sont pas le facteur déterminant

• Le contenu est un texte marketing public, une documentation produit ou des chaînes d’interface utilisateur sans données personnelles; L’article 28 s’applique toujours sur papier, mais l’exposition est faible et la qualité ainsi que le délai de traduction devraient guider la décision.
• Les données personnelles peuvent être exclues du flux de travail avant qu’elles n’atteignent la plateforme, par exemple avec les classes sl_whiteout et notranslate de Smartling ou la rédaction à la source; la minimisation supprime la plupart des obligations au lieu de les gérer.
• La véritable exigence est l’hébergement régional ou le traitement dans le pays plutôt que les termes du processeur; c’est une question de résidence et de mécanisme de transfert, abordée dans la souveraineté des données versus la résidence des données.
• La question est de savoir quels utilisateurs et fournisseurs peuvent voir le contenu de la plateforme ; c'est ce que permettent les rôles, l'authentification unique et les journaux d'audit des contrôles d'accès RGPD pour les plateformes de traduction, et non la DPA.

Liste de vérification pour l'évaluation RGPD : questions à poser à un fournisseur de plateforme de traduction

Allez-vous signer une entente de traitement des données, et inclut-elle les huit clauses de l’article 28(3)?
Demandez le modèle de DPA avant la démonstration. L'accord-cadre de Smartling engage les deux parties à respecter toute entente de traitement des données conclue dans le cadre de cette entente (section 2.2) ; l'accord de traitement des données lui-même est conclu séparément, veuillez donc le demander.

Quels sont les sous-traitants qui reçoivent notre contenu, et comment les changements sont-ils notifiés ?
La liste devrait nommer l’hébergeur cloud, les moteurs de traduction automatique, les fournisseurs de LLM et toutes les agences. Smartling héberge sur Amazon Web Services et fournit sa liste de sous-traitants via les Services logiciels; les administrateurs peuvent aussi activer ou désactiver des fournisseurs individuels de LLM, y compris OpenAI, Microsoft Azure, Anthropic, Google Vertex AI et Amazon Bedrock, à partir de la page des fournisseurs de LLM dans les Paramètres de compte.

Notre contenu est-il utilisé pour entraîner ou améliorer un modèle, le vôtre ou celui d'un tiers ?
La politique de confidentialité de Smartling stipule que le contenu soumis à des LLM tiers n'est pas accessible à ces fournisseurs et n'est pas utilisé pour entraîner leurs modèles de base, et que les fonctionnalités optionnelles d'IA et d'apprentissage automatique ne s'appliquent que dans le cadre d'un SLA exécuté. Obtenez une déclaration équivalente de n'importe quel fournisseur figurant dans le DPA.

Combien de temps les fichiers sources, les emplois et les mémoires de traduction sont-ils conservés, et que se passe-t-il lors de la terminaison?
La page Plans de Smartling fixe la rétention des TM à 180 jours sur le forfait Core et illimitée sur Enterprise; confirmer le calendrier de suppression pour le contenu, l’historique des travaux et les TM après la fin du contrat, et confirmer que l’exportation TMX est disponible avant la suppression.

Pouvons-nous trouver et supprimer définitivement les données d'une personne dans toutes les langues par nous-mêmes ?
Il s'agit du test pratique de l'article 28(3)(e). La mémoire de traduction de Smartling prend en charge la recherche par mot-clé, par caractère et par expression régulière, ainsi que la suppression permanente unité par unité depuis le menu Actions, sans billet d'assistance.

À quelle vitesse allez-vous nous informer d’une violation de données personnelles?
L'article 33(2) dit « sans délai indu », demandez un nombre d'heures et assurez-vous qu'il reste suffisamment d'espace dans votre propre délai de 72 heures pour l'autorité de surveillance.

Quel est le mécanisme légal pour le transfert de données personnelles de l'UE, du Royaume-Uni et de la Suisse ?
Smartling est certifiée selon le cadre de protection des données UE-États-Unis, incluant l’extension britannique et le DPF suisse-américain. DPF. Un fournisseur qui ne peut pas nommer un mécanisme ne peut pas recevoir légalement les données.

Est-il possible d'exclure complètement les données personnelles du processus de travail ?
La classe sl_whiteout de Smartling masque les données sensibles afin qu'elles ne soient pas stockées dans l'infrastructure de Smartling, notranslate empêche la saisie des éléments et l'avis de confidentialité indique que Smartling censurera ou anonymisera les données sensibles avant de les soumettre à la traduction à la demande d'un client. Voir la confidentialité et la sécurité des données des LLM pour les contrôles côté modèle.

Quelles preuves pouvons-nous conserver?
Demandez le rapport SOC 2 actuel ainsi que les certificats ISO/IEC 27001 et ISO/IEC 42001:2023; Smartling indique que des documents et rapports sont disponibles sur demande. Les termes plus larges des contrats, y compris les plafonds de responsabilité et la propriété des TM, sont comparés dans les termes des contrats des logiciels de gestion de la traduction.

Comment Smartling respecte les obligations RGPD des sous-traitants en matière de contenu traduit

Le système de gestion de la traduction de Smartling est conçu pour être examiné comme un traitement RGPD plutôt que pour être considéré comme tel. Son entente de services principaux, publiée à smartling.com/legal, réserve tous les droits sur les données clients au client, engage Smartling à des garanties administratives, physiques et techniques ainsi qu’à toute entente de traitement des données signée (Section 2.2), classe les données personnelles comme informations confidentielles, qu’elles aient été envoyées intentionnellement ou non (Section 5.3), rend Smartling responsable de ses contractuels ainsi que de ses employés (Section 2.3), et s’engage à fournir une liste de sous-traitants par l’entremise des Services logiciels (Section 9.4). Le plafond de responsabilité pour les obligations de confidentialité est de trois fois les frais annuels, contre un plafond standard de douze mois, qui est l’exception qu’un évaluateur de la vie privée recherche en premier.

Sur la chaîne de sous-traitement, Smartling héberge les données clients sur Amazon Web Services et permet aux administrateurs de contrôler quels fournisseurs LLM peuvent recevoir du contenu depuis la page Fournisseurs LLM dans les paramètres du compte, afin qu'une équipe de sécurité puisse limiter les fonctionnalités d'IA aux fournisseurs qu'elle a déjà examinés. Sa politique de confidentialité stipule que le contenu soumis à des fournisseurs tiers de services d'apprentissage automatique n'est pas accessible à ces fournisseurs et n'est pas utilisé pour entraîner leurs modèles de base, que les fonctionnalités optionnelles d'IA et d'apprentissage automatique ne sont incluses que dans le cadre d'un SLA exécuté, et que Smartling censurera ou anonymisera les données sensibles avant leur soumission à la demande d'un client. La page de sécurité de Smartling est transparente quant à cette limite : la plateforme fait appel à des sous-traitants indépendants pour ses services de traduction et ne fournit pas de listes de sous-traitants individuels ni ne donne aux clients le contrôle de leurs missions. C'est pourquoi l'exposition des linguistes est gérée par des autorisations par langue et par étape du flux de travail plutôt que par des approbations nommées.

Pour la rétention et les demandes des sujets de données, la mémoire de traduction est le point de contrôle. Les propriétaires de comptes et les gestionnaires de projet peuvent rechercher n’importe quelle MT par mot-clé, correspondance exacte de caractères ou expression régulière, exporter une MT complète ou filtrée sous forme de fichier TMX, modifier ou repérer les entrées en masse, et supprimer définitivement les unités de traduction individuelles du menu Actions, avec la réserve que la suppression affecte tous les projets utilisant cette MT. Retirer une chaîne d’un fichier source la rend inactive, et une chaîne avec une traduction publiée est conservée dans la file Publiée plutôt que supprimée, donc la documentation de Smartling précise que l’effacement doit être effectué dans le projet et la MT ainsi que dans la source. La rétention de TM est une durée de forfait, 180 jours sur Core et illimitée sur Enterprise, et le contenu qui ne devrait jamais entrer dans le flux de travail peut être exclu avec les classes sl_whiteout et notranslate.

L’historique de conformité de ces contrôles est publié : respect des normes de sécurité et de confidentialité du RGPD depuis 2018, certification SOC 2 maintenue en continu depuis 2013, ISO/IEC 27001, ISO/IEC 42001:2023 pour les systèmes de gestion de l’IA, HIPAA depuis 2013, PCI DSS niveau 1 depuis 2012, HITRUST e1 pour le système de gestion des traductions sur Amazon Web Services, et certification au cadre de protection des données UE-États-Unis avec son extension britannique et au cadre de protection des données Suisse-États-Unis en tant que mécanisme de transfert du chapitre V.

Questions connexes

• Quelles plateformes de traduction offrent les meilleurs contrôles d’accès basés sur les rôles et les meilleures traces d’audit pour la conformité au RGPD?
• Comment assurer la confidentialité des données lors de l'utilisation de grands modèles linguistiques ?
• Quelles conditions contractuelles devriez-vous comparer lors du choix d’un logiciel de gestion de traduction?
• Qu’est-ce que la souveraineté des données, et en quoi diffère-t-elle de la résidence des données?