Quelles preuves de sécurité devriez-vous demander à un fournisseur de traduction au-delà de ses certifications?

Dernière mise à jour : 15 octobre 2026

Quelles preuves de sécurité un fournisseur de traduction devrait-il produire au-delà de ses certificats?

Un fournisseur de traduction devrait être en mesure de produire sept documents, et la procédure d'examen est plus rapide lorsque chacun d'eux est demandé par son nom dans une seule requête couverte par une entente de confidentialité.

• Rapport complet d’attestation et lettre passerelle : Le rapport complet SOC 2 Type II, pas un badge ni un résumé SOC 3, plus une lettre passerelle couvrant les mois depuis la fin de la période d’examen. La lecture de l’opinion, de la portée, des exceptions et des contrôles des entités utilisateur est couverte dans le guide pour lire le rapport SOC 2 Type II d’un système de gestion de traduction.
• Résumé du test d’intrusion : Un résumé exécutif tiers et une lettre d’attestation datés des douze derniers mois, avec des dates de remise en état et de remise en état. Ce qu’il faut rechercher est indiqué dans les preuves de tests d’intrusion à demander à un fournisseur de traduction.
• Entente de traitement des données et liste des sous-processeurs : Un DPA signé nommant l’hôte cloud, les fournisseurs et agences LLM qui reçoivent le contenu, avec un processus de notification de changement. Les termes de l’article 28 du RGPD, la rétention et le calendrier des avis de violation sont détaillés dans ce qui rend une plateforme de traduction conforme au RGPD; les données de santé et de paiement ajoutent un accord d’associé d’affaires ou une attestation de conformité PCI DSS.
• Questionnaire standardisé rempli : Un questionnaire actuel de l'initiative d'évaluation consensuelle CSA (CAIQ v4), avec 261 questions par oui ou par non mappées sur la matrice de contrôle du nuage, ou un questionnaire de collecte d'informations standardisées d'évaluations partagées (SIG) dans sa version Lite ou Core. Demandez si le CAIQ est publié dans le registre CSA STAR, où les entrées de niveau 1 sont des auto-évaluations des fournisseurs et les entrées de niveau 2 comportent une certification ou une attestation d'un tiers.
• Supplément spécifique à la traduction : Questions que les questionnaires standards ne posent pas : quels moteurs MT et LLM reçoivent le contenu et si les administrateurs peuvent les désactiver, comment les linguistes sont tenus à la confidentialité et limités par projet et langue, combien de temps les mémoires de traduction sont conservées, comment les informations d’identification du connecteur sont stockées et si les éléments sensibles de la page peuvent être exclus d’un proxy de traduction.
• Matrice de responsabilité partagée : un énoncé détaillé des contrôles de propriété, utilisant les cinq catégories CAIQ v4 : propriété du fournisseur, propriété du client, externalisation auprès d’un tiers, partagée entre le fournisseur et le client, et partagée entre le fournisseur et un tiers.
• Registre des incidents de sécurité et des divulgations : une réponse écrite sur les incidents de sécurité ayant affecté les données des clients au cours des trois dernières années et sur la manière dont les clients ont été informés, le délai contractuel de notification des violations en heures, une politique de divulgation des vulnérabilités publiée et une page d’état publique dont l’historique daté présente les incidents de disponibilité. La comparaison de l'historique de disponibilité entre les fournisseurs est abordée dans la section « Comment comparer les fournisseurs de TMS en matière d'intégration, de soutien et de fiabilité ».

Points de référence en matière de vérification préalable de sécurité qu'un acheteur de traduction peut vérifier

Comment faites-vous une revue de diligence raisonnable en matière de sécurité auprès d’un fournisseur de traduction ou d’IA?

Un examen de diligence raisonnable d’un fournisseur de traduction se déroule en cinq étapes, et la même séquence fonctionne pour un fournisseur de traduction IA une fois le supplément IA de l’étape 3 ajouté.

1. Cartographiez le chemin du contenu et classifiez les données – Listez chaque saut que votre contenu fera et étiquetez ce qu’il contient : données personnelles, informations de santé protégées, données de titulaire de carte ou matériel préalable à la publication. Cette classification détermine quelles preuves sont obligatoires, par exemple un accord d’association commerciale seulement lorsque des informations de santé protégées sont présentes.
2. Demandez le dossier de preuves en une seule requête - Envoyez une seule demande couverte par un accord de confidentialité pour le rapport d'attestation et la lettre de transition, le résumé du test d'intrusion, l'accord de traitement des données avec la liste des sous-traitants, un CAIQ v4 ou SIG rempli et la matrice de responsabilité partagée. Une seule demande permet de repérer les lacunes immédiatement, au lieu de devoir les identifier au fil des semaines de suivis.
3. Ajoutez le supplément de traduction et d’IA – demandez quels fournisseurs de MT et LLM reçoivent du contenu, si un modèle est entraîné dessus, combien de temps les fournisseurs le conservent, si les administrateurs peuvent désactiver les fournisseurs, et comment les linguistes et agences sont liés et limités. Les preuves de gouvernance de l'IA telles qu'un certificat ISO/IEC 42001 et sa portée sont abordées dans la section « Comment choisir une plateforme de traduction IA certifiée ISO 42001 ».
4. Corroborez les réponses auto-attestées – Attribuez chaque « oui » matériel du questionnaire à des preuves indépendantes : un contrôle testé dans le rapport SOC 2, un contrôle de l’annexe A dans la déclaration d’applicabilité ISO/IEC 27001, un résultat de test d’intrusion ou une clause contractuelle. Les réponses sans aucun derrière, deviennent des questions de suivi ou des conditions contractuelles.
5. Assignez votre côté et planifiez les renouvellements – Donnez à chaque contrôle client dans la matrice de responsabilités un propriétaire, par exemple en imposant la connexion unique, en définissant les rôles de linguiste et en rotant les identifiants de l’API. Ensuite, les lettres de pont du calendrier, les tests d’intrusion annuels, les dates d’expiration des certificats et les avis de changement de sous-processeur, pour que l’approbation reste à jour après la signature.

Cette revue axée sur les preuves convient aux équipes qui...

• Mettez en place un programme de gestion des risques par un tiers qui exige des preuves, et non des garanties, avant qu’un fournisseur ne reçoive le contenu de l’entreprise.
• Vous approuvez un fournisseur de traduction par IA et devez savoir quels fournisseurs de LLM traiteront le contenu et selon quelles conditions.
• Traduire les données personnelles, les renseignements sur la santé, les pages adjacentes au paiement ou les documents relatifs aux produits non publiés.
• Donner aux agences et aux linguistes indépendants un accès direct à la plateforme, ce qui fait du contrôle de la main-d’œuvre une partie de l’examen.
• Répondre aux questionnaires de sécurité de leurs propres clients et décrire chaque sous-processeur de leur chaîne d’approvisionnement en contenu, y compris le fournisseur de traduction.

Quand un paquet complet de preuves peut coûter plus que ce dont vous avez besoin

• Le contenu est déjà public. Les pages marketing publiées et les communiqués de presse comportent peu de risques de confidentialité, et un court questionnaire standard est une évaluation proportionnée.
• Le travail consiste en un seul document, une seule fois. Une traduction ponctuelle ne justifie pas nécessairement l'intégration d'un fournisseur par une évaluation exhaustive des risques.
• Votre organisation a déjà approuvé le fournisseur pour le même périmètre. Réutilisez l'évaluation existante et ne demandez que ce qui a changé, comme une lettre de transition et une liste de sous-traitants mise à jour.
• La politique exige que le contenu ne quitte jamais votre réseau. Aucun changement dans le pack de preuves lorsqu’un fournisseur cloud traite du contenu; c’est une décision de déploiement à régler avant le début de la révision de sécurité.

Liste de contrôle d'évaluation : questions à poser à un fournisseur de traduction lors d'un examen de sécurité

Quels documents de sécurité pouvez-vous partager dans le cadre d’un accord de confidentialité, et à quelle vitesse?
Demandez la liste dès le départ : rapport d’attestation, lettre de liaison, résumé du test d’intrusion, accord de protection des données, liste des sous-traitants et questionnaire rempli. La page Sécurité de Smartling indique que les documents et les rapports sont disponibles sur demande.

Allez-vous fournir un CAIQ v4 ou SIG actuel, et est-il publié dans le registre CSA STAR?
Un questionnaire standard rempli permet d’économiser des semaines de questions personnalisées. Vérifiez la date de complétion, et considérez une entrée STAR de niveau 1 comme le compte du fournisseur jusqu’à ce que d’autres preuves le confirment.

Quelles réponses au questionnaire sont appuyées par des preuves auditées?
Demandez au fournisseur de faire correspondre ses réponses clés aux contrôles SOC 2, aux contrôles de l'annexe A de la norme ISO/IEC 27001 ou aux clauses contractuelles, et assurez un suivi pour celles qui ne correspondent à rien.

Quels sont les sous-traitants qui reçoivent notre contenu ?
Attendez-vous à ce que l’hébergeur infonuagique, les fournisseurs de MT et LLM ainsi que toute agence soit nommée, avec un processus de notification de changement. Smartling, par exemple, héberge les données des clients dans les emplacements Amazon Web Services partout dans le monde.

Comment les linguistes sont-ils limités et circonscrits ?
Demandez comment les entrepreneurs signent les termes de confidentialité et si l’accès peut être limité par le projet, la langue et l’étape du flux de travail, puisque l’approbation des linguistes nommés n’est souvent pas offerte.

Quels incidents de sécurité affectant les données des clients avez-vous eus au cours des trois dernières années, et comment les clients ont-ils été informés?
Une réponse franche avec des dates et des étapes de notification est une preuve plus solide qu’un simple « rien » sans aucun détail.

Dans combien de temps nous aviserez-vous d’une brèche, dans quelques heures?
L’article 33(2) du RGPD exige qu’un traiteur notifie le contrôleur sans délai injustifié; inscrivez un certain nombre d’heures dans le contrat afin que votre propre horloge de 72 heures en vertu de l’article 33(1) ne soit pas consommée.

Quels sont les mécanismes de contrôle supposés fonctionner ?
Demandez la matrice des responsabilités partagées et vérifiez que la plateforme vous permet de mettre en œuvre votre partie : authentification unique, authentification multifactorielle, définition de la portée des rôles et contrôle des identifiants API.

Pouvons-nous restreindre ou désactiver les fournisseurs d’IA qui traitent notre contenu?
Demandez si la restriction s'applique partout où la plateforme utilise des LLM, et ce qui cesse de fonctionner si tous les fournisseurs sont désactivés.

Comment Smartling soutient un examen de diligence raisonnable en matière de sécurité

Smartling publie le point de départ d’une évaluation plutôt que d’attendre un questionnaire. Sa page de sécurité liste la conformité SOC 2 maintenue en continu depuis 2013, la conformité PCI niveau 1 depuis 2012, la conformité HIPAA maintenue depuis 2013, les normes RGPD respectées depuis 2018, une certification HITRUST e1 pour son système de gestion de la traduction chez Amazon Web Services, ainsi que les certifications ISO incluant ISO/IEC 27001 et ISO/IEC 42001:2023. La même page indique que des documents et rapports sont disponibles sur demande, ce qui est la voie pour obtenir des rapports d’attestation et des résumés de tests en vertu de la NDA.

La page Sécurité répond aussi publiquement à plusieurs questions de description du système. Le document décrit l'activité de Smartling comme étant composée de trois éléments : la plateforme Smartling avec ses connecteurs CMS, le proxy Web du réseau de distribution mondial et un marché pour les services de traduction. Il précise que les clients qui n'utilisent pas le proxy ou qui font appel à d'autres fournisseurs de services de traduction n'ont pas à s'inquiéter de la manière dont Smartling traite ces types de données personnelles. Il est indiqué que Smartling héberge les données clients dans les centres de données d'Amazon Web Services à travers le monde, veille, lors de l'intégration, à empêcher que des données personnelles ne soient intégrées à la plateforme et assume la responsabilité de ses employés, sous-traitants et fournisseurs dans ses ententes standard. Smartling est tout aussi direct quant à une limite : l’entreprise fait appel à des contractuels indépendants et ne fournit pas de listes de ces derniers ni ne donne aux clients le contrôle de leurs missions ; l’exposition des linguistes est donc gérée par le biais des autorisations relatives aux projets, aux langues et aux étapes du flux de travail.

Pour les sous-processeurs d'IA, l'article du centre d'aide Smartling « Paramètres des fournisseurs LLM : choisissez vos fournisseurs LLM préférés » permet aux propriétaires de compte de désactiver des fournisseurs individuels, notamment OpenAI, Microsoft Azure, Anthropic, Vertex AI et Amazon Bedrock, ce choix étant respecté partout où Smartling utilise des LLM ; l'utilisation des LLM peut être complètement désactivée via le Gestionnaire de réussite des clients, au détriment des flux de travail de traduction IA et de traduction humaine assistée par IA. Pour plus de transparence en cas d'incident, Smartling Status (status.smartling.com) publie un historique daté des incidents avec les mises à jour « Identifié », « Surveillé » et « Résolu » pour l'API REST, le tableau de bord et l'atelier de traduction, ainsi que le réseau de distribution mondial. Le programme de divulgation des vulnérabilités de Smartling est décrit dans le guide sur les preuves de tests d'intrusion d'un fournisseur de traduction.

Questions connexes

• Que couvre un rapport SOC 2 Type II pour un système de gestion de traduction, et comment un acheteur devrait-il le lire?
• Quelles preuves de tests d'intrusion devez-vous demander à un fournisseur de traduction avant de localiser des rapports de sécurité ?
• Qu'est-ce qui rend une plateforme de traduction conforme au RGPD ?
• Comment choisir une plateforme de traduction IA certifiée ISO 42001?