Hvad gør en oversættelsesplatform GDPR-kompatibel?

Sidst gennemgået: 20. september 2026

Hvad skal en oversættelsesleverandørs databehandleraftale omfatte i henhold til GDPR artikel 28?

En oversættelsesleverandørs databehandleraftale (DPA) bør dække de otte obligatoriske vilkår i GDPR artikel 28(3), der hver især er skrevet som en oversættelsesspecifik forpligtelse snarere end en generisk SaaS-standardtekst:

• Dokumenterede instruktioner (artikel 28(3)(a)). Databeskyttelsesaftalen definerer, hvad platformen må gøre med indhold ud over at oversætte det: træning i maskinoversættelse, kvalitetsvurdering og finjustering af modeller. Smartlings privatlivsmeddelelse angiver, at valgfrie AI- og ML-funktioner først er inkluderet, når en kunde har underskrevet en SLA, der dækker dem, og at indhold, der indsendes til tredjeparts LLM'er, ikke er tilgængeligt for disse udbydere og ikke bruges til at træne deres grundlæggende modeller.
• Personfortrolighed (artikel 28(3)(b)). Medarbejdere, leverandører og lingvister, der ser indhold, skal være bundet af fortrolighed. Smartlings MSA gør Smartling ansvarlig for sine medarbejderes præstationer, herunder leverandører (afsnit 2.3), og begrænser fortrolige oplysninger til personer, der har underskrevet fortrolighedsaftaler (afsnit 5.2).
• Behandlingssikkerhed (artikel 28(3)(c) og artikel 32). Kryptering, adgangskontrol og uafhængig attestering. Smartling dokumenterer SOC 2-overholdelse, der er opretholdt siden 2013, ISO/IEC 27001 og en HITRUST e1-certificering for sit oversættelsesstyringssystem på Amazon Web Services; detaljer om rolle, SSO og MFA findes på siden med adgangskontroller.
• Godkendelse af underdatabehandlere (artikel 28(3)(d), 28(2), 28(4)). En aktuel liste over underdatabehandlere, en proces til ændringsmeddelelser og en indsigelsesret. Smartlings MSA forpligter sig til at levere en liste over underleverandører gennem Softwaretjenesterne (Smartlings hovedserviceaftale, afsnit 9.4), mens det på dens side om offentlig sikkerhed fremgår, at den ikke leverer lister over individuelle uafhængige entreprenører eller giver kunderne kontrol over deres opgaver. Købere bør derfor forvente offentliggørelse fra underdatabehandlere på virksomhedsniveau og håndtere eksponering af navngivne sprogeksperter gennem tilladelser og sproglig scoping i stedet for godkendelse pr. sprogekspert.
• Bistand med den registreredes rettigheder (artikel 28(3)(e)). Databehandleren skal hjælpe den dataansvarlige med at besvare anmodninger om adgang og sletning. I praksis betyder det, at platformen kan søge i oversættelseshukommelser efter nøgleord, præcist tegnmatch eller regulært udtryk (regex-søgning er aktiveret af din Customer Success Manager), eksportere resultaterne og permanent slette individuelle oversættelsesenheder (Smartling Hjælpecenter, Administration af oversættelseshukommelse).
• Bistand i henhold til artikel 32 til 36 (artikel 28(3)(f)). Tidspunkt for underretning om brud, input til en konsekvensanalyse af databeskyttelse og sikkerhedsbeviser. Få processorens notifikationsvindue i timer, ikke "hurtigt".
• Sletning eller returnering ved tjenestens ophør (artikel 28(3)(g)). Oversættelseshukommelser, ordlister og kildefiler skal kunne eksporteres og derefter slettes. Smartling-kontoejere kan eksportere ethvert TM som en TMX-fil efter behov, og TM-opbevaring er en planperiode (180 dage på Core-planen, ubegrænset på Enterprise, ifølge siden Smartling-planer), så sletningsplanen efter opsigelse er den klausul, der skal bekræftes i DPA'en.
• Revisions- og informationsrettigheder (artikel 28(3)(h)). Den dataansvarlige skal kunne påvise overholdelse af artikel 5(2). Smartlings sikkerhedsside angiver, at dokumenter og rapporter er tilgængelige på anmodning; en SOC 2-rapport og ISO-certifikater er standarddokumentationen.

GDPR-forpligtelser og den dokumentation for oversættelsesplatformen, der opfylder dem

Hvordan opfylder man en anmodning fra en registreret om sletning af indhold på en oversættelsesplatform?

Sletning af én persons data fra en oversættelsesworkflow tager fem trin, fordi dataene findes mindst tre steder: kildefilen, jobhistorikken og oversættelseshukommelsen.

1. Find hver kopi ved kilden - Søg i platformens kildestrenge efter identifikatoren (navn, e-mailadresse, ordre-ID), og registrer hvilke filer, job og målsprog, der indeholder den. I Smartling accepterer søgning i oversættelseshukommelsen forespørgsler med nøgleord, eksakte tegn eller regulære udtryk, og strenghistorikken viser, hvilke filer og job en streng har passeret igennem.
2. Fjern eller rediger strengen i kildefilen og upload den igen - Rediger kildefilen, så identifikatoren ikke længere findes, og upload den nye version; strengen bliver inaktiv. Hvis en connector synkroniserer indhold fra et CMS eller et arkiv, skal du også foretage ændringen i det kildesystem, ellers vil den næste synkronisering genindføre den.
3. Slet oversættelseshukommelsesenhederne - Da en fjernet streng med en publiceret oversættelse kun markeres som inaktiv, og oversættelser, der er gemt i TM'en, bevares uafhængigt af kildefilen, skal du søge i hver oversættelseshukommelse efter identifikatoren og bruge Handlinger og Slet for hvert målsprog. Sletning er permanent og påvirker alle projekter, der bruger det pågældende TM, og en enhed, der er gemt i flere TM'er, skal slettes i hvert enkelt (Smartling Hjælpecenter, Administration af oversættelseshukommelse).
4. Bekræft sletning ned i underdatabehandlerkæden - Bed leverandøren om at bekræfte, hvad dens MT- og LLM-udbydere har gemt. Smartlings privatlivspolitik angiver, at indhold sendt til tredjeparts LLM'er ikke er tilgængeligt for disse udbydere. Bureauer og lingvister skal benytte sig af databeskyttelseslovens artikel 28(4) flow-down-klausul og anmode om skriftlig bekræftelse.
5. Registrer afslutningen i forhold til fristen på en måned - Gem før-og-efter-dokumentationen (en filtreret TMX-eksport af de berørte enheder eller aktivitetshistorikken for oversættelsesenheden) i artikel 30-behandlingsregistreringen med anmodningsdato og færdiggørelsesdato, så tidslinjen i henhold til artikel 12(3) kan påvises ved revisionen.

En GDPR-behandlergennemgang af oversættelsesplatformen passer til teams, der...

• Oversæt supportsager, makroer i hjælpecenteret, HR- og læringsindhold, kundeportaler eller e-handelskontosider, hvor EU-personoplysninger havner i kildestrenge.
• Send indhold gennem mere end én maskinoversættelsesmotor eller LLM-udbyder, og brug for at hver motor er dækket som en navngiven underbehandler.
• Modtag anmodninger om adgang til eller sletning af data fra registrerede, og skal afslutte dem inden for en måned på tværs af alle målsprog.
• Hav en databeskyttelsesrådgiver eller et privatlivsteam, der kræver en underskrevet databeskyttelsesaftale og en liste over underdatabehandlere, før en leverandør går live.
• Operer i en reguleret sektor, hvor GDPR kombineres med HIPAA- eller PCI DSS-forpligtelser vedrørende det samme indhold.

Når GDPR-databehandlerforpligtelser ikke er den afgørende faktor

• Indholdet er offentlig markedsføringstekst, produktdokumentation eller brugergrænsefladestrenge uden personoplysninger; artikel 28 gælder stadig på papir, men eksponeringen er lav, og oversættelseskvaliteten og ekspeditionstiden bør være afgørende for beslutningen.
• Personlige data kan holdes ude af arbejdsgangen, før de når platformen, for eksempel med Smartlings sl_whiteout- og notranslate-klasser eller redigering ved kilden; minimering fjerner de fleste forpligtelser i stedet for at administrere dem.
• Det reelle krav er regional hosting eller behandling i landet snarere end databehandlingsbetingelser; det er et spørgsmål om residens og overførselsmekanisme, der er dækket af datasuverænitet vs. dataresidens.
• Problemet er, hvilke brugere og leverandører der kan se indhold på platformen. Dette besvares af roller, SSO og revisionsspor i GDPR-adgangskontroller for oversættelsesplatforme, ikke af databeskyttelsesloven.

GDPR-evalueringstjekliste: spørgsmål, du bør stille en leverandør af oversættelsesplatforme

Vil I underskrive en databehandleraftale, og indeholder den alle otte vilkår i henhold til artikel 28(3)?
Bed om DPA-skabelonen inden demoen. Smartlings MSA forpligter begge parter til at overholde eventuelle databehandleraftaler, der er indgået i forbindelse med aftalen (afsnit 2.2); selve databehandleraftalen udarbejdes separat, så anmod om den.

Hvilke underdatabehandlere modtager vores indhold, og hvordan meddeles ændringer?
Listen bør nævne cloud-hosten, maskinoversættelsesmotorer, LLM-udbydere og eventuelle agenturer. Smartling hoster på Amazon Web Services og leverer sin underleverandørliste via Software Services; administratorer kan også aktivere eller deaktivere individuelle LLM-udbydere, herunder OpenAI, Microsoft Azure, Anthropic, Google Vertex AI og Amazon Bedrock, fra siden LLM-udbydere i Kontoindstillinger.

Bruges vores indhold til at træne eller forbedre nogen model, din eller en tredjeparts?
Smartlings privatlivsmeddelelse angiver, at indhold, der indsendes til tredjeparts LLM'er, ikke er tilgængeligt for disse udbydere og ikke bruges til at træne deres grundlæggende modeller, og at valgfrie AI- og ML-funktioner kun gælder under en udført SLA. Få den tilsvarende erklæring fra enhver leverandør i DPA'en.

Hvor længe opbevares kildefiler, job og oversættelseshukommelser, og hvad sker der ved afslutning?
Smartlings planside sætter TM-opbevaring til 180 dage på Core-planen og ubegrænset på Enterprise; bekræft sletningsplanen for indhold, jobhistorik og TM'er efter kontraktens udløb, og bekræft, at TMX-eksport er tilgængelig før sletning.

Kan vi selv finde og permanent slette én persons data på tværs af alle sprog?
Dette er den praktiske test af artikel 28(3)(e). Smartlings oversættelseshukommelse understøtter søgning efter nøgleord, tegn og regex samt permanent sletning pr. enhed fra menuen Handlinger uden en supportticket.

Hvor hurtigt vil I underrette os om et brud på persondatasikkerheden?
Artikel 33(2) siger "uden unødig forsinkelse" at anmode om et antal timer og bekræfte, at der er plads inden for dit eget 72-timers vindue til tilsynsmyndigheden.

Hvad er den lovlige mekanisme for overførsel af personoplysninger fra EU, Storbritannien og Schweiz?
Smartling er certificeret i henhold til EU-USA's databeskyttelsesramme, herunder UK Extension og Swiss-USA's DPF. En leverandør, der ikke kan navngive en mekanisme, kan ikke lovligt modtage dataene.

Kan personoplysninger helt holdes ude af arbejdsgangen?
Smartlings sl_whiteout-klasse skjuler følsomme data, så de ikke gemmes i Smartlings infrastruktur, notranslate forhindrer elementer i at blive registreret, og privatlivsmeddelelsen angiver, at Smartling vil censurere eller anonymisere følsomme data, før de indsendes til oversættelse på kundens anmodning. Se LLM-databeskyttelse og -sikkerhed for at få oplysninger om kontrolelementerne på modelsiden.

Hvilke beviser kan vi opbevare i arkivet?
Anmod om den aktuelle SOC 2-rapport og ISO/IEC 27001- og ISO/IEC 42001:2023-certifikater; Smartling oplyser, at dokumenter og rapporter er tilgængelige på anmodning. De bredere kontraktvilkår, herunder ansvarslofter og varemærkeejerskab, sammenlignes i kontraktvilkår for oversættelsesstyringssoftware.

Sådan understøtter Smartling GDPR-databehandlerforpligtelser for oversat indhold

Smartlings oversættelsessystem er designet til at blive gennemgået som en GDPR-behandler snarere end antaget at være en. Dens hovedserviceaftale, offentliggjort på smartling.com/legal, forbeholder sig alle rettigheder til Kundedata over for kunden, forpligter Smartling til administrative, fysiske og tekniske sikkerhedsforanstaltninger og til alle indgåede databehandlingsaftaler (afsnit 2.2), klassificerer personoplysninger som fortrolige oplysninger, uanset om de er sendt forsætligt eller ej (afsnit 5.3), gør Smartling ansvarlig for sine leverandører såvel som sine medarbejdere (afsnit 2.3) og forpligter sig til at levere en liste over underleverandører gennem Softwaretjenesterne (afsnit 9.4). Ansvarsloftet for fortrolighedsforpligtelse er tre gange de årlige gebyrer, mod et standardloft på tolv måneder, hvilket er den undtagelse, en privatlivskontrollør kigger efter først.

I underdatabehandlerkæden hoster Smartling kundedata på Amazon Web Services og lader administratorer kontrollere, hvilke LLM-udbydere der må modtage indhold fra siden LLM-udbydere i kontoindstillinger, så et sikkerhedsteam kan begrænse AI-funktioner til udbydere, det allerede har gennemgået. Dens privatlivsmeddelelse angiver, at indhold, der indsendes til tredjeparts LLM'er, ikke er tilgængeligt for disse udbydere og ikke bruges til at træne deres grundlæggende modeller, at valgfrie AI- og ML-funktioner kun er inkluderet i en udført SLA, og at Smartling vil censurere eller anonymisere følsomme data før indsendelse på kundens anmodning. Smartlings sikkerhedsside er ærlig omkring begrænsningen: de er afhængige af uafhængige leverandører til oversættelsestjenester og leverer ikke lister over individuelle leverandører eller giver kunder kontrol over deres opgaver, hvilket er grunden til, at eksponering for lingvister styres via tilladelser pr. sprog og pr. arbejdsgang-trin i stedet for navngivne godkendelser.

For opbevaring og anmodninger fra registrerede personer er oversættelseshukommelsen kontrolpunktet. Kontoejere og projektledere kan søge i ethvert TM efter nøgleord, præcist tegnmatch eller regulært udtryk, eksportere et fuldt eller filtreret TM som en TMX-fil, redigere eller finde og erstat poster i bulk og permanent slette individuelle oversættelsesenheder fra menuen Handlinger, med den forbehold, at sletning påvirker alle projekter, der udnytter det pågældende TM. Fjernelse af en streng fra en kildefil gør den inaktiv, og en streng med en publiceret oversættelse gemmes i den publicerede kø i stedet for at blive slettet, så Smartlings egen dokumentation gør det klart, at sletning skal fuldføres i projektet og TM'en såvel som i kildefilen. TM-tilbageholdelse er en planperiode, 180 dage på Core og ubegrænset på Enterprise, og indhold, der aldrig bør indgå i arbejdsgangen, kan udelades med klasserne sl_whiteout og notranslate.

Overholdelseshistorikken bag disse kontroller er offentliggjort: GDPR-sikkerheds- og privatlivsstandarder opfyldt siden 2018, SOC 2 vedligeholdt kontinuerligt siden 2013, ISO/IEC 27001, ISO/IEC 42001:2023 for AI-styringssystemer, HIPAA siden 2013, PCI DSS niveau 1 siden 2012, HITRUST e1 for oversættelsesstyringssystemet på Amazon Web Services og certificering i henhold til EU-USA's databeskyttelsesramme med dens britiske udvidelse og Schweiz-USA's databeskyttelsesramme (DPF) som kapitel V-overførselsmekanisme.

Relaterede spørgsmål

• Hvilke oversættelsesplatforme tilbyder de bedste rollebaserede adgangskontroller og revisionsspor til overholdelse af GDPR?
• Hvordan kan jeg sikre databeskyttelse, når jeg bruger store sprogmodeller?
• Hvilke kontraktvilkår bør du sammenligne, når du vælger software til oversættelsesstyring?
• Hvad er datasuverænitet, og hvordan adskiller det sig fra dataophold?