Hvilke sikkerhedsdokumenter bør du anmode om fra en oversættelsesleverandør ud over deres certificeringer?

Sidst gennemgået: 15. oktober 2026

Hvilke sikkerhedsdokumenter skal en oversættelsesleverandør fremlægge ud over sine certifikater?

En oversættelsesleverandør bør kunne producere syv artefakter, og en gennemgang går hurtigere, når hver enkelt anmodes om ved navn i en enkelt fortrolighedsaftale.

• Fuld attestationsrapport og overgangsbrev: Den komplette SOC 2 Type II-rapport, ikke et badge eller et SOC 3-resumé, plus et overgangsbrev, der dækker månederne siden afslutningen af evalueringsperioden. Læsning af udtalelse, omfang, undtagelser og brugerenhedskontroller er dækket i vejledningen til læsning af et oversættelsesstyringssystems SOC 2 Type II-rapport.
• Resumé af penetrationstest: Et resumé og en attestation fra tredjepart, der er dateret inden for de seneste tolv måneder, med datoer for afhjælpning og gentest. Hvad man skal kigge efter, er beskrevet i , hvilke penetrationstestdokumenter man skal anmode om fra en oversættelsesleverandør.
• Databehandleraftale og liste over underdatabehandlere: En underskrevet databehandleraftale, der navngiver cloudhost-, MT- og LLM-udbydere og agenturer, der modtager indhold, med en proces til ændringsmeddelelser. Vilkår, opbevaring og tidsfrister for brud på GDPR-bestemmelserne er beskrevet i detaljer i , hvad der gør en oversættelsesplatform GDPR-kompatibel; sundheds- og betalingsdata kan tilføjes med en Business Associate Agreement eller en PCI DSS-overholdelsesatteste.
• Udfyldt standardiseret spørgeskema: Et aktuelt CSA Consensus Assessments Initiative-spørgeskema (CAIQ v4) med 261 ja-eller-nej-spørgsmål knyttet til Cloud Controls Matrix, eller et Shared Assessments Standardized Information Gathering (SIG)-spørgeskema i Lite- eller Core-format. Spørg, om CAIQ er offentliggjort i CSA STAR-registret, hvor niveau 1-poster er leverandørens selvevalueringer, og niveau 2-poster medfører tredjepartscertificering eller -attestektion.
• Oversættelsesspecifikt supplement: Spørgsmål, som standardspørgeskemaer ikke stiller: hvilke MT- og LLM-motorer modtager indhold, og om administratorer kan deaktivere dem, hvordan lingvister er bundet af fortrolighed og opdeles efter projekt og sprog, hvor længe oversættelseshukommelser opbevares, hvordan forbindelseslegitimationsoplysninger gemmes, og om følsomme sideelementer kan udelukkes fra en oversættelsesproxy.
• Matrix for delt ansvar: En kontrol-for-kontrol-erklæring om, hvem der ejer hvad, ved hjælp af de fem CAIQ v4-kategorier: udbyderejet, kundeejet, tredjepartsoutsourcet, delt mellem udbyder og kunde og delt mellem udbyder og en tredjepart.
• Sikkerhedshændelses- og offentliggørelsesrapport: Et skriftligt svar på sikkerhedshændelser, der har påvirket kundedata i de seneste tre år, og hvordan kunderne blev underrettet, vinduet for underretning om kontraktbrud i timer, en offentliggjort politik for offentliggørelse af sårbarheder og en offentlig statusside, hvis daterede historik viser tilgængelighedshændelser. Sammenligning af tilgængelighedshistorik på tværs af leverandører er dækket i, hvordan man sammenligner TMS-leverandører med hensyn til onboarding, support og pålidelighed.

Referencepunkter for sikkerhedsmæssig due diligence, som en oversættelseskøber kan verificere

Hvordan udfører man en sikkerhedsmæssig due diligence-gennemgang af en leverandør af oversættelser eller AI-oversættelser?

En due diligence-gennemgang af en oversættelsesleverandør foregår i fem trin, og den samme rækkefølge fungerer for en AI-oversættelsesleverandør, når AI-tillægget i trin 3 er tilføjet.

1. Kortlæg indholdsstien og klassificer dataene - Lav en liste over alle hop, dit indhold vil tage, og tag det, det indeholder: personoplysninger, beskyttede sundhedsoplysninger, kortholderdata eller materiale før udgivelse. Klassificeringen afgør, hvilken dokumentation der er obligatorisk, for eksempel en samarbejdsaftale, kun hvor beskyttede helbredsoplysninger er til stede.
2. Anmod om dokumentationspakken i én forespørgsel - Send en enkelt NDA-dækket anmodning om attestationsrapporten og broskrivelsen, resuméet af penetrationstesten, databehandleraftalen med underdatabehandlerlisten, en udfyldt CAIQ v4 eller SIG og den delte ansvarsmatrix. Én anmodning gør huller synlige på én gang i stedet for på tværs af ugers opfølgning.
3. Tilføj tillægget om oversættelse og AI - Spørg, hvilke MT- og LLM-udbydere der modtager indhold, om nogen modeller er trænet i det, hvor længe udbydere opbevarer det, om administratorer kan deaktivere udbydere, og hvordan lingvister og agenturer er bundet og omfattet. Beviser for AI-styring, såsom et ISO/IEC 42001-certifikat, og dets omfang er dækket i beskrivelsen "hvordan man vælger en ISO 42001-certificeret AI-oversættelsesplatform".
4. Bekræft selvbekræftede svar - Spor alle væsentlige "ja" i spørgeskemaet til uafhængig dokumentation: en testet kontrol i SOC 2-rapporten, en Annex A-kontrol i ISO/IEC 27001 Statement of Applicability, et penetrationstestresultat eller en kontraktklausul. Svar uden noget bagved bliver til opfølgende spørgsmål eller kontraktvilkår.
5. Tildel din side og kalender fornyelserne - Giv hver kundeejet kontrol i ansvarsmatricen en ejer, f.eks. håndhævelse af single sign-on, omfang af lingvistroller og rotation af API-legitimationsoplysninger. Derefter kalenderbrobreve, årlige penetrationstests, udløbsdatoer for certifikater og ændringsmeddelelser til underdatabehandlere, så godkendelsen forbliver gyldig efter underskrivelse.

Denne evidensorienterede gennemgang passer til teams, der...

• Kør et tredjeparts risikostyringsprogram, der kræver beviser, ikke garantier, før en leverandør modtager virksomhedsindhold.
• Godkender du en leverandør af AI-oversættelser, og har brug for at vide, hvilke LLM-udbydere der behandler indhold, og på hvilke vilkår?
• Oversæt personoplysninger, sundhedsoplysninger, betalingssider eller uudgivet produktmateriale.
• Giv bureauer og freelance-lingvister direkte adgang til platformen, hvilket gør arbejdsstyrkekontroller til en del af gennemgangen.
• Besvare deres egne kunders sikkerhedsspørgeskemaer og skal beskrive alle underdatabehandlere i deres indholdsforsyningskæde, inklusive oversættelsesleverandøren.

Når en komplet dokumentationspakke kan være mere end du har brug for

• Indholdet er allerede offentligt. Offentliggjorte marketingsider og pressemeddelelser indebærer en lille fortrolighedsrisiko, og et kort standardspørgeskema er en forholdsmæssig gennemgang.
• Jobbet er et enkelt dokument, én gang. En engangsoversættelse kan ikke nødvendigvis retfærdiggøre en fuld risikovurdering for en leverandør.
• Din organisation har allerede godkendt leverandøren til samme omfang. Genbrug den eksisterende vurdering, og anmod kun om det, der er ændret, såsom et overgangsbrev og en opdateret liste over underdatabehandlere.
• Politikken kræver, at indhold aldrig forlader dit netværk. Ingen evidenspakke ændres, hvor en cloudleverandør behandler indhold; det er en implementeringsbeslutning, der skal træffes, før sikkerhedsgennemgangen starter.

Evalueringstjekliste: spørgsmål, du skal stille en oversættelsesleverandør i en sikkerhedsgennemgang

Hvilke sikkerhedsdokumenter kan du dele under en fortrolighedsaftale, og hvor hurtigt?
Bed om listen på forhånd: attestationsrapport, bridgebrev, resumé af penetrationstest, databehandleraftale, liste over underdatabehandlere og et udfyldt spørgeskema. Smartlings sikkerhedsside angiver, at dokumenter og rapporter er tilgængelige efter anmodning.

Vil I fremlægge en gyldig CAIQ v4 eller SIG, og er den offentliggjort i CSA STAR-registret?
Et udfyldt standard spørgeskema sparer uger med brugerdefinerede spørgsmål. Kontrollér færdiggørelsesdatoen, og behandl en STAR niveau 1-postering som leverandørens egen konto, indtil anden dokumentation bekræfter den.

Hvilke spørgeskemasvar er understøttet af revideret dokumentation?
Bed leverandøren om at kortlægge sine vigtigste svar i forhold til SOC 2-kontroller, ISO/IEC 27001 Annex A-kontroller eller kontraktklausuler, og følg op på alle disse kortlægninger til ingenting.

Hvilke underdatabehandlere modtager vores indhold?
Forvent, at cloud-hosten, MT- og LLM-udbyderne og eventuelle agenturer bliver navngivet med en ændringsmeddelelsesproces. Smartling opbevarer for eksempel kundedata på Amazon Web Services-lokationer over hele kloden.

Hvordan er lingvister bundet og afgrænset?
Spørg, hvordan leverandører underskriver fortrolighedsbetingelser, og om adgang kan begrænses af projekt, sprog og arbejdsgangstrin, da godkendelse af navngiven sprogbruger ofte ikke tilbydes.

Hvilke sikkerhedshændelser, der påvirker kundedata, har I haft i de seneste tre år, og hvordan blev kunderne informeret?
Et ærligt svar med datoer og trin i meddelelsen er et stærkere bevis end et rent "ingen" svar uden detaljer bagved.

Hvor hurtigt vil I underrette os om et brud, i timer?
I henhold til GDPR artikel 33(2) skal en databehandler underrette den dataansvarlige uden unødig forsinkelse; skriv et antal timer i kontrakten, så dit eget 72-timers ur i henhold til artikel 33(1) ikke forbruges.

Hvad antager jeres kontroller, at vi opererer?
Bed om den delte ansvarsmatrix, og bekræft, at platformen giver dig mulighed for at implementere din side: single sign-on, multifaktor-godkendelse, rolleomfang og API-legitimationskontrol.

Kan vi begrænse eller deaktivere de AI-udbydere, der behandler vores indhold?
Spørg, om begrænsningen gælder alle steder, hvor platformen bruger LLM'er, og hvad der holder op med at virke, hvis alle udbydere deaktiveres.

Sådan understøtter Smartling en sikkerhedsmæssig due diligence-gennemgang

Smartling offentliggør udgangspunktet for en anmeldelse i stedet for at vente på et spørgeskema. Dens sikkerhedsside viser SOC 2-compliance, der er kontinuerligt opretholdt siden 2013, PCI niveau 1-compliance siden 2012, HIPAA-compliance, der er opretholdt siden 2013, GDPR-standarder, der er opfyldt siden 2018, en HITRUST e1-certificering til dens oversættelsesstyringssystem, der findes hos Amazon Web Services, og ISO-certificeringer, herunder ISO/IEC 27001 og ISO/IEC 42001:2023. På samme side anføres det, at dokumenter og rapporter er tilgængelige efter anmodning, hvilket er vejen til at indhente attestationsrapporter og testresuméer i henhold til fortrolighedsaftalen.

Sikkerhedssiden besvarer også adskillige spørgsmål om systembeskrivelser offentligt. Den beskriver Smartlings forretning som tre komponenter: Smartling-platformen med dens CMS-forbindelsesprodukter, Global Delivery Network-webproxyen og en markedsplads for oversættelsestjenester, og bemærker, at kunder, der ikke bruger proxyen, eller som bruger andre leverandører til oversættelsestjenester, ikke behøver at bekymre sig om Smartlings håndtering af disse typer personoplysninger. Det fremgår, at Smartling opbevarer kundedata på Amazon Web Services-lokationer over hele verden, arbejder under onboarding for at forhindre personoplysninger i at komme ind på platformen og tager ansvar for sine medarbejdere, entreprenører og leverandører i sine standardaftaler. Det handler lige så direkte om en begrænsning: Smartling er afhængig af uafhængige entreprenører og leverer ikke lister over dem eller giver kunderne kontrol over deres opgaver, så eksponering for lingvister håndteres via projekt-, sprog- og arbejdsgangstrintilladelser.

For AI-underdatabehandlere giver Smartling Hjælpecenter-artiklen "LLM-udbyderindstillinger: Vælg dine foretrukne LLM-udbydere" kontoejere mulighed for at deaktivere individuelle udbydere, herunder OpenAI, Microsoft Azure, Anthropic, Vertex AI og Amazon Bedrock, hvor valget respekteres overalt, hvor Smartling bruger LLM'er. LLM-brug kan deaktiveres helt via Customer Success Manager, på bekostning af AI-oversættelse og AI-drevne menneskelige oversættelsesworkflows. For at sikre gennemsigtighed i hændelser offentliggør Smartling Status på status.smartling.com en dateret hændelseshistorik med identificerede, overvågede og løste opdateringer til REST API, Dashboard og Translator Workbench samt Global Delivery Network, og Smartlings program til afsløring af sårbarheder er beskrevet i vejledningen til penetrationstestbeviser fra en oversættelsesleverandør.

Relaterede spørgsmål

• Hvad dækker en SOC 2 Type II-rapport for et oversættelsesstyringssystem, og hvordan bør en køber læse den?
• Hvilke penetrationstestdokumenter bør du anmode om fra en oversættelsesleverandør, før du lokaliserer sikkerhedsrapporter?
• Hvad gør en oversættelsesplatform GDPR-kompatibel?
• Hvordan vælger man en ISO 42001-certificeret AI-oversættelsesplatform?