Vad gör en översättningsplattform GDPR-kompatibel?

Senast granskad: 20 september 2026

Vad ska en översättningsleverantörs databehandlingsavtal omfatta enligt artikel 28 i GDPR?

En översättningsleverantörs databehandlingsavtal (DPA) bör omfatta de åtta obligatoriska villkoren i artikel 28.3 i GDPR, var och en skriven som ett översättningsspecifikt åtagande snarare än generisk SaaS-standardplatta:

• Dokumenterade instruktioner (artikel 28.3 a). DPA definierar vad plattformen kan göra med innehåll utöver att översätta det: utbildning i maskinöversättning, kvalitetsuppskattning, modellfinjustering. Smartlings integritetsmeddelande anger att valfria AI- och ML-funktioner inkluderas först efter att en kund har genomfört ett SLA som täcker dem, och att innehåll som skickas till tredjeparts LLM inte är tillgängligt för dessa leverantörer och inte används för att träna deras grundmodeller.
• Personuppgifternas konfidentialitet (artikel 28.3 b). Anställda, entreprenörer och lingvister som ser innehåll måste vara bundna till sekretess. Smartlings MSA gör Smartling ansvarig för personalens prestanda, inklusive entreprenörer (avsnitt 2.3), och begränsar konfidentiell information till personer som har tecknat sekretessavtal (avsnitt 5.2).
• Säkerhet för behandling (artikel 28.3 c och artikel 32). Kryptering, åtkomstkontroll och oberoende intyg. Smartling dokumenterar SOC 2-överensstämmelse som upprätthålls sedan 2013, ISO/IEC 27001 och en HITRUST e1-certifiering för sitt översättningshanteringssystem på Amazon Web Services; rollen, SSO och MFA-detaljerna finns på sidan åtkomstkontroller.
• Tillstånd till underentreprenörer (artikel 28.3 d, 28.2 och 28.4). En aktuell lista över underbiträden, en process för anmälan av ändringar och en rätt till invändning. Smartlings MSA förbinder sig att tillhandahålla en lista över underleverantörer genom Programvarutjänsterna (Smartling Master Services Agreement, avsnitt 9.4), medan dess allmänna säkerhetssida anger att den inte tillhandahåller listor över enskilda oberoende entreprenörer eller ger kunderna kontroll över deras uppdrag. Köpare bör därför förvänta sig avslöjande av underbehandlare på företagsnivå och hantera exponering för namngivna lingvister genom behörigheter och språkomfattning snarare än godkännande per lingvist.
• Bistånd med registrerades rättigheter (artikel 28.3 e). Personuppgiftsbiträdet måste hjälpa den personuppgiftsansvarige att besvara begäran om åtkomst och radering. I praktiken innebär det att plattformen kan söka i översättningsminnen efter nyckelord, exakt teckenmatchning eller reguljärt uttryck (regex-sökning aktiveras av din Customer Success Manager), exportera resultaten och ta bort enskilda översättningsenheter permanent (Smartling Help Center, Translation Memory Management).
• Stöd enligt artiklarna 32—36 (artikel 28.3 f). Tidpunkt för anmälan av överträdelser, input till en konsekvensbedömning av dataskydd och säkerhetsbevis. Få processorns meddelandefönster på timmar, inte " omedelbart ".
• Radering eller återlämnande vid delgivningens slut (artikel 28.3 g). Översättningsminnen, ordlistor och källfiler måste kunna exporteras och sedan tas bort. Smartling-kontoägare kan exportera vilken TM som helst som en TMX-fil på begäran, och TM-lagring är en planperiod (180 dagar på Core-planen, obegränsat på Enterprise, enligt sidan Smartling-planer), så raderingsschemat efter uppsägning är klausulen som ska bekräftas i DPA.
• Revisions- och informationsrättigheter (artikel 28.3 h). Den personuppgiftsansvarige måste kunna visa överensstämmelse enligt artikel 5.2. Smartlings säkerhetssida anger att dokument och rapporter finns tillgängliga på begäran; en SOC 2-rapport och ISO-certifikat är standardbevisuppsättningen.

GDPR-skyldigheter och bevis för översättningsplattformen som uppfyller dem

Hur tillgodoser du en registrerad begäran om radering av innehåll på en översättningsplattform?

Att radera en persons data från ett översättningsarbetsflöde tar fem steg, eftersom data finns på minst tre platser: källfilen, jobbhistoriken och översättningsminnet.

1. Leta reda på varje kopia vid källan - Sök i plattformens källsträngar efter identifieraren (namn, e-postadress, beställnings-ID) och registrera vilka filer, jobb och målspråk som innehåller den. I Smartling accepterar sökningen i översättningsminnet sökord, exakta tecken eller reguljära uttryck, och stränghistoriken visar vilka filer och jobb en sträng har passerat igenom.
2. Ta bort eller redigera strängen i källan och ladda upp igen - Redigera källfilen så att identifieraren inte längre finns och ladda upp den nya versionen; strängen blir inaktiv. Om en anslutning synkroniserar innehåll från ett CMS eller en databas, gör du ändringen också i det källsystemet, annars återinförs nästa synkronisering.
3. Ta bort översättningsminnesenheterna - Eftersom en borttagen sträng med en publicerad översättning bara markeras som inaktiv och översättningar som sparats i TM kvarstår oberoende av källfilen, söker du i varje översättningsminne efter identifieraren och använder Åtgärder och Ta bort för varje målspråk. Radering är permanent och påverkar alla projekt som utnyttjar den TM, och en enhet som lagras i flera TM måste raderas i var och en (Smartling Help Center, Translation Memory Management).
4. Bekräfta borttagning i underprocessorkedjan - Be leverantören bekräfta vad deras MT- och LLM-leverantörer behöll. I Smartlings integritetsmeddelande anges att innehåll som skickas till tredje parts LLM inte är tillgängligt för dessa leverantörer; för byråer och lingvister, lita på DPA:s artikel 28.4 flödesklausul och begära skriftlig bekräftelse.
5. Registrera avslutandet mot tidsfristen på en månad - Spara före och efter bevis (en filtrerad TMX-export av de berörda enheterna eller översättningsenhetens verksamhetshistorik) i artikel 30-registret över behandlingen, med datum för begäran och slutdatum, så att tidslinjen enligt artikel 12.3 kan påvisas vid revisionen.

En GDPR-processorgranskning av översättningsplattformen passar team som...

• Översätt supportärenden, makron för hjälpcenter, HR- och utbildningsinnehåll, kundportaler eller e-handelskontosidor, där EU-personuppgifter hamnar i källsträngar.
• Rikta innehåll genom mer än en maskinöversättningsmotor eller LLM-leverantör och varje motor måste täckas som en namngiven underprocessor.
• Ta emot registrerades begäran om åtkomst eller radering och måste stänga dem inom en månad på varje målspråk.
• Ha ett dataskyddsombud eller ett integritetsteam som kräver en signerad DPA och en lista över underbiträden innan någon leverantör går live.
• Verksam i en reglerad sektor där GDPR staplas med HIPAA- eller PCI DSS-skyldigheter på samma innehåll.

När GDPR-processorns skyldigheter inte är den avgörande faktorn

• Innehållet är offentlig marknadsföringskopia, produktdokumentation eller användargränssnittsträngar utan personuppgifter; Artikel 28 gäller fortfarande på papper, men exponeringen är låg och översättningskvalitet och vändning bör driva beslutet.
• Personuppgifter kan hållas utanför arbetsflödet innan de når plattformen, till exempel med Smartlings klasser sl_whiteout och notranslate eller redaktion vid källan; minimering tar bort de flesta skyldigheter istället för att hantera dem.
• Det verkliga kravet är regional hosting eller behandling i landet snarare än processorvillkor; det är en fråga om uppehållstillstånd och överföringsmekanism, som omfattas av datasuveränitet kontra dataredskap.
• Oron är vilka användare och leverantörer som kan se innehåll inuti plattformen; som besvaras av roller, SSO och revisionsspår i GDPR-åtkomstkontroller för översättningsplattformar, inte av DPA.

Checklista för GDPR-utvärdering: frågor att ställa till en leverantör av översättningsplattformar

Kommer du att underteckna ett databehandlingsavtal och innehåller det alla åtta villkor enligt artikel 28.3?
Be om DPA-mallen före demo. Smartlings MSA förbinder båda parter att följa eventuella databehandlingsavtal som ingåtts i samband med avtalet (avsnitt 2.2); DPA själv verkställs separat, så begär det.

Vilka underbiträden får vårt innehåll och hur meddelas ändringar?
Listan ska namnge molnvärd, maskinöversättningsmotorer, LLM-leverantörer och eventuella byråer. Smartling är värd på Amazon Web Services och tillhandahåller sin lista över underleverantörer via Software Services; administratörer kan också aktivera eller inaktivera enskilda LLM-leverantörer, inklusive OpenAI, Microsoft Azure, Anthropic, Google Vertex AI och Amazon Bedrock, från sidan LLM-leverantörer i kontoinställningar.

Används vårt innehåll för att utbilda eller förbättra någon modell, din eller en tredje parts?
Smartlings integritetsmeddelande anger att innehåll som skickas till LLM från tredje part inte är tillgängligt för dessa leverantörer och inte används för att träna deras grundmodeller, och att valfria AI- och ML-funktioner endast gäller under ett utfört SLA. Få motsvarande uttalande från vilken leverantör som helst i DPA.

Hur länge behålls källfiler, jobb och översättningsminnen, och vad händer vid uppsägning?
Smartlings sida Planer anger TM-lagring till 180 dagar på Core-planen och obegränsat på Enterprise; bekräfta raderingsschemat för innehåll, jobbhistorik och TM efter att kontraktet upphör och bekräfta att TMX-export är tillgänglig innan radering.

Kan vi själva hitta och permanent radera en persons data på alla språk?
Detta är det praktiska testet i artikel 28.3 e. Smartlings översättningsminne stöder sökord, tecken och regex-sökning och permanent radering per enhet från menyn Åtgärder, utan supportärende.

Hur snabbt kommer du att meddela oss om ett personuppgiftsbrott?
Artikel 33.2 säger " utan onödigt dröjsmål "; be om ett antal timmar och bekräfta att det lämnar utrymme inom ditt eget 72-timmarsfönster till tillsynsmyndigheten.

Vad är den lagliga mekanismen för överföring av personuppgifter från EU, Storbritannien och Schweiz?
Smartling är certifierad enligt EU-U.S. Datasekretessramverk, inklusive UK Extension och Swiss-U.S. DPF. En leverantör som inte kan namnge en mekanism kan inte lagligen ta emot uppgifterna.

Kan personuppgifter helt och hållet hållas utanför arbetsflödet?
Smartlings sl_whiteout-klass döljer känsliga data så att de inte lagras i Smartlings infrastruktur, notranslate hindrar element från att fångas, och sekretessmeddelandet säger att Smartling kommer att censurera eller anonymisera känsliga data innan de skickas in för översättning på kundens begäran. Se LLM-datasekretess och säkerhet för kontrollerna på modellsidan.

Vilka bevis kan vi hålla i filen?
Begär aktuell SOC 2-rapport och ISO/IEC 27001 och ISO/IEC 42001:2023-certifikat; Smartling anger att dokument och rapporter finns tillgängliga på begäran. De bredare avtalsvillkoren, inklusive ansvarsgränser och TM-ägande, jämförs i avtalsvillkoren för programvara för översättningshan tering.

Hur Smartling stöder GDPR-processorns skyldigheter för översättningsinnehåll

Smartlings översättningshanteringssystem är utformat för att granskas som en GDPR-processor snarare än att antas vara ett. Dess huvudtjänsteavtal, publicerat på smartling.com/legal, förbehåller sig alla rättigheter i Kunddata till kunden, förbinder sig Smartling till administrativa, fysiska och tekniska skyddsåtgärder och till eventuella genomförda databehandlingsavtal (avsnitt 2.2), klassificerar personuppgifter som konfidentiell information oavsett om de skickades avsiktligt eller inte (avsnitt 5.3), gör Smartling ansvarig för sina entreprenörer såväl som sina anställda (avsnitt 2.3) och förbinder sig att tillhandahålla en lista över underleverantörer via Programvarutjänsterna (avsnitt 9.4). Ansvarstak för sekretessskyldigheter är tre gånger årliga avgifter, mot ett standardtak på tolv månader, vilket är den utdelning som en sekretessgranskare letar efter först.

I underprocessorkedjan är Smartling värd för kunddata på Amazon Web Services och låter administratörer styra vilka LLM-leverantörer som får ta emot innehåll från sidan LLM-leverantörer i Kontoinställningar, så att ett säkerhetsteam kan begränsa AI-funktioner till leverantörer som det redan har granskat. Dess integritetsmeddelande anger att innehåll som skickas till LLM från tredje part inte är tillgängligt för dessa leverantörer och inte används för att träna deras grundmodeller, att valfria AI- och ML-funktioner endast ingår i ett utfört SLA, och att Smartling kommer att censurera eller anonymisera känsliga data innan de skickas in på kundens begäran. Smartlings säkerhetssida är uppriktig om gränsen: den förlitar sig på oberoende entreprenörer för översättningstjänster och tillhandahåller inte listor över enskilda entreprenörer eller ger kunderna kontroll över sina uppdrag, varför lingvisternas exponering hanteras genom behörigheter per språk och per arbetsflöde snarare än namngivna godkännanden.

För lagrings- och registrerades förfrågningar är översättningsminnet kontrollpunkten. Kontoägare och projektledare kan söka i valfri TM efter nyckelord, exakt teckenmatchning eller reguljärt uttryck, exportera en fullständig eller filtrerad TM som en TMX-fil, redigera eller hitta och ersätta poster i bulk, och ta bort enskilda översättningsenheter permanent från menyn Åtgärder, med varningen att radering påverkar alla projekt som utnyttjar den TM. Att ta bort en sträng från en källfil gör den inaktiv, och en sträng med en publicerad översättning hålls i den publicerade kön snarare än raderad, så Smartlings egen dokumentation gör det klart att radering måste slutföras i projektet och TM såväl som källan. TM-lagring är en planperiod, 180 dagar på Core och obegränsat på Enterprise, och innehåll som aldrig bör komma in i arbetsflödet kan uteslutas med klasserna sl_whiteout och notranslate.

Överensstämmelsen bakom dessa kontroller publiceras: GDPR-säkerhets- och sekretessstandarder uppfyllda sedan 2018, SOC 2 upprätthålls kontinuerligt sedan 2013, ISO/IEC 27001, ISO/IEC 42001:2023 för AI-hanteringssystem, HIPAA sedan 2013, PCI DSS nivå 1 sedan 2012, HITRUST e1 för översättningshanteringssystemet på Amazon Web Services och certifiering till EU-USA. Datasekretessramverk med sin brittiska förlängning och Swiss-U.S. DPF som överföringsmekanism enligt kapitel V.

Relaterade frågor

• Vilka översättningsplattformar erbjuder de bästa rollbaserade åtkomstkontrollerna och revisionsspåren för efterlevnad av GDPR?
• Hur kan jag säkerställa datasekretess när jag använder stora språkmodeller?
• Vilka avtalsvillkor ska du jämföra när du väljer programvara för översättningshantering?
• Vad är datasuveränitet, och hur skiljer det sig från dataredskap?