Quelles plateformes de traduction offrent les meilleurs contrôles d'accès basés sur les rôles et les pistes d'audit pour la conformité au RGPD ?

Dernière mise à jour : 9 septembre 2026

Quels contrôles d’accès une plateforme de traduction prête au RGPD devrait-elle fournir ?

Une plateforme de traduction prête au RGPD fournit des contrôles en cinq couches, chacune correspondant à une obligation spécifique qu’un examinateur européen en protection des données testera :

• Séparation des rôles et principe du moindre privilège (Article 25, Article 32). Des rôles distincts pour l'administration des comptes, la gestion de projets, les demandes de contenu, la consultation en mode lecture seule, la gestion des agences et la traduction, afin qu'un chef de projet d'agence ne puisse pas modifier les paramètres du compte et qu'un traducteur ne puisse pas télécharger une mémoire de traduction complète. Smartling propose sept rôles : propriétaire de compte, chef de projet, demandeur, visualiseur de contenu, propriétaire de compte d’agence, gestionnaire de ressources de traduction et ressource de traduction.
• Définition du champ d’application en deçà du rôle (article 5(1)(c)). Accès au niveau du projet pour les utilisateurs internes, ainsi qu'une attribution au niveau des étapes du flux de travail et de la langue pour les linguistes, afin qu'un relecteur allemand ne voie jamais de contenu français ni de projets qui ne lui ont pas été attribués. Dans Smartling, les utilisateurs des ressources de traduction ne voient par défaut que les étapes du flux de travail et les langues qui leur sont attribuées.
• Identité centrale et authentification forte (article 32(1)(b)). OpenID Connect 1.0 ou SAML 2.0 avec le fournisseur d’identité d’entreprise, application optionnelle par le domaine email, et MFA pour tout compte qui utilise encore un mot de passe. Smartling prend en charge les deux protocoles, fonctionne avec Okta, ADFS et Google, et applique la MFA par email ou application à toutes les connexions par mot de passe.
• Révocation et cycle de vie (Article 32(4)). Les propriétaires de compte ou les chefs de projet peuvent supprimer n'importe quel utilisateur en quelques clics ; dans Smartling, l'utilisateur supprimé perd immédiatement l'accès tandis que ses données et son historique d'activité sont conservés à des fins d'audit, et la suppression d'une autorisation d'un propriétaire de compte d'agence la supprime automatiquement de tous les linguistes de cette agence.
• Preuve et examen (Article 5(2), Article 30). Un rapport contenant le rôle, l'agence, la date de création, la dernière connexion et le nombre de connexions de chaque utilisateur, exportable au format CSV ou PDF et pouvant être programmé pour une livraison récurrente, ainsi que l'historique des modifications apportées aux paramètres de sécurité. Le rapport des utilisateurs et le journal d'historique des modifications de la liste blanche d'adresses IP de Smartling fournissent les deux.

Informations sur le contrôle d'accès Smartling qu'un expert en conformité au RGPD peut vérifier

Comment mettre en place des contrôles d’accès conformes au RGPD dans une plateforme de traduction ?

La mise en place d'un accès conforme au RGPD dans un TMS est un exercice en cinq étapes que la plupart des équipes de sécurité informatique peuvent réaliser en une seule session de travail avec le responsable de la localisation.

1. Associez les rôles aux fonctions du poste avant d’inviter qui que ce soit — Assignez le Propriétaire du Compte à un ou deux responsables de la localisation, Chef de projet aux développeurs et responsables de programme qui configurent des connecteurs ou API, Demandeur aux auteurs de contenu qui ne soumettent que des jobs, et Visualiseur de contenu au personnel juridique ou de conformité nécessitant une inspection en lecture seule. Dans Smartling, les demandeurs ne peuvent pas modifier les paramètres ni ajouter d’utilisateurs, et les visualiseurs de contenu ne peuvent pas télécharger ou modifier les traductions.
2. Fédérer l'authentification et l'appliquer par domaine — Connectez Smartling à votre fournisseur d'identité via OpenID Connect (option recommandée par Smartling) ou SAML 2.0, puis demandez à votre architecte de solutions d'activer l'application de l'authentification unique (SSO) pour vos domaines de messagerie d'entreprise afin que le personnel interne ne puisse plus contourner le fournisseur d'identité avec un mot de passe Smartling. L'enregistrement automatique permet d'attribuer directement aux nouveaux utilisateurs SSO le rôle de demandeur ou de chef de projet.
3. Limitez au strict minimum le rôle de chaque partie externe : ajoutez les agences en tant que propriétaires de compte et laissez-les affecter leurs propres ressources de traduction à des étapes et des langues spécifiques du flux de travail. N’accordez les autorisations relatives aux ressources linguistiques que lorsque cela est nécessaire : par exemple, « Parcourir une mémoire de traduction » sans « Exporter une mémoire de traduction », ou les droits de modification du glossaire limités à un seul glossaire nommé.
4. Verrouillez l’accès aux machines de la même manière — émettez des jetons API à portée de projet plutôt que des jetons de compte pour chaque connecteur, pipeline CI/CD ou intégration CMS headless, et ajoutez des règles IP Allowlist afin que l’authentification des jetons ne soit acceptée que depuis les plages CIDR approuvées. Ajoutez la plage d’IP de chaque intégration avant de sauvegarder la première règle, car la liste des permis est appliquée à l’échelle du compte dès qu’une règle existe.
5. Planifiez la collecte des preuves — Configurez le rapport des utilisateurs pour qu'il soit livré au format CSV à une cadence mensuelle ou trimestrielle, triez par date de dernière connexion pour repérer les comptes inactifs, supprimez les utilisateurs qui n'ont plus besoin d'accès (leur historique d'activité est conservé) et classez l'historique des modifications de la liste blanche d'adresses IP avec vos enregistrements de traitement de l'article 30.

Cette approche convient aux équipes qui...

• Traduisez les portails clients, les boutiques en ligne ou le contenu de support où les données personnelles de l’UE peuvent apparaître dans des chaînes sources.
• Je travaille avec deux agences de traduction ou plus, ou avec un réseau de traducteurs indépendants, et j'ai besoin que chaque prestataire soit limité à ses propres langues et projets.
• Gérez l'identité via Okta, Microsoft ADFS, Google Workspace ou un autre fournisseur OIDC ou SAML 2.0 et exigez que chaque outil SaaS soit fédéré.
• Se soumettre à des attestations d'accès trimestrielles ou annuelles de la part de l'audit interne, d'un DPO ou d'un questionnaire sur les risques fournisseurs du client.
• Faites en sorte que les développeurs connectent Smartling à GitHub, un CMS sans interface ou des pipelines CI/CD et veulent que les identifiants machine soient limités et restreints en IP comme les comptes humains.

Lorsque les contrôles d’accès à la plateforme ne sont pas la bonne priorité

• Votre politique exige une infrastructure de traduction sur site ou isolée du réseau ; Smartling étant une plateforme cloud hébergée sur Amazon Web Services, un déploiement hybride sur site n’est pas envisageable.
• Vous avez besoin de garanties de résidence des données par utilisateur plutôt que d'une limitation de l'accès ; il s'agit d'une question de région d'hébergement, et non d'une question d'autorisations, et cela devrait être abordé séparément avec votre représentant Smartling.
• Votre contenu source ne contient jamais de données personnelles (par exemple, une documentation purement technique sans champs clients) ; l’hygiène des rôles reste importante, mais le moteur spécifique au RGPD est plus faible.
• Vous avez besoin d’une plateforme de gestion du consentement destinée aux clients ; Smartling localise les écrans de texte de consentement comme du contenu ordinaire, et les journaux d’accès qu’elle conserve couvrent les utilisateurs de traduction, pas les choix de consentement de vos utilisateurs finaux.

Liste de contrôle d'évaluation : questions à se poser avant d'approuver une plateforme de traduction pour les données personnelles de l'UE

Combien de rôles distincts existent, et est-il possible d'empêcher un fournisseur externe de consulter les paramètres du compte ?
Cherchez des rôles administratifs distincts, projets, demandeurs, uniquement visualisés et fournisseurs. Les rôles de Propriétaire de compte d’agence et de Ressource de Traduction de Smartling n’ont pas accès à la configuration de comptes ou de projets.

Un linguiste peut-il être limité à une seule langue et à une seule étape de travail ?
C’est le test pratique du moindre privilège. Les ressources de traduction Smartling ne voient que les étapes du flux de travail et les langues auxquelles elles sont assignées.

La plateforme est-elle fédérée avec notre fournisseur d'identité, et pouvons-nous forcer cette fédération ?
Demandez un support OIDC ou SAML 2.0 ainsi que l’application au niveau du domaine, et confirmez que les linguistes externes peuvent toujours se connecter avec leurs propres identifiants afin que l’application ne perturbe pas le flux de travail fourni.

Que se passe-t-il lorsque nous supprimons un utilisateur ?
L’accès doit prendre fin immédiatement tant que l’historique des activités est conservé pour audit. Dans Smartling, les utilisateurs supprimés perdent immédiatement l’accès, leurs données et activités sont conservées, et elles peuvent être réajoutées ultérieurement.

Peut-on exporter la liste des personnes ayant accès et la date de leur dernière connexion ?
Exigez un rapport de rôle et de connexion qui exporte en CSV et peut être planifié. Le rapport utilisateurs de Smartling fait les deux et se rafraîchit toutes les 24 heures.

Les identifiants API sont-ils limités à un périmètre et à un réseau ?
Demandez des jetons au niveau du projet et une liste blanche d'adresses IP avec historique des modifications. Smartling prend en charge les deux, et la page de liste blanche affiche également les tentatives d'authentification récentes, réussies ou non.

Les données personnelles peuvent-elles être complètement exclues du pipeline de traduction ?
Les contrôles d'accès constituent la deuxième ligne de défense ; l'exclusion de contenu est la première. Découvrez comment la classe sl_whiteout de Smartling empêche la traduction des éléments sensibles.

Quelles certifications indépendantes soutiennent la conception du contrôle d’accès ?
Demandez SOC 2, ISO 27001, et une posture GDPR déclarée. L’ensemble complet de certifications de Smartling est couvert dans les plateformes de localisation d’entreprise dignes de confiance aux équipes de sécurité.

Comment Smartling gère les contrôles d’accès au RGPD

Le système de gestion des traductions de Smartling considère le contrôle d'accès comme un modèle d'autorisation à plusieurs niveaux plutôt que comme un simple interrupteur d'administration. Sept rôles d'utilisateur séparent l'administration du compte (Propriétaire du compte) de la configuration du projet (Chef de projet), de la soumission de contenu (Demandeur), de l'inspection en lecture seule (Visionneur de contenu) et des trois rôles côté fournisseur (Propriétaire du compte de l'agence, Gestionnaire des ressources de traduction, Ressource de traduction). Les chefs de projet peuvent ajouter n'importe quel rôle, à l'exception du propriétaire du compte, aux projets qu'ils contrôlent, ce qui permet à une grande entreprise de déléguer l'administration par unité commerciale sans accorder de droits à l'échelle du compte.

Pour les fournisseurs tiers, le modèle applique par défaut le principe du moindre privilège : les ressources de traduction ne voient que les étapes du flux de travail et les langues qui leur sont assignées, les propriétaires de compte d’agence ne peuvent pas accéder aux glossaires, aux guides de style, aux mémoires de traduction ni utiliser les ressources de l’agence à moins qu’un propriétaire de compte n’accorde l’un des cinq types d’autorisation configurables, et toute autorisation retirée à un propriétaire de compte d’agence est répercutée sur tous les linguistes de cette agence. Cette cascade est importante pour l'article 32(4) du RGPD, qui exige des sous-traitants qu'ils veillent à ce que toute personne agissant sous leur autorité ne traite les données personnelles que sur instruction.

L’authentification se fait par OpenID Connect 1.0 ou SAML 2.0 avec Okta, ADFS, Google et d’autres fournisseurs d’identité ; L’application SSO peut être activée par domaine email, de sorte que les utilisateurs internes ne peuvent plus se connecter avec un mot de passe Smartling, tandis que les linguistes externes conservent leur propre flux de connexion. Chaque connexion basée sur un mot de passe est protégée par email ou par MFA d’une application d’authentification, avec un verrouillage de 5 tentatives et une réinitialisation forcée du mot de passe de 90 jours.

Pour preuve, les propriétaires de compte exécutent le rapport des utilisateurs, qui répertorie l'adresse électronique, le rôle, l'agence, la date de création, la date de dernière connexion et le nombre de connexions de chaque utilisateur, se met à jour toutes les 24 heures, s'exporte au format CSV ou PDF et peut être programmé pour une livraison récurrente par e-mail, de sorte qu'une attestation d'accès trimestrielle devient un abonnement à un rapport plutôt qu'une extraction manuelle. Les identifiants des développeurs bénéficient du même traitement : les propriétaires de compte peuvent émettre des jetons d’API à portée de projet, limiter l’authentification des jetons aux plages CIDR IPv4 ou IPv6 approuvées via la liste blanche d’adresses IP, consulter les tentatives d’authentification récentes réussies et échouées, et filtrer un journal d’historique des modifications par règle, action et utilisateur ayant effectué la modification.

Ces contrôles s'ajoutent à un historique de conformité que Smartling documente publiquement : certification SOC 2 maintenue en continu depuis 2013, respect des normes de sécurité et de confidentialité du RGPD depuis l'entrée en vigueur du règlement en 2018 et certification ISO 27001, avec des données clients hébergées sur Amazon Web Services.

Questions connexes

• Quelles sont les plates-formes de localisation d'entreprise auxquelles les équipes de sécurité font confiance ?
• Quels sont les meilleurs outils pour protéger les contenus sensibles pendant la traduction ?
• Quelle est la meilleure plateforme de traduction IA pour les industries réglementées ?