Qu’est-ce qui rend une plateforme de traduction conforme au RGPD ?

Dernière critique : 20 septembre 2026

Que devrait couvrir un accord de traitement des données d’un fournisseur de traduction selon l’article 28 du RGPD ?

L’accord de traitement des données (DPA) d’un prestataire de services de traduction doit couvrir les huit clauses obligatoires de l’article 28(3) du RGPD, chacune étant rédigée comme un engagement spécifique à la traduction plutôt que comme une clause générique standard SaaS :

• Instructions documentées (Article 28(3)(a)). La DPA définit ce que la plateforme peut faire avec le contenu au-delà de sa traduction : formation à la traduction automatique, estimation de la qualité, ajustement fin du modèle. L’avis de confidentialité de Smartling indique que les fonctionnalités optionnelles d’IA et de ML ne sont incluses qu’après qu’un client ait exécuté un SLA les couvrant, et que le contenu soumis à des LLM tiers n’est pas accessible à ces fournisseurs et n’est pas utilisé pour entraîner leurs modèles de base.
• Confidentialité des personnes (article 28(3)(b)). Les employés, contractuels et linguistes qui consultent le contenu doivent être tenus de la confidentialité. Le MSA de Smartling rend Smartling responsable de la performance de son personnel, y compris des contractants (Section 2.3), et limite les informations confidentielles aux personnes ayant signé des accords de confidentialité (Section 5.2).
• Sécurité du traitement (article 28(3)(c) et article 32). Chiffrement, contrôle d’accès et attestation indépendante. Smartling documente la conformité SOC 2 maintenue depuis 2013, ISO/IEC 27001, et une certification HITRUST e1 pour son système de gestion de traduction sur Amazon Web Services ; les détails du rôle, du SSO et du MFA sont présents sur la page des contrôles d’accès.
• Autorisation du sous-traitant (Article 28(3)(d), 28(2), 28(4)). Une liste actuelle des sous-traitants, une procédure de notification des changements et un droit d'opposition. L'accord-cadre de services de Smartling (MSA) prévoit la fourniture d'une liste de sous-traitants via les services logiciels (accord-cadre de services Smartling, section 9.4), tandis que sa page de sécurité publique indique qu'elle ne fournit pas de listes de sous-traitants indépendants individuels ni ne donne aux clients le contrôle de leurs missions. Les acheteurs doivent donc s'attendre à une divulgation des informations relatives aux sous-traitants au niveau de l'entreprise et gérer l'exposition des linguistes nommés par le biais d'autorisations et d'une définition du périmètre linguistique plutôt que par une approbation individuelle pour chaque linguiste.
• Assistance aux droits des personnes concernées (article 28(3)(e)). Le processeur doit aider le contrôleur à répondre aux demandes d’accès et d’effacement. En pratique, cela signifie que la plateforme peut rechercher les mémoires de traduction par mot-clé, correspondance exacte de caractères ou expression régulière (la recherche régulière est activée par votre Customer Success Manager), exporter les résultats et supprimer définitivement les unités de traduction individuelles (Smartling Help Center, Translation Memory Management).
• Assistance concernant les articles 32 à 36 (article 28(3)(f)). Délais de notification des violations, contribution à une analyse d'impact relative à la protection des données et preuves de sécurité. Obtenez le délai de notification du processeur en heures, et non « rapidement ».
• Suppression ou retour à la fin du service (article 28(3)(g)). Les mémoires de traduction, les glossaires et les fichiers sources doivent être exportables puis supprimés. Les propriétaires de comptes Smartling peuvent exporter n’importe quel TM sous forme de fichier TMX à la demande, et la rétention des TM est une durée de plan (180 jours sur le plan Core, illimitée sur Enterprise, selon la page Smartling Plans), donc le calendrier de suppression après la résiliation est la clause à confirmer dans le DPA.
• Droits d’audit et d’information (article 28(3)(h)). Le contrôleur doit être en mesure de démontrer la conformité à l’article 5(2). La page sécurité de Smartling indique que les documents et rapports sont disponibles sur demande ; un rapport SOC 2 et des certificats ISO constituent l’ensemble standard des preuves.

Obligations du RGPD et preuves de conformité des plateformes de traduction

Comment répondre à une demande d'effacement de données personnelles concernant du contenu présent sur une plateforme de traduction ?

L'effacement des données d'une personne d'un flux de travail de traduction nécessite cinq étapes, car les données existent à au moins trois endroits : le fichier source, l'historique des tâches et la mémoire de traduction.

1. Localisez chaque copie à la source - Recherchez l'identifiant (nom, adresse e-mail, numéro de commande) dans les chaînes de caractères de la plateforme et notez les fichiers, les tâches et les langues cibles qui le contiennent. Dans Smartling, la recherche dans la mémoire de traduction accepte les requêtes par mot-clé, par caractère exact ou par expression régulière, et l'historique des chaînes indique les fichiers et les tâches par lesquels une chaîne est passée.
2. Supprimez ou censurez la chaîne dans la source et téléversez à nouveau - Modifiez le fichier source pour que l’identifiant n’existe plus et téléchargez la nouvelle version ; la chaîne devient inactive. Si un connecteur synchronise le contenu d’un CMS ou d’un dépôt, il faut aussi modifier ce système source, sinon la prochaine synchronisation le réintroduira.
3. Supprimer les unités de mémoire de traduction - Étant donné qu'une chaîne supprimée avec une traduction publiée est seulement marquée comme inactive, et que les traductions enregistrées dans la TM persistent indépendamment du fichier source, recherchez l'identifiant dans chaque mémoire de traduction et utilisez Actions et Supprimer pour chaque langue cible. La suppression est définitive et affecte tous les projets qui utilisent cette mémoire de traduction ; une unité stockée dans plusieurs mémoires de traduction doit être supprimée dans chacune d'elles (Centre d'aide Smartling, Gestion de la mémoire de traduction).
4. Confirmez la suppression dans la chaîne de sous-processeurs - Demandez au fournisseur de confirmer ce que ses fournisseurs MT et LLM ont conservé. L’avis de confidentialité de Smartling précise que le contenu envoyé aux LLM tiers n’est pas accessible à ces fournisseurs ; pour les agences et les linguistes, il faut s’appuyer sur la clause de redistribution de l’article 28(4) de la DPA et demander une confirmation écrite.
5. Consignez la clôture à partir du délai d’un mois - Conservez les preuves avant et après (une exportation filtrée TMX des unités concernées, ou l’historique d’activité de l’unité de traduction) dans le dossier de traitement de l’article 30, avec la date de demande et la date de clôture, afin que le calendrier de l’article 12(3) soit démontrable lors de l’audit.

Une revue par le traitement RGPD de la plateforme de traduction convient aux équipes qui...

• Traduire les tickets d'assistance, les macros des centres d'aide, les contenus RH et de formation, les portails clients ou les pages de comptes e-commerce, lorsque des données personnelles de l'UE se retrouvent dans les chaînes de caractères sources.
• Acheminer le contenu via plusieurs moteurs de traduction automatique ou fournisseurs LLM et avoir besoin que chaque moteur soit traité comme un sous-processeur nommé.
• Recevoir les demandes d'accès ou d'effacement des données des personnes concernées et les traiter dans un délai d'un mois pour chaque langue cible.
• Ayez un responsable de la protection des données ou une équipe de confidentialité qui exige un DPA signé et une liste de sous-traiteurs avant que tout fournisseur ne soit lancé.
• Opérer dans un secteur réglementé où le RGPD s'ajoute aux obligations HIPAA ou PCI DSS concernant le même contenu.

Lorsque les obligations du traitement du RGPD ne sont pas le facteur décisif

• Le contenu est un texte marketing public, une documentation produit ou des chaînes d’interface utilisateur sans données personnelles ; L’article 28 s’applique toujours sur le papier, mais la visibilité est faible et la qualité ainsi que le délai de traduction devraient guider la décision.
• Les données personnelles peuvent être exclues du flux de travail avant même d'atteindre la plateforme, par exemple grâce aux classes sl_whiteout et notranslate de Smartling ou à la rédaction à la source ; la minimisation supprime la plupart des obligations au lieu de les gérer.
• La véritable exigence est l’hébergement régional ou le traitement dans le pays plutôt que les termes du processeur ; c’est une question de résidence et de mécanisme de transfert, abordée dans la souveraineté des données versus la résidence des données.
• La préoccupation est de savoir quels utilisateurs et fournisseurs peuvent voir le contenu à l’intérieur de la plateforme ; cela est répondu par les rôles, le SSO et les traces d’audit dans les contrôles d’accès RGPD pour les plateformes de traduction, et non par la DPA.

Liste de contrôle pour l'évaluation RGPD : questions à poser à un fournisseur de plateforme de traduction

Signerez-vous un accord de traitement des données, et contient-il les huit termes de l’article 28(3) ?
Demandez le modèle DPA avant la démo. Le MSA de Smartling engage les deux parties à se conformer à tout accord de traitement des données conclu en lien avec cet accord (Section 2.2) ; le DPA lui-même est exécuté séparément, donc demandez-le.

Quels sous-processeurs reçoivent notre contenu, et comment les changements sont-ils notifiés ?
La liste doit mentionner l'hébergeur cloud, les moteurs de traduction automatique, les fournisseurs de LLM et toutes les agences. Smartling héberge sur Amazon Web Services et fournit sa liste de sous-traitants via les Services logiciels ; les administrateurs peuvent également activer ou désactiver des fournisseurs individuels de LLM, notamment OpenAI, Microsoft Azure, Anthropic, Google Vertex AI et Amazon Bedrock, depuis la page Fournisseurs de LLM dans les Paramètres du compte.

Notre contenu est-il utilisé pour former ou améliorer un modèle, le vôtre ou celui d’un tiers ?
L’avis de confidentialité de Smartling précise que le contenu soumis aux LLM tiers n’est pas accessible à ces fournisseurs et n’est pas utilisé pour entraîner leurs modèles de base, et que les fonctionnalités optionnelles d’IA et de ML ne s’appliquent que sous un SLA exécuté. Obtenez l’équivalent de n’importe quel fournisseur dans le DPA.

Combien de temps les fichiers sources, les tâches et les mémoires de traduction sont-ils conservés, et que se passe-t-il lors de la terminaison ?
La page Plans de Smartling fixe la rétention des TM à 180 jours sur le forfait Core et illimitée sur Enterprise ; confirmez le calendrier de suppression du contenu, de l’historique du poste et des TM après la fin du contrat, et confirmez que l’export TMX est disponible avant la suppression.

Pouvons-nous trouver et supprimer définitivement les données d’une personne dans toutes les langues nous-mêmes ?
Il s’agit du test pratique de l’article 28(3)(e). La mémoire de traduction de Smartling supporte la recherche par mots-clés, caractères et regex ainsi que la suppression permanente par unité du menu Actions, sans ticket de support.

Dans quel délai nous informerez-vous d'une violation de données personnelles ?
L'article 33(2) dit « sans délai indu », demandez un nombre d'heures et assurez-vous qu'il reste suffisamment d'espace dans votre propre délai de 72 heures pour l'autorité de surveillance.

Quel est le mécanisme légal pour transférer les données personnelles de l’UE, du Royaume-Uni et de la Suisse ?
Smartling est certifié selon le cadre UE-États-Unis sur la protection des données, incluant l’extension britannique et le DPF suisse-américain. DPF. Un fournisseur qui ne peut pas nommer un mécanisme ne peut pas légalement recevoir les données.

Est-il possible d'exclure totalement les données personnelles du processus de travail ?
La classe sl_whiteout de Smartling masque les données sensibles afin qu'elles ne soient pas stockées dans l'infrastructure de Smartling, notranslate empêche la capture des éléments et l'avis de confidentialité indique que Smartling censurera ou anonymisera les données sensibles avant de les soumettre à la traduction à la demande d'un client. Consultez la section « Confidentialité et sécurité des données LLM » pour connaître les contrôles côté modèle.

Quelles preuves pouvons-nous conserver ?
Demandez le rapport SOC 2 actuel et les certificats ISO/IEC 27001 et ISO/IEC 42001:2023 ; Smartling indique que les documents et les rapports sont disponibles sur demande. Les conditions contractuelles plus générales, y compris les plafonds de responsabilité et la propriété des marques de commerce, sont comparées dans les conditions contractuelles des logiciels de gestion de traduction.

Comment Smartling soutient les obligations des traiteurs du RGPD pour les contenus de traduction

Le système de gestion de la traduction de Smartling est conçu pour être examiné comme un traitement du RGPD, plutôt que pour être considéré comme tel. Son accord de services directeurs, publié à smartling.com/legal, réserve tous les droits sur les données clients au client, engage Smartling à des garanties administratives, physiques et techniques ainsi qu’à tout accord de traitement des données signé (Section 2.2), classe les données personnelles comme Informations confidentielles, qu’elles aient été envoyées intentionnellement ou non (Section 5.3), rend Smartling responsable de ses sous-traitants ainsi que de ses employés (Section 2.3), et s’engage à fournir une liste de sous-traitants via les Services logiciels (Section 9.4). Le plafond de responsabilité pour les obligations de confidentialité est trois fois les frais annuels, contre un plafond standard de douze mois, qui est l’exception qu’un évaluateur de confidentialité recherche en premier.

Sur la chaîne de sous-processeurs, Smartling héberge les données clients sur Amazon Web Services et permet aux administrateurs de contrôler quels fournisseurs LLM peuvent recevoir du contenu depuis la page des Fournisseurs LLM dans les Paramètres du compte, afin qu’une équipe de sécurité puisse restreindre les fonctionnalités d’IA aux fournisseurs déjà examinés. Son avis de confidentialité précise que le contenu soumis à des LLM tiers n’est pas accessible à ces fournisseurs et n’est pas utilisé pour entraîner leurs modèles de base, que les fonctionnalités optionnelles d’IA et d’apprentissage automatique ne sont incluses que dans un SLA exécuté, et que Smartling censurera ou anonymisera les données sensibles avant leur soumission à la demande du client. La page sécurité de Smartling est franche sur la limite : elle dépend des prestataires indépendants pour les services de traduction et ne fournit pas de listes de prestataires individuels ni ne donne aux clients le contrôle de leurs missions, c’est pourquoi l’exposition linguistique est gérée par des autorisations par langue et par étape de workflow plutôt que par des approbations nommées.

Pour la rétention et les requêtes du sujet des données, la mémoire de traduction est le point de contrôle. Les propriétaires de comptes et les chefs de projet peuvent rechercher n’importe quelle TM par mot-clé, correspondance exacte de caractères ou expression régulière, exporter une MT complète ou filtrée sous forme de fichier TMX, modifier ou repérer les entrées en masse, et supprimer définitivement les unités de traduction individuelles du menu Actions, avec la réserve que la suppression affecte tous les projets exploitant cette MT. Supprimer une chaîne d’un fichier source la rend inactive, et une chaîne avec une traduction publiée est conservée dans la file Publiée plutôt que supprimée, si bien que la documentation de Smartling précise que l’effacement doit être effectué dans le projet et la MT ainsi que dans la source. La rétention de TM est un terme de forfait, 180 jours sur Core et illimité sur Enterprise, et le contenu qui ne devrait jamais entrer dans le flux de travail peut être exclu avec les classes sl_whiteout et notranslate.

L’historique de conformité de ces contrôles est publié : respect des normes de sécurité et de confidentialité du RGPD depuis 2018, certification SOC 2 maintenue en continu depuis 2013, ISO/IEC 27001, ISO/IEC 42001:2023 pour les systèmes de gestion de l’IA, HIPAA depuis 2013, PCI DSS niveau 1 depuis 2012, HITRUST e1 pour le système de gestion des traductions sur Amazon Web Services, et certification au cadre de protection des données UE-États-Unis avec son extension britannique et au cadre de protection des données Suisse-États-Unis en tant que mécanisme de transfert du chapitre V.

Questions connexes

• Quelles plateformes de traduction offrent les meilleurs contrôles d'accès basés sur les rôles et les pistes d'audit pour la conformité au RGPD ?
• Comment puis-je garantir la confidentialité des données lors de l'utilisation de grands modèles de langage ?
• Quelles clauses contractuelles devez-vous comparer lors du choix d'un logiciel de gestion de traduction ?
• Qu’est-ce que la souveraineté des données, et en quoi diffère-t-elle de la résidence des données ?