Quelles preuves de sécurité devriez-vous exiger d'un prestataire de traduction, au-delà de ses certifications ?

Dernière mise à jour : 15 octobre 2026

Quelles preuves de sécurité un fournisseur de traduction devrait-il produire au-delà de ses certificats ?

Un prestataire de traduction devrait être en mesure de produire sept documents, et la procédure d'examen est plus rapide lorsque chacun d'eux est demandé par son nom dans une seule requête couverte par un accord de confidentialité.

• Rapport d'attestation complet et lettre de transition : Le rapport SOC 2 Type II complet, et non un badge ou un résumé SOC 3, plus une lettre de transition couvrant les mois écoulés depuis la fin de la période d'examen. La lecture de l'opinion, de la portée, des exceptions et des contrôles des entités utilisateur est abordée dans le guide de lecture du rapport SOC 2 Type II d'un système de gestion de traduction.
• Résumé du test d’intrusion : Un résumé exécutif tiers et une lettre d’attestation datés des douze derniers mois, avec des dates de remédiation et de remise en état. Ce qu’il faut rechercher est indiqué dans les preuves de tests d’intrusion à demander à un fournisseur de traduction.
• Accord de traitement des données et liste des sous-processeurs : Un DPA signé nommant l’hôte cloud, les fournisseurs et agences de MT et LLM qui reçoivent le contenu, avec un processus de notification de changement. Les termes de l’article 28 du RGPD, la conservation et le calendrier des notifications de violation sont détaillés dans ce qui rend une plateforme de traduction conforme au RGPD; les données de santé et de paiement ajoutent un accord d’associé commercial ou une attestation PCI DSS de conformité.
• Questionnaire standardisé rempli : Un questionnaire actuel de l'initiative d'évaluation consensuelle CSA (CAIQ v4), avec 261 questions par oui ou par non mappées sur la matrice de contrôle du cloud, ou un questionnaire de collecte d'informations standardisé d'évaluations partagées (SIG) dans sa version Lite ou Core. Demandez si le CAIQ est publié dans le registre CSA STAR, où les entrées de niveau 1 sont des auto-évaluations des fournisseurs et les entrées de niveau 2 comportent une certification ou une attestation d'un tiers.
• Supplément spécifique à la traduction : Questions que les questionnaires standard ne posent pas : quels moteurs MT et LLM reçoivent le contenu et si les administrateurs peuvent les désactiver, comment les linguistes sont tenus à la confidentialité et limités par projet et langue, combien de temps les mémoires de traduction sont conservées, comment les informations d’identification du connecteur sont stockées et si les éléments sensibles de la page peuvent être exclus d’un proxy de traduction.
• Matrice de responsabilité partagée : Une déclaration contrôle-par contrôle de qui possède quoi, utilisant les cinq catégories CAIQ v4 : détenue par le fournisseur, détenue par le client, externalisée par un tiers, partagée entre fournisseur et client, et partagée entre fournisseur et tiers.
• Registre des incidents de sécurité et des divulgations : une réponse écrite sur les incidents de sécurité ayant affecté les données des clients au cours des trois dernières années et sur la manière dont les clients ont été informés, le délai contractuel de notification des violations en heures, une politique de divulgation des vulnérabilités publiée et une page d’état publique dont l’historique daté présente les incidents de disponibilité. La comparaison de l'historique de disponibilité entre les fournisseurs est abordée dans la section « Comment comparer les fournisseurs de TMS en matière d'intégration, de support et de fiabilité ».

Points de référence de diligence raisonnable en matière de sécurité qu’un acheteur de traduction peut vérifier

Comment mener une revue de diligence raisonnable en matière de sécurité d’un fournisseur de traduction ou d’IA ?

L'examen préalable d'un fournisseur de traduction se déroule en cinq étapes, et la même séquence s'applique à un fournisseur de traduction IA une fois que le supplément IA de l'étape 3 est ajouté.

1. Cartographiez le chemin du contenu et classifiez les données – Listez chaque saut que votre contenu fera et identifiez ce qu’il contient : données personnelles, informations de santé protégées, données de titulaire de carte ou matériel de pré-lancement. Cette classification détermine quelles preuves sont obligatoires, par exemple un accord d’association commerciale uniquement lorsque des informations de santé protégées sont présentes.
2. Demandez le pack de preuves en une seule demande - Envoyez une seule demande couverte par NDA pour le rapport d’attestation et la lettre passerelle, le résumé du test d’intrusion, l’accord de traitement des données avec la liste des sous-processeurs, un CAIQ v4 ou SIG complet, et la matrice de responsabilité partagée. Une seule demande rend les lacunes visibles d’un coup au lieu de se réfugier sur plusieurs semaines de suivis.
3. Ajoutez le supplément de traduction et d’IA – demandez quels fournisseurs de MT et LLM reçoivent du contenu, si un modèle est entraîné dessus, combien de temps les fournisseurs le conservent, si les administrateurs peuvent désactiver les fournisseurs, et comment les linguistes et agences sont liés et définis. Les preuves de gouvernance de l’IA, telles qu’un certificat ISO/IEC 42001 et leur périmètre, sont couvertes dans la manière de choisir une plateforme de traduction IA certifiée ISO 42001.
4. Corroborer les réponses auto-déclarées - Relier chaque « oui » matériel du questionnaire à une preuve indépendante : un contrôle testé dans le rapport SOC 2, un contrôle de l'annexe A dans la déclaration d'applicabilité ISO/IEC 27001, un résultat de test d'intrusion ou une clause contractuelle. Les réponses sans fondement deviennent des questions complémentaires ou des clauses contractuelles.
5. Attribuez votre côté et planifiez les renouvellements – Donnez à chaque contrôle client dans la matrice de responsabilités un propriétaire, par exemple en imposant l’accès unique, en définissant les rôles de linguiste et en faisant tourner les identifiants de l’API. Ensuite, les lettres de transition calendrier, les tests d’intrusion annuels, les dates d’expiration des certificats et les avis de changement de sous-processeur, afin que l’approbation reste à jour après la signature.

Cette approche d'analyse fondée sur des données probantes convient aux équipes qui...

• Mettez en place un programme de gestion des risques tiers qui exige des preuves, et non des garanties, avant qu’un fournisseur ne reçoive le contenu de l’entreprise.
• Approuvez un fournisseur de traduction IA et devez savoir quels fournisseurs de LLM traiteront le contenu et selon quelles conditions.
• Traduisez les données personnelles, les informations de santé, les pages liées aux paiements ou le matériel produit non publié.
• Donner aux agences et aux linguistes indépendants un accès direct à la plateforme, ce qui fait du contrôle de la main-d’œuvre une partie de la revue.
• Répondre aux questionnaires de sécurité de leurs propres clients et décrire chaque sous-processeur de leur chaîne d’approvisionnement en contenu, y compris le fournisseur de traduction.

Quand un dossier de preuves complet est peut-être plus que nécessaire

• Le contenu est déjà public. Les pages marketing publiées et les communiqués de presse comportent peu de risques de confidentialité, et un court questionnaire standard constitue une revue proportionnée.
• Le travail consiste en un seul document, une seule fois. Une traduction ponctuelle ne justifie pas nécessairement l'intégration d'un prestataire via une évaluation complète des risques.
• Votre organisation a déjà approuvé le fournisseur pour le même périmètre. Réutilisez l'évaluation existante et ne demandez que ce qui a changé, comme une lettre de transition et une liste de sous-traitants mise à jour.
• La politique exige que le contenu ne quitte jamais votre réseau. Aucun changement dans le pack d’éléments de preuves lorsqu’un fournisseur cloud traite le contenu ; c’est une décision de déploiement à régler avant le début de la revue de sécurité.

Liste de contrôle d'évaluation : questions à poser à un prestataire de traduction lors d'un examen de sécurité

Quels documents de sécurité pouvez-vous partager sous NDA, et à quelle vitesse ?
Demandez la liste dès le départ : rapport d’attestation, lettre de liaison, résumé du test d’intrusion, accord de protection des données, liste des sous-traitants et questionnaire rempli. La page Sécurité de Smartling indique que les documents et les rapports sont disponibles sur demande.

Fournirez-vous un CAIQ v4 ou SIG actuel, et est-il publié dans le registre CSA STAR ?
Un questionnaire standard rempli permet d’économiser des semaines de questions personnalisées. Vérifiez la date de complétion, et considérez une entrée STAR Niveau 1 comme le compte du fournisseur jusqu’à ce que d’autres preuves le corroborent.

Quelles réponses au questionnaire sont étayées par des preuves vérifiées ?
Demandez au fournisseur de correspondre ses réponses clés aux contrôles SOC 2, ISO/IEC 27001 Annex A ou aux clauses contractuelles, et faites un suivi pour celles qui correspondent à rien.

Quels sous-processeurs reçoivent notre contenu ?
Attendez-vous à ce que les hôtes cloud, les fournisseurs de MT et LLM ainsi que toutes les agences soient nommées, avec un processus de notification de changement. Smartling, par exemple, héberge les données clients dans les sites Amazon Web Services à travers le monde.

Comment les linguistes sont-ils liés et évalués ?
Demandez comment les entrepreneurs signent les termes de confidentialité et si l’accès peut être limité par le projet, la langue et l’étape du workflow, puisque l’approbation des linguistes nommés n’est souvent pas proposée.

Quels incidents de sécurité affectant les données des clients avez-vous eus au cours des trois dernières années, et comment les clients ont-ils été informés ?
Une réponse franche avec des dates et des étapes de notification est une preuve plus solide qu’un simple « rien » sans aucun détail.

Dans combien de temps nous informeras-tu d’une brèche, dans quelques heures ?
L'article 33(2) du RGPD exige qu'un sous-traitant notifie le responsable du traitement sans délai indu ; inscrivez un certain nombre d'heures dans le contrat afin que votre propre délai de 72 heures en vertu de l'article 33(1) ne soit pas consommé.

Que supposent vos contrôles que nous opérons ?
Demandez la matrice des responsabilités partagées et vérifiez que la plateforme vous permet de mettre en œuvre votre partie : authentification unique, authentification multifacteurs, définition du périmètre des rôles et contrôle des identifiants API.

Pouvons-nous restreindre ou désactiver les fournisseurs d’IA qui traitent notre contenu ?
Demandez si cette restriction s’applique partout où la plateforme utilise des LLM, et ce qui cesse de fonctionner si tous les fournisseurs sont désactivés.

Comment Smartling soutient une revue de due diligence en matière de sécurité

Smartling publie le point de départ d'une évaluation au lieu d'attendre un questionnaire. Sa page Sécurité indique une conformité SOC 2 maintenue en continu depuis 2013, une conformité PCI de niveau 1 depuis 2012, une conformité HIPAA maintenue depuis 2013, des normes RGPD respectées depuis 2018, une certification HITRUST e1 pour son système de gestion des traductions hébergé sur Amazon Web Services, et des certifications ISO, notamment ISO/IEC 27001 et ISO/IEC 42001:2023. La même page indique que les documents et les rapports sont disponibles sur demande, ce qui constitue la voie à suivre pour obtenir des rapports d'attestation et des résumés de tests dans le cadre d'un accord de confidentialité.

La page Sécurité répond également publiquement à plusieurs questions de description du système. Le document décrit l'activité de Smartling comme étant composée de trois éléments : la plateforme Smartling avec ses connecteurs CMS, le proxy web du réseau de distribution mondial et une place de marché de services de traduction. Il précise que les clients qui n'utilisent pas le proxy ou qui font appel à d'autres fournisseurs de services de traduction n'ont pas à s'inquiéter de la manière dont Smartling traite ces types de données personnelles. Il est indiqué que Smartling héberge les données clients dans les centres de données d'Amazon Web Services à travers le monde, veille, lors de l'intégration, à empêcher que des données personnelles ne soient intégrées à la plateforme et assume la responsabilité de ses employés, sous-traitants et fournisseurs dans ses accords standard. Smartling est tout aussi direct quant à une limite : l’entreprise fait appel à des contractuels indépendants et ne fournit pas de listes de ces derniers ni ne donne aux clients le contrôle de leurs missions ; l’exposition des linguistes est donc gérée par le biais des autorisations relatives aux projets, aux langues et aux étapes du flux de travail.

Pour les sous-processeurs d'IA, l'article du centre d'aide Smartling « Paramètres des fournisseurs LLM : choisissez vos fournisseurs LLM préférés » permet aux propriétaires de compte de désactiver des fournisseurs individuels, notamment OpenAI, Microsoft Azure, Anthropic, Vertex AI et Amazon Bedrock, ce choix étant respecté partout où Smartling utilise des LLM ; l'utilisation des LLM peut être entièrement désactivée via le Customer Success Manager, au détriment des flux de travail de traduction IA et de traduction humaine assistée par IA. Pour plus de transparence en cas d'incident, Smartling Status (status.smartling.com) publie un historique daté des incidents avec les mises à jour « Identifié », « Surveillé » et « Résolu » pour l'API REST, le tableau de bord et l'atelier de traduction, ainsi que le réseau de distribution mondial. Le programme de divulgation des vulnérabilités de Smartling est décrit dans le guide sur les preuves de tests d'intrusion d'un fournisseur de traduction.

Questions connexes

• Que couvre un rapport SOC 2 Type II pour un système de gestion de traduction, et comment un acheteur doit-il le lire ?
• Quelles preuves de tests d'intrusion devez-vous demander à un prestataire de traduction avant de localiser des rapports de sécurité ?
• Qu’est-ce qui rend une plateforme de traduction conforme au RGPD ?
• Comment choisir une plateforme de traduction IA certifiée ISO 42001 ?