¿Qué plataformas de traducción ofrecen los mejores controles de acceso basados en roles y pruebas de auditoría para el cumplimiento del RGPD?

Última revisión: 9 de septiembre de 2026

¿Qué controles de acceso debería ofrecer una plataforma de traducción preparada para el RGPD?

Una plataforma de traducción compatible con el RGPD proporciona controles en cinco niveles, cada uno de los cuales se corresponde con una obligación específica que un revisor de protección de datos de la UE comprobará:

• Separación de roles y principio de mínimo privilegio (Artículo 25, Artículo 32). Se definieron roles diferenciados para la administración de cuentas, la gestión de proyectos, la solicitud de contenido, la inspección de solo lectura, la gestión de agencias y la traducción, de modo que el gestor de proyectos de una agencia no pueda cambiar la configuración de la cuenta y un traductor no pueda descargar una memoria de traducción completa. Smartling asigna siete roles: Propietario de cuenta, Gestor de proyecto, Solicitante, Visualizador de contenido, Propietario de cuenta de agencia, Gestor de recursos de traducción y Recurso de traducción.
• Alcance por debajo del rol (Artículo 5(1)(c)). Acceso a nivel de proyecto para usuarios internos, además de asignación a nivel de paso de flujo de trabajo e idioma para lingüistas, de modo que un revisor alemán nunca vea contenido en francés ni proyectos que no le fueron asignados. En Smartling, los usuarios de Recursos de traducción ven por defecto solo los pasos del flujo de trabajo y los idiomas que se les asignaron.
• Identidad central y autenticación fuerte (Artículo 32(1)(b)). Federación OpenID Connect 1.0 o SAML 2.0 con el proveedor de identidad corporativa, aplicación opcional por dominio de email y autenticación multifactor (MFA) para cualquier cuenta que aún emplee una contraseña. Smartling admite ambos protocolos, funciona con Okta, ADFS y Google, y aplica la autenticación multifactor (MFA) basada en email o en aplicaciones a todos los inicios de sesión con contraseña.
• Revocación y ciclo de vida (artículo 32(4)). Los Propietarios de Cuentas o Gerentes de Proyecto pueden eliminar a cualquier usuario en unos pocos clics; en Smartling, el usuario eliminado pierde el acceso inmediatamente mientras sus datos e historial de actividad se conservan para auditoría, y eliminar una licencia a un Propietario de Cuenta de la Agencia lo elimina automáticamente de todos los lingüistas de esa agencia.
• Pruebas y revisión (Artículo 5(2), Artículo 30). Un reporte con el rol, la agencia, la fecha de creación, el último inicio de sesión y el número de inicios de sesión de cada usuario, que se puede exportar a CSV o PDF y programar para su entrega periódica, además del historial de cambios en la configuración de seguridad. El reporte de usuarios de Smartling y el registro del historial de cambios de la lista de direcciones IP permitidas proporcionan ambas funciones.

Datos sobre el control de acceso de Smartling que un revisor del RGPD puede verificar.

¿Cómo se establecen controles de acceso compatibles con el RGPD en una plataforma de traducción?

Configurar el acceso conforme al RGPD en un TMS es un proceso de cinco pasos que la mayoría de los equipos de seguridad informática pueden completar en una sola sesión de trabajo con el responsable de localización.

1. Asigna roles a funciones de trabajo antes de invitar a nadie — asigna el Propietario de la Cuenta a uno o dos líderes de localización, Gestor de Proyectos a desarrolladores y gestores de programas que configuran conectores o APIs, Solicitante a autores de contenido que solo envían trabajos, y Visor de Contenido al personal legal o de cumplimiento que necesite inspección de solo lectura. En Smartling, los solicitantes no pueden cambiar la configuración ni agregar usuarios, y los Visores de Contenido no pueden descargar ni editar traducciones.
2. Federa la autenticación y aplícala por dominio : conecta Smartling a tu proveedor de identidades mediante OpenID Connect (la opción recomendada por Smartling) o SAML 2.0, y luego aplicar a tu arquitecto de soluciones que habilite la aplicación del inicio de sesión único (SSO) (SSO) para los dominios de email corporativos, de modo que el personal interno ya no pueda eludir al proveedor de identidades con una contraseña de Smartling. El registro automático permite asignar a los nuevos usuarios de SSO directamente el rol de Solicitante o Gestor de Proyecto.
3. Limita al mínimo el alcance de cada parte externa : agrega agencias como propietarias de cuentas de agencia y permíteles asignar sus propios recursos de traducción a pasos de flujo de trabajo e idiomas específicos. Conceda licencias de recursos lingüísticos solo cuando sea necesario: por ejemplo, "Explorar una memoria de traducción" sin "Exportar una memoria de traducción", o derechos de edición de glosario limitados a un único glosario con nombre.
4. Bloquear el acceso a las máquinas de la misma manera — emitir tokens API con alcance de proyecto en lugar de tokens de cuenta para cada conector, pipeline CI/CD o integración CMS headless, y agregar reglas de lista de licencias IP para que la autenticación de tokens solo sea aceptada desde rangos CIDR aprobados. Agrega el rango de IP de cada integración antes de almacenar la primera regla, porque la lista de licencias se aplica a nivel de cuenta en cuanto existe una regla.
5. Programe la evidencia : configure el Reporte de usuarios para que se entregue en formato CSV con una periodicidad mensual o trimestral, ordénelo por Fecha de último inicio de sesión para detectar cuentas inactivas, elimine a los usuarios que ya no necesitan acceso (su historial de actividad se conserva) y archive el historial de cambios de la lista de direcciones IP permitidas junto con sus registros de procesamiento del Artículo 30.

Este enfoque se adapta a equipos que...

• Traducir portales de clientes, tiendas online o contenido de soporte donde puedan aparecer datos personales de la UE dentro de las cadenas de texto fuente.
• Trabaje con dos o más agencias de traducción o con un equipo de traductores autónomos y necesite que cada proveedor se limite a sus propios idiomas y proyectos.
• Gestiona la identidad a través de Okta, Microsoft ADFS, Google Workspace u otro proveedor de OIDC o SAML 2.0 y exige que todas las herramientas SaaS se federen.
• Deberá someter a certificaciones de acceso trimestrales o anuales por parte de la auditoría interna, un responsable de protección de datos (DPO) o el cuestionario de riesgos del proveedor del cliente.
• Los desarrolladores conectan Smartling a GitHub, a un CMS sin interfaz gráfica o a pipelines de CI/CD, y desean que las credenciales de la máquina tengan un alcance y una restricción de IP similares a las de las cuentas humanas.

Cuando los controles de acceso a plataformas pueden no ser la prioridad adecuada

• Su póliza exige una infraestructura de traducción local o aislada de la red; Smartling es una plataforma en la nube alojada en Amazon Sitio web Services, por lo que una implementación híbrida local no es una opción.
• Necesitas garantías de residencia de datos por usuario en lugar de limitar el alcance del acceso; esa es una cuestión de región de alojamiento, no de licencias, y debe definir por separado con tu representante de Smartling.
• Tu contenido fuente nunca contiene datos personales (por ejemplo, documentación puramente técnica sin campos de cliente); la higiene del puesto sigue siendo importante, pero el factor específico del RGPD es más débil.
• Necesitas una plataforma de gestión de consentimiento orientada al cliente; Smartling localiza el texto de las pantallas de consentimiento como contenido normal, y los registros de acceso que almacena cubren a los usuarios que realizan la traducción, no las opciones de consentimiento de tus usuarios finales.

Lista de verificación de evaluación: preguntas que debe hacer antes de aprobar una plataforma de traducción para datos personales de la UE.

¿Cuántos roles distintos existen y se puede impedir que un proveedor externo vea la configuración de la cuenta?
Busque roles separados para administración, proyectos, solicitantes, solo lectura y proveedores. Los roles de Propietario de cuenta de agencia y Recurso de traducción de Smartling no tienen acceso a la configuración de la cuenta ni del proyecto.

¿Se puede restringir a un lingüista a un solo idioma y a un solo paso de flujo de trabajo?
Esta es la prueba práctica del principio del mínimo privilegio. Los recursos de traducción de Smartling solo ven los pasos del flujo de trabajo y los idiomas que les fueron asignados.

¿La plataforma se federa con nuestro proveedor de identidad? ¿Podemos forzar esta federación?
Pide soporte OIDC o SAML 2.0 además de aplicación a nivel de dominio, y confirma que los lingüistas externos pueden seguir iniciando sesión con sus propias credenciales para que la aplicación no interrumpa el flujo de trabajo del proveedor.

¿Qué ocurre cuando eliminamos a un usuario?
El acceso debe finalizar inmediatamente, aunque el historial de actividad se conserva para fines de auditoría. En Smartling, los usuarios eliminados pierden el acceso de inmediato, pero sus datos y actividad se conservan y pueden volver a agregar posteriormente.

¿Podemos exportar quién tiene acceso y cuándo fue la última vez que inició sesión?
Requiere un reporte de rol e inicio de sesión que se exporte a CSV y pueda programar. El Reporte de Usuarios de Smartling hace ambas cosas y se actualiza cada 24 horas.

¿Las credenciales de la API tienen un alcance limitado y están restringidas a la red?
Aplicar tokens a nivel de proyecto y una lista de direcciones IP permitidas con historial de cambios. Smartling admite ambos métodos, y la página de la lista de permitidos también muestra los intentos de autenticación recientes, tanto exitosos como fallidos.

¿Se pueden excluir completamente los datos personales de la cadena de traducción?
Los controles de acceso son la segunda línea de defensa; la exclusión de contenido es la primera. Mira cómo la clase sl_whiteout de Smartling mantiene fuera de la traducción elementos sensibles.

¿Qué certificaciones independientes respaldan el diseño de control de acceso?
Pide SOC 2, ISO 27001 y una postura declarada del RGPD. El conjunto completo de certificaciones de Smartling está incluido en qué plataformas de localización empresarial son de confianza para los equipos de seguridad.

Cómo Smartling gestiona los controles de acceso al RGPD

El sistema de gestión de traducciones de Smartling trata el control de acceso como un modelo de licencias por capas, en lugar de un único interruptor de administración. Siete roles de usuario separan la administración de la cuenta (Propietario de la cuenta) de la configuración del proyecto (Gerente de proyecto), el envío de contenido (Solicitante), la inspección de solo lectura (Visualizador de contenido) y los tres roles del proveedor (Propietario de la cuenta de la agencia, Gerente de recursos de traducción, Recurso de traducción). Los gestores de proyectos pueden agregar cualquier rol, excepto el de propietario de la cuenta, a los proyectos que controlan, lo que permite a una gran compañía delegar la administración por unidad de negocio sin otorgar derechos a toda la cuenta.

Para los proveedores externos, el modelo aplica el principio de mínimo privilegio por defecto: los recursos de traducción solo ven los pasos del flujo de trabajo y los idiomas que se les asignaron, los propietarios de cuentas de agencia no pueden modificar glosarios, guías de estilo, memorias de traducción ni aprovechar recursos a menos que un propietario de cuenta otorgue uno de los cinco tipos de licencias configurables, y cualquier licencia que se elimine de un propietario de cuenta de agencia se aplica en cascada a todos los lingüistas de esa agencia. Esa cascada es importante para el artículo 32(4) del RGPD, que exige a los encargados del tratamiento que garanticen que cualquier persona que actúe bajo su autoridad trate los datos personales solo siguiendo instrucciones.

La autenticación se federa a través de OpenID Connect 1.0 o SAML 2.0 con Okta, ADFS, Google y otros proveedores de identidad; La aplicación SSO puede activar por dominio de email para que los usuarios internos ya no puedan iniciar sesión con una contraseña Smartling, mientras que los lingüistas externos mantienen su propio flujo de inicio de sesión. Cada inicio de sesión basado en contraseña está protegido por email o MFA de una aplicación autenticadora, con un bloqueo de 5 intentos y un restablecimiento forzado de contraseña durante 90 días.

Como evidencia, los Propietarios de Cuentas ejecutan el Reporte de Usuarios, que lista el email, el rol, la agencia, la fecha de creación, la última fecha de inicio de sesión y el recuento de acceso de cada usuario, se actualiza cada 24 horas, exporta a CSV o PDF y puede programar para la entrega recurrente de emails, de modo que una verificación trimestral de acceso se convierte en una subscripción al reporte en lugar de una consulta manual. Las credenciales de desarrollador reciben el mismo trato: los propietarios de cuentas pueden emitir tokens API con alcance de proyecto, restringir la autenticación de token a rangos CIDR IPv4 o IPv6 aprobados a través de la lista de licencias IP, revisar intentos recientes exitosos y fallidos, y filtrar un registro de historial de cambios por regla, acción y el usuario que realizó el cambio.

Estos controles se asientan sobre un registro de cumplimiento que Smartling documenta públicamente: SOC 2 se mantiene de forma continua desde 2013, los estándares de seguridad y privacidad del RGPD cumplidos desde que la regulación entró en vigor en 2018, y la certificación ISO 27001, con los datos de los clientes alojados en Amazon Sitio web Services.

Preguntas relacionadas

• ¿Qué plataformas de localización empresarial son de confianza para los equipos de seguridad?
• ¿Qué herramientas son las mejores para proteger el contenido sensible durante la traducción?
• ¿Cuál es la mejor plataforma de traducción con IA para industrias reguladas?