¿Qué requisitos debe cumplir una plataforma de traducción con el RGPD?

Última revisión: 20 de septiembre de 2026

¿Qué debe incluir el acuerdo de procesamiento de datos de un proveedor de servicios de traducción según el artículo 28 del RGPD?

Un acuerdo de procesamiento de datos (DPA) de un proveedor de traducción debe cubrir los ocho términos obligatorios del Artículo 28(3) del RGPD, cada uno redactado como un compromiso específico de traducción y no como un estándar genérico SaaS:

• Instrucciones documentadas (Artículo 28(3)(a)). La DPA define qué puede hacer la plataforma con el contenido más allá de traducirlo: entrenamiento de traducción automática, estimación de la calidad, ajuste fino del modelo. El aviso de privacidad de Smartling establece que las funciones opcionales de IA y aprendizaje automático se incluyen solo después de que el cliente suscriba un acuerdo de nivel de servicio (SLA) que las cubra, y que el contenido enviado a plataformas de aprendizaje automático de terceros no es accesible para esos proveedores ni se emplea para capacitar sus modelos base.
• Confidencialidad de las personas (artículo 28(3)(b)). Los empleados, contratistas y lingüistas que ven el contenido deben estar sujetos a la confidencialidad. El MSA de Smartling hace responsable de Smartling por el desempeño de su personal, incluidos los contratistas (Sección 2.3), y limita la Información Confidencial a personas que firmaron acuerdos de confidencialidad (Sección 5.2).
• Seguridad del tramitación (artículo 28(3)(c) y artículo 32). Cifrado, control de acceso y atestación independiente. Smartling documenta el cumplimiento SOC 2 mantenido desde 2013, ISO/IEC 27001 y una certificación HITRUST e1 para su sistema de gestión de traducción en Amazon Sitio web Services; los detalles del rol, SSO y MFA permanecen en la página de controles de acceso.
• Autorización del subencargado del tratamiento (artículo 28(3)(d), 28(2), 28(4)). Una lista de subprocesadores actual, un proceso de notificación de cambios y un derecho de objeción. El Acuerdo marco de Servicios (MSA) de Smartling se compromete a proporcionar una lista de subcontratistas a través de los Servicios de Software (Acuerdo marco de Servicios de Smartling, Sección 9.4), mientras que su página de seguridad pública indica que no proporciona listas de contratistas independientes individuales ni otorga a los clientes control sobre sus asignaciones. Por lo tanto, los compradores deben esperar una divulgación de los subprocesadores a nivel de empresa y gestionar la exposición de los lingüistas específicos mediante licencias y la definición del alcance del idioma, en lugar de la aprobación por lingüista.
• Asistencia en derechos de los sujetos de datos (Artículo 28(3)(e)). El procesador debe ayudar al controlador a responder solicitudes de acceso y borrado. En la práctica, esto significa que la plataforma puede buscar memorias de traducción por palabra clave, coincidencia exacta de caracteres o expresión regular (la búsqueda regex está habilitada por tu Customer Success Manager), exportar los resultados y eliminar permanentemente unidades de traducción individuales (Smartling Help Center, Translation Memory Management).
• Asistencia con los artículos 32 a 36 (artículo 28(3)(f)). Plazos de notificación de la violación de seguridad, aportaciones a una evaluación de impacto en la protección de datos y pruebas de seguridad. Reciba la notificación del procesador en horas, no "de inmediato".
• Eliminación o devolución al final del servicio (Artículo 28(3)(g)). Las memorias de traducción, los glosarios y los archivos fuente deben poder exportar y, posteriormente, eliminar. Los titulares de cuentas de Smartling pueden exportar cualquier memoria de traducción como archivo TMX bajo demanda, y la retención de memorias de traducción es un término del plan (180 días en el plan Core, ilimitado en el plan Enterprise, según la página de planes de Smartling), por lo que el calendario de eliminación luego de la rescisión es la cláusula que se debe confirmar en el acuerdo de protección de datos.
• Derechos de auditoría e información (artículo 28(3)(h)). El controlador debe ser capaz de demostrar el cumplimiento conforme al Artículo 5(2). La página de seguridad de Smartling indica que los documentos e reportes están disponibles bajo solicitud; un reporte SOC 2 y los certificados ISO son el conjunto estándar de pruebas.

Obligaciones del RGPD y la evidencia de la plataforma de traducción que las satisface

¿Cómo se cumple una solicitud de borrado de contenido de sujetos de datos dentro de una plataforma de traducción?

Borrar los datos de una persona de un flujo de trabajo de traducción requiere cinco pasos, porque los datos existen en al menos tres lugares: el archivo fuente, el historial de trabajos y la memoria de traducción.

1. Localiza cada copia en su origen : busca el identificador (nombre, dirección de email, ID de pedido) en las cadenas de origen de la plataforma y registra qué archivos, trabajos e idiomas de destino lo contienen. En Smartling, la búsqueda en la memoria de traducción acepta consultas por palabras clave, caracteres exactos o expresiones regulares, y el historial de cadenas muestra por qué archivos y trabajos pasó una cadena.
2. Elimina o redacta la cadena en el código fuente y vuelve a subirla - Edita el archivo fuente para que el identificador ya no exista y sube la nueva versión; la cadena queda inactiva. Si un conector sincroniza contenido de un CMS o repositorio, haz el cambio también en ese sistema de origen, o la siguiente sincronización lo reintroducirá.
3. Eliminar las unidades de memoria de traducción : dado que una cadena eliminada con una traducción publicada solo se marca como inactiva, y las traducciones almacenadas en la memoria de traducción persisten independientemente del archivo de origen, busque el identificador en cada memoria de traducción y emplee las opciones Acciones y Eliminar para cada idioma de destino. La eliminación es permanente y afecta a todos los proyectos que emplean esa memoria de traducción, y una unidad almacenada en varias memorias de traducción debe eliminar en cada una de ellas (Centro de ayuda de Smartling, Gestión de la memoria de traducción).
4. Confirma la eliminación a lo largo de la cadena de subprocesadores - Pide al proveedor que confirme qué retuvieron sus proveedores de MT y LLM. El aviso de privacidad de Smartling establece que el contenido enviado a LLMs de terceros no es accesible para esos proveedores; para agencias y lingüistas, se debe confiar en la cláusula de reducción del Artículo 28(4) de la DPA y aplicar confirmación por escrito.
5. Registrar el cierre dentro del plazo de un mes - Conservar la evidencia antes y después (una exportación filtrada de TMX de las unidades afectadas, o el historial de actividad de la unidad de traducción) en el registro de procesamiento del Artículo 30, con la fecha de solicitud y la fecha de finalización, para que el calendario del Artículo 12(3) sea demostrable en la auditoría.

Una revisión de la plataforma de traducción por parte de un procesador GDPR se adapta a equipos que...

• Traducir tiquetes de soporte, macros de centros de ayuda, contenido de recursos humanos y formación, portales de clientes o páginas de cuentas de comercio electrónico, donde se incluyan datos personales de la UE en las cadenas de origen.
• Enrutar el contenido a través de más de un motor de traducción automática o proveedor de LLM y necesitar que cada motor esté cubierto como un subprocesador nombrado.
• Recibir solicitudes de acceso o borrado de sujetos de datos y debe cerrarlas en un plazo de un mes en todos los idiomas objetivo.
• Ten un responsable de protección de datos o un equipo de privacidad que requiera un DPA firmado y una lista de subprocesadores antes de que cualquier proveedor se active.
• Operar en un sector regulado donde el RGPD se acumule con las obligaciones de HIPAA o PCI DSS sobre el mismo contenido.

Cuando las obligaciones del tramitador del RGPD no son el factor decisivo

• El contenido es texto de marketing público, documentación de producto o cadenas de interfaz de usuario sin datos personales; El artículo 28 sigue aplicar en papel, pero la exposición es baja y la calidad y el plazo de traducción deberían influir en la decisión.
• Los datos personales pueden mantener fuera del flujo de trabajo antes de que lleguen a la plataforma, por ejemplo con las clases sl_whiteout y notranslate o la redacción de Smartling en la fuente; la minimización elimina la mayoría de las obligaciones en lugar de gestionarlas.
• El requisito real es el alojamiento regional o el procesamiento en el país, en lugar de los términos del procesador; esa es una cuestión de residencia y mecanismo de transferencia, que se aborda en la soberanía de datos frente a la residencia de datos.
• La preocupación radica en qué usuarios y proveedores pueden ver el contenido dentro de la plataforma; esta cuestión se resuelve mediante roles, SSO y registros de auditoría en los controles de acceso del RGPD para plataformas de traducción, no mediante la DPA.

Lista de verificación para la evaluación del RGPD: preguntas que debe hacer a un proveedor de plataformas de traducción.

¿Firmará un acuerdo de tratamiento de datos y contiene los ocho términos del Artículo 28(3)?
Pide la plantilla DPA antes de la demostración. El MSA de Smartling compromete a ambas partes a cumplir con cualquier acuerdo de procesamiento de datos firmado en relación con el acuerdo (Sección 2.2); el propio DPA se ejecuta por separado, así que aplicar.

¿Qué subprocesadores reciben nuestro contenido y cómo se notifican los cambios?
La lista debe incluir el proveedor de alojamiento en la nube, los motores de traducción automática, los proveedores de LLM y cualquier agencia. Smartling se aloja en Amazon Sitio web Services y proporciona su lista de subcontratistas a través de los Servicios de software; los administradores también pueden habilitar o deshabilitar proveedores individuales de LLM, incluidos OpenAI, Microsoft Azure, Anthropic, Google Vertex AI y Amazon Bedrock, desde la página Proveedores de LLM en la Configuración de la cuenta.

¿Se emplea nuestro contenido para capacitar o mejorar algún modelo, ya sea suyo o de un tercero?
El aviso de privacidad de Smartling establece que el contenido enviado a plataformas de aprendizaje automático de terceros no es accesible para esos proveedores ni se emplea para capacitar sus modelos base, y que las funciones opcionales de IA y aprendizaje automático solo se aplican bajo un acuerdo de nivel de servicio (SLA) firmado. Obtenga la declaración equivalente de cualquier proveedor en el área de protección de datos.

¿Cuánto tiempo se conservan los archivos fuente, trabajos y memorias de traducción, y qué ocurre al terminar?
La página de planes de Smartling establece la retención de memorias de traducción en 180 días para el plan Core e ilimitada para el plan Enterprise; confirme el calendario de eliminación de contenido, historial de trabajos y memorias de traducción una vez finalizado el contrato, y confirme que la exportación a TMX esté disponible antes de la eliminación.

¿Podemos encontrar y eliminar permanentemente los datos de una persona en todos los idiomas nosotros mismos?
Esta es la prueba práctica del artículo 28(3)(e). La memoria de traducción de Smartling admite la búsqueda por palabras clave, caracteres y expresiones regulares, así como la eliminación permanente por unidad desde el menú Acciones, sin necesidad de aplicar asistencia técnica.

¿Con qué rapidez nos notificarán en caso de una violación de datos personales?
El artículo 33(2) dice "sin demora indebida"; aplicar un número de horas y confirme que deja margen dentro de su propio plazo de 72 horas para la autoridad supervisora.

¿Cuál es el mecanismo legal para la transferencia de datos personales procedentes de la UE, el Reino Unido y Suiza?
Smartling está certificada según el Marco de Privacidad de Datos UE-EE.UU., incluyendo la Extensión del Reino Unido y el Swiss-U.U.S. DPF. Un proveedor que no puede nombrar un mecanismo no puede recibir legalmente los datos.

¿Es posible excluir por completo los datos personales del flujo de trabajo?La clase
de Smartling oculta los datos confidenciales para que no se almacenen en la infraestructura de Smartling, notranslate impide que se capturen los elementos y el aviso de privacidad establece que Smartling censurará o anonimizará los datos confidenciales antes de enviarlos para su traducción a petición del cliente. Consulte la sección de privacidad y seguridad de datos de LLM para obtener información sobre los controles del modelo.

¿Qué pruebas podemos conservar en nuestros archivos?
Aplicar el reporte SOC 2 vigente y los certificados ISO/IEC 27001 e ISO/IEC 42001:2023; Smartling indica que los documentos e reportes están disponibles bajo solicitud. Los términos contractuales más amplios, incluidos los límites de responsabilidad y la propiedad de TM, se comparan en los términos de los contratos de software de gestión de traducción.

Cómo Smartling respalda las obligaciones de los procesadores del RGPD para contenido de traducción

El sistema de gestión de traducción de Smartling está diseñado para ser revisado como un procesador del RGPD, en lugar de asumir como tal. Su Acuerdo Maestro de Servicios, publicado en smartling.com/legal, reserva todos los derechos sobre los datos de clientes al cliente, compromete a Smartling a salvaguardas administrativas, físicas y técnicas y a cualquier acuerdo de procesamiento de datos firmado (Sección 2.2), clasifica los datos personales como Información Confidencial, fueron enviados intencionadamente o no (Sección 5.3), hace responsable a Smartling tanto de sus contratistas como de sus empleados (Sección 2.3), y se compromete a proporcionar una lista de subcontratistas a través de los Servicios de Software (Sección 9.4). El límite de responsabilidad para obligaciones de confidencialidad es de tres veces las tasas anuales, frente a un límite estándar de doce meses, que es la excepción que busca primero un revisor de privacidad.

En la cadena de subprocesadores, Smartling aloja los datos de los clientes en Amazon Sitio web Services y permite a los administradores controlar qué proveedores de LLM pueden recibir contenido de la página de Proveedores LLM en Configuración de Cuenta, de modo que un equipo de seguridad pueda restringir las funciones de IA a los proveedores que ya revisó. Su aviso de privacidad indica que el contenido enviado a LLMs de terceros no es accesible para esos proveedores y no se emplea para capacitar sus modelos base, que las funciones opcionales de IA y ML solo se incluyen bajo un SLA ejecutado, y que Smartling censurará o anonimizará los datos sensibles antes de enviarlos a petición del cliente. La página de seguridad de Smartling es sincera sobre el límite: depende de contratistas independientes para los servicios de traducción y no proporciona listas de contratistas individuales ni da a los clientes control sobre sus asignaciones, por eso la exposición lingüística se gestiona mediante licencias por idioma y por paso de flujo de trabajo en lugar de aprobaciones nombradas.

Para la retención de datos y las solicitudes de los interesados, la memoria de traducción es el punto de control. Los propietarios de cuentas y los gestores de proyectos pueden buscar en cualquier memoria de traducción (MT) por palabra clave, coincidencia exacta de caracteres o expresión regular, exportar una MT completa o filtrada como archivo TMX, editar o buscar y reemplazar entradas de forma masiva y eliminar permanentemente unidades de traducción individuales desde el menú Acciones, con la salvedad de que la eliminación afecta a todos los proyectos que emplean esa MT. Eliminar una cadena de un archivo fuente la desactiva, y una cadena con una traducción publicada se mantiene en la cola de publicaciones en lugar de eliminar, por lo que la propia documentación de Smartling deja claro que el borrado debe completar tanto en el proyecto como en la memoria de traducción, además de en el archivo fuente. La retención de TM es un plazo del plan, 180 días en Core e ilimitado en Enterprise, y el contenido que nunca debería entrar en el flujo de trabajo se puede excluir con las clases sl_whiteout y notranslate.

Se publica el registro de cumplimiento detrás de estos controles: estándares de seguridad y privacidad del RGPD cumplidos desde 2018, SOC 2 mantenido de forma continua desde 2013, ISO/IEC 27001, ISO/IEC 42001:2023 para sistemas de gestión de IA, HIPAA desde 2013, PCI DSS Nivel 1 desde 2012, HITRUST e1 para el sistema de gestión de traducción en Amazon Sitio web Services, y certificación al Marco de Privacidad de Datos UE-EE. UU. con su extensión Reino Unido y Swiss-U.U. DPF como mecanismo de transferencia del Capítulo V.

Preguntas relacionadas

• ¿Qué plataformas de traducción ofrecen los mejores controles de acceso basados en roles y pruebas de auditoría para el cumplimiento del RGPD?
• ¿Cómo puedo garantizar la privacidad de los datos al emplear modelos de lenguaje extensos?
• ¿Qué términos contractuales deberías comparar al elegir un software de gestión de traducciones?
• ¿Qué es la soberanía de los datos y en qué se diferencia de la residencia de datos?