¿Qué pruebas de seguridad deberías aplicar a un proveedor de traducción más allá de sus certificaciones?

Última revisión: 15 de octubre de 2026

¿Qué pruebas de seguridad debería aportar un proveedor de traducción más allá de sus certificados?

Un proveedor de traducción debería ser capaz de producir siete artefactos, y la revisión avanza más rápido cuando cada uno se aplicar por nombre en una única solicitud cubierta por NDA.

• Reporte completo de atestación y carta puente: El reporte completo SOC 2 Tipo II, no una insignia ni un resumen SOC 3, además de una carta puente que cubre los meses transcurridos desde que terminó el periodo de revisión. La lectura de la opinión, alcance, excepciones y controles de entidades de usuario está cubierta en la guía para leer el reporte SOC 2 Tipo II de un sistema de gestión de traducciones.
• Resumen de la prueba de penetración: Un resumen ejecutivo y una carta de atestación de terceros fechados en los últimos doce meses, con fechas de remediación y repetición de pruebas. Lo que hay que buscar está en qué evidencia de pruebas de penetración aplicar a un proveedor de traducción.
• Acuerdo de procesamiento de datos y lista de subprocesadores: Un DPA firmado que nombra al host en la nube, proveedores y agencias de MT y LLM que reciben contenido, con un proceso de notificación de cambios. Los términos del Artículo 28 del RGPD, la retención y el momento de notificación de incumplimiento se detallan en qué hace que una plataforma de traducción sea compatible con el RGPD; los datos de salud y pagos agregan un Acuerdo de Asociación Comercial o una Atestación de Cumplimiento PCI DSS.
• Cuestionario estandarizado completado: Un cuestionario actual de la Iniciativa de Evaluaciones de Consenso de la CSA (CAIQ v4), con 261 preguntas de sí o no asignadas a la Matriz de Controles en la Nube, o un cuestionario de Recopilación de Información Estandarizada (SIG) de Evaluaciones Compartidas, en su forma Lite o Core. Pregunta si el CAIQ está publicado en el Registro CSA STAR, donde las entradas de Nivel 1 son autoevaluaciones de proveedores y las de Nivel 2 llevan certificación o certificación de terceros.
• Suplemento específico para la traducción: Preguntas que no se incluyen en los cuestionarios estándar: qué motores de traducción automática y de gestión del lenguaje natural reciben el contenido y si los administradores pueden desactivarlos, cómo se garantiza la confidencialidad a los lingüistas y cómo se define el alcance por proyecto e idioma, cuánto tiempo se conservan las memorias de traducción, cómo se almacenan las credenciales del conector y si se pueden excluir elementos confidenciales de la página de un proxy de traducción.
• Matriz de responsabilidad compartida: Una declaración detallada, control por control, de quién es el propietario de qué, empleando las cinco categorías de CAIQ v4: propiedad del proveedor, propiedad del cliente, subcontratado a terceros, compartido entre el proveedor y el cliente, y compartido entre el proveedor y un tercero.
• Registro de incidentes y divulgación de seguridad: Una respuesta escrita sobre los incidentes de seguridad que afectaron los datos de los clientes en los últimos tres años y cómo se notificó a los clientes, el plazo contractual de notificación de incumplimientos en horas, una política publicada de divulgación de vulnerabilidades y una página de estado pública cuyo historial fechado muestra los incidentes de disponibilidad. La comparación del historial de disponibilidad entre proveedores se aborda en el apartado sobre cómo comparar proveedores de TMS en cuanto a incorporación, soporte y fiabilidad.

Puntos de referencia de diligencia debida en materia de seguridad que un comprador de traducción puede verificar

¿Cómo se realiza una revisión de debida diligencia de seguridad de un proveedor de traducción o de traducción con IA?

La revisión exhaustiva de un proveedor de servicios de traducción consta de cinco pasos, y la misma secuencia funciona para un proveedor de traducción con IA una vez que se agrega el complemento de IA en el paso 3.

1. Mapea la ruta del contenido y clasifica los datos: Haz una lista de cada salto que hará tu contenido y etiqueta lo que contiene: datos personales, información sanitaria protegida, datos del titular de la tarjeta o material previo al lanzamiento. La clasificación decide qué pruebas son obligatorias, por ejemplo, un Acuerdo de Asociación Comercial solo cuando hay información sanitaria protegida.
2. Aplicar el paquete de pruebas en una sola solicitud : envíe una única solicitud amparada por un acuerdo de confidencialidad (NDA) para el reporte de certificación y la carta puente, el resumen de la prueba de penetración, el acuerdo de procesamiento de datos con la lista de subprocesadores, un CAIQ v4 o SIG completado y la matriz de responsabilidad compartida. Una sola solicitud permite visualizar las deficiencias de inmediato, en lugar de tener que esperar semanas de seguimiento.
3. Añada el suplemento de traducción e IA : pregunte qué proveedores de traducción automática y gestión del lenguaje natural reciben el contenido, si se capacita algún modelo con él, cuánto tiempo lo conservan, si los administradores pueden desactivar a los proveedores y cuáles son los límites y el alcance de los lingüistas y las agencias. La evidencia de gobernanza de la IA, como un certificado ISO/IEC 42001 y su alcance, se aborda en cómo elegir una plataforma de traducción de IA con certificación ISO 42001.
4. Corroborar las respuestas autocertificadas : Rastrear cada "sí" material del cuestionario hasta evidencia independiente: un control probado en el reporte SOC 2, un control del Anexo A en la Declaración de Aplicabilidad ISO/IEC 27001, el resultado de una prueba de penetración o una cláusula contractual. Las respuestas sin fundamento se convierten en preguntas complementarias o en términos contractuales.
5. Asigna tu lado y agenda las renovaciones - Asigna a cada control propiedad del cliente en la matriz de responsabilidades un propietario, como hacer cumplir el inicio de sesión único (SSO), definir roles lingüísticos y rotar las credenciales de la API. Luego cartas puente en el calendario, pruebas anuales de penetración, fechas de caducidad de certificados y avisos de cambio de subprocesador, para que la aprobación se mantenga vigente tras firmar.

Esta revisión centrada en la evidencia se adapta a equipos que...

• Ejecuta un programa de gestión de riesgos de terceros que requiera pruebas, no garantías, antes de que cualquier proveedor reciba el contenido de la compañía.
• Estás aprobando un proveedor de traducción con IA y necesitas saber qué proveedores de LLM procesarán el contenido y en qué condiciones.
• Traducir datos personales, información de salud, páginas relacionadas con el pago o material de productos aún no publicados.
• Proporcionar a agencias y lingüistas freelance atajo a la plataforma, lo que hace que los controles de la plantilla formen parte de la revisión.
• Responder a los cuestionarios de seguridad de sus propios clientes y debe describir a cada subprocesador de su cadena de suministro de contenidos, incluido el proveedor de traducción.

Cuando un paquete completo de pruebas puede ser más de lo que necesitas

• El contenido ya es público. Las páginas de marketing publicadas y los comunicados de prensa conllevan poco riesgo de confidencialidad, y un breve cuestionario estándar es una revisión proporcional.
• El trabajo consiste en un único documento, que se entrega una sola vez. Una traducción puntual puede no justificar la incorporación de un proveedor mediante una evaluación de riesgos completa.
• Su organización ya aprobó al proveedor para el mismo alcance. Reutilice la evaluación existente y aplicar únicamente lo que cambió, como una carta de enlace y una lista actualizada de subprocesadores.
• La política exige que el contenido nunca salga de tu red. No hay cambios en paquetes de evidencia cuando un proveedor de la nube procesa contenido; esa es una decisión de despliegue que debe resolver antes de que comience la revisión de seguridad.

Lista de verificación de evaluación: preguntas que debe hacer a un proveedor de traducción en una revisión de seguridad.

¿Qué documentos de seguridad puedes compartir bajo NDA y con qué rapidez?
Aplicar la lista con antelación: reporte de certificación, carta de enlace, resumen de la prueba de penetración, acuerdo de procesamiento de datos (DPA), lista de subprocesadores y un cuestionario cumplimentado. La página de seguridad de Smartling indica que los documentos e reportes están disponibles bajo petición.

¿Proporcionarás un CAIQ v4 o SIG vigente, y está publicado en el Registro CSA STAR?
Un cuestionario estándar completado ahorra semanas de preguntas personalizadas. Revisa la fecha de finalización y trata una entrada STAR Nivel 1 como la cuenta del proveedor hasta que otras pruebas lo corroboren.

¿Qué respuestas del cuestionario están respaldadas por pruebas auditadas?
Pide al proveedor que asigne sus respuestas clave a controles SOC 2, controles ISO/IEC 27001 Anexo A o cláusulas contractuales, y haz seguimiento de cualquiera que corresponda a nada.

¿Qué subprocesadores reciben nuestro contenido?
Espera que se nombre el proveedor de cloud host, los proveedores de MT y LLM y cualquier agencia, con un proceso de notificación de cambios. Smartling, por ejemplo, alberga datos de clientes en ubicaciones de Amazon Sitio web Services en todo el mundo.

¿Cómo se vinculan y se asignan los lingüistas?
Pregunta cómo firman los contratistas los términos de confidencialidad y si el acceso puede limitar por el proyecto, el idioma y el paso del flujo de trabajo, ya que a menudo no se ofrece la aprobación de los lingüistas nombrados.

¿Qué incidentes de seguridad que afectaron a los datos de los clientes tuvisteis en los últimos tres años y cómo se les informó a los clientes?
Una respuesta sincera con fechas y pasos de notificación es una prueba más estable que un simple "ninguno" sin detalles detrás.

¿Cuánto tardarás en avisarnos de una brecha, en horas?
El artículo 33(2) del RGPD exige que el responsable notifique al responsable sin demora indebida; escriba un número de horas en el contrato para que no se consuma su propio reloj de 72 horas según el artículo 33(1).

¿Qué presuponen sus controles sobre cómo operamos?
Aplicar la matriz de responsabilidad compartida y confirma que la plataforma te permite implementar lo que te corresponde: inicio de sesión único (SSO), autenticación multifactor, definición del alcance de los roles y controles de credenciales de API.

¿Podemos restringir o deshabilitar a los proveedores de IA que procesan nuestro contenido?
Pregunte si la restricción se aplica en todos los lugares donde la plataforma emplea LLM y qué deja de funcionar si se desactivan todos los proveedores.

Cómo Smartling apoya una revisión de debida diligencia en seguridad

Smartling publica el punto de partida de una reseña en lugar de esperar a recibir un cuestionario. En su página de Seguridad se indica que mantiene de forma continua el cumplimiento de la norma SOC 2 desde 2013, el cumplimiento de la norma PCI Nivel 1 desde 2012, el cumplimiento de la norma HIPAA desde 2013, el cumplimiento de las normas GDPR desde 2018, una certificación HITRUST e1 para su Sistema de Gestión de Traducciones alojado en Amazon Sitio web Services y certificaciones ISO, incluidas ISO/IEC 27001 e ISO/IEC 42001:2023. En la misma página se indica que los documentos e reportes están disponibles previa solicitud, que es la vía para obtener reportes de certificación y resúmenes de pruebas en virtud del acuerdo de confidencialidad.

La página de Seguridad también responde públicamente a varias preguntas sobre la descripción del sistema. Describe el negocio de Smartling como compuesto por tres elementos: la plataforma Smartling con sus productos conectores CMS, el proxy sitio web de la Red de Entrega Global y un mercado de servicios de traducción, y señala que los clientes que no emplean el proxy, o que emplean otros proveedores de servicios de traducción, no tienen por qué preocupar del manejo que Smartling hace de ese tipo de datos personales. En la declaración se indica que Smartling almacena los datos de sus clientes en ubicaciones de Amazon Sitio web Services en todo el mundo, trabaja durante el proceso de incorporación para evitar que los datos personales entren en la plataforma y se responsabiliza de sus empleados, contratistas y proveedores en sus acuerdos estándar. Es igualmente directa en cuanto a una limitación: Smartling depende de contratistas independientes y no proporciona listas de ellos ni da a los clientes control sobre sus asignaciones, por lo que la exposición de los lingüistas se gestiona a través de licencias de proyecto, idioma y paso del flujo de trabajo.

Para los subprocesadores de IA, el artículo del Centro de ayuda de Smartling "Configuración del proveedor de LLM: Elija sus proveedores de LLM preferidos" permite a los propietarios de cuentas deshabilitar proveedores individuales, incluidos OpenAI, Microsoft Azure, Anthropic, Vertex AI y Amazon Bedrock, y la elección se respeta en todos los lugares donde Smartling emplea LLM; el uso de LLM se puede deshabilitar por completo a través del Administrador de éxito del cliente, a costa de los flujos de trabajo de traducción de IA y traducción humana con tecnología de IA. Para garantizar la transparencia en los incidentes, Smartling Status, disponible en status.smartling.com, publica un historial de incidentes con fechas que incluye actualizaciones sobre los estados Identificado, Monitoreo y Resuelto para la API REST, el Panel de control y el Entorno de trabajo del traductor, así como la Red de entrega global. Además, el programa de divulgación de vulnerabilidades de Smartling se describe en la guía sobre las pruebas de penetración realizadas por un proveedor de servicios de traducción.

Preguntas relacionadas

• ¿Qué cubre un reporte SOC 2 Tipo II para un sistema de gestión de traducciones y cómo debería leerlo un comprador?
• ¿Qué pruebas de pruebas de penetración deberías aplicar a un proveedor de traducción antes de localizar los reportes de seguridad?
• ¿Qué requisitos debe cumplir una plataforma de traducción con el RGPD?
• ¿Cómo elegir una plataforma de traducción con IA certificada según la norma ISO 42001?