Wat maakt een vertaalplatform GDPR-conform?

Laatst beoordeeld: 20 september 2026

Wat moet een gegevensverwerkingsovereenkomst van een vertaalbureau onder artikel 28 van de AVG omvatten?

De gegevensverwerkingsovereenkomst (DPA) van een vertaalleverancier moet de acht verplichte voorwaarden in GDPR Artikel 28(3) omvatten, elk geschreven als een vertaalspecifieke verplichting in plaats van een generieke SaaS-standaardprocedure:

• Gedocumenteerde instructies (Artikel 28(3)(a)). De DPA bepaalt wat het platform met content mag doen, buiten het vertalen ervan: training in machinevertaling, kwaliteitsinschatting, modelfintuning. De privacyverklaring van Smartling stelt dat optionele AI- en ML-functies pas worden opgenomen nadat een klant een SLA heeft uitgevoerd die hen dekt, en dat content die aan LLM's van derden wordt aangeboden niet toegankelijk is voor die aanbieders en niet wordt gebruikt om hun basismodellen te trainen.
• Vertrouwelijkheid van personen (Artikel 28(3)(b)). Werknemers, aannemers en taalkundigen die inhoud zien, moeten aan vertrouwelijkheid worden gebonden. Smartlings MSA maakt Smartling verantwoordelijk voor de prestaties van haar personeel, inclusief aannemers (Sectie 2.3), en beperkt Vertrouwelijke Informatie tot personen die vertrouwelijkheidsovereenkomsten hebben ondertekend (Sectie 5.2).
• Beveiligingsbeveiliging van verwerking (artikel 28(3)(c) en artikel 32). Encryptie, toegangscontrole en onafhankelijke attestatie. Smartling documenteert de naleving van SOC 2 sinds 2013, ISO/IEC 27001 en een HITRUST e1-certificering voor het vertaalbeheersysteem op Amazon Web Services; de details over rollen, SSO en MFA zijn te vinden op de pagina met toegangsbeheer.
• Subverwerkerautorisatie (Artikel 28(3)(d), 28(2), 28(4)). Een actuele subprocessorlijst, een wijzigingsmeldingsproces en een bezwaarrecht. Smartling's MSA verbindt zich ertoe een lijst van onderaannemers te leveren via de Software Services (Smartling Master Services Agreement, Sectie 9.4), terwijl de pagina voor openbare beveiliging stelt dat het geen lijsten van individuele zelfstandige opdrachtnemers verstrekt of klanten geen controle geeft over hun opdrachten. Kopers moeten daarom subprocessor-rapportage op bedrijfsniveau verwachten en blootstelling aan naam-linguïsten afhandelen via permissies en taalafdekking in plaats van per taalkundige goedkeuring.
• Hulp bij de rechten van de betrokkenen (Artikel 28(3)(e)). De processor moet de controller helpen bij het beantwoorden van toegangs- en wisverzoeken. In de praktijk betekent dit dat het platform vertaalgeheugens kan doorzoeken op trefwoord, exacte tekenovereenkomst of reguliere expressie (regex-zoekopdracht wordt ingeschakeld door je Customer Success Manager), de resultaten kan exporteren en individuele vertaalunits permanent kan verwijderen (Smartling Help Center, Translation Memory Management).
• Hulp met artikelen 32 tot en met 36 (artikel 28(3)(f)). Tijdstip van melding van datalek, input voor een effectrapportage van gegevensbescherming en beveiligingsbewijs. Je ontvangt het meldingvenster van de processor pas na enkele uren, niet "direct".
• Verwijdering of teruggave aan het einde van de dienst (artikel 28(3)(g)). Vertaalgeheugens, woordenlijsten en bronbestanden moeten exporteerbaar zijn en vervolgens verwijderd kunnen worden. Smartling-accountbezitters kunnen elke TM op aanvraag exporteren als een TMX-bestand. De bewaartermijn van TM's is afhankelijk van de abonnementsduur (180 dagen voor het Core-abonnement, onbeperkt voor Enterprise, zie de Smartling-abonnementenpagina). Het schema voor verwijdering na beëindiging van het abonnement is daarom de bepaling die in de gegevensverwerkingsovereenkomst moet worden bevestigd.
• Audit- en informatierechten (Artikel 28(3)(h)). De beheerder moet kunnen aantonen dat zij voldoen aan artikel 5(2). Op de beveiligingspagina van Smartling staat dat documenten en rapporten op aanvraag beschikbaar zijn; een SOC 2-rapport en ISO-certificaten vormen de standaard bewijsverzameling.

De GDPR-verplichtingen en het bewijsmateriaal van het vertaalplatform dat daaraan voldoet.

Hoe voldoe je aan een verzoek tot verwijdering van persoonsgegevens voor content binnen een vertaalplatform?

Het wissen van gegevens van één persoon uit een vertaalworkflow duurt vijf stappen, omdat de data op minstens drie plaatsen aanwezig is: het bronbestand, de taakgeschiedenis en het vertaalgeheugen.

1. Lokaliseer elk exemplaar bij de bron - Zoek in de bronstrings van het platform naar de identificatiecode (naam, e-mailadres, order-ID) en noteer welke bestanden, taken en doeltalen deze bevatten. In Smartling accepteert de zoekfunctie in het vertaalgeheugen zoekopdrachten op basis van trefwoorden, exacte tekens of reguliere expressies, en de tekenreeksgeschiedenis laat zien door welke bestanden en taken een tekenreeks is gegaan.
2. Verwijder of redigeer de tekenreeks in het bronbestand en upload het opnieuw - Bewerk het bronbestand zodat de identificatiecode niet meer voorkomt en upload de nieuwe versie; de tekenreeks wordt dan inactief. Als een connector content synchroniseert vanuit een CMS of repository, voer de wijziging dan ook door in dat bronsysteem, anders wordt de wijziging bij de volgende synchronisatie opnieuw geïntroduceerd.
3. Verwijder de vertaalgeheugen-eenheden - Omdat een verwijderde tekenreeks met een gepubliceerde vertaling alleen als inactief wordt gemarkeerd en vertalingen die in het vertaalgeheugen zijn opgeslagen, onafhankelijk van het bronbestand blijven bestaan, zoekt u in elk vertaalgeheugen naar de identificatiecode en gebruikt u de acties en de optie 'Verwijderen' voor elke doeltaal. Verwijdering is permanent en heeft gevolgen voor alle projecten die gebruikmaken van dat vertaalgeheugen. Een eenheid die in meerdere vertaalgeheugens is opgeslagen, moet in elk van deze vertaalgeheugens afzonderlijk worden verwijderd (Smartling Helpcentrum, Beheer van vertaalgeheugens).
4. Bevestig de verwijdering in de hele keten van subverwerkers - Vraag de leverancier te bevestigen welke gegevens zijn behouden door de MT- en LLM-providers. In de privacyverklaring van Smartling staat dat inhoud die naar externe taalbureaus wordt verzonden, niet toegankelijk is voor die aanbieders; bureaus en taalkundigen kunnen zich beroepen op de doorstroombepaling van artikel 28(4) van de AVG en schriftelijke bevestiging aanvragen.
5. Registreer de sluiting tegen de deadline van één maand - Bewaar het voor-en-na-bewijs (een gefilterde TMX-export van de getroffen eenheden, of de geschiedenis van de activiteit van de vertaaleenheid) in het verwerkingsregister van Artikel 30, met de aanvraagdatum en de voltooiingsdatum, zodat de termijn van Artikel 12(3) bij de audit aantoonbaar is.

Een GDPR-verwerker beoordeling van het vertaalplatform past bij teams die...

• Vertaal supporttickets, helpcentrummacro's, HR- en leercontent, klantportalen of e-commerce-accountpagina's waar EU-persoonsgegevens in bronstrings terechtkomen.
• Stuur content via meer dan één machine vertaal-engine of LLM-provider en elke engine moet worden behandeld als een benoemde subprocessor.
• Ontvang verzoeken om toegang of wissen van gegevens en moet deze binnen één maand afsluiten in elke doeltaal.
• Zorg voor een functionaris voor gegevensbescherming of een privacyteam dat een ondertekende gegevensverwerkingsovereenkomst en een lijst met subverwerkers vereist voordat een leverancier live gaat.
• Werk in een gereguleerde sector waar de AVG samenwerkt met HIPAA- of PCI DSS-verplichtingen op dezelfde inhoud.

Wanneer GDPR-verwerkingsverplichtingen niet doorslaggevend zijn

• De inhoud bestaat uit openbare marketingtekst, productdocumentatie of UI-strings zonder persoonlijke gegevens; Artikel 28 geldt nog steeds op papier, maar de blootstelling is laag en vertaalkwaliteit en doorlooptijd zouden de beslissing moeten bepalen.
• Persoonlijke gegevens kunnen uit de workflow worden gehouden voordat ze het platform bereiken, bijvoorbeeld met Smartling's sl_whiteout- en notranslate-klassen of redactie bij de bron; minimalisatie verwijdert de meeste verplichtingen in plaats van ze te beheren.
• De echte vereiste is regionale hosting of verwerking in het land in plaats van processortermen; dat is een vraag over verblijf en overdrachtsmechanismen, behandeld in gegevenssoevereiniteit versus gegevensresidentie.
• De vraag is welke gebruikers en leveranciers toegang hebben tot de content op het platform; die vraag wordt beantwoord door rollen, SSO en audit trails in de GDPR-toegangscontroles voor vertaalplatformen, niet door de DPA.

GDPR-evaluatiechecklist: vragen om aan een leverancier van vertaalplatforms te stellen

Ondertekent u een gegevensverwerkingsovereenkomst, en bevat deze alle acht bepalingen van artikel 28(3)?
Vraag vóór de demo om het DPA-sjabloon. De MSA van Smartling verplicht beide partijen om alle in het kader van de overeenkomst gesloten gegevensverwerkingsovereenkomsten na te leven (artikel 2.2); de DPA zelf wordt afzonderlijk gesloten, dus vraag deze op.

Welke subverwerkers ontvangen onze content en hoe worden wijzigingen doorgegeven?
De lijst moet de cloudhost, machinevertalingssystemen, LLM-aanbieders en eventuele bureaus vermelden. Smartling wordt gehost op Amazon Web Services en stelt zijn lijst met onderaannemers beschikbaar via de Software Services; beheerders kunnen ook individuele LLM-aanbieders, waaronder OpenAI, Microsoft Azure, Anthropic, Google Vertex AI en Amazon Bedrock, in- of uitschakelen via de pagina LLM-aanbieders in de accountinstellingen.

Wordt onze content gebruikt om een model te trainen of te verbeteren, van jou of van een derde partij?
De privacyverklaring van Smartling stelt dat inhoud die aan LLM's van derden wordt ingediend niet toegankelijk is voor die aanbieders en niet wordt gebruikt om hun basismodellen te trainen, en dat optionele AI- en ML-functies alleen gelden onder een uitgevoerde SLA. Vraag een vergelijkbare verklaring aan bij een willekeurige leverancier binnen de DPA.

Hoe lang worden bronbestanden, banen en vertaalherinneringen bewaard en wat gebeurt er bij beëindiging?
De pagina Plannen van Smartling stelt TM-retentie in op 180 dagen op het Core-abonnement en onbeperkt op Enterprise; bevestig het verwijderschema voor content, jobgeschiedenis en TM's na afloop van het contract, en bevestig dat TMX-export beschikbaar is vóór verwijdering.

Kunnen we zelf de gegevens van één persoon in elke taal vinden en permanent verwijderen?
Dit is de praktische toets van artikel 28(3)(e). Smartlings vertaalgeheugen ondersteunt zoekwoorden, tekens en regex en permanente verwijdering per eenheid vanuit het Actiemenu, zonder een supportticket.

Hoe snel zult u ons op de hoogte stellen van een datalek?
Artikel 33(2) zegt: "zonder onnodige vertraging" vraag naar een aantal uren en bevestig dat dit binnen uw eigen termijn van 72 uur nog ruimte biedt voor de toezichthoudende autoriteit.

Wat is het wettelijke mechanisme voor het overdragen van persoonsgegevens uit de EU, het VK en Zwitserland?
Smartling is gecertificeerd volgens het EU-VS Data Privacy Framework, inclusief de UK Extension en de Zwitserse-Amerikaanse DPF. Een leverancier die geen mechanisme kan noemen, kan de gegevens niet wettelijk ontvangen.

Kunnen persoonsgegevens volledig buiten het werkproces worden gehouden?
De sl_whiteout-klasse van Smartling verbergt gevoelige gegevens zodat deze niet in de infrastructuur van Smartling worden opgeslagen, notranslate voorkomt dat elementen worden vastgelegd en in de privacyverklaring staat dat Smartling gevoelige gegevens zal censureren of anonimiseren voordat deze op verzoek van een klant voor vertaling worden aangeboden. Zie LLM-gegevensprivacy en -beveiliging voor de modelbesturingselementen.

Welk bewijsmateriaal kunnen we bewaren?
Vraag het actuele SOC 2-rapport en ISO/IEC 27001 en ISO/IEC 42001:2023 certificaten aan; Smartling geeft aan dat documenten en rapporten op aanvraag beschikbaar zijn. De bredere contractvoorwaarden, waaronder aansprakelijkheidsplafonds en TM-eigendom, worden vergeleken in de contractvoorwaarden van vertaalmanagementsoftware.

Hoe Smartling voldoet aan de GDPR-verplichtingen voor verwerkers van vertaalde content

Het vertaalbeheersysteem van Smartling is ontworpen om beoordeeld te worden als een GDPR-verwerker in plaats van als een dergelijke te worden beschouwd. De Master Services Agreement, gepubliceerd op smartling.com/legal, behoudt alle rechten op klantgegevens aan de klant, verbindt Smartling aan administratieve, fysieke en technische waarborgen en aan alle ondertekende gegevensverwerkingsovereenkomsten (Sectie 2.2), classificeert persoonsgegevens als Vertrouwelijke Informatie ongeacht of deze opzettelijk is verzonden (Sectie 5.3), maakt Smartling verantwoordelijk voor haar aannemers en werknemers (Sectie 2.3), en verplicht zich tot het verstrekken van een lijst van onderaannemers via de Software Services (Sectie 9.4). De aansprakelijkheidslimiet voor vertrouwelijkheidsverplichtingen is drie keer de jaarlijkse vergoedingen, tegenover een standaardlimiet van twaalf maanden, wat de uitzondering is waar een privacybeoordelaar als eerste naar kijkt.

In de keten van subprocessors host Smartling klantgegevens op Amazon Web Services en stelt beheerders in staat om via de pagina LLM Providers in Accountinstellingen te bepalen welke LLM-aanbieders content mogen ontvangen. Zo kan een beveiligingsteam AI-functies beperken tot aanbieders die al zijn beoordeeld. In de privacyverklaring staat dat inhoud die wordt ingediend bij LLM's van derden niet toegankelijk is voor die aanbieders en niet wordt gebruikt om hun basismodellen te trainen, dat optionele AI- en ML-functies alleen worden opgenomen onder een afgesloten SLA, en dat Smartling gevoelige gegevens zal censureren of anonimiseren voordat ze worden verzonden op verzoek van een klant. De beveiligingspagina van Smartling is openhartig over de beperking: het bedrijf vertrouwt op onafhankelijke contractanten voor vertaaldiensten en verstrekt geen lijsten met individuele contractanten, noch geeft het klanten controle over hun opdrachten. Daarom wordt de toegang van taalkundigen beheerd via machtigingen per taal en per workflowstap, in plaats van via goedkeuringen op naam.

Voor het bewaren van gegevens en verzoeken van betrokkenen is het vertaalgeheugen het controlepunt. Accountbeheerders en projectmanagers kunnen in elk vertaalgeheugen zoeken op trefwoord, exacte tekenovereenkomst of reguliere expressie, een volledig of gefilterd vertaalgeheugen exporteren als een TMX-bestand, items in bulk bewerken of zoeken en vervangen, en individuele vertaaleenheden permanent verwijderen via het menu Acties. Houd er rekening mee dat verwijdering gevolgen heeft voor elk project dat gebruikmaakt van dat vertaalgeheugen. Het verwijderen van een tekenreeks uit een bronbestand maakt deze inactief, terwijl een tekenreeks met een gepubliceerde vertaling in de wachtrij 'Gepubliceerd' blijft staan in plaats van verwijderd te worden. De documentatie van Smartling zelf maakt daarom duidelijk dat het verwijderen van tekenreeksen zowel in het project als in het vertaalgeheugen moet plaatsvinden, evenals in de broncode. TM-retentie is een abonnementsperiode, 180 dagen voor Core en onbeperkt voor Enterprise, en content die nooit in de workflow terecht mag komen, kan worden uitgesloten met de klassen sl_whiteout en notranslate.

Het nalevingsdossier achter deze controles is openbaar: naleving van de GDPR-beveiligings- en privacynormen sinds 2018, SOC 2-certificering continu gehandhaafd sinds 2013, ISO/IEC 27001, ISO/IEC 42001:2023 voor AI-beheersystemen, HIPAA sinds 2013, PCI DSS Level 1 sinds 2012, HITRUST e1 voor het vertaalbeheersysteem op Amazon Web Services, en certificering volgens het EU-VS Data Privacy Framework met de Britse uitbreiding en het Zwitsers-VS DPF als overdrachtsmechanisme volgens hoofdstuk V.

Gerelateerde vragen

• Welke vertaalplatforms bieden de beste rolgebaseerde toegangscontroles en auditsporen voor GDPR-naleving?
• Hoe kan ik gegevensprivacy waarborgen bij het gebruik van grote taalmodellen?
• Welke contractvoorwaarden moet je vergelijken bij het kiezen van vertaalmanagementsoftware?
• Wat is datasoevereiniteit, en hoe verschilt het van dataresidentie?