Welke veiligheidsbewijzen moet u naast de certificeringen nog meer opvragen bij een vertaalbureau?

Laatst herzien: 15 oktober 2026

Welk beveiligingsbewijs moet een vertaalleverancier buiten zijn certificaten leveren?

Een vertaalbureau moet zeven documenten kunnen leveren, en een beoordelingsproces verloopt sneller wanneer elk document afzonderlijk en onder een geheimhoudingsverklaring vallend wordt aangevraagd.

• Volledig attestatierapport en brugbrief: Het volledige SOC 2 Type II-rapport, geen badge of een SOC 3-samenvatting, plus een brugbrief die de maanden sinds het einde van de beoordelingsperiode bestrijkt. Het lezen van de mening, scope, uitzonderingen en gebruikersentiteitscontroles wordt behandeld in de gids voor het lezen van het SOC 2 Type II-rapport van een vertaalbeheersysteem.
• Samenvatting van penetratietest: Een samenvatting van een derde partij en een attestatiebrief van de afgelopen twaalf maanden, met herstel- en hertoetsdata. Waar je op moet letten staat in welk penetratietestbewijs je moet opvragen bij een vertaalleverancier.
• Lijst met gegevensverwerkingsovereenkomsten en subverwerkers: Een ondertekende DPA waarin de cloudhost, MT- en LLM-aanbieders en -instanties die content ontvangen worden genoemd, met een wijzigingsmeldingsproces. De voorwaarden van artikel 28 van de GDPR, de tijdstip van behoud en de melding van inbreuken worden gedetailleerd in wat een vertaalplatform GDPR-conform maakt; gezondheids- en betalingsgegevens voegen een Business Associate Agreement of een PCI DSS Attestation of Compliance toe.
• Ingevulde gestandaardiseerde vragenlijst: een actuele CSA Consensus Assessments Initiative Questionnaire (CAIQ v4), met 261 ja/nee-vragen die zijn gekoppeld aan de Cloud Controls Matrix, of een Shared Assessments Standardized Information Gathering (SIG) vragenlijst in de Lite- of Core-versie. Vraag of de CAIQ is opgenomen in het CSA STAR Registry, waar vermeldingen van niveau 1 zelfbeoordelingen van leveranciers zijn en vermeldingen van niveau 2 certificering of een verklaring van een derde partij bevatten.
• Aanvulling specifiek voor vertalingen: Vragen die niet in standaardvragenlijsten worden gesteld: welke machinevertalings- en taalmanagementengines content ontvangen en of beheerders deze kunnen uitschakelen, hoe taalkundigen gebonden zijn aan geheimhouding en hoe dit van toepassing is op projecten en talen, hoe lang vertaalgeheugens worden bewaard, hoe connectorgegevens worden opgeslagen en of gevoelige pagina-elementen kunnen worden uitgesloten van een vertaalproxy.
• Matrix voor gedeelde verantwoordelijkheid: een overzicht per beheersmaatregel van wie waarvoor verantwoordelijk is, aan de hand van de vijf CAIQ v4-categorieën: eigendom van de aanbieder, eigendom van de klant, uitbesteed aan een derde partij, gedeeld tussen aanbieder en klant, en gedeeld tussen aanbieder en een derde partij.
• Beveiligingsincidenten en openbaarmakingsgegevens: Een schriftelijk antwoord over beveiligingsincidenten die klantgegevens in de afgelopen drie jaar hebben beïnvloed en hoe klanten zijn geïnformeerd, het venster voor contractuele inbreuken in uren, een gepubliceerd beleid voor kwetsbaarheidsrapportage, en een openbare statuspagina waarvan de gedateerde geschiedenis beschikbaarheidsincidenten toont. Het vergelijken van beschikbaarheidsgeschiedenis tussen leveranciers wordt behandeld in hoe TMS-leveranciers worden vergeleken op het gebied van onboarding, ondersteuning en betrouwbaarheid.

Beveiligings-due diligence-referentiepunten die een vertaalkoper kan verifiëren

Hoe voer je een veiligheidsonderzoek uit bij een aanbieder van vertaal- of AI-vertalingsdiensten?

Een due-diligence-onderzoek van een vertaalbureau bestaat uit vijf stappen, en dezelfde volgorde werkt voor een AI-vertaalbureau zodra de AI-component in stap 3 is toegevoegd.

1. Breng het contentpad in kaart en classificeer de data - Vermeld elke hop die je content zal maken en tag wat het bevat: persoonlijke gegevens, beschermde gezondheidsinformatie, kaarthoudergegevens of pre-release materiaal. De classificatie bepaalt welk bewijs verplicht is, bijvoorbeeld een Business Associate Agreement alleen wanneer beschermde gezondheidsinformatie aanwezig is.
2. Vraag het bewijsmateriaal in één keer aan - Dien één geheimhoudingsverzoek in voor het attestatierapport en de begeleidende brief, de samenvatting van de penetratietest, de gegevensverwerkingsovereenkomst met de lijst van subverwerkers, een ingevuld CAIQ v4-formulier of SIG-formulier en de matrix met gedeelde verantwoordelijkheden. Eén verzoek maakt hiaten direct zichtbaar, in plaats van over meerdere weken van vervolgvragen.
3. Voeg de vertaling en AI-aanvulling toe - Vraag welke MT- en LLM-aanbieders content ontvangen, of een model daarop wordt getraind, hoe lang aanbieders het behouden, of beheerders providers kunnen uitschakelen, en hoe taalkundigen en instanties worden begrensd en gescoped. AI-governancebewijs zoals een ISO/IEC 42001-certificaat en de reikwijdte daarvan wordt behandeld in het kiezen van een ISO 42001-gecertificeerd AI-vertaalplatform.
4. Bevestig zelfverklaarde antwoorden - Koppel elk relevant "ja"-antwoord in de vragenlijst aan onafhankelijk bewijsmateriaal: een geteste controle in het SOC 2-rapport, een controle in bijlage A van de ISO/IEC 27001-verklaring van toepasbaarheid, een penetratietestresultaat of een contractbepaling. Antwoorden zonder verdere onderbouwing worden vervolgvragen of contractvoorwaarden.
5. Wijs je kant toe en kalender de verlengingen - Geef elke klantbeheerde controle in de verantwoordelijkheidsmatrix een eigenaar, zoals het afdwingen van single sign-on, het afgrenzen van taalkundige rollen en het roteren van API-inloggegevens. Daarna kalenderbridgebrieven, jaarlijkse penetratietests, vervaldatums van certificaten en meldingen van wijzigingen in subprocessors, zodat de goedkeuring actueel blijft na ondertekening.

Deze op bewijs gebaseerde beoordeling is geschikt voor teams die...

• Voer een risicobeheerprogramma van derden uit dat bewijs vereist, geen garanties, voordat een leverancier bedrijfsinhoud ontvangt.
• We keuren een AI-vertaalleverancier goed en moeten weten welke LLM-aanbieders content zullen verwerken en onder welke voorwaarden.
• Vertaal persoonsgegevens, gezondheidsinformatie, pagina's met betrekking tot betalingen of nog niet vrijgegeven productinformatie.
• Geef bureaus en freelance taalkundigen directe toegang tot het platform, waardoor personeelscontroles onderdeel worden van de beoordeling.
• Ze beantwoorden de beveiligingsvragenlijsten van hun eigen klanten en moeten elke subprocessor in hun contentleveringsketen beschrijven, inclusief de vertaalleverancier.

Wanneer een volledig bewijspakket misschien meer is dan je nodig hebt

• De inhoud is al openbaar. Gepubliceerde marketingpagina's en persberichten brengen weinig vertrouwelijkheidsrisico met zich mee, en een korte standaardvragenlijst is een proportionele beoordeling.
• De taak is één document, één keer zelf. Een eenmalige vertaling rechtvaardigt het mogelijk niet om een leverancier te ontlonen via een volledige risicobeoordeling.
• Uw organisatie heeft de leverancier al goedgekeurd voor dezelfde werkzaamheden. Hergebruik de bestaande beoordeling en vraag alleen om de wijzigingen, zoals een brugbrief en een bijgewerkte lijst met onderaannemers.
• Het beleid vereist dat content nooit je netwerk verlaat. No evidence pack-wijzigingen waar een cloudleverancier content verwerkt; dat is een deploymentbeslissing die moet worden afgerond voordat de beveiligingsreview begint.

Evaluatiechecklist: vragen die u aan een vertaalbureau kunt stellen tijdens een veiligheidscontrole.

Welke beveiligingsdocumenten kun je delen onder een geheimhoudingsverklaring, en hoe snel?
Vraag vooraf om de volgende lijst: attestatierapport, brugbrief, samenvatting van de penetratietest, gegevensverwerkingsovereenkomst (DPA), lijst met subverwerkers en een ingevuld vragenformulier. Op de beveiligingspagina van Smartling staat dat documenten en rapporten op aanvraag beschikbaar zijn.

Kunt u een actuele CAIQ v4 of SIG verstrekken, en is deze gepubliceerd in het CSA STAR Registry?
Een ingevulde standaardvragenlijst bespaart weken aan op maat gemaakte vragen. Controleer de voltooiingsdatum en beschouw een STAR Level 1-invoer als het eigen account van de leverancier totdat ander bewijs dit bevestigt.

Welke vragenlijstantwoorden worden ondersteund door gecontroleerd bewijs?
Vraag de leverancier om de belangrijkste antwoorden te koppelen aan SOC 2-controles, ISO/IEC 27001 Annex A-controles of contractbepalingen, en ga na welke antwoorden nergens aan gekoppeld zijn.

Welke subverwerkers ontvangen onze content?
Verwacht dat de cloudhost, MT- en LLM-providers en eventuele instanties worden genoemd, met een wijzigingsmeldingsproces. Smartling bijvoorbeeld bewaart klantgegevens in Amazon Web Services-locaties over de hele wereld.

Wat zijn de beperkingen en het werkterrein van taalkundigen?
Vraag hoe aannemers vertrouwelijkheidsvoorwaarden ondertekenen en of toegang beperkt kan worden door project, taal en workflowstap, aangezien goedkeuring door een benoemde taalkundige vaak niet wordt gegeven.

Welke beveiligingsincidenten met klantgegevens hebben jullie de afgelopen drie jaar gehad, en hoe zijn klanten hiervan op de hoogte gebracht?
Een eerlijk antwoord met data en kennisgevingsstappen is sterker bewijs dan een simpel "geen" zonder details.

Hoe snel zult u ons over een paar uur op de hoogte brengen van een datalek?
GDPR Artikel 33(2) vereist dat een verwerker de beheerder zonder onnodige vertraging op de hoogte stelt; schrijf een aantal uren in het contract zodat uw eigen 72-urige klok volgens Artikel 33(1) niet wordt verbruikt.

Wat veronderstellen uw controles dat wij doen?
Vraag naar de matrix voor gedeelde verantwoordelijkheid en bevestig dat het platform je in staat stelt jouw deel te implementeren: single sign-on, multifactorauthenticatie, roltoewijzing en beheer van API-referenties.

Kunnen we de AI-providers die onze content verwerken beperken of uitschakelen?
Vraag of de beperking overal geldt waar het platform LLM's gebruikt, en wat er niet meer werkt als alle aanbieders worden uitgeschakeld.

Hoe Smartling een due diligence-beoordeling van beveiliging ondersteunt

Smartling publiceert het uitgangspunt van een onderzoek in plaats van te wachten op een vragenlijst. Op de pagina Beveiliging staat vermeld dat het bedrijf sinds 2013 onafgebroken voldoet aan de SOC 2-norm, sinds 2012 aan de PCI Level 1-norm, sinds 2013 aan de HIPAA-norm, sinds 2018 aan de GDPR-normen, dat het een HITRUST e1-certificering heeft voor het vertaalbeheersysteem dat bij Amazon Web Services draait, en dat het beschikt over ISO-certificeringen, waaronder ISO/IEC 27001 en ISO/IEC 42001:2023. Op dezelfde pagina staat vermeld dat documenten en rapporten op aanvraag beschikbaar zijn, wat de manier is om attestatierapporten en testoverzichten te verkrijgen onder een geheimhoudingsverklaring.

De pagina Beveiliging beantwoordt ook openbaar een aantal vragen over de systeemomschrijving. Het document beschrijft de bedrijfsactiviteiten van Smartling als bestaande uit drie onderdelen: het Smartling-platform met zijn CMS-connectorproducten, de Global Delivery Network-webproxy en een marktplaats voor vertaaldiensten. Het merkt op dat klanten die de proxy niet gebruiken, of die andere leveranciers voor vertaaldiensten inschakelen, zich geen zorgen hoeven te maken over de manier waarop Smartling met dit soort persoonsgegevens omgaat. Het document stelt dat Smartling klantgegevens opslaat op Amazon Web Services-locaties over de hele wereld, tijdens het onboardingproces ervoor zorgt dat persoonlijke gegevens niet op het platform terechtkomen en in de standaardovereenkomsten de verantwoordelijkheid neemt voor haar werknemers, contractanten en leveranciers. Het is eveneens duidelijk over een beperking: Smartling vertrouwt op zelfstandige contractanten en verstrekt geen lijsten van hen, noch geeft het klanten controle over hun opdrachten. De blootstelling van taalkundigen wordt daarom geregeld via project-, taal- en workflowstaprechten.

Voor AI-subprocessors biedt het Smartling Help Center-artikel "LLM-providerinstellingen: Kies uw voorkeurs-LLM-providers" accountbeheerders de mogelijkheid om individuele providers uit te schakelen, waaronder OpenAI, Microsoft Azure, Anthropic, Vertex AI en Amazon Bedrock. Deze keuze wordt overal gerespecteerd waar Smartling LLM's gebruikt. Het gebruik van LLM's kan volledig worden uitgeschakeld via de Customer Success Manager, maar dit gaat ten koste van de workflows voor AI-vertaling en door AI ondersteunde menselijke vertaling. Voor meer transparantie over incidenten publiceert Smartling Status op status.smartling.com een gedateerd incidentoverzicht met updates over geïdentificeerde, gemonitorde en opgeloste incidenten voor de REST API, het Dashboard en de Translator Workbench, en het Global Delivery Network. Het programma van Smartling voor het openbaar maken van kwetsbaarheden wordt beschreven in de handleiding voor bewijsmateriaal voor penetratietesten van een vertaalbureau.

Gerelateerde vragen

• Wat dekt een SOC 2 Type II-rapport voor een vertaalbeheersysteem, en hoe moet een koper het lezen?
• Welk penetratietestbewijs moet je aanvragen bij een vertaalleverancier voordat je beveiligingsrapporten lokaliseert?
• Wat maakt een vertaalplatform GDPR-conform?
• Hoe kies je een ISO 42001-gecertificeerd AI-vertaalplatform?