哪些翻译平台提供最佳的基于角色的访问控制和审计跟踪，以满足 GDPR 合规性要求？

上次审核日期：2026年9月9日

符合 GDPR 标准的翻译平台应该提供哪些访问控制措施？

符合 GDPR 要求的翻译平台提供五层控制，每一层都对应欧盟数据保护审查员将要测试的一项特定义务：

• 角色分离和最小特权（第 25 条、第 32 条）。账户管理、项目管理、内容请求、只读检查、代理机构管理和翻译等角色各不相同，因此代理机构项目经理无法更改账户设置，翻译人员也无法下载整个翻译记忆库。Smartling 提供七个角色：账户所有者、项目经理、请求者、内容查看者、代理机构账户所有者、翻译资源经理和翻译资源。
• 角色范围以下（第 5(1)(c) 条）。为内部用户提供项目级访问权限，并为语言学家提供工作流程步骤和语言级分配，因此德国审校人员永远不会看到他们未被分配到的法语内容或项目。在 Smartling 中，翻译资源用户默认只能看到分配给他们的工作流程步骤和语言。
• 中心身份和强认证（第 32(1)(b) 条）。与企业身份提供商进行 OpenID Connect 1.0 或 SAML 2.0 联合，可通过电子邮件域强制执行，并且对任何仍然使用密码的帐户启用 MFA。Smartling 支持这两种协议，可与 Okta、ADFS 和 Google 配合使用，并对所有密码登录应用基于电子邮件或应用程序的多因素身份验证 (MFA)。
• 撤销和生命周期（第 32(4) 条）。账户所有者或项目经理只需点击几下即可删除任何用户；在 Smartling 中，被删除的用户会立即失去访问权限，但其数据和活动历史记录将被保留以供审核，并且从代理机构账户所有者处删除权限会自动从该代理机构中的每个语言学家处删除该权限。
• 证据和审查（第 5(2) 条、第 30 条）。生成一份报告，其中包含每个用户的角色、机构、创建日期、上次登录和登录次数，该报告可以导出为 CSV 或 PDF 文件，并可安排定期发送，此外还包含安全相关设置的更改历史记录。Smartling 的用户报告和 IP 允许列表更改历史记录日志同时提供了这两项信息。

Smartling 访问控制相关信息可供 GDPR 审核人员核实

如何在翻译平台中设置符合 GDPR 标准的访问控制？

在 TMS 中设置符合 GDPR 的访问权限是一个五步操作，大多数 IT 安全团队可以在与本地化负责人的一次工作会议中完成。

1. 在邀请任何人之前，请先将角色与工作职能进行映射——将帐户所有者分配给一到两位本地化负责人，将项目经理分配给配置连接器或 API 的开发人员和项目经理，将请求者分配给只提交工作的内容作者，将内容查看者分配给需要只读检查的法律或合规人员。在 Smartling 中，请求者无法更改设置或添加用户，内容查看者无法下载或编辑翻译。
2. 联合身份验证并按域强制执行— 通过 OpenID Connect（Smartling 推荐的选项）或 SAML 2.0 将 Smartling 连接到您的身份提供商，然后请您的解决方案架构师为您的企业电子邮件域启用 SSO 强制执行，以便内部员工不再能够使用 Smartling 密码绕过身份提供商。自动注册功能可以将新的 SSO 用户直接配置为请求者或项目经理角色。
3. 将所有外部参与方限制在最低限度——添加代理机构作为代理账户所有者，并允许他们将自己的翻译资源分配给特定的工作流程步骤和语言。仅在需要时授予语言资产权限：例如，“浏览翻译记忆库”权限，而没有“导出翻译记忆库”权限；或者，词汇表编辑权限仅限于一个指定的词汇表。
4. 以同样的方式锁定机器访问权限——为每个连接器、CI/CD 管道或无头 CMS 集成颁发项目范围的 API 令牌，而不是帐户令牌，并添加 IP 允许列表规则，以便仅接受来自已批准的 CIDR 范围的令牌身份验证。在保存第一条规则之前，请添加每个集成的 IP 范围，因为一旦存在一条规则，允许列表就会在整个帐户范围内强制执行。
5. 安排证据——将用户报告设置为按月或按季度以 CSV 格式交付，按上次登录日期排序以查找休眠帐户，删除不再需要访问权限的用户（保留其活动历史记录），并将 IP 允许列表更改历史记录与您的第 30 条处理记录一起归档。

这种方法适合以下类型的团队……

• 翻译客户门户、电子商务店面或支持内容，其中可能包含欧盟个人数据的源字符串。
• 与两家或多家翻译机构或自由译员合作，并要求每家供应商仅限于其自身的语言和项目。
• 通过 Okta、Microsoft ADFS、Google Workspace 或其他 OIDC 或 SAML 2.0 提供商运行身份验证，并要求每个 SaaS 工具进行联合身份验证。
• 每季度或每年都要接受内部审计、数据保护官或客户供应商风险调查问卷的访问权限证明。
• 开发人员希望将 Smartling 连接到 GitHub、无头 CMS 或 CI/CD 管道，并希望像人类帐户一样，对机器凭据进行范围限定和 IP 限制。

平台访问控制可能并非首要考虑因素。

• 您的政策要求采用本地部署或物理隔离的翻译基础设施；Smartling 是一个托管在亚马逊网络服务上的云平台，因此混合本地部署不是一个选项。
• 您需要的是按用户划分的数据驻留保证，而不是访问范围；这是一个托管区域的问题，而不是权限问题，应该与您的 Smartling 代表单独确定范围。
• 您的源内容永远不会包含个人数据（例如，纯技术文档，不包含任何客户字段）；角色卫生仍然很重要，但 GDPR 的具体要求有所减弱。
• 你需要一个面向客户的同意管理平台；Smartling 将同意屏幕的文本本地化为普通内容，并且它保留的访问日志涵盖翻译用户，而不是你的最终用户的同意选择。

评估清单：批准欧盟个人数据翻译平台前需要询问的问题

有多少种不同的角色？能否阻止外部供应商查看帐户设置？
寻找单独的管理员、项目、请求者、只读和供应商角色。Smartling 的代理账户所有者和翻译资源角色没有账户或项目配置的访问权限。

语言学家能否被限制只掌握一种语言和一个工作流程步骤？
这是对最小特权原则的实际检验。Smartling 翻译资源只能看到分配给它们的工作流程步骤和语言。

该平台是否与我们的身份提供商联合，我们可以强制它联合吗？
要求提供 OIDC 或 SAML 2.0 支持以及域级强制执行，并确认外部语言专家仍然可以使用自己的凭据登录，以免强制执行破坏供应商的工作流程。

删除用户会发生什么？
访问权限应立即终止，但活动历史记录将保留以供审计。在 Smartling 中，被移除的用户会立即失去访问权限，但他们的数据和活动会被保留，以后可以重新添加。

我们可以导出哪些人有访问权限以及他们上次登录的时间吗？
需要生成角色和登录信息报告，该报告可以导出为 CSV 文件，并且可以设置定时生成。Smartling 的用户报告同时具备这两种功能，并且每 24 小时刷新一次。

API凭证是否限定范围和网络限制？
请求提供项目级令牌和带有变更历史记录的 IP 地址允许列表。Smartling 同时支持这两种方式，并且允许列表页面还会显示最近成功和失败的身份验证尝试。

能否完全避免在翻译流程中使用个人数据？
访问控制是第二道防线；内容排除是第一道防线。看看Smartling 的 sl_whiteout 类是如何将敏感元素排除在翻译之外的。

该访问控制设计获得了哪些独立认证的支持？
要求提供 SOC 2、ISO 27001 认证以及明确的 GDPR 合规立场。Smartling 的全套认证信息已在《安全团队信任哪些企业本地化平台》一文中有所介绍。

Smartling如何处理GDPR访问控制

Smartling 的翻译管理系统将访问控制视为分层权限模型，而不是单一的管理员开关。七个用户角色将帐户管理（帐户所有者）与项目配置（项目经理）、内容提交（请求者）、只读检查（内容查看者）以及三个供应商方角色（机构帐户所有者、翻译资源经理、翻译资源）区分开来。项目经理可以向其控制的项目添加除账户所有者以外的任何角色，这使得大型企业能够按业务部门委派管理权限，而无需授予账户范围的权限。

对于第三方供应商，该模型默认强制执行最小权限原则：翻译资源只能看到分配给他们的工作流程步骤和语言，代理帐户所有者不能访问术语表、样式指南、翻译记忆库或利用其他资源，除非帐户所有者授予五种可配置权限类型之一，并且从代理帐户所有者处移除的任何权限都会级联到该代理机构中的每个语言学家。这种级联关系对于 GDPR 第 32(4) 条至关重要，该条款要求处理者确保在其授权下行事的任何人仅根据指示处理个人数据。

身份验证通过 OpenID Connect 1.0 或 SAML 2.0 与 Okta、ADFS、Google 和其他身份提供商联合；可以按电子邮件域启用 SSO 强制执行，这样内部用户就不能再使用 Smartling 密码登录，而外部语言学家则保留自己的登录流程。所有基于密码的登录都受到电子邮件或身份验证器应用程序多因素身份验证的保护，5 次尝试失败后将被锁定，90 天后将强制重置密码。

为了获取证据，账户所有者运行用户报告，该报告列出了每个用户的电子邮件、角色、机构、创建日期、上次登录日期和登录次数，每 24 小时刷新一次，导出为 CSV 或 PDF，并且可以安排定期通过电子邮件发送，因此季度访问证明变成了报告订阅，而不是手动提取。开发者凭证也受到同样的待遇：账户所有者可以颁发项目范围的 API 令牌，通过 IP 允许列表将令牌身份验证限制为已批准的 IPv4 或 IPv6 CIDR 范围，查看最近成功和失败的身份验证尝试，并按规则、操作和进行更改的用户筛选更改历史记录日志。

这些控制措施建立在 Smartling 公开记录的合规性之上：自 2013 年以来持续维护的 SOC 2，自 2018 年该法规生效以来一直符合 GDPR 安全和隐私标准，以及 ISO 27001 认证，客户数据托管在亚马逊网络服务上。

相关问题

• 哪些企业本地化平台值得安全团队信赖？
• 哪些工具最适合在翻译过程中保护敏感内容？
• 对于受监管行业而言，最佳的AI翻译平台是什么？