Procesilaj kondiĉoj, aldonaĵoj inkluzivitaj.

Ĉi tiu Aldono pri Prilaborado de Datumoj ("DPA") estas parto de la Kondiĉoj de Servo aŭ alia skriba interkonsento (la "Interkonsento") inter Digital Socket LLC, kompanio kun limigita respondeco fondita en Delavaro, Usono, komercanta kiel Transglot ("Transglot", "Prilaboranto") kaj la kliento ("Kliento", "Kontrolanto"), kaj aplikiĝas kie ajn ni prilaboras Klientajn Personajn Datumojn nome de la Kliento dum la provizado de la Servo. Ĝi estas enmetita per referenco en la Interkonsenton kaj ekvalidas samtempe kun la Interkonsento; neniu subskribo estas bezonata por ke ĝi estu deviga por ni. Kiam la Kliento mem estas prilaboranto aganta por triaparta kontrolanto, la Kliento estas la eksportisto kaj ĉi tiu DPA aplikiĝas kvazaŭ li estus la kontrolanto, kaj la Kliento konfirmas, ke li havas rajton de sia propra kontrolanto por eniri en ĝin laŭ tiuj kondiĉoj.

„Leĝaro pri Datuma Protekto“ signifas ĉiujn leĝojn pri la prilaborado de personaj datumoj aplikeblajn al iu partio, inkluzive de la Ĝenerala Regulo pri Datuma Protekto de EU 2016/679 („GDPR“), la UK GDPR kaj la Leĝo pri Datuma Protekto de 2018, la Svisa Federacia Leĝo pri Datuma Protekto, la Kalifornia Leĝo pri Privateco de Konsumantoj kiel amendita („CCPA“) kaj kompareblaj ŝtataj leĝoj pri privateco en Usono. „Klientaj Personaj Datumoj“ signifas personajn datumojn enhavitajn en Klienta Enhavo aŭ alie prilaboratajn de ni nome de la Kliento. „Normaj Kontraktaj Klaŭzoj“ aŭ „SCC“ signifas la klaŭzojn aldonitajn al la Implementa Decido de la Komisiono (EU) 2021/914. „UK Aldono“ signifas la Internacian Aldonon pri Datumtransigo eldonitan de la Informkomisaro de UK laŭ sekcio 119A de la Leĝo pri Datuma Protekto de 2018. „Subprilaboranto“ signifas trian partion dungitan de ni por prilabori Klientajn Personajn Datumojn. „Kontrolanto“, „prilaboranto“, „datumsubjekto“, „personaj datumoj“, „prilaborado“, „rompo de personaj datumoj“ kaj „superviza aŭtoritato“ havas la signifojn donitajn en la GDPR, kaj ekvivalentaj terminoj en aliaj leĝoj havas sian ekvivalentan signifon.

En okazo de konflikto, la ordo de prioritato estas: (a) la Normaj Kontraktaj Klaŭzoj kaj la UK Aldono, kie ili aplikiĝas; (b) ĉi tiu DPA; (c) ĉiuj aliaj kondiĉoj pri datuma protekto en Mendformo; (d) la resto de la Interkonsento. Nenio en ĉi tiu DPA celas konflikti kun la devontigoj de partio laŭ la Leĝaro pri Datuma Protekto, kaj ĉiu kondiĉo, kiu farus tion, estas interpretata minimume necesmaniere por forigi la konflikton.

Ĉi tiu DPA aplikiĝas de la efika dato de la Interkonsento ĝis kiam ni ne plu posedas iujn Klientajn Personajn Datumojn, kio povas okazi post la fino de la Interkonsento pro la tempolimoj por forigo en klaŭzo 13. Ĝiaj devontigoj postvivas la ĉesigon dum ni posedas iujn Klientajn Personajn Datumojn, kaj la konfidencaj devontigoj postvivas senfine laŭ la mezuro postulata de la Leĝaro pri Datuma Protekto.

Ni prilaboras Klientajn Personajn Datumojn nur laŭ la dokumentitaj instrukcioj de la Kliento, inkluzive por transigo al tria lando, krom se leĝo, al kiu ni submetiĝas, postulas alian, en kiu kazo ni informos la Klienton pri tiu postulo antaŭ la prilaborado, krom se la leĝo malpermesas tion pro gravaj kialoj de publika intereso. La Interkonsento, ĉi tiu DPA, la Dokumentado kaj la agordoj faritaj de la Kliento en la produkto (projektoj, lokaloj, konektiloj, abonadoj al retligiloj, ŝaltiloj por retenado, la ŝaltilo por tradukmemoro kaj la motoraj kaj kvalitaj agordoj haveblaj al la Kliento) kune konsistigas la kompletajn dokumentitajn instrukciojn de la Kliento. Ni informos la Klienton se, laŭ nia opinio, instrukcio malobeas la Leĝaron pri Datuma Protekto, kaj ni povas suspendi la koncernan prilaboradon ĝis ĝi estos retirita aŭ modifita anstataŭ plenumi ĝin.

Ni prilaboras Klientajn Personajn Datumojn sole por provizi, sekurigi, subteni kaj konservi la Servon por la Kliento, kaj por neniu sendependa celo niaflanka. Ni ne vendas Klientajn Personajn Datumojn, ni ne dividas ilin por kruc-konteksta konduta reklamado, ni ne kombinas ilin kun personaj datumoj ricevitaj de aliaj fontoj krom se permesite de la Leĝaro pri Datuma Protekto por servoprovizanto, kaj ni ne uzas ilin por trejni, rafini aŭ taksi iun maŝinlernadan modelon. Niaj AI-subprilaborantoj prilaboras ilin nur por inferenco, laŭ komercaj kondiĉoj kiuj malpermesas trejni sur ili. Ni povas krei kaj uzi agregitajn aŭ senidentigajn statistikojn, kiuj identigas nek la Klienton nek iun datumsubjekton, kaj ni ne provos reidentigi ilin.

Ni certigas, ke ĉiu persono rajtigita prilabori Klientajn Personajn Datumojn estas submetita al taŭga konfidenca devontigo, ĉu kontrakta aŭ laŭleĝa, kiu postvivas la finon de lia engaĝiĝo. Aliro estas donita sur bazo de minimumaj privilegioj, limigita al tio, kion persono bezonas por plenumi sian rolon, regule reviziita kaj tuj nuligita ĉe ŝanĝo de rolo aŭ foriro. Personaro kun aliro ricevas trejnadon pri datuma protekto kaj sekureco taŭgan por sia rolo.

Ni implementas kaj konservas la teknikajn kaj organizajn mezurojn priskribitajn en Aneksso II, konsiderante la staton de la arto, la kostojn de implementado kaj la naturon, amplekson, kuntekston kaj celojn de prilaborado, same kiel la riskon por datumsubjektoj. Ni povas ĝisdatigi tiujn mezurojn dum tempo, kondiĉe ke la ĝenerala nivelo de protekto ne estas materiale reduktita dum pagita abona periodo. Aneksso II deklaras niajn mankojn same kiel niajn kontrolojn, intence: aneksso de mezuroj, kiu nur listigas fortojn, ne estas dokumento, sur kiu recenzanto povas fidi.

The Customer gives a general written authorisation for us to engage Subprocessors, in the categories described in the Subprocessors document, and specifically authorises those in the subprocessor list furnished under Annex III as at the effective date. We impose on each Subprocessor data protection obligations no less protective than those in this DPA by way of a written contract, and we remain fully liable to the Customer for a Subprocessor’s performance of its obligations. We will give the Customer at least thirty days notice, by email to the Account Owners, before a new Subprocessor begins processing Customer Personal Data. The Customer may object on reasonable, documented data protection grounds within that period, in which case we will work in good faith to offer a change in configuration or an alternative that avoids the processing; if we cannot within a reasonable time, the Customer may terminate the affected subscription without penalty and receive a pro-rata refund of prepaid unused fees.

Konsiderante la naturon de la prilaborado, ni helpas la Klienton per taŭgaj teknikaj kaj organizaj mezuroj, laŭeble, por plenumi la devon de la Kliento respondi al datumsubjekto, kiu ekzercas rajtojn de aliro, korekto, forigo, limigo, portebleco aŭ obĵeto. La produkto mem estas la unua linio de tiu helpo: la Kontposedantoj kaj la laborspacaj administrantoj povas serĉi, redakti kaj forigi projektenhavon, administri membrojn kaj rolojn, kaj repreni projektenhavon tra la API-prena finpunkto, la komandlinia interfaco, la liverfasko aŭ stokada konektilo en pagita plano, kaj la Kontposedantoj povas forigi la laborspacon. Kie la produkto ne povas respondi al peto, ni helpos sur peto ene de rezoninda periodo kaj senpage por rezoninda volumeno de petoj. Se datumsubjekto kontaktas nin rekte pri Klientaj Personaj Datumoj, ni ne respondos substantive mem; ni diros al ili kontakti la Klienton kaj, krom se malpermesite, informos la Klienton tuj.

Konsiderante la naturon de prilaborado kaj la informojn haveblajn al ni, ni helpas la Klienton plenumi siajn devojn laŭ Artikoloj 32 ĝis 36 de la GDPR kaj iliaj ekvivalentoj, inkluzive de taksoj pri efiko al datuma protektado kaj antaŭa konsultado kun superrigarda aŭtoritato. Praktike tio signifas provizi ĉi tiun DPA, Aldonaĵon II, la malkaŝojn de la Fida Centro, la retenhoraron en la Privateca Politiko, nian sekurecan dokumentadon kaj rezonindajn skribajn respondojn al sekureca aŭ privateca demandaro. Ni povas fakturi por helpo, kiu materiale superas rezonindan volumenon, laŭ niaj tiamaj tarifoj por profesiaj servoj, kaj ni diros tion antaŭ ol fari la laboron anstataŭ poste.

Ni sciigos la Klienton sen nedeca prokrasto, kaj ĉiuokaze ene de sepdek du horoj, post kiam ni eksciis pri rompo de personaj datumoj, kiu afektas Klientajn Personajn Datumojn. La sciigo priskribas, laŭ la scio havebla tiam kaj ĝisdatigita kiel ni lernas pli: la naturon de la rompo, inkluzive de kie eblas la kategorioj kaj proksimuma nombro de koncernaj datumsubjektoj kaj registroj; la verŝajnaj sekvoj; la mezuroj faritaj aŭ proponitaj por trakti ĝin kaj mildigi ĝiajn efikojn; kaj kontaktpunkto por pliaj informoj. Ni kunlaboros kun la Kliento kaj faros la paŝojn, kiujn la Kliento rezoninde petas, por helpi en sia propra enketo kaj sciigo. Sciigo ne estas, kaj ne estos interpretata kiel, konfeso de kulpo aŭ respondeco. Ni ne prokrastos sciigon por fini enketon unue.

Laŭ la elekto de la Kliento, ni forigos aŭ returnos Klientajn Personajn Datumojn fine de la disponigo de servoj, kaj forigos ekzistantajn kopiojn, krom se leĝo, al kiu ni submetiĝas, postulas konservadon. En la produkto tio funkcias jene: nuligo de abono movas la Konton al la Senpaga plano, kiu inkluzivas unu laborspacon, kaj ĉiu alia laborspaco fariĝas nurlegebla kaj estas forigita 30 tagojn poste, aŭ pli frue por laborspaco, kiu trapasis la saman procezon lastatempe kiel priskribas artikolo 13 de la Kondiĉoj de Servo, krom se la Kliento ĝisdatigas aŭ movas ĝin unue; forigo de laborspaco faras ĝin nurlegebla dum 30 tagoj, dum kiuj Kontposedanto povas restarigi ĝin, kaj post tiu periodo la laborspaco estas purigita el la viva datumbazo, inkluzive de projektoj, tradukoj, versihistorio, uzrekordoj, liverrekordoj de webhoko, ekranfotoj kaj kontroleventoj; fermo de la Konto forigas ĉiun laborspacon sur ĝi same kaj konservas la fakturojn de la Konto dum 7 jaroj; forigo de la saluto de Uzanto estas tuja kaj nereversigebla. Enhavo, kiun la Kliento reprenas tra la API, la komandlinia interfaco, la liverfasko aŭ stokada konektilo, estas ekster niaj manoj de la momento, kiam ni liveras ĝin. Ĉifritaj sekurkopioj ne estas atingitaj de la purigo kaj eksvalidiĝas laŭ la horaroj en Aldonaĵo II; dum ili ekzistas, ili estas izoligitaj, ĉifritaj kaj restarigitaj nur por katastrofa rekupero, neniam por revenigi purigitan laborspacon al servo. Skriba peto por reveno en strukturita formato farita antaŭ forigo estos honorita unufoje, senpage, ene de rezoninda periodo.

Ni metas al la Kliento disponeble la informojn racie necesajn por pruvi konformecon kun ĉi tiu DPA kaj kun Artikolo 28 de la GDPR, kaj ebligas kaj kontribuas al revizioj, inkluzive inspektadojn, faritajn de la Kliento aŭ de revizoro mandatita de li. Unue, tiu devo estas plenumita per ĉi tiu DPA, Aneksso II, la Fido-Centro, la sekureca paĝo kaj niaj plenigitaj respondoj al la sekureca demandaro. Kie tiuj estas vere nesufiĉaj por la regula devo de la Kliento, la Kliento povas fari revizion unufoje en iu ajn dekdu-monata periodo, kun skriba antaŭaverto de almenaŭ tridek tagoj, dum komercaj horoj, sen malracie interrompi niajn operaciojn, sub kondiĉo de konfidencaj devigoj, limigita al sistemoj kaj registroj rilataj al la propraj datumoj de la Kliento, kaj je la kosto de la Kliento. Supera aŭtoritato ekzercanta statuton povon ne estas submetita al tiuj limoj. Revizoro ne povas esti nia konkuranto, kaj ni povas postuli apartan konfidenecan promeson de li.

Kiam nia prilaborado de Klientaj Personaj Datumoj implikas transdonadon el la Eŭropa Ekonomia Areo al lando ne kovrita de decido pri taŭgeco, la Normaj Kontraktaj Klauzoj estas enkorpigitaj en kaj formas parton de ĉi tiu DPA kaj aplikiĝas jene. Modulo Du (kontrolanto al prilaboranto) aplikiĝas kie la Kliento estas kontrolanto. Modulo Tri (prilaboranto al prilaboranto) aplikiĝas kie la Kliento mem estas prilaboranto. Klauzo 7 (la aldoklazo) aplikiĝas. En Klauzo 9, Opcio 2 (generala skriba rajtigo) estas elektita, kun la aviza periodo indikita en klauzo 09 supre. En Klauzo 11, la laŭvola sendependa disputrezolva lingvaĵo ne estas elektita. En Klauzo 17, la Klauzoj estas regataj de la juro de la Respubliko Irlando, krom se la partioj konsentas alian juron de EU-membroŝtato en Mendo-Formularo. En Klauzo 18(b), disputoj estas solvitaj antaŭ la tribunaloj de la Respubliko Irlando sur sama bazo. Aneksso I(A) estas la partioj, Aneksso I(B) estas la priskribo de la transdono, Aneksso I(C) estas la kompetenta supera aŭtoritato, Aneksso II estas la teknikaj kaj organizaj mezuroj, kaj Aneksso III estas la listo de subprilaborantoj, ĉiu kiel menciite sube.

Por transdono submetita al la UK GDPR, la UK Aldono estas enkorpigita kaj plenigita jene: Tabelo 1 estas plenigita per Aneksso I(A); Tabeloj 2 kaj 3 estas plenigitaj per klauzo 15 kaj Anekssoj I kaj II de ĉi tiu DPA, kun la Aprobitaj EU SCC-oj kiel la versio fidata; kaj en Tabelo 4, neniu partio povas fini la Aldonon kiam la Aprobita Aldono ŝanĝiĝas. Por transdono submetita al svisa juro, referencoj en la SCC-oj al la GDPR estas legotaj kiel referencoj al la Svisa Federacia Leĝo pri Datuma Protektado, la kompetenta aŭtoritato estas la Federacia Komisaro pri Datuma Protektado kaj Informado, referencoj al membroŝtato ne senigas datumsubjekton en Svislando de la rajto procesi en sia kutima loĝloko, kaj la SCC-oj protektas la datumojn de juraj personoj ĝis svisa juro ne plu postulas tion.

Se ni ricevas laĝe devigan peton de publika aŭtoritato por Klientaj Personaj Datumoj, ni: revizios ĝin por valideco kaj amplekso kaj defios ĝin kie estas raciaj bazoj konsideri ĝin kontraŭleĝa; malkaŝos nur la minimumon postulatan de la peto; kaj sciigos la Klienton tuj kun sufiĉaj detaloj por respondi, krom se laŭleĝe malpermesita, en kiu okazo ni uzos raciajn klopodojn por akiri escepton de la malpermeso kaj serĉi provizoran mezuron permesantan malkaŝon. Ni tenas registron de la petoj ricevataj kaj la respondoj donataj, kaj ni metas ĝin disponebla al la Kliento kaj al supera aŭtoritato laŭpete laŭ la permeso de la juro. Ni ne ricevis registaran peton, kiu postulis de ni konstrui aŭ konservi ĝeneralan alirmekanismon al Klientaj Personaj Datumoj, kaj ni ne konstruos tian volontule.

Por personaj informoj submetitaj al la CCPA, la Kliento estas la entrepreno kaj ni estas servoprovizanto. Estas malpermesite al ni, kaj ni ne vendos nek dividos tiujn personajn informojn; retenos, uzos aŭ malkaŝos ilin por iu ajn celo krom la komercaj celoj specifitaj en la Interkonsento aŭ alie permesitaj de la CCPA; retenos, uzos aŭ malkaŝos ilin ekster la rekta komerca rilato inter la partioj; aŭ kombinos ilin kun personaj informoj ricevitaj de alia fonto, krom se la CCPA permesas al servoprovizanto fari tion. Ni atestas, ke ni komprenas kaj obeos ĉi tiujn restriktojn. Ni sciigos la Klienton se ni determinos, ke ni ne plu povas plenumi ilin. La Kliento povas preni raciajn kaj taŭgajn paŝojn por ĉesigi kaj ripari neaŭtorizitan uzon, uzante la reviziajn rajtojn en klauzo 14. Ni provizas la saman nivelon de privateca protektado kiel la CCPA postulas de la entrepreno.

Kie ampleksa ŝtata leĝo pri privateco aplikiĝas kaj postulas prilaborantan kontrakton kun specifitaj kondiĉoj, ĉi tiu DPA estas tiu kontrakto: ĝi difinas la naturon kaj celon de prilaborado, la tipon de datumoj, la daŭron, la rajtojn kaj devojn de ambaŭ partioj, nian konfidenecan devon, nian dungadon de subprilaborantoj sub ekvivalentaj skribaj kondiĉoj, nian asiston kun petoj pri konsumantaj rajtoj kaj kun sekurecaj devigoj, nian devon forigi aŭ redoni ĉe la fino de la servoj, kaj nian devon disponigi la informojn necesajn por demonstri konformecon kaj permesi racian taksadon. Ni agas kiel prilaboranto aŭ servoprovizanto sub tiuj leĝoj kaj neniam kiel kontrolanto de Klientaj Personaj Datumoj.

La respondeco de ĉiu partio ekestanta el aŭ rilata al ĉi tiu DPA, ĉu en kontrakto, delikto aŭ iu alia teorio, estas submetita al la limigoj kaj ekskludoj de respondeco en la Interkonsento, kaj iu ajn referenco en tiuj limigoj al la respondeco de partio signifas la agregitan respondecon de tiu partio sub la Interkonsento kaj ĉi tiu DPA kune. Nenio en ĉi tiu klauzo limigas la rajtojn de datumsubjekto sub la Normaj Kontraktaj Klauzoj aŭ sub la Leĝo pri Datuma Protektado, kaj nenio limigas respondecon, kiu ne povas laŭleĝe esti limigita.

Ni povas ĝisdatigi ĉi tiun DPA kie necese por reflekti ŝanĝon en la Leĝo pri Datuma Protektado, novan aŭ amenditan transdonmekanismon, decidon de supera aŭtoritato aŭ tribunalo, aŭ materialan ŝanĝon en kiel la Servo prilaboras Klientajn Personajn Datumojn, kondiĉe ke la ĝisdatigo ne materiale reduktas la protekton donitan al Klientaj Personaj Datumoj. Ni donas almenaŭ tridek tagojn da antaŭaverto pri materiala ĝisdatigo, per retpoŝto kaj sur ĉi tiu paĝo, kaj ni ŝanĝas la efikan daton supre. Ni tenas la anstataŭitan version disponebla laŭpete.

Ĉi tiu DPA ligas nin sen subskribo, do la Kliento ne bezonas unu por esti protektita. Se via procezo postulas ekzekutitan kontraŭparton por viaj registroj, aŭ se vi volas prezenti ruĝlinian version, skribu al privacy@transglot.ai kun la nomo de la jura ento, la registrita adreso, la kontakto por avizoj kaj la subskribinto, kaj ni redonos subskribitan kopion. Ni respondas sekurecajn kaj privatecajn demandarojn de la sama adreso, kaj la Fido-Centro portas la pakon, kiun plej multaj recenzantoj bezonas antaŭ ol ili skribas al iu ajn.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, kompanio kun limigita respondeco fondita en Delavaro, Usono, komercanta kiel Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

La aŭtoritata, nuna listo de subprilaborantoj estas prizorgata de ni kaj liverata al la Kliento sur peto sub konfideca interkonsento, skribante al privacy@transglot.ai. La kategorioj, la celo, la regiono kaj la kondiĉoj sub kiuj ĉiu estas dungita estas publikigitaj en la Fido-Centro kaj resumitaj en la dokumento pri Subprilaborantoj, kiu estas integrita en ĉi tiun Anekson per referenco. Ĝi estas konservata en unu loko anstataŭ esti duobligita en ĉi tiun paĝon intence: listo retajpita en juran dokumenton estas listo, kiu malaktualiĝas la tagon, kiam vendisto ŝanĝiĝas, kaj malaktuala anekso estas pli malbona ol ligilo. Je la efika dato la kategorioj estas: AI-tradukado, aŭtomata kvalito-kontrolo, eltiro de terminaro kaj sugestoj por vizio en kunteksto, prilaborataj en Usono kaj dungitaj kiam ajn AI-funkcio estas uzata; tekstaj enmetaĵoj por semantika tradukmemoro, prilaborataj en Usono kaj dungitaj nur kiam projekto aktivigas tiun funkcion, kio estas malŝaltita defaŭlte; opcionala alternativa tradukmotoro atingata per API-routilo en Usono kaj gastigata en Singapuro, dungita nur kiam operaciisto direktas tavolon al ĝi, kio estas malŝaltita defaŭlte; nuba gastigado, la datumbazo kaj objekta stokado, en la regiono fiksita ĉe deplojo kaj ĉiam dungita; pago-prilaborado, en Usono kaj la Eŭropa Unio, dungita nur por pagitaj plano; livero de transakcia retpoŝto, ĉiam dungita; kaj mesaĝado por subteno ene de la produkto, dungita nur kiam la subtena mesaĝilo estas aktivigita. Kie kliento provizas siajn proprajn akreditilojn por opcionala maŝina traduka rezervo, la kliento estas la kontrolanto de tiu transigo kaj la vendisto ne estas nia subprilaboranto.