Términos del procesador, anexos incluidos.

Este Anexo de Tratamiento de Datos (“DPA”) forma parte de los Términos de Servicio o de cualquier otro acuerdo por escrito (el “Acuerdo”) entre Digital Socket LLC, una sociedad de responsabilidad limitada constituida en Delaware, Estados Unidos, que opera como Transglot (“Transglot”, “Encargado del Tratamiento”) y el cliente (“Cliente”, “Responsable del Tratamiento”), y se aplica siempre que tratemos Datos Personales del Cliente en nombre del Cliente para prestar el Servicio. Queda incorporado al Acuerdo por referencia y entra en vigor cuando lo haga el Acuerdo; no se requiere firma alguna para que nos vincule. Cuando el Cliente sea a su vez un Encargado del Tratamiento que actúe en nombre de un Responsable del Tratamiento tercero, el Cliente es el exportador y este DPA se aplica como si fuera el Responsable del Tratamiento, y el Cliente confirma que cuenta con la autorización de su propio Responsable del Tratamiento para celebrarlo en esos términos.

“Legislación de Protección de Datos” significa todas las leyes aplicables a una parte sobre el tratamiento de datos personales, incluido el Reglamento General de Protección de Datos (UE) 2016/679 (“GDPR”), el UK GDPR y la Ley de Protección de Datos de 2018 del Reino Unido, la Ley Federal Suiza de Protección de Datos, la Ley de Privacidad del Consumidor de California, según enmendada (“CCPA”), y leyes estatales de privacidad comparables de Estados Unidos. “Datos Personales del Cliente” significa los datos personales contenidos en el Contenido del Cliente o tratados de otra manera por nosotros en nombre del Cliente. “Cláusulas Contractuales Estándar” o “SCC” significa las cláusulas anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión. “Anexo del Reino Unido” significa el Anexo Internacional de Transferencia de Datos emitido por el Comisionado de Información del Reino Unido bajo la sección 119A de la Ley de Protección de Datos de 2018. “Subencargado del Tratamiento” significa un tercero contratado por nosotros para tratar Datos Personales del Cliente. “Responsable del Tratamiento”, “encargado del tratamiento”, “interesado”, “datos personales”, “tratamiento”, “violación de seguridad de los datos personales” y “autoridad de control” tienen los significados establecidos en el GDPR, y los términos equivalentes en otras leyes tienen su significado equivalente.

En caso de conflicto, el orden de prelación es: (a) las Cláusulas Contractuales Estándar y el Anexo del Reino Unido, cuando sean aplicables; (b) este DPA; (c) cualquier otra disposición de protección de datos en un Formulario de Pedido; (d) el resto del Acuerdo. Nada en este DPA pretende entrar en conflicto con las obligaciones de una parte bajo la Legislación de Protección de Datos, y cualquier término que así lo hiciera se interpretará restrictivamente en la medida mínima necesaria para eliminar el conflicto.

Este DPA se aplica desde la fecha de entrada en vigor del Acuerdo hasta que dejemos de conservar cualquier Dato Personal del Cliente, lo cual puede ocurrir después de que finalice el Acuerdo debido a los plazos de eliminación establecidos en la cláusula 13. Sus obligaciones sobreviven a la terminación mientras conservemos cualquier Dato Personal del Cliente, y las obligaciones de confidencialidad sobreviven indefinidamente en la medida requerida por la Legislación de Protección de Datos.

Tratamos los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluida la transferencia a un tercer país, a menos que estemos obligados a hacerlo por una ley aplicable, en cuyo caso informaremos al Cliente de dicho requisito antes del tratamiento, salvo que la ley lo prohíba por motivos importantes de interés público. El Acuerdo, este DPA, la Documentación y la configuración que el Cliente establezca en el producto (proyectos, locales, conectores, suscripciones a webhooks, interruptores de retención, el interruptor de memoria de traducción y la configuración del motor y de calidad disponibles para el Cliente) constituyen conjuntamente las instrucciones documentadas completas del Cliente. Informaremos al Cliente si, en nuestra opinión, una instrucción infringe la Legislación de Protección de Datos, y podremos suspender el tratamiento afectado hasta que sea retirada o modificada, en lugar de llevarla a cabo.

Tratamos los Datos Personales del Cliente exclusivamente para proporcionar, asegurar, apoyar y mantener el Servicio para el Cliente, y sin ningún propósito independiente propio. No vendemos Datos Personales del Cliente, no los compartimos para publicidad conductual cross-contextual, no los combinamos con datos personales que recibimos de otras fuentes excepto cuando la Legislación de Protección de Datos lo permita para un proveedor de servicios, y no los utilizamos para entrenar, ajustar finamente ni evaluar ningún modelo de aprendizaje automático. Nuestros subencargados de IA los procesan solo para inferencia, bajo términos comerciales que prohíben su uso para entrenamiento. Podemos crear y utilizar estadísticas agregadas o desidentificadas que no identifiquen ni al Cliente ni a ningún interesado, y no intentaremos reidentificarlos.

Garantizamos que toda persona autorizada para tratar Datos Personales del Cliente esté sujeta a una obligación adecuada de confidencialidad, ya sea contractual o legal, que sobreviva al final de su compromiso. El acceso se otorga bajo el principio de mínimo privilegio, limitado a lo necesario para desempeñar su función, se revisa periódicamente y se revoca prontamente ante un cambio de rol o salida. El personal con acceso recibe formación en protección de datos y seguridad adecuada a su rol.

Implementamos y mantenemos las medidas técnicas y organizativas establecidas en el Anexo II, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo para los interesados. Podemos actualizar esas medidas con el tiempo siempre que el nivel general de protección no se reduzca materialmente durante un periodo de suscripción pagada. El Anexo II indica deliberadamente tanto nuestras brechas como nuestros controles: un anexo de medidas que solo enumere fortalezas no es un documento en el que un revisor pueda confiar.

El Cliente otorga una autorización general por escrito para que contratemos Subencargados del Tratamiento, en las categorías descritas en el documento de Subencargados, y autoriza específicamente a aquellos incluidos en la lista de subencargados proporcionada en el Anexo III a la fecha de entrada en vigor. Imponemos a cada Subencargado del Tratamiento obligaciones de protección de datos no menos protectoras que las de este DPA mediante un contrato por escrito, y seguimos siendo plenamente responsables ante el Cliente del cumplimiento por parte del Subencargado de sus obligaciones. Notificaremos al Cliente con al menos treinta días de antelación, por correo electrónico a los Propietarios de la Cuenta, antes de que un nuevo Subencargado comience a tratar Datos Personales del Cliente. El Cliente podrá oponerse por motivos razonables y documentados de protección de datos dentro de ese periodo, en cuyo caso trabajaremos de buena fe para ofrecer un cambio en la configuración o una alternativa que evite el tratamiento; si no podemos hacerlo en un plazo razonable, el Cliente podrá terminar la suscripción afectada sin penalización y recibir un reembolso prorrateado de las tarifas prepago no utilizadas.

Teniendo en cuenta la naturaleza del procesamiento, asistimos al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida en que sea posible, para cumplir con la obligación del Cliente de responder a un interesado que ejerza derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición. El propio producto es la primera línea de esa asistencia: los Propietarios de cuenta y los administradores del espacio de trabajo pueden buscar, editar y eliminar contenido del proyecto, gestionar miembros y roles, y recuperar contenido del proyecto a través del endpoint de extracción de la API, la interfaz de línea de comandos, el paquete de entrega o un conector de almacenamiento en un plan de pago, y los Propietarios de cuenta pueden eliminar el espacio de trabajo. Cuando el producto no pueda atender una solicitud, ayudaremos bajo petición dentro de un plazo razonable y sin cargo para un volumen razonable de solicitudes. Si un interesado nos contacta directamente sobre Datos Personales del Cliente, no responderemos sustantivamente por nuestra cuenta; le indicaremos que contacte al Cliente y, salvo prohibición, informaremos al Cliente de inmediato.

Teniendo en cuenta la naturaleza del procesamiento y la información disponible para nosotros, asistimos al Cliente en el cumplimiento de sus obligaciones bajo los Artículos 32 a 36 del RGPD y sus equivalentes, incluidas las evaluaciones de impacto de protección de datos y la consulta previa con una autoridad supervisora. En la práctica, esto significa proporcionar esta DPA, el Anexo II, las divulgaciones del Centro de Confianza, el calendario de retención en la Política de Privacidad, nuestra documentación de seguridad y respuestas escritas razonables a un cuestionario de seguridad o privacidad. Podemos cobrar por la asistencia que exceda materialmente un volumen razonable, a nuestras tarifas actuales de servicios profesionales, y lo comunicaremos antes de realizar el trabajo, no después.

Notificamos al Cliente sin demora indebida y, en cualquier caso, dentro de las setenta y dos horas posteriores a tomar conocimiento de una violación de datos personales que afecte a los Datos Personales del Cliente. El aviso describe, en la medida conocida en ese momento y actualizado a medida que aprendamos más: la naturaleza de la violación, incluidas, cuando sea posible, las categorías y el número aproximado de interesados y registros afectados; las consecuencias probables; las medidas tomadas o propuestas para abordarla y mitigar sus efectos; y un punto de contacto para obtener más información. Cooperamos con el Cliente y tomamos las medidas que el Cliente solicite razonablemente para asistir en su propia investigación y notificación. Un aviso no constituye, ni se interpretará como, una admisión de culpa o responsabilidad. No retrasaremos un aviso para completar primero una investigación.

A elección del Cliente, eliminamos o devolvemos los Datos Personales del Cliente al final de la prestación de servicios, y eliminamos las copias existentes, a menos que una ley a la que estemos sujetos requiera su almacenamiento. En el producto, esto funciona de la siguiente manera: cancelar una suscripción mueve la Cuenta al plan Gratuito, que incluye un espacio de trabajo, y cada otro espacio de trabajo se vuelve de solo lectura y se elimina 30 días después, o antes para un espacio de trabajo que pasó por lo mismo recientemente como describe la cláusula 13 de los Términos de Servicio, a menos que el Cliente lo actualice o lo mueva primero; eliminar un espacio de trabajo lo hace de solo lectura durante 30 días, período durante el cual un Propietario de cuenta puede restaurarlo, y después de ese período el espacio de trabajo se purga de la base de datos activa, incluidos proyectos, traducciones, historial de versiones, registros de uso, registros de entrega de webhooks, capturas de pantalla y eventos de auditoría; cerrar la Cuenta elimina todos los espacios de trabajo en ella de la misma manera y conserva las facturas de la Cuenta durante 7 años; eliminar el inicio de sesión de un Usuario es inmediato e irreversible. El contenido que el Cliente recupera a través de la API, la interfaz de línea de comandos, el paquete de entrega o un conector de almacenamiento queda fuera de nuestro control desde el momento en que lo entregamos. Las copias de seguridad cifradas no son alcanzadas por la purga y expiran según los cronogramas del Anexo II; mientras existan, están aisladas, cifradas y se restauran solo para recuperación ante desastres, nunca para devolver un espacio de trabajo purgado al servicio. Una solicitud escrita de devolución en un formato estructurado realizada antes de la eliminación será honrada una vez, sin cargo, dentro de un plazo razonable.

Ponemos a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de este DPA y del artículo 28 del RGPD, y permitimos y contribuimos a las auditorías, incluidas las inspecciones, realizadas por el Cliente o por un auditor que este designe. En primera instancia, esa obligación se cumple mediante este DPA, el Anexo II, el Centro de confianza, la página de seguridad y nuestras respuestas completadas al cuestionario de seguridad. Cuando esos elementos sean genuinamente insuficientes para la obligación regulatoria del Cliente, el Cliente podrá realizar una auditoría una vez en cualquier período de doce meses, con un aviso previo por escrito de al menos treinta días, durante el horario comercial, sin interrumpir irrazonablemente nuestras operaciones, sujeto a obligaciones de confidencialidad, limitado a los sistemas y registros relacionados con los datos propios del Cliente, y a costa del Cliente. Una autoridad supervisora que ejerza una facultad legal no está sujeta a ninguno de esos límites. Un auditor no puede ser un competidor nuestro, y podemos exigirle un compromiso de confidencialidad separado.

Cuando nuestro tratamiento de los Datos Personales del Cliente implique una transferencia desde el Espacio Económico Europeo a un país no cubierto por una decisión de adecuación, las Cláusulas Contractuales Estándar se incorporan y forman parte de este DPA y se aplican de la siguiente manera. El Módulo Dos (de responsable a encargado) se aplica cuando el Cliente es un responsable del tratamiento. El Módulo Tres (de encargado a encargado) se aplica cuando el Cliente es, a su vez, un encargado del tratamiento. Se aplica la Cláusula 7 (cláusula de adhesión). En la Cláusula 9, se selecciona la Opción 2 (autorización escrita general), con el período de notificación indicado en la cláusula 09 anterior. En la Cláusula 11, no se selecciona el lenguaje opcional de resolución independiente de disputas. En la Cláusula 17, las Cláusulas se rigen por la ley de la República de Irlanda, a menos que las partes acuerden otra ley de un Estado miembro de la UE en un Formulario de pedido. En la Cláusula 18(b), las disputas se resuelven ante los tribunales de la República de Irlanda sobre la misma base. El Anexo I(A) corresponde a las partes, el Anexo I(B) a la descripción de la transferencia, el Anexo I(C) a la autoridad supervisora competente, el Anexo II a las medidas técnicas y organizativas, y el Anexo III a la lista de subencargados, cada uno según se detalla a continuación.

Para una transferencia sujeta al RGPD del Reino Unido, la Adenda del Reino Unido se incorpora y completa de la siguiente manera: la Tabla 1 se completa mediante el Anexo I(A); las Tablas 2 y 3 se completan mediante la cláusula 15 y los Anexos I y II de este DPA, con las SCC aprobadas de la UE como la versión en la que se basa; y en la Tabla 4, ninguna de las partes puede finalizar la Adenda cuando cambie la Adenda aprobada. Para una transferencia sujeta a la legislación suiza, las referencias en las SCC al RGPD se interpretan como referencias a la Ley Federal Suiza de Protección de Datos, la autoridad competente es el Comisionado Federal de Protección de Datos e Información, las referencias a un Estado miembro no privan a un interesado en Suiza del derecho a demandar en su lugar de residencia habitual, y las SCC protegen los datos de las entidades jurídicas hasta que la legislación suiza ya no lo requiera.

Si recibimos una solicitud legalmente vinculante de una autoridad pública para acceder a los Datos Personales del Cliente, procederemos de la siguiente manera: revisaremos su validez y alcance y la impugnaremos si existen motivos razonables para considerarla ilegal; divulgaremos únicamente el mínimo requerido por la solicitud; y notificaremos al Cliente de inmediato con suficiente detalle para que pueda responder, a menos que esté legalmente prohibido, en cuyo caso realizaremos esfuerzos razonables para obtener una exención de la prohibición y buscar una medida provisional que permita la divulgación. Mantenemos un registro de las solicitudes que recibimos y de las respuestas que damos, y lo ponemos a disposición del Cliente y de una autoridad supervisora bajo petición, en la medida en que la ley lo permita. No hemos recibido ninguna solicitud gubernamental que nos haya obligado a crear o mantener un mecanismo de acceso general a los Datos Personales del Cliente, y no crearemos uno voluntariamente.

Para la información personal sujeta a la CCPA, el Cliente es la empresa y nosotros somos un proveedor de servicios. Tenemos prohibido, y no venderemos ni compartiremos, dicha información personal; ni la retendremos, utilizaremos o divulgaremos para ningún propósito distinto de los fines comerciales especificados en el Acuerdo o según lo permitido por la CCPA; ni la retendremos, utilizaremos o divulgaremos fuera de la relación comercial directa entre las partes; ni la combinaremos con información personal recibida de otra fuente, excepto según lo que la CCPA permita a un proveedor de servicios. Certificamos que comprendemos y cumpliremos estas restricciones. Notificaremos al Cliente si determinamos que ya no podemos cumplirlas. El Cliente puede tomar medidas razonables y apropiadas para detener y remediar el uso no autorizado, utilizando los derechos de auditoría de la cláusula 14. Proporcionamos el mismo nivel de protección de privacidad que la CCPA exige a la empresa.

Cuando sea aplicable una ley estatal integral de privacidad y requiera un contrato de encargado del tratamiento con términos específicos, este DPA constituye dicho contrato: establece la naturaleza y el propósito del tratamiento, el tipo de datos, la duración, los derechos y obligaciones de ambas partes, nuestro deber de confidencialidad, nuestra contratación de subencargados bajo términos escritos equivalentes, nuestra asistencia con las solicitudes de derechos de los consumidores y con las obligaciones de seguridad, nuestro deber de eliminación o devolución al final de los servicios, y nuestra obligación de poner a disposición la información necesaria para demostrar el cumplimiento y permitir una evaluación razonable. Actuamos como encargado del tratamiento o proveedor de servicios bajo esas leyes y nunca como responsable del tratamiento de los Datos Personales del Cliente.

La responsabilidad de cada parte derivada de o relacionada con este DPA, ya sea por contrato, agravio o cualquier otra teoría, está sujeta a las limitaciones y exclusiones de responsabilidad del Acuerdo, y cualquier referencia en esas limitaciones a la responsabilidad de una parte significa la responsabilidad agregada de esa parte bajo el Acuerdo y este DPA conjuntamente. Nada en esta cláusula limita los derechos de un interesado bajo las Cláusulas Contractuales Estándar o bajo la Legislación de Protección de Datos, y nada limita una responsabilidad que no pueda ser limitada legalmente.

Podemos actualizar este DPA cuando sea necesario para reflejar un cambio en la Legislación de Protección de Datos, un nuevo o modificado mecanismo de transferencia, una decisión de una autoridad supervisora o de un tribunal, o un cambio material en la forma en que el Servicio trata los Datos Personales del Cliente, siempre que la actualización no reduzca materialmente la protección otorgada a los Datos Personales del Cliente. Daremos un aviso previo de al menos treinta días de una actualización material, por correo electrónico y en esta página, y cambiaremos la fecha de vigencia en la parte superior. Mantenemos disponible la versión anterior bajo petición.

Este DPA nos vincula sin necesidad de firma, por lo que el Cliente no necesita una para estar protegido. Si su proceso requiere una contraparte ejecutada para sus registros, o si desea presentar un documento con control de cambios, escriba a privacy@transglot.ai con el nombre de la entidad legal, la dirección registrada, el contacto para notificaciones y el firmante, y le devolveremos una copia firmada. Respondemos a los cuestionarios de seguridad y privacidad desde la misma dirección, y el Centro de confianza contiene el paquete que la mayoría de los revisores necesitan antes de escribir a nadie.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, una sociedad de responsabilidad limitada constituida en Delaware, Estados Unidos, que opera como Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

La lista oficial y actualizada de subencargados del tratamiento la mantenemos nosotros y se proporciona al Cliente a solicitud mediante un acuerdo de confidencialidad, escribiendo a privacy@transglot.ai. Las categorías, la finalidad, la región y las condiciones bajo las cuales se contrata a cada uno se publican en el Centro de confianza y se resumen en el documento de Subencargados del tratamiento, que se incorpora a este Anexo por referencia. Se mantiene en un solo lugar en lugar de duplicarse en esta página a propósito: una lista reescrita en un documento legal es una lista que queda obsoleta el día que cambia un proveedor, y un anexo desactualizado es peor que un enlace. A la fecha de entrada en vigor, las categorías son: traducción con IA, control de calidad automatizado, extracción de glosarios y sugerencias visuales en contexto, procesadas en Estados Unidos y contratadas siempre que se utiliza una función de IA; incrustaciones de texto para la memoria de traducción semántica, procesadas en Estados Unidos y contratadas solo cuando un proyecto activa esa función, que está desactivada de forma predeterminada; un motor de traducción alternativo opcional accesible a través de un enrutador de API en Estados Unidos y alojado en Singapur, contratado solo cuando un operador enruta un nivel hacia él, lo cual está desactivado de forma predeterminada; alojamiento en la nube, base de datos y almacenamiento de objetos, en la región fijada durante el despliegue y contratado siempre; procesamiento de pagos, en Estados Unidos y la Unión Europea, contratado solo para planes de pago; entrega de correos electrónicos transaccionales, contratado siempre; y mensajería de soporte dentro del producto, contratada solo cuando el mensajero de soporte está habilitado. Cuando un cliente proporciona sus propias credenciales para una alternativa de traducción automática opcional, el cliente es el responsable del tratamiento de esa transferencia y el proveedor no es nuestro subencargado del tratamiento.