Conditions de sous-traitant, annexes incluses.

Le présent Avenant au traitement des données (« DPA ») fait partie intégrante des Conditions d’utilisation ou de tout autre accord écrit (l’« Accord ») entre Digital Socket LLC, une société à responsabilité limitée constituée dans le Delaware, aux États-Unis, exerçant ses activités sous le nom de Transglot (« Transglot », le « Sous-traitant ») et le client (le « Client », le « Responsable du traitement »), et s’applique chaque fois que nous traitons des Données personnelles du Client pour le compte de ce dernier dans le cadre de la fourniture du Service. Il est incorporé par référence à l’Accord et prend effet en même temps que celui-ci ; aucune signature n’est requise pour qu’il nous lie. Lorsque le Client agit lui-même en tant que sous-traitant pour le compte d’un responsable du traitement tiers, le Client est l’exportateur et le présent DPA s’applique comme s’il était le responsable du traitement, et le Client confirme qu’il dispose de l’autorité de son propre responsable du traitement pour y souscrire selon ces modalités.

« Loi sur la protection des données » désigne toutes les lois relatives au traitement des données à caractère personnel applicables à une partie, y compris le Règlement général sur la protection des données (UE) 2016/679 (« RGPD »), le RGPD britannique et la loi de 2018 sur la protection des données (Data Protection Act 2018), la loi fédérale suisse sur la protection des données, la California Consumer Privacy Act telle que modifiée (« CCPA ») et les lois comparables des États américains en matière de confidentialité. « Données personnelles du Client » désigne les données à caractère personnel contenues dans le Contenu du Client ou autrement traitées par nous pour le compte du Client. « Clauses contractuelles types » ou « CCT » désigne les clauses annexées à la décision d’exécution (UE) 2021/914 de la Commission. « Addendum britannique » désigne l’International Data Transfer Addendum publié par le commissaire à l’information du Royaume-Uni en vertu de l’article 119A de la loi de 2018 sur la protection des données. « Sous-traitant ultérieur » désigne un tiers engagé par nous pour traiter des Données personnelles du Client. Les termes « Responsable du traitement », « sous-traitant », « personne concernée », « données à caractère personnel », « traitement », « violation de données à caractère personnel » et « autorité de contrôle » ont les significations qui leur sont attribuées par le RGPD, et les termes équivalents dans d’autres lois ont leur signification équivalente.

En cas de conflit, l’ordre de priorité est le suivant : (a) les Clauses contractuelles types et l’Addendum britannique, lorsqu’ils s’appliquent ; (b) le présent DPA ; (c) toute autre disposition relative à la protection des données figurant dans un Bon de commande ; (d) le reste de l’Accord. Rien dans le présent DPA n’a pour objet d’entrer en conflit avec les obligations d’une partie découlant de la Loi sur la protection des données, et toute disposition qui le ferait serait interprétée de manière à limiter le conflit au strict nécessaire.

Le présent DPA s’applique à compter de la date d’entrée en vigueur de l’Accord jusqu’à ce que nous ne détenions plus aucune Donnée personnelle du Client, ce qui peut survenir après la fin de l’Accord en raison des délais de suppression prévus à la clause 13. Ses obligations survivent à la résiliation aussi longtemps que nous détenons des Données personnelles du Client, et les obligations de confidentialité survivent indéfiniment dans la mesure requise par la Loi sur la protection des données.

Nous traitons les Données personnelles du Client uniquement sur les instructions documentées du Client, y compris pour un transfert vers un pays tiers, sauf si la loi à laquelle nous sommes soumis nous l’impose, auquel cas nous informerons le Client de cette exigence avant le traitement, à moins que la loi ne l’interdise pour des motifs importants d’intérêt public. L’Accord, le présent DPA, la Documentation et la configuration définie par le Client dans le produit (projets, paramètres régionaux, connecteurs, abonnements aux webhooks, options de rétention, option de mémoire de traduction ainsi que les paramètres de moteur et de qualité mis à la disposition du Client) constituent ensemble les instructions documentées complètes du Client. Nous informerons le Client si, selon nous, une instruction enfreint la Loi sur la protection des données, et nous pouvons suspendre le traitement concerné jusqu’à ce qu’elle soit retirée ou modifiée plutôt que de l’exécuter.

Nous traitons les Données personnelles du Client uniquement afin de fournir, sécuriser, soutenir et maintenir le Service pour le Client, et à aucune autre fin indépendante de notre part. Nous ne vendons pas les Données personnelles du Client, nous ne les partageons pas à des fins de publicité comportementale intercontextuelle, nous ne les combinons pas avec des données à caractère personnel reçues d’autres sources, sauf lorsque cela est permis par la Loi sur la protection des données pour un fournisseur de services, et nous ne les utilisons pas pour entraîner, affiner ou évaluer un modèle d’apprentissage automatique. Nos sous-traitants IA les traitent uniquement pour l’inférence, selon des conditions commerciales qui interdisent leur utilisation pour l’entraînement. Nous pouvons créer et utiliser des statistiques agrégées ou anonymisées qui n’identifient ni le Client ni aucune personne concernée, et nous ne tenterons pas de les réidentifier.

Nous veillons à ce que toute personne autorisée à traiter les Données personnelles du Client soit soumise à une obligation de confidentialité appropriée, qu’elle soit contractuelle ou légale, qui survit à la fin de son engagement. L’accès est accordé selon le principe du moindre privilège, limité à ce dont une personne a besoin pour exercer ses fonctions, révisé périodiquement et révoqué rapidement en cas de changement de rôle ou de départ. Le personnel ayant accès reçoit une formation sur la protection des données et la sécurité adaptée à son rôle.

Nous mettons en œuvre et maintenons les mesures techniques et organisationnelles énoncées à l’Annexe II, en tenant compte de l’état de la technique, des coûts de mise en œuvre ainsi que de la nature, de la portée, du contexte et des finalités du traitement, ainsi que des risques pour les personnes concernées. Nous pouvons mettre à jour ces mesures au fil du temps, à condition que le niveau global de protection ne soit pas sensiblement réduit pendant la période d’abonnement payant. L’Annexe II indique délibérément nos lacunes ainsi que nos contrôles : une annexe sur les mesures qui ne liste que les points forts n’est pas un document sur lequel un examinateur peut se fier.

Le Client donne une autorisation écrite générale nous permettant d’engager des sous-traitants ultérieurs, dans les catégories décrites dans le document relatif aux sous-traitants, et autorise spécifiquement ceux figurant dans la liste des sous-traitants fournie à l’Annexe III à la date d’entrée en vigueur. Nous imposons à chaque sous-traitant ultérieur des obligations en matière de protection des données au moins aussi protectrices que celles du présent DPA, par le biais d’un contrat écrit, et nous restons entièrement responsables envers le Client de l’exécution par un sous-traitant ultérieur de ses obligations. Nous donnerons au Client un préavis d’au moins trente jours, par courriel adressé aux propriétaires du compte, avant qu’un nouveau sous-traitant ultérieur ne commence à traiter des Données personnelles du Client. Le Client peut s’y opposer pour des motifs raisonnables et documentés liés à la protection des données dans ce délai, auquel cas nous travaillerons de bonne foi pour proposer un changement de configuration ou une alternative évitant le traitement ; si nous ne pouvons pas le faire dans un délai raisonnable, le Client peut résilier l’abonnement concerné sans pénalité et recevoir un remboursement au prorata des frais prépayés non utilisés.

Compte tenu de la nature du traitement, nous assistons le Client par des mesures techniques et organisationnelles appropriées, dans la mesure du possible, pour respecter l’obligation du Client de répondre à une personne concernée exerçant ses droits d’accès, de rectification, d’effacement, de limitation, de portabilité ou d’opposition. Le produit lui-même constitue la première ligne de cette assistance : les propriétaires de compte et les administrateurs d’espace de travail peuvent rechercher, modifier et supprimer le contenu des projets, gérer les membres et les rôles, et récupérer le contenu des projets via le point de terminaison API pull, l’interface en ligne de commande, le bundle de livraison ou un connecteur de stockage sur un plan payant, et les propriétaires de compte peuvent supprimer l’espace de travail. Lorsque le produit ne peut pas répondre à une demande, nous aiderons sur demande dans un délai raisonnable et sans frais pour un volume raisonnable de demandes. Si une personne concernée nous contacte directement au sujet des Données personnelles du Client, nous ne répondrons pas substantiellement nous-mêmes ; nous lui dirons de contacter le Client et, sauf interdiction, nous informerons le Client rapidement.

Compte tenu de la nature du traitement et des informations dont nous disposons, nous assistons le Client dans le respect de ses obligations en vertu des articles 32 à 36 du RGPD et de leurs équivalents, y compris les analyses d’impact sur la protection des données et la consultation préalable d’une autorité de contrôle. En pratique, cela signifie fournir cet Avenant, l’Annexe II, les divulgations du Centre de confiance, le calendrier de conservation dans la Politique de confidentialité, notre documentation de sécurité et des réponses écrites raisonnables à un questionnaire de sécurité ou de confidentialité. Nous pouvons facturer l’assistance qui dépasse matériellement un volume raisonnable, selon nos tarifs actuels de services professionnels, et nous le signalerons avant d’effectuer le travail plutôt qu’après.

Nous notifions le Client sans retard injustifié, et en tout cas dans les soixante-douze heures, après avoir pris connaissance d’une violation de données personnelles affectant les Données personnelles du Client. L’avis décrit, dans la mesure connue au moment de l’envoi et mis à jour à mesure que nous en apprenons davantage : la nature de la violation, y compris, si possible, les catégories et le nombre approximatif de personnes concernées et d’enregistrements concernés ; les conséquences probables ; les mesures prises ou proposées pour y remédier et en atténuer les effets ; et un point de contact pour de plus amples informations. Nous coopérons avec le Client et prenons les mesures que le Client demande raisonnablement pour l’aider dans sa propre enquête et notification. Un avis ne constitue pas, et ne sera pas interprété comme, un aveu de faute ou de responsabilité. Nous ne retarderons pas un avis afin de terminer d’abord une enquête.

Au choix du Client, nous supprimons ou restituons les Données personnelles du Client à la fin de la prestation des services, et supprimons les copies existantes, sauf si une loi à laquelle nous sommes soumis exige leur conservation. Dans le produit, cela fonctionne comme suit : l’annulation d’un abonnement fait passer le Compte au plan Gratuit, qui inclut un espace de travail, et tous les autres espaces de travail deviennent en lecture seule et sont supprimés 30 jours plus tard, ou plus tôt pour un espace de travail ayant connu la même situation récemment comme le décrit la clause 13 des Conditions d’utilisation, sauf si le Client effectue une mise à niveau ou le déplace d’abord ; la suppression d’un espace de travail le rend en lecture seule pendant 30 jours, période durant laquelle un propriétaire de compte peut le restaurer, et après cette période, l’espace de travail est purgé de la base de données active, y compris les projets, les traductions, l’historique des versions, les registres d’utilisation, les registres de livraison des webhooks, les captures d’écran et les événements d’audit ; la fermeture du Compte supprime chaque espace de travail qu’il contient de la même manière et conserve les factures du Compte pendant 7 années ; la suppression de la connexion d’un Utilisateur est immédiate et irréversible. Le contenu que le Client récupère via l’API, l’interface en ligne de commande, le bundle de livraison ou un connecteur de stockage échappe à notre contrôle dès que nous le livrons. Les sauvegardes chiffrées ne sont pas atteintes par la purge et expirent selon les calendriers de l’Annexe II ; tant qu’elles existent, elles sont isolées, chiffrées et restaurées uniquement pour la reprise après sinistre, jamais pour remettre un espace de travail purgé en service. Une demande écrite de restitution dans un format structuré faite avant la suppression sera honorée une fois, sans frais, dans un délai raisonnable.

Nous mettons à la disposition du Client les informations raisonnablement nécessaires pour démontrer la conformité à la présente DPA et à l’article 28 du RGPD, et nous permettons et contribuons aux audits, y compris les inspections, menés par le Client ou un auditeur qu’il mandate. En premier lieu, cette obligation est satisfaite par la présente DPA, l’Annexe II, le Centre de confiance, la page sur la sécurité et nos réponses complétées au questionnaire de sécurité. Lorsque ceux-ci sont véritablement insuffisants pour satisfaire aux obligations réglementaires du Client, le Client peut effectuer un audit une fois sur toute période de douze mois, moyennant un préavis écrit d’au moins trente jours, pendant les heures ouvrables, sans perturber déraisonnablement nos opérations, sous réserve d’obligations de confidentialité, limité aux systèmes et dossiers relatifs aux données propres du Client, et aux frais du Client. Une autorité de contrôle exerçant un pouvoir légal n’est soumise à aucune de ces limites. Un auditeur ne peut pas être un concurrent de notre entreprise, et nous pouvons exiger de sa part un engagement de confidentialité distinct.

Lorsque notre traitement des Données personnelles du Client implique un transfert depuis l’Espace économique européen vers un pays non couvert par une décision d’adéquation, les Clauses contractuelles types sont incorporées à la présente DPA et en font partie intégrante, et s’appliquent comme suit. Le Module Deux (responsable de traitement à sous-traitant) s’applique lorsque le Client est un responsable de traitement. Le Module Trois (sous-traitant à sous-traitant) s’applique lorsque le Client est lui-même un sous-traitant. La Clause 7 (clause d’adhésion) s’applique. À la Clause 9, l’Option 2 (autorisation écrite générale) est sélectionnée, avec le délai de préavis indiqué à la clause 09 ci-dessus. À la Clause 11, la formulation optionnelle relative au règlement indépendant des litiges n’est pas sélectionnée. À la Clause 17, les Clauses sont régies par le droit de la République d’Irlande, sauf si les parties conviennent du droit d’un autre État membre de l’UE dans un Bon de commande. À la Clause 18(b), les litiges sont résolus devant les tribunaux de la République d’Irlande sur la même base. L’Annexe I(A) concerne les parties, l’Annexe I(B) décrit le transfert, l’Annexe I(C) identifie l’autorité de contrôle compétente, l’Annexe II détaille les mesures techniques et organisationnelles, et l’Annexe III contient la liste des sous-traitants, chacun tel qu’énoncé ci-dessous.

Pour un transfert soumis au RGPD du Royaume-Uni, l’Addendum britannique est incorporé et rempli comme suit : le Tableau 1 est rempli par l’Annexe I(A); les Tableaux 2 et 3 sont remplis par la clause 15 et les Annexes I et II de la présente DPA, en s’appuyant sur la version des Clauses contractuelles types approuvées par l’UE; et dans le Tableau 4, aucune des parties ne peut mettre fin à l’Addendum lorsque l’Addendum approuvé change. Pour un transfert soumis au droit suisse, les références dans les CCT au RGPD s’entendent comme des références à la Loi fédérale suisse sur la protection des données, l’autorité compétente est le Commissaire fédéral à la protection des données et à l’information, les références à un État membre ne privent pas une personne concernée en Suisse du droit d’intenter une action en justice dans son lieu de résidence habituelle, et les CCT protègent les données des personnes morales jusqu’à ce que le droit suisse ne l’exige plus.

Si nous recevons une demande juridiquement contraignante d’une autorité publique concernant des Données personnelles du Client, nous : examinerons sa validité et sa portée et la contesterons s’il existe des motifs raisonnables de la considérer comme illégale; ne divulguerons que le minimum requis par la demande; et aviserons le Client rapidement avec suffisamment de détails pour permettre une réponse, sauf interdiction légale, auquel cas nous ferons des efforts raisonnables pour obtenir une levée de l’interdiction et solliciter une mesure provisoire permettant la divulgation. Nous conservons un registre des demandes reçues et des réponses fournies, et nous le mettons à la disposition du Client et d’une autorité de contrôle sur demande, dans la mesure où la loi le permet. Nous n’avons reçu aucune demande gouvernementale nous obligeant à créer ou à maintenir un mécanisme d’accès général aux Données personnelles du Client, et nous n’en créerons pas volontairement.

Pour les renseignements personnels assujettis à la CCPA, le Client est l’entreprise et nous sommes un prestataire de services. Il nous est interdit de vendre ou de partager ces renseignements personnels; de les conserver, de les utiliser ou de les divulguer à toute fin autre que les fins commerciales spécifiées dans l’Entente ou autrement permises par la CCPA; de les conserver, de les utiliser ou de les divulguer en dehors de la relation commerciale directe entre les parties; ou de les combiner avec des renseignements personnels reçus d’une autre source, sauf dans les cas où la CCPA le permet à un prestataire de services. Nous certifions que nous comprenons et respecterons ces restrictions. Nous aviserons le Client si nous déterminons que nous ne pouvons plus les respecter. Le Client peut prendre des mesures raisonnables et appropriées pour arrêter et corriger toute utilisation non autorisée, en utilisant les droits d’audit prévus à la clause 14. Nous fournissons le même niveau de protection de la vie privée que celui exigé par la CCPA pour l’entreprise.

Lorsqu’une loi étatique globale sur la confidentialité s’applique et exige un contrat de sous-traitance avec des conditions spécifiques, la présente DPA constitue ce contrat : elle définit la nature et la finalité du traitement, le type de données, la durée, les droits et obligations des deux parties, notre devoir de confidentialité, notre engagement de sous-traitants selon des conditions écrites équivalentes, notre assistance concernant les demandes d’exercice des droits des consommateurs et les obligations de sécurité, notre obligation de suppression ou de restitution à la fin des services, et notre obligation de mettre à disposition les informations nécessaires pour démontrer la conformité et permettre une évaluation raisonnable. Nous agissons en tant que sous-traitant ou prestataire de services en vertu de ces lois et jamais en tant que responsable de traitement des Données personnelles du Client.

La responsabilité de chaque partie découlant de la présente DPA ou s’y rapportant, qu’elle soit contractuelle, délictuelle ou fondée sur toute autre théorie, est soumise aux limitations et exclusions de responsabilité prévues dans l’Entente, et toute référence dans ces limitations à la responsabilité d’une partie s’entend de la responsabilité cumulative de cette partie au titre de l’Entente et de la présente DPA conjointement. Rien dans cette clause ne limite les droits d’une personne concernée en vertu des Clauses contractuelles types ou de la législation sur la protection des données, et rien ne limite une responsabilité qui ne peut pas être légalement limitée.

Nous pouvons mettre à jour la présente DPA lorsque cela est nécessaire pour refléter un changement dans la législation sur la protection des données, un nouveau mécanisme de transfert ou un mécanisme modifié, une décision d’une autorité de contrôle ou d’un tribunal, ou un changement matériel dans la manière dont le Service traite les Données personnelles du Client, à condition que la mise à jour ne réduise pas matériellement la protection accordée aux Données personnelles du Client. Nous donnons un préavis d’au moins trente jours pour toute mise à jour matérielle, par courriel et sur cette page, et nous modifions la date d’entrée en vigueur en haut de page. Nous conservons la version remplacée disponible sur demande.

La présente DPA nous lie sans signature, de sorte que le Client n’a pas besoin d’une signature pour être protégé. Si votre processus exige un exemplaire signé pour vos dossiers, ou si vous souhaitez proposer un suivi des modifications, écrivez à privacy@transglot.ai en indiquant le nom de l’entité légale, l’adresse enregistrée, le contact pour les avis et le signataire, et nous vous retournerons une copie signée. Nous répondons aux questionnaires sur la sécurité et la confidentialité à partir de la même adresse, et le Centre de confiance contient la documentation dont la plupart des évaluateurs ont besoin avant de nous contacter.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, une société à responsabilité limitée constituée dans le Delaware, aux États-Unis, exerçant ses activités sous le nom de Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

La liste officielle et à jour des sous-traitants est tenue par nous et fournie au Client sur demande, sous accord de confidentialité, en écrivant à privacy@transglot.ai. Les catégories, la finalité, la région et les conditions d’engagement de chacun sont publiées dans le Centre de confiance et résumées dans le document Sous-traitants, lequel est intégré à la présente Annexe par référence. Elle est centralisée plutôt que dupliquée sur cette page exprès : une liste retapée dans un document juridique devient obsolète dès qu’un fournisseur change, et une annexe périmée est pire qu’un lien. À la date d’entrée en vigueur, les catégories sont : traduction IA, contrôle qualité automatisé, extraction de glossaire et suggestions visuelles contextuelles, traités aux États-Unis et engagés chaque fois qu’une fonctionnalité IA est utilisée; embeddings de texte pour la mémoire de traduction sémantique, traités aux États-Unis et engagés uniquement lorsqu’un projet active cette fonctionnalité, laquelle est désactivée par défaut; un moteur de traduction alternatif optionnel accessible via un routeur API aux États-Unis et hébergé à Singapour, engagé uniquement lorsqu’un opérateur y achemine un niveau, ce qui est désactivé par défaut; hébergement cloud, base de données et stockage d’objets, dans la région fixée au déploiement et engagés en permanence; traitement des paiements, aux États-Unis et dans l’Union européenne, engagé uniquement pour les plans payants; livraison d’e-mails transactionnels, engagée en permanence; et messagerie de support intégrée au produit, engagée uniquement lorsque le messenger de support est activé. Lorsqu’un client fournit ses propres identifiants pour un secours de traduction automatique optionnel, le client est le responsable du traitement de ce transfert et le fournisseur n’est pas notre sous-traitant.