처리자 조항, 부속서 포함.

본 데이터 처리 부록("DPA")은 미국 델라웨어주에 설립된 유한책임회사인 Digital Socket LLC(상호: Transglot)("Transglot", "처리자")와 고객("고객", "관리자") 간의 서비스 약관 또는 기타 서면 계약("계약")의 일부를 구성하며, 서비스 제공 과정에서 고객을 대신하여 고객 개인 데이터를 처리하는 모든 경우에 적용됩니다. 이는 참조에 의해 계약서에 통합되며 계약서와 동시에 효력이 발생합니다; 당사를 구속하기 위해 서명이 필요하지 않습니다. 고객이 제3자 관리자를 위해 행동하는 처리자 자체인 경우, 고객은 수출자이며 본 DPA는 마치 고객이 관리자였던 것처럼 적용되며, 고객은 자신의 관리자로부터 해당 조건으로 체결할 권한이 있음을 확인합니다.

"데이터 보호법"은 당사에게 적용되는 개인 데이터 처리에 관한 모든 법률을 의미하며, EU 일반 데이터 보호 규정 2016/679("GDPR"), 영국 GDPR 및 2018년 데이터 보호법, 스위스 연방 데이터 보호법, 개정된 캘리포니아 소비자 개인정보 보호법("CCPA") 및 미국의 유사한 주 개인정보 보호법을 포함합니다. "고객 개인 데이터"는 고객 콘텐츠에 포함된 개인 데이터 또는 당사가 고객을 대신하여 처리하는 기타 개인 데이터를 의미합니다. "표준 계약 조항" 또는 "SCCs"는 위원회 시행 결정(EU) 2021/914에 첨부된 조항을 의미합니다. "영국 부록"은 2018년 데이터 보호법 제119A조에 따라 영국 정보위원회가 발행한 국제 데이터 이전 부록을 의미합니다. "하위 처리자"는 당사가 고객 개인 데이터를 처리하기 위해 고용한 제3자를 의미합니다. "관리자", "처리자", "데이터 주체", "개인 데이터", "처리", "개인 데이터 유출" 및 "감독 기관"은 GDPR에서 부여된 의미를 가지며, 다른 법률의 동등한 용어는 그에 상응하는 의미를 가집니다.

충돌이 발생할 경우 우선 순위는 다음과 같습니다: (a) 적용되는 경우 표준 계약 조항 및 영국 부록; (b) 본 DPA; (c) 주문서에 포함된 기타 데이터 보호 관련 조항; (d) 계약서의 나머지 부분. 본 DPA의 어떠한 내용도 당사자의 데이터 보호법상 의무와 충돌하도록 의도되지 않으며, 그러한 충돌을 일으키는 조항은 충돌을 제거하는 데 필요한 최소한의 범위 내에서 해석됩니다.

본 DPA는 계약의 효력 발생일부터 당사가 더 이상 고객 개인 데이터를 보유하지 않을 때까지 적용되며, 이는 제13조의 삭제 일정으로 인해 계약 종료 후에도 지속될 수 있습니다. 본 DPA의 의무는 당사가 고객 개인 데이터를 보유하는 동안 계약 종료 후에도 유효하며, 기밀 유지 의무는 데이터 보호법이 요구하는 범위 내에서 무기한 유효합니다.

당사는 고객의 문서화된 지시에 따라서만 고객 개인 데이터를 처리하며, 여기에는 제3국으로의 전송도 포함됩니다. 단, 당사가 준수해야 하는 법률에 의해 요구되는 경우는 예외이며, 이 경우 당사는 공공 이익의 중요한 사유로 법률이 금지하지 않는 한 처리 전에 해당 요구 사항을 고객에게 알립니다. 계약서, 본 DPA, 문서화 자료 및 고객이 제품에서 설정한 구성(프로젝트, 로케일, 커넥터, 웹후크 구독, 보존 스위치, 번역 메모리 스위치 및 고객이 사용할 수 있는 엔진 및 품질 설정)은 모두 고객의 완전한 문서화된 지시를 구성합니다. 당사는 특정 지시가 데이터 보호법을 위반한다고 판단될 경우 고객에게 이를 알리며, 해당 지시를 실행하기보다는 철회되거나 수정될 때까지 영향을 받는 처리를 중단할 수 있습니다.

당사는 고객 개인 데이터를 오직 고객을 위해 서비스를 제공, 보안, 지원 및 유지 관리하기 위한 목적으로만 처리하며, 당사의 독립적인 목적을 위해 사용하지 않습니다. 당사는 고객 개인 데이터를 판매하지 않으며, 교차 컨텍스트 행동 광고를 위해 공유하지 않으며, 서비스 제공자에게 데이터 보호법이 허용하는 경우를 제외하고 다른 출처에서 받은 개인 데이터와 결합하지 않으며, 머신 러닝 모델을 훈련, 미세 조정 또는 평가하는 데 사용하지 않습니다. 당사의 AI 하위 처리자는 상업적 조건 하에서 이에 대한 훈련을 금지하는 인퍼런스 목적으로만 이를 처리합니다. 당사는 고객이나 데이터 주체를 식별할 수 없는 집계되거나 비식별화된 통계를 생성하고 사용할 수 있으며, 이를 재식별하려고 시도하지 않습니다.

당사는 고객 개인 데이터 처리를 승인받은 모든 사람이 계약상 또는 법정상의 적절한 기밀 유지 의무를 부담하도록 하며, 이 의무는 그들의 관여가 종료된 후에도 유효합니다. 접근 권한은 최소 권한 원칙에 따라 부여되며, 개인이 역할을 수행하는 데 필요한 범위로 제한되고, 정기적으로 검토되며 역할 변경 또는 퇴사 시 즉시 철회됩니다. 접근 권한이 있는 인력은 그들의 역할에 적합한 데이터 보호 및 보안 교육을 받습니다.

당사는 기술 및 조직적 조치를 부록 II에 명시된 대로 구현하고 유지하며, 최신 기술 상태, 구현 비용, 처리의 성격, 범위, 맥락 및 목적, 그리고 데이터 주체에 대한 위험을 고려합니다. 당사는 유료 구독 기간 동안 전반적인 보호 수준이 실질적으로 감소하지 않는다면 시간이 지남에 따라 이러한 조치를 업데이트할 수 있습니다. 부록 II는 당사의 통제 조치뿐만 아니라 격차도 의도적으로 명시합니다. 강점만 나열하는 조치 부록은 검토자가 의존할 수 있는 문서가 아닙니다.

고객은 하위 처리자 문서에 설명된 카테고리에서 당사가 하위 처리자를 고용할 수 있도록 일반적인 서면 승인을 부여하며, 구체적으로 효력 발생일 기준 부록 III에 제공된 하위 처리자 목록에 있는 하위 처리자를 승인합니다. 당사는 각 하위 처리자에게 서면 계약을 통해 본 DPA의 의무보다 덜 보호적이지 않은 데이터 보호 의무를 부과하며, 하위 처리자의 의무 이행에 대해 고객에게 전적으로 책임을 집니다. 당사는 새로운 하위 처리자가 고객 개인 데이터 처리를 시작하기 전에 최소 30일 전에 계정 소유자에게 이메일로 통지합니다. 고객은 해당 기간 내에 합리적인 문서화된 데이터 보호 사유를 바탕으로 이의를 제기할 수 있으며, 이 경우 당사는 선의에 따라 처리를 피할 수 있는 구성 변경 또는 대안을 제공하기 위해 노력합니다. 합리적인 시간 내에 해결할 수 없는 경우, 고객은 영향받는 구독을 위약금 없이 종료하고 미사용 선불 요금의 비례 환불을 받을 수 있습니다.

Taking into account the nature of the processing, we assist the Customer by appropriate technical and organisational measures, insofar as this is possible, in fulfilling the Customer’s obligation to respond to a data subject exercising rights of access, rectification, erasure, restriction, portability or objection. The product itself is the first line of that assistance: the Account Owners and the workspace admins can search, edit and delete project content, manage members and roles, and retrieve project content through the API pull endpoint, the command line interface, the delivery bundle or a storage connector on a paid plan, and the Account Owners can delete the workspace. Where the product cannot answer a request, we will help on request within a reasonable period and at no charge for a reasonable volume of requests. If a data subject contacts us directly about Customer Personal Data, we will not respond substantively ourselves; we will tell them to contact the Customer and, unless prohibited, tell the Customer promptly.

처리 성격과 당사에게 이용 가능한 정보를 고려하여, 당사는 GDPR 제32조부터 제36조까지 및 이에 상응하는 규정(데이터 보호 영향 평가 및 감독 기관과의 사전 협의 포함) 하에서의 고객 의무 이행을 지원합니다. 실제로 이는 본 DPA, 부속서 II, 트러스트 센터 공개 정보, 개인정보 보호정책의 보존 일정, 보안 문서 및 보안 또는 개인정보 설문지에 대한 합리적인 서면 답변을 제공하는 것을 의미합니다. 당사는 합리적인 분량을 크게 초과하는 지원에 대해서는 당시의 전문 서비스 요율을 기준으로 비용을 청구할 수 있으며, 작업 수행 후가 아닌 이전에 이를 고지합니다.

당사는 고객 개인 데이터에 영향을 미치는 개인 데이터 유출을 인지한 후 지체 없이, 어떤 경우에도 72시간 이내에 고객에게 통지합니다. 통지서는 당시 알려진 범위에서 설명하며, 추가 정보가 확보됨에 따라 업데이트됩니다: 가능한 경우 관련 데이터 주체 및 기록의 범주와 대략적인 수를 포함한 유출의 성격; 잠재적 결과; 이를 해결하고 영향을 완화하기 위해 취해진 또는 제안된 조치; 그리고 추가 정보를 위한 연락처. 당사는 고객과 협력하고 고객의 자체 조사 및 통지를 지원하기 위해 고객이 합리적으로 요청하는 단계를 취합니다. 통지는 과실 또는 책임의 인정으로 해석되지 않으며, 그렇게 간주되지도 않습니다. 당사는 조사를 먼저 완료하기 위해 통지를 지연시키지 않습니다.

At the Customer’s choice, we delete or return Customer Personal Data at the end of the provision of services, and delete existing copies, unless a law to which we are subject requires storage. In the product that works as follows: cancelling a subscription moves the Account to the Free plan, which includes one workspace, and every other workspace becomes read only and is deleted 30 days later, or sooner for a workspace that went through the same recently as clause 13 of the Terms of Service describes, unless the Customer upgrades or moves it first; deleting a workspace makes it read only for 30 days, during which an Account Owner can restore it, and after that period the workspace is purged from the live database, including projects, translations, version history, usage records, webhook delivery records, screenshots and audit events; closing the Account deletes every workspace on it in the same way and keeps the Account’s invoices for 7 years; deleting a User’s login is immediate and irreversible. Content the Customer retrieves through the API, the command line interface, the delivery bundle or a storage connector is out of our hands from the moment we deliver it. Encrypted backups are not reached by the purge and expire on the schedules in Annex II; while they exist they are isolated, encrypted and restored only for disaster recovery, never to return a purged workspace to service. A written request for return in a structured format made before deletion will be honoured once, at no charge, within a reasonable period.

당사는 고객에게 본 DPA 및 GDPR 제28조 준수를 입증하는 데 합리적으로 필요한 정보를 제공하며, 고객 또는 고객이 위임한 감사관이 실시하는 감사(검사 포함)를 허용하고 이에 기여합니다. 우선적으로 이 의무는 본 DPA, 부속서 II, 트러스트 센터, 보안 페이지 및 완성된 보안 설문지 응답을 통해 충족됩니다. 이러한 정보가 고객의 규제 의무를 위해 진정으로 불충분한 경우, 고객은 12개월 기간당 한 번, 최소 30일의 서면 통지를 거쳐, 영업 시간 중에, 당사 운영을 부당하게 방해하지 않고, 기밀 유지 의무를 조건으로, 고객 자신의 데이터와 관련된 시스템 및 기록으로 한정하여, 고객의 비용으로 감사할 수 있습니다. 법정 권한을 행사하는 감독 기관은 이러한 제한의 대상이 아닙니다. 감사관은 당사의 경쟁사가 될 수 없으며, 당사는 감사관으로부터 별도의 기밀 유지 서약을 요구할 수 있습니다.

고객 개인 데이터의 처리가 적정성 결정으로 커버되지 않는 국가로의 유럽 경제 지역으로부터의 전송을 포함하는 경우, 표준 계약 조항은 본 DPA에 통합되어 그 일부가 되며 다음과 같이 적용됩니다. 고객이 데이터 관리자일 경우 모듈 2(데이터 관리자에게서 데이터 처리자로)가 적용됩니다. 고객 자체가 데이터 처리자인 경우 모듈 3(데이터 처리자에게서 데이터 처리자로)이 적용됩니다. 조항 7(도킹 조항)이 적용됩니다. 조항 9에서는 옵션 2(일반 서면 승인)가 선택되며, 통지 기간은 위의 조항 09에 명시된 대로입니다. 조항 11에서는 선택적 독립 분쟁 해결 문구가 선택되지 않았습니다. 조항 17에서는 당사자가 주문서에 다른 EU 회원국 법률에 동의하지 않는 한, 조항들은 아일랜드 공화국 법률의 지배를 받습니다. 조항 18(b)에서는 분쟁이 동일한 근거로 아일랜드 공화국의 법원에서 해결됩니다. 부록 I(A)는 당사자, 부록 I(B)는 전송 설명, 부록 I(C)는 관할 감독 기관, 부록 II는 기술 및 조직적 조치, 부록 III는 하위 처리자 목록이며, 각각은 아래에 명시된 바와 같습니다.

UK GDPR의 적용을 받는 전송의 경우, UK 부록은 다음과 같이 통합되고 완성됩니다: 표 1은 부록 I(A)로 완성됩니다; 표 2와 3은 본 DPA의 조항 15 및 부록 I과 II로 완성되며, 의존하는 버전은 승인된 EU SCCs입니다; 그리고 표 4에서는 승인된 부록이 변경될 때 어느 당사자도 부록을 종료할 수 없습니다. 스위스 법률의 적용을 받는 전송의 경우, SCCs 내의 GDPR에 대한 참조는 스위스 연방 데이터 보호법에 대한 참조로 읽히며, 관할 당국은 연방 데이터 보호 및 정보 위원회입니다. 회원국에 대한 참조는 스위스에 거주하는 데이터 주체가 habitual residence에서 소송을 제기할 권리를 박탈하지 않으며, SCCs는 스위스 법률이 더 이상 요구하지 않을 때까지 법인 실체의 데이터를 보호합니다.

공공 기관으로부터 고객 개인 데이터에 대한 법적 구속력 있는 요청을 받은 경우, 당사는: 유효성과 범위를 검토하고 불법이라고 합리적으로 고려할 만한 근거가 있는 경우 이에 이의를 제기합니다; 요청이 요구하는 최소한의 정보만 공개합니다; 그리고 법적으로 금지되지 않는 한, 응답할 수 있도록 충분한 세부 사항을 포함하여 고객에게 즉시 통지합니다. 법적으로 금지된 경우, 당사는 금지 조항의 면제를 얻고 공개를 허용하는 임시 조치를 구하기 위해 합리적인 노력을 기울입니다. 당사는 수신한 요청과 제공한 응답의 기록을 유지하며, 법률이 허용하는 범위 내에서 고객과 감독 기관의 요청 시 이를 제공합니다. 당사는 고객 개인 데이터에 대한 일반 접근 메커니즘을 구축하거나 유지하도록 요구하는 정부 요청을 받은 적이 없으며, 자발적으로 그러한 메커니즘을 구축하지 않을 것입니다.

CCPA의 적용을 받는 개인 정보의 경우, 고객은 사업자이고 당사는 서비스 제공자입니다. 당사는 해당 개인 정보를 판매하거나 공유하는 것이 금지되며, 그렇게 하지 않습니다; 또한 계약서에 명시된 비즈니스 목적이나 CCPA에서 달리 허용되는 경우를 제외하고는 어떤 목적으로도 이를 보유, 사용 또는 공개하지 않습니다; 당사자 간의 직접적인 비즈니스 관계 외부에서 이를 보유, 사용 또는 공개하지 않습니다; 또는 CCPA가 서비스 제공자에게 허용하는 경우를 제외하고는 다른 소스에서 받은 개인 정보와 이를 결합하지 않습니다. 당사는 이러한 제한 사항을 이해하고 준수할 것임을 인증합니다. 당사는 더 이상 이를 준수할 수 없다고 판단하는 경우 고객에게 통지합니다. 고객은 조항 14의 감사 권한을 사용하여 무단 사용을 중단하고 시정하기 위한 합리적이고 적절한 조치를 취할 수 있습니다. 당사는 CCPA가 사업자에게 요구하는 것과 동일한 수준의 개인정보 보호를 제공합니다.

포괄적인 주 개인정보 보호법이 적용되고 특정 조항이 포함된 처리자 계약을 요구하는 경우, 본 DPA가 해당 계약입니다: 이는 처리의 성격과 목적, 데이터 유형, 기간, 양 당사자의 권리 및 의무, 당사의 기밀 유지 의무, 동등한 서면 조건 하에서의 하위 처리자 참여, 소비자 권리 요청 및 보안 의무 지원, 서비스 종료 시 삭제 또는 반환 의무, 그리고 규정 준수를 입증하고 합리적인 평가를 허용하는 데 필요한 정보를 제공할 의무를 명시합니다. 당사는 해당 법률 하에서 처리자 또는 서비스 제공자로 행동하며, 고객 개인 데이터의 데이터 관리자로 행동하지 않습니다.

계약, 불법 행위 또는 기타 이론에 기초하든 상관없이, 본 DPA에서 발생하거나 이와 관련된 각 당사자의 책임은 계약서의 책임 제한 및 배제 조항의 적용을 받으며, 이러한 제한 사항 중 한 당사자의 책임에 대한 모든 참조는 계약서와 본 DPA 하에서의 해당 당사자의 총체적 책임을 의미합니다. 본 조항은 표준 계약 조항 또는 데이터 보호 법률 하의 데이터 주체의 권리를 제한하지 않으며, 법적으로 제한될 수 없는 책임을 제한하지도 않습니다.

당사는 데이터 보호 법률의 변경, 새로운 또는 수정된 전송 메커니즘, 감독 기관 또는 법원의 결정, 또는 서비스가 고객 개인 데이터를 처리하는 방식의 중대한 변경을 반영하기 위해 필요할 경우 본 DPA를 업데이트할 수 있으며, 단 업데이트가 고객 개인 데이터에 제공되는 보호를 실질적으로 감소시키지 않아야 합니다. 당사는 중대한 업데이트에 대해 최소 30일 전에 이메일과 이 페이지를 통해 통지하며, 상단의 효력 발생일을 변경합니다. 당사는 폐기된 버전을 요청 시 이용할 수 있게 유지합니다.

본 DPA는 서명 없이도 당사를 구속하므로, 고객은 보호를 받기 위해 서명이 필요하지 않습니다. 귀하의 절차상 기록 보관을 위해 서명된 사본이 필요하거나 수정 비교본을 요청하려는 경우, 법적 실체 이름, 등록 주소, 통지 연락처 및 서명자를 기재하여 privacy@transglot.ai으로 연락하시면 서명된 사본을 보내드리겠습니다. 당사는 같은 주소로 보안 및 개인정보 설문지에 답변하며, Trust Center에는 대부분의 검토자가 누구에게나 문의하기 전에 필요로 하는 패키지가 포함되어 있습니다.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: 미국 델라웨어주에 설립된 유한책임회사인 Digital Socket LLC(상호: Transglot), acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

하위 처리자(subprocessor)의 권위 있고 최신 목록은 당사가 관리하며, 비공개 유지 계약(NDA) 하에 privacy@transglot.ai로 서면 요청 시 고객에게 제공됩니다. 각 하위 처리자의 카테고리, 목적, 지역 및 참여 조건은 신뢰 센터(Trust Center)에 게시되며 하위 처리자 문서에 요약되어 있으며, 이 문서는 참조에 의해 본 부록에 포함됩니다. 의도적으로 이 페이지에 중복되지 않고 한 곳에서 관리됩니다: 법적 문서에 다시 입력된 목록은 벤더가 변경되는 날 즉시 구식이 되며, 오래된 부록은 링크보다 더 나쁩니다. 효력 발생일 현재 카테고리는 다음과 같습니다: AI 번역, 자동 품질 검사, 용어집 추출 및 컨텍스트 기반 비전 제안(미국에서 처리되며 AI 기능 사용 시 항상 참여); 의미론적 번역 메모리를 위한 텍스트 임베딩(미국에서 처리되며 프로젝트에서 해당 기능을 켤 때만 참여하며 기본값은 꺼짐 상태); 미국 내 API 라우터를 통해 접근하고 싱가포르에서 호스팅되는 선택적 대체 번역 엔진(운영자가 계층을 라우팅할 때만 참여하며 기본값은 꺼짐 상태); 클라우드 호스팅, 데이터베이스 및 객체 스토리지(배포 시 고정된 지역에서 처리되며 항상 참여); 결제 처리(미국 및 유럽 연합에서 처리되며 유료 플랜에만 참여); 트랜잭셔널 이메일 발송(항상 참여); 제품 내 지원 메시징(지원 메신저가 활성화된 경우에만 참여). 고객이 선택적 기계 번역 폴백을 위해 자체 자격 증명을 제공하는 경우, 고객은 해당 이전의 관리자이며 벤더는 당사의 하위 처리자가 아닙니다.