Verwerkersvoorwaarden, inclusief bijlagen.

Deze Verwerkersovereenkomst ("DPA") maakt deel uit van de Servicevoorwaarden of een andere schriftelijke overeenkomst (de "Overeenkomst") tussen Digital Socket LLC, een vennootschap met beperkte aansprakelijkheid opgericht in Delaware, Verenigde Staten, handelend onder de naam Transglot ("Transglot", "Verwerker") en de klant ("Klant", "Verwerkingsverantwoordelijke"), en is van toepassing waar wij namens de Klant Persoonsgegevens van de Klant verwerken bij het leveren van de Dienst. Deze wordt door verwijzing opgenomen in de Overeenkomst en treedt in werking wanneer de Overeenkomst dat doet; er is geen handtekening vereist om ons te binden. Waar de Klant zelf een verwerker is die handelt voor een derde verwerkingsverantwoordelijke, is de Klant de exporteur en is deze DPA van toepassing alsof deze de verwerkingsverantwoordelijke was, en bevestigt de Klant dat deze bevoegdheid heeft van zijn eigen verwerkingsverantwoordelijke om deze onder die voorwaarden aan te gaan.

"Wetgeving inzake gegevensbescherming" betekent alle wetten betreffende de verwerking van persoonsgegevens die op een partij van toepassing zijn, waaronder de Algemene Verordening Gegevensbescherming 2016/679 ("AVG") van de EU, de UK GDPR en de Data Protection Act 2018, de Zwitserse Federale Wet op Gegevensbescherming, de California Consumer Privacy Act zoals gewijzigd ("CCPA") en vergelijkbare staatsprivacywetten in de Verenigde Staten. "Persoonsgegevens van de Klant" betekent persoonsgegevens die vervat zijn in Klantinhoud of anderszins door ons namens de Klant worden verwerkt. "Standaardcontractbepalingen" of "SCB's" betekent de bepalingen gehecht aan Uitvoeringsbesluit (EU) 2021/914 van de Commissie. "UK Addendum" betekent de International Data Transfer Addendum uitgegeven door de UK Information Commissioner onder sectie 119A van de Data Protection Act 2018. "Subverwerker" betekent een derde partij die door ons wordt ingeschakeld om Persoonsgegevens van de Klant te verwerken. "Verwerkingsverantwoordelijke", "verwerker", "betrokkene", "persoonsgegevens", "verwerking", "inbreuk in verband met persoonsgegevens" en "toezichthoudende autoriteit" hebben de betekenissen zoals gegeven in de AVG, en equivalente termen in andere wetten hebben hun equivalente betekenis.

In geval van conflict is de rangorde als volgt: (a) de Standaardcontractbepalingen en de UK Addendum, waar deze van toepassing zijn; (b) deze DPA; (c) eventuele andere gegevensbeschermingsbepalingen in een Order Form; (d) de rest van de Overeenkomst. Niets in deze DPA is bedoeld om strijdig te zijn met de verplichtingen van een partij onder de Wetgeving inzake gegevensbescherming, en elke bepaling die dit wel zou doen, wordt gelezen tot de minimale mate die nodig is om het conflict op te heffen.

Deze DPA is van toepassing vanaf de ingangsdatum van de Overeenkomst totdat wij geen Persoonsgegevens van de Klant meer bezitten, wat na afloop van de Overeenkomst kan zijn vanwege de verwijderingstermijnen in clausule 13. De verplichtingen hiervan blijven van kracht na beëindiging zolang wij Persoonsgegevens van de Klant bezitten, en de geheimhoudingsverplichtingen blijven voor onbepaalde tijd van kracht voor zover vereist door de Wetgeving inzake gegevensbescherming.

Wij verwerken Persoonsgegevens van de Klant alleen op basis van de gedocumenteerde instructies van de Klant, inclusief voor een overdracht naar een derde land, tenzij wij hiertoe verplicht zijn door een wet waaraan wij onderworpen zijn, in welk geval wij de Klant van die vereiste op de hoogte stellen voordat wij de verwerking uitvoeren, tenzij de wet dit verbiedt om belangrijke redenen van algemeen belang. De Overeenkomst, deze DPA, de Documentatie en de configuratie die de Klant in het product instelt (projecten, talen, connectors, webhook-abonnementen, retentietoggles, de schakelaar voor vertaalgeheugen en de engine- en kwaliteitsinstellingen die beschikbaar zijn voor de Klant) vormen samen de volledige gedocumenteerde instructies van de Klant. Wij stellen de Klant op de hoogte als een instructie naar onze mening in strijd is met de Wetgeving inzake gegevensbescherming, en wij kunnen de betreffende verwerking opschorten totdat deze wordt ingetrokken of gewijzigd in plaats van deze uit te voeren.

Wij verwerken Persoonsgegevens van de Klant uitsluitend om de Dienst voor de Klant te leveren, te beveiligen, te ondersteunen en te onderhouden, en voor geen enkel onafhankelijk doel van ons. Wij verkopen geen Persoonsgegevens van de Klant, wij delen deze niet voor cross-contextuele gedragsgerichte advertenties, wij combineren deze niet met persoonsgegevens die wij van andere bronnen ontvangen, behalve zoals toegestaan door de Wetgeving inzake gegevensbescherming voor een dienstverlener, en wij gebruiken deze niet om machine learning-modellen te trainen, fine-tunen of evalueren. Onze AI-subverwerkers verwerken deze alleen voor inferentie, onder commerciële voorwaarden die training hierop verbieden. Wij kunnen geaggregeerde of geanonimiseerde statistieken creëren en gebruiken die noch de Klant noch een betrokkene identificeren, en wij zullen niet proberen hen te heridentificeren.

Wij zorgen ervoor dat elke persoon die bevoegd is om Persoonsgegevens van de Klant te verwerken, onderworpen is aan een passende geheimhoudingsplicht, hetzij contractueel hetzij wettelijk, die van kracht blijft na afloop van hun engagement. Toegang wordt verleend op basis van het minste privilege-principe, beperkt tot wat een persoon nodig heeft om zijn rol uit te voeren, periodiek beoordeeld en prompt ingetrokken bij rolwijziging of vertrek. Personeel met toegang ontvangt gegevensbeschermings- en beveiligingstraining die passend is voor hun rol.

Wij implementeren en onderhouden de technische en organisatorische maatregelen uiteengezet in Bijlage II, rekening houdend met de stand van de techniek, de implementatiekosten en de aard, reikwijdte, context en doeleinden van de verwerking, evenals het risico voor betrokkenen. Wij mogen deze maatregelen in de loop der tijd bijwerken mits het algehele beschermingsniveau tijdens een betaalde abonnementsperiode niet materieel wordt verminderd. Bijlage II vermeldt bewust zowel onze hiaten als onze controles: een maatregelenbijlage die alleen sterke punten opsomt, is geen document waarop een reviewer kan vertrouwen.

De Klant geeft een algemene schriftelijke autorisatie voor ons om Subprocessors in te schakelen, in de categorieën beschreven in het Subprocessors-document, en autoriseert specifiek die in de subprocessorlijst verstrekt onder Bijlage III per de ingangsdatum. Wij leggen elke Subprocessor gegevensbeschermingsverplichtingen op die minstens even beschermend zijn als die in deze DPA, via een schriftelijk contract, en wij blijven volledig aansprakelijk jegens de Klant voor de nakoming van de verplichtingen door een Subprocessor. Wij zullen de Klant minimaal dertig dagen van tevoren informeren, per e-mail aan de Account Owners, voordat een nieuwe Subprocessor begint met het verwerken van Persoonsgegevens van de Klant. De Klant kan binnen die periode bezwaar maken op grond van redelijke, gedocumenteerde gegevensbeschermingsgronden, in welk geval we te goeder trouw zullen werken aan het aanbieden van een configuratiewijziging of een alternatief dat de verwerking vermijdt; als we dat niet binnen een redelijke tijd kunnen, kan de Klant het betreffende abonnement boetevrij opzeggen en een pro-rata terugbetaling ontvangen van vooruitbetaalde, niet-gebruikte vergoedingen.

Rekening houdend met de aard van de verwerking, helpen wij de Klant, voor zover mogelijk, met passende technische en organisatorische maatregelen bij het nakomen van de verplichting van de Klant om te reageren op een betrokkene die rechten uitoefent op inzage, rectificatie, wissen, beperking, overdraagbaarheid of bezwaar. Het product zelf is de eerste lijn van die hulp: de Account Owners en de werkruimtebeheerders kunnen projectinhoud zoeken, bewerken en verwijderen, leden en rollen beheren, en projectinhoud ophalen via het API-pull-eindpunt, de command-line-interface, het leveringsbundel of een storage connector op een betaald abonnement, en de Account Owners kunnen de werkruimte verwijderen. Waar het product niet op een verzoek kan antwoorden, zullen we op verzoek binnen een redelijke termijn en zonder kosten voor een redelijk volume verzoeken helpen. Als een betrokkene direct contact met ons opneemt over Persoonsgegevens van de Klant, zullen we zelf niet inhoudelijk reageren; we zullen hen vertellen contact op te nemen met de Klant en, tenzij verboden, de Klant prompt informeren.

Rekening houdend met de aard van de verwerking en de informatie die ons ter beschikking staat, assisteren wij de Klant bij het nakomen van zijn verplichtingen uit hoofde van de artikelen 32 tot en met 36 van de AVG en hun equivalenten, inclusief gegevensbeschermingseffectbeoordelingen en voorafgaand overleg met een toezichthoudende autoriteit. In de praktijk betekent dit het verstrekken van deze DPA, Bijlage II, de Trust Center-disclosures, het retentieschema in het Privacybeleid, onze beveiligingsdocumentatie en redelijke schriftelijke antwoorden op een beveiligings- of privacyvragenlijst. Wij kunnen kosten in rekening brengen voor assistentie die materieel verder gaat dan een redelijk volume, tegen onze dan geldende tarieven voor professionele diensten, en we zullen dit aangeven voordat we het werk uitvoeren in plaats van achteraf.

Wij stellen de Klant in kennis zonder onnodige vertraging, en in ieder geval binnen zeventig-two uur, nadat wij bekend zijn geworden met een inbreuk in verband met persoonsgegevens die van invloed is op Persoonsgegevens van de Klant. De kennisgeving beschrijft, voor zover op dat moment bekend en bijgewerkt naarmate we meer te weten komen: de aard van de inbreuk, inclusief waar mogelijk de categorieën en het geschatte aantal betrokkenen en records; de waarschijnlijke gevolgen; de genomen of voorgestelde maatregelen om de inbreuk aan te pakken en de gevolgen ervan te beperken; en een contactpunt voor verdere informatie. Wij werken samen met de Klant en nemen de stappen die de Klant redelijkerwijs verzoekt om assistentie bij zijn eigen onderzoek en melding. Een kennisgeving is niet, en zal niet worden uitgelegd als, een erkenning van schuld of aansprakelijkheid. Wij zullen een kennisgeving niet uitstellen om eerst een onderzoek af te ronden.

Naar keuze van de Klant wissen of retourneren wij Persoonsgegevens van de Klant aan het einde van de dienstverlening, en wissen we bestaande kopieën, tenzij een wet waaraan wij onderworpen zijn opslag vereist. In het product werkt dit als volgt: het annuleren van een abonnement verplaatst het Account naar het Free-plan, dat één werkruimte omvat, en elke andere werkruimte wordt alleen-lezen en wordt 30 dagen later verwijderd, of sooner voor een werkruimte die recentelijk hetzelfde proces heeft doorlopen zoals beschreven in clausule 13 van de Servicevoorwaarden, tenzij de Klant upgrade of deze eerst verplaatst; het verwijderen van een werkruimte maakt deze 30 dagen alleen-lezen, gedurende welke periode een Account Owner deze kan herstellen, en na die periode wordt de werkruimte uit de live database verwijderd, inclusief projecten, vertalingen, versiegeschiedenis, gebruiksrecords, webhook-leveringsrecords, screenshots en auditgebeurtenissen; het sluiten van het Account verwijdert elke werkruimte erop op dezelfde manier en bewaart de facturen van het Account gedurende 7 jaar; het verwijderen van de login van een Gebruiker is onmiddellijk en onomkeerbaar. Inhoud die de Klant ophaalt via de API, de command-line-interface, het leveringsbundel of een storage connector is buiten onze controle vanaf het moment dat we deze leveren. Versleutelde back-ups worden niet bereikt door de wisactie en vervallen volgens de schema's in Bijlage II; zolang ze bestaan zijn ze geïsoleerd, versleuteld en worden ze alleen hersteld voor disaster recovery, nooit om een gewiste werkruimte weer in dienst te nemen. Een schriftelijk verzoek tot retour in een gestructureerd formaat dat vóór verwijdering wordt gedaan, wordt eenmaal gehonoreerd, zonder kosten, binnen een redelijke termijn.

Wij stellen de Klant de informatie ter beschikking die redelijkerwijs nodig is om naleving van deze DPA en van artikel 28 van de AVG aan te tonen, en staan audits toe, inclusief inspecties, uitgevoerd door de Klant of een door hem gemandateerde auditor, en dragen daaraan bij. In eerste instantie wordt aan die verplichting voldaan door deze DPA, Bijlage II, het Trust Center, de beveiligingspagina en onze ingevulde antwoorden op de beveiligingsvragenlijst. Waar deze echt ontoereikend zijn voor de regelgevingsverplichting van de Klant, mag de Klant één keer audit uitvoeren in elke twaalf maanden, met ten minste dertig dagen schriftelijke kennisgeving, tijdens kantooruren, zonder onze activiteiten onredelijk te verstoren, onderworpen aan vertrouwelijkheidsverplichtingen, beperkt tot systemen en records die betrekking hebben op de gegevens van de Klant zelf, en voor rekening van de Klant. Een toezichthoudende autoriteit die een wettelijke bevoegdheid uitoefent, is aan geen van die limieten onderworpen. Een auditor mag geen concurrent van ons zijn, en we kunnen een afzonderlijke vertrouwelijkheidsverklaring van hen verlangen.

Wanneer onze verwerking van Persoonsgegevens van de Klant een doorgifte inhoudt van de Europese Economische Ruimte naar een land dat niet onder een adequaatheidsbeslissing valt, worden de Standaardcontractbepalingen opgenomen in en maken zij deel uit van deze DPA en zijn ze als volgt van toepassing. Module Twee (van verwerkingsverantwoordelijke naar verwerker) is van toepassing waar de Klant een verwerkingsverantwoordelijke is. Module Drie (van verwerker naar verwerker) is van toepassing waar de Klant zelf een verwerker is. Clausule 7 (de docking-clausule) is van toepassing. In Clausule 9 is Optie 2 (algemene schriftelijke toestemming) geselecteerd, met de kennisgevingstermijn zoals vermeld in clausule 09 hierboven. In Clausule 11 is de optionale taal voor onafhankelijke geschillenbeslechting niet geselecteerd. In Clausule 17 vallen de Bepalingen onder het recht van de Republiek Ierland, tenzij de partijen in een Bestelformulier instemmen met het recht van een andere EU-lidstaat. In Clausule 18(b) worden geschillen beslecht voor de rechtbanken van de Republiek Ierland op dezelfde basis. Bijlage I(A) betreft de partijen, Bijlage I(B) de beschrijving van de doorgifte, Bijlage I(C) de bevoegde toezichthoudende autoriteit, Bijlage II de technische en organisatorische maatregelen, en Bijlage III de lijst van subverwerkers, elk zoals hieronder uiteengezet.

Voor een doorgifte die onderworpen is aan de UK GDPR, wordt de UK Addendum opgenomen en als volgt ingevuld: Tabel 1 wordt ingevuld door Bijlage I(A); Tabellen 2 en 3 worden ingevuld door clausule 15 en Bijlagen I en II van deze DPA, met de goedgekeurde EU SCC's als de versie waarop wordt vertrouwd; en in Tabel 4 kan geen van beide partijen de Addendum beëindigen wanneer de goedgekeurde Addendum wijzigt. Voor een doorgifte die onderworpen is aan Zwitsers recht, worden verwijzingen in de SCC's naar de AVG gelezen als verwijzingen naar de Zwitserse federale wet op de gegevensbescherming, is de bevoegde autoriteit de Federale Commissaris voor Gegevensbescherming en Informatie, ontneemt verwijzing naar een lidstaat een betrokkene in Zwitserland niet het recht om te procederen op hun plaats van gewone verblijf, en beschermen de SCC's de gegevens van juridische entiteiten totdat het Zwitserse recht dit niet langer vereist.

Als wij een juridisch bindend verzoek van een overheidsinstantie ontvangen voor Persoonsgegevens van de Klant, zullen wij: het controleren op geldigheid en reikwijdte en het aanvechten waar er redelijke gronden zijn om het onrechtmatig te achten; alleen het minimum onthullen dat het verzoek vereist; en de Klant prompt op de hoogte stellen met voldoende details om te reageren, tenzij wettelijk verboden, in welk geval wij redelijke inspanningen zullen leveren om een vrijstelling van het verbod te verkrijgen en een interim-maatregel te zoeken die onthulling toestaat. Wij houden een register bij van de verzoeken die we ontvangen en de antwoorden die we geven, en stellen dit beschikbaar aan de Klant en aan een toezichthoudende autoriteit op verzoek voor zover de wet dit toelaat. Wij hebben geen overheidsverzoek ontvangen dat ons verplichtte een algemeen toegangsmechanisme tot Persoonsgegevens van de Klant te bouwen of te behouden, en wij zullen er vrijwillig geen bouwen.

Voor persoonsgegevens die onder de CCPA vallen, is de Klant het bedrijf en zijn wij een dienstverlener. Het is ons verboden om deze persoonsgegevens te verkopen of te delen; ze te bewaren, gebruiken of openbaar maken voor enig ander doel dan de zakelijke doeleinden gespecificeerd in de Overeenkomst of zoals anderszins toegestaan door de CCPA; ze te bewaren, gebruiken of openbaar maken buiten de directe zakelijke relatie tussen de partijen; of ze te combineren met persoonsgegevens die van een andere bron zijn ontvangen, behalve voor zover de CCPA een dienstverlener dit toestaat. Wij certificeren dat wij deze beperkingen begrijpen en zullen naleven. Wij stellen de Klant op de hoogte als wij vaststellen dat wij hier niet langer aan kunnen voldoen. De Klant kan redelijke en passende stappen nemen om ongeautoriseerd gebruik te stoppen en te herstellen, met gebruikmaking van de auditrechten in clausule 14. Wij bieden hetzelfde niveau van privacybescherming als de CCPA vereist van het bedrijf.

Waar een uitgebreide staatsprivacywet van toepassing is en een verwerkersovereenkomst met specifieke voorwaarden vereist, is deze DPA die overeenkomst: deze beschrijft de aard en het doel van de verwerking, het type gegevens, de duur, de rechten en plichten van beide partijen, onze geheimhoudingsplicht, onze inschakeling van subverwerkers onder gelijkwaardige schriftelijke voorwaarden, onze assistentie bij verzoeken tot uitoefening van consumentenrechten en bij beveiligingsverplichtingen, onze verplichting tot verwijdering of terugkeer aan het einde van de diensten, en onze verplichting om de informatie beschikbaar te stellen die nodig is om compliance aan te tonen en een redelijke beoordeling toe te staan. Wij handelen als verwerker of dienstverlener onder die wetten en nooit als verwerkingsverantwoordelijke van Persoonsgegevens van de Klant.

De aansprakelijkheid van elke partij die voortvloeit uit of verband houdt met deze DPA, hetzij contractueel, onrechtmatig of op enige andere grondslag, is onderworpen aan de beperkingen en uitsluitingen van aansprakelijkheid in de Overeenkomst, en elke verwijzing in die beperkingen naar de aansprakelijkheid van een partij betekent de totale aansprakelijkheid van die partij onder de Overeenkomst en deze DPA samen. Niets in deze clausule beperkt de rechten van een betrokkene onder de Standaardcontractbepalingen of onder de Wetgeving inzake gegevensbescherming, en niets beperkt een aansprakelijkheid die wettelijk niet beperkt kan worden.

Wij mogen deze DPA bijwerken wanneer dit vereist is om een wijziging in de Wetgeving inzake gegevensbescherming, een nieuw of gewijzigd overdrachtsmechanisme, een besluit van een toezichthoudende autoriteit of een rechtbank, of een materiële wijziging in hoe de Dienst Persoonsgegevens van de Klant verwerkt, weer te geven, mits de update de bescherming van Persoonsgegevens van de Klant niet materieel vermindert. Wij geven minimaal dertig dagen kennisgeving van een materiële update, per e-mail en op deze pagina, en wij passen de ingangsdatum bovenaan aan. Wij houden de vervangen versie op verzoek beschikbaar.

Deze DPA bindt ons zonder handtekening, dus de Klant heeft er geen nodig om beschermd te zijn. Als uw proces een getekend tegenexemplaar voor uw administratie vereist, of als u een redline wilt indienen, schrijf dan naar privacy@transglot.ai met de naam van de juridische entiteit, het geregistreerde adres, de contactpersoon voor kennisgevingen en de ondertekenaar, en wij sturen een getekend exemplaar terug. Wij beantwoorden vragenlijsten over beveiliging en privacy vanaf hetzelfde adres, en het Trust Center bevat het pakket dat de meeste reviewers nodig hebben voordat zij iemand schrijven.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, een vennootschap met beperkte aansprakelijkheid opgericht in Delaware, Verenigde Staten, handelend onder de naam Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

De autoritatieve, huidige lijst van subverwerkers wordt door ons bijgehouden en op verzoek aan de Klant verstrekt onder een non-disclosure agreement, door te schrijven naar privacy@transglot.ai. De categorieën, het doel, de regio en de voorwaarde waaronder elk wordt ingeschakeld, worden gepubliceerd in het Trust Center en samengevat in het Subprocessors-document, dat door referentie in deze Bijlage is opgenomen. Het wordt op één plek bewaard in plaats van opzettelijk in deze pagina gedupliceerd: een lijst die in een juridisch document is overgetypt, is een lijst die verouderd raakt op de dag dat een leverancier verandert, en een verouderde bijlage is slechter dan een link. Per de effectieve datum zijn de categorieën: AI-vertaling, automatische kwaliteitscontrole, glossariumextractie en in-context visuele suggesties, verwerkt in de Verenigde Staten en ingeschakeld wanneer een AI-feature wordt gebruikt; text embeddings voor semantisch vertaalgeheugen, verwerkt in de Verenigde Staten en alleen ingeschakeld wanneer een project die feature aanzet, wat standaard uit staat; een optionele alternatieve vertaalmotor bereikt via een API-router in de Verenigde Staten en gehost in Singapore, alleen ingeschakeld wanneer een operator een tier ernaar routeert, wat standaard uit staat; cloud hosting, de database en object storage, in de regio die bij deployment is vastgelegd en altijd ingeschakeld; betalingsverwerking, in de Verenigde Staten en de Europese Unie, alleen ingeschakeld voor betaalde plannen; transactional email delivery, altijd ingeschakeld; en in-product support messaging, alleen ingeschakeld wanneer de support messenger is ingeschakeld. Waar een klant zijn eigen credentials levert voor een optionele machine translation fallback, is de klant de controller van die overdracht en is de vendor niet onze subverwerker.