Termos do subcontratante, anexos incluídos.

Este Aditamento ao Tratamento de Dados (“DPA”) faz parte dos Termos de Serviço ou de outro acordo escrito (o “Acordo”) entre Digital Socket LLC, uma sociedade de responsabilidade limitada constituída no Delaware, Estados Unidos, a operar como Transglot (“Transglot”, “Subcontratante”) e o cliente (“Cliente”, “Responsável pelo Tratamento”), aplicando-se sempre que tratarmos Dados Pessoais do Cliente em nome deste, na prestação do Serviço. É incorporado por referência no Acordo e entra em vigor quando o Acordo o fizer; não é necessária assinatura para nos vincular. Quando o Cliente for ele próprio um subcontratante que atua em nome de um responsável pelo tratamento terceiro, o Cliente é o exportador e este DPA aplica-se como se fosse o responsável pelo tratamento, confirmando o Cliente ter autorização do seu próprio responsável pelo tratamento para o celebrar nestes termos.

“Legislação de Proteção de Dados” significa todas as leis relativas ao tratamento de dados pessoais aplicáveis a uma parte, incluindo o Regulamento Geral sobre a Proteção de Dados da UE 2016/679 (“RGPD”), o RGPD do Reino Unido e a Lei de Proteção de Dados de 2018, a Lei Federal Suíça sobre Proteção de Dados, a Lei de Privacidade do Consumidor da Califórnia, com as alterações introduzidas (“CCPA”) e leis estaduais de privacidade comparáveis dos Estados Unidos. “Dados Pessoais do Cliente” significa dados pessoais contidos no Conteúdo do Cliente ou altrimenti tratados por nós em nome do Cliente. “Cláusulas Contratuais Padrão” ou “SCCs” significa as cláusulas anexas à Decisão de Execução (UE) 2021/914 da Comissão. “Aditamento do Reino Unido” significa o Aditamento Internacional à Transferência de Dados emitido pelo Comissário de Informação do Reino Unido nos termos da secção 119A da Lei de Proteção de Dados de 2018. “Subsubcontratante” significa uma terceira parte engagada por nós para tratar Dados Pessoais do Cliente. “Responsável pelo Tratamento”, “subcontratante”, “titular dos dados”, “dados pessoais”, “tratamento”, “violação de dados pessoais” e “autoridade de controlo” têm os significados atribuídos no RGPD, e termos equivalentes noutras leis têm o seu significado equivalente.

Em caso de conflito, a ordem de precedência é: (a) as Cláusulas Contratuais Padrão e o Aditamento do Reino Unido, onde se apliquem; (b) este DPA; (c) quaisquer outros termos de proteção de dados num Formulário de Encomenda; (d) o restante do Acordo. Nada neste DPA se destina a conflitar com as obrigações de uma parte ao abrigo da Legislação de Proteção de Dados, e qualquer termo que o faça deve ser interpretado na medida mínima necessária para remover o conflito.

Este DPA aplica-se desde a data de entrada em vigor do Acordo até deixarmos de deter quaisquer Dados Pessoais do Cliente, o que pode ocorrer após o término do Acordo devido aos prazos de eliminação previstos na cláusula 13. As suas obrigações sobrevivem ao término enquanto detivermos quaisquer Dados Pessoais do Cliente, e as obrigações de confidencialidade sobrevivem indefinidamente na medida exigida pela Legislação de Proteção de Dados.

Tratamos os Dados Pessoais do Cliente apenas com base nas instruções documentadas do Cliente, incluindo para transferência para um país terceiro, salvo se tal for exigido por lei a que estamos sujeitos, caso em que informaremos o Cliente dessa exigência antes do tratamento, a menos que a lei o proíba por motivos importantes de interesse público. O Acordo, este DPA, a Documentação e a configuração definida pelo Cliente no produto (projetos, localidades, conectores, subscrições de webhooks, interruptores de retenção, o interruptor de memória de tradução e as definições de motor e qualidade disponíveis para o Cliente) constituem, em conjunto, as instruções documentadas completas do Cliente. Informaremos o Cliente se, na nossa opinião, uma instrução infringir a Legislação de Proteção de Dados, e poderemos suspender o tratamento afetado até que seja retirada ou alterada, em vez de a executar.

Tratamos os Dados Pessoais do Cliente exclusivamente para fornecer, proteger, apoiar e manter o Serviço para o Cliente, sem qualquer finalidade independente própria. Não vendemos Dados Pessoais do Cliente, não os partilhamos para publicidade comportamental cross-context, não os combinamos com dados pessoais recebidos de outras fontes exceto conforme permitido pela Legislação de Proteção de Dados para um prestador de serviços, e não os utilizamos para treinar, afinar ou avaliar qualquer modelo de aprendizagem automática. Os nossos subsubcontratantes de IA processam-nos apenas para inferência, sob termos comerciais que proíbem o treino com os mesmos. Podemos criar e utilizar estatísticas agregadas ou desidentificadas que não identifiquem nem o Cliente nem qualquer titular dos dados, e não tentaremos reidentificá-los.

Garantimos que todas as pessoas autorizadas a tratar Dados Pessoais do Cliente estão sujeitas a uma obrigação adequada de confidencialidade, contratual ou legal, que sobrevive ao fim do seu engajamento. O acesso é concedido com base no princípio do privilégio mínimo, limitado ao necessário para desempenhar a sua função, revisto periodicamente e revogado prontamente em caso de mudança de função ou saída. O pessoal com acesso recebe formação em proteção de dados e segurança adequada à sua função.

Implementamos e mantemos as medidas técnicas e organizacionais estabelecidas no Anexo II, tendo em conta o estado da arte, os custos de implementação e a natureza, âmbito, contexto e finalidades do tratamento, bem como o risco para os titulares dos dados. Podemos atualizar essas medidas ao longo do tempo, desde que o nível global de proteção não seja materialmente reduzido durante um período de subscrição paga. O Anexo II indica deliberadamente as nossas lacunas, bem como os nossos controlos: um anexo de medidas que liste apenas pontos fortes não é um documento em que um revisor possa confiar.

O Cliente concede uma autorização geral por escrito para engagarmos Subsubcontratantes, nas categorias descritas no documento de Subsubcontratantes, e autoriza especificamente os constantes da lista de subsubcontratantes fornecida no Anexo III à data de entrada em vigor. Impomos a cada Subsubcontratante obrigações de proteção de dados não menos protetoras do que as deste DPA, através de contrato escrito, e permanecemos totalmente responsáveis perante o Cliente pelo cumprimento das obrigações por parte do Subsubcontratante. Notificaremos o Cliente com, pelo menos, trinta dias de antecedência, por email para os Proprietários da Conta, antes de um novo Subsubcontratante começar a tratar Dados Pessoais do Cliente. O Cliente pode opor-se, com base em motivos razoáveis e documentados de proteção de dados, dentro desse período, caso em que trabalharemos de boa fé para oferecer uma alteração na configuração ou uma alternativa que evite o tratamento; se não conseguirmos dentro de um prazo razoável, o Cliente poderá terminar a subscrição afetada sem penalização e receber um reembolso proporcional das taxas pré-pagas não utilizadas.

Tendo em conta a natureza do tratamento, assistimos o Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Cliente de responder a um titular dos dados que exerça direitos de acesso, retificação, apagamento, limitação, portabilidade ou oposição. O próprio produto é a primeira linha dessa assistência: os Proprietários da Conta e os administradores do espaço de trabalho podem pesquisar, editar e eliminar conteúdo do projeto, gerir membros e funções, e recuperar conteúdo do projeto através do endpoint de extração da API, da interface de linha de comandos, do pacote de entrega ou de um conector de armazenamento num plano pago, e os Proprietários da Conta podem eliminar o espaço de trabalho. Quando o produto não puder responder a um pedido, prestaremos assistência mediante pedido, dentro de um período razoável e sem custos para um volume razoável de pedidos. Se um titular dos dados nos contactar diretamente sobre Dados Pessoais do Cliente, não responderemos substancialmente por nossa conta; informá-lo-emos de que deve contactar o Cliente e, salvo proibição, informaremos o Cliente prontamente.

Tendo em conta a natureza do tratamento e as informações disponíveis para nós, assistimos o Cliente no cumprimento das suas obrigações nos termos dos artigos 32.º a 36.º do RGPD e equivalentes, incluindo avaliações de impacto sobre a proteção de dados e consulta prévia junto de uma autoridade de controlo. Na prática, isto significa fornecer este DPA, o Anexo II, as divulgações do Centro de Confiança, o calendário de retenção na Política de Privacidade, a nossa documentação de segurança e respostas escritas razoáveis a um questionário de segurança ou privacidade. Poderemos cobrar por assistência que exceda materialmente um volume razoável, às nossas taxas atuais de serviços profissionais, e comunicá-lo-emos antes de realizar o trabalho, e não depois.

Notificamos o Cliente sem demora injustificada e, em qualquer caso, no prazo de setenta e duas horas após tomarmos conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente. A notificação descreve, na medida do conhecido à data e atualizada à medida que obtivermos mais informações: a natureza da violação, incluindo, sempre que possível, as categorias e o número aproximado de titulares dos dados e registos em causa; as prováveis consequências; as medidas tomadas ou propostas para a resolver e mitigar os seus efeitos; e um ponto de contacto para mais informações. Cooperamos com o Cliente e adotamos as medidas que o Cliente solicitar razoavelmente para auxiliar na sua própria investigação e notificação. Uma notificação não constitui, nem será interpretada como, uma admissão de culpa ou responsabilidade. Não atrasaremos uma notificação para concluir primeiro uma investigação.

À escolha do Cliente, eliminamos ou devolvemos os Dados Pessoais do Cliente no final da prestação de serviços e eliminamos as cópias existentes, exceto se uma lei à qual estamos sujeitos exigir o armazenamento. No produto, isto funciona da seguinte forma: cancelar uma subscrição move a Conta para o plano Gratuito, que inclui um espaço de trabalho, e todos os outros espaços de trabalho tornam-se só de leitura e são eliminados 30 dias depois, ou mais cedo para um espaço de trabalho que tenha passado pelo mesmo processo recentemente, conforme descrito na cláusula 13 dos Termos de Serviço, a menos que o Cliente faça uma atualização ou o mova primeiro; eliminar um espaço de trabalho torna-o só de leitura durante 30 dias, período durante o qual um Proprietário da Conta pode restaurá-lo, e após esse período o espaço de trabalho é purgado da base de dados ativa, incluindo projetos, traduções, histórico de versões, registos de utilização, registos de entrega de webhooks, capturas de ecrã e eventos de auditoria; encerrar a Conta elimina todos os espaços de trabalho nela contidos da mesma forma e mantém as faturas da Conta durante 7 anos; eliminar o início de sessão de um Utilizador é imediato e irreversível. O conteúdo que o Cliente recupera através da API, da interface de linha de comandos, do pacote de entrega ou de um conector de armazenamento fica fora do nosso controlo a partir do momento em que o entregamos. As cópias de segurança encriptadas não são atingidas pela purga e expiram conforme os calendários do Anexo II; enquanto existirem, estão isoladas, encriptadas e restauradas apenas para recuperação de desastres, nunca para devolver um espaço de trabalho purgado ao serviço. Um pedido escrito de devolução num formato estruturado, feito antes da eliminação, será honrado uma vez, sem custos, dentro de um período razoável.

Disponibilizamos ao Cliente as informações razoavelmente necessárias para demonstrar a conformidade com o presente DPA e com o Artigo 28.º do RGPD, e permitimos e contribuímos para auditorias, incluindo inspeções, realizadas pelo Cliente ou por um auditor por este mandatado. Em primeira instância, essa obrigação é cumprida através deste DPA, do Anexo II, do Trust Center, da página de segurança e das nossas respostas preenchidas ao questionário de segurança. Caso estas sejam genuinamente insuficientes para cumprir a obrigação regulamentar do Cliente, o Cliente poderá realizar uma auditoria num período de doze meses, mediante aviso prévio por escrito de, pelo menos, trinta dias, durante o horário laboral, sem perturbar indevidamente as nossas operações, sujeito a obrigações de confidencialidade, limitado aos sistemas e registos relativos aos dados do próprio Cliente, e a expensas do Cliente. Uma autoridade de controlo que exerça um poder estatutário não está sujeita a nenhum destes limites. Um auditor não pode ser um nosso concorrente e podemos exigir-lhe um compromisso de confidencialidade separado.

Sempre que o nosso tratamento de Dados Pessoais do Cliente envolva uma transferência do Espaço Económico Europeu para um país não abrangido por uma decisão de adequação, as Cláusulas Contratuais Padrão são incorporadas neste DPA e fazem parte integrante do mesmo, aplicando-se da seguinte forma. O Módulo Dois (responsável pelo tratamento para subcontratante) aplica-se quando o Cliente for um responsável pelo tratamento. O Módulo Três (subcontratante para subcontratante) aplica-se quando o Cliente for ele próprio um subcontratante. A Cláusula 7 (cláusula de adesão) aplica-se. Na Cláusula 9, é selecionada a Opção 2 (autorização escrita geral), com o prazo de notificação indicado na cláusula 09 acima. Na Cláusula 11, a linguagem opcional de resolução independente de litígios não é selecionada. Na Cláusula 17, as Cláusulas regem-se pela lei da República da Irlanda, salvo se as partes acordarem outra lei de um Estado-Membro da UE num Formulário de Encomenda. Na Cláusula 18(b), os litígios são resolvidos pelos tribunais da República da Irlanda com base nos mesmos princípios. O Anexo I(A) refere-se às partes, o Anexo I(B) à descrição da transferência, o Anexo I(C) à autoridade de controlo competente, o Anexo II às medidas técnicas e organizativas e o Anexo III à lista de subcontratantes, conforme estabelecido abaixo.

Para uma transferência sujeita ao RGPD do Reino Unido, o Adendo do Reino Unido é incorporado e preenchido da seguinte forma: a Tabela 1 é preenchida pelo Anexo I(A); as Tabelas 2 e 3 são preenchidas pela cláusula 15 e pelos Anexos I e II deste DPA, sendo as SCC aprovadas pela UE a versão em que se confia; e na Tabela 4, nenhuma das partes pode rescindir o Adendo quando o Adendo Aprovado for alterado. Para uma transferência sujeita à legislação suíça, as referências nas SCC ao RGPD devem ser lidas como referências à Lei Federal Suíça sobre Proteção de Dados, a autoridade competente é o Comissário Federal para a Proteção de Dados e Informação, as referências a um Estado-Membro não privam um titular dos dados na Suíça do direito de intentar ação no seu local de residência habitual, e as SCC protegem os dados de entidades jurídicas até que a legislação suíça deixe de o exigir.

Se recebermos um pedido legalmente vinculativo de uma autoridade pública relativo a Dados Pessoais do Cliente, iremos: analisá-lo quanto à validade e âmbito e contestá-lo sempre que existam motivos razoáveis para considerar que é ilegal; divulgar apenas o mínimo exigido pelo pedido; e notificar prontamente o Cliente com detalhes suficientes para permitir uma resposta, salvo proibição legal, caso em que envidaremos esforços razoáveis para obter uma isenção da proibição e procurar uma medida provisória que permita a divulgação. Mantemos um registo dos pedidos recebidos e das respostas dadas, disponibilizando-o ao Cliente e a uma autoridade de controlo, mediante pedido, na medida permitida por lei. Não recebemos qualquer pedido governamental que nos obrigasse a criar ou manter um mecanismo de acesso geral aos Dados Pessoais do Cliente, e não criaremos voluntariamente nenhum.

Relativamente às informações pessoais sujeitas à CCPA, o Cliente é a empresa e nós somos um prestador de serviços. Estamos proibidos de, e não iremos, vender ou partilhar essas informações pessoais; reter, utilizar ou divulgar as mesmas para qualquer finalidade que não seja os fins comerciais especificados no Contrato ou conforme permitido pela CCPA; reter, utilizar ou divulgar as mesmas fora da relação comercial direta entre as partes; ou combiná-las com informações pessoais recebidas de outra fonte, exceto conforme a CCPA permite a um prestador de serviços. Certificamos que compreendemos e cumpriremos estas restrições. Notificaremos o Cliente se determinarmos que já não conseguimos cumpri-las. O Cliente pode tomar medidas razoáveis e apropriadas para interromper e remediar a utilização não autorizada, utilizando os direitos de auditoria previstos na cláusula 14. Prestamos o mesmo nível de proteção de privacidade exigido pela CCPA à empresa.

Quando se aplica uma lei estadual abrangente de privacidade e esta exige um contrato de subcontratação com termos específicos, este DPA constitui esse contrato: define a natureza e a finalidade do tratamento, o tipo de dados, a duração, os direitos e obrigações de ambas as partes, o nosso dever de confidencialidade, o nosso envolvimento de subcontratantes sob termos escritos equivalentes, a nossa assistência relativamente aos pedidos de exercício de direitos dos consumidores e às obrigações de segurança, o nosso dever de eliminação ou devolução no término dos serviços, e a nossa obrigação de disponibilizar as informações necessárias para demonstrar conformidade e permitir uma avaliação razoável. Agimos como subcontratante ou prestador de serviços ao abrigo dessas leis e nunca como responsável pelo tratamento dos Dados Pessoais do Cliente.

A responsabilidade de cada parte decorrente ou relacionada com este DPA, seja em contrato, ilícito civil ou qualquer outra teoria, está sujeita às limitações e exclusões de responsabilidade previstas no Contrato, e qualquer referência nessas limitações à responsabilidade de uma parte significa a responsabilidade agregada dessa parte ao abrigo do Contrato e deste DPA em conjunto. Nada nesta cláusula limita os direitos de um titular dos dados ao abrigo das Cláusulas Contratuais Padrão ou da Legislação de Proteção de Dados, nem limita qualquer responsabilidade que não possa ser legalmente limitada.

Poderemos atualizar este DPA quando necessário para refletir uma alteração na Legislação de Proteção de Dados, um novo ou alterado mecanismo de transferência, uma decisão de uma autoridade de controlo ou de um tribunal, ou uma alteração material na forma como o Serviço trata os Dados Pessoais do Cliente, desde que a atualização não reduza materialmente a proteção conferida aos Dados Pessoais do Cliente. Daremos um aviso prévio de, pelo menos, trinta dias para uma atualização material, por correio eletrónico e nesta página, e alteraremos a data de eficácia no topo. Mantemos a versão substituída disponível mediante pedido.

Este DPA vincula-nos sem assinatura, pelo que o Cliente não necessita de uma para estar protegido. Se o seu processo exigir um original executado para os seus registos, ou se desejar apresentar uma versão com controlo de alterações, escreva para privacy@transglot.ai indicando o nome da entidade jurídica, a morada da sede social, o contacto para notificações e o signatário, e enviaremos uma cópia assinada. Respondemos a questionários de segurança e privacidade através do mesmo endereço, e o Trust Center contém o pacote de que a maioria dos revisores necessita antes de contactar alguém.

Data exporter: the Customer, being the person or company that holds the Account, as named on the Account or on the Order Form, acting as controller (or as processor where clause 01 applies) in respect of Customer Personal Data processed through the Service. Contact details: the Account Owners' email addresses and the notice contact given on the Order Form. Activities relevant to the transfer: use of a cloud localization platform to store, translate, review, deliver and manage software and content strings. Signature and date: as recorded by acceptance of the Agreement, or as executed under clause 22. Data importer: Digital Socket LLC, uma sociedade de responsabilidade limitada constituída no Delaware, Estados Unidos, a operar como Transglot, acting as processor. Contact details: privacy@transglot.ai. Activities relevant to the transfer: provision of the Service described in the Agreement. Role: processor.

Categories of data subjects: the Customer’s personnel and contractors who hold a login (Account Owners and Billing Members, and workspace admins, developers, reviewers and translators); the Customer’s own end users, customers and other individuals to the extent their personal data appears inside source strings, translations, glossary entries, comments, screenshots or imported files; and the Customer’s billing and notice contacts. Categories of personal data: identity and contact data (name, email address, login identifier, Account, workspace and role); authentication data (hashed password, second factor enrolment, federated identity subject identifiers, API token digests); usage and technical data (IP address, user agent, pages and endpoints accessed, request and run identifiers, timings, outcomes, error traces, audit records); billing data (billing contact, billing address, tax identifiers, payment method token and card metadata held by the payment processor); content data (whatever personal data the Customer chooses to place in project content, which is under the Customer’s control and which the Acceptable Use Policy asks the Customer to keep free of payment card data, government identifiers, credentials and special category data). Sensitive data: none is requested or required, and none should be submitted; where the Customer nonetheless submits it, the restrictions and safeguards are those in Annex II applied to all Customer Content, and the Customer remains responsible for its lawful basis. Frequency: continuous, for the duration of the Agreement, on the Customer’s instruction. Nature and purpose: hosting, storage, indexing, machine translation, quality checking, translation memory matching, glossary enforcement, review workflow, delivery and transmission through the API, webhooks, connectors and the delivery bundle, together with support, security and billing. Duration of processing: the term of the Agreement plus the retention periods stated in the Privacy Policy and clause 13 of this DPA. Subprocessor processing: for the purposes, and for the durations, set out in Annex III and in the Trust Center.

Where the SCCs apply on the basis of Article 3(1) of the GDPR, the competent supervisory authority is the one in the member state in which the data exporter is established. Where they apply because the exporter is not established in the European Economic Area but is caught by Article 3(2), the competent authority is the one in the member state in which the exporter’s Article 27 representative is established. Where they apply on the basis of Article 3(2) and no representative is appointed, the competent authority is the one in the member state in which the data subjects whose personal data is transferred are located. For UK transfers the competent authority is the Information Commissioner’s Office; for Swiss transfers, the Federal Data Protection and Information Commissioner.

Data in transit is protected with TLS 1.2 or better at the edge, and connections below that are refused. Passwords are hashed with bcrypt at a cost factor of 12 and are never stored or logged in plaintext. API tokens and delivery keys are stored as SHA-256 digests, are displayed once at creation and cannot be recovered afterwards; publishable in-context keys are deliberately public identifiers bound to an origin allowlist rather than secrets, and are documented as such. Third party credentials, connector tokens, SSO configuration secrets and webhook signing secrets are held in encrypted columns using authenticated application-level encryption. Database backups are encrypted with AES-256 by the backup tool itself, independently of any provider-side encryption, and file backups are held in a password-encrypted repository. Two honest gaps: the live database and application volumes are not disk-encrypted, and server-side encryption of the object store is not asserted in our own configuration. We state both here rather than letting a reviewer discover them in diligence.

Every query in the application is scoped by Account, workspace and project, and a cross-tenant identifier answers 404 rather than 403 so that the existence of another tenant’s record never leaks. The two Account roles (Owner and Billing), the four workspace roles (admin, developer, reviewer and translator), eighteen project abilities and per-project and per-language grants are available on every plan including Free, so least privilege is never a paid upgrade. Two-factor authentication with time-based one-time codes and recovery codes, and passkeys, are available on every plan, and an Account Owner can require a second factor for an entire workspace, enforced at the workspace boundary so that federated and single sign-on doors cannot bypass it. SAML 2.0 single sign-on with just-in-time provisioning, generic OpenID Connect, SCIM 2.0 provisioning and de-provisioning, and the ability to switch off password login for a workspace are available on the Enterprise plan. API access uses scoped tokens with optional expiry. Internal administrative access is least privilege, and operator impersonation of a customer’s login is time-limited to thirty minutes and writes an audit record when it starts and when it ends.

Security-relevant events are written to an append-only audit trail: sign-in and single sign-on events, second factor and workspace MFA policy changes, member invitations, joins, role changes and removals, custom role changes, token and key creation and revocation, integration and connector connection and disconnection, review policy changes, branding changes, SCIM provisioning events, workspace rename and deletion requests. Plan, billing and spend cap changes, changes to the Account’s members and the closing of the Account are written to the Account’s own audit trail in the same way. Each record carries the workspace or the Account, the actor, the action, the target, structured metadata, the source IP address and the time, and the model layer refuses updates and deletes, so a record cannot be edited after the fact; on the Account’s trail the IP address is removed after 395 days. On the Enterprise plan the whole trail, the Account’s included, can be exported as CSV. Append-only is enforced in the application layer and there is no cryptographic hash chain or signature over the log, so we do not describe it as tamper-evident. Application errors are collected by an error tracker we host ourselves, configured not to send personally identifying information and not to capture request bodies, which is the setting that actually keeps customer strings out of a stack trace. Operational metrics are retained for thirty days.

Public endpoints are rate limited: the REST API at sixty requests a minute per token, the delivery endpoint at three hundred a minute per key and address, sign-in at five a minute per email and address, and registration at five a minute and twenty an hour per network block, with separate buckets for the other public doors. Outbound webhooks are signed HMAC-SHA256 over the timestamp and the raw body, sent as an explicit signature header and a timestamp header, and compared in constant time; the timestamp is published so the receiver can enforce its own replay window, and we are explicit that no server-side tolerance is enforced on our side. Inbound forge webhooks are verified by signature, with the delivery identifier as the replay guard. Cross site request forgery protection is applied to every state-changing browser request, sessions expire after 120 minutes of inactivity, sensitive actions require password re-confirmation within a 3 hour window, password reset links expire after 60 minutes, and destructive actions require typing the workspace name or re-entering a password. A frame-ancestors content security policy is applied; we do not claim a broad content security policy, because we do not yet ship one.

Usage metering records counts of words and tokens, never the body of a request. The shared exact-match translation memory pool stores the linguistic pair keyed by a hash of the source, together with plural forms and reuse counters, and stores no user column and no team column at all, so an entry cannot be traced to a person; the key name, file path, screenshots, comments and every other piece of surrounding context are stripped. Human-reviewed memory entries carry a workspace identifier, which functions as a hard tenant fence on the near-match query rather than as attribution, and that is why a reviewed entry is never returned to another workspace. Any project can leave the pool entirely with a per-project switch on every plan, which stops it both contributing and drawing. In-context screenshots are held on a private store with no public path and are served only through short-lived signed URLs.

The database is backed up continuously with write-ahead log archiving and periodic full and differential backups, retaining two full backups and seven differentials, encrypted with AES-256 by the backup tool. Application file storage is snapshotted nightly into a password-encrypted repository retaining thirty daily, twelve weekly and twelve monthly snapshots, with an integrity verification pass on each run. Restore procedures are documented and exercised. Backups are isolated from the production credentials that could delete them, and they are restored for disaster recovery only, never to return a purged workspace to service. Deployment images are retained for the last several releases so that a rollback is a minute rather than a rebuild.

Changes are made through version control with peer review, an automated test suite, static analysis and dependency scanning, and container image vulnerability scanning in the build pipeline, and a failing gate blocks the release rather than warning about it. Test environments do not use production customer data. Secrets are held encrypted at rest in the deployment repository and injected at runtime rather than committed. Several product claims are themselves enforced by tests: a translation engine that becomes reachable without a subprocessor disclosure row fails the build, and the advertised overage rate is pinned to the rate the system charges. Third party components are tracked and patched, and a build is refused when a scanner reports a vulnerability above threshold.

Access to production is limited to the personnel who need it, granted individually, and removed on role change or departure. Personnel are bound by confidentiality obligations that survive their engagement, and receive security and data protection guidance appropriate to their role. We operate a documented incident response process with defined severities, an on-call rotation, alerting on service health and background job health, and post-incident review. We publish a vulnerability disclosure policy with a safe harbour for good faith research and a security address that is monitored. We hold no third party security certification today: a SOC 2 Type II audit is in progress and an AI management system standard is being pursued, and the compliance status published on our site is rendered from a configuration value that cannot show a certificate we do not hold.

Scheduled jobs enforce the retention windows published in the Privacy Policy rather than leaving them as intentions: translation version history at 180 days with a floor of the newest 20 per string, notifications at 90 days, resolved comment threads at 365 days from resolution, the activity feed at 180 days, assistant conversations at 90 days, in-context screenshots at 90 days with the stored object deleted alongside the record, connector sync records at 90 days keeping the latest per connection, referral click records at 90 days, unreviewed and unused translation memory entries at 90 days, failed background jobs at 7 days, expired API tokens 24 hours after they lapse, federated login correlation records at their own expiry, signup integrity signals 90 days after the Account was created or the pair was last seen, sign-up refusal records at 90 days, welcome words velocity records at 30 days for a domain and 24 hours for a network, sign-up allowlist entries at the expiry an operator set, never more than 365 days, Accounts never verified and holding no workspace at 30 days, welcome words, trial and card fingerprint records at 1,095 days, and the IP address on an Account’s audit trail at 395 days. Deletion runs in bounded batches rather than as one unbounded operation. Workspace deletion is a 30 day reversible grace period followed by a cascading purge of the live database. Webhook delivery records have no time-based prune today and are removed with their endpoint or their workspace.

For transfers to subprocessors we rely on the contractual measures in clause 15 together with these supplementary measures: transport encryption on every hop; contractual prohibitions on training, on onward transfer without equivalent protection, and on processing outside our instructions; a published and code-enforced disclosure list so that no undisclosed vendor can be routed customer text; the ability for a customer to disable the optional features that engage a conditional subprocessor, including the semantic translation memory feature and the per-project translation memory switch; retention windows enforced by scheduled jobs so that transferred data does not accumulate indefinitely; and the government access commitments in clause 17, including challenge, minimisation, notification and record keeping.

A lista autorizada e atualizada de subcontratantes é mantida por nós e fornecida ao Cliente, mediante pedido, sob um acordo de confidencialidade, através do envio de uma mensagem escrita para privacy@transglot.ai. As categorias, a finalidade, a região e as condições em que cada um é contratado são publicadas no Centro de Confiança e resumidas no documento Subcontratantes, que é incorporado neste Anexo por referência. Esta informação é mantida num único local, em vez de ser duplicada nesta página, intencionalmente: uma lista transcrita num documento legal torna-se desatualizada no dia em que um fornecedor é alterado, e um anexo desatualizado é pior do que uma hiperligação. À data da entrada em vigor, as categorias são: tradução por IA, verificação automatizada de qualidade, extração de glossário e sugestões visuais contextuais, processadas nos Estados Unidos e contratadas sempre que uma funcionalidade de IA é utilizada; incorporações de texto para memória de tradução semântica, processadas nos Estados Unidos e contratadas apenas quando um projeto ativa essa funcionalidade, que está desativada por predefinição; um motor de tradução alternativo opcional, acessível através de um router de API nos Estados Unidos e alojado em Singapura, contratado apenas quando um operador encaminha um nível para o mesmo, estando desativado por predefinição; alojamento na nuvem, base de dados e armazenamento de objetos, na região definida na implementação e sempre contratado; processamento de pagamentos, nos Estados Unidos e na União Europeia, contratado apenas para planos pagos; entrega de correio eletrónico transacional, sempre contratado; e mensagens de suporte no produto, contratadas apenas quando o mensageiro de suporte está ativado. Quando um cliente fornece as suas próprias credenciais para um recurso alternativo de tradução automática, o cliente é o responsável pelo tratamento dessa transferência e o fornecedor não é nosso subcontratante.