Adónde va el documento de su cliente cuando traduce con Lingverra

Por qué es su pregunta, no solo la nuestra

Según el RGPD, el primer responsable de los datos del cliente es quien decide por qué y cómo se tratan, es decir, usted. Si recurre a un servicio para ello, la ley exige elegir un encargado del tratamiento que ofrezca garantías suficientes de protección de datos y celebrar con él un contrato de encargo del tratamiento (art. 28 RGPD). Dicho de forma sencilla: usted tiene el derecho — y la obligación — de saber qué ocurre con un documento después de subirlo.

El recorrido del documento, paso a paso

1. Subida. El documento llega a su cuenta personal y solo usted puede acceder a él. Se cifra de inmediato — con su propia clave, distinta para cada documento.
2. Traducción. El documento se trata en la Unión Europea y no se transfiere fuera de ella. La traducción la realiza un modelo de IA en una infraestructura que no conserva las solicitudes ni las respuestas y no las transmite al desarrollador del modelo. Con sus documentos no se entrena ningún modelo.
3. Resultado. Recibe la traducción con la maquetación del original: tablas, bloques y sellos en su sitio. Los pasajes que el modelo leyó con poca seguridad aparecen resaltados — son los que revisa primero. La corrección, la firma y el sello siguen siendo suyos.
4. Supresión. El original y la traducción se suprimen automáticamente 72 horas después de la entrega o manualmente en cualquier momento, si lo prefiere antes. La supresión es criptográfica — más detalles abajo.

Cómo protegemos sus documentos — y en qué se basa

• Una clave distinta para cada documento (art. 32(1)(a) RGPD — cifrado). Cada documento — tanto el original como la traducción — se cifra con su propia clave, no con una común a la cuenta ni con una común a todos.
• La clave maestra — en la UE y fuera de nuestros servidores (art. 32(1)(b), art. 44 RGPD). Las claves de los documentos están protegidas por una clave maestra que se guarda en el servicio de gestión de claves AWS KMS en Fráncfort. Nunca sale de ese servicio y no se almacena en nuestros servidores: el servidor solo puede solicitar un descifrado. El uso de claves fuera de la UE está bloqueado en el código.
• Cada acceso a la clave queda registrado (art. 5(2), art. 32(1)(d) RGPD). Cada solicitud a la clave maestra queda registrada en un registro de AWS que no podemos modificar. Cada 10 minutos el sistema coteja ese registro con la actividad de la propia aplicación. Si la clave la utilizó un servicio distinto del nuestro, si una solicitud no procedía de nuestros servidores o si un descifrado no coincide con ninguna acción en la aplicación, recibimos una alerta de inmediato.
• Registro de incidentes e investigación (art. 33(5) RGPD). Cada caso sospechoso se anota en el registro de incidentes. Sus entradas no pueden modificarse a posteriori — solo completarse. En cada caso se determina y se registra la causa.
• 72 horas para notificar a la autoridad de control (art. 33(1), art. 34 RGPD). Si un incidente afecta a datos personales, la ley concede 72 horas para notificarlo a la autoridad de control. El plazo lo vigila un sistema automático: los recordatorios se intensifican a medida que se acerca. La decisión de comunicarlo a los interesados se toma y se documenta en el mismo registro.
• Supresión criptográfica, no un simple borrado (art. 5(1)(e), art. 17 RGPD). El original y la traducción se suprimen automáticamente 72 horas después de la entrega o manualmente en cualquier momento. El archivo se sobrescribe en el disco, pero no nos quedamos ahí: el borrado ordinario no alcanza las copias — en las copias de seguridad, en las celdas internas de la unidad. Por eso, junto con el documento, se destruye su clave. Sin la clave, todas las copias de los datos cifrados, dondequiera que queden, se convierten en una serie de bytes aleatorios imposible de leer.
• Sin claves en las copias de seguridad (art. 32(1)(c), art. 25 RGPD). Las claves de los documentos están excluidas deliberadamente de las copias de seguridad de la base de datos. Una copia de seguridad sirve para restaurar el servicio — pero no permite descifrar un documento.
• Los documentos no se usan para entrenamiento (art. 5(1)(b) RGPD — limitación de la finalidad). La traducción se realiza en la UE en una infraestructura que no conserva las solicitudes ni las respuestas y no las transmite al desarrollador del modelo.

Quién responde de los datos en Lingverra

Del tratamiento de los datos personales en Lingverra respondemos nosotros. Con cada usuario rige automáticamente un contrato de encargo del tratamiento conforme al art. 28 RGPD — no hace falta solicitarlo ni firmarlo aparte. Todas las empresas que participan en el tratamiento figuran públicamente: qué hace cada una, dónde se encuentra y con qué base (art. 28(2) y (4) RGPD).

Y algo más: no aceptamos encargos de sus clientes ni competimos con usted — el cliente, la firma y los honorarios siguen siendo suyos.

Cinco preguntas para cualquier herramienta

Use lo que use, estas preguntas le ayudan a valorar si se pueden confiar a un servicio los documentos de un cliente:

1. ¿Existe un contrato de encargo del tratamiento conforme al art. 28 RGPD?
2. ¿Dónde se tratan los datos — en la UE o fuera de ella?
3. ¿Se usan los documentos para entrenar modelos?
4. ¿Cuánto tiempo se conservan los documentos y puede suprimirlos usted mismo?
5. ¿Está publicada la lista de subencargados?

Si la documentación del servicio no da una respuesta clara a alguna de estas preguntas, es motivo para ponerse en guardia.

Qué decirle a su cliente

Si un cliente pregunta qué pasa con sus documentos, basta una respuesta breve: «El documento se trata en la UE, se cifra con una clave distinta, no se usa para entrenar IA y se suprime de forma irreversible a las 72 horas o manualmente en cualquier momento. Con el servicio tengo un contrato de encargo del tratamiento conforme al RGPD.» Para su documentación puede adjuntar los enlaces al contrato y a la lista de subencargados.

Preguntas frecuentes

Contrato de encargo del tratamiento (art. 28 RGPD)

Lista de subencargados

Lea también: traducción con IA y RGPD — cómo reconocer un servicio seguro

Lea también: «¿Están seguros mis datos?» — qué responder al cliente