文档翻译隐私检查清单：上传文件前需核对的内容

在上传文档进行翻译之前，请先回答四个问题：您是否被允许处理该文件？您能否删除翻译软件不需要的信息？该服务对该文件实际进行了什么操作？您将如何控制翻译后的输出？如果有任何问题不明确，请在上传前停止操作。

下载 文档翻译隐私检查清单。请针对当前准确的工作副本和最新的服务政策填写该清单。当文件、目标语言、账户或政策发生变化时，请勿重复使用旧的审批结果。

1. 确认上传和翻译的授权

拥有副本并不等同于拥有上传、翻译或分发它的权限。请确定文件的来源以及适用的授权：

• 您自己未出版的手稿；
• 获得翻译授权的作品；
• 雇主或客户的文档；
• 在数据使用或保密协议下的研究资料；
• 合同、法律记录、财务档案或医疗文档；
• 公有领域（公共版权）作品；或
• 从其他人处收到的文档。

记录所有者、权限、预期用途、允许的服务或地区限制，以及批准该工作流的人员。如果协议禁止第三方处理或外部云服务，单纯的脱敏并不能自动解决问题。

切勿通过绕过控制措施来上传加密或受密码保护的材料。请通过文档所有者的流程创建授权的工作副本。

2. 在阅读服务政策前对文件进行分类

列出文件中任何地方存在的最高风险信息：

• 姓名、联系方式、签名、身份证件或账号；
• 健康、就业、教育或财务记录；
• 机密商业计划、产品设计或源材料；
• 法律建议、诉讼材料或受特权保护的通信；
• 未发表的研究、审稿人意见、参与者数据或禁运的研究结果；
• 凭据、私钥、访问令牌或内部网址；以及
• 受合同、法律、资助、道德委员会或组织政策管辖的信息。

分类排在第一位，因为它决定了在线翻译服务是否是可接受的目的地。有利的隐私声明不能凌驾于您的合同或组织的合规处理规则之上。

如果您无法自信地对文件进行分类，请咨询所有者或数据保护联系人，而不是将其视为普通文本。

3. 制作最小工作副本

仅翻译工作需要的内容。使用副本工作，而不是主件。

考虑删除：

• 不相关的页面或附录；
• 未使用的电子表格、幻灯片或附件；
• 不需要表达含义的个人联系方式；
• 签名和账户标识符；
• 当汇总文本已足够时的参与者级别数据；
• 评论和内部审核讨论；
• 旧版文档版本；以及
• 没有翻译用途的嵌入文件。

当某个标识符必须保持一致时，请使用稳定的占位符，例如 [PARTICIPANT_014] 或 [CLIENT_A]。将映射关系离线保存，并与上传的文件分开。当审核人员必须验证同一实体是否保持一致时，请勿使用含糊的替换文本。

数据最小化减少了暴露，但也可能移除准确翻译所需的上下文。记录被删除的内容，并确认剩余的文本仍然可以理解。

4. 检查 DOCX 和 Office 文件中的隐藏内容

“无标记”并不能消除修订。微软在其 修订文档 中指出，隐藏标记只会更改视图，并且未解决的更改在打开文档时可能会再次出现。

微软的 文档检查器指南 列出了在常规查看中可能残留的内容，包括：

• 批注、修订标记、版本和墨迹注释；
• 作者、最后保存者、电子邮件、路由和模板属性；
• 页眉、页脚和水印；
• 隐藏文本；
• 自定义 XML 数据；
• 不可见对象；以及
• 文档服务器或工作流属性。

对副本运行当前的文档检查器。在选择“全部删除”之前检查其结果，因为微软警告称某些删除操作无法恢复，且检查器无法检测到隐藏内容的所有可能方式。

清理副本后：

1. 保存、关闭并重新打开它；
2. 再次运行检查器；
3. 搜索已知的敏感术语；
4. 检查页眉、页脚、批注和修订窗格；以及
5. 确认文件仍包含翻译所需的上下文。

通过隐私关卡后，使用 Word 文档翻译工作流。

5. 对 PDF 进行密文脱敏，而不是绘制黑框

用矩形覆盖文本、将其更改为白色、裁剪页面或拼合屏幕截图并非可靠的密文脱敏方法。底层文本或对象可能仍然可搜索、可选择、可提取或可恢复。

Adobe 目前的 可密文脱敏的 PDF 数据列表 包括可见文本、图像、表单域、元数据、附件、书签、批注、隐藏文本和图层、嵌入索引、已裁剪或删除的内容、链接、动作、JavaScript 以及重叠对象。其 Acrobat 的修订工作流程区分了标记内容与应用修订，并为隐藏信息提供清理功能。

对于 PDF 工作副本：

1. 盘点可见和隐藏的敏感信息；
2. 使用实际的修订工具来标记文本、图像或页面；
3. 应用修订；
4. 在需要时清理隐藏信息；
5. 另存为新文件；
6. 重新打开文件并进行搜索、选择、复制以及检查属性；以及
7. 由第二个人员对高风险文件进行验证。

OCR 会创建另一个供检查的文本层。扫描页面的外观可能经过修订，但其 OCR 文本中仍包含原始标识符。对于纯图像文件，请在执行以下操作前应用隐私保护网关：扫描版 PDF 翻译工作流程.

6. 将服务审查为数据流

在上传时阅读当前的隐私政策和条款。切勿依赖搜索摘要、旧截图或通用的“安全”徽章。

记录对以下问题的回答：

• 上传了哪些内容，附加了哪些账户数据？
• 内容仅用于请求的服务，还是用于模型训练或产品改进？
• 哪些处理器或模型提供商可能会接收它？
• 它在哪里进行处理和存储？
• 数据在传输和静止状态下是否都经过加密？
• 源文件、输出结果、日志和历史记录保留多长时间？
• 用户是否可以删除记录及其关联文件？
• 是否说明了备份或法律保留例外情况？
• 谁可以为支持或滥用审查访问该文件？
• 如何传达政策变更？
• 提供了哪些联系方式或事件处理流程？

记录政策网址和审查日期。如果缺少相关答案，请标记为未知，而不是将营销语言翻译成保证。

7. 对 BookTranslator 应用相同的审查

在本文编写时，BookTranslator 当前的 隐私政策 表明，上传的书籍和翻译输出不会用于训练 AI 模型，翻译记录及相关文件将保留有限的一段时间，以便用户返回“历史记录”下载已完成的工作，并且从“历史记录”中删除记录也会从 BookTranslator 的服务器中删除相关文件。该政策还指出，具体的保留期限可能取决于账户状态或套餐，并建议及时下载重要结果。

这些声明比“从不存储”更具体、更有用。在上传之前，请再次查看实时政策，因为产品行为和条款可能会发生变化。

对于 BookTranslator 而言：

1. 确认您的自有规则允许该文件；
2. 仅上传最少且经过清理的工作副本；
3. 使用合适的账户和设备；
4. 在付款前检查价格和任务详情；
5. 及时下载并审查翻译结果；
6. 不再需要时删除“历史记录”中的记录；以及
7. 如果您的流程有此要求，请保存删除凭证。

切勿将面向用户的删除操作视为当前政策未描述的系统或异常情况的证据。如果您的项目需要合同规定的保留期、数据处理协议、特定区域或受监管的控制措施，请在上传前获得明确确认。

8. 保护翻译输出

翻译输出通常应享有与源文件相同的密级，并且可能会带来新的泄露风险：

• 已修订的姓名可能会从遗漏的批注或 OCR 图层中重新出现；
• 占位符的展开可能不一致；
• 目标语言文本可能会向更广泛的受众暴露信息；
• 元数据可能会从源文件中复制；
• 输出链接可能会被转发到获批群组之外；以及
• 双语文件同时包含源内容和目标内容。

在共享之前检查输出结果。针对其格式重复进行隐藏数据和元数据的检查。确认修订和占位符保留完好，然后仅将其存储在具有所需访问控制的批准位置。

切勿将翻译后的输出上传到另一个工具进行“清理”，而跳过重复整个服务审查的过程。每一个新的目的地都是一个新的数据流。

9. 保留证据和删除计划

轻量级审计记录应包含：

• 源所有者和权限；
• 分类和允许的用途；
• 工作副本文件名或哈希值；
• 已删除或替换的数据；
• 隐藏内容检查结果；
• 服务、策略 URL 以及审查日期；
• 使用的账户和目的地；
• 输出位置和访问所有者；
• 记录/文件删除操作及日期；以及
• 未解决的异常。

切勿将敏感内容本身放入审计日志中。日志应当证明决策过程，而不是成为文档的第二份副本。

一分钟“停止或上传”关卡

如果出现以下任何情况，请在上传前停止：

• 权限或所有权不明确；
• 文件违反了协议或组织规则；
• 仍留有不必要的敏感内容；
• 未检查注释、修订、元数据、图层、附件或 OCR 文本；
• 使用了黑盒而不是真正的修订（脱敏）；
• 当前的服务策略不满足所需的控制要求；
• 输出没有经过批准的存储和删除计划；或者
• 没有人负责事故升级。

如果所有项目都通过，请上传最小可行副本（而不是主副本），并将翻译结果视为敏感信息，直到完成其自身的审查和删除步骤。