Какие проблемы с безопасностью данных могут создавать функции перевода в приложениях-компаньонах?

Определите функцию и каждого обработчика данных перед использованием

Начните с конкретного элемента управления: автоматический перевод всех входящих сообщений, перевод отдельного сообщения по касанию, отправка выделенного текста в другое приложение через меню «Поделиться», синхронный голосовой перевод, перевод изображений или черновик перевода перед отправкой. Откройте актуальное уведомление о конфиденциальности и справку по функциям приложения-компаньона. Найдите сведения о поставщике услуг перевода, категориях входных данных, целях, сроках хранения, формулировках об обучении моделей или улучшении сервиса, регионах обработки, ведении истории аккаунта и элементах управления удалением данных. Проверьте панель разрешений операционной системы и место назначения, отображаемое в меню «Поделиться». Если поставщик не указан, объем передаваемых данных неясен или в уведомлении лишь сказано, что «партнеры могут обрабатывать данные», не используйте эту функцию для конфиденциального текста, пока служба поддержки не предоставит четкий ответ.

Отделяйте потребительские продукты от API с похожим названием. Например, в разделе вопросов и ответов Google Cloud об использовании данных указано, что текст в Cloud Translation API кратковременно удерживается в памяти для выполнения перевода и не используется для обучения продуктов Google Translation. Это заявление относится исключительно к сервису API; оно не определяет, что регистрирует в журналах разработчик приложения-компаньона перед отправкой запроса к API, что он сохраняет после получения результата, и использует ли он другую версию, конечную точку или стороннего поставщика. Считайте разработчика компаньона и службу обработки перевода отдельными сторонами, если в документации прямо не доказано обратное.

Определяйте полный объем передаваемых данных, а не только выделенное предложение

При переводе текстового чата выясните, отправляет ли функция только одно выбранное сообщение, соседние реплики для контекста, всю переписку целиком, язык аккаунта, идентификаторы собеседников, идентификаторы сообщений, метки времени, информацию об устройстве или диагностические данные. Функция автоматического перевода может обрабатывать каждое подходящее входящее сообщение, включая те чаты, которые вы даже не открывали. Если перевод выполняется через копирование и вставку, дополнительными поверхностями утечки данных могут стать буфер обмена и клавиатура. Переведенный черновик может сохраняться как до, так и после перевода, а повторный перевод может отправить тот же текст еще раз. Запрашивайте информацию о полном пакете данных запроса, а не только об отображаемых символах.

Голосовой перевод может включать захват звука с микрофона, аудиосегмент, расшифровку речи в текст, определение исходного языка, переведенный текст и синтезированную речь. Перевод изображений может задействовать кадр с камеры в реальном времени или выбранную фотографию, распознанный текст, координаты кадрирования и стандартные метаданные изображения. Наличие разрешения на использование камеры или микрофона не сообщает о том, какие именно артефакты покидают устройство. По возможности кадрируйте изображение, исключая лица, адреса, заголовки аккаунтов и уведомления; выбирайте короткие голосовые фрагменты без имен; а также переводите отдельные сообщения вместо включения перевода всей ветки, если задача это позволяет.

Различайте локальные, автономные, облачные и сторонние маршруты обработки данных

Перевод на устройстве или с использованием загруженных языковых пакетов позволяет снизить необходимость отправки исходных данных по сети. В документации Google Переводчика описаны загружаемые языки для автономного использования, а Apple предоставляет возможности перевода на устройстве в зависимости от модели. Однако статус «офлайн» может относиться только к самому механизму перевода. Исходный чат уже может быть синхронизирован сервисом-компаньоном, клавиатура может использовать сетевые функции, история может синхронизироваться при восстановлении подключения, резервные копии могут содержать переписку, а языковые пакеты по-прежнему требуют загрузки и обновлений. Проверяйте параметры продукта и документацию; не делайте вывод о пути обработки данных только потому, что перевод сработал в режиме полета.

Облачный путь сервиса отправляет контент на серверную часть поставщика приложения-компаньона, которая может использовать собственную модель или обращаться к другому обработчику. Сторонний путь предполагает отправку данных отдельному внешнему переводчику. Практическая разница заключается не в том, что один вариант заведомо лучше другого. Дело в том, что для каждого владельца требуются указанная цель, объем входных данных, правила хранения, границы доступа, регион (если применимо), каналы поддержки и порядок удаления. Если при недоступности языка приложение переключается с автономного режима на онлайн, проверьте, предлагает ли оно наглядный выбор или меняет маршрут незаметно. Для приватных бесед предпочтительнее явный отказ в обработке или запрос подтверждения, чем скрытое переключение на облачный режим.

Проверяйте историю, сохраненные результаты, отчеты и средства управления удалением

Проверьте чат приложения-компаньона, панель перевода, поиск, сохраненные элементы, черновики, файлы экспорта и связанные устройства на наличие как оригиналов, так и переведенных копий. Затем изучите локальную и облачную историю самого сервиса перевода. Google Переводчик указывает, что история может храниться на устройстве и, при входе в аккаунт, синхронизироваться с облаком; выход из аккаунта и управление историей — это разные параметры. В уведомлении Apple «Перевод и конфиденциальность» описаны специфика обработки для конкретных продуктов, ротируемые идентификаторы и условия, при которых выборка запросов может проверяться или сохраняться. Эти примеры показывают, почему переключатель в аккаунте, удаление истории и обработку данных сервисом нельзя рассматривать как один и тот же элемент управления.

Проведите безопасный тест на удаление с помощью вымышленной фразы. Переведите ее, зафиксируйте все места, где она отобразилась, удалите ее из чата приложения-компаньона и проверьте, осталась ли она в истории переводов, сохраненных фразах, на связанных устройствах или в экспортированных файлах. Затем воспользуйтесь штатными средствами управления для этих отдельных разделов. Не используйте настоящие конфиденциальные фразы в качестве тестового маркера. Обратите внимание, удаляет ли эта функция только отображаемую историю или также сохраненный на сервере объект, и заявляет ли поставщик о задержке при удалении. Если средства управления или заявления о сроках хранения отсутствуют, исходите из того, что вы не можете независимо проверить факт удаления, и сокращайте объем передаваемых данных.

Используйте рабочий процесс перевода с минимальным объемом контента

Сначала прочитайте сообщение и найдите точную фразу, которая мешает пониманию. Удалите имена, имена пользователей, точные названия мест, даты, идентификаторы, ссылки с токенами, цитируемую историю и сведения о людях, которые не давали согласия на участие. Замените их нейтральными маркерами-заполнителями, сохраняющими грамматическую структуру. Выбирайте наиболее ограниченный режим: выделенный текст вместо автоматического перевода всей переписки, набранный текст вместо загрузки изображения, короткий фрагмент вместо целого документа. По возможности подтверждайте исходный и целевой языки вручную, чтобы автоматическое определение не создавало лишней обработки и не приводило к ошибочному выбору языка с высокой степенью ложной уверенности.

Сверяйте полученный результат с оригиналом. Машинный перевод может искажать местоимения, тональность, отрицания, временные формы, имена и слова, обозначающие взаимоотношения. Для повседневной координации попросите собеседника переформулировать неоднозначную фразу более простыми словами, вместо того чтобы повторно переводить разрастающуюся ветку диалога. Никогда не вставляйте в переводчик пароли, коды подтверждения, ссылки для восстановления доступа, точные инструкции по проникновению в жилище, личные фотографии или чужую переписку целиком. Если контент требует строгого и точного формулирования, опирайтесь на оригинал и привлекайте проверенного специалиста, а не воспринимайте автоматический перевод как окончательный документ.

Повторно проверяйте потоки данных после обновлений продукта

Системы перевода меняются независимо от интерфейса приложения-компаньона. Поставщик, модель, конечная точка, настройки истории по умолчанию, поддерживаемые языки для работы офлайн или охват автоматического перевода могут измениться без изменения названия кнопки. Проводите повторную проверку после крупных обновлений приложения, появления новых экранов согласия, изменений в политике конфиденциальности, смены статуса авторизации, активации новой клавиатуры или добавления привязанного устройства. Фиксируйте дату, версию приложения, название обработчика, режим, место хранения истории и способ удаления, а не полагайтесь на общее заключение «безопасно».

Если функция больше не раскрывает сведения об обработчике или объеме входящих данных, отключите автоматический перевод и вернитесь к выбору минимальных, не содержащих идентифицирующей информации фрагментов через задокументированный маршрут. Сообщите разработчикам о пробелах в документации, не отправляя спорную переписку в качестве примера. Цель состоит не в полном отказе от перевода, а в том, чтобы создание новой копии и привлечение нового обработчика оставались соразмерными ценности понимания конкретного фрагмента, а сам путь данных оставался прозрачным и контролируемым.

Продолжить изучение темы