Documentatie voor de beveiligingsbeoordeling van de AI-gateway
Alles wat IT-beveiliging en inkoop nodig hebben om Standard Compute te beoordelen, op één pagina: welke gegevens we verwerken en waar, bewaring, training, subverwerkers, de verwerkersovereenkomst, inloggen, toegangsbeheer, logs en de melding van datalekken. De pagina beantwoordt de vragen van een gangbare beveiligingsvragenlijst voor leveranciers, met verwijzingen naar onze verwerkersovereenkomst.
Laatst bijgewerkt op
Bedrijfsaccount aanmakenof stuur uw vragenlijst naar contact@standardcompute.com
De korte antwoorden
- Welke gegevens verwerkt Standard Compute?
- We verwerken uw prompts in het geheugen om elk verzoek te bedienen en schrijven ze nooit naar opslag of logs. De registratie van verzoeken bevat alleen metadata (model, provider, tokens, kosten en status), nooit uw prompts of uitvoer.
- Waar worden ze verwerkt?
- Met een Europa-regel wordt elk verzoek, inclusief herhalingen en fallbacks, uitsluitend bediend door goedgekeurde Europese inferentie-endpoints. Onze EU-gateway beëindigt TLS en draait in Finland, en uw accountgegevens worden opgeslagen in Frankfurt.
- Worden klantgegevens gebruikt voor training?
- Standard Compute traint nooit op uw prompts of uitvoer. Met een regioregel of Zero Retention ingeschakeld gaat elk verzoek alleen naar providers die toezeggen er niet op te trainen.
- Is er een verwerkersovereenkomst?
- Onderteken onze verwerkersovereenkomst binnen enkele minuten in het dashboard. Daarin verplichten we ons om niet op uw gegevens te trainen, uw inhoud niet te bewaren en datalekken binnen 72 uur te melden.
- Wie is de contractpartij?
- Standard Compute AS, een Noorse besloten vennootschap (org.nr. 938 498 806), ingeschreven in Oslo, Noorwegen.
Wat we verwerken, waar en hoe lang
| Gegevens | Inhoud | Locatie | Bewaring |
|---|---|---|---|
| Prompts en uitvoer | De inhoud die uw medewerkers en applicaties verzenden en ontvangen | Locatie: Met een Europa-regel: alleen goedgekeurde Europese inferentie-endpoints, via onze EU-gateway in Finland | Bewaring: In het geheugen verwerkt om het verzoek te bedienen, nooit naar opslag of logs geschreven |
| Verzoekregistraties | Tijdstip, sleutel, model, bedienende provider, tokens, kosten en status. Geen inhoud | Locatie: Frankfurt, Duitsland | Bewaring: Export van verzoekregistraties 12 maanden bewaard met Enterprise en de SLA-add-on |
| Accountgegevens | Bedrijf, personen, teams, sleutels, budgetten en instellingen | Locatie: Frankfurt, Duitsland | Bewaring: Binnen 30 dagen na beëindiging verwijderd of teruggegeven (verwerkersovereenkomst art. 10) |
Maatregelen en toezeggingen
Bewaring en training
Schakel Zero Data Retention in voor uw bedrijf, een team of een sleutel, en elk verzoek wordt alleen gerouteerd naar inferentie-endpoints die toezeggen geen kopie van uw gegevens te bewaren. Teams en sleutels erven de eis en kunnen die nooit buiten u om uitschakelen.
Standard Compute traint nooit op uw prompts of uitvoer. Met een regioregel of Zero Retention ingeschakeld gaat elk verzoek alleen naar providers die toezeggen er niet op te trainen.
Verwerking in Europa
Stel een Europa-regel in voor uw bedrijf, een team of één sleutel, en elk verzoek, inclusief herhalingen en fallbacks, wordt uitsluitend bediend door goedgekeurde Europese inferentie-endpoints. Kan geen enkel Europees endpoint het bedienen, dan wordt het verzoek geweigerd voordat uw prompt wordt verzonden.
Onze EU-gateway beëindigt TLS en draait in Finland, en uw accountgegevens worden opgeslagen in Frankfurt.
Subverwerkers
We publiceren elke subverwerker met het doel, de gegevens en de locatie, en informeren u 14 dagen voordat we een nieuwe toevoegen.
Verwerkersovereenkomst
Onderteken onze verwerkersovereenkomst binnen enkele minuten in het dashboard. Daarin verplichten we ons om niet op uw gegevens te trainen, uw inhoud niet te bewaren en datalekken binnen 72 uur te melden.
Doorgiften buiten de EER of het Verenigd Koninkrijk naar een land zonder adequaatheidsbesluit vallen onder de standaardcontractbepalingen van de EU en het UK International Data Transfer Addendum (art. 6). U mag ons eenmaal per periode van 12 maanden auditen (art. 9), en bij beëindiging verwijderen we uw persoonsgegevens binnen 30 dagen of geven we ze terug (art. 10). Op de verwerkersovereenkomst is Noors recht van toepassing, en de volledige tekst is openbaar, zodat uw juristen die vóór ondertekening kunnen lezen.
Single sign-on en toegangsbeheer
Koppel Microsoft Entra ID of een willekeurige SAML-identiteitsprovider, zodat uw medewerkers met hun werkaccount inloggen bij Standard Compute. Iedereen met een adres op uw geverifieerde domein wordt automatisch lid van uw bedrijf.
Medewerkers loggen met hun Microsoft-werkaccount in bij Claude Desktop en Claude Code, via onze EU-gateway, zodat er geen API-sleutels uitgedeeld hoeven te worden. De toegang volgt uw Microsoft Entra-groepen via SCIM-provisioning.
Personen zijn admin of lid, en elke persoon en elke app krijgt een eigen sleutel. Kies precies welke inferentieproviders uw gegevens mogen verwerken, voor het hele bedrijf, een team of één sleutel. Lagere niveaus kunnen de regels alleen aanscherpen, nieuwe providers worden nooit toegevoegd zonder goedkeuring van een admin, en fallbacks kunnen uw lijst nooit omzeilen. Bepaal welke modellen elke sleutel mag gebruiken.
Audit- en verzoeklogs
Elke wijziging door een admin wordt vastgelegd met de waarde ervoor en erna, en u kunt een registratie van elk verzoek exporteren met het model, de provider die het bediende en de geldende regioregel, 12 maanden bewaard.
Incidenten, melding van datalekken en beschikbaarheid
Volgens de verwerkersovereenkomst (art. 7) informeren we u binnen 72 uur over een inbreuk in verband met persoonsgegevens.
Valt een provider uit, dan schakelt uw verzoek automatisch over naar een andere goedgekeurde provider van hetzelfde model, zonder uw regels voor regio of providers te verlaten. Enterprise omvat een maandelijkse uptime-SLA van 99,9% met servicecredits.
Beveiligingsvragenlijst voor leveranciers, vooraf ingevuld
De vragen die beoordelaars het vaakst stellen, met ons antwoord. Voor alles wat hier niet staat, stuurt u ons uw eigen vragenlijst en we sturen hem ingevuld terug.
Bedrijf en gegevens
| Vraag | Antwoord |
|---|---|
| Rechtspersoon en rechtsgebied | Standard Compute AS, een Noorse besloten vennootschap, org.nr. 938 498 806, ingeschreven in Oslo. |
| Slaat u prompts of uitvoer op? | Nee. We verwerken prompts in het geheugen om elk verzoek te bedienen en schrijven ze nooit naar opslag of logs. |
| Traint u modellen op klantgegevens? | Nee. Standard Compute traint nooit op uw prompts of uitvoer. |
| Trainen uw inferentieproviders op onze gegevens? | Met een regioregel of Zero Retention ingeschakeld gaat elk verzoek alleen naar providers die toezeggen er niet op te trainen. |
| Kan de verwerking worden beperkt tot Europa? | Ja. Een Europa-regel voor het bedrijf, een team of een sleutel beperkt elk verzoek, elke herhaling en elke fallback tot goedgekeurde Europese inferentie-endpoints. |
| Wat gebeurt er als er geen Europees endpoint beschikbaar is? | Het verzoek wordt geweigerd voordat uw prompt wordt verzonden. |
| Waar wordt de gateway gehost? | Onze EU-gateway beëindigt TLS en draait in Finland. |
| Waar worden account- en gebruiksgegevens opgeslagen? | In Frankfurt, Duitsland. |
| Wat bevatten verzoeklogs? | Alleen metadata: model, provider, tokens, kosten en status. Nooit prompts of uitvoer. |
| Biedt u Zero Data Retention? | Ja. Stel het in voor het bedrijf, een team of een sleutel, en verzoeken gaan alleen naar endpoints die toezeggen geen kopie van uw gegevens te bewaren. |
| Kan een team of sleutel Zero Retention uitschakelen? | Nee. Teams en sleutels erven de eis en kunnen die nooit uitschakelen. |
Subverwerkers en verwerkersovereenkomst
| Vraag | Antwoord |
|---|---|
| Publiceert u uw subverwerkers? | Ja, op onze pagina over subverwerkers, elk met het doel, de gegevens en de locatie. |
| Termijn vóór een nieuwe subverwerker? | 14 dagen. |
| Ondertekent u een verwerkersovereenkomst? | Ja. U ondertekent die in het dashboard, en de volledige tekst staat openbaar op onze website. |
| Termijn voor melding van datalekken | Binnen 72 uur, volgens de verwerkersovereenkomst (art. 7). |
| Mechanisme voor internationale doorgifte | De standaardcontractbepalingen van de EU en het UK International Data Transfer Addendum (verwerkersovereenkomst art. 6). |
| Toepasselijk recht van de verwerkersovereenkomst | Noors recht, met de rechtbank van Oslo (Oslo tingrett) als bevoegde rechter. |
| Auditrechten van de klant | Eenmaal per periode van 12 maanden, met 30 dagen schriftelijke aankondiging (verwerkersovereenkomst art. 9). |
| Verwijdering van gegevens bij beëindiging | Persoonsgegevens worden binnen 30 dagen verwijderd of teruggegeven (verwerkersovereenkomst art. 10). |
Identiteit en toegang
| Vraag | Antwoord |
|---|---|
| Single sign-on | Microsoft Entra ID of een willekeurige SAML-identiteitsprovider. |
| Gebruikersprovisioning | Iedereen met een adres op uw geverifieerde domein wordt automatisch lid. Toegang tot Claude Desktop en Claude Code volgt uw Entra-groepen via SCIM. |
| Rollen | Admin en lid, met een eigen sleutel voor elke persoon en elke app. |
| Kunnen we beperken welke AI-providers onze gegevens verwerken? | Ja. Een lijst met toegestane providers voor het bedrijf, een team of een sleutel. Nieuwe providers hebben goedkeuring van een admin nodig, en fallbacks kunnen de lijst nooit omzeilen. |
| Kunnen we beperken welke modellen worden gebruikt? | Ja. U bepaalt welke modellen elke sleutel mag gebruiken. |
| Logging van admin-activiteit | Elke wijziging door een admin wordt vastgelegd met de waarde ervoor en erna. |
| Audittrail per verzoek | Een exporteerbare registratie van elk verzoek met het model, de bedienende provider en de regioregel, 12 maanden bewaard met Enterprise. |
Beheer en facturatie
| Vraag | Antwoord |
|---|---|
| Kostenbeheersing | Een vast maandbudget per persoon of app dat nooit wordt overschreden, plus uitgavenlimieten per sleutel en voor het hele bedrijf. |
| Afhandeling van storingen bij providers | Verzoeken schakelen over naar een andere goedgekeurde provider van hetzelfde model, zonder uw regels voor regio of providers te verlaten. |
| Beschikbaarheidstoezegging | Enterprise omvat een maandelijkse uptime-SLA van 99,9% met servicecredits. |
| Facturatie | Stripe-facturen met uw bedrijfsnaam en btw-nummer. |
Gebruik onze open vragenlijst
Een open vragenlijst voor elke AI-gateway, ook die van ons. We onderhouden een gratis beveiligings- en inkoopvragenlijst onder de MIT-licentie om LLM-gateways en AI-API-aanbieders te beoordelen. Die behandelt dataresidentie, bewaring en Zero Data Retention, gebruik voor training, subverwerkers, SSO en SCIM, auditlogs, kostenbeheersing, lijsten met toegestane modellen en providers, de melding van incidenten, logs voor gebruiksverantwoordelijken onder de AI-verordening en exitvoorwaarden, telkens met een goed antwoord en de waarschuwingssignalen. Hij komt als spreadsheet die u naar leveranciers kunt sturen, met een vergelijking van hoe acht leveranciers antwoorden op hun eigen openbare pagina's, met links. De vragenlijst zelf is in het Engels.
Beveiligingsvragenlijst voor LLM-gateways downloaden op GitHub
Veelgestelde vragen van IT-beveiliging en inkoop
- Wat heeft een beveiligingsbeoordeling nodig om Standard Compute te beoordelen?
- Deze pagina, ons beveiligingsoverzicht, de lijst met subverwerkers en de verwerkersovereenkomst beschrijven wat we verwerken, waar en hoe lang, wie het verder verwerkt en waartoe we ons verplichten.
- Hoe ondertekenen we de verwerkersovereenkomst?
- Een bedrijfsadmin ondertekent die binnen enkele minuten in het dashboard van Standard Compute, en de volledige tekst staat vooraf openbaar op onze website.
- Waar sturen we onze eigen beveiligingsvragenlijst naartoe?
- Stuur die naar contact@standardcompute.com met het onderwerp “Beveiligingsbeoordeling”, en we sturen hem ingevuld terug.
Gerelateerde pagina's
Maak uw bedrijfsaccount aan om de verwerkersovereenkomst te ondertekenen, uw identiteitsprovider te koppelen en uw regels in te stellen. Voor uw eigen vragenlijst mailt u ons met het onderwerp “Beveiligingsbeoordeling”.