Onze antwoorden op de beveiligingsvragenlijst voor LLM-gateways
De ingevulde antwoorden van Standard Compute op de beveiligingsvragenlijst voor LLM-gateways, klaar om in uw leveranciersbeoordeling te plakken. Elk antwoord telt een of twee zinnen en verwijst naar de pagina die het onderbouwt: ons beveiligingsoverzicht, de lijst met subverwerkers en de verwerkersovereenkomst (DPA), die u in het dashboard ondertekent. De onderbouwende pagina's zijn in het Engels.
Laatst bijgewerkt op
Downloaden als CSV
Bedrijfsaccount aanmakenof stuur ons uw eigen vragenlijst via contact@standardcompute.com
Dataresidentie en regionale verwerking
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| DR-01 | Waar worden prompts en antwoorden verwerkt (inferentie), en kan de verwerking worden beperkt tot een bepaalde regio, zoals de EU/EER? | Stel een Europa-regel in voor uw bedrijf, een team of één sleutel, en elk verzoek, inclusief herhalingen en fallbacks, wordt uitsluitend bediend door goedgekeurde Europese inferentie-endpoints. Onze EU-gateway beëindigt TLS en draait in Finland, en als geen enkel Europees endpoint een verzoek kan bedienen, wordt het geweigerd voordat uw prompt wordt verzonden. | BeveiligingEuropese gateway |
| DR-02 | Hoe definieert de leverancier de regio? Betekent “Europa” bijvoorbeeld alleen EU/EER, of vallen ook het Verenigd Koninkrijk, Zwitserland of andere landen eronder? | Een Europa-regel laat alleen de goedgekeurde Europese inferentie-endpoints toe die op onze lijst met subverwerkers staan, elk met de locatie van verwerking. | Subverwerkers |
| DR-03 | Blijven herhalingen, fallbacks, classifiers, guardrails, caching en logging binnen dezelfde regioregel als het hoofdverzoek? | Ja. De regel wordt afgedwongen bij elke aanroep die een prompt bevat: de routeringsclassifier, het antwoord, elke herhaling en elke fallback. Prompts worden in het geheugen verwerkt en nooit naar opslag of logs geschreven. | Beveiliging |
| DR-04 | Waar worden account-, facturatie-, gebruiks- en logmetadata opgeslagen, en verlaat iets daarvan de regio? | Uw account- en gebruiksgegevens worden opgeslagen in Frankfurt, Duitsland, en onze EU-gateway draait in Finland. De registratie van verzoeken bevat alleen metadata (model, provider, tokens, kosten en status), nooit uw prompts of uitvoer. | BeveiligingSubverwerkers |
Bewaring en Zero Data Retention
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| RT-01 | Slaat de gateway zelf prompts of antwoorden op, hoe lang, en kan opslag worden uitgeschakeld? | Nee. We verwerken uw prompts in het geheugen om elk verzoek te bedienen en schrijven ze nooit naar opslag of logs. | BeveiligingDPA art. 3 |
| RT-02 | Kunt u Zero Data Retention (ZDR) eisen van onderliggende modelproviders, en hoe wordt dat afgedwongen? | Ja. Schakel Zero Data Retention in voor uw bedrijf, een team of een sleutel, en elk verzoek wordt alleen gerouteerd naar inferentie-endpoints die toezeggen geen kopie van uw gegevens te bewaren. Teams en sleutels erven de eis en kunnen die nooit buiten u om uitschakelen. | BeveiligingGovernance |
| RT-03 | Wat dekt de ZDR-toezegging van de provider precies (misbruikmonitoring, caching, veiligheidsclassifiers, menselijke beoordeling)? | Elk endpoint dat zero-retention-verkeer bedient, moet voldoen aan onze Provider Requirements: prompts en uitvoer worden na afronding van het verzoek niet opgeslagen, en alleen tijdelijke caching die strikt noodzakelijk is voor de inferentie wordt geaccepteerd. | Provider Requirements |
| RT-04 | Wat gebeurt er met uw gegevens aan het einde van het contract, en hoe snel worden ze verwijderd? | Uw inhoud wordt nooit bewaard. Bij beëindiging verwijderen we alle overige persoonsgegevens van klanten binnen 30 dagen of geven we ze terug. | DPA art. 10 |
Training en secundair gebruik
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| TR-01 | Gebruikt de leverancier uw prompts, antwoorden of bestanden om modellen te trainen of te verbeteren, en is dat de standaardinstelling? | Nee. Standard Compute traint nooit op uw prompts of uitvoer, en de verwerkersovereenkomst legt dat contractueel vast. | DPA art. 3.1 |
| TR-02 | Verplicht de leverancier zijn subverwerkers en onderliggende modelproviders om niet op uw gegevens te trainen, en dwingt de routering dat af? | Met een regioregel of Zero Retention ingeschakeld gaat elk verzoek alleen naar providers die toezeggen er niet op te trainen. | Provider RequirementsBeveiliging |
| TR-03 | Worden uw gegevens gebruikt voor analyses, benchmarking, productverbetering of menselijke beoordeling? | Prompts en uitvoer worden in het geheugen verwerkt, nooit naar opslag of logs geschreven en nooit gebruikt voor training. De registratie van verzoeken bevat alleen metadata: model, provider, tokens, kosten en status. | Beveiliging |
Subverwerkers
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| SP-01 | Is er een openbare, actuele lijst met subverwerkers, met doel, datacategorieën en locatie? | Ja. We publiceren elke subverwerker met het doel, de gegevens en de locatie. | Subverwerkers |
| SP-02 | Hoeveel tijd vooraf wordt u geïnformeerd voordat er een nieuwe subverwerker bijkomt, en kunt u bezwaar maken? | We informeren u 14 dagen voordat we een nieuwe subverwerker toevoegen. Hoe u meldingen ontvangt en bezwaar maakt, staat op de pagina over subverwerkers. | Subverwerkers |
| SP-03 | Als de gateway een nieuwe modelprovider toevoegt, bereikt uw verkeer die dan automatisch? | Met een lijst van toegestane providers wordt een nieuwe provider nooit toegevoegd zonder goedkeuring van een admin, en fallbacks kunnen uw lijst nooit omzeilen. | SubverwerkersGovernance |
Identiteit: SSO en SCIM
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| ID-01 | Welke SSO-protocollen worden ondersteund (SAML, OIDC), met welke identiteitsproviders en in welk abonnement? | Koppel Microsoft Entra ID of een willekeurige SAML-identiteitsprovider, zodat uw medewerkers met hun werkaccount inloggen bij Standard Compute. Iedereen met een adres op uw geverifieerde domein wordt automatisch lid van uw bedrijf. | SSOSSO-documentatie |
| ID-03 | Wordt SCIM-provisioning ondersteund, en trekt deprovisioning in de IdP API-sleutels en sessies in? | Toegang tot Claude Desktop en Claude Code volgt uw Microsoft Entra-groepen via SCIM-provisioning. | Inlogdocumentatie |
| ID-04 | Kan toegang tot AI-tools (chatapps, coding agents) IdP-groepen volgen in plaats van gedeelde API-sleutels? | Ja. Medewerkers loggen met hun Microsoft-werkaccount in bij Claude Desktop en Claude Code, via onze EU-gateway, zodat er geen API-sleutels uitgedeeld hoeven te worden. Voor API-gebruik krijgt elke persoon en elke app een eigen sleutel. | SSOInlogdocumentatie |
Auditlogs en verzoekregistratie
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| AU-01 | Is er een auditlog voor admins van configuratiewijzigingen (personen, sleutels, budgetten, beleid), met de waarden ervoor en erna? | Ja. Elke wijziging door een admin wordt vastgelegd met de waarde ervoor en erna. | GovernanceBeveiliging |
| AU-02 | Is er per verzoek een registratie (model, bedienende provider, regio, uitkomst, fallbacks), en kan die worden geëxporteerd? | Ja. U kunt een registratie van elk verzoek exporteren met het model, de provider die het bediende, de geldende regioregel, de uitkomst en eventuele fallbackpogingen die providers hebben gemeld. | BeveiligingGovernance |
| AU-03 | Hoe lang worden audit- en verzoekregistraties bewaard, en kunt u zelf een termijn kiezen? | Verzoekregistraties worden 12 maanden bewaard met Enterprise en de SLA-add-on, en u kunt ze exporteren vanuit het dashboard. | Beveiliging |
| AU-04 | Bevatten auditregistraties de inhoud van prompts? Zo ja, wie kan die zien? | Nee. Verzoekregistraties bevatten alleen metadata (model, provider, tokens, kosten en status), nooit uw prompts of uitvoer. | Beveiliging |
Kostenbeheersing
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| SC-01 | Kunt u harde budgetten instellen per sleutel, per gebruiker, per team en per organisatie? | Elke persoon en elke app krijgt een vast maandbudget dat nooit wordt overschreden, en u kunt uitgavenlimieten instellen per sleutel en voor het hele bedrijf. | BudgetdocumentatieGovernance |
| SC-02 | Wat gebeurt er als een budget is bereikt: een harde stop, overschrijding of terugval op een goedkoper model? | Een harde stop, zonder overschrijding: verzoeken geven HTTP 402 met de code budget_exhausted terug totdat de periode wordt vernieuwd. Optioneel aanvullen vanuit een vooraf betaald bedrijfstegoed houdt kritieke agents draaiende. | Budgetdocumentatie |
| SC-03 | Kunnen uitgaven voor interne doorbelasting worden toegerekend aan een persoon, app, team, project of kostenplaats? | Elke persoon en elke app heeft een eigen sleutel en een eigen maandbudget, georganiseerd in teams onder één bedrijfsaccount. | Teams |
Governance van modellen en providers
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| GV-01 | Kunt u beperken welke modellen elk team, elke sleutel of elke app mag gebruiken? | Ja. U bepaalt welke modellen elke sleutel mag gebruiken, zodat elke app en elk teamlid precies de modellen krijgt die u goedkeurt. | Governance |
| GV-02 | Kunt u beperken welke inferentieproviders (clouds, hosts) uw verkeer mogen bedienen, en geldt die beperking ook voor fallbacks? | Ja. Kies precies welke inferentieproviders uw gegevens mogen verwerken, voor het hele bedrijf, een team of één sleutel. Fallbacks kunnen uw lijst nooit omzeilen. | GovernanceBeveiliging |
| GV-03 | Kunnen lagere niveaus (team, sleutel) het beleid van de organisatie alleen aanscherpen en nooit verruimen? | Ja. Lagere niveaus kunnen de regels die erboven zijn ingesteld alleen aanscherpen. | Beveiliging |
Incidenten, beschikbaarheid en zekerheid
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| IN-01 | Welke contractuele termijn geldt voor de melding van datalekken? | We informeren u binnen 72 uur nadat we kennis hebben gekregen van een inbreuk in verband met persoonsgegevens. | DPA art. 7Beveiliging |
| IN-02 | Is er een openbare statuspagina met incidentgeschiedenis, en een uptime-SLA met creditering? | Onze statuspagina is openbaar, en Enterprise omvat een maandelijkse uptime-SLA van 99,9% met servicecredits. | StatusSLA |
| IN-03 | Hoe werkt failover als een modelprovider uitvalt, en respecteert die uw regels voor regio en providers? | Valt een provider uit, dan schakelt uw verzoek automatisch over naar een andere goedgekeurde provider van hetzelfde model, zonder uw regels voor regio of providers te verlaten. Is er geen toegestane route beschikbaar, dan mislukt het verzoek en wordt het nooit buiten uw beleid verzonden. | Beveiliging |
Ondersteuning voor gebruiksverantwoordelijken onder de AI-verordening
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| AI-01 | Kan de dienst u helpen de logs bij te houden die een gebruiksverantwoordelijke van een AI-systeem met een hoog risico moet bijhouden (art. 26, lid 6: automatisch gegenereerde logs onder uw controle, ten minste zes maanden bewaard, tenzij toepasselijk Unierecht of nationaal recht anders bepaalt)? | Ja. U kunt een registratie van elk verzoek exporteren met het model, de bedienende provider, de regioregel en de uitkomst, 12 maanden bewaard met Enterprise en de SLA-add-on. | BeveiligingGovernance |
| AI-02 | Documenteert de leverancier welke modellen hij aanbiedt, wie ze levert, met links naar de documentatie van de providers (model cards, gebruiksbeleid)? | Elke verzoekregistratie vermeldt het model en de provider die het verzoek bediende, en de modellen die we aanbieden staan op onze modellenpagina. | Modellen |
Exit en overdraagbaarheid
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| EX-01 | Is de API compatibel met een veelgebruikte interface (bijvoorbeeld het API-formaat van OpenAI of Anthropic), zodat u van leverancier kunt wisselen door een base-URL te wijzigen? | Ja. U stuurt OpenAI- of Anthropic-compatibele API-verzoeken naar één endpoint, gedocumenteerd in onze API-referentie. | API-referentieBeveiliging |
| EX-02 | Kunt u uw configuratie (sleutels, beleid, prompts, routeringsregels) en uw logs exporteren in een standaardformaat? | Verzoekregistraties zijn te exporteren vanuit het dashboard, met het model, de bedienende provider en de regioregel voor elk verzoek. | Beveiliging |
| EX-04 | Welke voorwaarden gelden bij beëindiging: opzegtermijn, teruggave van gegevens, verwijdering en eventuele kosten? | Bij beëindiging verwijderen we uw persoonsgegevens binnen 30 dagen of geven we ze terug. | DPA art. 10Voorwaarden |
Contract en verwerkersovereenkomst
| ID | Vraag | Antwoord | Onderbouwing |
|---|---|---|---|
| CT-01 | Is er een verwerkersovereenkomst beschikbaar, en kan die worden ondertekend zonder aparte onderhandeling? | Ja. De volledige tekst van de verwerkersovereenkomst is openbaar, en een bedrijfsadmin ondertekent die binnen enkele minuten in het dashboard. Daarin verplichten we ons om niet op uw gegevens te trainen, uw inhoud niet te bewaren en datalekken binnen 72 uur te melden. | Tekst DPA |
| CT-02 | Welke doorgiftemechanismen dekken doorgiften buiten de EU/EER (SCC's, UK IDTA, EU-US Data Privacy Framework)? | De standaardcontractbepalingen van de EU en, voor gegevens uit het Verenigd Koninkrijk, het UK International Data Transfer Addendum. Het mechanisme per subverwerker staat op onze pagina over subverwerkers. | DPA art. 6Subverwerkers |
| CT-03 | Welk recht is van toepassing op het contract, en waar worden geschillen beslecht? | Noors recht. Volgens onze voorwaarden worden geschillen voorgelegd aan de rechtbanken van Oslo, en volgens de verwerkersovereenkomst is de rechtbank van Oslo (Oslo tingrett) de overeengekomen bevoegde rechter. De contractpartij is Standard Compute AS, org.nr. 938 498 806, Oslo, Noorwegen. | VoorwaardenDPA art. 11 |
Over de vragenlijst
De vragenlijst is open en leveranciersneutraal, valt onder de MIT-licentie en is geschreven om elke LLM-gateway of AI-API-aanbieder te beoordelen. De vraag-ID's hierboven komen overeen met de Engelstalige spreadsheet, zodat u elk antwoord in de juiste rij kunt plakken. Voor het volledige overzicht voor inkoop, met datacategorieën, locaties en de bepalingen van de verwerkersovereenkomst op één plek, leest u onze documentatie voor de beveiligingsbeoordeling.
Maak uw bedrijfsaccount aan om de verwerkersovereenkomst te ondertekenen, uw identiteitsprovider te koppelen en uw regels voor regio en providers in te stellen. Heeft u een vragenlijst in uw eigen format, stuur ons die dan en we sturen hem ingevuld terug.