Nuestras respuestas al cuestionario de seguridad para pasarelas LLM
Las respuestas completas de Standard Compute al cuestionario de seguridad para pasarelas LLM, listas para pegar en su evaluación de proveedores. Cada respuesta ocupa una o dos frases y remite a la página que la respalda: nuestra página de seguridad, la lista de subencargados del tratamiento y el contrato de encargo del tratamiento (DPA), que usted firma en el panel. Las páginas de referencia están en inglés.
Última actualización:
Descargar en CSV
Crear cuenta de empresao envíenos su propio cuestionario a contact@standardcompute.com
Residencia de datos y tratamiento regional
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| DR-01 | ¿Dónde se procesan los prompts y las respuestas (inferencia), y puede limitarse el tratamiento a una región concreta como la UE/el EEE? | Defina una regla Europa para su empresa, un equipo o una sola clave, y cada solicitud, incluidos los reintentos y los fallbacks, la atienden únicamente endpoints de inferencia europeos aprobados. Nuestra pasarela de la UE termina TLS y funciona en Finlandia, y si ningún endpoint europeo puede atender una solicitud, se rechaza antes de enviar su prompt. | SeguridadPasarela europea |
| DR-02 | ¿Cómo define el proveedor la región? Por ejemplo, ¿«Europa» significa solo UE/EEE, o incluye también el Reino Unido, Suiza u otros países? | Una regla Europa solo admite los endpoints de inferencia europeos aprobados que figuran en nuestra lista de subencargados del tratamiento, cada uno con su lugar de tratamiento. | Subencargados |
| DR-03 | ¿Los reintentos, fallbacks, clasificadores, guardrails, la caché y los registros se mantienen dentro de la misma regla de región que la solicitud principal? | Sí. La regla se aplica a cada llamada que contiene un prompt: el clasificador de enrutamiento, la respuesta, cada reintento y cada fallback. Los prompts se procesan en memoria y nunca se escriben en almacenamiento ni en registros. | Seguridad |
| DR-04 | ¿Dónde se almacenan los metadatos de cuenta, facturación, uso y registros, y sale alguno de ellos de la región? | Sus datos de cuenta y de uso se almacenan en Fráncfort (Alemania), y nuestra pasarela de la UE funciona en Finlandia. Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste y estado), nunca sus prompts ni sus respuestas. | SeguridadSubencargados |
Conservación y retención cero de datos
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| RT-01 | ¿Almacena la propia pasarela los prompts o las respuestas, durante cuánto tiempo, y puede desactivarse el almacenamiento? | No. Procesamos sus prompts en memoria para atender cada solicitud y nunca los escribimos en almacenamiento ni en registros. | SeguridadDPA, cláusula 3 |
| RT-02 | ¿Puede exigir la retención cero de datos (ZDR) a los proveedores de modelos posteriores, y cómo se hace cumplir? | Sí. Active la retención cero de datos para su empresa, un equipo o una clave, y cada solicitud se envía solo a endpoints de inferencia que se comprometen a no conservar ninguna copia de sus datos. Los equipos y las claves heredan el requisito y nunca pueden desactivarlo. | SeguridadGobernanza |
| RT-03 | ¿Qué cubre exactamente el compromiso de ZDR del proveedor (supervisión de abusos, caché, clasificadores de seguridad, revisión humana)? | Todo endpoint que atienda tráfico con retención cero debe cumplir nuestros requisitos para proveedores (Provider Requirements): los prompts y las respuestas no se almacenan una vez completada la solicitud, y solo se acepta la caché transitoria estrictamente necesaria para la inferencia. | Requisitos para proveedores |
| RT-04 | ¿Qué ocurre con sus datos al finalizar el contrato, y con qué rapidez se eliminan? | Su contenido nunca se conserva. Al finalizar el contrato, eliminamos o devolvemos todos los demás datos personales del cliente en un plazo de 30 días. | DPA, cláusula 10 |
Entrenamiento y usos secundarios
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| TR-01 | ¿Utiliza el proveedor sus prompts, respuestas o archivos para entrenar o mejorar modelos, y es esa la opción predeterminada? | No. Standard Compute nunca entrena con sus prompts ni con sus respuestas, y el DPA nos obliga a ello. | DPA, cláusula 3.1 |
| TR-02 | ¿Exige el proveedor a sus subencargados y a los proveedores de modelos posteriores que no entrenen con sus datos, y lo hace cumplir el enrutamiento? | Con una regla de región o con la retención cero activada, cada solicitud se envía solo a proveedores que se comprometen a no entrenar con ella. | Requisitos para proveedoresSeguridad |
| TR-03 | ¿Se utiliza alguno de sus datos para analítica, benchmarking, mejora del producto o revisión humana? | Los prompts y las respuestas se procesan en memoria, nunca se escriben en almacenamiento ni en registros y nunca se usan para entrenar. Los registros de solicitudes contienen solo metadatos: modelo, proveedor, tokens, coste y estado. | Seguridad |
Subencargados del tratamiento
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| SP-01 | ¿Existe una lista pública y actualizada de subencargados del tratamiento con su finalidad, categorías de datos y ubicación? | Sí. Publicamos cada subencargado del tratamiento con su finalidad, los datos que trata y su ubicación. | Subencargados |
| SP-02 | ¿Con cuánta antelación se le avisa antes de incorporar un nuevo subencargado del tratamiento, y puede oponerse? | Le avisamos con 14 días de antelación antes de incorporar un nuevo subencargado del tratamiento. Cómo recibir los avisos y cómo oponerse se explica en la página de subencargados. | Subencargados |
| SP-03 | Cuando la pasarela incorpora un nuevo proveedor de modelos, ¿empieza su tráfico a llegarle automáticamente? | Con una lista de proveedores permitidos, nunca se añade un proveedor nuevo sin la aprobación de un administrador, y los fallbacks nunca pueden saltarse su lista. | SubencargadosGobernanza |
Identidad: SSO y SCIM
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| ID-01 | ¿Qué protocolos de SSO se admiten (SAML, OIDC), con qué proveedores de identidad y en qué plan? | Conecte Microsoft Entra ID o cualquier proveedor de identidad SAML para que su personal inicie sesión en Standard Compute con su cuenta de trabajo. Quien pertenezca a su dominio verificado se une a su empresa automáticamente. | SSODocumentación de SSO |
| ID-03 | ¿Se admite el aprovisionamiento SCIM, y la baja en el IdP revoca las claves de API y las sesiones? | El acceso a Claude Desktop y Claude Code sigue sus grupos de Microsoft Entra mediante aprovisionamiento SCIM. | Documentación de inicio de sesión |
| ID-04 | ¿Puede el acceso a herramientas de IA (aplicaciones de chat, agentes de programación) seguir los grupos del IdP en lugar de claves de API compartidas? | Sí. Los empleados inician sesión en Claude Desktop y Claude Code con su cuenta de trabajo de Microsoft, a través de nuestra pasarela de la UE, así que no hay claves de API que repartir. Para el uso de la API, cada persona y cada aplicación recibe su propia clave. | SSODocumentación de inicio de sesión |
Registros de auditoría y de solicitudes
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| AU-01 | ¿Existe un registro de auditoría de los cambios de configuración de los administradores (personas, claves, presupuestos, políticas), con los valores anteriores y posteriores? | Sí. Cada cambio de un administrador queda registrado con los valores anteriores y posteriores. | GobernanzaSeguridad |
| AU-02 | ¿Existe un registro por solicitud (modelo, proveedor que la atendió, región, resultado, fallbacks), y puede exportarse? | Sí. Puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió, la regla de región vigente, el resultado y cualquier intento de fallback notificado por los proveedores. | SeguridadGobernanza |
| AU-03 | ¿Durante cuánto tiempo se conservan los registros de auditoría y de solicitudes, y puede elegir el periodo? | Los registros de solicitudes se conservan 12 meses con Enterprise y el complemento de SLA, y puede exportarlos desde el panel. | Seguridad |
| AU-04 | ¿Contienen los registros de auditoría el contenido de los prompts? En caso afirmativo, ¿quién puede verlos? | No. Los registros de solicitudes contienen solo metadatos (modelo, proveedor, tokens, coste y estado), nunca sus prompts ni sus respuestas. | Seguridad |
Control del gasto
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| SC-01 | ¿Puede fijar presupuestos estrictos por clave, por usuario, por equipo y por organización? | Cada persona y cada aplicación recibe un presupuesto mensual fijo que nunca se supera, y puede fijar límites de gasto por clave y para toda la empresa. | Documentación de presupuestosGobernanza |
| SC-02 | ¿Qué ocurre cuando se alcanza un presupuesto: parada total, sobrecoste o cambio a un modelo más barato? | Parada total, sin sobrecoste: las solicitudes devuelven HTTP 402 con el código budget_exhausted hasta que se renueva el periodo. La recarga opcional desde un saldo prepago de la empresa mantiene en marcha los agentes críticos. | Documentación de presupuestos |
| SC-03 | ¿Puede imputarse el gasto a una persona, aplicación, equipo, proyecto o centro de coste para la refacturación interna? | Cada persona y cada aplicación tiene su propia clave y su propio presupuesto mensual, organizados en equipos dentro de una cuenta de empresa. | Equipos |
Gobernanza de modelos y proveedores
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| GV-01 | ¿Puede restringir qué modelos puede usar cada equipo, clave o aplicación? | Sí. Usted decide qué modelos puede usar cada clave, de modo que cada aplicación y cada miembro del equipo recibe exactamente los modelos que usted aprueba. | Gobernanza |
| GV-02 | ¿Puede restringir qué proveedores de inferencia (nubes, hosts) pueden atender su tráfico, y la restricción se aplica también a los fallbacks? | Sí. Elija exactamente qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Los fallbacks nunca pueden saltarse su lista. | GobernanzaSeguridad |
| GV-03 | ¿Pueden los niveles inferiores (equipo, clave) solo restringir, y nunca ampliar, la política de la organización? | Sí. Los niveles inferiores solo pueden restringir las reglas fijadas por encima de ellos. | Seguridad |
Incidentes, disponibilidad y garantías
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| IN-01 | ¿Cuál es el plazo contractual de notificación de violaciones de datos? | Le notificamos una violación de la seguridad de los datos personales en un plazo de 72 horas desde que tenemos conocimiento de ella. | DPA, cláusula 7Seguridad |
| IN-02 | ¿Hay una página de estado pública con historial de incidentes y un SLA de disponibilidad con créditos? | Nuestra página de estado es pública, y Enterprise incluye un SLA de disponibilidad mensual del 99,9 % con créditos de servicio. | EstadoSLA |
| IN-03 | ¿Cómo funciona la conmutación por error cuando un proveedor de modelos está caído, y respeta sus reglas de región y de proveedores? | Si un proveedor cae, su solicitud pasa automáticamente a otro proveedor aprobado del mismo modelo, sin salir de sus reglas de región ni de proveedores. Si no hay ninguna ruta permitida disponible, la solicitud falla y nunca se envía fuera de su política. | Seguridad |
Apoyo a responsables del despliegue según el Reglamento de IA de la UE
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| AI-01 | ¿Puede el servicio ayudarle a conservar los registros que debe conservar el responsable del despliegue de un sistema de IA de alto riesgo (art. 26, apartado 6: registros generados automáticamente bajo su control, conservados al menos seis meses salvo que el Derecho de la Unión o nacional aplicable disponga otra cosa)? | Sí. Puede exportar un registro de cada solicitud con el modelo, el proveedor que la atendió, la regla de región y el resultado, conservado 12 meses con Enterprise y el complemento de SLA. | SeguridadGobernanza |
| AI-02 | ¿Documenta el proveedor qué modelos ofrece y quién los suministra, con enlaces a la documentación de esos proveedores (model cards, políticas de uso)? | Cada registro de solicitud indica el modelo y el proveedor que la atendió, y los modelos que ofrecemos figuran en nuestra página de modelos. | Modelos |
Salida y portabilidad
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| EX-01 | ¿Es la API compatible con una interfaz muy extendida (por ejemplo, el formato de API de OpenAI o de Anthropic), de modo que pueda cambiar de proveedor modificando una URL base? | Sí. Envía solicitudes de API compatibles con OpenAI o con Anthropic a un único endpoint, documentado en nuestra referencia de la API. | Referencia de la APISeguridad |
| EX-02 | ¿Puede exportar su configuración (claves, políticas, prompts, reglas de enrutamiento) y sus registros en un formato estándar? | Los registros de solicitudes se exportan desde el panel, con el modelo, el proveedor que la atendió y la regla de región de cada solicitud. | Seguridad |
| EX-04 | ¿Cuáles son las condiciones de resolución: preaviso, devolución de datos, eliminación y posibles cargos? | Al finalizar el contrato, eliminamos o devolvemos sus datos personales en un plazo de 30 días. | DPA, cláusula 10Condiciones |
Contrato y DPA
| ID | Pregunta | Respuesta | Evidencia |
|---|---|---|---|
| CT-01 | ¿Hay un contrato de encargo del tratamiento disponible, y puede firmarse sin una negociación a medida? | Sí. El texto completo del DPA es público, y un administrador de la empresa lo firma en el panel en pocos minutos. Nos obliga a no entrenar con sus datos, a no conservar su contenido y a notificar violaciones de datos en un plazo de 72 horas. | Texto del DPA |
| CT-02 | ¿Qué mecanismos de transferencia cubren las transferencias fuera de la UE/el EEE (CCT, UK IDTA, Marco de Privacidad de Datos UE-EE. UU.)? | Las cláusulas contractuales tipo de la UE y, para datos del Reino Unido, el UK International Data Transfer Addendum. El mecanismo de cada subencargado del tratamiento figura en nuestra página de subencargados. | DPA, cláusula 6Subencargados |
| CT-03 | ¿Qué ley rige el contrato, y dónde se resuelven las controversias? | La ley noruega. Según nuestras condiciones, las controversias corresponden a los tribunales de Oslo, y el Tribunal de Distrito de Oslo es el fuero acordado en el DPA. La entidad contratante es Standard Compute AS, n.º de organización 938 498 806, Oslo, Noruega. | CondicionesDPA, cláusula 11 |
Sobre el cuestionario
El cuestionario es abierto y neutral respecto a proveedores, tiene licencia MIT y está pensado para evaluar cualquier pasarela LLM o proveedor de API de IA. Los identificadores de pregunta de arriba coinciden con su hoja de cálculo en inglés, de modo que cada respuesta se pega en la fila correspondiente. Para la visión completa de compras, con categorías de datos, ubicaciones y cláusulas del DPA en un solo lugar, consulte nuestra documentación para la revisión de seguridad.
Cree la cuenta de su empresa para firmar el DPA, conectar su proveedor de identidad y definir sus reglas de región y de proveedores. Si tiene un cuestionario en su propio formato, escríbanos y se lo devolvemos completado.