API LLM avec DPA et sous-traitants ultérieurs : ce qui est public sans rendez‑vous commercial
Dernière mise à jour le
Avant d'acheter une API LLM, votre DPO demande trois documents : l'accord de traitement des données (DPA, article 28 du RGPD), la liste des sous-traitants ultérieurs et les lieux où vos données sont traitées. Standard Compute publie les trois. Le DPA complet est à l'adresse /dpa, et chaque sous-traitant ultérieur, avec sa finalité, ses données et sa localisation, à l'adresse /sub-processors.
Signez notre accord de traitement des données en quelques minutes dans le tableau de bord. Il nous engage à ne pas entraîner de modèles sur vos données, à ne pas conserver vos contenus et à notifier toute violation de données sous 72 heures.
Créer un espace entrepriseou écrivez à contact@standardcompute.com
EnglishDeutschNederlandsEspañolItalianoSvenskaNorskDanskSuomiPolski
Réponses courtes
- Où trouver le DPA de Standard Compute ?
- Le texte intégral est public à l'adresse standardcompute.com/dpa. Il s'applique au titre du RGPD, du UK GDPR et de la loi norvégienne sur les données personnelles, et il est régi par le droit norvégien.
- Comment le signer ?
- Un administrateur de votre entreprise le signe électroniquement dans le tableau de bord, rubrique Compliance, avec l'offre Enterprise ou l'option « Signed DPA ». Aucun rendez‑vous commercial n'est nécessaire.
- Où se trouve la liste des sous-traitants ultérieurs ?
- À l'adresse standardcompute.com/sub-processors. Nous publions chaque sous-traitant ultérieur avec sa finalité, ses données et sa localisation, et nous vous prévenons 14 jours avant d'en ajouter un nouveau.
- Où nos données sont-elles traitées ?
- Notre passerelle UE termine le TLS et fonctionne en Finlande, et les données de votre compte sont stockées à Francfort. Avec une règle Europe, chaque requête, y compris les nouvelles tentatives et les replis, n'est servie que par des points de terminaison d'inférence européens approuvés.
Ce que vos achats peuvent lire dès aujourd'hui
| Document | Chez Standard Compute |
|---|---|
| DPA | Chez Standard Compute: Public à l'adresse /dpa : aucun entraînement sur les contenus clients, aucune conservation des contenus, notification des violations sous 72 heures, suppression sous 30 jours après la fin du contrat |
| Signature | Chez Standard Compute: Électronique, dans le tableau de bord, par un administrateur de l'entreprise, avec l'offre Enterprise ou l'option « Signed DPA » |
| Sous-traitants ultérieurs | Chez Standard Compute: Publics à l'adresse /sub-processors, chacun avec sa finalité, ses données, sa localisation et son mécanisme de transfert, ainsi que les fournisseurs d'inférence approuvés pour l'Europe |
| Modifications de la liste | Chez Standard Compute: Préavis écrit d'au moins 14 jours, avec droit d'opposition. Un nouveau fournisseur d'inférence n'entre jamais dans votre liste de fournisseurs autorisés sans l'accord d'un administrateur |
| Lieux de traitement | Chez Standard Compute: Passerelle UE en Finlande, données du compte à Francfort. L'inférence s'exécute là où votre règle de région le prévoit, par entreprise, équipe ou clé |
| Transferts hors UE | Chez Standard Compute: Clauses contractuelles types de l'UE et, pour les données du Royaume-Uni, l'UK International Data Transfer Addendum |
Les clauses que les auditeurs demandent
| Clause | Ce qu'elle prévoit |
|---|---|
| 3.1 | Ce qu'elle prévoit: Nous n'utilisons pas les contenus clients pour entraîner, affiner ou améliorer un modèle d'IA |
| 3.2 | Ce qu'elle prévoit: Les contenus clients sont traités en mémoire pour servir la requête et ne sont jamais écrits sur disque ni dans les journaux |
| 5.2 | Ce qu'elle prévoit: Préavis écrit d'au moins 14 jours avant tout nouveau sous-traitant ultérieur, avec droit d'opposition |
| 5.3 | Ce qu'elle prévoit: Avec une liste de fournisseurs autorisés, aucun contenu client ne part vers un fournisseur d'inférence absent de cette liste |
| 6.2 | Ce qu'elle prévoit: Les transferts vers un pays sans décision d'adéquation reposent sur les clauses contractuelles types et l'addendum britannique |
| 7.1 | Ce qu'elle prévoit: Notification d'une violation de données sans retard injustifié, et au plus tard sous 72 heures |
| 9.2 | Ce qu'elle prévoit: Un audit par vous ou par un auditeur indépendant, une fois par période de 12 mois |
| 10.1 | Ce qu'elle prévoit: Suppression ou restitution de toutes les autres données personnelles sous 30 jours après la fin du contrat |
| 11.4 | Ce qu'elle prévoit: Droit norvégien, tribunal d'arrondissement d'Oslo |
Numéros de clauses du DPA public à l'adresse /dpa. Seule la version anglaise fait foi.
Où les autres API LLM publient ces documents
| Fournisseur | DPA | Sous-traitants ultérieurs | Localisation des données |
|---|---|---|---|
| Standard Compute | DPA: Public ; signature dans le tableau de bord | Sous-traitants ultérieurs: Publics, avec finalité, localisation et mécanisme de transfert ; préavis de 14 jours | Localisation des données: Règle Europe par entreprise, équipe ou clé ; passerelle UE en Finlande, données du compte à Francfort |
| Anthropic | DPA: Public, intégré aux Commercial Terms | Sous-traitants ultérieurs: Liste publique, liée depuis le DPA | Localisation des données: Inférence « us » ou « global » ; données stockées pour l'instant aux États-Unis uniquement |
| OpenRouter | DPA: Public, via les conditions d'utilisation ; copie signée sur demande dans l'offre Business | Sous-traitants ultérieurs: Dans son trust center, lié depuis le DPA ; préavis de 30 jours pour les abonnés, fournisseurs de modèles exclus | Localisation des données: Routage UE et États-Unis dans les offres Business et Enterprise |
| Requesty | DPA: Sur demande par e-mail | Sous-traitants ultérieurs: Publics, avec leur localisation | Localisation des données: Résidence des données dans l'UE dans toutes les offres |
| OpenAI | DPA: Non vérifié | Sous-traitants ultérieurs: Liste publique, liée depuis sa documentation sur les données | Localisation des données: Traitement régional aux États-Unis, en Europe et aux Émirats via des projets régionaux |
Lu sur les pages de chaque fournisseur le 9 novembre 2026. Standard Compute est notre produit.
Questions de l'IT, de la sécurité et des achats
- Notre DPO exige un DPA, la liste des sous-traitants ultérieurs et la localisation des données avant d'acheter une API LLM pour nos agents de code. Quels fournisseurs publient tout cela sans rendez‑vous commercial ?
- Standard Compute publie les trois : le DPA à l'adresse standardcompute.com/dpa, les sous-traitants ultérieurs avec leur localisation et leur mécanisme de transfert à l'adresse standardcompute.com/sub-processors, et les lieux de traitement à l'annexe 1 du DPA. Un administrateur signe le DPA dans le tableau de bord. Anthropic publie aussi son DPA et ses sous-traitants ultérieurs, et OpenRouter propose une copie signée sur demande dans son offre Business.
- Pouvons-nous choisir quels fournisseurs d'inférence voient nos prompts ?
- Oui. Choisissez exactement quels fournisseurs d'inférence peuvent traiter vos données, pour toute l'entreprise, une équipe ou une seule clé. Les niveaux inférieurs ne peuvent que restreindre les règles, aucun nouveau fournisseur n'est ajouté sans l'accord d'un administrateur, et les replis ne contournent jamais votre liste.
- Entraînez-vous des modèles sur nos prompts, ou les conservez-vous ?
- Non. Standard Compute n'entraîne jamais de modèles sur vos prompts ou vos réponses. Nous traitons vos prompts en mémoire pour servir chaque requête et ne les écrivons jamais sur disque ni dans les journaux. Avec une règle de région ou la conservation zéro, chaque requête ne part que vers des fournisseurs qui s'engagent à ne pas s'en servir pour l'entraînement.
- « Europe » veut-il dire uniquement l'UE ?
- Les points de terminaison européens approuvés se trouvent dans l'UE ou l'EEE, au Royaume-Uni ou en Suisse. Notre passerelle UE fonctionne en Finlande, et les données de votre compte sont stockées à Francfort.
- Qui est notre cocontractant ?
- Standard Compute AS, une société norvégienne dont le siège est à Oslo. Le DPA est régi par le droit norvégien, avec le tribunal d'arrondissement d'Oslo comme juridiction convenue.
Pages liées
- Revue de sécurité : le dossier pour votre évaluation fournisseur
- Questionnaire de sécurité rempli (avec CSV)
- API LLM qui n'entraînent pas de modèles sur vos données
- API LLM et RGPD
- IA souveraine en entreprise
- Accord de traitement des données
- Cahier des charges gratuit pour l'appel d'offres d'une passerelle LLM
- Conservation zéro des données à l'échelle de l'entreprise
- Glossaire: Conservation zéro des données (zero data retention)
- Glossaire: Garantie sans entraînement
- Glossaire: Résidence des données
Sources
- Anthropic: Data Processing Addendum, vérifié le 9 novembre 2026
- Anthropic: Data residency (Claude API docs), vérifié le 9 novembre 2026
- OpenRouter: Pricing, vérifié le 9 novembre 2026
- OpenRouter: Data Processing Agreement, vérifié le 9 novembre 2026
- Requesty: Pricing, vérifié le 9 novembre 2026
- Requesty: DPA, vérifié le 9 novembre 2026
- Requesty: Sub-processor disclosure, vérifié le 9 novembre 2026
- OpenAI: Data controls in the OpenAI platform, vérifié le 9 novembre 2026
Créez votre entreprise, signez le DPA dans le tableau de bord et fixez les règles de région et de fournisseurs que votre DPO exige.