API LLM con DPA e sub-responsabili: cosa è pubblico senza una call commerciale
Ultimo aggiornamento:
Prima di acquistare un'API LLM, il vostro DPO chiede tre documenti: l'accordo sul trattamento dei dati (DPA, articolo 28 del GDPR), l'elenco dei sub-responsabili e i luoghi in cui i vostri dati vengono trattati. Standard Compute li pubblica tutti e tre. Il DPA completo è su /dpa, e ogni sub-responsabile, con finalità, dati e ubicazione, su /sub-processors.
Firmate il nostro accordo sul trattamento dei dati in pochi minuti dalla dashboard. Ci impegna a non addestrare modelli sui vostri dati, a non conservare i vostri contenuti e a notificare ogni violazione dei dati entro 72 ore.
Crea uno spazio aziendaleoppure scrivete a contact@standardcompute.com
EnglishDeutschFrançaisNederlandsEspañolSvenskaNorskDanskSuomiPolski
Risposte brevi
- Dove si trova il DPA di Standard Compute?
- Il testo completo è pubblico su standardcompute.com/dpa. Si applica ai sensi del GDPR, dello UK GDPR e della legge norvegese sui dati personali, ed è regolato dal diritto norvegese.
- Come si firma?
- Un amministratore della vostra azienda lo firma elettronicamente nella dashboard, nella sezione Compliance, con il piano Enterprise o la funzione «Signed DPA». Non serve alcuna call commerciale.
- Dove si trova l'elenco dei sub-responsabili?
- Su standardcompute.com/sub-processors. Pubblichiamo ogni sub-responsabile con finalità, dati e ubicazione, e vi avvisiamo 14 giorni prima di aggiungerne uno nuovo.
- Dove vengono trattati i nostri dati?
- Il nostro gateway UE termina il TLS e funziona in Finlandia, e i dati del vostro account sono conservati a Francoforte. Con una regola Europa, ogni richiesta, compresi i nuovi tentativi e i fallback, viene servita solo da endpoint di inferenza europei approvati.
Cosa può leggere oggi il vostro ufficio acquisti
| Documento | In Standard Compute |
|---|---|
| DPA | In Standard Compute: Pubblico su /dpa: nessun addestramento sui contenuti del cliente, nessuna conservazione dei contenuti, notifica delle violazioni entro 72 ore, cancellazione entro 30 giorni dalla fine del contratto |
| Firma | In Standard Compute: Elettronica, nella dashboard, da parte di un amministratore dell'azienda, con il piano Enterprise o la funzione «Signed DPA» |
| Sub-responsabili | In Standard Compute: Pubblici su /sub-processors, ciascuno con finalità, dati, ubicazione e meccanismo di trasferimento, oltre ai fornitori di inferenza approvati per l'Europa |
| Modifiche all'elenco | In Standard Compute: Preavviso scritto di almeno 14 giorni, con diritto di opposizione. Un nuovo fornitore di inferenza non entra mai nella vostra lista consentita senza l'approvazione di un amministratore |
| Luoghi di trattamento | In Standard Compute: Gateway UE in Finlandia, dati dell'account a Francoforte. L'inferenza si svolge dove lo stabilisce la vostra regola di regione, per azienda, team o chiave |
| Trasferimenti extra UE | In Standard Compute: Clausole contrattuali tipo dell'UE e, per i dati del Regno Unito, lo UK International Data Transfer Addendum |
Le clausole che chiedono i revisori
| Clausola | Cosa prevede |
|---|---|
| 3.1 | Cosa prevede: Non usiamo i contenuti del cliente per addestrare, affinare o migliorare alcun modello di IA |
| 3.2 | Cosa prevede: I contenuti del cliente sono trattati solo in memoria per servire la richiesta e non vengono mai scritti su storage o nei log |
| 5.2 | Cosa prevede: Preavviso scritto di almeno 14 giorni prima di un nuovo sub-responsabile, con diritto di opposizione |
| 5.3 | Cosa prevede: Con una lista di fornitori consentiti, i contenuti del cliente non vanno a nessun fornitore di inferenza fuori da quella lista |
| 6.2 | Cosa prevede: I trasferimenti verso paesi senza decisione di adeguatezza si basano sulle clausole contrattuali tipo e sull'addendum britannico |
| 7.1 | Cosa prevede: Notifica di una violazione dei dati senza ingiustificato ritardo e comunque entro 72 ore |
| 9.2 | Cosa prevede: Un audit, da parte vostra o di un revisore indipendente, ogni 12 mesi |
| 10.1 | Cosa prevede: Cancellazione o restituzione di tutti gli altri dati personali entro 30 giorni dalla fine del contratto |
| 11.4 | Cosa prevede: Diritto norvegese, con il tribunale distrettuale di Oslo come foro concordato |
Numeri di clausola del DPA pubblico su /dpa. Fa fede il testo inglese.
Dove altre API LLM pubblicano questi documenti
| Fornitore | DPA | Sub-responsabili | Residenza dei dati |
|---|---|---|---|
| Standard Compute | DPA: Pubblico; firma nella dashboard | Sub-responsabili: Pubblici, con finalità, ubicazione e meccanismo di trasferimento; preavviso di 14 giorni | Residenza dei dati: Regola Europa per azienda, team o chiave; gateway UE in Finlandia, dati dell'account a Francoforte |
| Anthropic | DPA: Pubblico, parte dei Commercial Terms | Sub-responsabili: Elenco pubblico, collegato dal DPA | Residenza dei dati: Inferenza «us» o «global»; dati conservati, per ora, solo negli Stati Uniti |
| OpenRouter | DPA: Pubblico, tramite i termini di servizio; copia firmata su richiesta nel piano Business | Sub-responsabili: Nel suo trust center, collegato dal DPA; preavviso di 30 giorni per gli iscritti, fornitori di modelli esclusi | Residenza dei dati: Instradamento UE e USA nei piani Business ed Enterprise |
| Requesty | DPA: Su richiesta via e-mail | Sub-responsabili: Pubblici, con ubicazioni | Residenza dei dati: Residenza dei dati nell'UE in tutti i piani |
| OpenAI | DPA: Non verificato | Sub-responsabili: Elenco pubblico, collegato dalla documentazione sui dati | Residenza dei dati: Trattamento regionale negli Stati Uniti, in Europa e negli Emirati tramite progetti regionali |
Letto sulle pagine di ciascun fornitore il 9 novembre 2026. Standard Compute è il nostro prodotto.
Domande da IT, sicurezza e acquisti
- Il nostro DPO chiede DPA, elenco dei sub-responsabili e residenza dei dati prima di acquistare un'API LLM per i nostri agenti di coding. Quali fornitori li pubblicano senza una call commerciale?
- Standard Compute li pubblica tutti e tre: il DPA su standardcompute.com/dpa, i sub-responsabili con ubicazione e meccanismo di trasferimento su standardcompute.com/sub-processors e i luoghi di trattamento nell'allegato 1 del DPA. Un amministratore firma il DPA nella dashboard. Anche Anthropic pubblica il proprio DPA e i propri sub-responsabili, e OpenRouter offre una copia firmata su richiesta nel piano Business.
- Possiamo limitare quali fornitori di inferenza vedono i nostri prompt?
- Sì. Scegliete esattamente quali fornitori di inferenza possono trattare i vostri dati, per tutta l'azienda, un team o una singola chiave. I livelli inferiori possono solo restringere le regole, nessun nuovo fornitore viene aggiunto senza l'approvazione di un amministratore e i fallback non aggirano mai la vostra lista.
- Addestrate modelli sui nostri prompt o li conservate?
- No. Standard Compute non addestra mai modelli sui vostri prompt o sui vostri output. Trattiamo i vostri prompt in memoria per servire ogni richiesta e non li scriviamo mai su storage o nei log. Con una regola di regione o con la conservazione zero, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento.
- «Europa» significa solo UE?
- Gli endpoint europei approvati si trovano nell'UE o nel SEE, nel Regno Unito o in Svizzera. Il nostro gateway UE funziona in Finlandia, e i dati del vostro account sono conservati a Francoforte.
- Chi è la nostra controparte?
- Standard Compute AS, una società norvegese con sede a Oslo. Il DPA è regolato dal diritto norvegese, con il tribunale distrettuale di Oslo come foro concordato.
Pagine correlate
- Revisione di sicurezza: il pacchetto per la vostra valutazione fornitori
- Questionario di sicurezza compilato (con CSV)
- API LLM che non addestrano modelli sui vostri dati
- IA sovrana per le aziende
- Sub-responsabili del trattamento
- Accordo sul trattamento dei dati
- Capitolato tecnico gratuito per la gara di un gateway LLM
- Conservazione zero dei dati a livello aziendale
- Glossario: Conservazione zero dei dati (zero data retention)
- Glossario: Garanzia di non addestramento
- Glossario: Residenza dei dati
Fonti
- Anthropic: Data Processing Addendum, verificato il 9 novembre 2026
- Anthropic: Data residency (Claude API docs), verificato il 9 novembre 2026
- OpenRouter: Pricing, verificato il 9 novembre 2026
- OpenRouter: Data Processing Agreement, verificato il 9 novembre 2026
- Requesty: Pricing, verificato il 9 novembre 2026
- Requesty: DPA, verificato il 9 novembre 2026
- Requesty: Sub-processor disclosure, verificato il 9 novembre 2026
- OpenAI: Data controls in the OpenAI platform, verificato il 9 novembre 2026
Create la vostra azienda, firmate il DPA nella dashboard e impostate le regole di regione e di fornitori che il vostro DPO richiede.