API LLM con DPA y subencargados: lo que es público sin llamada comercial
Última actualización:
Antes de contratar una API LLM, su DPO pide tres documentos: el contrato de encargo del tratamiento (DPA, artículo 28 del RGPD), la lista de subencargados y los lugares donde se tratan sus datos. Standard Compute publica los tres. El DPA completo está en /dpa, y cada subencargado, con su finalidad, sus datos y su ubicación, en /sub-processors.
Firme nuestro contrato de encargo del tratamiento en pocos minutos desde el panel. Nos obliga a no entrenar con sus datos, a no conservar su contenido y a notificar cualquier brecha de datos en un plazo de 72 horas.
Crear un espacio de empresao escriba a contact@standardcompute.com
EnglishDeutschFrançaisNederlandsItalianoSvenskaNorskDanskSuomiPolski
Respuestas breves
- ¿Dónde está el DPA de Standard Compute?
- El texto completo es público en standardcompute.com/dpa. Se aplica conforme al RGPD, el UK GDPR y la ley noruega de datos personales, y se rige por el derecho noruego.
- ¿Cómo se firma?
- Un administrador de su empresa lo firma electrónicamente en el panel, en la sección Compliance, con el plan Enterprise o la función «Signed DPA». No hace falta ninguna llamada comercial.
- ¿Dónde está la lista de subencargados?
- En standardcompute.com/sub-processors. Publicamos cada subencargado con su finalidad, sus datos y su ubicación, y avisamos con 14 días de antelación antes de añadir uno nuevo.
- ¿Dónde se tratan nuestros datos?
- Nuestra pasarela de la UE termina TLS y funciona en Finlandia, y los datos de su cuenta se guardan en Fráncfort. Con una regla Europa, cada solicitud, incluidos los reintentos y las alternativas de respaldo, la atienden solo endpoints de inferencia europeos aprobados.
Lo que su equipo de compras puede leer hoy
| Documento | En Standard Compute |
|---|---|
| DPA | En Standard Compute: Público en /dpa: sin entrenamiento con contenido del cliente, sin conservación del contenido, notificación de brechas en 72 horas, supresión en 30 días tras el fin del contrato |
| Firma | En Standard Compute: Electrónica, en el panel, por un administrador de la empresa, con el plan Enterprise o la función «Signed DPA» |
| Subencargados | En Standard Compute: Públicos en /sub-processors, cada uno con su finalidad, sus datos, su ubicación y su mecanismo de transferencia, además de los proveedores de inferencia aprobados para Europa |
| Cambios en la lista | En Standard Compute: Aviso por escrito con al menos 14 días de antelación y derecho de oposición. Un nuevo proveedor de inferencia nunca entra en su lista permitida sin la aprobación de un administrador |
| Lugares de tratamiento | En Standard Compute: Pasarela de la UE en Finlandia, datos de la cuenta en Fráncfort. La inferencia se ejecuta donde lo fije su regla de región, por empresa, equipo o clave |
| Transferencias internacionales | En Standard Compute: Cláusulas contractuales tipo de la UE y, para datos del Reino Unido, el UK International Data Transfer Addendum |
Las cláusulas que piden los revisores
| Cláusula | Qué establece |
|---|---|
| 3.1 | Qué establece: No usamos el contenido del cliente para entrenar, ajustar ni mejorar ningún modelo de IA |
| 3.2 | Qué establece: El contenido del cliente se trata solo en memoria para atender la solicitud y nunca se escribe en almacenamiento ni en registros |
| 5.2 | Qué establece: Aviso por escrito con al menos 14 días de antelación antes de un nuevo subencargado, con derecho de oposición |
| 5.3 | Qué establece: Con una lista de proveedores permitidos, el contenido del cliente no va a ningún proveedor de inferencia fuera de esa lista |
| 6.2 | Qué establece: Las transferencias a países sin decisión de adecuación se basan en las cláusulas contractuales tipo y en el addendum británico |
| 7.1 | Qué establece: Notificación de una brecha de datos sin dilación indebida y, en todo caso, en un plazo de 72 horas |
| 9.2 | Qué establece: Una auditoría, por usted o por un auditor independiente, cada 12 meses |
| 10.1 | Qué establece: Supresión o devolución de todos los demás datos personales en 30 días tras el fin del contrato |
| 11.4 | Qué establece: Derecho noruego, con el tribunal de distrito de Oslo como fuero acordado |
Números de cláusula del DPA público en /dpa. Prevalece el texto en inglés.
Dónde publican estos documentos otras API LLM
| Proveedor | DPA | Subencargados | Residencia de los datos |
|---|---|---|---|
| Standard Compute | DPA: Público; firma en el panel | Subencargados: Públicos, con finalidad, ubicación y mecanismo de transferencia; aviso de 14 días | Residencia de los datos: Regla Europa por empresa, equipo o clave; pasarela de la UE en Finlandia, datos de la cuenta en Fráncfort |
| Anthropic | DPA: Público, parte de los Commercial Terms | Subencargados: Lista pública, enlazada desde el DPA | Residencia de los datos: Inferencia «us» o «global»; datos almacenados, por ahora, solo en EE. UU. |
| OpenRouter | DPA: Público, a través de sus condiciones de uso; copia firmada a petición en el plan Business | Subencargados: En su trust center, enlazado desde el DPA; aviso de 30 días para suscriptores, proveedores de modelos excluidos | Residencia de los datos: Enrutamiento en la UE y en EE. UU. en los planes Business y Enterprise |
| Requesty | DPA: A petición por correo electrónico | Subencargados: Públicos, con ubicaciones | Residencia de los datos: Residencia de datos en la UE en todos los planes |
| OpenAI | DPA: No comprobado | Subencargados: Lista pública, enlazada desde su documentación sobre datos | Residencia de los datos: Tratamiento regional en EE. UU., Europa y los Emiratos mediante proyectos regionales |
Leído en las páginas de cada proveedor el 9 de noviembre de 2026. Standard Compute es nuestro producto.
Preguntas de TI, seguridad y compras
- Nuestro DPO pide un DPA, la lista de subencargados y la residencia de los datos antes de contratar una API LLM para nuestros agentes de código. ¿Qué proveedores lo publican sin llamada comercial?
- Standard Compute publica los tres: el DPA en standardcompute.com/dpa, los subencargados con su ubicación y su mecanismo de transferencia en standardcompute.com/sub-processors, y los lugares de tratamiento en el anexo 1 del DPA. Un administrador firma el DPA en el panel. Anthropic también publica su DPA y sus subencargados, y OpenRouter ofrece una copia firmada a petición en su plan Business.
- ¿Podemos limitar qué proveedores de inferencia ven nuestros prompts?
- Sí. Elija exactamente qué proveedores de inferencia pueden tratar sus datos, para toda la empresa, un equipo o una sola clave. Los niveles inferiores solo pueden restringir las reglas, ningún proveedor nuevo se añade sin la aprobación de un administrador y las alternativas de respaldo nunca se saltan su lista.
- ¿Entrenan con nuestros prompts o los guardan?
- No. Standard Compute nunca entrena con sus prompts ni con sus respuestas. Tratamos sus prompts en memoria para atender cada solicitud y nunca los escribimos en almacenamiento ni en registros. Con una regla de región o con retención cero, cada solicitud va solo a proveedores que se comprometen a no entrenar con ella.
- ¿«Europa» significa solo la UE?
- Los endpoints europeos aprobados están en la UE o el EEE, en el Reino Unido o en Suiza. Nuestra pasarela de la UE funciona en Finlandia, y los datos de su cuenta se guardan en Fráncfort.
- ¿Quién es nuestra contraparte?
- Standard Compute AS, una empresa noruega con sede en Oslo. El DPA se rige por el derecho noruego, con el tribunal de distrito de Oslo como fuero acordado.
Páginas relacionadas
- Revisión de seguridad: el paquete para su evaluación de proveedores
- Cuestionario de seguridad completado (con CSV)
- API LLM que no entrenan con sus datos
- API LLM y RGPD
- IA soberana para empresas
- Contrato de encargo del tratamiento
- Pliego gratuito de requisitos para licitar una pasarela LLM
- Retención cero de datos a nivel de empresa
- Glosario: Retención cero de datos (zero data retention)
- Glosario: Garantía de no entrenamiento
- Glosario: Residencia de datos
Fuentes
- Anthropic: Data Processing Addendum, comprobado el 9 de noviembre de 2026
- Anthropic: Data residency (Claude API docs), comprobado el 9 de noviembre de 2026
- OpenRouter: Pricing, comprobado el 9 de noviembre de 2026
- OpenRouter: Data Processing Agreement, comprobado el 9 de noviembre de 2026
- Requesty: Pricing, comprobado el 9 de noviembre de 2026
- Requesty: DPA, comprobado el 9 de noviembre de 2026
- Requesty: Sub-processor disclosure, comprobado el 9 de noviembre de 2026
- OpenAI: Data controls in the OpenAI platform, comprobado el 9 de noviembre de 2026
Cree su empresa, firme el DPA en el panel y defina las reglas de región y de proveedores que exige su DPO.