Documentazione per la revisione di sicurezza del gateway IA
Tutto ciò che la sicurezza IT e gli acquisti devono sapere per valutare Standard Compute, in un'unica pagina: quali dati trattiamo e dove, conservazione, addestramento, sub-responsabili del trattamento, il DPA, accesso, controllo degli accessi, registri e notifica delle violazioni dei dati. La pagina risponde alle domande di un tipico questionario di sicurezza per i fornitori, con riferimenti al nostro DPA.
Ultimo aggiornamento:
Crea un account aziendaleoppure inviate il vostro questionario a contact@standardcompute.com
Le risposte in breve
- Quali dati tratta Standard Compute?
- Elaboriamo i vostri prompt in memoria per servire ogni richiesta e non li scriviamo mai su disco o nei log. I registri delle richieste contengono solo metadati (modello, fornitore, token, costo e stato), mai i vostri prompt o i vostri output.
- Dove vengono trattati?
- Con una regola Europa, ogni richiesta, compresi i nuovi tentativi e i fallback, viene servita esclusivamente da endpoint di inferenza europei approvati. Il nostro gateway UE termina il TLS e opera in Finlandia, e i dati del vostro account sono conservati a Francoforte.
- I dati dei clienti vengono usati per l'addestramento?
- Standard Compute non addestra mai modelli con i vostri prompt o output. Con una regola di regione o la conservazione zero attiva, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento.
- Esiste un DPA?
- Firmate il nostro accordo sul trattamento dei dati nella dashboard in pochi minuti. Ci impegna a non addestrare modelli con i vostri dati, a non conservare i vostri contenuti e a notificare le violazioni dei dati entro 72 ore.
- Chi è la controparte contrattuale?
- Standard Compute AS, una società a responsabilità limitata norvegese (n. org. 938 498 806), registrata a Oslo, Norvegia.
Che cosa trattiamo, dove e per quanto tempo
| Dati | Contenuto | Luogo | Conservazione |
|---|---|---|---|
| Prompt e output | I contenuti che le vostre persone e applicazioni inviano e ricevono | Luogo: Con una regola Europa: solo endpoint di inferenza europei approvati, attraverso il nostro gateway UE in Finlandia | Conservazione: Elaborati in memoria per servire la richiesta, mai scritti su disco o nei log |
| Registri delle richieste | Ora, chiave, modello, fornitore che ha servito la richiesta, token, costo e stato. Nessun contenuto | Luogo: Francoforte, Germania | Conservazione: Esportazione dei registri delle richieste conservata per 12 mesi con Enterprise e il componente aggiuntivo SLA |
| Dati dell'account | Azienda, persone, team, chiavi, budget e impostazioni | Luogo: Francoforte, Germania | Conservazione: Cancellati o restituiti entro 30 giorni dalla cessazione del contratto (DPA, sezione 10) |
Controlli e impegni
Conservazione e addestramento
Attivate la conservazione zero dei dati per la vostra azienda, un team o una chiave, e ogni richiesta viene instradata solo verso endpoint di inferenza che si impegnano a non conservare alcuna copia dei vostri dati. Team e chiavi ereditano il requisito e non possono mai disattivarlo.
Standard Compute non addestra mai modelli con i vostri prompt o output. Con una regola di regione o la conservazione zero attiva, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento.
Trattamento in Europa
Impostate una regola Europa per la vostra azienda, un team o una singola chiave, e ogni richiesta, compresi i nuovi tentativi e i fallback, viene servita esclusivamente da endpoint di inferenza europei approvati. Se nessun endpoint europeo può servirla, la richiesta viene rifiutata prima che il vostro prompt venga inviato.
Il nostro gateway UE termina il TLS e opera in Finlandia, e i dati del vostro account sono conservati a Francoforte.
Sub-responsabili del trattamento
Pubblichiamo ogni sub-responsabile del trattamento con la sua finalità, i dati trattati e l'ubicazione, e vi diamo un preavviso di 14 giorni prima di aggiungerne uno nuovo.
Accordo sul trattamento dei dati (DPA)
Firmate il nostro accordo sul trattamento dei dati nella dashboard in pochi minuti. Ci impegna a non addestrare modelli con i vostri dati, a non conservare i vostri contenuti e a notificare le violazioni dei dati entro 72 ore.
I trasferimenti al di fuori del SEE o del Regno Unito verso un paese privo di decisione di adeguatezza sono regolati dalle clausole contrattuali tipo dell'UE e dall'UK International Data Transfer Addendum (sezione 6). Potete sottoporci a verifica una volta ogni 12 mesi (sezione 9), e alla cessazione del contratto cancelliamo o restituiamo i vostri dati personali entro 30 giorni (sezione 10). Il DPA è regolato dalla legge norvegese e il testo completo è pubblico, così il vostro ufficio legale può leggerlo prima della firma.
Single sign-on e controllo degli accessi
Collegate Microsoft Entra ID o qualsiasi provider di identità SAML, così le vostre persone accedono a Standard Compute con i loro account di lavoro. Chiunque appartenga al vostro dominio verificato entra automaticamente nella vostra azienda.
I dipendenti accedono a Claude Desktop e Claude Code con il loro account di lavoro Microsoft, attraverso il nostro gateway UE, quindi non ci sono chiavi API da distribuire. L'accesso segue i vostri gruppi di Microsoft Entra tramite il provisioning SCIM.
Le persone sono amministratori o membri, e ogni persona e ogni applicazione riceve una propria chiave. Scegliete esattamente quali fornitori di inferenza possono trattare i vostri dati, per l'intera azienda, un team o una singola chiave. I livelli inferiori possono solo restringere le regole, i nuovi fornitori non vengono mai aggiunti senza l'approvazione di un amministratore e i fallback non possono mai aggirare il vostro elenco. Decidete quali modelli può usare ogni chiave.
Log di audit e registri delle richieste
Ogni modifica di un amministratore viene registrata con i valori precedenti e successivi, e potete esportare un registro di ogni richiesta che mostra il modello, il fornitore che l'ha servita e la regola di regione in vigore, conservato per 12 mesi.
Incidenti, notifica delle violazioni e disponibilità
In base al DPA (sezione 7), vi informiamo di una violazione dei dati personali entro 72 ore.
Se un fornitore non è disponibile, la vostra richiesta passa automaticamente a un altro fornitore approvato dello stesso modello, senza uscire dalle vostre regole su regione e fornitori. Enterprise include uno SLA di disponibilità mensile del 99,9% con crediti di servizio.
Questionario di sicurezza per i fornitori, già compilato
Le domande che i revisori pongono più spesso, con la nostra risposta. Per tutto ciò che non trovate qui, inviateci il vostro questionario e ve lo restituiamo compilato.
Azienda e dati
| Domanda | Risposta |
|---|---|
| Entità giuridica e giurisdizione | Standard Compute AS, una società a responsabilità limitata norvegese, n. org. 938 498 806, registrata a Oslo. |
| Conservate prompt o output? | No. Elaboriamo i prompt in memoria per servire ogni richiesta e non li scriviamo mai su disco o nei log. |
| Addestrate modelli con i dati dei clienti? | No. Standard Compute non addestra mai modelli con i vostri prompt o output. |
| I vostri fornitori di inferenza addestrano modelli con i nostri dati? | Con una regola di regione o la conservazione zero attiva, ogni richiesta va solo a fornitori che si impegnano a non usarla per l'addestramento. |
| È possibile limitare il trattamento all'Europa? | Sì. Una regola Europa per l'azienda, un team o una chiave limita ogni richiesta, ogni nuovo tentativo e ogni fallback a endpoint di inferenza europei approvati. |
| Che cosa succede se nessun endpoint europeo è disponibile? | La richiesta viene rifiutata prima che il vostro prompt venga inviato. |
| Dove opera il gateway? | Il nostro gateway UE termina il TLS e opera in Finlandia. |
| Dove sono conservati i dati di account e di utilizzo? | A Francoforte, in Germania. |
| Che cosa contengono i registri delle richieste? | Solo metadati: modello, fornitore, token, costo e stato. Mai prompt o output. |
| Offrite la conservazione zero dei dati? | Sì. Impostatela per l'azienda, un team o una chiave, e le richieste vanno solo a endpoint che si impegnano a non conservare alcuna copia dei vostri dati. |
| Un team o una chiave può disattivare la conservazione zero? | No. Team e chiavi ereditano il requisito e non possono mai disattivarlo. |
Sub-responsabili del trattamento e DPA
| Domanda | Risposta |
|---|---|
| Pubblicate i vostri sub-responsabili del trattamento? | Sì, nella nostra pagina dei sub-responsabili del trattamento, ciascuno con finalità, dati trattati e ubicazione. |
| Preavviso prima di un nuovo sub-responsabile del trattamento | 14 giorni. |
| Firmate un DPA? | Sì. Lo firmate nella dashboard, e il testo completo del DPA è pubblico sul nostro sito. |
| Termine per la notifica delle violazioni dei dati | Entro 72 ore, in base al DPA (sezione 7). |
| Meccanismo per i trasferimenti internazionali | Le clausole contrattuali tipo dell'UE e l'UK International Data Transfer Addendum (DPA, sezione 6). |
| Legge applicabile al DPA | La legge norvegese, con il Tribunale distrettuale di Oslo come foro competente. |
| Diritti di verifica del cliente | Una volta ogni 12 mesi, con 30 giorni di preavviso scritto (DPA, sezione 9). |
| Cancellazione dei dati alla cessazione del contratto | I dati personali vengono cancellati o restituiti entro 30 giorni (DPA, sezione 10). |
Identità e accessi
| Domanda | Risposta |
|---|---|
| Single sign-on | Microsoft Entra ID o qualsiasi provider di identità SAML. |
| Provisioning degli utenti | Chiunque appartenga al vostro dominio verificato entra automaticamente. L'accesso a Claude Desktop e Claude Code segue i vostri gruppi di Entra tramite SCIM. |
| Ruoli | Amministratore e membro, con una propria chiave per ogni persona e ogni applicazione. |
| Possiamo limitare quali fornitori di IA trattano i nostri dati? | Sì. Una lista dei fornitori consentiti per l'azienda, un team o una chiave. I nuovi fornitori richiedono l'approvazione di un amministratore, e i fallback non possono mai aggirare l'elenco. |
| Possiamo limitare quali modelli vengono usati? | Sì. Decidete quali modelli può usare ogni chiave. |
| Registrazione delle attività degli amministratori | Ogni modifica di un amministratore viene registrata con i valori precedenti e successivi. |
| Audit trail a livello di richiesta | Un registro esportabile di ogni richiesta con modello, fornitore che l'ha servita e regola di regione, conservato per 12 mesi con Enterprise. |
Operatività e fatturazione
| Domanda | Risposta |
|---|---|
| Controllo della spesa | Un budget mensile fisso per persona o applicazione che non viene mai superato, oltre a limiti di spesa per chiave e per l'intera azienda. |
| Gestione dei disservizi dei fornitori | Le richieste passano a un altro fornitore approvato dello stesso modello, senza uscire dalle vostre regole su regione e fornitori. |
| Impegno di disponibilità | Enterprise include uno SLA di disponibilità mensile del 99,9% con crediti di servizio. |
| Fatturazione | Fatture Stripe con la vostra ragione sociale e la vostra partita IVA. |
Usate il nostro questionario aperto
Un questionario aperto per qualsiasi gateway di IA, compreso il nostro. Manteniamo un questionario gratuito di sicurezza e acquisti, con licenza MIT, per valutare gateway LLM e fornitori di API di IA. Copre residenza dei dati, durata di conservazione e conservazione zero dei dati, uso per l'addestramento, sub-responsabili del trattamento, SSO e SCIM, log di audit, controllo della spesa, liste di modelli e fornitori consentiti, notifica degli incidenti, log per i deployer secondo l'AI Act dell'UE e condizioni di uscita, ciascuno con una buona risposta e i segnali d'allarme. È disponibile come foglio di calcolo da inviare ai fornitori, insieme a un confronto di come otto fornitori rispondono sulle proprie pagine pubbliche, con i link. Il questionario è in inglese.
Scarica il questionario di sicurezza per gateway LLM da GitHub
Domande frequenti di sicurezza IT e acquisti
- Che cosa serve a una revisione di sicurezza per valutare Standard Compute?
- Questa pagina, la nostra panoramica sulla sicurezza, l'elenco dei sub-responsabili del trattamento e il DPA coprono che cosa trattiamo, dove e per quanto tempo, chi altro lo tratta e a che cosa ci impegniamo.
- Come firmiamo il DPA?
- Un amministratore dell'azienda lo firma in pochi minuti nella dashboard di Standard Compute, e il testo completo è pubblico sul nostro sito già prima della firma.
- Dove inviamo il nostro questionario di sicurezza?
- Inviatelo a contact@standardcompute.com con oggetto "Revisione di sicurezza" e ve lo restituiamo compilato.
Pagine correlate
Create il vostro account aziendale per firmare il DPA, collegare il vostro provider di identità e definire le vostre regole. Per il vostro questionario, scriveteci con oggetto "Revisione di sicurezza".