Revue de sécurité de la passerelle IA : le dossier complet
Tout ce dont une équipe sécurité ou achats a besoin pour évaluer Standard Compute, sur une seule page : les données que nous traitons et où, la conservation, l'entraînement, les sous-traitants ultérieurs, le DPA, la connexion, le contrôle d'accès, les journaux et la notification des violations. La page répond aux questions d'un questionnaire de sécurité fournisseur standard, avec des renvois à notre DPA.
Dernière mise à jour le
Créer un espace entrepriseou envoyez votre questionnaire à contact@standardcompute.com
Les réponses courtes
- Quelles données Standard Compute traite-t-il ?
- Nous traitons vos prompts en mémoire pour servir chaque requête et ne les écrivons jamais dans un stockage ni dans des journaux. Les registres de requêtes ne contiennent que des métadonnées (modèle, fournisseur, tokens, coût et statut), jamais vos prompts ni vos réponses.
- Où sont-elles traitées ?
- Avec une règle Europe, chaque requête, y compris les nouvelles tentatives et les bascules, est servie uniquement par des points de terminaison d'inférence européens approuvés. Notre passerelle UE assure la terminaison TLS et fonctionne en Finlande, et vos données de compte sont stockées à Francfort.
- Les données des clients servent-elles à l'entraînement ?
- Standard Compute n'entraîne jamais de modèles sur vos prompts ni vos réponses. Avec une règle de région ou la rétention zéro activée, chaque requête est envoyée uniquement à des fournisseurs qui s'engagent à ne pas l'utiliser pour entraîner des modèles.
- Existe-t-il un DPA ?
- Signez notre contrat de sous-traitance (DPA, article 28 du RGPD) en quelques minutes dans le tableau de bord. Il nous engage à ne pas entraîner de modèles sur vos données, à ne pas conserver votre contenu et à notifier toute violation sous 72 heures.
- Quelle est l'entité contractante ?
- Standard Compute AS, société à responsabilité limitée de droit norvégien (n° d'organisation 938 498 806), immatriculée à Oslo, en Norvège.
Ce que nous traitons, où et pendant combien de temps
| Données | Contenu | Lieu | Conservation |
|---|---|---|---|
| Prompts et réponses | Le contenu que vos collaborateurs et vos applications envoient et reçoivent | Lieu: Avec une règle Europe : uniquement des points de terminaison d'inférence européens approuvés, via notre passerelle UE en Finlande | Conservation: Traités en mémoire pour servir la requête, jamais écrits dans un stockage ni dans des journaux |
| Registres de requêtes | Horodatage, clé, modèle, fournisseur ayant servi la requête, tokens, coût et statut. Aucun contenu | Lieu: Francfort, Allemagne | Conservation: Export des registres de requêtes conservé 12 mois avec Enterprise et l'option SLA |
| Données de compte | Entreprise, personnes, équipes, clés, budgets et paramètres | Lieu: Francfort, Allemagne | Conservation: Supprimées ou restituées sous 30 jours après la résiliation (DPA, section 10) |
Contrôles et engagements
Conservation et entraînement
Activez la rétention zéro des données pour votre entreprise, une équipe ou une clé, et chaque requête est acheminée uniquement vers des points de terminaison d'inférence qui s'engagent à ne conserver aucune copie de vos données. Les équipes et les clés héritent de cette exigence et ne peuvent jamais la désactiver.
Standard Compute n'entraîne jamais de modèles sur vos prompts ni vos réponses. Avec une règle de région ou la rétention zéro activée, chaque requête est envoyée uniquement à des fournisseurs qui s'engagent à ne pas l'utiliser pour entraîner des modèles.
Traitement en Europe
Définissez une règle Europe pour votre entreprise, une équipe ou une seule clé, et chaque requête, y compris les nouvelles tentatives et les bascules, est servie uniquement par des points de terminaison d'inférence européens approuvés. Si aucun point de terminaison européen ne peut la servir, la requête est refusée avant l'envoi de votre prompt.
Notre passerelle UE assure la terminaison TLS et fonctionne en Finlande, et vos données de compte sont stockées à Francfort.
Sous-traitants ultérieurs
Nous publions chaque sous-traitant ultérieur avec sa finalité, les données concernées et sa localisation, et nous vous prévenons 14 jours avant d'en ajouter un nouveau.
Contrat de sous-traitance (DPA)
Signez notre contrat de sous-traitance (DPA, article 28 du RGPD) en quelques minutes dans le tableau de bord. Il nous engage à ne pas entraîner de modèles sur vos données, à ne pas conserver votre contenu et à notifier toute violation sous 72 heures.
Les transferts hors de l'EEE ou du Royaume-Uni vers un pays sans décision d'adéquation sont encadrés par les clauses contractuelles types de l'UE et l'UK International Data Transfer Addendum (section 6). Vous pouvez nous auditer une fois par période de 12 mois (section 9), et à la résiliation nous supprimons ou restituons vos données personnelles sous 30 jours (section 10). Le DPA est régi par le droit norvégien, et son texte intégral est public pour que votre service juridique puisse le lire avant la signature.
Authentification unique et contrôle d'accès
Connectez Microsoft Entra ID ou tout fournisseur d'identité SAML pour que vos collaborateurs se connectent à Standard Compute avec leur compte professionnel. Toute personne de votre domaine vérifié rejoint automatiquement votre entreprise.
Les collaborateurs se connectent à Claude Desktop et Claude Code avec leur compte professionnel Microsoft, via notre passerelle UE, sans aucune clé API à distribuer. L'accès suit vos groupes Microsoft Entra grâce au provisionnement SCIM.
Chaque personne est administrateur ou membre, et chaque personne et chaque application dispose de sa propre clé. Choisissez précisément quels fournisseurs d'inférence peuvent traiter vos données, pour toute l'entreprise, une équipe ou une seule clé. Les niveaux inférieurs peuvent seulement restreindre les règles, aucun nouveau fournisseur n'est ajouté sans l'approbation d'un administrateur, et les bascules ne peuvent jamais contourner votre liste. Décidez quels modèles chaque clé peut utiliser.
Journaux d'audit et registres de requêtes
Chaque modification d'un administrateur est enregistrée avec les valeurs avant et après, et vous pouvez exporter un registre de chaque requête indiquant le modèle, le fournisseur qui l'a servie et la règle de région en vigueur, conservé 12 mois.
Incidents, notification des violations et disponibilité
Conformément au DPA (section 7), nous vous notifions toute violation de données personnelles sous 72 heures.
Si un fournisseur tombe en panne, votre requête bascule automatiquement vers un autre fournisseur approuvé du même modèle, sans sortir de vos règles de région ou de fournisseurs. Enterprise inclut un SLA de disponibilité mensuelle de 99,9 % avec crédits de service.
Questionnaire de sécurité fournisseur, déjà rempli
Les questions que les évaluateurs posent le plus souvent, avec notre réponse. Pour tout ce qui n'est pas couvert ici, envoyez-nous votre propre questionnaire et nous vous le renvoyons rempli.
Entreprise et données
| Question | Réponse |
|---|---|
| Entité juridique et juridiction | Standard Compute AS, société à responsabilité limitée de droit norvégien, n° d'organisation 938 498 806, immatriculée à Oslo. |
| Stockez-vous les prompts ou les réponses ? | Non. Nous traitons les prompts en mémoire pour servir chaque requête et ne les écrivons jamais dans un stockage ni dans des journaux. |
| Entraînez-vous des modèles sur les données des clients ? | Non. Standard Compute n'entraîne jamais de modèles sur vos prompts ni vos réponses. |
| Vos fournisseurs d'inférence s'entraînent-ils sur nos données ? | Avec une règle de région ou la rétention zéro activée, chaque requête est envoyée uniquement à des fournisseurs qui s'engagent à ne pas l'utiliser pour entraîner des modèles. |
| Le traitement peut-il être limité à l'Europe ? | Oui. Une règle Europe sur l'entreprise, une équipe ou une clé limite chaque requête, chaque nouvelle tentative et chaque bascule à des points de terminaison d'inférence européens approuvés. |
| Que se passe-t-il si aucun point de terminaison européen n'est disponible ? | La requête est refusée avant l'envoi de votre prompt. |
| Où la passerelle est-elle hébergée ? | Notre passerelle UE assure la terminaison TLS et fonctionne en Finlande. |
| Où sont stockées les données de compte et d'usage ? | À Francfort, en Allemagne. |
| Que contiennent les registres de requêtes ? | Uniquement des métadonnées : modèle, fournisseur, tokens, coût et statut. Jamais de prompts ni de réponses. |
| Proposez-vous la rétention zéro des données ? | Oui. Activez-la pour l'entreprise, une équipe ou une clé, et les requêtes sont envoyées uniquement à des points de terminaison qui s'engagent à ne conserver aucune copie de vos données. |
| Une équipe ou une clé peut-elle désactiver la rétention zéro ? | Non. Les équipes et les clés héritent de cette exigence et ne peuvent jamais la désactiver. |
Sous-traitants ultérieurs et DPA
| Question | Réponse |
|---|---|
| Publiez-vous vos sous-traitants ultérieurs ? | Oui, sur notre page des sous-traitants ultérieurs, avec la finalité, les données et la localisation de chacun. |
| Préavis avant un nouveau sous-traitant ultérieur ? | 14 jours. |
| Signez-vous un DPA ? | Oui. Vous le signez dans le tableau de bord, et le texte intégral du DPA est public sur notre site. |
| Délai de notification des violations | Sous 72 heures, conformément au DPA (section 7). |
| Mécanisme de transfert international | Les clauses contractuelles types de l'UE et l'UK International Data Transfer Addendum (DPA, section 6). |
| Droit applicable au DPA | Le droit norvégien, avec le tribunal de district d'Oslo comme juridiction compétente. |
| Droits d'audit du client | Une fois par période de 12 mois, avec un préavis écrit de 30 jours (DPA, section 9). |
| Suppression des données à la résiliation | Les données personnelles sont supprimées ou restituées sous 30 jours (DPA, section 10). |
Identité et accès
| Question | Réponse |
|---|---|
| Authentification unique (SSO) | Microsoft Entra ID ou tout fournisseur d'identité SAML. |
| Provisionnement des utilisateurs | Toute personne de votre domaine vérifié rejoint automatiquement l'entreprise. L'accès à Claude Desktop et Claude Code suit vos groupes Entra grâce à SCIM. |
| Rôles | Administrateur et membre, avec une clé distincte pour chaque personne et chaque application. |
| Pouvons-nous restreindre les fournisseurs d'IA qui traitent nos données ? | Oui. Une liste de fournisseurs autorisés pour l'entreprise, une équipe ou une clé. Tout nouveau fournisseur requiert l'approbation d'un administrateur, et les bascules ne peuvent jamais contourner la liste. |
| Pouvons-nous restreindre les modèles utilisés ? | Oui. Vous décidez quels modèles chaque clé peut utiliser. |
| Journalisation des actions des administrateurs | Chaque modification d'un administrateur est enregistrée avec les valeurs avant et après. |
| Piste d'audit au niveau des requêtes | Un registre exportable de chaque requête avec le modèle, le fournisseur qui l'a servie et la règle de région, conservé 12 mois avec Enterprise. |
Exploitation et facturation
| Question | Réponse |
|---|---|
| Contrôle des dépenses | Un budget mensuel fixe par personne ou par application, jamais dépassé, avec des plafonds de dépenses par clé et pour toute l'entreprise. |
| Gestion des pannes de fournisseurs | Les requêtes basculent vers un autre fournisseur approuvé du même modèle sans sortir de vos règles de région ou de fournisseurs. |
| Engagement de disponibilité | Enterprise inclut un SLA de disponibilité mensuelle de 99,9 % avec crédits de service. |
| Facturation | Factures Stripe avec le nom de votre entreprise et votre numéro de TVA. |
Utilisez notre questionnaire ouvert
Un questionnaire ouvert pour toute passerelle IA, y compris la nôtre. Nous maintenons un questionnaire gratuit de sécurité et d'achats, sous licence MIT, pour évaluer les passerelles LLM et les fournisseurs d'API d'IA. Il couvre la résidence des données, la conservation et la rétention zéro, l'usage pour l'entraînement, les sous-traitants ultérieurs, le SSO et SCIM, les journaux d'audit, le contrôle des dépenses, les listes de modèles et de fournisseurs autorisés, la notification des incidents, les journaux des déployeurs au titre de l'AI Act et les conditions de sortie, avec pour chaque question ce qu'est une bonne réponse et les signaux d'alerte. Il se présente sous forme de tableur à envoyer aux fournisseurs, accompagné d'une comparaison des réponses de huit fournisseurs sur leurs propres pages publiques, avec les liens. Le questionnaire lui-même est en anglais.
Télécharger le questionnaire de sécurité pour passerelles LLM sur GitHub
Questions fréquentes des équipes sécurité et achats
- De quoi un évaluateur sécurité a-t-il besoin pour évaluer Standard Compute ?
- Cette page, notre présentation de la sécurité, notre liste des sous-traitants ultérieurs et notre DPA couvrent ce que nous traitons, où et pendant combien de temps, qui d'autre le traite et ce à quoi nous nous engageons.
- Comment signer le DPA ?
- Un administrateur de l'entreprise le signe en quelques minutes dans le tableau de bord Standard Compute, et son texte intégral est public au préalable sur notre site.
- Où envoyer notre propre questionnaire de sécurité ?
- Envoyez-le à contact@standardcompute.com avec l'objet « Revue de sécurité », et nous vous le renvoyons rempli.
Pages associées
Créez l'espace de votre entreprise pour signer le DPA, connecter votre fournisseur d'identité et définir vos règles. Pour votre propre questionnaire, écrivez-nous avec l'objet « Revue de sécurité ».