Våra svar på säkerhetsformuläret för LLM-gatewayer
Standard Computes ifyllda svar på säkerhetsformuläret för LLM-gatewayer, redo att klistras in i er leverantörsbedömning. Varje svar är en eller två meningar och hänvisar till sidan som styrker det: vår säkerhetsöversikt, listan över underbiträden och personuppgiftsbiträdesavtalet, som ni signerar i instrumentpanelen. Dokumentationssidorna är på engelska.
Senast uppdaterad
Ladda ner som CSV
Skapa företagskontoeller skicka ert eget formulär till contact@standardcompute.com
Dataresidens och regional behandling
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| DR-01 | Var behandlas prompter och svar (inferens), och kan behandlingen begränsas till en viss region, till exempel EU/EES? | Sätt en Europa-regel för företaget, ett team eller en enskild nyckel, så betjänas varje förfrågan, även nya försök och reservvägar, enbart av godkända europeiska inferensendpoints. Vår EU-gateway terminerar TLS och körs i Finland, och kan ingen europeisk endpoint betjäna en förfrågan avvisas den innan prompten skickas. | SäkerhetEuropeisk gateway |
| DR-02 | Hur definierar leverantören regionen? Betyder till exempel ”Europa” enbart EU/EES, eller ingår även Storbritannien, Schweiz eller andra länder? | En Europa-regel släpper bara in de godkända europeiska inferensendpoints som står på vår lista över underbiträden, var och en med sin behandlingsplats. | Underbiträden |
| DR-03 | Håller sig nya försök, reservvägar, klassificerare, säkerhetsfilter, cachning och loggning inom samma regionregel som huvudförfrågan? | Ja. Regeln tillämpas på varje anrop som innehåller en prompt: routningsklassificeraren, svaret, varje nytt försök och varje reservväg. Prompter behandlas i minnet och skrivs aldrig till lagring eller loggar. | Säkerhet |
| DR-04 | Var lagras metadata om konto, fakturering, användning och loggar, och lämnar något av det regionen? | Era konto- och användningsuppgifter lagras i Frankfurt i Tyskland, och vår EU-gateway körs i Finland. Förfrågningsloggarna innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar. | SäkerhetUnderbiträden |
Lagring och noll datalagring
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| RT-01 | Lagrar gatewayen själv prompter eller svar, hur länge, och kan lagringen stängas av? | Nej. Vi behandlar era prompter i minnet för att betjäna varje förfrågan och skriver dem aldrig till lagring eller loggar. | SäkerhetBiträdesavtal avsn. 3 |
| RT-02 | Kan ni kräva noll datalagring (ZDR) av modelleverantörerna längre ned i kedjan, och hur upprätthålls det? | Ja. Slå på noll datalagring för företaget, ett team eller en nyckel, så routas varje förfrågan bara till inferensendpoints som åtar sig att inte behålla någon kopia av era data. Team och nycklar ärver kravet och kan aldrig stänga av det. | SäkerhetStyrning |
| RT-03 | Vad täcker leverantörens ZDR-åtagande konkret (missbruksövervakning, cachning, säkerhetsklassificerare, manuell granskning)? | Varje endpoint som betjänar trafik med Zero Retention måste uppfylla våra leverantörskrav (Provider Requirements): prompter och svar lagras inte efter att förfrågan är klar, och endast tillfällig cachning som är strikt nödvändig för inferensen godtas. | Leverantörskrav |
| RT-04 | Vad händer med era data när avtalet upphör, och hur snabbt raderas de? | Ert innehåll lagras aldrig. När avtalet upphör raderar eller återlämnar vi alla övriga personuppgifter om kunden inom 30 dagar. | Biträdesavtal avsn. 10 |
Träning och sekundär användning
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| TR-01 | Använder leverantören era prompter, svar eller filer för att träna eller förbättra modeller, och är det standardinställningen? | Nej. Standard Compute tränar aldrig på era prompter eller svar, och personuppgiftsbiträdesavtalet förpliktar oss till det. | Biträdesavtal avsn. 3.1 |
| TR-02 | Kräver leverantören att underbiträden och modelleverantörer längre ned i kedjan inte tränar på era data, och upprätthåller routningen det? | Med en regionregel eller Zero Retention påslagen går varje förfrågan bara till leverantörer som åtar sig att inte träna på den. | LeverantörskravSäkerhet |
| TR-03 | Används någon del av era data för analys, benchmarking, produktförbättring eller manuell granskning? | Prompter och svar behandlas i minnet, skrivs aldrig till lagring eller loggar och används aldrig för träning. Förfrågningsloggarna innehåller bara metadata: modell, leverantör, tokens, kostnad och status. | Säkerhet |
Underbiträden
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| SP-01 | Finns det en offentlig och aktuell lista över underbiträden med syfte, datakategorier och plats? | Ja. Vi publicerar varje underbiträde med syfte, data och plats. | Underbiträden |
| SP-02 | Hur lång förvarning får ni innan ett nytt underbiträde läggs till, och kan ni invända? | Vi meddelar er 14 dagar innan vi lägger till ett nytt underbiträde. Hur ni tar emot meddelanden och invänder står på sidan om underbiträden. | Underbiträden |
| SP-03 | När gatewayen lägger till en ny modelleverantör, börjar er trafik då automatiskt gå dit? | Med en tillåtelselista för leverantörer läggs en ny leverantör aldrig till utan att en administratör godkänner det, och reservvägar kan aldrig gå förbi er lista. | UnderbiträdenStyrning |
Identitet: SSO och SCIM
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| ID-01 | Vilka SSO-protokoll stöds (SAML, OIDC), med vilka identitetsleverantörer och i vilken plan? | Anslut Microsoft Entra ID eller en annan SAML-identitetsleverantör, så loggar era medarbetare in i Standard Compute med sitt jobbkonto. Alla på er verifierade domän ansluts automatiskt till företaget. | SSOSSO-dokumentation |
| ID-03 | Stöds SCIM-provisionering, och återkallar avprovisionering i IdP:n API-nycklar och sessioner? | Åtkomsten till Claude Desktop och Claude Code följer era Microsoft Entra-grupper genom SCIM-provisionering. | Inloggningsdokumentation |
| ID-04 | Kan åtkomsten till AI-verktyg (chattappar, kodagenter) följa IdP-grupper i stället för delade API-nycklar? | Ja. Medarbetarna loggar in i Claude Desktop och Claude Code med sitt Microsoft-jobbkonto, via vår EU-gateway, så det finns inga API-nycklar att dela ut. För API-användning får varje person och varje app en egen nyckel. | SSOInloggningsdokumentation |
Gransknings- och förfrågningsloggar
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| AU-01 | Finns det en granskningslogg för administrativa ändringar av konfigurationen (personer, nycklar, budgetar, regler) med värden före och efter? | Ja. Varje ändring en administratör gör registreras med värdena före och efter. | StyrningSäkerhet |
| AU-02 | Finns det en logg per förfrågan (modell, leverantören som betjänade den, region, utfall, reservvägar), och kan den exporteras? | Ja. Ni kan exportera en logg över varje förfrågan som visar modellen, leverantören som betjänade den, regionregeln som gällde, utfallet och eventuella försök med reservvägar som leverantörerna har rapporterat. | SäkerhetStyrning |
| AU-03 | Hur länge sparas gransknings- och förfrågningsloggar, och kan ni välja period? | Förfrågningsloggar sparas i 12 månader med Enterprise och SLA-tillägget, och ni kan exportera dem från instrumentpanelen. | Säkerhet |
| AU-04 | Innehåller granskningsloggarna innehåll från prompter? I så fall, vem kan se dem? | Nej. Förfrågningsloggarna innehåller bara metadata (modell, leverantör, tokens, kostnad och status), aldrig era prompter eller svar. | Säkerhet |
Kostnadskontroll
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| SC-01 | Kan ni sätta hårda budgetar per nyckel, per användare, per team och per organisation? | Varje person och varje app får en fast månadsbudget som aldrig överskrids, och ni kan sätta utgiftstak per nyckel och för hela företaget. | BudgetdokumentationStyrning |
| SC-02 | Vad händer när en budget är förbrukad: fullt stopp, överförbrukning eller byte till en billigare modell? | Fullt stopp, utan överförbrukning: förfrågningar returnerar HTTP 402 med koden budget_exhausted tills perioden förnyas. Valfri påfyllning från ett förbetalt saldo på företagskontot håller kritiska agenter igång. | Budgetdokumentation |
| SC-03 | Kan kostnader knytas till en person, en app, ett team, ett projekt eller ett kostnadsställe för internfakturering? | Varje person och varje app har en egen nyckel och en egen månadsbudget, organiserade i team under ett företagskonto. | Team |
Styrning av modeller och leverantörer
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| GV-01 | Kan ni begränsa vilka modeller varje team, nyckel eller app får använda? | Ja. Ni bestämmer vilka modeller varje nyckel får använda, så att varje app och varje teammedlem får exakt de modeller ni godkänner. | Styrning |
| GV-02 | Kan ni begränsa vilka inferensleverantörer (moln, driftleverantörer) som får betjäna er trafik, och gäller begränsningen även reservvägar? | Ja. Välj exakt vilka inferensleverantörer som får behandla era data, för hela företaget, ett team eller en enskild nyckel. Reservvägar kan aldrig gå förbi er lista. | StyrningSäkerhet |
| GV-03 | Kan lägre nivåer (team, nyckel) bara skärpa organisationens regler, aldrig vidga dem? | Ja. Lägre nivåer kan bara skärpa reglerna som är satta ovanför dem. | Säkerhet |
Incidenter, tillgänglighet och dokumentation
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| IN-01 | Vilken avtalad tidsfrist gäller för anmälan av personuppgiftsincidenter? | Vi underrättar er om en personuppgiftsincident inom 72 timmar efter att vi fått kännedom om den. | Biträdesavtal avsn. 7Säkerhet |
| IN-02 | Finns det en offentlig statussida med incidenthistorik, och ett drifttids-SLA med kreditering? | Vår statussida är offentlig, och Enterprise omfattar ett månatligt drifttids-SLA på 99,9 % med servicekrediter. | StatusSLA |
| IN-03 | Hur fungerar failover när en modelleverantör ligger nere, och respekterar den era regler för region och leverantörer? | Går en leverantör ned flyttas förfrågan automatiskt till en annan godkänd leverantör av samma modell, utan att lämna era regler för region och leverantörer. Finns det ingen tillåten väg misslyckas förfrågan och skickas aldrig utanför era regler. | Säkerhet |
Stöd för tillhandahållare enligt EU:s AI-förordning
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| AI-01 | Kan tjänsten hjälpa er att föra de loggar som en tillhandahållare av ett AI-system med hög risk måste föra (art. 26.6: automatiskt genererade loggar under er kontroll, som sparas i minst sex månader om inte tillämplig unionsrätt eller nationell rätt föreskriver annat)? | Ja. Ni kan exportera en logg över varje förfrågan med modell, leverantören som betjänade den, regionregel och utfall, som sparas i 12 månader med Enterprise och SLA-tillägget. | SäkerhetStyrning |
| AI-02 | Dokumenterar leverantören vilka modeller den erbjuder, vem som levererar dem, och länkar den till leverantörernas dokumentation (modellkort, användarvillkor)? | Varje förfrågningslogg anger modellen och leverantören som betjänade förfrågan, och modellerna vi erbjuder står på vår modellsida. | Modeller |
Avslut och portabilitet
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| EX-01 | Är API:et kompatibelt med ett utbrett gränssnitt (till exempel API-formatet hos OpenAI eller Anthropic), så att ni kan byta leverantör genom att ändra en bas-URL? | Ja. Ni skickar OpenAI- eller Anthropic-kompatibla API-förfrågningar till en enda endpoint, dokumenterad i vår API-referens. | API-referensSäkerhet |
| EX-02 | Kan ni exportera konfigurationen (nycklar, regler, prompter, routningsregler) och loggarna i ett standardformat? | Förfrågningsloggar kan exporteras från instrumentpanelen, med modell, leverantören som betjänade förfrågan och regionregel för varje förfrågan. | Säkerhet |
| EX-04 | Vilka villkor gäller vid uppsägning: uppsägningstid, återlämnande av data, radering och eventuella avgifter? | När avtalet upphör raderar eller återlämnar vi era personuppgifter inom 30 dagar. | Biträdesavtal avsn. 10Villkor |
Avtal och personuppgiftsbiträdesavtal
| ID | Fråga | Svar | Underlag |
|---|---|---|---|
| CT-01 | Finns det ett personuppgiftsbiträdesavtal, och kan det signeras utan egna förhandlingar? | Ja. Hela texten i personuppgiftsbiträdesavtalet är offentlig, och en administratör på företaget signerar det i instrumentpanelen på några minuter. Det förpliktar oss till ingen träning på era data, ingen lagring av ert innehåll och anmälan av incidenter inom 72 timmar. | Biträdesavtal |
| CT-02 | Vilka överföringsmekanismer täcker överföringar utanför EU/EES (SCC, UK IDTA, EU-US Data Privacy Framework)? | EU:s standardavtalsklausuler (Standard Contractual Clauses) och, för data från Storbritannien, UK International Data Transfer Addendum. Överföringsmekanismen för varje underbiträde står på vår sida om underbiträden. | Biträdesavtal avsn. 6Underbiträden |
| CT-03 | Vilken lag gäller för avtalet, och var avgörs tvister? | Norsk rätt. Tvister avgörs av domstolarna i Oslo enligt våra villkor, och Oslo tingsrätt är avtalat forum enligt personuppgiftsbiträdesavtalet. Avtalspart är Standard Compute AS, org.nr 938 498 806, Oslo, Norge. | VillkorBiträdesavtal avsn. 11 |
Om formuläret
Formuläret är öppet och leverantörsneutralt, MIT-licensierat och skrivet för att bedöma vilken LLM-gateway eller leverantör av AI-API som helst. Fråge-ID:na ovan motsvarar det engelska kalkylarket, så varje svar kan klistras in på rätt rad. För hela upphandlingsbilden, med datakategorier, behandlingsplatser och villkoren i personuppgiftsbiträdesavtalet samlade, se underlaget för säkerhetsgranskning.
Skapa företagskontot för att signera personuppgiftsbiträdesavtalet, ansluta er identitetsleverantör och sätta regler för region och leverantörer. Har ni ett formulär i eget format, skicka det till oss så returnerar vi det ifyllt.