Dokumentation til sikkerhedsvurdering af AI-gatewayen
Alt hvad IT-sikkerhed og indkøb har brug for til at vurdere Standard Compute, samlet på én side: hvilke data vi behandler og hvor, opbevaring, træning, underdatabehandlere, databehandleraftalen, login, adgangskontrol, logs og underretning om brud. Siden besvarer spørgsmålene i et typisk sikkerhedsspørgeskema til leverandører, med henvisninger til vores databehandleraftale.
Senest opdateret
Opret virksomhedskontoeller send jeres spørgeskema til contact@standardcompute.com
De korte svar
- Hvilke data behandler Standard Compute?
- Vi behandler jeres prompts i hukommelsen for at betjene hver forespørgsel og skriver dem aldrig til lager eller logs. Forespørgselslogs indeholder kun metadata (model, udbyder, tokens, omkostning og status), aldrig jeres prompts eller svar.
- Hvor behandles de?
- Med en Europa-regel bliver hver forespørgsel, også nye forsøg og fallbacks, kun betjent af godkendte europæiske inferens-endpoints. Vores EU-gateway terminerer TLS og kører i Finland, og jeres kontodata gemmes i Frankfurt.
- Bruges kundedata til træning?
- Standard Compute træner aldrig på jeres prompts eller svar. Med en regionsregel eller Zero Retention slået til går hver forespørgsel kun til udbydere, der forpligter sig til ikke at træne på den.
- Findes der en databehandleraftale?
- Underskriv vores databehandleraftale i dashboardet på få minutter. Den forpligter os til ingen træning på jeres data, ingen opbevaring af jeres indhold og underretning om brud inden for 72 timer.
- Hvem er aftalepart?
- Standard Compute AS, et norsk aktieselskab (org.nr. 938 498 806), registreret i Oslo.
Hvad vi behandler, hvor og hvor længe
| Data | Indhold | Placering | Opbevaring |
|---|---|---|---|
| Prompts og svar | Det indhold, jeres medarbejdere og applikationer sender og modtager | Placering: Med en Europa-regel: kun godkendte europæiske inferens-endpoints, gennem vores EU-gateway i Finland | Opbevaring: Behandles i hukommelsen for at betjene forespørgslen, skrives aldrig til lager eller logs |
| Forespørgselslogs | Tidspunkt, nøgle, model, udbyderen der betjente forespørgslen, tokens, omkostning og status. Intet indhold | Placering: Frankfurt, Tyskland | Opbevaring: Eksport af forespørgselslogs opbevares i 12 måneder med Enterprise og SLA-tilkøbet |
| Kontodata | Virksomhed, personer, teams, nøgler, budgetter og indstillinger | Placering: Frankfurt, Tyskland | Opbevaring: Slettes eller returneres inden for 30 dage efter aftalens ophør (databehandleraftalen pkt. 10) |
Kontroller og forpligtelser
Opbevaring og træning
Slå nul dataopbevaring til for virksomheden, et team eller en nøgle, så routes hver forespørgsel kun til inferens-endpoints, der forpligter sig til ikke at beholde nogen kopi af jeres data. Teams og nøgler arver kravet og kan aldrig slå det fra.
Standard Compute træner aldrig på jeres prompts eller svar. Med en regionsregel eller Zero Retention slået til går hver forespørgsel kun til udbydere, der forpligter sig til ikke at træne på den.
Behandling i Europa
Sæt en Europa-regel for virksomheden, et team eller en enkelt nøgle, så bliver hver forespørgsel, også nye forsøg og fallbacks, kun betjent af godkendte europæiske inferens-endpoints. Kan intet europæisk endpoint betjene den, afvises forespørgslen, før prompten sendes.
Vores EU-gateway terminerer TLS og kører i Finland, og jeres kontodata gemmes i Frankfurt.
Underdatabehandlere
Vi offentliggør hver underdatabehandler med formål, data og placering og giver jer besked 14 dage, før vi tilføjer en ny.
Databehandleraftale
Underskriv vores databehandleraftale i dashboardet på få minutter. Den forpligter os til ingen træning på jeres data, ingen opbevaring af jeres indhold og underretning om brud inden for 72 timer.
Overførsler fra EØS eller Storbritannien til et land uden afgørelse om tilstrækkeligt beskyttelsesniveau er omfattet af EU's standardkontraktbestemmelser og UK International Data Transfer Addendum (pkt. 6). I kan revidere os én gang inden for en periode på 12 måneder (pkt. 9), og når aftalen ophører, sletter eller returnerer vi jeres personoplysninger inden for 30 dage (pkt. 10). Databehandleraftalen er underlagt norsk ret, og hele teksten er offentlig, så jeres jurister kan læse den, før I underskriver.
Single sign-on og adgangskontrol
Forbind Microsoft Entra ID eller en anden SAML-identitetsudbyder, så logger jeres medarbejdere ind i Standard Compute med deres arbejdskonto. Alle på jeres verificerede domæne bliver automatisk en del af virksomheden.
Medarbejderne logger ind i Claude Desktop og Claude Code med deres Microsoft-arbejdskonto gennem vores EU-gateway, så der er ingen API-nøgler at dele ud. Adgangen følger jeres Microsoft Entra-grupper gennem SCIM-provisionering.
Personer er administratorer eller medlemmer, og hver person og hver app får sin egen nøgle. Vælg præcis hvilke inferensudbydere der må behandle jeres data, for hele virksomheden, et team eller en enkelt nøgle. Lavere niveauer kan kun stramme reglerne, nye udbydere tilføjes aldrig, uden at en administrator godkender det, og fallbacks kan aldrig gå uden om jeres liste. Bestem, hvilke modeller hver nøgle må bruge.
Revisions- og forespørgselslogs
Hver ændring, en administrator foretager, registreres med værdierne før og efter, og I kan eksportere en log over hver forespørgsel, der viser modellen, udbyderen der betjente den, og den regionsregel der gjaldt, opbevaret i 12 måneder.
Hændelser, underretning om brud og tilgængelighed
Efter databehandleraftalen (pkt. 7) underretter vi jer om brud på persondatasikkerheden inden for 72 timer.
Går en udbyder ned, flyttes forespørgslen automatisk til en anden godkendt udbyder af samme model uden at forlade jeres regler for region og udbydere. Enterprise omfatter en månedlig oppetids-SLA på 99,9 % med servicekreditter.
Sikkerhedsspørgeskema til leverandører, færdigudfyldt
De spørgsmål, revisorer oftest stiller, med vores svar. For alt, der ikke står her, så send os jeres eget spørgeskema, og vi returnerer det udfyldt.
Virksomhed og data
| Spørgsmål | Svar |
|---|---|
| Juridisk enhed og jurisdiktion | Standard Compute AS, et norsk aktieselskab, org.nr. 938 498 806, registreret i Oslo. |
| Gemmer I prompts eller svar? | Nej. Vi behandler prompts i hukommelsen for at betjene hver forespørgsel og skriver dem aldrig til lager eller logs. |
| Træner I modeller på kundedata? | Nej. Standard Compute træner aldrig på jeres prompts eller svar. |
| Træner jeres inferensudbydere på vores data? | Med en regionsregel eller Zero Retention slået til går hver forespørgsel kun til udbydere, der forpligter sig til ikke at træne på den. |
| Kan behandlingen begrænses til Europa? | Ja. En Europa-regel på virksomheden, et team eller en nøgle begrænser hver forespørgsel, hvert nyt forsøg og hver fallback til godkendte europæiske inferens-endpoints. |
| Hvad sker der, hvis intet europæisk endpoint er tilgængeligt? | Forespørgslen afvises, før prompten sendes. |
| Hvor drives gatewayen? | Vores EU-gateway terminerer TLS og kører i Finland. |
| Hvor gemmes konto- og forbrugsdata? | I Frankfurt, Tyskland. |
| Hvad indeholder forespørgselslogs? | Kun metadata: model, udbyder, tokens, omkostning og status. Aldrig prompts eller svar. |
| Tilbyder I nul dataopbevaring? | Ja. Sæt det for virksomheden, et team eller en nøgle, så går forespørgslerne kun til endpoints, der forpligter sig til ikke at beholde nogen kopi af jeres data. |
| Kan et team eller en nøgle slå Zero Retention fra? | Nej. Teams og nøgler arver kravet og kan aldrig slå det fra. |
Underdatabehandlere og databehandleraftale
| Spørgsmål | Svar |
|---|---|
| Offentliggør I jeres underdatabehandlere? | Ja, på vores side om underdatabehandlere, hver med formål, data og placering. |
| Varsel før en ny underdatabehandler? | 14 dage. |
| Underskriver I en databehandleraftale? | Ja. I underskriver den i dashboardet, og hele teksten er offentlig på vores website. |
| Frist for underretning om brud | Inden for 72 timer efter databehandleraftalen (pkt. 7). |
| Grundlag for internationale overførsler | EU's standardkontraktbestemmelser og UK International Data Transfer Addendum (databehandleraftalen pkt. 6). |
| Lovvalg for databehandleraftalen | Norsk ret med Oslo tingrett som værneting. |
| Kundens revisionsret | Én gang inden for en periode på 12 måneder med 30 dages skriftligt varsel (databehandleraftalen pkt. 9). |
| Sletning af data ved aftalens ophør | Personoplysninger slettes eller returneres inden for 30 dage (databehandleraftalen pkt. 10). |
Identitet og adgang
| Spørgsmål | Svar |
|---|---|
| Single sign-on | Microsoft Entra ID eller en anden SAML-identitetsudbyder. |
| Brugerprovisionering | Alle på jeres verificerede domæne bliver automatisk tilknyttet. Adgangen til Claude Desktop og Claude Code følger jeres Entra-grupper gennem SCIM. |
| Roller | Administrator og medlem, med en egen nøgle til hver person og hver app. |
| Kan vi begrænse, hvilke AI-udbydere der behandler vores data? | Ja. En godkendelsesliste for udbydere for virksomheden, et team eller en nøgle. Nye udbydere kræver en administrators godkendelse, og fallbacks kan aldrig gå uden om listen. |
| Kan vi begrænse, hvilke modeller der bruges? | Ja. I bestemmer, hvilke modeller hver nøgle må bruge. |
| Logning af administratoraktivitet | Hver ændring, en administrator foretager, registreres med værdierne før og efter. |
| Revisionsspor pr. forespørgsel | En log, der kan eksporteres, over hver forespørgsel med model, udbyderen der betjente den, og regionsregel, opbevaret i 12 måneder med Enterprise. |
Drift og fakturering
| Spørgsmål | Svar |
|---|---|
| Omkostningskontrol | Et fast månedligt budget pr. person eller app, der aldrig overskrides, plus udgiftslofter pr. nøgle og for hele virksomheden. |
| Håndtering af udbydernedbrud | Forespørgsler flyttes til en anden godkendt udbyder af samme model uden at forlade jeres regler for region og udbydere. |
| Forpligtelse om oppetid | Enterprise omfatter en månedlig oppetids-SLA på 99,9 % med servicekreditter. |
| Fakturering | Stripe-fakturaer med jeres virksomhedsnavn og momsnummer. |
Brug vores åbne spørgeskema
Et åbent spørgeskema til enhver AI-gateway, også vores. Vi vedligeholder et gratis, MIT-licenseret sikkerheds- og indkøbsspørgeskema til vurdering af LLM-gateways og udbydere af AI-API'er. Det dækker dataresidens, opbevaring og Zero Data Retention, brug til træning, underdatabehandlere, SSO og SCIM, revisionslogs, omkostningskontrol, godkendelseslister for modeller og udbydere, underretning om hændelser, logs til idriftsættere efter EU's AI-forordning og vilkår ved ophør, hver med et godt svar og advarselstegnene. Det kommer som et regneark, I kan sende til leverandører, med en sammenligning af, hvordan otte leverandører svarer på deres egne offentlige sider, med links. Selve spørgeskemaet er på engelsk.
Ofte stillede spørgsmål fra IT-sikkerhed og indkøb
- Hvad skal en sikkerhedsvurdering bruge for at vurdere Standard Compute?
- Denne side, vores sikkerhedsoversigt, listen over underdatabehandlere og databehandleraftalen dækker, hvad vi behandler, hvor og hvor længe, hvem der ellers behandler det, og hvad vi forpligter os til.
- Hvordan underskriver vi databehandleraftalen?
- En administrator i virksomheden underskriver den i Standard Compute-dashboardet på få minutter, og hele teksten ligger offentligt på vores website på forhånd.
- Hvor sender vi vores eget sikkerhedsspørgeskema hen?
- Send det til contact@standardcompute.com med emnet »Sikkerhedsvurdering«, så returnerer vi det udfyldt.
Relaterede sider
Opret virksomhedskontoen for at underskrive databehandleraftalen, forbinde jeres identitetsudbyder og sætte jeres regler. Til jeres eget spørgeskema, skriv til os med emnet »Sikkerhedsvurdering«.