Dokumentasjon for sikkerhetsvurdering av KI-gatewayen
Alt IT-sikkerhet og innkjøp trenger for å vurdere Standard Compute, samlet på én side: hvilke data vi behandler og hvor, lagring, trening, underleverandører, databehandleravtalen, innlogging, tilgangskontroll, logger og varsling om brudd. Siden besvarer spørsmålene i et vanlig sikkerhetsspørreskjema for leverandører, med henvisninger til databehandleravtalen vår.
Sist oppdatert
Opprett bedriftskontoeller send spørreskjemaet deres til contact@standardcompute.com
De korte svarene
- Hvilke data behandler Standard Compute?
- Vi behandler promptene deres i minnet for å betjene hver forespørsel og skriver dem aldri til lagring eller logger. Forespørselsloggene inneholder bare metadata (modell, leverandør, tokens, kostnad og status), aldri promptene eller svarene deres.
- Hvor behandles de?
- Med en Europa-regel blir hver forespørsel, også nye forsøk og reserveruter, betjent bare av godkjente europeiske inferensendepunkter. EU-gatewayen vår terminerer TLS og kjører i Finland, og kontodataene deres lagres i Frankfurt.
- Brukes kundedata til trening?
- Standard Compute trener aldri på promptene eller svarene deres. Med en regionregel eller Zero Retention slått på går hver forespørsel bare til leverandører som forplikter seg til ikke å trene på den.
- Finnes det en databehandleravtale?
- Signer databehandleravtalen vår i dashbordet på noen minutter. Den forplikter oss til ingen trening på dataene deres, ingen lagring av innholdet deres og varsling om brudd innen 72 timer.
- Hvem er avtalepart?
- Standard Compute AS, et norsk aksjeselskap (org.nr. 938 498 806), registrert i Oslo.
Hva vi behandler, hvor og hvor lenge
| Data | Innhold | Sted | Oppbevaring |
|---|---|---|---|
| Prompter og svar | Innholdet de ansatte og applikasjonene deres sender og mottar | Sted: Med en Europa-regel: bare godkjente europeiske inferensendepunkter, gjennom EU-gatewayen vår i Finland | Oppbevaring: Behandles i minnet for å betjene forespørselen, skrives aldri til lagring eller logger |
| Forespørselslogger | Tidspunkt, nøkkel, modell, leverandøren som betjente forespørselen, tokens, kostnad og status. Ikke innhold | Sted: Frankfurt, Tyskland | Oppbevaring: Eksport av forespørselslogger oppbevares i 12 måneder med Enterprise og SLA-tillegget |
| Kontodata | Bedrift, personer, team, nøkler, budsjetter og innstillinger | Sted: Frankfurt, Tyskland | Oppbevaring: Slettes eller returneres innen 30 dager etter at avtalen opphører (databehandleravtalen pkt. 10) |
Kontroller og forpliktelser
Lagring og trening
Slå på null datalagring for bedriften, et team eller en nøkkel, så rutes hver forespørsel bare til inferensendepunkter som forplikter seg til ikke å beholde noen kopi av dataene deres. Team og nøkler arver kravet og kan aldri slå det av.
Standard Compute trener aldri på promptene eller svarene deres. Med en regionregel eller Zero Retention slått på går hver forespørsel bare til leverandører som forplikter seg til ikke å trene på den.
Behandling i Europa
Sett en Europa-regel for bedriften, et team eller én nøkkel, så blir hver forespørsel, også nye forsøk og reserveruter, betjent bare av godkjente europeiske inferensendepunkter. Kan ingen europeiske endepunkter betjene den, blir forespørselen avvist før prompten sendes.
EU-gatewayen vår terminerer TLS og kjører i Finland, og kontodataene deres lagres i Frankfurt.
Underleverandører
Vi publiserer hver underleverandør med formål, data og sted, og varsler dere 14 dager før vi legger til en ny.
Databehandleravtale
Signer databehandleravtalen vår i dashbordet på noen minutter. Den forplikter oss til ingen trening på dataene deres, ingen lagring av innholdet deres og varsling om brudd innen 72 timer.
Overføringer utenfor EØS eller Storbritannia til et land uten beslutning om tilstrekkelig beskyttelsesnivå reguleres av EUs standard personvernbestemmelser og UK International Data Transfer Addendum (pkt. 6). Dere kan revidere oss én gang i løpet av en periode på 12 måneder (pkt. 9), og når avtalen opphører, sletter eller returnerer vi personopplysningene deres innen 30 dager (pkt. 10). Databehandleravtalen følger norsk rett, og hele teksten er offentlig, så juristene deres kan lese den før dere signerer.
Single sign-on og tilgangskontroll
Koble til Microsoft Entra ID eller en annen SAML-identitetsleverandør, så logger de ansatte inn i Standard Compute med jobbkontoen sin. Alle på det verifiserte domenet deres blir automatisk med i bedriften.
De ansatte logger inn i Claude Desktop og Claude Code med Microsoft-jobbkontoen sin, gjennom EU-gatewayen vår, så det er ingen API-nøkler å dele ut. Tilgangen følger Microsoft Entra-gruppene deres gjennom SCIM-provisjonering.
Personer er administratorer eller medlemmer, og hver person og hver app får sin egen nøkkel. Velg nøyaktig hvilke inferensleverandører som kan behandle dataene deres, for hele bedriften, et team eller én nøkkel. Lavere nivåer kan bare stramme inn reglene, nye leverandører legges aldri til uten at en administrator godkjenner det, og reserveruter kan aldri gå utenom listen deres. Bestem hvilke modeller hver nøkkel kan bruke.
Revisjons- og forespørselslogger
Hver endring en administrator gjør, registreres med verdiene før og etter, og dere kan eksportere en logg over hver forespørsel som viser modellen, leverandøren som betjente den, og regionregelen som gjaldt, oppbevart i 12 måneder.
Hendelser, varsling om brudd og tilgjengelighet
Etter databehandleravtalen (pkt. 7) varsler vi dere om brudd på personopplysningssikkerheten innen 72 timer.
Går en leverandør ned, flyttes forespørselen automatisk til en annen godkjent leverandør av samme modell, uten å forlate reglene deres for region og leverandører. Enterprise inkluderer en månedlig oppetids-SLA på 99,9 % med servicekreditter.
Sikkerhetsspørreskjema for leverandører, ferdig utfylt
Spørsmålene revisorer stiller oftest, med svaret vårt. For alt som ikke står her, send oss deres eget spørreskjema, så returnerer vi det utfylt.
Selskap og data
| Spørsmål | Svar |
|---|---|
| Juridisk enhet og jurisdiksjon | Standard Compute AS, et norsk aksjeselskap, org.nr. 938 498 806, registrert i Oslo. |
| Lagrer dere prompter eller svar? | Nei. Vi behandler prompter i minnet for å betjene hver forespørsel og skriver dem aldri til lagring eller logger. |
| Trener dere modeller på kundedata? | Nei. Standard Compute trener aldri på promptene eller svarene deres. |
| Trener inferensleverandørene deres på dataene våre? | Med en regionregel eller Zero Retention slått på går hver forespørsel bare til leverandører som forplikter seg til ikke å trene på den. |
| Kan behandlingen begrenses til Europa? | Ja. En Europa-regel på bedriften, et team eller en nøkkel begrenser hver forespørsel, hvert nytt forsøk og hver reserverute til godkjente europeiske inferensendepunkter. |
| Hva skjer hvis ingen europeiske endepunkter er tilgjengelige? | Forespørselen avvises før prompten sendes. |
| Hvor driftes gatewayen? | EU-gatewayen vår terminerer TLS og kjører i Finland. |
| Hvor lagres konto- og bruksdata? | I Frankfurt, Tyskland. |
| Hva inneholder forespørselsloggene? | Bare metadata: modell, leverandør, tokens, kostnad og status. Aldri prompter eller svar. |
| Tilbyr dere null datalagring? | Ja. Sett det for bedriften, et team eller en nøkkel, så går forespørslene bare til endepunkter som forplikter seg til ikke å beholde noen kopi av dataene deres. |
| Kan et team eller en nøkkel slå av Zero Retention? | Nei. Team og nøkler arver kravet og kan aldri slå det av. |
Underleverandører og databehandleravtale
| Spørsmål | Svar |
|---|---|
| Publiserer dere underleverandørene deres? | Ja, på siden vår om underleverandører, hver med formål, data og sted. |
| Varsel før en ny underleverandør? | 14 dager. |
| Signerer dere en databehandleravtale? | Ja. Dere signerer den i dashbordet, og hele teksten er offentlig på nettstedet vårt. |
| Frist for varsling om brudd | Innen 72 timer, etter databehandleravtalen (pkt. 7). |
| Grunnlag for internasjonale overføringer | EUs standard personvernbestemmelser og UK International Data Transfer Addendum (databehandleravtalen pkt. 6). |
| Lovvalg for databehandleravtalen | Norsk rett, med Oslo tingrett som verneting. |
| Kundens revisjonsrett | Én gang i løpet av en periode på 12 måneder, med 30 dagers skriftlig varsel (databehandleravtalen pkt. 9). |
| Sletting av data når avtalen opphører | Personopplysninger slettes eller returneres innen 30 dager (databehandleravtalen pkt. 10). |
Identitet og tilgang
| Spørsmål | Svar |
|---|---|
| Single sign-on | Microsoft Entra ID eller en annen SAML-identitetsleverandør. |
| Brukerprovisjonering | Alle på det verifiserte domenet deres blir automatisk med. Tilgangen til Claude Desktop og Claude Code følger Entra-gruppene deres gjennom SCIM. |
| Roller | Administrator og medlem, med en egen nøkkel for hver person og hver app. |
| Kan vi begrense hvilke KI-leverandører som behandler dataene våre? | Ja. En godkjenningsliste for leverandører for bedriften, et team eller en nøkkel. Nye leverandører krever godkjenning fra en administrator, og reserveruter kan aldri gå utenom listen. |
| Kan vi begrense hvilke modeller som brukes? | Ja. Dere bestemmer hvilke modeller hver nøkkel kan bruke. |
| Logging av administratoraktivitet | Hver endring en administrator gjør, registreres med verdiene før og etter. |
| Revisjonsspor per forespørsel | En logg som kan eksporteres, over hver forespørsel med modell, leverandøren som betjente den, og regionregel, oppbevart i 12 måneder med Enterprise. |
Drift og fakturering
| Spørsmål | Svar |
|---|---|
| Kostnadskontroll | Et fast månedsbudsjett per person eller app som aldri overskrides, pluss utgiftstak per nøkkel og for hele bedriften. |
| Håndtering av leverandørbrudd | Forespørsler flyttes til en annen godkjent leverandør av samme modell, uten å forlate reglene deres for region og leverandører. |
| Forpliktelse om oppetid | Enterprise inkluderer en månedlig oppetids-SLA på 99,9 % med servicekreditter. |
| Fakturering | Stripe-fakturaer med bedriftsnavnet og MVA-nummeret deres. |
Bruk det åpne spørreskjemaet vårt
Et åpent spørreskjema for enhver KI-gateway, også vår. Vi vedlikeholder et gratis, MIT-lisensiert spørreskjema for sikkerhet og innkjøp til vurdering av LLM-gatewayer og leverandører av KI-API. Det dekker dataresidens, lagring og null datalagring, bruk til trening, underleverandører, SSO og SCIM, revisjonslogger, kostnadskontroll, godkjenningslister for modeller og leverandører, varsling om hendelser, logger for idriftsettere etter EUs KI-forordning og vilkår for avslutning, hvert med et godt svar og varselsignalene. Det kommer som et regneark dere kan sende til leverandører, med en sammenligning av hvordan åtte leverandører svarer på sine egne offentlige sider, med lenker. Selve spørreskjemaet er på engelsk.
Last ned sikkerhetsspørreskjemaet for LLM-gatewayer på GitHub
Vanlige spørsmål fra IT-sikkerhet og innkjøp
- Hva trenger en sikkerhetsvurdering for å vurdere Standard Compute?
- Denne siden, sikkerhetsoversikten vår, listen over underleverandører og databehandleravtalen dekker hva vi behandler, hvor og hvor lenge, hvem andre som behandler det, og hva vi forplikter oss til.
- Hvordan signerer vi databehandleravtalen?
- En administrator i bedriften signerer den i Standard Compute-dashbordet på noen minutter, og hele teksten er offentlig på nettstedet vårt på forhånd.
- Hvor sender vi vårt eget sikkerhetsspørreskjema?
- Send det til contact@standardcompute.com med emnet «Sikkerhetsvurdering», så returnerer vi det utfylt.
Relaterte sider
Opprett bedriftskontoen for å signere databehandleravtalen, koble til identitetsleverandøren og sette reglene deres. For deres eget spørreskjema, skriv til oss med emnet «Sikkerhetsvurdering».