Vastauksemme LLM-gatewayn tietoturvakyselyyn
Standard Computen valmiit vastaukset LLM-gatewayn tietoturvakyselyyn, valmiina liitettäviksi toimittaja-arviointiinne. Jokainen vastaus on yhden tai kahden virkkeen mittainen ja viittaa sivuun, joka sen todentaa: tietoturvayhteenvetoon, alikäsittelijäluetteloon ja tietojenkäsittelysopimukseen, jonka allekirjoitatte hallintapaneelissa. Todentavat sivut ovat englanniksi.
Päivitetty viimeksi
Lataa CSV-tiedostona
Luo yritystilitai lähettäkää oma kyselynne osoitteeseen contact@standardcompute.com
Datan sijainti ja alueellinen käsittely
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| DR-01 | Missä kehotteet ja vastaukset käsitellään (inferenssi), ja voiko käsittelyn rajata tiettyyn alueeseen, esimerkiksi EU:hun tai ETA-alueelle? | Asettakaa Eurooppa-rajaus yritykselle, tiimille tai yksittäiselle avaimelle, niin jokaista pyyntöä, myös uusintayrityksiä ja varareittejä, palvelevat vain hyväksytyt eurooppalaiset inferenssipäätepisteet. EU-gatewaymme päättää TLS-yhteyden ja toimii Suomessa, ja jos mikään eurooppalainen päätepiste ei voi palvella pyyntöä, pyyntö hylätään ennen kuin kehotettanne lähetetään. | TietoturvaEurooppalainen gateway |
| DR-02 | Miten toimittaja määrittelee alueen? Tarkoittaako ”Eurooppa” esimerkiksi vain EU:ta ja ETA-aluetta, vai kuuluvatko siihen myös Iso-Britannia, Sveitsi tai muut maat? | Eurooppa-rajaus päästää läpi vain alikäsittelijäluettelossamme mainitut hyväksytyt eurooppalaiset inferenssipäätepisteet, joista jokaisen käsittelypaikka on ilmoitettu. | Alikäsittelijät |
| DR-03 | Pysyvätkö uusintayritykset, varareitit, luokittelijat, turvasuodattimet, välimuisti ja lokitus saman aluerajauksen sisällä kuin varsinainen pyyntö? | Kyllä. Rajausta noudatetaan jokaisessa kehotteen sisältävässä kutsussa: reitityksen luokittelijassa, vastauksessa, jokaisessa uusintayrityksessä ja jokaisella varareitillä. Kehotteet käsitellään muistissa, eikä niitä koskaan kirjoiteta tallennustilaan tai lokeihin. | Tietoturva |
| DR-04 | Missä tili-, laskutus-, käyttö- ja lokimetatiedot säilytetään, ja poistuuko osa niistä alueelta? | Tili- ja käyttötietonne säilytetään Saksan Frankfurtissa, ja EU-gatewaymme toimii Suomessa. Pyyntölokit sisältävät vain metatietoja (malli, palveluntarjoaja, tokenit, kustannus ja tila), eivät koskaan kehotteitanne tai vastauksianne. | TietoturvaAlikäsittelijät |
Säilytys ja tietojen säilytyskielto (ZDR)
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| RT-01 | Säilyttääkö gateway itse kehotteita tai vastauksia, kuinka kauan, ja voiko säilytyksen kytkeä pois? | Ei. Käsittelemme kehotteenne muistissa kunkin pyynnön palvelemiseksi emmekä koskaan kirjoita niitä tallennustilaan tai lokeihin. | TietoturvaTietojenkäsittelysopimus, kohta 3 |
| RT-02 | Voitteko vaatia ketjun seuraavilta mallintarjoajilta tietojen säilytyskieltoa (Zero Data Retention, ZDR), ja miten vaatimus pannaan täytäntöön? | Kyllä. Ottakaa ZDR käyttöön yritykselle, tiimille tai avaimelle, niin jokainen pyyntö reititetään vain inferenssipäätepisteisiin, jotka sitoutuvat olemaan säilyttämättä kopiota datastanne. Tiimit ja avaimet perivät vaatimuksen eivätkä voi koskaan kytkeä sitä pois. | TietoturvaHallinta |
| RT-03 | Mitä palveluntarjoajan ZDR-sitoumus kattaa käytännössä (väärinkäytösten valvonta, välimuisti, turvallisuusluokittelijat, manuaalinen tarkastus)? | Jokaisen ZDR-liikennettä palvelevan päätepisteen on täytettävä palveluntarjoajavaatimuksemme (Provider Requirements): kehotteita ja vastauksia ei säilytetä pyynnön valmistuttua, ja vain inferenssin kannalta välttämätön tilapäinen välimuisti hyväksytään. | Palveluntarjoajavaatimukset |
| RT-04 | Mitä datallenne tapahtuu sopimuksen päättyessä, ja kuinka nopeasti se poistetaan? | Sisältöänne ei koskaan säilytetä. Sopimuksen päättyessä poistamme tai palautamme kaikki muut asiakkaan henkilötiedot 30 päivän kuluessa. | Tietojenkäsittelysopimus, kohta 10 |
Koulutus ja toissijainen käyttö
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| TR-01 | Käyttääkö toimittaja kehotteitanne, vastauksianne tai tiedostojanne mallien kouluttamiseen tai parantamiseen, ja onko tämä oletusasetus? | Ei. Standard Compute ei koskaan kouluta malleja kehotteillanne tai vastauksillanne, ja tietojenkäsittelysopimus sitoo meidät tähän. | Tietojenkäsittelysopimus, kohta 3.1 |
| TR-02 | Edellyttääkö toimittaja, etteivät alikäsittelijät ja ketjun seuraavat mallintarjoajat kouluta malleja datallanne, ja varmistaako reititys tämän? | Kun aluerajaus tai ZDR on käytössä, jokainen pyyntö menee vain palveluntarjoajille, jotka sitoutuvat olemaan käyttämättä sitä mallien kouluttamiseen. | PalveluntarjoajavaatimuksetTietoturva |
| TR-03 | Käytetäänkö mitään dataanne analytiikkaan, vertailuarviointeihin, tuotekehitykseen tai manuaaliseen tarkastukseen? | Kehotteet ja vastaukset käsitellään muistissa, niitä ei koskaan kirjoiteta tallennustilaan tai lokeihin eikä koskaan käytetä koulutukseen. Pyyntölokit sisältävät vain metatietoja: malli, palveluntarjoaja, tokenit, kustannus ja tila. | Tietoturva |
Alikäsittelijät
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| SP-01 | Onko olemassa julkinen ja ajantasainen alikäsittelijäluettelo, jossa on käyttötarkoitus, datakategoriat ja sijainti? | Kyllä. Julkaisemme jokaisen alikäsittelijän käyttötarkoituksineen, datoineen ja sijainteineen. | Alikäsittelijät |
| SP-02 | Kuinka paljon ennakkoilmoitusaikaa saatte ennen uuden alikäsittelijän lisäämistä, ja voitteko vastustaa sitä? | Ilmoitamme teille 14 päivää ennen uuden alikäsittelijän lisäämistä. Ilmoitusten vastaanottaminen ja vastustusmenettely on kuvattu alikäsittelijäsivulla. | Alikäsittelijät |
| SP-03 | Kun gateway ottaa käyttöön uuden mallintarjoajan, alkaako liikenteenne kulkea sinne automaattisesti? | Palveluntarjoajien sallittujen luetteloon ei koskaan lisätä uutta palveluntarjoajaa ilman pääkäyttäjän hyväksyntää, eivätkä varareitit voi koskaan kiertää luetteloanne. | AlikäsittelijätHallinta |
Identiteetti: SSO ja SCIM
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| ID-01 | Mitä SSO-protokollia tuetaan (SAML, OIDC), minkä identiteettipalveluiden kanssa ja missä paketissa? | Yhdistäkää Microsoft Entra ID tai mikä tahansa SAML-identiteettipalvelu, niin henkilöstönne kirjautuu Standard Computeen työtileillään. Kaikki vahvistetun verkkotunnuksenne käyttäjät liittyvät yritykseenne automaattisesti. | SSOSSO-dokumentaatio |
| ID-03 | Tuetaanko SCIM-provisiointia, ja peruuttaako käyttäjän poisto identiteettipalvelussa API-avaimet ja istunnot? | Pääsy Claude Desktopiin ja Claude Codeen seuraa Microsoft Entra -ryhmiänne SCIM-provisioinnin kautta. | Kirjautumisdokumentaatio |
| ID-04 | Voiko pääsy tekoälytyökaluihin (chat-sovellukset, koodausagentit) seurata identiteettipalvelun ryhmiä jaettujen API-avainten sijaan? | Kyllä. Työntekijät kirjautuvat Claude Desktopiin ja Claude Codeen Microsoft-työtilillään EU-gatewayn kautta, joten API-avaimia ei tarvitse jakaa. API-käytössä jokainen henkilö ja sovellus saa oman avaimen. | SSOKirjautumisdokumentaatio |
Auditointi- ja pyyntölokit
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| AU-01 | Onko olemassa auditointiloki hallinnollisista asetusmuutoksista (henkilöt, avaimet, budjetit, säännöt), josta näkyvät arvot ennen muutosta ja sen jälkeen? | Kyllä. Jokainen pääkäyttäjän tekemä muutos kirjataan arvoineen ennen muutosta ja sen jälkeen. | HallintaTietoturva |
| AU-02 | Onko olemassa pyyntökohtainen loki (malli, palvellut palveluntarjoaja, alue, lopputulos, varareitit), ja voiko sen viedä? | Kyllä. Voitte viedä lokin jokaisesta pyynnöstä, ja siitä näkyvät malli, pyynnön palvellut palveluntarjoaja, voimassa ollut aluerajaus, lopputulos ja palveluntarjoajien raportoimat varareittiyritykset. | TietoturvaHallinta |
| AU-03 | Kuinka kauan auditointi- ja pyyntölokeja säilytetään, ja voitteko valita säilytysajan? | Pyyntölokeja säilytetään 12 kuukautta Enterprise-paketissa ja SLA-lisäpalvelussa, ja voitte viedä ne hallintapaneelista. | Tietoturva |
| AU-04 | Sisältävätkö auditointilokit kehotteiden sisältöä? Jos sisältävät, kuka näkee ne? | Eivät. Pyyntölokit sisältävät vain metatietoja (malli, palveluntarjoaja, tokenit, kustannus ja tila), eivät koskaan kehotteitanne tai vastauksianne. | Tietoturva |
Kustannusten hallinta
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| SC-01 | Voitteko asettaa kiinteät budjetit avainta, käyttäjää, tiimiä ja organisaatiota kohden? | Jokainen henkilö ja sovellus saa kiinteän kuukausibudjetin, joka ei koskaan ylity, ja voitte asettaa kulukatot avainkohtaisesti ja koko yritykselle. | BudjettidokumentaatioHallinta |
| SC-02 | Mitä tapahtuu, kun budjetti on käytetty: täysi pysäytys, ylitys vai siirtyminen halvempaan malliin? | Täysi pysäytys ilman ylitystä: pyynnöt palauttavat HTTP 402 -vastauksen koodilla budget_exhausted, kunnes kausi uusiutuu. Valinnainen täydennys yrityksen ennakkomaksetusta saldosta pitää kriittiset agentit käynnissä. | Budjettidokumentaatio |
| SC-03 | Voiko kustannukset kohdistaa henkilölle, sovellukselle, tiimille, projektille tai kustannuspaikalle sisäistä laskutusta varten? | Jokaisella henkilöllä ja sovelluksella on oma avain ja oma kuukausibudjetti, ja ne on järjestetty tiimeihin yhden yritystilin alle. | Tiimit |
Mallien ja palveluntarjoajien hallinta
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| GV-01 | Voitteko rajata, mitä malleja kukin tiimi, avain tai sovellus saa käyttää? | Kyllä. Päätätte, mitä malleja kukin avain saa käyttää, joten jokainen sovellus ja tiimin jäsen saa juuri hyväksymänne mallit. | Hallinta |
| GV-02 | Voitteko rajata, mitkä inferenssipalveluntarjoajat (pilvet, palveluntarjoajat) saavat palvella liikennettänne, ja koskeeko rajaus myös varareittejä? | Kyllä. Valitkaa tarkalleen, mitkä inferenssipalveluntarjoajat saavat käsitellä dataanne, koko yritykselle, tiimille tai yksittäiselle avaimelle. Varareitit eivät voi koskaan kiertää luetteloanne. | HallintaTietoturva |
| GV-03 | Voivatko alemmat tasot (tiimi, avain) vain tiukentaa organisaation sääntöjä, eivät koskaan laajentaa niitä? | Kyllä. Alemmat tasot voivat vain tiukentaa yläpuolellaan asetettuja sääntöjä. | Tietoturva |
Häiriöt, saatavuus ja todentaminen
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| IN-01 | Mikä on sopimuksen mukainen määräaika henkilötietojen tietoturvaloukkauksesta ilmoittamiselle? | Ilmoitamme henkilötietojen tietoturvaloukkauksesta 72 tunnin kuluessa siitä, kun olemme saaneet sen tietoomme. | Tietojenkäsittelysopimus, kohta 7Tietoturva |
| IN-02 | Onko olemassa julkinen tilasivu häiriöhistorioineen ja käytettävyyden SLA hyvityksineen? | Tilasivumme on julkinen, ja Enterprise-pakettiin sisältyy 99,9 %:n kuukausittaisen käytettävyyden SLA palveluhyvityksineen. | TilaSLA |
| IN-03 | Miten vikasieto toimii, kun mallintarjoaja on poissa käytöstä, ja noudattaako se alue- ja palveluntarjoajarajauksianne? | Jos palveluntarjoajalla on katkos, pyyntö siirtyy automaattisesti toiselle saman mallin hyväksytylle palveluntarjoajalle poistumatta alue- ja palveluntarjoajarajauksistanne. Jos sallittua reittiä ei ole, pyyntö epäonnistuu eikä sitä koskaan lähetetä rajaustenne ulkopuolelle. | Tietoturva |
Tuki EU:n tekoälysäädöksen käyttöönottajille
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| AI-01 | Voiko palvelu auttaa teitä säilyttämään lokit, jotka suuririskisen tekoälyjärjestelmän käyttöönottajan on säilytettävä (26 artiklan 6 kohta: automaattisesti luodut lokit hallinnassanne, säilytettynä vähintään kuusi kuukautta, jollei sovellettavassa unionin tai kansallisessa oikeudessa toisin säädetä)? | Kyllä. Voitte viedä lokin jokaisesta pyynnöstä, ja siitä näkyvät malli, pyynnön palvellut palveluntarjoaja, aluerajaus ja lopputulos. Lokeja säilytetään 12 kuukautta Enterprise-paketissa ja SLA-lisäpalvelussa. | TietoturvaHallinta |
| AI-02 | Dokumentoiko toimittaja, mitä malleja se tarjoaa ja kuka ne tuottaa, ja linkittääkö se palveluntarjoajien dokumentaatioon (mallikortit, käyttöehdot)? | Jokaisessa pyyntölokissa näkyvät malli ja pyynnön palvellut palveluntarjoaja, ja tarjoamamme mallit on lueteltu mallisivullamme. | Mallit |
Sopimuksen päättyminen ja siirrettävyys
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| EX-01 | Onko API yhteensopiva yleisen rajapinnan kanssa (esimerkiksi OpenAI:n tai Anthropicin API-muodon), niin että toimittajan voi vaihtaa muuttamalla perus-URL:n? | Kyllä. Lähetätte OpenAI- tai Anthropic-yhteensopivia API-pyyntöjä yhteen päätepisteeseen, joka on dokumentoitu API-viitteessämme. | API-viiteTietoturva |
| EX-02 | Voitteko viedä asetukset (avaimet, säännöt, kehotteet, reitityssäännöt) ja lokit vakiomuodossa? | Pyyntölokit voi viedä hallintapaneelista, ja niissä näkyvät kunkin pyynnön malli, pyynnön palvellut palveluntarjoaja ja aluerajaus. | Tietoturva |
| EX-04 | Mitkä ehdot koskevat sopimuksen irtisanomista: irtisanomisaika, datan palautus, poistaminen ja mahdolliset maksut? | Sopimuksen päättyessä poistamme tai palautamme henkilötietonne 30 päivän kuluessa. | Tietojenkäsittelysopimus, kohta 10Käyttöehdot |
Sopimus ja tietojenkäsittelysopimus
| ID | Kysymys | Vastaus | Todenne |
|---|---|---|---|
| CT-01 | Onko olemassa tietojenkäsittelysopimus, ja voiko sen allekirjoittaa ilman erillisiä neuvotteluja? | Kyllä. Tietojenkäsittelysopimuksen koko teksti on julkinen, ja yrityksenne pääkäyttäjä allekirjoittaa sen hallintapaneelissa muutamassa minuutissa. Se sitoo meidät olemaan kouluttamatta malleja datallanne ja säilyttämättä sisältöänne sekä ilmoittamaan tietoturvaloukkauksista 72 tunnin kuluessa. | Tietojenkäsittelysopimus |
| CT-02 | Millä siirtoperusteilla katetaan siirrot EU:n ja ETA-alueen ulkopuolelle (vakiosopimuslausekkeet, UK IDTA, EU:n ja Yhdysvaltojen tietosuojakehys)? | EU:n vakiosopimuslausekkeet (Standard Contractual Clauses) ja Iso-Britanniasta peräisin olevan datan osalta UK International Data Transfer Addendum. Kunkin alikäsittelijän siirtoperuste on ilmoitettu alikäsittelijäsivullamme. | Tietojenkäsittelysopimus, kohta 6Alikäsittelijät |
| CT-03 | Mitä lakia sopimukseen sovelletaan, ja missä riidat ratkaistaan? | Norjan lakia. Riidat ratkaistaan käyttöehtojemme mukaan Oslon tuomioistuimissa, ja tietojenkäsittelysopimuksessa sovittu oikeuspaikka on Oslo tingrett. Sopimuskumppani on Standard Compute AS, org.nro 938 498 806, Oslo, Norja. | KäyttöehdotTietojenkäsittelysopimus, kohta 11 |
Tietoja kyselystä
Kysely on avoin ja toimittajaneutraali, MIT-lisensoitu ja laadittu minkä tahansa LLM-gatewayn tai AI-rajapintojen tarjoajan arviointiin. Yllä olevat kysymystunnisteet vastaavat englanninkielisen taulukon rivejä, joten jokaisen vastauksen voi liittää oikealle riville. Koko hankintanäkymän, jossa datakategoriat, käsittelypaikat ja tietojenkäsittelysopimuksen ehdot ovat samassa paikassa, löydätte tietoturva-arvioinnin aineistosta.
Luokaa yritystili, niin voitte allekirjoittaa tietojenkäsittelysopimuksen, yhdistää identiteettipalvelunne ja asettaa alue- ja palveluntarjoajarajaukset. Jos teillä on kysely omassa muodossanne, lähettäkää se meille, niin palautamme sen täytettynä.