API LLM z umową powierzenia i dalszymi podmiotami przetwarzającymi: co jest publiczne bez rozmowy z handlowcem
Ostatnia aktualizacja:
Zanim kupicie API LLM, Wasz inspektor ochrony danych zechce zobaczyć trzy dokumenty: umowę powierzenia przetwarzania danych (DPA, art. 28 RODO), listę dalszych podmiotów przetwarzających i miejsca, w których przetwarzane są Wasze dane. Standard Compute publikuje wszystkie trzy. Pełna umowa jest pod adresem /dpa, a każdy dalszy podmiot przetwarzający wraz z celem, danymi i lokalizacją pod adresem /sub-processors.
Umowę powierzenia podpiszecie w panelu w kilka minut. Zobowiązujemy się w niej, że nie będziemy trenować modeli na Waszych danych, nie będziemy przechowywać Waszych treści i zgłosimy naruszenie ochrony danych w ciągu 72 godzin.
Załóż konto firmowelub napisz na contact@standardcompute.com
EnglishDeutschFrançaisNederlandsEspañolItalianoSvenskaNorskDanskSuomi
Krótkie odpowiedzi
- Gdzie znajdziemy umowę powierzenia Standard Compute?
- Pełny tekst jest publiczny pod adresem standardcompute.com/dpa. Umowa ma zastosowanie na gruncie RODO, brytyjskiego UK GDPR i norweskiej ustawy o danych osobowych, a jej prawem właściwym jest prawo norweskie.
- Jak ją podpisać?
- Administrator Waszej firmy podpisuje ją elektronicznie w panelu, w sekcji Compliance, w pakiecie Enterprise lub z dodatkiem „Signed DPA”. Rozmowa z handlowcem nie jest potrzebna.
- Gdzie jest lista dalszych podmiotów przetwarzających?
- Pod adresem standardcompute.com/sub-processors. Publikujemy każdy dalszy podmiot przetwarzający wraz z celem, danymi i lokalizacją i informujemy Was 14 dni przed dodaniem nowego.
- Gdzie przetwarzane są nasze dane?
- Nasza bramka UE kończy połączenie TLS i działa w Finlandii, a dane Waszego konta są przechowywane we Frankfurcie. Przy włączonym ograniczeniu do Europy każde żądanie, łącznie z ponowieniami i trasami zapasowymi, obsługują wyłącznie zatwierdzone europejskie punkty końcowe inferencji.
Co Wasz dział zakupów może sprawdzić już dziś
| Dokument | W Standard Compute |
|---|---|
| Umowa powierzenia | W Standard Compute: Publiczna pod adresem /dpa: bez trenowania na treściach klienta, bez przechowywania treści, zgłoszenie naruszenia w ciągu 72 godzin, usunięcie danych w ciągu 30 dni od zakończenia umowy |
| Podpisanie | W Standard Compute: Elektronicznie w panelu przez administratora firmy, w pakiecie Enterprise lub z dodatkiem „Signed DPA” |
| Dalsze podmioty przetwarzające | W Standard Compute: Publiczne pod adresem /sub-processors, każdy z celem, danymi, lokalizacją i podstawą przekazania, a do tego dostawcy inferencji zatwierdzeni dla Europy |
| Zmiany na liście | W Standard Compute: Co najmniej 14 dni pisemnego wyprzedzenia i prawo sprzeciwu. Nowy dostawca inferencji nigdy nie trafia na Waszą listę dozwolonych bez zgody administratora |
| Miejsca przetwarzania | W Standard Compute: Bramka UE w Finlandii, dane konta we Frankfurcie. Inferencja odbywa się tam, gdzie wskazuje Wasze ograniczenie regionalne, ustawione na poziomie firmy, zespołu lub klucza |
| Przekazywanie do państw trzecich | W Standard Compute: Standardowe klauzule umowne UE, a dla danych z Wielkiej Brytanii UK International Data Transfer Addendum |
Postanowienia, o które pytają audytorzy
| Punkt | Co stanowi |
|---|---|
| 3.1 | Co stanowi: Nie wykorzystujemy treści klienta do trenowania, dostrajania ani ulepszania żadnego modelu AI |
| 3.2 | Co stanowi: Treści klienta są przetwarzane wyłącznie w pamięci operacyjnej w celu obsługi żądania i nigdy nie są zapisywane w pamięci trwałej ani w logach |
| 5.2 | Co stanowi: Co najmniej 14 dni pisemnego wyprzedzenia przed dodaniem nowego dalszego podmiotu przetwarzającego, z prawem sprzeciwu |
| 5.3 | Co stanowi: Gdy stosowana jest lista dozwolonych dostawców, treści klienta nie trafiają do żadnego dostawcy inferencji spoza tej listy |
| 6.2 | Co stanowi: Przekazywanie do państw bez decyzji stwierdzającej odpowiedni stopień ochrony odbywa się na podstawie standardowych klauzul umownych i brytyjskiego aneksu |
| 7.1 | Co stanowi: Zgłoszenie naruszenia ochrony danych bez zbędnej zwłoki, nie później niż w ciągu 72 godzin |
| 9.2 | Co stanowi: Jeden audyt, przeprowadzony przez Was lub niezależnego audytora, w każdym okresie 12 miesięcy |
| 10.1 | Co stanowi: Usunięcie lub zwrot wszystkich pozostałych danych osobowych w ciągu 30 dni od zakończenia umowy |
| 11.4 | Co stanowi: Prawo norweskie; sądem właściwym jest sąd rejonowy w Oslo (Oslo tingrett) |
Numery punktów według publicznej umowy pod adresem /dpa. Wiążąca jest wersja angielska.
Gdzie inne API LLM publikują te dokumenty
| Dostawca | Umowa powierzenia | Dalsze podmioty przetwarzające | Lokalizacja danych |
|---|---|---|---|
| Standard Compute | Umowa powierzenia: Publiczna; podpisanie w panelu | Dalsze podmioty przetwarzające: Publiczne, z celem, lokalizacją i podstawą przekazania; 14 dni wyprzedzenia | Lokalizacja danych: Ograniczenie do Europy dla firmy, zespołu lub klucza; bramka UE w Finlandii, dane konta we Frankfurcie |
| Anthropic | Umowa powierzenia: Publiczna, część Commercial Terms | Dalsze podmioty przetwarzające: Publiczna lista, podlinkowana w umowie | Lokalizacja danych: Inferencja „us” lub „global”; przechowywane dane na razie tylko w USA |
| OpenRouter | Umowa powierzenia: Publiczna, przez warunki korzystania; podpisany egzemplarz na żądanie w planie Business | Dalsze podmioty przetwarzające: W centrum zaufania (trust center), podlinkowane w umowie; 30 dni wyprzedzenia dla subskrybentów, z wyjątkiem dostawców modeli | Lokalizacja danych: Routing w UE i USA w planach Business i Enterprise |
| Requesty | Umowa powierzenia: Na żądanie e-mailem | Dalsze podmioty przetwarzające: Publiczne, z lokalizacjami | Lokalizacja danych: Lokalizacja danych w UE w każdym planie |
| OpenAI | Umowa powierzenia: Nie sprawdzono | Dalsze podmioty przetwarzające: Publiczna lista, podlinkowana w dokumentacji danych | Lokalizacja danych: Przetwarzanie regionalne w USA, Europie i Zjednoczonych Emiratach Arabskich w ramach projektów regionalnych |
Dane odczytane ze stron poszczególnych dostawców 9 listopada 2026 r. Standard Compute to nasz produkt.
Pytania od IT, bezpieczeństwa i zakupów
- Nasz inspektor ochrony danych chce zobaczyć umowę powierzenia, dalsze podmioty przetwarzające i lokalizację danych, zanim kupimy API LLM dla naszych agentów programistycznych. Którzy dostawcy publikują to bez rozmowy z handlowcem?
- Standard Compute publikuje wszystkie trzy: umowę pod adresem standardcompute.com/dpa, dalsze podmioty przetwarzające z lokalizacjami i podstawami przekazania pod adresem standardcompute.com/sub-processors, a miejsca przetwarzania w załączniku 1 do umowy. Administrator podpisuje umowę w panelu. Anthropic również publikuje swoją umowę i dalsze podmioty przetwarzające, a OpenRouter w planie Business udostępnia podpisany egzemplarz na żądanie.
- Czy możemy zdecydować, którzy dostawcy inferencji widzą nasze prompty?
- Tak. Wybierzcie dokładnie, na poziomie całej firmy, zespołu lub pojedynczego klucza, którzy dostawcy inferencji mogą przetwarzać Wasze dane. Niższe poziomy mogą reguły jedynie zaostrzać, nowi dostawcy nigdy nie są dodawani bez zgody administratora, a trasy zapasowe nigdy nie omijają Waszej listy.
- Czy trenujecie modele na naszych promptach albo je przechowujecie?
- Nie. Standard Compute nigdy nie trenuje modeli na Waszych promptach ani odpowiedziach. Przetwarzamy Wasze prompty w pamięci operacyjnej, aby obsłużyć każde żądanie, i nigdy nie zapisujemy ich w pamięci trwałej ani w logach. Przy włączonym ograniczeniu regionalnym lub zerowej retencji danych (ZDR) każde żądanie trafia wyłącznie do dostawców, którzy zobowiązują się nie trenować na nim modeli.
- Czy „Europa” oznacza tylko UE?
- Zatwierdzone europejskie punkty końcowe znajdują się w UE lub EOG, w Wielkiej Brytanii albo w Szwajcarii. Nasza bramka UE działa w Finlandii, a dane Waszego konta są przechowywane we Frankfurcie.
- Kto jest stroną umowy?
- Standard Compute AS, norweska spółka z siedzibą w Oslo. Umowa powierzenia podlega prawu norweskiemu, a sądem właściwym jest sąd rejonowy w Oslo (Oslo tingrett).
Powiązane strony
- Ocena bezpieczeństwa: materiały do oceny dostawcy
- Wypełniony kwestionariusz bezpieczeństwa (z plikiem CSV)
- API LLM, które nie trenują modeli na Waszych danych
- Suwerenna AI dla firm
- Dalsze podmioty przetwarzające
- Umowa powierzenia (po angielsku)
- Bezpłatne wymagania do przetargu na bramkę LLM
- Zerowa retencja danych na poziomie całej firmy
- Słownik: Zerowa retencja danych (zero data retention, ZDR)
- Słownik: Gwarancja braku trenowania
- Słownik: Rezydencja danych
Źródła
- Anthropic: Data Processing Addendum, sprawdzono 9 listopada 2026
- Anthropic: Data residency (Claude API docs), sprawdzono 9 listopada 2026
- OpenRouter: Pricing, sprawdzono 9 listopada 2026
- OpenRouter: Data Processing Agreement, sprawdzono 9 listopada 2026
- Requesty: Pricing, sprawdzono 9 listopada 2026
- Requesty: DPA, sprawdzono 9 listopada 2026
- Requesty: Sub-processor disclosure, sprawdzono 9 listopada 2026
- OpenAI: Data controls in the OpenAI platform, sprawdzono 9 listopada 2026
Załóżcie konto firmowe, podpiszcie umowę powierzenia w panelu i ustawcie ograniczenia regionalne oraz reguły dotyczące dostawców, których wymaga Wasz inspektor ochrony danych.