Auditor de Cadena de Subencargados
Mapea dónde acaban realmente los datos personales
- 8reglas estrictas
- Cosas que nunca debe hacer, aplicadas en cada ejecución
- 5reglas de traspaso
- Condiciones en las que se detiene y entrega el trabajo a una persona
- 12campos de salida
- Un resultado estructurado, no un párrafo que tengas que releer
- ≤8pasos por ejecución
- Trabajo acotado: como máximo 6 llamadas a herramientas, impuesto por el entorno de ejecución
Solo lectura por diseño. Este agente no tiene ninguna vía para enviar, gastar, publicar ni confirmar nada. Cuando ese límite es el producto, quitarlo eliminaría la razón para confiar en el resultado.
Resumen
Las obligaciones de protección de datos siguen a los datos personales allá donde vayan, incluidos todos los subencargados que contraten tus propios encargados. Casi nadie puede producir ese mapa. Sí pueden listar a sus proveedores —eso es un registro de compras— pero la capa de debajo son unas páginas web que cada proveedor mantiene por su cuenta y puede cambiar sin preguntar.
Los huecos son constantes. Un encargado usado sin ningún contrato de tratamiento, normalmente porque un equipo adoptó la herramienta en vez de contratarla. Un contrato anterior al alcance actual, que cubre un servicio que desde entonces se ha ampliado. Datos personales llegando a un país que el contrato nunca contempló. La lista de subencargados de un proveedor cambiada sin que nadie mirara, porque el contrato solo le exigía publicar el cambio y no notificarlo.
Y el propio registro de actividades de tratamiento —el que la mayoría de los regímenes te obligan a mantener— se escribió una vez durante un proyecto de cumplimiento y desde entonces describe una empresa ficticia.
Este agente construye la cadena con tus propios registros, compara el registro con lo que de verdad se usa, y nombra cada hueco. No da asesoramiento jurídico y no hace ninguna determinación de cumplimiento: informa de lo que dicen los documentos y de lo que falta, y si eso equivale a un incumplimiento es un juicio de abogado sobre un régimen concreto.
Beneficios
Puedes responder a la pregunta
«¿Adónde van los datos de nuestros clientes?», que hace todo comprador corporativo.
Huecos encontrados antes de una auditoría
O antes de que te los encuentre la diligencia debida de un cliente.
Un registro que es cierto
Que es el sentido de tener uno.
Qué hace
Mapea la capa por debajo de tus proveedores
Los encargados de tus encargados. Unas páginas web que pueden cambiar sin decírtelo.
Encuentra tratamientos sin contrato
Normalmente una herramienta que un equipo adoptó en vez de contratar. El hueco más común y el más fácil de demostrar.
Detecta el alcance que superó al contrato
El contrato es real y está firmado, y describe un servicio que desde entonces se ha ampliado más allá.
Señala ubicaciones inesperadas
Datos personales llegando a un país que el contrato nunca contempló, vía un subencargado que tú no elegiste.
Contrasta el registro con la realidad
La mayoría de los registros de tratamiento se escribieron una vez y desde entonces describen una empresa ficticia.
No da asesoramiento jurídico
Informa de los huecos. Si uno es un incumplimiento es un juicio sobre un régimen concreto, para un abogado.
Qué cambia
Qué cambia en tu semana
- Se encarga de
- Mapear dónde acaban de verdad los datos personales, más allá de vuestros propios proveedores.
- Hoy lo hace
- Se escribió una vez en un proyecto de cumplimiento y no se volvió a revisar.
- Con qué frecuencia
- Anual sobre el papel.
- Esfuerzo manual habitual
- Cada contrato leído contra la lista de subencargados de cada proveedor.
Por qué Legal en concreto. Conoces a tus proveedores; la capa de debajo son páginas web que cada proveedor puede cambiar sin decírtelo. Y el registro que la mayoría de los regímenes exigen describe una empresa ficticia desde el día en que se escribió.
Funciona sin supervisión
Lo inicias tú o lo inicia un evento, y termina solo. Nada espera a que alguien esté en su mesa.
El mismo criterio siempre
El elemento doscientos se mide con el listón del primero. La constancia es la parte que las personas no pueden sostener.
No puede actuar por su cuenta
Auditor de Cadena de Subencargados no tiene ninguna vía para enviar, gastar ni comprometer nada. Ese límite es justo lo que hace seguro actuar sobre su resultado.
Cómo funciona
Este agente se ejecuta en el servidor a través del entorno de ejecución de PROMIVO. Cada ejecución se registra paso a paso y cada llamada a una herramienta se comprueba contra los permisos antes de ejecutarse.
- 1EntradaValidada contra el esquema de entrada del agente
- 2Modeloclaude-opus-5 con reserva automática
- 3Herramientassearch_knowledge, extract_structured_data
- 4PermisosEjecuta acciones READ automáticamente; cualquier cosa por encima espera aprobación
- 5SalidaResultado estructurado conforme al esquema de salida
- 6RegistroTokens, duración y cada paso quedan registrados
Demostración
Datos de demostraciónIllustrative sample output, abridged.
Entrada
{
"asAtDate": "2026-09-02",
"processors": [],
"reviewWindowMonths": 12
}Salida
{
"chain": [
{
"vendor": "Support ticketing platform",
"usedFor": "Customer support correspondence",
"agreement": "scope-outgrown",
"locations": [
"US",
"IN",
"EU"
],
"subprocessors": [
"A cloud host (US)",
"An email delivery provider (US)",
"A translation provider (IN)"
],
"dataCategories": [
"Name",
"Email",
"Free-text customer messages"
],
"listCapturedOn": "2025-04-11"
}
],
"escalate": true,
"disclaimer": "A map built from the records supplied. Not legal advice, no compliance determination, no assessment of whether any transfer mechanism is valid, and no vendor has been contacted. The chain is reported to the depth your records allow and continues beyond it.",
"staleLists": [
"Two subprocessor lists were captured over 16 months ago and describe a chain that has almost certainly changed."
],
"noAgreement": [
"A transcription tool has been processing recorded customer calls for 14 months with no agreement on record. Adopted by a team, never procured."
],
"depthReached": "Two layers: your processors and their published subprocessors. Below that the chain continues and is not visible from any record you hold.",
"scopeOutgrown": [
"The ticketing agreement was signed for support correspondence only. The platform is now also used for onboarding forms, which collect data the agreement does not mention."
],
"escalationReason": "Recorded customer calls are processed by a vendor with no agreement on record, and personal data reaches a location the ticketing agreement does not contemplate.",
"registerMismatches": {
"happeningNotInRegister": [
"Call transcription. Not mentioned anywhere in the register."
],
"inRegisterNotHappening": [
"A marketing automation activity that was discontinued in 2024 is still listed."
]
},
"questionsForVendors": [
"Confirm the current subprocessor list as at today's date, and confirm the notification mechanism for changes.",
"Confirm whether the translation provider processes ticket content, and under which transfer mechanism."
],
"unexpectedLocations": [
"A translation subprocessor in India appears in the ticketing chain. The agreement contemplates the US and EU only."
],
"canChangeWithoutNotice": [
"Three vendors may add subprocessors by publishing the change rather than notifying you. That is a standing gap, not a one-off finding."
]
}Requisitos
Integraciones
No requiere integraciones.
Antes de empezar
- Vuestros encargados y para qué se usa cada uno
- Contratos de tratamiento de datos, en una base de conocimiento
- Listas de subencargados de cada proveedor, con la fecha en que las capturasteis
- Vuestro registro de actividades de tratamiento
- Requiere el plan Acceso total o superior
Casos de uso
Revisión anual del registro
Qué está tratando datos de verdad, frente a lo que dice el registro.
Diligencia debida corporativa
La cadena, lista antes de que un comprador la pida.
Antes de adoptar un proveedor
Qué añade su propia cadena a la tuya.
Tras un incidente en un proveedor
Qué datos vuestros estaban a su alcance, y por qué eslabón.
Precios
Acceso total
Se factura mensualmente con tu suscripción a PROMIVO. Cancela cuando quieras.
Las ejecuciones consumen la asignación de tu plan para ejecuciones de agentes y tokens. Consulta los límites del plan
Preguntas frecuentes
¿Esto es asesoramiento jurídico?
No, y no da ninguno. Informa de lo que dicen vuestros documentos y de lo que falta. Si un hueco incumple un régimen concreto es una cuestión para vuestra propia asesoría.
¿Comprueba las webs de los proveedores por si cambian?
Trabaja con lo que le aportes. Las páginas de subencargados cambian sin aviso, así que informa de la fecha de la lista que le diste y señala cualquiera más antigua que la ventana de revisión que fijes.
¿Contacta con los proveedores?
No. Produce las preguntas que enviar; enviarlas es cosa tuya.
Reseñas
Las reseñas se abren cuando los clientes hayan ejecutado este agente.
¿Necesitas que este agente funcione de otra forma?
Cuéntanos qué cambiar y nuestro equipo definirá el alcance de una versión a medida para tu negocio.
Personalizar este agente