Auditeur de Chaîne de Sous-Traitants
Cartographie où les données personnelles aboutissent réellement
- 8règles strictes
- Ce qu'il ne doit jamais faire, appliqué à chaque exécution
- 5règles de transfert
- Les cas où il s'arrête et confie le travail à une personne
- 12champs de sortie
- Un résultat structuré, pas un paragraphe à relire
- ≤8étapes par exécution
- Travail borné : au plus 6 appels d'outils, imposé par le moteur d'exécution
Lecture seule par conception. Cet agent n'a aucun moyen d'envoyer, de dépenser, de publier ou de valider quoi que ce soit. Là où cette limite est le produit, la retirer supprimerait la raison de faire confiance au résultat.
Aperçu
Les obligations de protection des données suivent les données personnelles où qu'elles aillent, y compris jusqu'à chaque sous-traitant ultérieur que vos propres sous-traitants engagent. Presque personne ne peut produire cette cartographie. On sait lister ses fournisseurs — c'est un registre achats — mais la couche en dessous est un ensemble de pages web que chaque fournisseur maintient séparément et peut modifier sans demander.
Les trous sont toujours les mêmes. Un sous-traitant utilisé sans aucun accord de traitement, généralement parce qu'une équipe a adopté l'outil au lieu de l'acheter. Un accord antérieur au périmètre actuel, couvrant un service qui s'est depuis élargi. Des données personnelles qui atteignent un pays que l'accord n'a jamais envisagé. La liste de sous-traitants d'un fournisseur modifiée sans que personne ne regarde, parce que le contrat exigeait seulement qu'il publie le changement plutôt qu'il ne prévienne quelqu'un.
Et le registre des traitements lui-même — celui que la plupart des régimes vous imposent de tenir — a été écrit une fois pendant un projet de conformité et décrit depuis une entreprise fictive.
Cet agent construit la chaîne à partir de vos propres registres, compare le registre à ce qui est réellement en usage, et nomme chaque trou. Il ne donne aucun conseil juridique et ne porte aucune appréciation de conformité : il rapporte ce que disent les documents et ce qui manque, et savoir si cela constitue un manquement est le jugement d'un juriste sur un régime précis.
Bénéfices
Vous pouvez répondre à la question
« Où vont les données de nos clients ? » — posée par tout acheteur grand compte.
Des trous trouvés avant un audit
Ou avant que la diligence d'un client ne les trouve pour vous.
Un registre qui dit vrai
Ce qui est tout l'intérêt d'en avoir un.
Ce qu'il fait
Il cartographie la couche sous vos fournisseurs
Les sous-traitants de vos sous-traitants. Un ensemble de pages web qu'ils peuvent modifier sans vous le dire.
Il trouve les traitements sans accord
Généralement un outil qu'une équipe a adopté au lieu de l'acheter. Le trou le plus fréquent et le plus facile à prouver.
Il repère le périmètre qui a dépassé l'accord
L'accord est réel et signé, et décrit un service qui s'est depuis élargi au-delà.
Il signale les localisations inattendues
Des données personnelles atteignant un pays que l'accord n'a jamais envisagé, via un sous-traitant que vous n'avez jamais choisi.
Il confronte le registre à la réalité
La plupart des registres de traitements ont été écrits une fois et décrivent depuis une entreprise fictive.
Il ne donne aucun conseil juridique
Il rapporte les trous. Savoir si l'un d'eux est un manquement est un jugement sur un régime précis, pour un juriste.
Ce que cela change
Ce que cela change à votre semaine
- Ce qu'il reprend
- Cartographier où finissent réellement les données personnelles, au-delà de vos propres fournisseurs.
- Fait aujourd'hui par
- Écrit une fois pendant un projet de conformité et jamais revu.
- À quelle fréquence
- Annuel sur le papier.
- Effort manuel habituel
- Chaque accord lu face à la propre liste de sous-traitants de chaque fournisseur.
Pourquoi Juridique en particulier. Vous connaissez vos fournisseurs ; la couche en dessous, ce sont des pages web que chaque fournisseur peut modifier sans vous le dire. Et le registre que la plupart des régimes imposent décrit une entreprise fictive depuis le jour où il a été écrit.
Fonctionne sans surveillance
Lancé par vous ou par un événement, il termine seul. Rien n'attend que quelqu'un soit à son bureau.
La même exigence à chaque fois
Le deux centième élément est tenu au niveau du premier. La régularité est la part que les humains ne tiennent pas.
Il ne peut pas agir de lui-même
Auditeur de Chaîne de Sous-Traitants n'a aucun moyen d'envoyer, de dépenser ou d'engager quoi que ce soit. C'est précisément cette limite qui rend son résultat sûr à exploiter.
Comment il fonctionne
Cet agent s'exécute côté serveur via l'environnement d'exécution PROMIVO. Chaque exécution est journalisée étape par étape et chaque appel d'outil est soumis à une vérification des autorisations avant d'être exécuté.
- 1EntréeValidée par rapport au schéma d'entrée de l'agent
- 2Modèleclaude-opus-5 avec repli automatique
- 3Outilssearch_knowledge, extract_structured_data
- 4PermissionsExécute automatiquement les actions READ ; tout ce qui est au-dessus attend une validation
- 5SortieRésultat structuré conforme au schéma de sortie
- 6JournalisationJetons, durée et chaque étape sont enregistrés
Démo
Données de démonstrationIllustrative sample output, abridged.
Entrée
{
"asAtDate": "2026-09-02",
"processors": [],
"reviewWindowMonths": 12
}Sortie
{
"chain": [
{
"vendor": "Support ticketing platform",
"usedFor": "Customer support correspondence",
"agreement": "scope-outgrown",
"locations": [
"US",
"IN",
"EU"
],
"subprocessors": [
"A cloud host (US)",
"An email delivery provider (US)",
"A translation provider (IN)"
],
"dataCategories": [
"Name",
"Email",
"Free-text customer messages"
],
"listCapturedOn": "2025-04-11"
}
],
"escalate": true,
"disclaimer": "A map built from the records supplied. Not legal advice, no compliance determination, no assessment of whether any transfer mechanism is valid, and no vendor has been contacted. The chain is reported to the depth your records allow and continues beyond it.",
"staleLists": [
"Two subprocessor lists were captured over 16 months ago and describe a chain that has almost certainly changed."
],
"noAgreement": [
"A transcription tool has been processing recorded customer calls for 14 months with no agreement on record. Adopted by a team, never procured."
],
"depthReached": "Two layers: your processors and their published subprocessors. Below that the chain continues and is not visible from any record you hold.",
"scopeOutgrown": [
"The ticketing agreement was signed for support correspondence only. The platform is now also used for onboarding forms, which collect data the agreement does not mention."
],
"escalationReason": "Recorded customer calls are processed by a vendor with no agreement on record, and personal data reaches a location the ticketing agreement does not contemplate.",
"registerMismatches": {
"happeningNotInRegister": [
"Call transcription. Not mentioned anywhere in the register."
],
"inRegisterNotHappening": [
"A marketing automation activity that was discontinued in 2024 is still listed."
]
},
"questionsForVendors": [
"Confirm the current subprocessor list as at today's date, and confirm the notification mechanism for changes.",
"Confirm whether the translation provider processes ticket content, and under which transfer mechanism."
],
"unexpectedLocations": [
"A translation subprocessor in India appears in the ticketing chain. The agreement contemplates the US and EU only."
],
"canChangeWithoutNotice": [
"Three vendors may add subprocessors by publishing the change rather than notifying you. That is a standing gap, not a one-off finding."
]
}Prérequis
Intégrations
Aucune intégration requise.
Avant de commencer
- Vos sous-traitants et l'usage fait de chacun
- Les accords de traitement des données, dans une base de connaissances
- Les listes de sous-traitants ultérieurs des fournisseurs, avec la date de capture
- Votre registre des activités de traitement
- Nécessite le forfait Accès complet ou supérieur
Cas d'usage
Revue annuelle du registre
Ce qui traite réellement des données, face à ce que dit le registre.
Diligence d'un grand compte
La chaîne, prête avant qu'un acheteur ne la demande.
Avant d'adopter un fournisseur
Ce que sa propre chaîne ajoute à la vôtre.
Après un incident chez un fournisseur
Quelles de vos données étaient à portée, par quel maillon.
Tarifs
Accès complet
Facturé mensuellement via votre abonnement PROMIVO. Résiliable à tout moment.
Les exécutions consomment le quota de votre offre pour les exécutions d’agents et les tokens. Voir les limites de l’offre
FAQ
Est-ce un conseil juridique ?
Non, et il n'en donne aucun. Il rapporte ce que disent vos documents et ce qui manque. Savoir si un trou constitue un manquement à un régime précis est une question pour votre propre conseil.
Surveille-t-il les sites des fournisseurs pour détecter les changements ?
Il travaille à partir de ce que vous fournissez. Les pages de sous-traitants changent sans préavis : il indique donc la date de la liste que vous lui avez donnée et signale tout ce qui est plus ancien que la fenêtre de revue que vous fixez.
Contacte-t-il les fournisseurs ?
Non. Il produit les questions à envoyer ; l'envoi vous appartient.
Avis
Les avis s'ouvrent une fois que des clients ont exécuté cet agent.
Vous voulez que cet agent fonctionne autrement ?
Dites-nous ce qui doit changer et notre équipe cadrera une version sur mesure pour votre entreprise.
Personnaliser cet agent