用途：在修改权限或转换前，先梳理完整数据路径。Foundry 的自主角色、强制控制、Ontology 行/属性策略与下游导出各自保护不同边界，需分别审查。
主要能力：绘制从摄取、转换、Ontology、应用、日志到导出的数据流与权限图；对资源分类并定义最小项目角色、组、强制控制与应用限制；为读取需求配置 Ontology 对象/属性策略，并在需要下游传播时配合强制控制；定义保留、删除、导出与审计证据流程；在生产前测试授权、未授权、下游派生、日志查看与导出场景。
使用方式：先确认数据所有者、用途、分类、源数据集、派生资源、Ontology 对象与属性、日志、导出与保留义务，记录各阶段的项目、组织、标记、CBAC 策略、组与角色。阅读 references/official-docs.md，涉及受监管数据时引入信息安全或隐私负责人。除非有受保护的测试环境，否则使用合成数据做策略测试。工具使用上，用 Glob 定位候选仓库与配置，用 Grep 查找标识符与权限，用 Read 查看最小必要文件，Write 仅用于新建获批的本地草稿或证据，Edit 仅用于回滚已知的有限变更；不得用文件工具替代已认证的 Foundry 操作或所有者批准。
适用场景：客户联系字段保护、删除请求工作流设计、日志与导出敏感数据管控、下游派生数据传播验证等。
限制：数据所有者批准用途与访问，安全所有者批准标记或 CBAC，隐私所有者批准保留与删除，平台所有者批准导出；未经批准不得取消标记、扩大角色或导出受保护数据。若用户有角色仍无访问，应检查组织、标记、CBAC、资源依赖与应用限制，而非扩大角色。属性策略保护读取但不保护导出时，需增加强制控制或重新设计导出边界。日志暴露敏感值时，停止导出或查看，应用所需标记与受众控制并审查保留。无法证明下游删除时，阻止关闭并追踪每个派生数据集、Ontology 资源、导出、缓存与审计例外。交付物不得包含凭据、PII 样本或受保护载荷。执行任何实时操作前应重新核对带日期的合同，未解决或变更的供应商行为视为停止条件。