用途：针对控制者委托供应商（处理者）处理个人数据的场景，提供结构化隐私影响评估方法，覆盖供应商选择、尽职调查、数据处理协议审查、风险缓解与持续监督。
主要能力：按GDPR第28条梳理处理者义务，包括仅使用能提供充分保证的处理者、子处理者授权、DPA必备条款、子处理者同等义务、行为准则或认证作为保证证明等。整理供应商选择标准：技术能力与安全措施、记录与声誉、支持数据主体权利的能力、数据位置与跨境传输、子处理者链管理、业务连续性与恢复、接受审计的意愿。
供应商风险分类：云基础设施（高）、SaaS应用（高）、分析服务商（中高）、IT支持与托管服务（中）、支付处理者（高）、子处理者（高）。
五阶段方法：一，供应商清单与分类，记录数据类别、主体类别、目的、数量、位置、子处理者与跨境传输；二，尽职调查，审查安全认证（ISO 27001、SOC 2、CSA STAR）、隐私认证与GDPR合规证据（ISO 27701、APEC CBPR）、执法历史、安全措施、泄露通知能力、子处理者管理、协助数据主体权利能力；三，DPA审查，核对第28(3)条必备条款、指令具体性、子处理者授权机制、删除或返还义务、审计权、跨境传输机制、责任与赔偿；四，风险评估与缓解，按可能性与严重性评分，考虑供应商泄露、员工未授权访问、子处理者链风险、锁定、业务中断，采取加密、假名化、访问限制、监控、合同控制并评估剩余风险；五，持续监督，按风险定审查频率（高风险每年、中风险每两年）、安全问卷、子处理者变更监控、事件与泄露跟踪、高风险供应商审计、退出策略。
适用场景：控制者评估云、SaaS、分析、IT支持、支付及子处理者等供应商处理个人数据的合规风险。
限制：资料未提供具体实施工具、模板下载、价格或收费信息；使用需结合具体法域与监管指引。