Subprocessor to strona trzecia, z której processor korzysta, aby dostarczyć część uzgodnionej usługi, nadal przetwarzając dane osobowe powiązane ze środowiskiem controllera.
W praktyce mogą to być dostawcy hostingu, wsparcia, infrastruktury albo wyspecjalizowane integracje. Dlatego zespoły potrzebują aktualnego rejestru subprocessorów, procesu zgłaszania zmian i realnych dowodów vendor oversight.