Kişisel veri işleme faaliyetlerinin önemli bir bölümü bugün kurum dışındaki hizmet sağlayıcılar eliyle yürütülmektedir; bordro, çağrı merkezi, kargo, bulut depolama ve pazarlama otomasyonu bunların başında gelir. Kişisel Verileri Koruma Kurulu kararları, dış kaynak kullanımının veri sorumlusunun sorumluluğunu ortadan kaldırmadığını; aksine tedarikçi seçimi, sözleşmeyle güvence altına alma ve denetim yükümlülüğü doğurduğunu istikrarlı biçimde ortaya koymaktadır. Program bu nedenle sözleşme metnini tek başına değil, tedarikçi yaşam döngüsünün bir parçası olarak ele alır. Altı saatlik program üç modülden oluşur. İlk iki modülde rol tayini ve sözleşme hükümleri gerçek metin örnekleri üzerinden incelenir; üçüncü modül tamamen atölye biçiminde yürütülür ve katılımcılar kendi kurumlarının bir tedarikçi sözleşmesini masaya yatırır. Kusurlu hükümler işaretlenir, eksik güvenceler için revizyon önerisi yazılır ve tedarikçiye gönderilecek değerlendirme sorularının kısa listesi oluşturulur. Katılımcı program sonunda kurumu için kullanılabilir bir veri koruma eki taslağı ve tedarikçi değerlendirme kontrol listesi ile ayrılır.