A dependência é transitiva de um modo que a propriedade não é
A propriedade é uma relação de comando. A dependência é uma relação de exposição, e a exposição viaja. Um cliente três camadas acima de um subprocessador integrado herda todo o risco dele sem ter relação com ele, sem contrato com ele e, com frequência, sem saber que ele existe. O risco se propaga para baixo automaticamente, e as partes que o carregam costumam ser as últimas a vê-lo.
É por isso que um controle decisivo pode ser alcançado pelo grafo de dependências em vez de pelo capital. Ninguém precisa possuir os sistemas dos quais você depende se puder se instalar dentro deles como subprocessador. A propriedade é resolvida primeiro porque é ela que torna o resto calculável, não porque seja o único caminho até o controle.
A medida que importa aqui é concentração diante de substituibilidade. Um único nó opaco que toma uma decisão essencial para todos abaixo dele é um ponto de estrangulamento mesmo quando a sua propriedade está inteiramente limpa. Propriedade limpa não é garantia, é um retrato instantâneo. Mapear essa exposição se apoia em uma base de evidências diferente dos registros empresariais: divulgações de integrações e parceiros, contratos de tratamento de dados e listas de subprocessadores, relatórios SOC 2, listas de materiais de software, notificações de violação e registros de compras. Um subprocessador que deveria constar em uma divulgação obrigatória e não consta é, em si mesmo, a constatação.