先按组织、服务对象和处理活动确认GDPR适用范围，不能把所有海外CRM一概纳入。同意是合法处理依据之一，合同履行、法定义务等是否适用需结合具体情形判断；不能把每次录入都等同必须取得同意。 对每类客户数据说明目的、来源、保留期限和访问范围。以同意为依据时，应保留有效记录并处理撤回；营销还需核对渠道相关规则。自动填充声明不等于真实授权。 访问、更正和删除请求应有核实、评估、执行和答复流程。删除权存在适用条件和例外，撤回同意也不一定要求删除所有基于其他合法依据保留的数据。系统功能不能代替法律判断。 跨境提供需确认适用机制及必要保障，不能仅凭加密、审批或签署文件认定合规。企雀档案可整理业务资料，跨境审批、审计和删除范围需另行验收。持续复查配置、人员与供应商变化。