客户服务处理咨询、订单或投诉时，应根据具体目的判断数据处理依据。适用 GDPR 的业务不必为每次查询都重新索取同意；履行合同等依据能否适用，需要结合处理的必要性判断。额外营销或新的用途应另行评估。 服务人员只应看到处理问题所需的资料。健康等特殊类别数据还需核对额外处理条件，支付资料也应控制访问与保留范围。加密和其他措施应与风险相称，不能把端到端加密当作所有客服场景统一的法定配置。 对个人权利请求，应建立身份核验、定位资料、评估条件、处理和回复流程。响应期限与请求处理结果是不同问题：删除权存在适用条件和例外，不能承诺所有请求都无条件删除，也不能忽略依法保留的记录。 使用外包客服或云服务时，先明确各方是控制者还是处理者，再核对所需协议和责任。通过模拟工单检查权限、转交和留痕，才能了解实际运行情况；一套 CRM 不能自动替代这些判断。