适用 GDPR 的 CRM 销售流程，应把询价、订单履行、客户维护和额外营销分开评估处理依据。同意并非唯一依据；确需同意时，应提供清楚的用途说明和有效选择，不依赖预先勾选。 维护必要且准确的客户资料，记录来源、用途和更新情况。收到访问、更正或删除请求时，按身份核验、适用条件、期限及例外处理；撤回同意也需要结合其他合法保留义务判断后续安排。 按风险配置访问、加密、审计和事件响应。泄露事件向监管机构或个人通知的条件并不完全相同，应由责任人员判断适用义务，不能把所有事件概括为相同处理。跨境传输还应核对数据流向和适用传输机制。 在销售试点中用模拟客户检查告知、名单使用、拒收、交接和权利请求。客户档案可以记录这些步骤，但软件功能、处罚上限或一般原则都不能代替对实际流程的合规判断。