海外门店提供个性化服务时，应根据组织设立与实际处理活动判断 GDPR 是否适用，不能只用欧盟居民身份概括管辖范围。对服务和营销分别明确处理依据，同意是其中一种可能依据。 确需同意时，记录清楚的用途说明与有效选择，并落实撤回后的相关处理。资料最小化、权限与保留安排应贯穿流程，而不是为了完善画像持续增加字段。 数据泄露向监管机构报告及通知个人各有适用条件和风险门槛，不能将所有事件统一表述为必须在 72 小时内向双方通知。是否需要数据保护官，也应按法定条件判断。 跨境传输需核对接收方、数据流向及适用机制，不能简化为签 SCC 或额外同意即可。档案可记录审核与跟进，但不会自动确认合法性；实施时由责任人员逐项审核。