CRM 项目涉及欧洲业务时，先核对组织设立地点、面向的服务对象和实际处理活动，判断 GDPR 的适用范围，不能只按客户国籍判断。为每项数据用途确认处理依据；同意是可能的依据之一，不能把所有业务处理都归为必须取得同意。 建立字段、用途、访问角色、保存期限和供应商清单。对特殊类别数据另行核对适用条件，并按风险选择权限、加密、备份与审计措施。GDPR 并未对所有 CRM 数据一概要求端到端加密；技术方案应说明所防范的风险及其限制。 收到访问、更正或删除请求后，应核验身份、适用条件和响应期限，并检查依法保留等例外。备份数据的隔离、到期清理和恢复后处理也应有可执行规则，不能承诺任何请求都立即删除所有记录。数据保护影响评估和数据保护官的设置应按适用条件判断。 上线验收应使用模拟请求，检查受理、定位数据、审批、处理和回复是否留痕。客户档案可记录这些流程，但业务系统的存在不等于已经合规。