GDPR 个人数据保护

先判断适用与数据角色

公司位于欧盟外不必然排除 GDPR 适用，需要按实际业务、人员和处理场景核对。联系人姓名、邮箱及订单信息可能属于个人数据；法人公司公开信息与个人联系人数据也应区分。企业是控制者还是处理者，要根据谁决定处理目的和方式等实际角色分析。

六种合法基础

GDPR 的常见合法基础包括同意、履行合同、法律义务、重大利益、公共利益和合法利益，各自有适用条件。同意不是所有处理唯一依据；合法利益也不是可随意抓取或群发的万能授权。透明告知、最小必要、安全、保存和权利响应等要求，不能因为有一个基础就省略。

询盘管理场景

例如客户主动发来询盘，企业记录联系方式用于跟进报价，与日后批量营销或转交第三方可能具有不同目的。应核对各用途的必要性、合法基础和告知，建立合理保存和访问权限。把客户数据上传 AI 或邮件服务前，还需评估服务角色和跨境处理等适用要求。

运营检查

梳理收集字段、使用目的、服务商、接收方和删除流程，按真实情况记录评估。敏感数据、未成年人或特定通信行为可能需要额外规则核对。不能复制一份隐私政策就宣称全面合规，也不在表单中默认勾选同意来替代选择；本文提供核对方向，不为具体数据处理作合法保证。