PIPELINE一旦 CRM 对接涉及个人数据处理，就需要法律依据、目的限定、明确的删除期限、告知当事人，以及与每个参与服务商签订数据处理协议。实践中几乎总是缺少同样的三点：删除期限、数据采集处的告知，以及明确供应商是否将数据用于自身训练。
01 — 数据保护
GDPR的要求
只要处理个人数据 — 这比想象中更快发生，例如有人输入姓名或电话号码时 — 就适用常规义务：明确法律依据、确定目的、遵守数据最小化原则、定义删除期限、告知当事人。
这对 CRM 对接的实际意义是：与每个参与服务商签订数据处理协议、审查数据处理地点、记录删除期限，以及在隐私声明中加入易懂的条款。实践中几乎总是缺少三件事：明确的删除期限、数据采集处的告知，以及明确供应商是否将数据用于自身训练。
数据保护影响评估仅在预计存在高风险时才必要 — 对此类项目大多数情况不需要。但审查本身仍应记录，以便在需要时能说明为何省略了评估。
02 — 合同
需要书面明确的事项
- 数据和访问权的所有权。属于委托方。如果服务商不明确确认这一点，这就是谈话中最重要的信息。
- 终止时的交付。以何种格式、在何期限内、费用多少。
- 无对价的最短期限不可接受。如果绑定换来某些服务，则可以接受 — 否则不行。
- 后续变更的费用。决定总成本的不是项目价格，而是第三年的小时费率。
- 文档作为交付物。不是承诺，而是报价中的条目。
03 — 风险
可能出现的问题
- 系统回答错误。可通过仅使用经过审核的内容并在不确定时转接而非猜测来限制。这是配置决策，不是技术特性。
- 工作量被低估。最常见原因：初始情况不明确。报价前进行诚实的现状盘点比任何缓冲都更可靠地避免这一问题。
- 无人维护。最大的风险 — 也是最容易避免的。
- 数据保护漏洞。几乎总是因缺少删除期限和职责不清造成，很少由技术本身造成。
- 对服务商的依赖。如果合同规定访问权、数据和文档归委托方所有，则可避免。
04 — 问题
常见问题
培训具体如何进行？
基于您的真实数据，而非示例数据。团队练习日常所需的流程，之后获得简短的书面总结作为参考资料。
我们能直接导入现有的Excel表吗？
可以，这在启动时是常规操作。导入前会清理重复项和不统一的写法，否则新系统只会继承旧的混乱。
这符合GDPR吗？
使用欧洲供应商、签订数据处理协议、建立删除机制并记录法律依据，就符合。没有删除机制的CRM在数据保护法上是个隐患——这应当一并配置。
哪个CRM是合适的？
您的团队实际使用的那个。对小企业来说，能自动填充的精简系统几乎总是优于空置的强大系统。我们根据流程和团队规模推荐，而非功能清单。
如何确保系统得到维护？
通过尽可能减少需要维护的内容。所有能自动生成的内容都自动生成。手工操作的部分精简至日常真正需要的内容。
如果不同部门使用不同系统怎么办？
那么会将其中一个确定为中心数据源，其他系统自动向其提供数据。并行维护两个同等权限的系统，经验表明会导致CRM本应解决的矛盾。
我们的旧数据会怎样？
会被接管、清理并整合。重复项是常态——通常同一家公司以不同写法存在三四次。
下一步
让我们简短讨论一下这对您是否划算。
二十分钟的对话通常就足以弄清一个项目是否有意义。如果没有，我们会直说——这对双方来说都比一份无人需要的报价更便宜。