梳理埃及服务的实际运作
列出每种信息类型、用途、收集点、接收方和存储位置。包括远程支持和备份。从其他市场复制来的简短政策，可能遗漏对埃及客户负责的实体及真实数据用途。以一条客户记录为例，从注册追踪到删除。记录谁收集它、存入哪个系统、哪些访问角色、下游传输和触发保存期限的事件。另行标记导出、副本及日志，让数据图反映资料仍可查找的地点。
检查供应商和实际权限
把客户告知、合同与实际访问控制对照。哪个处理商能查看、复制或移动记录？拟用于营销、分析或模型训练的处理，应与核心服务分开记录。限制不必要的访问，保留权限变更证据。逐个列出供应商的功能、地点、下游供应商和访问方式。把书面协议与实际权限和管理员账户核对。测试用户撤回营销偏好后，下游使用是否停止，以及告知是否准确描述正在使用的分析工具。
在事故发生前演练
演练一次事件处理以及查阅或更正记录的请求。明确谁保存日志、联系供应商、评估范围并回复。埃及现行法律义务和期限需要按具体事实核查，不能从一般性文章推断。内部计划应留下决策的审计线索。以泄露的导出文件为桌面演练：限制访问、保存时间戳、识别受影响记录、取得供应商事实，并记录法律评估和沟通决定。处理查阅请求时，确保回复不会泄露他人的数据。
设置合同退出路径
计划可用的数据导出、留存决定、删除及供应商证明。平台新增功能或改变托管地点时，应同步更新数据图、合同和公开文本。目标是让告知持续描述真实操作，而不是只在上线时准确。退出清单须包含备份和分包商。明确由谁以可用格式返还数据、什么须留存、什么可删除、何时能证明删除，以及旧访问凭证是否已撤销。
隐私审查资料
- 按用途、系统、访问角色和目的地绘制数据流向图。
- 列出供应商及其合同、访问权限和下游供应商。
- 保存事件与个人请求演练及注明日期的决策日志。
- 制定留存、导出、删除和撤销访问凭证的计划。