同一平台可能涉及多套数据规则
区域服务可能在一国收集客户请求，在另一国存储，并由第三国客服处理。从这项实际发生的客户请求及其处理流程入手。指明谁决定信息为何及如何使用、谁运行系统，以及哪些供应商或员工可以查看信息。共用商标或客户管理系统，不会抹去集团各公司在当地的独立角色。
列明信息类别和涉及人员，包括客户、员工、求职者及访客。将提供服务所必需的数据与分析、营销和可选功能分开。不同市场如有差异，应分别记录，避免写成一份谁也无法照做的区域总说明。
从收集一直追踪到删除
绘制表单或应用页面、收集点、云端存储、备份、客服访问、内部共享、供应商导出到最终删除的完整路径。记录存储和访问所在的国家，而不只是服务器所在地。远程访问和灾备副本也会改变实际的数据流。再与合同、权限及访问日志核对。
选择一条真实的客户请求，从提交跟踪到结案。哪个主体答复，哪个系统保存审计记录？若客服供应商可下载资料，核查访问控制及返还或删除流程。隐私通知须与产品和供应商链相符，不能照搬其他服务的说明。
逐个市场核查义务
在每个发生相关角色或数据流的国家，请当地合资格顾问核查现行的告知、权利请求、保存、安全、事故及跨境传输要求。记录所查的规则或来源、日期，以及意见所依据的业务事实。不要认为一个市场的模板条款能回答另一个市场的问题。
把每个待决问题与负责人、预计解决日期对应。国家矩阵应区分已确认的事实、待出的法律意见和产品仍需完成的变更。它不应因为上线日期临近，就把不确定的状态标成合规。
产品或供应商变化后重新核查
新增分析供应商、备份地点、营销对象或区域客服团队，都可能使旧的数据图失效。给产品和采购团队设置变更触发点，让拟议的新安排重新经过数据流及合同审查。保留注明日期的版本，让员工知道当前适用哪套流程。
演练一项权利请求和一起事件情景。明确谁接收消息、谁可以检索数据、谁决定回复、谁联系供应商。将演练结果与书面期限及系统权限核对。如果资料无法按告知查找或删除，先修好流程，再对外作出承诺。
首次审查的资料档案
- 按市场保存现行产品页面、告知及客户条款。
- 各主体的数据类别、流程图及角色图。
- 供应合同、托管和备份地点及访问权限。
- 与真实系统核对过的保存和删除规则。
- 注明日期的当地意见、未决问题及事故和权利请求负责人。
相关数据保护与隐私业务可协助进行后续审查。