一张胸牌背后的合规义务：海外参展的客户数据怎么收、怎么存、怎么传
展会现场扫码、收名片、扫胸牌，是参展获客的标准动作。但很少有人意识到，从扫描完成的那一刻起，企业已经成为了个人数据的处理者，并因此承担起一整串法定义务——包括告知义务、同意记录义务、最小化义务、存储期限义务，以及最容易被忽视的跨境传输义务。
这件事在汽配行业尤其容易被低估。汽配展的买家来自全球，一场展会下来收集到的联系人可能横跨欧盟、英国、巴西、俄罗斯与中东，对应的法规体系各不相同。而大多数中小型零部件企业的现场流程，还停留在「用手机扫完名片、回国丢给销售」的阶段。本文按六个环节给出一份可落地的清单。
一、为什么展会线索是高风险数据场景
- 数据来源集中且量大：一场三天展会收集数百条联系人信息是常态，其中包含姓名、职务、公司、邮箱、电话，部分还包含头像与行为偏好。
- 处理目的容易漂移：现场采集时的目的通常是「交换名片、后续联系」，但数据回国后往往被打入CRM用于长期营销推送，这已经构成新的处理目的。
- 跨境传输几乎不可避免：中国企业的CRM系统与邮件营销系统通常部署在境内或第三方云平台，数据必然发生跨境流动。
- 监管已经进入实质执法期：主要法域的处罚机制都已生效，且执法案例覆盖大企业之外的主体。
二、六个环节的行动清单
环节一：采集前告知与同意设计
在胸牌领取环节、注册确认邮件与展位现场三个位置，都应明确说明数据将被用于什么用途。部分国际会议采用胸牌颜色分级来传递意愿信号——绿色代表欢迎扫码、黄色代表需先询问、红色代表请勿扫描。如果参展的是主办方统一管理的展会，建议在展前向主办方确认胸牌数据的使用边界，避免把主办方提供的观众数据直接用于自身营销。
环节二：扫描时点的确认动作
比较稳妥的做法是在扫描或交换名片时明确问一句，并把这个动作固定为标准话术，例如：是否介意我扫描您的胸牌，我们会向您发送产品资料并可能在后续与您联系。这不只是礼貌问题——它同时完成了两件事：形成一条可追溯的同意记录，以及在客户心中建立专业印象。
环节三：数据最小化与字段控制
胸牌或名片上能读到的字段，不等于都应该收集。现场采集建议只保留六个字段：姓名、公司、职务、邮箱、所在国家、关注品类。生日、个人手机号、社交媒体账号等与业务联系无直接关系的字段，建议不采集或采集后立即删除。
环节四：销售备注也是个人数据
销售人员在现场补充的备注，例如「关注企业级定价、希望第三季度看样品」，在多数法域下被认定为对个人数据的进一步处理，其处理目的必须与原始告知的目的一致。备注应保持在与业务讨论直接相关的范围内，避免记录与商务无关的主观评价。
环节五：存储期限与删除机制
「长期保存在CRM里」是最常见的合规漏洞。建议在系统层面把保留期限写成字段规则，例如：未成交线索保留24个月、成交客户按合同期限保留、无后续互动的线索自动进入待清理队列。数据主体提出删除请求时，应有明确的响应流程与责任人。
环节六：跨境传输的合规路径
- 欧盟GDPR：只要处理的是欧盟境内数据主体的个人数据，无论处理者位于何处都适用。向第三国传输需要依赖充分性认定、标准合同条款或具备约束力的公司规则等机制。严重违规的处罚上限为全球年营业额的4%或2000万欧元，取较高者。
- 英国GDPR：脱欧后在实体规则上与欧盟GDPR基本一致，但分歧预计会逐步扩大，建议独立评估。
- 美国加州CPRA：2023年1月起生效，明确把B2B联系人数据纳入适用范围，这一点对展会获客场景影响直接。
- 巴西LGPD：与GDPR结构相近，对在巴西境内收集的数据、以及向巴西境内个人提供商品服务的行为均有域外效力。罚款上限为企业在巴西年收入的2%，单次违规上限5000万雷亚尔。数据泄露通报方面，巴西数据保护机构相关决议要求涉及大量数据主体或敏感数据的事件须在2个工作日内提交初步通报、5个工作日内提交详细通报。
- 俄罗斯152-FZ：对个人数据本地化存储提出明确要求，涉及俄罗斯公民个人数据的处理需评估本地化路径与跨境传输的合法性基础。
实操上有一个省力的原则：按各法域中要求较高的标准建立统一流程，通常可以覆盖大多数场景。否则，每增加一个目标市场就要重建一套流程，反而更贵。
三、把合规流程接进线索管理
- 展前：完成展位电子表单的字段裁剪，关闭非必要字段；准备同意话术卡与胸牌颜色说明。
- 展中：每日闭展后导出当日线索并做一次字段清洗，删除非必要数据与测试记录。
- 展后一周：按公司类型与关注品类完成线索分级，明确哪些进入长期培育、哪些直接进入报价流程。
- 展后一个月：核对保留期限规则是否生效，清理无互动线索；归档本轮同意记录以备核查。
四、给中小零部件企业的三条简化建议
建议一：先解决「同意记录」和「保留期限」两件事
这两项投入最小、风险敞口修正效果最明显。同意记录可以用标准化话术加一张勾选表实现；保留期限可以在CRM里设置自动清理规则，不需要额外采购系统。
建议二：把跨境传输评估做成参展立项的一个环节
参展立项时同步确认数据存储位置、传输机制与责任人，比展后补救成本低得多。涉及欧盟客户时提前准备标准合同条款文本，涉及巴西客户时确认数据保护官信息的公示方式。
建议三：让现场人员知道边界在哪
合规流程的薄弱环节通常不是制度，而是现场执行。建议在展前briefing中用十分钟讲清三件事：可以扫什么、不可以扫什么、遇到对方明确拒绝时如何处理。
如您需要海外参展的客户管理流程模板与展后跟进分工建议，可在 osfair.com 展会频道查看参展指南相关内容，或联系我们获取针对具体市场的参展方案。
信息来源：GDPR、LGPD与俄罗斯152-FZ公开法规文本、数据保护机构公开指引及展会合规实务资料整理。本文内容仅供行业参考交流，如涉及侵权，请联系我们，我们将立即删除。