新加坡企業如何處理 WhatsApp 查詢與個人數據

先交代由第一則訊息至結束跟進的過程：誰看對話、哪些內容複製到別處，以及誰決定結案。建議畫出接待、評估、報價及結束的簡單流程，另列投訴及敏感內容等例外。

以假設的安裝查詢作測試。客戶或會傳送描述、希望採用的聯絡方法及圖片，團隊應判斷評估所需的最低資訊，毋須預設把每張圖片、電話號碼及訊息複製到所有系統。

PDPC 的責任概覽列明新加坡《個人資料保護法令》（PDPA）下機構對個人數據的責任。流程圖是本文建議的檢查方法，並非認證。加入會產生更多副本或接收方的軟件前，應請東主及數據保護負責人（DPO）核對實際流向，不應只看工具的功能清單。

PDPC 把通知、同意及目的限制列作不同責任。官方概覽是事實依據，但實際適用基礎、相關例外及客戶應收到的說明，須由 DPO 按流程判斷，不能靠一句範本完成法律評估。

建議初次接待只問簡短查詢內容及跟進所需聯絡方法，以淺白文字解釋用途，並指向企業已批核的私隱通知及公開 DPO 業務聯絡資訊。文案要符合團隊實際做法，不能寫好便當作流程已落實。

員工指引可建議初次對話不要索取身分證明文件、付款資訊或無關個人數據。這是操作界線建議，並非每項服務都適用相同輸入。後續確須補充時，應說明所處階段，由負責人選擇合適收集渠道，再核對用途。

先為狹窄問題準備獲批答案，例如如何描述查詢內容、到哪裏看服務說明，以及何時轉交真人。建議自動草稿不要虛構價錢、確認預約或作技術診斷；承諾及例外先由人審閱，直至東主批核更具體的操作規則。

示例用語應標明是供企業調整的草稿。確認提示可交代已收到查詢及下一步審閱安排，但前提是流程確實記錄收到並分派審閱。團隊未確認的回覆時限，不應為了令自動訊息顯得專業而加入。

啟用前應測試誤解情境，包括刪除要求、投訴及含不必要個人數據的訊息，決定交給誰、保存哪些依據。這項測試為釐清操作，並非合規證明。語氣友善的自動回覆不能取代明確接手人，亦不能取代檢查背後的數據處理。

PDPC 的保護責任要求為個人數據作合理安全安排；境外轉移責任則涉及轉移時遵守規定，以提供相當保護。責任頁面提供官方概要，並非認證某套對話設定。

實際檢查可列出員工裝置、共用收件匣、匯出、備份、CRM 紀錄及會接收訊息的 AI 提供方，逐項問誰可存取、複製甚麼，以及同事離職時如何處理。每項連接均須解釋及評估，不能單憑熟悉的產品名稱判斷。

建議按角色授權、維持存取紀錄，並把移除權限納入交接。對話內容送往其他服務前，請 DPO 及技術負責人核對供應商、合約與實際流向。私人訊息不宜用於公開示範；測試應採用明確標示的模擬查詢，不含真實客戶身分。

PDPC 指出，個人數據不再為業務或法律目的所需時，應停止保留或妥善處置。該概要未有為所有 WhatsApp 查詢訂明統一期限，不能把範本政策的任意日數寫成法定規則。

建議分開處理中的查詢、已完成交易、未解決投訴及停止跟進的查詢，逐類判斷正當保留需要及覆核事件，記下獲批決定。檢查不應只限對話本身，亦須涵蓋匯出或存於其他系統的副本。

操作程序應指定執行人，記錄處置或繼續保留的原因，並測試跨系統副本如何處理。存取及更正要求應轉交 DPO。員工發現可能的數據事故時，應立即使用獲批事件流程，不宜在客戶對話中自行完成法律判斷或作出未經批核的結論。

建議把查詢名單與已批核營銷受眾分開，不應預設把所有問過報價的人加入廣播名單。先確認新用途、擬發送內容及 DPO 要求保存的依據，再決定是否批核活動。

PDPC 的 DNC 指引涵蓋指定訊息（specified messages）、查冊、可供核實的清晰明確同意，以及發送者身分說明。實際活動須審查適用範圍、排除情況及例外。回應客戶原要求與日後促銷，不應視為完全相同的操作任務。

營銷若獲批，應一併保存批核紀錄、受眾依據、撤回渠道及負責人，並測試撤回如何傳到管理名單的人。這裏建議可審查的交接，並非批核某項活動，亦不判斷某例外必定適用。改變查詢數據用途前先審閱，較發送後再補找理由容易管理。

為員工準備簡明手冊，列出獲批初步回覆、轉交流程，以及最新私隱通知與 DPO 聯絡位置，業務有變時同步更新。PDPC 的問責責任概要包括委任 DPO，並公開其業務聯絡資訊；手冊應指向真正獲批的渠道。

以模擬查詢走一次接待、分派及結束，確認收到訊息不會被誤當成已確認預約。接手人應能找到紀錄、理解用途並執行下一步，毋須複製無關對話。

驗收須具體：業務負責人確認服務流程、技術負責人確認存取及連接，DPO 審閱相關數據處理方法。未解決事項應記錄，不宜憑一份範本便聲稱整套設定「符合 PDPA」。交付目標是團隊能解釋、執行，並在變動時覆核的流程。

可設計模擬練習：查詢已複製至另一系統後，對方要求更正聯絡方法。所有紀錄均標示測試，請接待人解釋如何找到個案、交誰審閱，以及獲批更正如何傳至相關系統。

不宜臨時虛構統一身分核實用語或法律權利判斷，實際程序須由 DPO 批核。練習應檢查員工是否知道轉交渠道，毋須鼓勵他們在對話中自行作法律結論。

再測試用途改變，例如內部同事想把同一查詢用於公開示範，要求接待人暫停並安排獨立審閱。培訓可建議採用模擬示例，展示流程而不發布真人對話，再由東主決定。

最後換一位同事接手，看他能否毋須閱讀無關對話，便知道獲批用途、當前狀態及下位負責人。缺少指示或權限有問題，便安排修正。這是操作驗收，不證明所有法律要求已滿足；DPO 審閱、技術檢查及培訓紀錄應分開保存。