Двустороннего «договора о конфиденциальности» с каждым покупателем закон не требует, и на практике так никто не делает. Вашему магазину нужен другой документ - политика конфиденциальности (политика обработки персональных данных). Ее утверждает сам оператор и публикует на сайте, а покупатель принимает, отмечая согласие в форме заказа: юридически это ближе к публичной оферте, чем к подписанному договору.
В политике нужно прописать: какие данные вы собираете (имя, телефон, адрес), для каких целей их используете, на каком правовом основании, кому можете передавать данные - например, курьерской службе или платежному оператору, - и сколько времени храните. Отдельно нужен пункт о правах покупателя: как ему запросить свои данные или потребовать их удаления.
Дальше документ размещается отдельной страницей со ссылкой в подвале сайта, а перед отправкой формы заказа ставится чекбокс согласия с ней - без этого условия персональные данные считаются обработанными без законного основания. Внутри компании политику стоит утвердить приказом руководителя: для проверяющих это подтверждает, что документ - не формальность, а принятый локальный акт.
Если нет времени разбираться в формулировках самостоятельно, мы готовим такие политики под конкретный сайт с учетом реального набора собираемых данных - обычно это занимает два-три рабочих дня.