С курьерской службой нужен договор поручения на обработку персональных данных - в нем прописывается, какие именно данные передаются, с какой целью, какие меры защиты обязана применять курьерская служба и что она вправе делать с данными только в рамках доставки, а не для своих целей.
Согласие покупателя, которое вы берете на сайте при оформлении заказа, должно прямо упоминать, что данные передаются третьим лицам - курьерским службам - для исполнения заказа, иначе сама передача становится нарушением, даже если договор с курьерской службой в порядке. Проверьте формулировку в своей политике конфиденциальности: часто там просто нет пункта о передаче данных партнерам по доставке, хотя на практике она происходит с первого заказа.
Ошибка, которая встречается чаще всего: магазин передает курьерской службе избыточные данные - например, не только адрес и телефон, но и email или дату рождения, которые для доставки не нужны. Передавайте ровно тот набор данных, который необходим для выполнения доставки, это снижает и объем ответственности, и риск в случае утечки на стороне партнера.
Если курьерских служб несколько и они меняются, проще прописать в согласии не конкретное название, а формулировку «курьерские службы-партнеры» и вести отдельный внутренний список актуальных партнеров - тогда смена подрядчика не потребует переделывать согласие на сайте заново.