Политика обработки персональных данных - это внутренний документ компании, который описывает, как организация в целом работает с данными: не только на сайте, но и в кадровой службе, у бухгалтерии, при работе с клиентами и подрядчиками. Ее утверждает руководитель, она действует как локальный нормативный акт и должна быть доступна любому, кто запросит ознакомление.
В документе описывают все категории субъектов, чьи данные обрабатывает компания (сотрудники, кандидаты на вакансии, клиенты, контрагенты), цели и правовые основания обработки для каждой категории, сроки хранения, меры защиты и порядок действий при запросе субъекта на удаление или исправление данных.
Если у компании нет форм на сайте, но есть отдел кадров и клиентская база, обработка все равно ведется, и уведомление в Роскомнадзор в большинстве случаев нужно подавать - оно привязано к самому факту обработки, а не к наличию сайта.
На практике политику удобно делать из двух частей: короткая версия для публикации (на сайте или на стенде в офисе) и подробное приложение с внутренним регламентом - кто имеет доступ к базам, как данные передаются подрядчикам, что происходит при увольнении сотрудника.