Политика обработки персональных данных для интернет-магазина - это публичный документ, который описывает, какие данные вы собираете через форму заказа, обычно ФИО, телефон, email и адрес доставки, для чего, на каком основании, как долго храните и кому можете передать, например курьерской службе или платежному оператору. Документ размещают отдельной страницей на сайте, обычно в подвале, и делают доступным до момента отправки формы.
Рядом с самой формой заказа должен стоять чекбокс согласия на обработку персональных данных со ссылкой на политику - его нельзя проставлять по умолчанию, покупатель отмечает его сам. Если на сайте есть отдельная форма подписки на рассылку, для нее по закону нужно отдельное согласие: обработка данных для доставки заказа и для маркетинговых писем - разные цели, и смешивать их в одном согласии нельзя.
Отдельный момент, о котором часто забывают: почти любой сайт с формой обязан подать уведомление об обработке персональных данных в Роскомнадзор до начала обработки - исключений с 1 сентября 2022 года практически не осталось, и интернет-магазин под них не подпадает. Если сайт использует счетчики аналитики и рекламные пиксели, дополнительно нужен cookie-баннер с возможностью отказаться от необязательных cookie.
На практике у интернет-магазинов чаще всего хромает не сама политика, а мелочи вокруг нее: чекбокс стоит галочкой по умолчанию, политика скопирована с чужого сайта и описывает не те данные, которые магазин реально собирает, или уведомление в Роскомнадзор вообще не подавалось. Все это всплывает при проверке или жалобе покупателя, поэтому проще сверить свой сайт с этим списком заранее, чем потом объясняться с регулятором.