Да, если контрагент - физическое лицо, ИП или самозанятый, а не юридическое лицо, его паспортные данные, ИНН и контакты в договоре - это персональные данные, и компания, которая их получает и хранит, становится оператором со всеми обязанностями по 152-ФЗ. Для обработки в рамках самого договора отдельное согласие обычно не требуется, но оформить процесс все равно нужно.
Такое основание работает только в границах самого договора и того, что нужно для его исполнения - для любых сторонних целей (например, чтобы добавить контрагента в рассылку с акциями) согласие все равно потребуется отдельно, как для обычного клиента.
Организационно стоит сделать три вещи: включить категорию «контрагенты - физические лица, ИП, самозанятые» в положение об обработке персональных данных и в уведомление, которое подается в Роскомнадзор с указанием цели «заключение и исполнение гражданско-правовых договоров»; ограничить доступ к копиям паспортов и договорам только сотрудниками, которым это нужно по работе (бухгалтерия, юрист); не хранить копии документов дольше, чем требуется для отчетности и возможных споров по договору.
Если данные контрагентов передаются дальше - например, в бухгалтерию на аутсорсе или в CRM стороннего сервиса, - на это тоже нужен договор поручения на обработку с перечнем данных и обязательствами по защите, как при передаче данных сотрудников или клиентов.