Минимальный пакет для законного сайта такой: политика обработки персональных данных, форма явного согласия под каждой формой сбора данных (обычно чекбокс, не отмеченный заранее), cookie-баннер с настройками, уведомление об обработке персональных данных в Роскомнадзор до запуска сайта и SSL-сертификат для шифрования передачи данных.
Уведомление в Роскомнадзор - отдельный шаг, про который часто забывают: с 2022 года исключений почти не осталось, и его нужно подать до того, как формы начнут собирать данные, а не постфактум. В самом уведомлении указываете цели обработки, категории данных, сроки хранения и меры защиты - формулировки должны совпадать с тем, что написано в политике на сайте.
Дальше - техническая часть. База данных с заявками должна физически храниться на сервере в России, это требование локализации касается любого сайта с формами, а не только крупного бизнеса. Уровень защищенности информационной системы формально определяется по постановлению N 1119 и зависит от категории данных и числа субъектов - для обычного сайта без спецкатегорий обычно выходит невысокий уровень, но зафиксировать его внутренним документом все равно нужно.
Если собирать это все самостоятельно неудобно - аудит сайта, политика с согласиями, cookie-баннер и подготовка уведомления под конкретный проект обычно закрываются за 2-3 рабочих дня и стоят от 8500 до 14900 рублей в зависимости от объема сайта.