Да, нужен договор поручения на обработку персональных данных - отдельный документ или отдельный раздел в основном договоре с подрядчиком. Закон прямо требует: если оператор поручает обработку ПДн третьему лицу, поручение оформляется письменно, и без такого документа передача данных подрядчику формально считается их распространением третьим лицам без законных оснований.
В договоре обязательно должны быть: перечень действий с данными, которые вправе совершать подрядчик (сбор, хранение, передача, удаление и так далее), цель обработки, обязанность подрядчика соблюдать конфиденциальность и обязанность обеспечить защиту данных не ниже требований 152-ФЗ. Отдельно стоит прописать, что происходит с данными после расторжения договора - удаление или возврат, и в какой срок.
На практике для сервиса рассылок и бухгалтерии условия будут разными по объему полномочий, но структура одна и та же. Если подрядчик сам определяет цели обработки данных, а не просто выполняет ваши поручения, - он уже не обработчик по поручению, а самостоятельный оператор, и тогда нужен другой тип соглашения.
Проверить свою базу подрядчиков стоит целиком: часто оказывается, что договор поручения оформлен с бухгалтерией, но забыт с сервисом рассылок или веб-студией, которая имеет доступ к CRM. Мы делаем такой аудит и готовим типовой договор поручения под конкретный набор подрядчиков клиента.