Договор о персональных данных с подрядчиком, который обрабатывает данные по вашему поручению - курьерская служба, call-центр, разработчик CRM - называется договором поручения на обработку персональных данных. Его можно оформить отдельным документом или дополнительным соглашением к основному договору, но условия обработки данных должны быть прописаны письменно в любом случае.
В договоре обязательно указывают: цель обработки данных, перечень действий, которые подрядчик вправе с ними совершать, перечень категорий и субъектов данных, обязанность соблюдать конфиденциальность и обязанность обеспечить меры защиты не ниже тех, что требует закон. Также стоит прописать срок действия договора и что происходит с данными после его окончания - уничтожение или возврат.
Важный момент: ответственность перед субъектами данных и перед Роскомнадзором в любом случае несете вы как оператор, который изначально собрал данные, даже если утечка произошла у подрядчика. Договор поручения не снимает с вас ответственность, а фиксирует, что подрядчик обязан соблюдать те же правила, и дает вам основание требовать это от него.
Такой договор нужен с каждым подрядчиком, который получает доступ к персональным данным ваших клиентов или сотрудников: не только с курьерской службой, но и с хостингом, разработчиком сайта, сервисом рассылок, если они видят реальные имена и контакты, а не обезличенные данные.