Положение об обработке персональных данных - это внутренний документ компании, который описывает, какие данные вы собираете, зачем, кто из сотрудников имеет к ним доступ и как они защищены. Такой документ нужен любой организации, которая обрабатывает данные клиентов или сотрудников, независимо от размера бизнеса.
В положении обычно фиксируют: цели обработки, перечень категорий данных (ФИО, паспорт, телефон, email и так далее), список сотрудников с доступом и их обязанности по неразглашению, сроки хранения, порядок уничтожения данных при увольнении сотрудника или отзыве согласия клиентом, а также меры защиты - от хранения бумаг в сейфе до антивируса на рабочих компьютерах.
Документ утверждается приказом руководителя и хранится в компании, показывать его посторонним не нужно, но при проверке Роскомнадзора его запросят в первую очередь. Готового шаблона на все случаи нет - структура зависит от того, какие данные и как вы обрабатываете, поэтому положение стоит адаптировать под реальные процессы студии, а не скачивать чужой файл и менять в нем только название компании.
Если процессов немного и разбираться в формулировках самой некогда, эту часть можно доверить специалистам - подготовка положения вместе с политикой конфиденциальности и согласиями обычно укладывается в пару дней.