Если обработка нужна для заключения и исполнения договора, стороной которого является сам субъект персональных данных, закон разрешает обрабатывать его данные без отдельного согласия - договор сам служит правовым основанием. Данные клиента в договоре на обслуживание - имя, контакты, адрес доставки - собирать и использовать для исполнения обязательств можно без отдельной подписи под согласием.
Но если вы дополнительно используете эти данные не для исполнения договора, а, например, для маркетинговой рассылки или передачи третьей стороне не по договору, на это уже нужно отдельное согласие - договор такое основание не покрывает. Основание и цель обработки должны совпадать: договор оправдывает обработку в его рамках, а не любое использование данных клиента.
Если часть обработки выполняет подрядчик - например, CRM-сервис или бухгалтерия на аутсорсе, - с ним заключается отдельный договор поручения на обработку персональных данных. В нем фиксируют, какие действия подрядчику разрешены, цель обработки, обязанность соблюдать конфиденциальность и меры защиты, а также кто перед клиентом остается ответственным оператором - это всегда вы, а не подрядчик.
На практике для сайта с формой заказа и CRM нужен комплект из двух документов: политика обработки данных для клиентов и договор поручения с каждым подрядчиком, который технически касается базы. Без второго документа формально считается, что вы передали данные третьему лицу без основания, даже если по факту это просто ваш IT-подрядчик.