Обработка персональных данных строится в четыре шага: определить цель (у вас это оформление и доставка заказов), выбрать законное основание - обычно согласие покупателя, собранное через форму или чекбокс на сайте, оформить документы (политику обработки и согласие) и подать уведомление в Роскомнадзор до начала обработки. С 1 сентября 2022 года исключений почти не осталось, и сайту с формой заказа уведомление нужно практически всегда.
Дальше идет техническая часть: данные покупателей нужно хранить на серверах в России, ограничить доступ к базе только теми сотрудниками, кому она нужна по работе, и не передавать данные третьим лицам без отдельного упоминания в согласии - например, если вы используете стороннюю службу доставки или CRM, это тоже нужно прописать.
На практике порядок такой: сначала пропишите в политике, какие данные собираете и зачем, затем поставьте форму согласия на сайте (без галочки заказ оформить нельзя), потом подайте уведомление в РКН. Если самостоятельно разбираться некогда, аудит сайта и подготовка всего пакета документов под ключ обычно занимает два-три рабочих дня.
Отдельно проверьте, что стоит на сайте: часто забывают про сторонние счетчики аналитики и виджеты чатов, которые тоже собирают данные посетителей и должны быть учтены в политике и согласии.