Чтобы обработка данных из формы обратной связи была законной, нужны четыре вещи: чекбокс согласия рядом с кнопкой отправки, который человек ставит сам и который не совмещен с согласием на оферту или подписку на рассылку; ссылка на опубликованную политику обработки персональных данных; ограничение цели использования данных - только для ответа на обращение, если рассылки не планируются, отдельное согласие на них не нужно; и поданное до запуска формы уведомление в Роскомнадзор об обработке ПДн.
Практически это выглядит так: под полями формы короткая строка вида «Нажимая кнопку, вы соглашаетесь с политикой обработки персональных данных» со ссылкой на отдельную страницу, доступную и из футера сайта. Заявки храните не дольше, чем нужно для обработки конкретного обращения, если речь не идет о годовой истории заказов интернет-магазина - тогда срок хранения стоит прямо прописать в политике, а не оставлять неопределенным.
Если на сайте пока нет ни политики, ни поданного уведомления в РКН - это критично именно для формы: без этих двух документов любая собранная через нее заявка формально становится нарушением закона, даже если сама форма технически работает исправно. Такие вещи - политика, чекбокс согласия и подготовка уведомления - обычно закрывают за пару дней, и дальше форма работает без риска штрафа.