Утвержденной государством формы перечня персональных данных не существует, компания составляет его сама в свободном виде, обычно таблицей. В строках перечисляются категории субъектов - клиенты, посетители сайта, сотрудники, а в колонках напротив каждой категории указывается состав данных (ФИО, телефон, email, адрес и так далее), цель обработки, правовое основание и срок хранения.
Для сайта с формой обратной связи перечень чаще всего короткий: одна-две строки на посетителей и оставивших заявку, состав данных - имя, телефон и email из формы, цель - обработка обращения и обратная связь, основание - согласие на обработку персональных данных, полученное при отправке формы. Если на сайте есть личный кабинет или интернет-магазин, добавляются строки под зарегистрированных пользователей и покупателей с более широким составом данных.
Этот перечень - внутренний рабочий документ, но он же ложится в основу двух других: политики обработки персональных данных, которая публикуется на сайте, и уведомления в Роскомнадзор, где нужно указать категории обрабатываемых данных при регистрации в качестве оператора. Поэтому проще сначала составить перечень, а затем уже под него писать публичную политику, а не наоборот.
Обновляйте перечень при каждом изменении состава данных на сайте - например, если добавляете поле с датой рождения в форму или начинаете собирать паспортные данные для доставки. Рассинхрон между тем, что реально собирает сайт, и тем, что заявлено в перечне и политике, - типичная придирка при проверке.