Трансграничная передача - это передача персональных данных на территорию иностранного государства иностранному органу власти, иностранному физическому или юридическому лицу. На практике это происходит, как только данные ваших клиентов оказываются на зарубежном сервере или их обрабатывает иностранный подрядчик, даже если вы сами формально ничего никуда не «отправляли», а просто пользуетесь иностранным сервисом.
Закон делит страны на две группы: те, что обеспечивают надлежащую защиту прав субъектов персональных данных, и остальные. Для первой группы условия проще, для второй - жестче: как правило, требуется письменное согласие субъекта на трансграничную передачу и дополнительное обоснование, зачем это нужно.
Отдельно есть требование локализации: первичный сбор и хранение персональных данных граждан России должны идти на серверах в России. Трансграничная передача - это операция сверх этого требования, а не замена ему. Использовать зарубежный сервис можно, но параллельно с ним данные все равно должны сначала попадать на российский сервер.
Если у вас CRM, почтовая рассылка или хранилище с серверами за границей, стоит проверить всю цепочку целиком: часто выясняется, что помимо трансграничной передачи не оформлено и обычное уведомление в Роскомнадзор об обработке персональных данных, которое нужно подавать до начала любой обработки.