Положение должно отвечать на четыре вопроса по каждому получателю данных за рубежом: какие именно данные передаются, в какую страну, с какой целью и на каком основании. Отдельным пунктом идет цель - обслуживание клиентов через CRM, рассылка писем - и правовое основание, обычно это необходимость исполнения договора с клиентом либо его согласие, если передача выходит за рамки прямого исполнения заказа.
Важно развести в документе два разных процесса. Основная база клиентов - граждан России должна храниться на серверах в стране, это требование о локализации, и трансграничная передача не отменяет его: за рубеж уходит не первичное хранение, а конкретный поток данных для конкретного сервиса, вроде отправки письма через зарубежную платформу рассылок. В положении стоит прямо зафиксировать, где лежит основная база, а какие данные и зачем уходят наружу дополнительно.
Роскомнадзор ведет перечень стран, обеспечивающих адекватную защиту персональных данных. Если страна, где размещен сервис, в этом перечне есть, передача проще; если нет, нужны дополнительные основания - явное согласие субъекта на трансграничную передачу именно в эту страну, либо это необходимо для заключения или исполнения договора с самим субъектом.
Практический совет: не пытайтесь перечислить в положении каждый сервис поименно с адресами серверов - лучше описать категориями и пересматривать документ при смене подрядчиков, иначе придется переиздавать его при каждой замене CRM или почтового сервиса.