Итак, расписываю всё по пунктам:
1⃣Прочитать рекомендации Роскомнадзора, что должно быть по политике обработке персональных данных, по-другому её называют политика конфиденциальности.
2⃣Записать:
категории людей, чьи данные попадают к вам - клиенты, их сотрудники, пользователи сайта, работники, члены их семьи и тп