Andrew
Ну так как составить соглашение что бы все это учитывать?
Как обычно, честно написать "рыбу" про то, как гоняете данные, где храните, и что по запросу удалите в течение Х дней, потом отдать юристу на ревью и упаковку. При этом язык изложения простым должен остаться, как этого требуется в Штатах, чтобы каждый чайник понял (да и дух GDPR тоже за ясность). Я к юристу иду за контрактом или другим доком всегда с термшитом (набором ясно изложенных условий работы)
Аспекты GDPR/РКН уже обсосаны, остались аспекты CCPA для погружения