Что такое хранение персональных данных?

Да, это требование закона, а не перестраховка разработчика: по части 5 статьи 18 закона 152-ФЗ (норма введена законом 242-ФЗ в 2015 году) оператор обязан хранить, записывать и обновлять персональные данные граждан России на серверах, физически расположенных на территории страны. Дополнительно хранить копию на зарубежном хостинге можно, но первичная база должна быть российской.

Со сроком хранения сложнее: конкретного числа лет закон не называет, но статья 5 требует хранить данные не дольше, чем этого требует цель обработки, а после её достижения - уничтожить или обезличить данные, если иное не установлено другим законом. Например, бухгалтерские документы с данными клиента налоговое законодательство требует хранить 5 лет независимо от того, оформлял ли он ещё заказы.

На практике для интернет-магазина разумно закрепить срок хранения прямо в политике обработки данных - скажем, 3 года с момента последнего заказа - и настроить процедуру удаления неактивных клиентов из базы, а не хранить всё бессрочно "на всякий случай". Бессрочное хранение без обоснованной цели - частая придирка при проверках Роскомнадзора, даже если утечки данных не было.