Обработка персональных данных при заключении договора поставки

[Леди А]

Добрый день!
Мы на складе продаем налом цемент, при этом заключаем договор поставки. Чаще всего физ. лицам по паспортом. Менеджер по складу берет у него копию паспорта, забивает в договор и скидывает нам в офис для того что бы завели контрагента. Вчера один клиент заявил, что он не давал право скидывать свои данные в офис, это обработка его данных, он никакое согласие не давал, мы с его паспортом что нибудь сделаем. Я почитала закон, насчет клиентов ничего не нашла. Надо ли нам сделать соглашение об обработке персональных данных при заключении договора поставки? Или просто прописать в договоре согласие на обработку персональных данных? Если можно поделитесь опытом или хотя бы ссылками на закон. Спасибо