Данные должны храниться вне директории пакета, потому что vendor при деплое часто сносится подчистую.
Следовательно, лежать они могут в любом месте, пакет должен давать возможность это место указывать.
Будет ли это БД или что-то иное должен определить пакет, а его пользователи должны реализовывать этот контракт. Можно сделать пакеты-адаптеры (для mysql, для файлового хранения и т.п.), чтобы пользователь мог выбирать способ хранения данных.
Подключать в виде зависимости к пакету yii2 - будет слишком плохой тон?
Если ваш пакет предполагается фреймворко-независимым, то да, так себе решение. Если же он тесно связан с Yii2, то почему бы и нет...