Евгений

Если смотреть по закону:
1. Вы обрабатываете ПДн.

1) персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных);

2. Хранение в понятиях 152-ФЗ это тоже обработка:

обработка персональных данных - любое действие (операция) или совокупность действий (операций), совершаемых с использованием средств автоматизации или без использования таких средств с персональными данными, включая сбор, запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение, использование, передачу (распространение, предоставление, доступ), обезличивание, блокирование, удаление, уничтожение персональных данных;

3. Исходя из того, что хранение это обработка, вы передаете ПДн третьим лицам(Azure).

"3. Оператор вправе поручить обработку персональных данных другому лицу с согласия субъекта персональных данных, если иное не предусмотрено федеральным законом, на основании заключаемого с этим лицом договора, в том числе государственного или муниципального контракта, либо путем принятия государственным или муниципальным органом соответствующего акта (далее - поручение оператора). Лицо, осуществляющее обработку персональных данных по поручению оператора, обязано соблюдать принципы и правила обработки персональных данных, предусмотренные настоящим Федеральным законом. В поручении оператора должны быть определены перечень действий (операций) с персональными данными, которые будут совершаться лицом, осуществляющим обработку персональных данных, и цели обработки, должна быть установлена обязанность такого лица соблюдать конфиденциальность персональных данных и обеспечивать безопасность персональных данных при их обработке, а также должны быть указаны требования к защите обрабатываемых персональных данных в соответствии со статьей 19 настоящего Федерального закона."

4. Но так как:

5. При сборе персональных данных, в том числе посредством информационно-телекоммуникационной сети "Интернет", оператор обязан обеспечить запись, систематизацию, накопление, хранение, уточнение (обновление, изменение), извлечение персональных данных граждан Российской Федерации с использованием баз данных, находящихся на территории Российской Федерации, за исключением случаев, указанных в пунктах 2, 3, 4, 8 части 1 статьи 6 настоящего Федерального закона.

Azure вам использовать нельзя.
Иначе вашему сервису грозит блокировка на территории РФ.
Это если по закону.
Если по текущей ситуации, то как минимум обязательно опубликуйте политику в отношении обработки ПДн, сделайте галочку, что данные обрабатываются с согласия . Риск, что вас за Azure, да и обработку только "Имя, Фамилию и Email" прищучат минимальный.

PS
C 1 июля повышаются штрафы за нарушение 152-ФЗ. В частности отсутсвие Политики на сайте теперь до 30к. (см. новую редакцию статьи 13.11 КоАП)

Если это госучереждение, то вам надо читать 17-ый приказ ФСТЭК "Об утверждении Требований о за....
Для примерной оценки мер, которые должны быть в вашей системе смотрите Приложение 2 к этому приказу и столбец со вторым классом защищенности информационной системы.
Так же не забывайте, что вам придется делать аттестацию (см. п.17 приказа).
Все реально, но геморно.

Всем спасибо. Пообщался с Аладином. Говорят, что в SecretDisk версии Enterprise, существует возможность запрета работы пользователей с зашифрованными ресурсами без онлайн‐подключения к серверу управления. Таким вне корпоративной сети разделы нельзя будет открыть даже легитимным пользователям. Будем пробовать.

Открываем 152-ФЗ
Статья 3. Основные понятия

персональные данные - любая информация, относящаяся к прямо или косвенно определенному или определяемому физическому лицу (субъекту персональных данных)

Исходя из формулировки ваш набор данных можно подвести под ПДн.
Идем дальше:
Статья 5. Принципы обработки персональных данных

1. Обработка персональных данных должна осуществляться на законной и справедливой основе.
2. Обработка персональных данных должна ограничиваться достижением конкретных, заранее определенных и законных целей. Не допускается обработка персональных данных, несовместимая с целями сбора персональных данных.
3. Не допускается объединение баз данных, содержащих персональные данные, обработка которых осуществляется в целях, несовместимых между собой.
4. Обработке подлежат только персональные данные, которые отвечают целям их обработки.
5. Содержание и объем обрабатываемых персональных данных должны соответствовать заявленным целям обработки. Обрабатываемые персональные данные не должны быть избыточными по отношению к заявленным целям их обработки.
6. При обработке персональных данных должны быть обеспечены точность персональных данных, их достаточность, а в необходимых случаях и актуальность по отношению к целям обработки персональных данных. Оператор должен принимать необходимые меры либо обеспечивать их принятие по удалению или уточнению неполных или неточных данных.
7. Хранение персональных данных должно осуществляться в форме, позволяющей определить субъекта персональных данных, не дольше, чем этого требуют цели обработки персональных данных, если срок хранения персональных данных не установлен федеральным законом, договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных. Обрабатываемые персональные данные подлежат уничтожению либо обезличиванию по достижении целей обработки или в случае утраты необходимости в достижении этих целей, если иное не предусмотрено федеральным законом.

А теперь ответьте на вопросы:
1. Какая цель обработки ПДн у вас?
2. Для чего при достижении вашей цели обработки вам нужна дата рождения, социальный статус, пол клиентов?
Если вы уберете дату рождения, социальный статус, пол клиентов, то я уверен, что функциональности вашего проекта это не повредит, но ваш проект с точки зрения 152-ФЗ будет чище.

"Лицензии на обработку персональных данных" нет и никогда не было.
Начиная обработку ПДн вы становитесь "Оператором", ваши пользователи "субъекты ПДн"
Читайте 152-Федеральный закон, как основополагающий.
Постановление правительства №1119, чтобы определить какой уровень защищенности ПДн вам необходимо обеспечить
Приказ ФСТЭК "№21, чтобы понять какие меры (помимо описанных в 152-ФЗ и ПП-1119) вам надо применять.
Начиная работать с шифрованием вам надо изучить приказ ФСБ №378

Вы всегда можете отозвать свое согласие на обработку ПДн. Это ваше право закрепленное 152-ФЗ.

п2. ст.9 Согласие на обработку персональных данных может быть отозвано субъектом персональных данных. В случае отзыва субъектом персональных данных согласия на обработку персональных данных оператор вправе продолжить обработку персональных данных без согласия субъекта персональных данных при наличии оснований, указанных в пунктах 2 - 11 части 1 статьи 6, части 2 статьи 10 и части 2 статьи 11 настоящего Федерального закона.

При этом даже после отзыва согласия, оператор имеет право продолжить обработку ваших ПДн. Но только в конкретных случаях опеределенных законом. Никакие внутренние правила безопасности вас не должны волновать. В вашем случае они могут сослаться на основание обработки указаное в параграфе 2) п.1 ст.6:

обработка персональных данных необходима для достижения целей, предусмотренных международным договором Российской Федерации или законом, для осуществления и выполнения возложенных законодательством Российской Федерации на оператора функций, полномочий и обязанностей;

Здесь в частности они могут сослаться, что они продолжат обрабатывать ваши ПДн в соответствии с Налоговым кодексом, сроками хранения бухгалтерской документации, ФЗ "О противодействии легализации (отмыванию) доходов, полученных преступным путем, и финансированию терроризма" и т.д.
Но при этом они обязаны удалить ваш аккаунт, так вы разрываете с ними договор и отзываете согласие. И сделать это они должны в соответствии с п.5 ст.21

В случае отзыва субъектом персональных данных согласия на обработку его персональных данных оператор обязан прекратить их обработку или обеспечить прекращение такой обработки (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) и в случае, если сохранение персональных данных более не требуется для целей обработки персональных данных, уничтожить персональные данные или обеспечить их уничтожение (если обработка персональных данных осуществляется другим лицом, действующим по поручению оператора) в срок, не превышающий тридцати дней с даты поступления указанного отзыва, если иное не предусмотрено договором, стороной которого, выгодоприобретателем или поручителем по которому является субъект персональных данных, иным соглашением между оператором и субъектом персональных данных либо если оператор не вправе осуществлять обработку персональных данных без согласия субъекта персональных данных на основаниях, предусмотренных настоящим Федеральным законом или другими федеральными законами.

Таким образом формулировка отказа об удалении ПДн указанная в ответе вам не имеет под собой законных оснований. Вы можете писать им новый запрос-требование об удалении, но я думаю в итоге они подготовят корректный ответ вам, а может этот ответ спокойно приложить его к жалобе в РКН, который возможно и научит их.
В обращении в РКН еще обратите внимание регулятора, что этот Walletone так же нарушает требования
п.2 ст. 18.1 152-ФЗ:

Оператор обязан опубликовать или иным образом обеспечить неограниченный доступ к документу, определяющему его политику в отношении обработки персональных данных, к сведениям о реализуемых требованиях к защите персональных данных. Оператор, осуществляющий сбор персональных данных с использованием информационно-телекоммуникационных сетей, обязан опубликовать в соответствующей информационно-телекоммуникационной сети документ, определяющий его политику в отношении обработки персональных данных, и сведения о реализуемых требованиях к защите персональных данных, а также обеспечить возможность доступа к указанному документу с использованием средств соответствующей информационно-телекоммуникационной сети.

Пишите в пользовательском соглашении, что-то вроде:
Приложение обрабатывает персональные данные Пользователя в целях предоставления Пользователю доступа к приложению/сайту, в том числе, в целях анализа таких данных, позволяющих поддерживать и улучшать сервисы и разделы приложения, а также разрабатывать новые сервисы и разделы Сайта.

Прямо пишите, что вы будете делать с данными, все с чем пользователь согласился вы можете делать.
Ну и добавьте раздел, что вы принимает все необходимые меры для защиты персональных данных от неправомерного доступа, изменения, раскрытия или уничтожения. Бла-бла...
Так же посмотрите сюда Получение данных из социальной сети и ФЗ «О персональных данных» возможны проблемы? Здесь на случай если решите собирать данные из соцсети без участия пользователя.

к сожалению не все так безоблачно.
В 758 Постановление Правительства( на которое вы сослались) наши "доблестные законописатели" уже успели внести очередные поправки в виде Постановления Правительства 801.
Теперь "если вы юридическое лицо или ИП - отныне все (неважно, сотрудники или посетители), кто подключается к вашей беспроводной точке доступа или любому другому оборудованию, через которое он может получить доступ к сети Интернет - ВСЕ должны предоставить вам фамилию, имя, отчество (при наличии), место жительства, реквизиты основного документа, удостоверяющего личность; вы должны все это аккуратно собирать, обрабатывать и ежеквартально передавать оператору связи"(с) источник