Комплекс услуг по 152-ФЗ

Да. Как только вы взяли у человека имя и телефон, вы оператор персональных данных. Отдел кадров и база клиентов есть у всех, поэтому под закон попадает практически любая организация независимо от размера.

Не всегда. Состав мер зависит от уровня защищённости, а он - от типа угроз и категории данных. Для типичной компании без биометрии и медицинских сведений это третий или четвёртый уровень, где значительная часть требований закрывается штатными механизмами систем.

Ответственность остаётся на вас. Нужен договор поручения обработки с перечнем разрешённых действий и требованиями к защите. Это отдельный документ, и его наличие проверяют.