Копия сайта почти всегда содержит пароль к базе данных, ключи платёжных систем и персональные данные клиентов. Вычищать их из копии нельзя: это изменит объект, и другая сторона справедливо на это укажет.
Правильный порядок другой. Материалы передают в исходном виде, но по защищённому каналу и ограниченному кругу лиц, а всё, что в копии открывает доступ, после передачи меняют: пароль к базе, ключи внешних сервисов и служебные ключи подписи, которыми система заверяет сеансы пользователей; заодно завершают активные сеансы. Заодно принудительно меняют пароли привилегированных учётных записей: их защищённые представления лежат в выгрузке. Объём выгрузки персональных данных и срок хранения материалов согласуют заранее.
Эксперта соглашение о конфиденциальности связывает, стороны — нет: то, что попало в суд, они увидят. Это учитывают при выборе объёма ещё до отправки, а не после.