Этично ли заказывать хак своего собственного сервиса?

Это называется аудит безопасности.
Супер хакеры не светятся. Обращайтесь в конторы, которые занимаются подобными вопросами.

они же получат доступ ко всем данным

Пусть этим человеком лучше окажется нанятый вами подрядчик, который уже получил за свою работу деньги, личность которого известна вам и которому нет никакого смысла рисковать своей репутацией и безопасностью ради того чтобы удовлетворить свое любопытство. Чем этим человеком станет кто-то совершено посторонний, неизвестный вам, ничего вам не должный, с неизвестными мотивами, возможно нанятый конкурентами или одиночка, озлобленный на весь мир, которому доставит удовольствие подгатить кому-угодно ради чувства собственного величия.

Так и нужно делать

Да. это нужно делать. Только оформляйте правильно договор и не нанимайте всех подряд! Многие из багхантеров могут продавать другим бреши в безопасности популярных сервисов. Т.к. цена на них от 10000 у.е...