Contratar uma agência de tráfego pago significa entregar a terceiros o controle de contas de anúncios, pixels, públicos e bases de leads que sustentam a aquisição de clientes da sua empresa. Antes de assinar ou renovar, vale entender como saber se a agência de tráfego pago segue boas práticas de segurança da informação. Este texto reúne os sinais que podem ser observados ainda na negociação, as perguntas que separam processos documentados de improviso e os pontos que merecem atenção no contrato.
O que está em jogo quando a agência acessa suas contas de anúncios e seus dados
Quando uma agência de tráfego pago assume a gestão de campanhas, ela não recebe apenas um login. Recebe acesso a contas que concentram investimento publicitário, histórico de performance, públicos segmentados, criativos e, em muitos casos, integrações com CRM, e-commerce e plataformas de automação. Um acesso mal gerenciado pode expor dados de clientes, interromper campanhas, desviar verba de mídia ou comprometer ativos digitais que levaram anos para serem construídos.
O risco não é teórico. Contas de anúncios vinculadas a cartões corporativos são alvo frequente de fraudes e apropriações indevidas. Quando a agência opera com senha compartilhada, e-mail pessoal de funcionário ou permissão de administrador sem rastreabilidade, o anunciante perde a capacidade de auditar quem fez o quê — e de responsabilizar alguém quando algo dá errado. A segurança da informação, nesse contexto, é tão relevante quanto a capacidade de gerar leads.
A relação entre anunciante e agência também movimenta dados pessoais: listas de clientes para públicos personalizados, bases de leads, informações de navegação captadas por pixels. A LGPD se aplica a cada uma dessas operações, e a responsabilidade não desaparece porque um terceiro estava operando a conta. O anunciante continua sendo o principal responsável pelo tratamento, o que torna a escolha da agência uma decisão de conformidade, não apenas de performance.
Sinais visíveis de que a agência leva segurança da informação a sério
Agências maduras em segurança não escondem seus processos — elas os apresentam espontaneamente, por escrito, antes mesmo de o cliente perguntar. O padrão aparece em três camadas: como pedem acesso, o que documentam em contrato e como reagem quando algo sai do controle. Cada uma delas pode ser observada durante o processo comercial, sem depender de promessas.
Como ela pede e devolve acessos a Meta Ads, Google Ads e TikTok Ads
O primeiro sinal concreto é o método de solicitação de acesso. Uma agência que segue boas práticas pede que o anunciante conceda permissão por meio dos painéis nativos de cada plataforma — Business Manager no Meta Ads, conta MCC no Google Ads e Business Center no TikTok Ads — e não solicita login e senha. O acesso é concedido ao ID da agência, com nível de permissão definido, e fica registrado no histórico da conta.
- Convite enviado pelo painel da plataforma, não por e-mail ou WhatsApp
- Nível de permissão definido por função: leitura, operação ou faturamento
- Registro nominal do profissional que acessa, não um login genérico da agência
- Processo documentado de revogação ao fim do contrato
- Negativa imediata quando o cliente oferece a senha por comodidade
Na devolução, o comportamento é igualmente revelador. Agências organizadas encerram o acesso no dia do término contratual, enviam comprovante da remoção e orientam o cliente a revisar as permissões ativas. Se a agência trata a devolução como formalidade burocrática ou demora semanas para remover ex-funcionários, o problema é estrutural.
O que observar no contrato, no aviso de privacidade e no canal de denúncias
O contrato de prestação de serviços de mídia paga precisa conter cláusulas específicas de tratamento de dados, confidencialidade e responsabilidade em incidentes. Não basta uma cláusula genérica de sigilo. O documento deve definir quem é controlador, quem é operador, quais dados serão tratados, com qual finalidade e por quanto tempo. A ausência dessas definições indica que a agência trata LGPD como item decorativo.
O aviso de privacidade da agência é outro termômetro. Ele deve descrever como os dados do cliente — e os dados pessoais tratados em nome dele — são coletados, armazenados e compartilhados. Um aviso vago, copiado de modelo, ou inexistente, é incompatível com uma operação que lida diariamente com pixels, públicos e listas de leads. O canal de denúncias, por sua vez, mostra se a agência criou um caminho formal para reportar condutas inadequadas de seus próprios colaboradores.
- Cláusula específica de LGPD com papéis de controlador e operador definidos
- Previsão de prazo e responsabilidade para notificação de incidentes
- Aviso de privacidade próprio, atualizado e acessível no site
- Canal de denúncias com possibilidade de relato anônimo
- Compromisso de devolução ou exclusão de dados ao fim do contrato
Perguntas diretas para fazer à agência antes de assinar
A melhor forma de avaliar segurança da informação é transformar o tema em perguntas objetivas durante a negociação. A qualidade da resposta importa menos que a precisão: uma agência que responde com clareza, sem rodeios, demonstra que o assunto faz parte da rotina. Uma que desconversa ou promete “pode deixar que a gente cuida” está sinalizando o contrário.
- Quem dentro da agência terá acesso à minha conta e qual o nível de permissão de cada pessoa?
- Como vocês armazenam senhas e credenciais internamente? Existe cofre de senhas com autenticação multifator?
- O que acontece com os acessos quando um funcionário sai da agência?
- Vocês têm um encarregado de proteção de dados nomeado?
- Como vocês me notificam se detectarem um acesso não autorizado ou vazamento?
- As listas de clientes que eu enviar para públicos personalizados serão usadas para outra finalidade?
- Posso ver o histórico de alterações feitas na minha conta durante o contrato?
Perguntas desse tipo costumam separar agências que documentam processos daquelas que improvisam. A recusa em responder, a irritação com o questionamento ou a promessa vaga de “segurança total” são respostas em si mesmas. O mesmo vale para quem condiciona a resposta à assinatura do contrato — transparência pré-contratual não é favor, é obrigação de quem pretende tratar dados de terceiros.
Acessos, senhas e permissões: o que nunca deve ser compartilhado com uma agência
Existe uma fronteira clara entre o que a agência precisa para operar e o que nenhuma agência deve receber. Senha pessoal, e-mail de login, código de recuperação e acesso à conta bancária ou ao cartão vinculado estão fora do escopo de qualquer prestação legítima de serviços de tráfego pago. A insistência nesses itens é critério de eliminação imediata.
Por que entregar login e senha pessoais é um risco desnecessário
As plataformas de anúncios foram desenhadas para permitir acesso de terceiros sem compartilhamento de credenciais. Meta Ads, Google Ads e TikTok Ads possuem sistemas de permissão em camadas, com convite ao parceiro e revogação a qualquer momento. Quem pede a senha está ignorando a ferramenta oficial — ou pior, quer um acesso que o anunciante não consiga auditar nem encerrar.
Com a senha em mãos, a agência pode alterar a recuperação de conta, vincular novos administradores, trocar o e-mail de contato e bloquear o acesso do titular. Em disputas contratuais, o anunciante fica refém de quem detém a credencial. O prejuízo financeiro de uma conta sequestrada costuma superar, em muito, qualquer economia obtida com a contratação da agência errada.
Business Manager, contas de anúncio e pixels: quem deve ser o titular
A titularidade dos ativos digitais precisa permanecer com o anunciante, sempre. O Business Manager do Meta Ads, a conta MCC do Google Ads e o Business Center do TikTok Ads devem ser criados com e-mail corporativo do anunciante, com a agência adicionada como parceira ou usuária com permissão limitada. Quando a agência cria a conta em nome próprio e “cede” o acesso ao cliente, a estrutura está invertida.
- Business Manager e conta de anúncios criados com e-mail do anunciante
- Pixel e eventos de conversão instalados em propriedade do anunciante
- Agência adicionada como parceira, nunca como proprietária
- Faturamento vinculado ao cartão ou boleto do anunciante
- Documentação de titularidade acessível ao cliente a qualquer momento
O mesmo princípio vale para o pixel. O código de rastreamento instalado no site do cliente deve estar vinculado a uma conta da qual o anunciante é titular. Se a agência sair, o pixel permanece funcionando e o histórico de dados continua com o dono do site. A perda de um pixel com anos de dados de conversão é um dos prejuízos mais silenciosos e duradouros que uma estrutura de titularidade invertida pode causar.
LGPD na prática: papéis de controlador, operador e o que a agência precisa comprovar
Na relação entre anunciante e agência de tráfego pago, o anunciante é o controlador: decide quais dados serão tratados, com qual finalidade e por quanto tempo. A agência é a operadora: executa o tratamento em nome do controlador, seguindo suas instruções. Essa distinção não é formalidade jurídica — ela define quem responde pelo quê diante de um incidente ou de uma reclamação de titular de dados.
A agência precisa comprovar que opera como operadora diligente. Isso significa manter registro das operações de tratamento, adotar medidas técnicas de segurança, limitar o acesso aos dados ao estritamente necessário e não utilizar as informações para finalidades próprias sem autorização. Uma agência que trata a base de leads do cliente como ativo próprio, por exemplo, está violando o papel de operadora.
Dados de públicos personalizados, listas de clientes e bases de leads
A criação de públicos personalizados no Meta Ads e no Google Ads envolve o envio de listas com e-mails, telefones e outros identificadores de clientes. Essas listas são dados pessoais e, portanto, estão sob o escopo da LGPD. A agência deve tratar esses arquivos com criptografia, restrição de acesso e prazo de exclusão definido — nunca armazená-los indefinidamente em drives compartilhados.
As bases de leads geradas pelas campanhas pertencem ao anunciante, não à agência. O contrato precisa prever que todos os dados coletados durante a prestação do serviço são de titularidade do cliente e devem ser devolvidos ou eliminados ao fim do contrato. A agência que se recusa a incluir essa cláusula está, na prática, reivindicando um ativo que não lhe pertence.
- Listas enviadas para públicos personalizados com criptografia em trânsito e em repouso
- Acesso às bases restrito aos profissionais diretamente envolvidos na operação
- Prazo de retenção definido e exclusão após o uso
- Proibição contratual de uso das listas para campanhas de outros clientes
- Devolução integral dos dados ao anunciante no encerramento do contrato
O que exigir em caso de incidente envolvendo suas contas ou seus dados
Incidentes acontecem mesmo em operações maduras. O que diferencia uma agência preparada é a existência de um plano de resposta documentado, com prazos de notificação, responsáveis definidos e medidas de contenção. O contrato deve prever que a agência comunique o anunciante após a detecção de um acesso não autorizado, vazamento ou perda de dados — e que colabore com a investigação.
Além da notificação, a agência precisa apresentar um relatório do incidente com causa, extensão, dados afetados e medidas corretivas adotadas. A LGPD exige que incidentes com risco relevante aos titulares sejam comunicados à autoridade nacional de proteção de dados, e o anunciante, como controlador, precisa das informações da agência para cumprir essa obrigação. A ausência de um processo de resposta a incidentes é um dos maiores sinais de imaturidade em segurança da informação.
O que define o custo de uma agência com segurança da informação madura
Segurança da informação tem custo operacional, e ele se reflete no preço do serviço — ainda que de forma indireta. Uma agência que mantém cofre de senhas corporativo, autenticação multifator obrigatória, treinamento periódico de equipe, revisão trimestral de acessos e assessoria jurídica para contratos e LGPD está arcando com despesas que uma operação informal não tem.
- Ferramentas de gerenciamento de senhas e acessos com licença por usuário
- Treinamento recorrente de colaboradores sobre phishing e engenharia social
- Revisão jurídica de contratos e avisos de privacidade
- Auditorias internas de permissões e logs de acesso
- Seguro de responsabilidade civil profissional, quando aplicável
Não existe uma faixa de preço fixa que separe agências seguras das inseguras, mas a precificação costuma revelar o modelo de operação. Propostas muito abaixo do mercado, com prazos de implementação irreais e ausência de qualquer menção a conformidade, raramente incluem os custos de uma estrutura mínima de segurança. O barato, nesse caso, transfere o risco para o anunciante.
Checklist de avaliação: como comparar duas agências lado a lado
Comparar agências exige critérios objetivos, aplicáveis a ambas nas mesmas condições. O checklist abaixo organiza os pontos que podem ser verificados durante o processo comercial, sem depender de promessas ou de acesso interno. Cada item pode ser respondido com sim, não ou parcialmente — e o padrão de respostas diz mais que qualquer apresentação comercial.
- A agência pede acesso por convite na plataforma, nunca por senha compartilhada?
- O contrato define papéis de controlador e operador e cláusula de LGPD?
- Existe aviso de privacidade publicado e atualizado?
- A agência nomeou encarregado de proteção de dados?
- Há processo formal de revogação de acessos ao fim do contrato?
- As listas de clientes para públicos personalizados têm política de retenção e exclusão?
- A agência se compromete a notificar incidentes em prazo definido no contrato?
- Os ativos digitais (Business Manager, pixel, contas) permanecem com o anunciante?
- A agência aceita auditoria de acessos e fornece histórico de alterações?
- As respostas sobre segurança são dadas por escrito, com precisão, antes da assinatura?
Para uma avaliação mais ampla do perfil da agência, vale cruzar esse checklist com critérios de porte e estrutura e com a discussão sobre agência boutique versus agência grande. Segurança madura não é exclusividade de nenhum porte, mas a estrutura disponível influencia diretamente a capacidade de manter processos consistentes.
Se a agência oferecer uma auditoria inicial, o tipo de acesso solicitado já é um teste. O pedido de acesso de leitura para auditoria é legítimo quando feito por convite na plataforma; o pedido de senha, não. A forma como a agência conduz essa etapa revela o padrão que será aplicado durante todo o contrato.
Sinais de alerta: quando a resposta da agência já é o veredito
Alguns comportamentos durante a negociação são conclusivos por si só. Eles dispensam análises aprofundadas porque revelam uma postura incompatível com qualquer padrão aceitável de segurança da informação. Reconhecê-los cedo evita contratos longos com saída traumática.
- Pedido de login e senha da conta de anúncios ou do e-mail do anunciante
- Recusa em formalizar cláusulas de LGPD e confidencialidade no contrato
- Criação de contas e pixels em nome da agência, com titularidade retida
- Uso de e-mail pessoal de funcionário para operar contas de clientes
- Ausência de aviso de privacidade no site da agência
- Irritação ou evasão diante de perguntas sobre segurança e conformidade
- Promessa de “segurança total” sem descrever nenhum processo concreto
- Resistência a devolver acessos ou dados após o término do contrato
O momento de avaliar segurança da informação é antes da assinatura, não depois do primeiro incidente. A agência que trata o tema com seriedade responde a perguntas com precisão, documenta compromissos e opera dentro das ferramentas oficiais das plataformas. A que não faz isso está transferindo para o anunciante um risco que deveria ser dela — e essa transferência, por si só, já é a resposta que o contratante precisa ouvir.
