Contratar uma agência de performance para gerar leads costuma levantar uma dúvida que trava a assinatura do contrato: afinal, o que precisa estar formalizado entre as partes para que os dados dos leads circulem com segurança? Muitos anunciantes só percebem a dimensão do problema quando percebem que a agência acessa, segmenta e cruza informações de pessoas reais dentro das plataformas de mídia. Este texto esclarece essa relação e mostra como formalizar a proteção dos dados.
A resposta direta: a agência é obrigada a assinar termo de confidencialidade?
Não existe um dispositivo legal que diga, com essas palavras, que toda agência de performance precisa assinar um termo de confidencialidade antes de tocar campanhas de um cliente. A LGPD não prevê um documento obrigatório chamado “termo de confidencialidade” nem exige assinatura de NDA como condição para o tratamento de dados pessoais. A obrigação que a lei impõe é de outra natureza: garantir que o tratamento de dados pessoais — e leads são dados pessoais — ocorra com base legal, finalidade definida, transparência e segurança.
Na prática, porém, a resposta operacional é sim. Embora a assinatura não seja um requisito legal autônomo, ela é o instrumento mais direto para o controlador demonstrar que instruiu o operador e que adotou medidas contratuais de proteção. Sem um documento assinado que delimite o que a agência pode ou não fazer com os leads, o cliente fica exposto a sanções administrativas e a disputas contratuais difíceis de provar. Ou seja: a lei não manda assinar, mas a ausência do termo torna quase impossível cumprir a lei de forma demonstrável.
O ponto central é que leads não são apenas “oportunidades comerciais”. Cada lead carrega nome, e-mail, telefone, cargo, empresa e, muitas vezes, dados de navegação e comportamento. Isso configura dado pessoal nos termos da legislação brasileira de proteção de dados. Quando uma agência de performance acessa a base de leads, faz remarketing, sobe listas de público personalizado ou integra CRM com plataformas de mídia, ela está tratando dados pessoais de terceiros — e essa atividade precisa de contorno contratual claro.
O que a LGPD exige quando a agência trata dados de leads do cliente
A legislação brasileira de proteção de dados organiza as responsabilidades em torno de papéis definidos. Entender quem é controlador e quem é operador muda completamente o tipo de documento que precisa ser assinado e o grau de responsabilidade de cada parte. No marketing de performance, essa definição costuma gerar confusão porque a agência toma decisões cotidianas sobre segmentação, criativos e orçamento — mas nem sempre isso a transforma em controladora.
Controlador, operador e encarregado: quem é quem nessa relação
O controlador é quem decide as finalidades e os meios do tratamento de dados pessoais. No contexto de uma campanha de geração de leads, o controlador é tipicamente o cliente contratante: é ele quem define que quer captar leads para vender um produto, que os dados serão usados para nutrição comercial e que a agência executará as campanhas. A agência, quando apenas executa as instruções do cliente dentro das plataformas de mídia, atua como operadora.
O encarregado, por sua vez, é a pessoa indicada pelo controlador para ser o canal de comunicação com os titulares de dados e com a autoridade nacional. Empresas de pequeno e médio porte muitas vezes não nomeiam formalmente um encarregado, mas a legislação exige que todo controlador tenha esse canal. A agência não é o encarregado do cliente por padrão — a menos que isso esteja expressamente contratado, o que é raro e desaconselhável.
Quando a agência é operadora e quando assume papel de controladora
A linha divisória está nas decisões autônomas. Se a agência recebe a base de leads, a segmentação, o orçamento e o objetivo do cliente e apenas opera as ferramentas para executar, ela é operadora. Se a agência decide por conta própria usar os leads para campanhas de outros clientes, cruzar bases, criar audiências semelhantes para terceiros ou monetizar os dados fora do escopo contratado, ela passa a atuar como controladora — e assume responsabilidades próprias, inclusive perante a autoridade nacional.
Essa distinção tem efeito prático imediato. O operador responde solidariamente pelos danos causados quando descumpre as obrigações da legislação ou age fora das instruções lícitas do controlador. Já o controlador responde pela definição da base legal, pela transparência com os titulares e pela escolha de um operador que ofereça garantias suficientes de segurança. Um contrato bem desenhado precisa deixar explícito qual papel cada parte exerce em cada etapa do funil.
Termo de confidencialidade, NDA e acordo de tratamento de dados: o que cada documento resolve
Há três instrumentos que costumam se sobrepor na prática, mas que resolvem problemas distintos. Confundi-los leva a contratos que protegem mal ou que criam obrigações vagas e inexequíveis. A recomendação é tratar os três como camadas complementares, não como sinônimos.
- NDA (acordo de não divulgação): protege informações confidenciais do negócio — estratégia, margens, listas, know-how — contra vazamento e uso indevido.
- Cláusula de confidencialidade no contrato: incorpora o dever de sigilo ao escopo do serviço prestado, sem criar um documento separado.
- DPA (Acordo de Tratamento de Dados): operacionaliza a LGPD, definindo instruções, bases legais, segurança, subcontratação e responsabilidades sobre dados pessoais.
Cláusula de confidencialidade dentro do contrato de prestação de serviços
A cláusula de confidencialidade é o piso mínimo. Ela estabelece que a agência não pode divulgar, copiar ou usar para finalidade diversa qualquer informação do cliente a que tiver acesso em razão do serviço. Isso inclui relatórios de performance, estrutura de contas, histórico de campanhas, dados de faturamento e, claro, a base de leads. A vantagem é a simplicidade: não exige documento apartado e já nasce integrada à relação contratual.
A limitação é que a cláusula genérica não resolve as obrigações específicas da legislação de dados. Dizer que a agência “manterá sigilo” não define base legal, não limita finalidade, não trata de subcontratação de ferramentas nem de eliminação de dados ao fim do contrato. Por isso, a cláusula deve existir, mas não pode ser o único instrumento quando há tratamento de leads em escala.
Acordo de Tratamento de Dados (DPA) como anexo do contrato
O DPA é o documento que transforma as obrigações da lei em instruções contratuais verificáveis. Ele costuma ser anexado ao contrato principal e detalha: quais dados a agência pode acessar, para quais finalidades, por quanto tempo, com quais ferramentas e sob quais condições de segurança. Também define o que acontece em caso de incidente, quem notifica quem e em que prazo, e como os dados serão devolvidos ou eliminados no encerramento.
Para o cliente anunciante, o DPA é a principal evidência de que escolheu um operador com garantias adequadas — exigência que a legislação impõe ao controlador. Para a agência, o DPA reduz ambiguidade: ela sabe exatamente o que pode e o que não pode fazer com os leads, evitando que o cliente depois alegue uso indevido que não estava delimitado. É um documento que protege os dois lados quando bem escrito.
O que não pode faltar no termo assinado pela agência de performance
Um termo de confidencialidade e tratamento de dados para agência de performance precisa ir além da promessa genérica de sigilo. Ele deve espelhar o fluxo real dos dados dentro das plataformas de mídia, do CRM e das ferramentas de automação. Os pontos abaixo formam o núcleo mínimo de um documento que efetivamente protege os leads e o cliente.
Finalidade, base legal e limitação do uso dos leads
O documento precisa declarar para que os leads serão usados — por exemplo, segmentação de campanhas, remarketing, criação de públicos semelhantes e análise de conversão. Também precisa indicar a base legal que ampara o tratamento, que no marketing costuma ser o legítimo interesse ou o consentimento, dependendo de como o lead foi captado. Sem isso, a agência fica sem instrução formal e o cliente sem comprovação de conformidade.
A limitação de uso é o coração do documento: a agência não pode enriquecer a base com dados de terceiros, não pode reutilizar os leads em campanhas de outros clientes, não pode exportar a base para fora do ambiente autorizado. Cada uso fora da finalidade declarada transforma a agência em controladora e atrai responsabilidade solidária. A redação precisa ser específica o suficiente para permitir auditoria posterior.
Subcontratação, ferramentas de mídia e transferência internacional
Nenhuma agência de performance opera sem subcontratar infraestrutura: Google Ads, Meta Ads, TikTok Ads, CRMs, ferramentas de automação e plataformas de dados são todas subcontratadas. O termo precisa autorizar expressamente essas ferramentas, listando quais são permitidas e proibindo a inclusão de novas sem aprovação prévia do cliente. A omissão aqui é uma das falhas mais comuns em contratos de marketing digital.
Como Google, Meta e TikTok processam dados em servidores fora do Brasil, há transferência internacional de dados pessoais. A legislação brasileira permite essa transferência quando há garantias adequadas, como cláusulas contratuais ou certificações reconhecidas. O documento deve reconhecer essa realidade e exigir que a agência utilize apenas ferramentas que ofereçam mecanismos de conformidade com a legislação brasileira — ou que obtenha autorização específica para cada nova transferência.
Prazo, devolução ou eliminação dos dados ao fim do contrato
O termo precisa definir o destino dos leads quando a parceria terminar. As opções típicas são a devolução integral ao cliente, a eliminação certificada pela agência ou um período curto de retenção para fins de encerramento contábil e obrigações legais, seguido de eliminação. O que não pode acontecer é a agência manter a base indefinidamente “por precaução” ou “para futuras oportunidades”.
A eliminação precisa ser comprovável. Exigir um relatório de exclusão, com data, responsável e escopo dos dados eliminados, transforma a obrigação em algo auditável. O mesmo vale para listas de público personalizado nas plataformas de mídia: o termo deve obrigar a agência a remover as audiências criadas a partir dos leads do cliente, não apenas a apagar a planilha local.
Responsabilidade por incidentes e canal de contato do encarregado
O documento deve prever o fluxo de comunicação em caso de vazamento, acesso não autorizado ou perda de dados. A agência precisa se comprometer a notificar o cliente com detalhes do incidente, dados afetados e medidas tomadas. O cliente, como controlador, é quem decide sobre a comunicação à autoridade nacional e aos titulares, mas depende da agilidade da agência para cumprir os prazos legais.
Também é essencial indicar o canal de contato do encarregado do cliente e o responsável interno da agência por proteção de dados. Quando o titular de um lead exerce direito de acesso, correção ou eliminação, a solicitação chega ao cliente — e a agência precisa ter um fluxo para atender a instrução dentro do prazo legal. Sem canal definido, o direito do titular vira uma troca de e-mails sem dono.
Riscos de não formalizar: o que acontece na prática
Operar sem termo assinado não gera multa automática no dia seguinte, mas cria um cenário de exposição contínua. O primeiro risco é a responsabilização administrativa: a autoridade nacional pode aplicar sanções que vão de advertência a multa de até 2% do faturamento da empresa, limitada a R$ 50 milhões por infração, além de bloqueio ou eliminação dos dados tratados irregularmente. Sem contrato, o cliente não consegue demonstrar que instruiu a agência adequadamente.
O segundo risco é o uso indevido silencioso. Uma agência sem termo pode, na prática, reutilizar audiências de um cliente para outro, testar públicos com bases alheias ou manter os leads após o encerramento. O cliente só descobre quando os dados já vazaram ou quando um concorrente começa a anunciar para exatamente a mesma audiência. A ausência de documento transforma a descoberta em disputa judicial longa, com prova difícil de produzir.
O terceiro risco é comercial e reputacional. Leads são ativos de crescimento; perdê-los para um concorrente ou vê-los mal geridos por falta de contorno contratual corrói a confiança na agência e pode contaminar toda a estratégia de aquisição. Para empresas que dependem de tráfego pago como principal canal de geração de receita, essa exposição é desproporcional ao custo baixo de formalizar um DPA bem escrito.
Como auditar e manter a conformidade durante a parceria
Assinar o termo é o primeiro passo, não o último. A conformidade com proteção de dados em campanhas de performance exige verificação periódica, porque as ferramentas mudam, as equipes da agência mudam e o escopo das campanhas evolui. Um cliente que assina o DPA e nunca mais revisita o tema está apenas documentando uma intenção, não gerenciando um risco.
A auditoria pode começar com perguntas objetivas à agência: quais pessoas internas têm acesso à base de leads, se há controle de acesso por perfil, se as contas das plataformas usam autenticação em dois fatores, se as listas de público são segregadas por cliente. Também vale pedir evidências de que as audiências personalizadas foram removidas ao fim de campanhas anteriores e de que não há exportação de dados para planilhas pessoais.
- Revisão semestral do DPA: verificar se as ferramentas listadas continuam as mesmas e se novas plataformas foram incorporadas com autorização.
- Checklist de acesso: confirmar quem na agência acessa os leads e se ex-funcionários tiveram acessos revogados.
- Teste de resposta a direitos do titular: simular uma solicitação de exclusão de lead e medir quanto tempo a agência leva para executar.
- Relatório de incidentes: exigir registro formal mesmo de incidentes menores, para avaliar maturidade do processo.
Para negócios que estão avaliando expandir a operação de mídia paga, a maturidade de conformidade da agência deve entrar como critério de decisão. O mesmo vale quando se considera contratar uma segunda agência para tocar outro canal: cada novo operador multiplica a superfície de exposição dos leads, e o padrão documental precisa ser uniforme entre todos os parceiros.
A auditoria também alcança as ferramentas de automação e CRM conectadas às campanhas. Se a agência integra a base de leads a uma plataforma de e-mail marketing ou a um sistema de pontuação de leads, cada integração é um novo ponto de tratamento de dados. O DPA precisa prever que novas integrações exijam aprovação prévia, e a auditoria deve verificar se essa regra está sendo seguida na prática — não apenas no papel.
Perguntas frequentes sobre confidencialidade de leads em agências de performance
A agência pode usar os leads do cliente para otimizar campanhas de outros clientes?
Não, salvo autorização expressa e específica. Usar a base de um cliente para criar públicos semelhantes, testar segmentações ou alimentar algoritmos de outro cliente configura desvio de finalidade e transforma a agência em controladora, com responsabilidade própria. O termo assinado deve proibir essa prática de forma explícita, e a auditoria deve verificar a segregação das contas e audiências entre clientes.
O NDA assinado antes da proposta já protege os leads?
Protege parcialmente. O NDA cobre o dever de sigilo sobre informações confidenciais, mas não define base legal, finalidade, subcontratação, prazo de eliminação nem responsabilidade por incidentes de dados pessoais. Ele é útil na fase de prospecção, quando a agência ainda não tem acesso à base, mas precisa ser complementado por um DPA no momento em que o tratamento de leads efetivamente começa.
Quem responde se a plataforma de mídia vazar os dados dos leads?
Depende do papel de cada parte. O cliente, como controlador, responde perante os titulares e a autoridade nacional pela escolha das ferramentas. A agência, como operadora, responde se escolheu ou configurou a ferramenta sem autorização, se descumpriu instruções do cliente ou se não adotou as medidas de segurança contratadas. O DPA serve justamente para delimitar essa cadeia de responsabilidade e definir quem notifica quem em caso de incidente.
Vale a pena exigir termo de confidencialidade de agência pequena ou iniciante?
Sim, e com mais razão. Agências menores costumam ter menos processos formais, mais rotatividade de equipe e maior dependência de ferramentas gratuitas ou compartilhadas, o que aumenta o risco operacional. O termo não é um obstáculo para a contratação, mas um instrumento de alinhamento. Se a agência resiste a assinar um DPA básico, isso é um sinal relevante sobre a maturidade de governança — independentemente do tamanho. Para quem está avaliando se uma agência de equipe pequena entrega o mesmo resultado, a disposição para formalizar a proteção de dados é um critério objetivo de seleção.
O termo precisa ser renovado a cada nova campanha?
Não necessariamente. O ideal é que o DPA seja um anexo do contrato-mestre, com vigência atrelada à parceria, e que preveja um mecanismo de atualização quando houver mudança de escopo — nova plataforma, nova base de dados ou nova finalidade. Renovar o documento a cada campanha gera burocracia desnecessária; o que precisa ser contínuo é o controle de mudanças e a autorização prévia para novas ferramentas.
O que acontece se a agência se recusar a assinar qualquer documento?
O cliente deve tratar a recusa como impeditivo para o acesso aos leads. Sem documento, o controlador não consegue demonstrar que instruiu o operador nem que escolheu um parceiro com garantias adequadas — duas exigências centrais da legislação. A recusa pode indicar desconhecimento técnico ou intenção de manter liberdade para usar os dados sem restrição. Em ambos os casos, o risco recai sobre o cliente, que é quem responde perante os titulares e a autoridade nacional.
