Quem contrata uma agência para gerir tráfego pago e geração de leads entrega a ela algo que vai muito além do painel de campanhas: o histórico de conversões, os públicos e os contatos que sustentam o crescimento do negócio. Essa proximidade é necessária para operar, mas levanta uma dúvida legítima sobre como garantir que os dados de conversão da minha empresa ficam seguros com a agência. É isso que este texto resolve, mostrando o que exigir antes, durante e depois do contrato.
O que são dados de conversão e por que eles são o ativo mais sensível da sua operação
Dados de conversão são o rastro digital que conecta um clique no anúncio a uma ação de valor no seu negócio: compra, lead, agendamento, ligação, cadastro. Eles incluem desde o evento de conversão registrado no pixel até o valor da venda, o produto adquirido, o e-mail do comprador e o parâmetro que identifica qual campanha gerou aquele resultado. Para uma empresa que depende de tráfego pago, esse conjunto não é apenas métrica de performance — é a base do aprendizado de otimização, da projeção de receita e da segmentação de públicos.
O problema é que esses dados transitam por múltiplas camadas: o navegador do usuário, o pixel da plataforma de anúncios, a conta de anúncio, o CRM da empresa e, quando há agência, os sistemas e acessos dela. Cada camada é uma superfície de exposição. Uma planilha exportada com e-mails de compradores, um público customizado salvo em conta errada ou um acesso administrativo mantido após o fim do contrato transformam um ativo estratégico em passivo jurídico e competitivo em questão de horas.
O que a agência realmente acessa: pixels, eventos, públicos, contas de anúncio e CRM
Uma agência de performance não acessa apenas o painel de métricas. Para operar campanhas, ela precisa de permissões sobre o Gerenciador de Negócios (Business Manager), as contas de anúncio do Meta Ads e do Google Ads, os pixels e as tags de conversão instalados no site, os públicos salvos (lookalikes, remarketing, listas de clientes) e, em muitos casos, integrações com o CRM ou a plataforma de automação de marketing para alimentar eventos offline e pontuação de leads.
Cada um desses acessos carrega um nível diferente de sensibilidade. O pixel permite ver quais páginas convertem e com que valor, mas também pode ser reutilizado em outra propriedade se o controle não for do anunciante. As listas de clientes usadas em públicos personalizados contêm dados pessoais diretos — e-mail, telefone, às vezes nome e cidade. O CRM, quando conectado, expõe o histórico completo de relacionamento com o cliente, não apenas o dado de conversão.
O risco concreto: vazamento, uso cruzado em outros clientes e perda de acesso na saída
O risco mais citado é o vazamento externo, mas o uso cruzado entre clientes da mesma agência é mais frequente e silencioso. Uma agência que atende duas empresas do mesmo setor pode, por descuido ou má-fé, usar públicos customizados de um cliente para otimizar campanhas de outro. O resultado não aparece como incidente de segurança — aparece como concorrente que de repente “descobriu” seu público exato.
Há ainda o risco de retenção na saída. Quando o contrato termina e o anunciante não detém a propriedade das contas, dos pixels e das tags, a agência pode manter o acesso, exportar históricos ou simplesmente não devolver o ativo. O anunciante fica sem os dados que financiou e sem o aprendizado acumulado de conversão, recomeçando do zero na próxima operação.
O que a LGPD exige quando a agência trata dados por você
A Lei Geral de Proteção de Dados estrutura a relação entre anunciante e agência em papéis jurídicos claros, com responsabilidades distintas. Ignorar essa divisão não elimina a obrigação — apenas a torna difusa, e em caso de incidente todos os envolvidos podem ser chamados a responder. Entender quem é quem nessa cadeia é o primeiro passo para escrever um contrato que proteja de verdade.
Controlador, operador e suboperador: quem responde por quê
O anunciante é, em regra, o controlador: decide quais dados são coletados, com que finalidade e por quanto tempo. A agência atua como operadora: trata os dados em nome do controlador, seguindo instruções documentadas. Quando a agência contrata uma ferramenta terceirizada — plataforma de automação, serviço de enriquecimento de leads, software de relatórios — esse terceiro é suboperador, e a agência responde por tê-lo escolhido sem a devida diligência.
Na prática, isso significa que o controlador não terceiriza a responsabilidade ao contratar a agência. Se a agência vazar dados ou usá-los para finalidade não autorizada, o anunciante pode ser responsabilizado perante os titulares e a autoridade nacional, cabendo depois ação de regresso contra a agência. Por isso o contrato precisa transformar essa lógica em obrigações objetivas e verificáveis, não em cláusulas genéricas de “cumprir a lei”.
Base legal, finalidade e o que precisa constar no contrato de tratamento de dados
Todo tratamento exige base legal. Para dados de conversão usados em publicidade, as bases mais comuns são o legítimo interesse, o consentimento (especialmente para remarketing e públicos personalizados com dados de terceiros) e a execução de contrato. O contrato com a agência deve registrar qual base sustenta cada operação e proibir expressamente o uso dos dados para qualquer finalidade além da gestão das campanhas contratadas.
O instrumento adequado é o contrato de tratamento de dados pessoais, anexo ou cláusula específica do contrato de prestação de serviços. Ele precisa definir, no mínimo, o escopo do tratamento, as categorias de dados, as instruções do controlador, as medidas de segurança, as regras para suboperadores, o dever de confidencialidade, o prazo de retenção e as obrigações no encerramento. Sem isso, a agência fica juridicamente solta para decidir sozinha o que faz com os dados.
Propriedade das contas: a regra que evita a maioria dos problemas
Boa parte dos conflitos entre anunciante e agência não é sobre vazamento, mas sobre posse. Quem é o dono da conta de anúncio, do pixel e do público salvo? Se a resposta não estiver no contrato e na configuração das plataformas, a resposta prática será: quem criou o ativo. E quem criou, na maioria das contratações, foi a agência — usando o próprio Business Manager ou conta de e-mail corporativa dela.
Business Manager, contas de anúncio, pixels e tags no CNPJ da empresa
A regra de ouro é simples: todo ativo de mídia deve estar registrado em contas vinculadas ao CNPJ do anunciante. O Business Manager, as contas de anúncio do Meta e do Google, os pixels, as tags do Gerenciador de Tags e as propriedades do Google Analytics precisam ser criados a partir de um e-mail corporativo do anunciante, com domínio próprio, e ter o anunciante como proprietário pleno.
A agência entra como parceira ou usuária com permissões limitadas ao necessário. Isso garante que, na saída, o anunciante revogue o acesso da agência em minutos, sem perder histórico, públicos, aprendizado de algoritmo ou configurações de conversão. Quando o ativo está na conta da agência, a saída vira negociação — e o anunciante costuma perder.
Acessos por usuário, não por login compartilhado
Login compartilhado é a prática mais comum em agências pequenas e a mais perigosa para o anunciante. Uma única credencial “agencia@…” usada por cinco analistas impede saber quem fez o quê, inviabiliza auditoria e mantém o acesso ativo mesmo depois que o responsável saiu da agência. Em caso de incidente, não há rastreabilidade.
O padrão mínimo aceitável é o acesso individual: cada profissional da agência que opera a conta usa credencial própria, vinculada a um e-mail corporativo da agência, com permissão atribuída por função. O anunciante mantém um administrador interno que aprova, revisa e revoga esses acessos. Plataformas como Meta Business Manager e Google Ads permitem esse nível de granularidade — exigi-lo não é capricho, é requisito de segurança.
Segurança técnica mínima que a agência precisa comprovar
Contrato e propriedade resolvem a camada jurídica e de posse. A camada técnica exige que a agência demonstre, antes e durante a operação, controles concretos de acesso e de proteção dos dados que trafegam. Não basta afirmar que “segue boas práticas” — é preciso pedir evidência, política documentada e configuração verificável.
Gestão de senhas e controle de dispositivos
Senhas devem ser geradas e armazenadas em gerenciador corporativo, nunca compartilhadas por WhatsApp ou planilha. A agência precisa comprovar que todos os usuários com acesso ao seu projeto seguem essa política, sem exceção.
O controle de dispositivos complementa a camada: apenas equipamentos gerenciados pela agência, com criptografia de disco, bloqueio automático de tela e política de atualização de sistema, podem acessar os ambientes do cliente. Acesso por computador pessoal sem controle, celular particular sem MDM (gestão de dispositivos móveis) ou rede Wi-Fi pública sem VPN deve ser vedado por contrato.
Conversões do lado do servidor, hash de dados pessoais e o que nunca deve trafegar em texto aberto
O envio de dados de conversão pelo navegador (client-side) expõe informações a interceptações e a bloqueadores de terceiros. A alternativa mais segura é a conversão do lado do servidor (server-side tracking), em que o dado sai do servidor do anunciante diretamente para a API da plataforma de anúncios, sem passar pelo navegador do usuário. Isso reduz a superfície de exposição e melhora a consistência dos dados em cenários de bloqueio de cookies.
Antes do envio, dados pessoais como e-mail, telefone e nome devem ser convertidos em hash — uma sequência irreversível que permite casamento de público sem transmitir o dado original. O que nunca deve trafegar em texto aberto: e-mail completo, CPF, telefone, endereço ou qualquer identificador direto em URLs, planilhas compartilhadas por link público, relatórios enviados por e-mail sem criptografia ou logs de servidor. A agência precisa declarar por escrito quais campos são tratados, em que formato e por quais rotas.
O que exigir no contrato antes de assinar
O contrato é o instrumento que transforma expectativa em obrigação. Antes de assinar, o anunciante deve revisar cláusulas específicas de proteção de dados — e recusar contratos que tratem o tema em uma linha genérica. As cláusulas abaixo são o piso, não o diferencial.
Cláusulas de confidencialidade, sigilo e devolução ou exclusão de dados no encerramento
A cláusula de confidencialidade precisa cobrir não apenas os dados de conversão, mas toda informação derivada: relatórios, públicos, estratégias de lance, listas de clientes, benchmarks internos. O sigilo deve sobreviver ao fim do contrato, sem prazo de expiração para dados pessoais e segredos de negócio. A cláusula de encerramento precisa definir o que acontece com cada categoria de dado: devolução em formato utilizável, exclusão comprovada ou destruição certificada.
O ideal é prever prazos objetivos e comprovação por escrito da exclusão. Sem prazo, a obrigação vira promessa. A cláusula também deve proibir a retenção de qualquer dado “para eventual uso futuro”.
Responsabilidade por incidentes: notificação, prazos e reparação
O contrato precisa definir o fluxo de incidente: a agência notifica o anunciante após tomar conhecimento de qualquer acesso não autorizado, vazamento ou perda de dados, informando natureza, extensão, dados afetados e medidas adotadas. A notificação à autoridade nacional e aos titulares é decisão do controlador, mas depende da informação tempestiva da agência.
A cláusula de responsabilidade deve prever que a agência responde por danos causados por tratamento em desacordo com as instruções ou com a lei, incluindo custos de remediação, multas administrativas e indenizações a titulares. Limitar a responsabilidade ao valor do contrato é cláusula comum em contratos de agência, mas inadequada para danos a dados pessoais — o anunciante deve negociar a exclusão dessa limitação para incidentes de segurança.
Como auditar a agência depois que a operação já começou
Segurança não é evento de contratação, é processo contínuo. O anunciante que entrega o acesso e só volta a olhar na renovação do contrato está operando às cegas. A auditoria periódica, mesmo simples, é o que separa empresas que detectam problema cedo das que descobrem na saída.
Revisão periódica de acessos, logs e permissões
Estabeleça uma rotina trimestral de revisão: quem tem acesso a cada conta, com qual nível de permissão e se ainda faz parte do time da agência no seu projeto. Ex-funcionários da agência com acesso ativo são uma das falhas mais comuns — e mais fáceis de corrigir. Peça o log de atividades das plataformas e cruze com a lista de usuários autorizados.
As próprias plataformas fornecem trilhas de auditoria. O Meta Business Manager registra alterações de permissão, criação de públicos e exportações. O Google Ads mantém histórico de mudanças por usuário. O anunciante deve ter um responsável interno que consulte esses registros regularmente, sem depender da agência para isso. Se a agência resiste a fornecer acesso de leitura aos logs, o sinal é ruim.
Sinais de alerta: dados em contas de terceiros, exportações sem justificativa e retenção após o fim do contrato
Alguns comportamentos indicam risco elevado e merecem ação imediata. O primeiro é a descoberta de que públicos, listas ou relatórios seus estão hospedados em contas que não são suas nem da agência — por exemplo, em conta pessoal de um analista ou em ferramenta de terceiro sem contrato de suboperação. O segundo é a exportação recorrente de dados de conversão para planilhas fora do ambiente controlado, sem justificativa operacional documentada.
O terceiro sinal é a retenção após o encerramento: a agência que, meses depois do fim do contrato, ainda mantém cópias, acessos ou públicos ativos com seus dados. Isso viola o princípio da finalidade e costuma indicar que a cultura de dados da agência é de acumulação, não de proteção. Detectado qualquer um desses sinais, o anunciante deve formalizar a exigência de correção por escrito e, se necessário, interromper o acesso imediatamente.
O que define o custo de uma operação de mídia com segurança de dados
Segurança de dados tem custo operacional, e ele se reflete no valor do serviço — mas não de forma linear. O que encarece uma operação não é o discurso de segurança, e sim a infraestrutura real por trás: gestão de acessos individualizada, ferramentas de gerenciamento de senhas corporativas, monitoramento de logs, implementação de rastreamento server-side, revisão jurídica de contrato e rotina de auditoria.
Uma agência que opera com login compartilhado, planilha de senhas e pixel instalado sem governança consegue cobrar menos porque não arca com esses custos. A diferença de preço, nesse caso, é a diferença entre comprar risco embutido ou comprar proteção. Para o anunciante, o custo relevante não é o da mensalidade, mas o custo potencial de um incidente: perda de histórico de conversão, exposição de clientes, multa administrativa e dano reputacional. Uma operação de mídia com segurança de dados adequada custa o que custa a infraestrutura mínima de controle — e o barato que dispensa isso costuma cobrar depois.
Perguntas para fazer à agência antes de entregar o acesso
Antes de conceder qualquer permissão, o anunciante deve entrevistar a agência sobre práticas concretas de segurança. As respostas precisam ser específicas — nomes de ferramentas, políticas documentadas, prazos. Respostas vagas como “temos cuidado com isso” ou “usamos as melhores práticas do mercado” não valem como comprovação.
- Quem será o proprietário do Business Manager, das contas de anúncio, do pixel e das tags — a agência ou o meu CNPJ?
- Os acessos serão individuais por analista ou haverá login compartilhado? Todos os usuários têm autenticação em dois fatores ativa?
- Quais dados pessoais a agência vai tratar, em que formato e por quais rotas (navegador ou servidor)? E-mail e telefone são enviados em hash?
- Existe contrato de tratamento de dados pessoais específico, com cláusula de devolução e exclusão no encerramento? Qual o prazo de exclusão após o fim do contrato?
- A agência atende outros clientes do mesmo setor? Como ela impede o uso cruzado de públicos e listas entre clientes?
- Em caso de incidente de segurança, qual o prazo de notificação ao anunciante e quem responde pelos custos de remediação?
- Quais ferramentas de terceiros serão usadas (automação, relatórios, enriquecimento de dados) e há contrato de suboperação com cada uma?
- Como o anunciante terá acesso aos logs e ao histórico de mudanças sem depender da agência?
Checklist de segurança de dados de conversão para o seu próximo contrato
O checklist abaixo consolida os pontos críticos em uma sequência verificável antes da assinatura. Cada item deve ter resposta documentada — se a agência não entrega, o contrato não está pronto para ser assinado.
- Business Manager, contas de anúncio, pixels, tags e propriedades de analytics criados no CNPJ do anunciante, com e-mail corporativo próprio
- Agencia com acesso apenas como parceira ou usuária, com permissões limitadas por função e revisão trimestral
- Acesso individual por analista, sem login compartilhado, com autenticação em dois fatores obrigatória em todas as contas
- Contrato de tratamento de dados pessoais com base legal definida, finalidade restrita à gestão de campanhas e proibição de uso cruzado entre clientes
- Cláusula de confidencialidade com sobrevivência ao fim do contrato e sem prazo de expiração para dados pessoais
- Cláusula de encerramento com devolução de ativos em até 15 dias e exclusão comprovada de cópias em até 30 dias
- Cláusula de incidente com notificação em até 24 horas e responsabilidade sem limitação ao valor do contrato
- Rastreamento de conversões preferencialmente server-side, com hash de dados pessoais e proibição de tráfego em texto aberto
- Lista de suboperadores aprovada, com contrato de tratamento para cada ferramenta de terceiro usada na operação
- Rotina de auditoria definida: revisão trimestral de acessos, consulta a logs das plataformas e responsável interno designado
A segurança dos dados de conversão não é um item técnico que a agência resolve sozinha — é uma decisão de governança do anunciante. Quem define a régua, documenta as obrigações e audita o cumprimento é quem controla os dados. A agência que leva a sério esse tema responde às perguntas com evidência, aceita a propriedade no CNPJ do cliente e entrega o contrato de tratamento sem resistência. Se a resposta for evasiva, o momento de descobrir é antes de entregar o acesso — não depois que o pixel, os públicos e o histórico de conversão já estão na conta de outra empresa.
