Se você está avaliando agências de marketing digital, provavelmente já sabe o que perguntar sobre resultados, verba e prazos. Mas há uma conversa que costuma ficar para depois da assinatura — e é justamente a que envolve os dados de leads e clientes que sua empresa vai compartilhar. Este texto reúne as perguntas sobre o que perguntar sobre proteção de dados antes de contratar uma agência de marketing? que precisam ser feitas antes de fechar contrato, para você identificar riscos e exigir respostas concretas.
O que você está entregando à agência quando contrata marketing
Contratar uma agência de marketing digital não é apenas comprar horas de gestão de campanhas. É transferir, na prática, o tratamento de dados pessoais que sua empresa coletou — e pelos quais responde legalmente. Uma planilha de leads enviada por e-mail, o acesso ao pixel instalado no site ou a integração do CRM com a plataforma de anúncios colocam nomes, e-mails, telefones e comportamentos de navegação nas mãos de terceiros. A pergunta sobre proteção de dados precisa vir antes do briefing de mídia, não depois.
O risco concreto não está apenas em um vazamento. Está em usos que a agência faz sem que você saiba: criar públicos semelhantes com sua base, exportar contatos para ferramentas de disparo, treinar modelos de inteligência artificial com conversas de clientes ou manter os dados em contas que a própria agência controla. Cada uma dessas operações é um tratamento de dados que a lei brasileira condiciona a finalidade, base legal e transparência.
Dados de leads, clientes e bases próprias: o que sai da sua empresa
O primeiro inventário é saber o que, de fato, será compartilhado. Em campanhas de tráfego pago e geração de leads, o escopo costuma incluir listas de e-mails para remarketing, dados de clientes para criação de públicos semelhantes, históricos de compra para segmentação, informações de formulários capturados no site e até acessos a sistemas internos como CRM e plataformas de automação. Também entram dados de funcionários, quando a agência administra a conta de anúncios em nome da empresa.
Muitos gestores se surpreendem ao descobrir que o pixel de rastreamento instalado pela agência envia dados de visitantes — inclusive de quem nunca comprou — para servidores de terceiros. A instalação de um pixel ou de um script de remarketing é um tratamento de dados pessoais que exige base legal. Se a agência instala tags sem mapear isso, a responsabilidade não desaparece: ela se acumula.
Controlador e operador: quem responde pelo quê na LGPD
A distinção entre controlador e operador define quem toma as decisões sobre o tratamento e quem apenas executa. A empresa contratante é, na quase totalidade dos casos, a controladora: decide por que os dados serão usados, com qual finalidade e por quanto tempo. A agência, quando segue instruções contratuais sem autonomia para decidir os rumos do tratamento, atua como operadora.
Essa separação importa porque muda a responsabilidade legal. A controladora responde diretamente perante os titulares dos dados e a autoridade nacional, enquanto a operadora responde solidariamente quando descumpre as instruções lícitas ou trata dados para finalidade própria. Uma agência que usa sua base de leads para prospectar clientes dela, por exemplo, deixa de ser mera operadora e assume posição de controladora sobre aquele uso — sem autorização, isso é desvio de finalidade.
Por que a pergunta certa não é ‘vocês são LGPD?’
Perguntar se a agência “é LGPD” produz respostas binárias e inúteis. Nenhuma empresa séria responderá “não”, e a resposta “sim” não revela nada sobre como os dados serão tratados no seu projeto específico. A conformidade não é um selo que se ostenta, é um conjunto de decisões documentadas para cada operação concreta.
O que diferencia uma agência preparada é a capacidade de responder, por escrito, quais dados recebe, para que os usa, com que base legal, onde os armazena, quem acessa e o que devolve ao final. Se a resposta for um slide institucional sobre “compromisso com a privacidade”, trate como sinal de alerta. A pergunta produtiva é específica: “qual base legal vocês usam para subir minha lista de clientes na plataforma de anúncios?”
Perguntas sobre finalidade e base legal do tratamento
Finalidade e base legal são o núcleo da conformidade. Sem finalidade definida, não há tratamento legítimo; sem base legal, a finalidade é apenas uma intenção. Antes de compartilhar qualquer dado, a agência precisa dizer, para cada operação, o que fará e com qual fundamento jurídico.
- Remarketing de visitantes do site
- Criação de públicos semelhantes a partir da base de clientes
- Envio de e-mails e automações de nutrição
- Enriquecimento de cadastros com dados de terceiros
- Treinamento de modelos de IA com dados de leads
Para que exatamente os meus dados serão usados
A resposta genérica “para otimizar as campanhas” não serve. É preciso descer ao nível da operação: a lista de clientes será usada para excluir quem já comprou dos anúncios de aquisição? Para gerar um público semelhante no Meta Ads? Para disparar e-mail marketing? Cada uso tem implicações diferentes de consentimento, legitimação e risco.
Um teste prático: peça à agência que liste as finalidades em uma tabela com colunas de dado utilizado, ferramenta, finalidade e prazo de uso. Se a agência não conseguir preencher essa tabela antes do contrato, dificilmente conseguirá justificar o tratamento depois, quando houver questionamento de um titular ou da autoridade.
Qual base legal sustenta cada uso
A lei brasileira de proteção de dados prevê um rol de bases legais, e nenhuma delas é “a campanha precisa disso”. As mais comuns no marketing são o consentimento, o legítimo interesse e a execução de contrato. O legítimo interesse, muito citado por agências, não é carta branca: exige avaliação de necessidade, proporcionalidade e expectativa do titular, documentada em um teste de balanceamento.
Para remarketing de visitantes anônimos, por exemplo, a base costuma ser o consentimento coletado no banner de cookies. Para usar a base de clientes em público semelhante, o legítimo interesse pode ser arguido, mas depende de como a coleta original foi comunicada. Se a agência responder “usamos legítimo interesse” sem conseguir mostrar o teste de balanceamento, a resposta é incompleta.
Haverá enriquecimento ou cruzamento com bases de terceiros
Enriquecimento de dados é a prática de cruzar sua base com fontes externas para completar informações faltantes — adicionar telefone a um cadastro que só tem e-mail, por exemplo. Essa operação transforma a natureza do dado e pode gerar tratamento sem consentimento do titular. A pergunta precisa ser direta: a agência compra listas, usa provedores de enriquecimento ou cruza dados com bases de parceiros?
- Quais provedores externos fornecem os dados
- Qual a origem e a licitude da coleta desses dados
- Se o titular foi informado desse uso
- Se o dado enriquecido será devolvido ao seu CRM
Perguntas sobre propriedade, acesso e devolução dos dados
Propriedade de dados e de ativos digitais é uma das maiores fontes de conflito quando o contrato termina. A base de leads que sua empresa construiu é um ativo estratégico; as contas de anúncio, o histórico de campanhas e as configurações do GA4 também. Se a agência detém esses acessos, a saída do contrato pode significar a perda de anos de histórico.
O momento de definir isso é antes da assinatura, não na rescisão. Contratos bem redigidos tratam propriedade, acesso e devolução em cláusulas separadas, com prazos e formatos específicos.
Quem é dono das contas de anúncio, do GA4 e do CRM
A regra de ouro: as contas de anúncio, o Google Analytics 4, o Gerenciador de Negócios do Meta e o CRM devem estar em propriedade da empresa contratante, com a agência atuando como usuária ou parceira. Quando a agência cria a conta no próprio nome e “cede” o acesso, a empresa fica refém: em caso de rompimento, perde histórico, públicos, pixels e até a continuidade das campanhas.
Exija que a conta seja criada com e-mail corporativo do seu domínio e que a propriedade seja transferida imediatamente. Se a agência resistir, pergunte o motivo. Não há razão técnica legítima para que a conta de anúncios de um cliente fique sob propriedade da agência depois do encerramento do contrato.
Quem dentro da agência acessa os dados e com qual permissão
Acesso não é binário. Dentro da agência, diferentes funções precisam de diferentes níveis: o analista de mídia acessa a conta de anúncios, mas não precisa exportar a base de clientes; o designer acessa criativos, não precisa ver telefones de leads. A pergunta certa é sobre granularidade de permissão e sobre o princípio do menor privilégio.
- Quantas pessoas têm acesso administrativo às contas
- Se há perfis separados por função
- Se o acesso é revogado quando alguém sai do projeto
- Se existe registro de quem acessou o quê e quando
O que acontece com os dados quando o contrato termina
A resposta aceitável é: devolução integral em formato utilizável e eliminação das cópias em até 30 dias, com comprovante. A resposta inaceitável é o silêncio ou o “a gente vê depois”. O contrato deve prever o formato da devolução (CSV, exportação do CRM, transferência de propriedade das contas), o prazo e a obrigação de eliminar backups e cópias em ferramentas de terceiros.
Inclua também os dados derivados: públicos personalizados criados a partir da sua base, listas de remarketing, modelos de machine learning treinados com seus dados e relatórios com informações pessoais. Tudo isso é resultado do tratamento e deve ser devolvido ou eliminado conforme instrução sua.
Perguntas sobre segurança da informação na prática
Segurança da informação não é discurso, é configuração. As perguntas desta seção buscam evidências de que a agência aplica controles técnicos e organizacionais, não apenas que “se preocupa com segurança”. Uma agência pequena pode ter controles adequados; uma grande pode ter falhas graves. O porte não é garantia de nada.
Se você está avaliando agências de performance com equipes de tamanhos diferentes, o critério de segurança precisa ser uniforme: os mesmos requisitos valem para todos os portes.
Onde os dados ficam armazenados e por quanto tempo
A localização dos dados importa por causa das regras de transferência internacional previstas na legislação brasileira. Se a agência usa ferramentas americanas ou europeias, os dados podem estar em servidores fora do Brasil, o que exige salvaguardas contratuais. Pergunte onde ficam os dados, em quais países e se há cláusulas contratuais que legitimem a transferência.
O prazo de armazenamento é igualmente crítico. Dados de campanha não precisam ficar guardados indefinidamente. A agência deve definir prazos de retenção por tipo de dado e eliminá-los ao final, salvo obrigação legal de guarda. Uma agência que “nunca apaga nada” acumula risco para você e para ela.
Como é o controle de acesso, a autenticação e o registro de atividades
Autenticação multifator em todas as contas que acessam seus dados é requisito mínimo, não diferencial. Também importa saber se a agência mantém inventário de acessos, se usa gerenciador de senhas corporativo, se há política de senhas fortes e se o acesso de ex-funcionários é revogado imediatamente. O registro de atividades — logs de quem acessou, exportou ou alterou dados — é o que permite investigar incidentes.
- Autenticação multifator obrigatória em todas as contas
- Gerenciador de senhas institucional, sem senhas compartilhadas por planilha
- Logs de acesso e exportação de dados
- Processo formal de desligamento com revogação imediata de acessos
Como a agência trata subcontratados, freelancers e ferramentas de IA
Agências frequentemente terceirizam parte da operação: redatores freelancers, designers externos, editores de vídeo, consultores. Cada um desses subcontratados que toca seus dados é um ponto de exposição. A pergunta é se a agência tem contratos com esses profissionais que os obriguem às mesmas regras de confidencialidade e proteção de dados — e se ela consegue demonstrar isso.
As ferramentas de IA generativa adicionam uma camada nova. Se a agência cola textos de anúncios com dados de clientes em um assistente de IA, envia planilhas para análise automatizada ou usa IA para qualificar leads, isso é tratamento de dados pessoais por um subprocessador. Pergunte quais ferramentas de IA são usadas, se os dados enviados são usados para treinar modelos e se há cláusula contratual que proíba isso. A resposta padrão de mercado em 2026 é que provedores sérios oferecem opções de não treinamento; a agência precisa saber ativá-las.
Perguntas sobre incidentes, subprocessadores e resposta a vazamentos
Incidente de segurança não é questão de “se”, mas de “quando”. O que separa uma agência preparada de uma vulnerável é o plano de resposta: quem detecta, quem decide, quem comunica e em quanto tempo. Essas definições precisam estar no contrato, não apenas no discurso de venda.
Em quanto tempo eu seria avisado de um incidente
A legislação brasileira exige comunicação à autoridade nacional e aos titulares em prazo razoável, mas não fixa um número exato de horas para todos os casos. O contrato com a agência pode — e deve — ser mais específico. Um padrão de mercado defensável é notificar o cliente em até 24 horas após a confirmação do incidente, com relatório preliminar do que ocorreu, quais dados foram afetados e quais medidas foram tomadas.
Desconfie de prazos vagos como “o mais rápido possível” ou “assim que identificarmos”. A obrigação precisa ser mensurável: horas ou dias contados a partir da ciência do evento, com canal definido de comunicação e responsável nomeado.
Quem comunica a ANPD e os titulares
Como controladora, sua empresa é a responsável legal pela comunicação à autoridade e aos titulares. Mas a agência, como operadora, tem o dever de informar você imediatamente e fornecer os dados técnicos necessários para a comunicação. O contrato precisa deixar isso explícito: a agência notifica você, você decide e comunica, a agência fornece suporte técnico.
Em alguns casos, a agência pode até assumir a comunicação em seu nome, mediante procuração ou cláusula específica. O que não pode acontecer é a agência comunicar a autoridade por conta própria, sem alinhamento com você, ou esconder o incidente “para não assustar o cliente”. Ocultação de incidente é agravante grave.
Quais subprocessadores a agência usa e como são avaliados
Subprocessadores são todas as ferramentas e empresas que a agência usa para tratar seus dados: plataformas de anúncio, ferramentas de e-mail, CRMs de terceiros, serviços de armazenamento em nuvem, soluções de IA. Cada um deles é um elo na cadeia de tratamento e precisa estar listado no contrato ou em anexo.
- Lista completa de subprocessadores com finalidade de cada um
- Critério de avaliação de segurança desses fornecedores
- Direito de veto ou substituição de subprocessador pelo cliente
- Obrigação de notificar quando um subprocessador novo for adicionado
Perguntas sobre o que está escrito no contrato
O contrato é onde a conformidade deixa de ser promessa e vira obrigação. Tudo o que foi conversado nas reuniões precisa estar escrito, com cláusulas específicas de proteção de dados. Um contrato de marketing que não menciona tratamento de dados pessoais é um contrato incompleto para operar no Brasil em 2026.
Se você ainda está decidindo o momento de contratar uma agência de tráfego pago pela primeira vez, inclua a revisão das cláusulas de dados como etapa obrigatória dessa decisão, não como detalhe burocrático.
Cláusulas de proteção de dados, confidencialidade e responsabilidade
O contrato precisa ter, no mínimo: definição das partes como controlador e operador, descrição das finalidades do tratamento, bases legais aplicáveis, obrigações de segurança, regras de subcontratação, dever de notificação de incidentes, cláusula de devolução e eliminação de dados ao término e limites de responsabilidade. A ausência de qualquer uma dessas cláusulas é lacuna que pode custar caro.
Confidencialidade é cláusula irmã, mas não substitui a de proteção de dados. A confidencialidade impede a divulgação; a proteção de dados regula o tratamento. As duas precisam coexistir, e a de proteção de dados deve prevalecer em caso de conflito.
O que define o custo de uma agência que leva LGPD a sério
Conformidade tem custo operacional: advogado ou consultor para revisar contratos, ferramentas com configurações adequadas de privacidade, tempo de equipe para documentar bases legais e responder a questionamentos, treinamento de funcionários, seguros de responsabilidade civil. Uma agência que leva proteção de dados a sério embute esses custos na sua operação e, consequentemente, no preço.
Isso não significa que a agência mais cara é a mais conformada, nem que preço baixo indica descuido. Mas desconfie de propostas que prometem tudo por valores muito abaixo do mercado, sem nenhuma menção a proteção de dados no escopo. O custo da conformidade não desaparece; ou ele está no preço, ou está sendo ignorado.
Multas, indenizações e quem arca com o prejuízo
As sanções previstas na legislação brasileira incluem multas que podem chegar a percentuais do faturamento, além de indenizações por danos morais e materiais aos titulares. O contrato precisa definir quem responde pelo quê: a controladora responde perante titulares e autoridade, mas pode regressivamente cobrar da operadora se o dano decorreu de culpa exclusiva desta.
- Cláusula de responsabilidade por descumprimento da legislação de dados
- Dever de indenizar em caso de culpa comprovada
- Limitação de responsabilidade que não exclua danos por violação de dados
- Obrigação de manter seguro ou reserva para incidentes
Sinais de alerta nas respostas
As respostas da agência durante a negociação são o melhor preditor do comportamento futuro. Uma agência que enrola na fase de venda não se tornará diligente na fase de operação. Os sinais abaixo são motivos para pausar a contratação ou exigir correção imediata.
Respostas vagas, genéricas ou copiadas do site
Se a resposta para “qual base legal vocês usam para minha lista de clientes?” for “trabalhamos em conformidade com a LGPD”, a agência não respondeu a pergunta. Respostas que repetem o texto institucional do site, sem aplicação ao seu caso concreto, indicam ausência de processo interno de adequação. Uma agência que leva o tema a sério responde com especificidade: cita a operação, a base legal e o documento que sustenta a decisão.
Resistência a colocar obrigações por escrito
O clássico “não precisa colocar isso no contrato, confia na gente” é o maior sinal de alerta disponível. Obrigações verbais não geram direito exigível. Se a agência se recusa a formalizar prazos de notificação, devolução de dados ou propriedade das contas, é porque não quer se comprometer com o que está prometendo. Nenhuma agência séria se opõe a documentar o que já faz.
Essa resistência aparece também em contratos excessivamente curtos, que tratam apenas de escopo e preço, sem anexos de proteção de dados. Um contrato de marketing digital que cabe em duas páginas provavelmente não regula tratamento de dados pessoais.
Quando a agência empurra a responsabilidade toda para você
Há um equilíbrio esperado: você, como controlador, responde pela decisão de contratar e pelas finalidades; a agência, como operadora, responde pela execução segura. O desequilíbrio aparece quando a agência tenta transferir toda a responsabilidade para o cliente, com cláusulas do tipo “o cliente declara que possui todas as autorizações necessárias e isenta a agência de qualquer responsabilidade”.
Essa cláusula, isolada, é abusiva e não elimina a responsabilidade solidária da operadora. Mas a tentativa de incluí-la revela a postura: a agência quer o benefício do tratamento sem o ônus da diligência. O mesmo vale para a agência que se recusa a assinar um acordo de tratamento de dados pessoais, documento padrão que formaliza as obrigações da operadora.
Checklist para usar na reunião de contratação
O checklist abaixo organiza as perguntas em três momentos: a primeira conversa, a fase pré-assinatura e os primeiros 90 dias de contrato. Ele cobre o essencial sem transformar a negociação em auditoria — o objetivo é filtrar agências despreparadas e blindar a operação desde o início.
O que perguntar na primeira conversa
- Quais dados vocês vão precisar receber de mim e para que servem cada um?
- Quem é o dono das contas de anúncio, do GA4 e do CRM?
- Vocês usam ferramentas de IA que recebem dados de leads ou clientes?
- O que acontece com meus dados quando o contrato terminar?
- Em quanto tempo eu seria avisado se houvesse um vazamento?
O que exigir antes de assinar
- Acordo de tratamento de dados pessoais anexo ao contrato
- Cláusula de propriedade das contas e devolução de dados
- Lista de subprocessadores com finalidade de cada um
- Prazo escrito de notificação de incidentes
- Cláusula de responsabilidade e indenização por violação de dados
O que revisar nos primeiros 90 dias de contrato
Os primeiros três meses revelam se o discurso da contratação se sustenta na operação. Verifique se a agência criou as contas em propriedade sua, se os acessos foram concedidos com perfis separados por função e se os subprocessadores usados correspondem à lista do contrato. Confira também se houve solicitação de dados além do escopo combinado — pedido de base completa de clientes para “testar uma ferramenta nova” sem justificativa é sinal de alerta.
- Contas de anúncio e GA4 em propriedade da sua empresa
- Acessos com menor privilégio e autenticação multifator ativa
- Nenhum subprocessador fora da lista contratual
- Registro das finalidades e bases legais em uso real
- Canal de comunicação definido para questões de privacidade
Se você está avaliando contratar uma agência de tráfego pago na fase inicial do negócio ou antes do lançamento de um produto, o critério de proteção de dados deve ter o mesmo peso do critério de performance. Uma campanha que gera leads a qualquer custo, sem base legal e sem controle sobre os dados, pode criar um passivo maior do que o retorno que entrega.
