Una agència de màrqueting és, per la mateixa naturalesa de la seva feina, un node crític en el flux de dades personals dels seus clients-marca. Gestiona llistes de subscriptors, envia emails en nom de marques, configura píxels i conversions, segmenta CRMs, executa campanyes en plataformes de Meta, Google, TikTok i LinkedIn, optimitza retargeting i, cada vegada més, opera audiències sintètiques creades amb intel·ligència artificial. Tota aquesta activitat consisteix a tractar dades personals per compte d'un tercer, cosa que col·loca l'agència en el rol d'encarregada del tractament conforme a l'art. 28 RGPD.
Aquesta guia explica com regula una agència de màrqueting espanyola la seva relació amb els clients-marca sota el RGPD (Reglament UE 2016/679), la LOPDGDD (Llei Orgànica 3/2018) i la LSSICE (Llei 34/2002): quin document contractual cal, com gestionar els subencarregats, on és la frontera entre encarregat i responsable independent, i què fer en tancar la relació.
El repartiment de rols en la cadena agència-marca
Quan una marca contracta una agència per gestionar les seves comunicacions comercials o les seves campanyes digitals, conviuen dos plans de tractament de dades personals amb rols diferents:
- Dades dels clients finals de la marca (subscriptors de la seva newsletter, compradors de la seva botiga, usuaris de la seva web, leads de les seves campanyes): la marca és responsable del tractament; l'agència és encarregada que executa el que aquella li indica.
- Dades de la mateixa agència (la seva cartera de clients-marca, els seus contactes comercials, la seva plantilla, els seus prospectes): l'agència és responsable del tractament.
L'agència professional reflecteix aquesta dualitat en dos documents diferents: la seva política de privacitat pública a la web, que cobreix les dades que ella mateixa capta (formularis de contacte comercial, newsletter de l'agència, candidats a feina), i un annex de protecció de dades de l'art. 28 RGPD signat amb cada client-marca per cobrir els serveis professionals contractats.
L'annex de l'art. 28 RGPD: la peça nuclear de la col·laboració
L'art. 28.3 RGPD obliga a regular la relació responsable-encarregat mitjançant un contracte o un altre acte jurídic vinculant amb un contingut mínim. Aplicat a una agència de màrqueting:
| Clàusula | Què ha de dir en una agència de màrqueting |
|---|---|
| Objecte i durada | Serveis concrets contractats (gestió d'email màrqueting, campanyes de pagament, social media, SEO, CRM) durant la vigència del contracte comercial. |
| Naturalesa i finalitat | Execució de les accions de màrqueting per compte de la marca, sense ús per a finalitats pròpies diferents. |
| Tipus de dades i interessats | Identificatives, contacte, dades de navegació, interessos comercials, si escau dades econòmiques de comportament. Interessats: clients i subscriptors de la marca. |
| Personal de l'agència | Compromís de confidencialitat per contracte laboral o clàusula específica, accés a dades del client pel principi del mínim privilegi. |
| Mesures de seguretat | Xifrat en trànsit, control d'accessos amb doble factor a les plataformes del client, política d'altes i baixes de personal, còpia de seguretat de configuracions crítiques. |
| Subencarregats | Llista nominal o per categories de totes les eines SaaS que l'agència usa per compte del client: plataforma d'email, CRM, ads manager, analítica, IA generativa. |
| Transferències internacionals | Identificació de proveïdors fora de l'EEE (Mailchimp, HubSpot, Google, Meta) i base de la transferència (Data Privacy Framework o clàusules contractuals tipus). |
| Assistència per als drets | L'agència assisteix el client-marca quan arriba un dret d'accés, supressió, rectificació, oposició o portabilitat sobre les seves dades. |
| Notificació de bretxes | Termini concret per comunicar al client qualsevol bretxa (típicament 24-48 hores), informació mínima i procediment de col·laboració. |
| Devolució en finalitzar | Lliurament al client de llistes de subscriptors, CRM, històrics i configuracions en format estructurat, abans de la supressió posterior. |
Subencarregats: la cadena tecnològica de l'agència
Una agència de màrqueting treballa típicament amb una dotzena d'eines SaaS: plataforma d'email màrqueting (Mailchimp, Mailjet, Brevo, ActiveCampaign), CRM (HubSpot, Salesforce, Pipedrive), administradors d'anuncis (Meta Business Manager, Google Ads, TikTok Ads, LinkedIn Campaign Manager), eines analítiques (Google Analytics, Matomo, Hotjar), automatització (Zapier, Make), gestió de xarxes socials (Hootsuite, Buffer, Metricool), generació de contingut amb IA, eines SEO.
Cadascuna d'aquestes eines, quan processa dades dels clients de la marca, és subencarregada del tractament en el sentit de l'art. 28.2 RGPD. Les obligacions pràctiques per a l'agència:
- Mantenir una llista actualitzada dels subencarregats utilitzats per compte de cada client-marca.
- Signar amb cada subencarregat el DPA estàndard que ofereixen (totes les plataformes professionals el tenen).
- Traslladar al client-marca la llista i, quan escaigui, demanar la seva autorització per incorporar nous subencarregats.
- Verificar transferències internacionals: la immensa majoria d'aquestes plataformes són estatunidenques i operen sota el Data Privacy Framework o amb clàusules contractuals tipus.
- Documentar el reemplaçament de subencarregats quan l'agència canvia de plataforma, garantint exportació i supressió.
La frontera amb el rol de responsable independent
El rol d'encarregat té límits clars. Hi ha tres situacions en què l'agència es converteix simultàniament en responsable independent sobre dades que també gestiona com a encarregada:
- Encreuament de dades entre clients: si l'agència encreua llistes o comportaments de diversos clients-marca per construir benchmarks sectorials propis, sobre aquestes dades assumeix finalitat pròpia i es converteix en responsable. Només és lícit si les dades estan agregades o anonimitzades, o si l'agència obté base jurídica autònoma.
- Entrenament de models propis: usar les dades dels clients-marca per entrenar models de scoring, recomanació o IA generativa propis de l'agència és una finalitat pròpia que no està coberta pel rol d'encarregat.
- Prospecció comercial creuada: contactar els clients finals d'una marca per oferir-los els serveis d'una altra marca (inclosa la mateixa agència) no entra en el rol d'encarregat i requereix base jurídica autònoma de l'interessat final.
La pràctica professional neta és reflectir contractualment quins tractaments són d'encarregat pur i, si l'agència vol obtenir algun valor analític transversal, regular-lo expressament amb autorització explícita del client o treballant amb dades anonimitzades.
"En una agència de màrqueting, l'annex de l'art. 28 no és paperassa: és la peça que permet contractar legalment amb marques serioses. Les que no l'ofereixen perden els clients que sí que saben de protecció de dades, i les que l'ofereixen malament perden la confiança del primer client que se'l llegeix amb atenció."
Mario P. Talamillo · Soci director, Certix®
Bretxes: l'agència com a punt feble
Les agències són objectiu freqüent d'atacs perquè concentren accessos a múltiples comptes de plataformes crítiques (email, ads, CRM) de diversos clients alhora. Un compromís del compte d'un account manager es pot traduir en una bretxa que afecta diversos clients-marca simultàniament. Bones pràctiques:
- Doble factor obligatori a totes les plataformes del client.
- Gestió de contrasenyes professional amb caixa forta compartida de l'equip, no contrasenyes en fulls de càlcul o post-its.
- Principi del mínim privilegi: cada tècnic només accedeix als clients que gestiona, no a tots.
- Protocol de baixes immediat: quan un empleat deixa l'agència, tots els seus accessos es revoquen aquell mateix dia.
- Detecció i resposta: monitorització d'accessos sospitosos a les plataformes crítiques i procediment per notificar al client-marca en menys de 24-48 hores en cas d'incident.
Tancament de la relació: el lliurament ordenat que diferencia les professionals
El tancament del contracte és on l'art. 28.3.g RGPD es posa a prova. Procediment raonable:
- Inventari complet del que l'agència gestionava: llistes de subscriptors, històrics de campanyes, configuracions de plataformes, contingut del CRM, audiències desades en ads.
- Exportació en format útil i lliurament al client: CSV de les llistes, exportació nativa del CRM, descàrrega de l'històric de plataformes d'email i ads.
- Transferència de propietat dels comptes i accessos al client o al nou proveïdor: domini d'email, propietats d'analytics, business manager de Meta, MCC de Google Ads.
- Acta de tancament signada que documenti què es lliura, en quina data i a quina persona.
- Supressió confirmada de les dades tractades com a encarregat als sistemes de l'agència, amb constància escrita.
- Conservació residual únicament del que les normes comptables i fiscals pròpies de l'agència exigeixen sobre la facturació (no sobre les dades personals del client final).
Checklist mínim de l'agència professional
- Annex de l'art. 28 RGPD signat i arxivat amb cada client-marca.
- Llista actualitzada de subencarregats utilitzats per client, amb DPA signat amb cadascun.
- Anàlisi de transferències internacionals per client i per plataforma.
- Política de seguretat operativa amb doble factor, gestor de contrasenyes i mínim privilegi.
- Procediment de bretxes amb termini de notificació al client de 24-48 hores.
- Procediment d'incorporació i baixa de personal amb revocació immediata d'accessos.
- Acta de tancament estandarditzada amb lliurament documentat i supressió confirmada.
- Política de privacitat pública de l'agència, separada del contingut del DPA amb clients.
Preguntes freqüents
Una agència de màrqueting és responsable o encarregada del tractament sobre les dades dels clients finals dels seus clients?
La regla general és encarregada (art. 28 RGPD): l'agència tracta les dades per compte del client-marca, que és responsable. L'agència segueix sent responsable de les seves pròpies dades (contactes comercials, plantilla, proveïdors). La dualitat s'ha de regular amb un annex de l'art. 28 RGPD per a cada client-marca.
Què ha de signar una agència de màrqueting amb el seu client-marca en iniciar la col·laboració?
A més del contracte de serveis, un annex de l'art. 28.3 RGPD amb: objecte, durada, naturalesa, tipus de dades, obligacions, confidencialitat, mesures de seguretat, subencarregats, transferències internacionals, assistència per als drets, notificació de bretxes i devolució en tancar. Sense aquest annex, la marca no pot contractar legalment l'agència per tractar les seves dades.
L'agència pot usar les dades per millorar els seus propis serveis o entrenar models?
No, tret d'autorització expressa de la marca i base jurídica adequada. El rol d'encarregat prohibeix usos per a finalitats pròpies: no encreuament de dades entre clients per a benchmarks, no entrenament de models d'IA propis, no reutilització de contactes per a altres clients i no extracció del CRM per a bases pròpies. El que és legítim és treballar amb dades anonimitzades o pactar-ho expressament.
Què passa amb les dades quan acaba la relació entre l'agència i la marca?
L'art. 28.3.g RGPD obliga a retornar al client les dades abans de destruir-les. Lliurament de llistes de subscriptors, CRM, històrics i configuracions en format útil, transferència de comptes i accessos al client o al nou proveïdor, acta de tancament i supressió confirmada als sistemes de l'agència.
Aquest contingut és merament orientatiu i divulgatiu; no constitueix en cap cas assessorament jurídic especialitzat. L'aplicació de la normativa a cada cas concret requereix anàlisi individualitzada. La normativa autonòmica sectorial pot ampliar o modificar terminis i requisits.
La teva agència signa l'art. 28 RGPD amb cada client-marca?
A Certix t'assignem un expert en compliment del sector màrqueting. Sense intermediaris comercials, sense plantilles genèriques.
Parlar amb un expert