Marketing-agentzia bat, bere lanaren izaeragatik beragatik, nodo kritikoa da bere bezero-marken datu pertsonalen fluxuan. Harpidedun-zerrendak kudeatzen ditu, marken izenean emailak bidaltzen ditu, pixelak eta bihurketak konfiguratzen ditu, CRMak segmentatzen ditu, Meta, Google, TikTok eta LinkedIn plataformetan kanpainak exekutatzen ditu, retargeting-a optimizatzen du eta, gero eta gehiago, adimen artifizialarekin sortutako audientzia sintetikoak erabiltzen ditu. Jarduera hori guztia datu pertsonalak hirugarren baten kontura tratatzean datza, eta horrek agentzia tratamenduaren eragile rolean kokatzen du RGPDren 28. artikuluaren arabera.
Gida honek azaltzen du nola arautzen duen marketing-agentzia espainiar batek bere bezero-markekiko harremana RGPD (EB 2016/679 Erregelamendua), LOPDGDD (3/2018 Lege Organikoa) eta LSSICE (34/2002 Legea) arauen pean: zer dokumentu kontratual behar den, nola kudeatu azpieragileak, non dagoen eragilearen eta arduradun independentearen arteko muga eta zer egin harremana ixtean.
Rol-banaketa agentzia-marka katean
Marka batek agentzia bat kontratatzen duenean bere merkataritza-komunikazioak edo bere kanpaina digitalak kudeatzeko, datu pertsonalen tratamenduaren bi plano elkarbizi dira rol desberdinekin:
- Markaren azken bezeroen datuak (bere newsletter-aren harpidedunak, bere dendaren erosleak, bere webaren erabiltzaileak, bere kanpainen lead-ak): marka arduraduna da tratamenduaren gainean; agentzia eragilea da, hark agindutakoa exekutatzen duena.
- Agentziaren beraren datuak (bere bezero-marken zorroa, bere merkataritza-kontaktuak, bere plantilla, bere prospektuak): agentzia arduraduna da tratamenduaren gainean.
Agentzia profesionalak bitasun hori bi dokumentu desberdinetan islatzen du: webeko bere pribatutasun-politika publikoa, berak biltzen dituen datuak estaltzen dituena (merkataritza-kontaktuko formularioak, agentziaren newsletter-a, enplegurako hautagaiak), eta bezero-marka bakoitzarekin sinatutako RGPDren 28. artikuluko datu-babeserako eranskin bat kontratatutako zerbitzu profesionalak estaltzeko.
RGPDren 28. artikuluko eranskina: kolaborazioaren pieza nuklearra
RGPDren 28.3 artikuluak arduradun-eragile harremana kontratu edo bestelako egintza juridiko lotesle baten bidez arautzera behartzen du gutxieneko eduki batekin. Marketing-agentzia bati aplikatuta:
| Klausula | Zer esan behar duen marketing-agentzia batean |
|---|---|
| Xedea eta iraupena | Kontratatutako zerbitzu zehatzak (email marketing-aren kudeaketa, ordainpeko kanpainak, social media, SEO, CRM) merkataritza-kontratuaren indarraldian. |
| Izaera eta helburua | Marketing-ekintzen exekuzioa markaren kontura, helburu propio desberdinetarako erabili gabe. |
| Datu motak eta interesdunak | Identifikatzaileak, kontaktua, nabigazio-datuak, merkataritza-interesak, hala badagokio jokabidearen datu ekonomikoak. Interesdunak: markaren bezeroak eta harpidedunak. |
| Agentziaren langileak | Konfidentzialtasun-konpromisoa lan-kontratuz edo klausula espezifikoz, bezeroaren datuetarako sarbidea gutxieneko pribilegioaren printzipioz. |
| Segurtasun-neurriak | Zifratzea garraioan, bezeroaren plataformetarako sarbide-kontrola bigarren faktorearekin, langileen alta eta baja politika, konfigurazio kritikoen segurtasun-kopia. |
| Azpieragileak | Agentziak bezeroaren kontura erabiltzen dituen SaaS tresna guztien zerrenda nominala edo kategoriaka: email plataforma, CRM, ads manager, analitika, IA sortzailea. |
| Nazioarteko transferentziak | EEEtik kanpoko hornitzaileen identifikazioa (Mailchimp, HubSpot, Google, Meta) eta transferentziaren oinarria (Data Privacy Framework edo kontratu-klausula tipoak). |
| Eskubideetarako laguntza | Agentziak bezero-markari laguntzen dio bere datuen gaineko sarbide-, ezabatze-, zuzenketa-, aurkaratze- edo eramangarritasun-eskubide bat iristen denean. |
| Hausteen jakinarazpena | Bezeroari edozein hauste jakinarazteko epe zehatza (normalean 24-48 ordu), gutxieneko informazioa eta lankidetza-prozedura. |
| Amaieran itzultzea | Harpidedun-zerrendak, CRMa, historikoak eta konfigurazioak bezeroari formatu egituratuan entregatzea, ondorengo ezabaketaren aurretik. |
Azpieragileak: agentziaren kate teknologikoa
Marketing-agentzia batek normalean dozena bat SaaS tresnarekin egiten du lan: email marketing plataforma (Mailchimp, Mailjet, Brevo, ActiveCampaign), CRM (HubSpot, Salesforce, Pipedrive), iragarki-administratzaileak (Meta Business Manager, Google Ads, TikTok Ads, LinkedIn Campaign Manager), tresna analitikoak (Google Analytics, Matomo, Hotjar), automatizazioa (Zapier, Make), sare sozialen kudeaketa (Hootsuite, Buffer, Metricool), IArekin eduki-sorkuntza, SEO tresnak.
Tresna horietako bakoitza, markaren bezeroen datuak prozesatzen dituenean, tratamenduaren azpieragilea da RGPDren 28.2 artikuluaren zentzuan. Agentziarentzako betebehar praktikoak:
- Zerrenda eguneratua mantendu bezero-marka bakoitzaren kontura erabilitako azpieragileena.
- Azpieragile bakoitzarekin sinatu eskaintzen duten DPA estandarra (plataforma profesional guztiek dute).
- Bezero-markari eskualdatu zerrenda eta, dagokionean, bere baimena eskatu azpieragile berriak sartzeko.
- Nazioarteko transferentziak egiaztatu: plataforma horien gehiengo handia estatubatuarra da eta Data Privacy Framework-aren pean edo kontratu-klausula tipoekin funtzionatzen dute.
- Azpieragileen ordezkapena dokumentatu agentziak plataformaz aldatzen duenean, esportazioa eta ezabaketa bermatuz.
Arduradun independentearen rolarekiko muga
Eragile rolak muga argiak ditu. Hiru egoera daude non agentzia aldi berean arduradun independente bihurtzen den eragile gisa ere kudeatzen dituen datuen gainean:
- Bezeroen arteko datu-gurutzaketa: agentziak hainbat bezero-markaren zerrendak edo jokabideak gurutzatzen baditu bere sektore-benchmark-ak eraikitzeko, datu horien gainean helburu propioa hartzen du eta arduradun bihurtzen da. Datuak agregatu edo anonimizatuta badaude soilik da legezkoa, edo agentziak oinarri juridiko autonomoa lortzen badu.
- Eredu propioen entrenamendua: bezero-marken datuak agentziaren scoring, gomendio edo IA sortzaile eredu propioak entrenatzeko erabiltzea helburu propioa da eta ez dago eragile rolak estalita.
- Prospekzio komertzial gurutzatua: marka baten azken bezeroei beste marka baten (agentzia bera barne) zerbitzuak eskaintzeko harremanetan jartzea ez dago eragile rolean eta azken interesdunaren oinarri juridiko autonomoa behar du.
Praktika profesional garbia da kontratuz islatzea zein tratamendu diren eragile hutsarenak eta, agentziak zeharkako balio analitikoren bat lortu nahi badu, hori berariaz arautzea bezeroaren baimen esplizituarekin edo datu anonimizatuekin lan eginez.
"Marketing-agentzia batean, 28. artikuluko eranskina ez da paperkeria: marka serioekin legez kontratatzea ahalbidetzen duen pieza da. Eskaintzen ez dutenek datu-babesaz dakiten bezeroak galtzen dituzte, eta gaizki eskaintzen dutenek arretaz irakurtzen duen lehen bezeroaren konfiantza galtzen dute."
Mario P. Talamillo · Bazkide zuzendaria, Certix®
Hausteak: agentzia ahultasun-puntu gisa
Agentziak eraso-jomuga ohikoak dira, hainbat bezeroren plataforma kritikoetako (email, ads, CRM) kontu anitzetarako sarbideak batzen dituztelako aldi berean. Account manager baten kontuaren arriskuak hainbat bezero-marka aldi berean ukitzen dituen hauste bihur daiteke. Praktika onak:
- Bigarren faktore derrigorrezkoa bezeroaren plataforma guztietan.
- Pasahitzen kudeaketa profesionala taldearen kutxa partekatuarekin, ez pasahitzak kalkulu-orrietan edo post-it-etan.
- Gutxieneko pribilegioaren printzipioa: teknikari bakoitzak kudeatzen dituen bezeroetara soilik sartzen da, ez guztietara.
- Baja-protokolo berehalakoa: langile batek agentzia uzten duenean, bere sarbide guztiak egun horretan bertan errebokatzen dira.
- Detekzioa eta erantzuna: plataforma kritikoetako sarbide susmagarrien monitorizazioa eta bezero-markari gertakari batean 24-48 ordu baino lehen jakinarazteko prozedura.
Harremanaren ixtea: profesionalak bereizten dituen entrega ordenatua
Kontratuaren ixtea da RGPDren 28.3.g artikulua probara jartzen den tokia. Prozedura arrazoizkoa:
- Inbentario osoa agentziak kudeatzen zuenarena: harpidedun-zerrendak, kanpainen historikoak, plataformen konfigurazioak, CRMaren edukia, ads-etan gordetako audientziak.
- Formatu erabilgarrian esportatzea eta bezeroari entregatzea: zerrenden CSVa, CRMaren esportazio natiboa, email eta ads plataformen historikoaren deskarga.
- Kontuen eta sarbideen jabetza-transferentzia bezeroari edo hornitzaile berriari: email domeinua, analytics propietateak, Meta business manager-a, Google Ads-eko MCCa.
- Ixte-akta sinatua zer entregatzen den, zein datatan eta zein pertsonari dokumentatzen duena.
- Ezabaketa egiaztatua agentziaren sistemetan eragile gisa tratatutako datuena, idatzizko frogarekin.
- Hondar-kontserbazioa agentziaren kontabilitate- eta zerga-arauek fakturazioaren gainean eskatzen dutena soilik (ez azken bezeroaren datu pertsonalen gainean).
Agentzia profesionalaren gutxieneko checklist-a
- RGPDren 28. artikuluko eranskina sinatua eta artxibatua bezero-marka bakoitzarekin.
- Bezeroko erabilitako azpieragileen zerrenda eguneratua, bakoitzarekin DPA sinatuta.
- Nazioarteko transferentzien azterketa bezeroka eta plataformaka.
- Segurtasun operatiboko politika bigarren faktorearekin, pasahitz-kudeatzailearekin eta gutxieneko pribilegioarekin.
- Hausteen prozedura bezeroari 24-48 orduko jakinarazpen-eperekin.
- Langileen alta eta baja prozedura sarbideen berehalako errebokazioarekin.
- Ixte-akta estandarizatua entrega dokumentatuarekin eta ezabaketa egiaztatuarekin.
- Agentziaren pribatutasun-politika publikoa, bezeroekiko DPAren edukitik bereizia.
Ohiko galderak
Marketing-agentzia bat tratamenduaren arduraduna ala eragilea da bere bezeroen azken bezeroen datuen gainean?
Erregela orokorra eragilea da (RGPD 28. art.): agentziak datuak bezero-markaren kontura tratatzen ditu, hori baita arduraduna. Agentzia bere datuen arduraduna izaten jarraitzen du (merkataritza-kontaktuak, plantilla, hornitzaileak). Bitasuna RGPDren 28. artikuluko eranskin batekin arautu behar da bezero-marka bakoitzeko.
Zer sinatu behar du marketing-agentzia batek bere bezero-markarekin kolaborazioa hastean?
Zerbitzu-kontratuaz gain, RGPDren 28.3 artikuluko eranskin bat honekin: xedea, iraupena, izaera, datu motak, betebeharrak, konfidentzialtasuna, segurtasun-neurriak, azpieragileak, nazioarteko transferentziak, eskubideetarako laguntza, hausteen jakinarazpena eta amaieran itzultzea. Eranskin hori gabe, markak ezin du legez agentzia kontratatu bere datuak tratatzeko.
Agentziak datuak erabil ditzake bere zerbitzuak hobetzeko edo ereduak entrenatzeko?
Ez, markaren berariazko baimenik eta oinarri juridiko egokirik gabe. Eragile rolak helburu propioetarako erabilerak debekatzen ditu: bezeroen arteko datu-gurutzaketarik ez benchmark-etarako, IA eredu propioen entrenamendurik ez, kontaktuak beste bezeroetarako berrerabiltzerik ez eta CRMaren erauzketarik ez oinarri propioetarako. Legitimoa da datu anonimizatuekin lan egitea edo berariaz ituntzea.
Zer gertatzen da datuekin agentziaren eta markaren arteko harremana amaitzen denean?
RGPDren 28.3.g artikuluak datuak itzultzera behartzen du suntsitu aurretik. Harpidedun-zerrendak, CRMa, historikoak eta konfigurazioak formatu erabilgarrian entregatzea, kontuen eta sarbideen transferentzia bezeroari edo hornitzaile berriari, ixte-akta eta agentziaren sistemetan ezabaketa egiaztatua.
Eduki hau orientagarria eta dibulgatiboa da soilik; ez du inola ere aholkularitza juridiko espezializatua osatzen. Araudia kasu zehatz bakoitzean aplikatzeak banakako azterketa eskatzen du. Sektoreko araudi autonomikoak epeak eta baldintzak zabaldu edo aldatu ditzake.
Zure agentziak RGPDren 28. artikulua sinatzen al du bezero-marka bakoitzarekin?
Certix-en, marketing-sektoreko cumplimiento aditu bat esleitzen dizugu. Bitartekari komertzialik gabe, txantiloi generikorik gabe.
Aditu batekin hitz egin