Unha axencia de marketing é, pola propia natureza do seu traballo, un nodo crítico no fluxo de datos persoais dos seus clientes-marca. Xestiona listas de subscritores, envía emails en nome de marcas, configura píxeles e conversións, segmenta CRMs, executa campañas en plataformas de Meta, Google, TikTok e LinkedIn, optimiza retargeting e, cada vez máis, opera audiencias sintéticas creadas con intelixencia artificial. Toda esa actividade consiste en tratar datos persoais por conta dun terceiro, o que coloca á axencia no rol de encargada do tratamento conforme ao art. 28 RGPD.
Esta guía explica como regula unha axencia de marketing española a súa relación cos clientes-marca baixo o RGPD (Regulamento UE 2016/679), a LOPDGDD (Lei Orgánica 3/2018) e a LSSICE (Lei 34/2002): que documento contractual cómpre, como xestionar os subencargados, onde está a fronteira entre encargado e responsable independente, e que facer ao pechar a relación.
O reparto de roles na cadea axencia-marca
Cando unha marca contrata unha axencia para xestionar as súas comunicacións comerciais ou as súas campañas dixitais, conviven dous planos de tratamento de datos persoais con roles distintos:
- Datos dos clientes finais da marca (subscritores da súa newsletter, compradores da súa tenda, usuarios da súa web, leads das súas campañas): a marca é responsable do tratamento; a axencia é encargada que executa o que aquela lle indica.
- Datos da propia axencia (a súa carteira de clientes-marca, os seus contactos comerciais, o seu cadro de persoal, os seus prospectos): a axencia é responsable do tratamento.
A axencia profesional reflicte esta dualidade en dous documentos distintos: a súa política de privacidade pública na web, que cobre os datos que ela mesma capta (formularios de contacto comercial, newsletter da axencia, candidatos a emprego), e un anexo de protección de datos do art. 28 RGPD asinado con cada cliente-marca para cubrir os servizos profesionais contratados.
O anexo do art. 28 RGPD: a peza nuclear da colaboración
O art. 28.3 RGPD obriga a regular a relación responsable-encargado mediante un contrato ou outro acto xurídico vinculante cun contido mínimo. Aplicado a unha axencia de marketing:
| Cláusula | Que debe dicir nunha axencia de marketing |
|---|---|
| Obxecto e duración | Servizos concretos contratados (xestión de email marketing, campañas de pago, social media, SEO, CRM) durante a vixencia do contrato comercial. |
| Natureza e finalidade | Execución das accións de marketing por conta da marca, sen uso para finalidades propias distintas. |
| Tipos de datos e interesados | Identificativos, contacto, datos de navegación, intereses comerciais, no seu caso datos económicos de comportamento. Interesados: clientes e subscritores da marca. |
| Persoal da axencia | Compromiso de confidencialidade por contrato laboral ou cláusula específica, acceso a datos do cliente por principio do mínimo privilexio. |
| Medidas de seguridade | Cifrado en tránsito, control de accesos con dobre factor ás plataformas do cliente, política de altas e baixas de persoal, copia de seguridade de configuracións críticas. |
| Subencargados | Lista nominal ou por categorías de todas as ferramentas SaaS que a axencia usa por conta do cliente: plataforma de email, CRM, ads manager, analítica, IA xerativa. |
| Transferencias internacionais | Identificación de provedores fóra do EEE (Mailchimp, HubSpot, Google, Meta) e base da transferencia (Data Privacy Framework ou cláusulas contractuais tipo). |
| Asistencia para dereitos | A axencia asiste ao cliente-marca cando chega un dereito de acceso, supresión, rectificación, oposición ou portabilidade sobre os seus datos. |
| Notificación de violacións | Prazo concreto para comunicar ao cliente calquera violación (tipicamente 24-48 horas), información mínima e procedemento de colaboración. |
| Devolución ao finalizar | Entrega ao cliente de listas de subscritores, CRM, históricos e configuracións en formato estruturado, antes da supresión posterior. |
Subencargados: a cadea tecnolóxica da axencia
Unha axencia de marketing traballa tipicamente cunha ducia de ferramentas SaaS: plataforma de email marketing (Mailchimp, Mailjet, Brevo, ActiveCampaign), CRM (HubSpot, Salesforce, Pipedrive), administradores de anuncios (Meta Business Manager, Google Ads, TikTok Ads, LinkedIn Campaign Manager), ferramentas analíticas (Google Analytics, Matomo, Hotjar), automatización (Zapier, Make), xestión de redes sociais (Hootsuite, Buffer, Metricool), xeración de contido con IA, ferramentas SEO.
Cada unha destas ferramentas, cando procesa datos dos clientes da marca, é subencargada do tratamento no sentido do art. 28.2 RGPD. As obrigas prácticas para a axencia:
- Manter unha lista actualizada dos subencargados utilizados por conta de cada cliente-marca.
- Asinar con cada subencargado o DPA estándar que ofrecen (todas as plataformas profesionais téñeno).
- Trasladar ao cliente-marca a lista e, cando aplique, solicitar a súa autorización para incorporar novos subencargados.
- Verificar transferencias internacionais: a inmensa maioría destas plataformas son estadounidenses e operan baixo o Data Privacy Framework ou con cláusulas contractuais tipo.
- Documentar o reemprazo de subencargados cando a axencia cambia de plataforma, garantindo exportación e supresión.
A fronteira co rol de responsable independente
O rol de encargado ten límites claros. Hai tres situacións nas que a axencia se converte simultaneamente en responsable independente sobre datos que tamén xestiona como encargada:
- Cruce de datos entre clientes: se a axencia cruza listas ou comportamentos de varios clientes-marca para construír benchmarks sectoriais propios, sobre eses datos asume finalidade propia e convértese en responsable. Só é lícito se os datos están agregados ou anonimizados, ou se a axencia obtén base xurídica autónoma.
- Adestramento de modelos propios: usar os datos dos clientes-marca para adestrar modelos de scoring, recomendación ou IA xerativa propios da axencia é unha finalidade propia que non está cuberta polo rol de encargado.
- Prospección comercial cruzada: contactar cos clientes finais dunha marca para ofrecerlles os servizos doutra marca (incluída a propia axencia) non entra no rol de encargado e require base xurídica autónoma do interesado final.
A práctica profesional limpa é reflectir contractualmente que tratamentos son de encargado puro e, se a axencia quere obter algún valor analítico transversal, regulalo expresamente con autorización explícita do cliente ou traballando con datos anonimizados.
"Nunha axencia de marketing, o anexo do art. 28 non é papelame: é a peza que permite contratar legalmente con marcas serias. As que non o ofrecen perden os clientes que si saben de protección de datos, e as que o ofrecen mal perden a confianza do primeiro cliente que o le con atención."
Mario P. Talamillo · Socio director, Certix®
Violacións: a axencia como punto débil
As axencias son obxectivo frecuente de ataques porque concentran accesos a múltiples contas de plataformas críticas (email, ads, CRM) de varios clientes á vez. Un compromiso da conta dun account manager pode traducirse nunha violación que afecta a varios clientes-marca simultaneamente. Boas prácticas:
- Dobre factor obrigatorio en todas as plataformas do cliente.
- Xestión de contrasinais profesional con bóveda compartida do equipo, non contrasinais en follas de cálculo ou post-its.
- Principio do mínimo privilexio: cada técnico só accede aos clientes que xestiona, non a todos.
- Protocolo de baixas inmediato: cando un empregado deixa a axencia, todos os seus accesos revócanse ese mesmo día.
- Detección e resposta: monitorización de accesos sospeitosos nas plataformas críticas e procedemento para notificar ao cliente-marca en menos de 24-48 horas en caso de incidente.
Peche da relación: a entrega ordenada que diferencia ás profesionais
O peche do contrato é onde o art. 28.3.g RGPD se pon a proba. Procedemento razoable:
- Inventario completo do que a axencia xestionaba: listas de subscritores, históricos de campañas, configuracións de plataformas, contido do CRM, audiencias gardadas en ads.
- Exportación en formato útil e entrega ao cliente: CSV das listas, exportación nativa do CRM, descarga do histórico de plataformas de email e ads.
- Transferencia de propiedade das contas e accesos ao cliente ou ao novo provedor: dominio de email, propiedades de analytics, business manager de Meta, MCC de Google Ads.
- Acta de peche asinada que documente que se entrega, en que data e a que persoa.
- Supresión confirmada dos datos tratados como encargado nos sistemas da axencia, con constancia escrita.
- Conservación residual unicamente do que as normas contables e fiscais propias da axencia esixen sobre a facturación (non sobre os datos persoais do cliente final).
Checklist mínimo da axencia profesional
- Anexo do art. 28 RGPD asinado e arquivado con cada cliente-marca.
- Lista actualizada de subencargados utilizados por cliente, con DPA asinado con cada un.
- Análise de transferencias internacionais por cliente e por plataforma.
- Política de seguridade operativa con dobre factor, xestor de contrasinais e mínimo privilexio.
- Procedemento de violacións con prazo de notificación ao cliente de 24-48 horas.
- Procedemento de incorporación e baixa de persoal con revogación inmediata de accesos.
- Acta de peche estandarizada con entrega documentada e supresión confirmada.
- Política de privacidade pública da axencia, separada do contido do DPA cos clientes.
Preguntas frecuentes
Unha axencia de marketing é responsable ou encargada do tratamento sobre os datos dos clientes finais dos seus clientes?
A regra xeral é encargada (art. 28 RGPD): a axencia trata os datos por conta do cliente-marca, que é responsable. A axencia segue sendo responsable dos seus propios datos (contactos comerciais, cadro de persoal, provedores). A dualidade debe regularse cun anexo do art. 28 RGPD para cada cliente-marca.
Que debe asinar unha axencia de marketing co seu cliente-marca ao iniciar a colaboración?
Ademais do contrato de servizos, un anexo do art. 28.3 RGPD con: obxecto, duración, natureza, tipos de datos, obrigas, confidencialidade, medidas de seguridade, subencargados, transferencias internacionais, asistencia para dereitos, notificación de violacións e devolución ao peche. Sen este anexo, a marca non pode contratar legalmente a axencia para tratar os seus datos.
A axencia pode usar os datos para mellorar os seus propios servizos ou adestrar modelos?
Non, salvo autorización expresa da marca e base xurídica adecuada. O rol de encargado prohibe usos para finalidades propias: non cruce de datos entre clientes para benchmarks, non adestramento de modelos de IA propios, non reutilización de contactos para outros clientes e non extracción do CRM para bases propias. O lexítimo é traballar con datos anonimizados ou pactalo expresamente.
Que pasa cos datos cando remata a relación entre a axencia e a marca?
O art. 28.3.g RGPD obriga a devolver ao cliente os datos antes de destruílos. Entrega de listas de subscritores, CRM, históricos e configuracións en formato útil, transferencia de contas e accesos ao cliente ou ao novo provedor, acta de peche e supresión confirmada nos sistemas da axencia.
Este contido é meramente orientativo e divulgativo; non constitúe en ningún caso asesoramento xurídico especializado. A aplicación da normativa a cada caso concreto require análise individualizado. A normativa autonómica sectorial pode ampliar ou modificar prazos e requisitos.
A túa axencia asina o art. 28 RGPD con cada cliente-marca?
En Certix asignámosche un experto en cumprimento do sector marketing. Sen intermediarios comerciais, sen plantillas xenéricas.
Falar cun experto