Qué datos necesita realmente una agencia de marketing
El acceso mínimo por plataforma, cinco pedidos que deberían hacerte dudar y las seis preguntas que conviene responder antes de entregar las llaves de tu CRM y tus cuentas publicitarias.
Contratar una agencia de marketing implica, casi siempre, entregarle las llaves de varias cosas a la vez: las cuentas publicitarias, la analitica, el CRM, el sitio, la base de correos. Se hace rapido, en los primeros dias, y casi nunca se conversa. Este articulo es la conversacion que deberia ocurrir ahi.
No va de desconfiar de tu agencia. Va de que el acceso tiene una forma correcta, y que esa forma te protege a vos, protege a tus clientes y —desde el 1 de diciembre de 2026, con la Ley 21.719 en vigencia— tambien es lo que la ley espera.
Por que nadie hace esta pregunta
Porque llega en el peor momento. El pedido de accesos aparece durante el onboarding, cuando la relacion recien arranca y nadie quiere empezar poniendo condiciones. Del otro lado, la agencia pide todo junto porque es mas rapido que pedir de a poco, y porque en general no sabe de antemano que va a necesitar.
El resultado es el mismo casi siempre: se entrega mas de lo necesario, no queda registro de que se entrego, y nadie vuelve a revisarlo. Meses despues, nadie en la empresa puede responder quien tiene acceso a que.
Acceso no es lo mismo que datos
Vale separar tres cosas que suelen ir en el mismo pedido y no son equivalentes:
- Acceso operativo a una plataforma. Poder entrar a Google Ads y cambiar una puja. Es lo que una agencia necesita para trabajar.
- Lectura de datos. Ver cuantos leads entraron y cuales convirtieron. Tambien es necesario, pero se puede acotar bastante mas de lo que se acota.
- Posesion de datos. Que una copia de tu base viva en un sistema de la agencia. Esto casi nunca hace falta, y es lo que mas cuesta deshacer despues.
El principio que ordena los tres es el de minimizacion: acceder y procesar unicamente la informacion necesaria para cumplir el objetivo del servicio. Si un permiso mas acotado alcanza, el acotado es el correcto.
El acceso minimo, plataforma por plataforma
| Plataforma | Lo que se suele pedir | Lo que alcanza |
|---|---|---|
| Google Ads | Usuario y clave de la cuenta | Vinculacion por MCC con el rol que corresponda a la tarea |
| Meta Ads | Acceso al perfil personal | Acceso por Business Manager al activo puntual: cuenta publicitaria, pagina o pixel |
| Google Analytics | Acceso de administrador | Rol de lectura, y de edicion solo mientras se configura la medicion |
| CRM | Usuario completo | Lectura del resultado del lead, no del historial de conversacion ni de datos sensibles |
| Sitio web | Acceso al servidor y a la base | Lo que pida el trabajo acordado, y por el tiempo que dure |
| Email marketing | Exportacion completa de la base | Operar dentro de la herramienta, sin sacar la base de ahi |
El patron se repite: casi todas las plataformas tienen un sistema de permisos disenado exactamente para esto, y casi nadie lo usa porque compartir la clave es mas rapido. La diferencia aparece el dia que hay que revocar, o el dia que hay que explicar quien hizo un cambio.
Cinco pedidos que deberian hacerte dudar
Ninguno es prueba de mala fe. Los cinco merecen una explicacion antes de decir que si:
- Tu usuario y tu clave en vez de un acceso propio. Rompe la trazabilidad y hace que revocar el acceso signifique cambiar tu propia contrasena.
- Exportar la base completa de contactos para «cargarla en nuestra herramienta». La mayoria de las veces se puede trabajar dentro de la tuya.
- Acceso de administrador cuando la tarea es leer un reporte.
- Crear los activos a nombre de la agencia —el pixel, la propiedad de analitica, la cuenta publicitaria, el dominio—. Si se crean a tu nombre y se comparte el acceso, el activo es tuyo pase lo que pase con la relacion.
- Ningun contrato que mencione los datos. Si el contrato habla solo de entregables y honorarios, no hay nada escrito sobre que puede hacerse con la informacion.
La parte que nadie planifica: el final
Toda relacion con una agencia termina en algun momento, y ese es el momento en que se ve como estaba armada. La Ley 21.719 obliga a formalizar la relacion con los proveedores que tratan datos por cuenta de la empresa mediante un Acuerdo de Tratamiento de Datos (DPA), y una de las cosas que ese acuerdo tiene que regular es, explicitamente, la devolucion o eliminacion de los datos al terminar el servicio.
En la practica eso significa poder responder tres preguntas el dia que la relacion se corta: que accesos se revocan y quien los revoca, que copias de informacion existen fuera de tus sistemas y que pasa con ellas, y quien queda como dueno de cada activo. Si las tres tienen respuesta escrita antes de empezar, el cierre es un tramite. Si no, es una negociacion en el peor momento posible.
Checklist antes de entregar un acceso
- Que tarea concreta requiere este acceso?
- Existe un nivel de permiso mas bajo que alcance para esa tarea?
- Se entrega por el sistema de permisos de la plataforma, o compartiendo una clave?
- Los activos —pixel, propiedad, cuenta, dominio— estan a nombre de la empresa?
- Queda registrado en algun lado quien tiene acceso a que?
- El contrato dice que pasa con los datos y los accesos cuando la relacion termine?
Seis preguntas, diez minutos. Es menos tiempo del que toma recuperar una cuenta publicitaria que quedo a nombre de otro.
Preguntas frecuentes
- Una agencia necesita ser usuario de mi CRM? Normalmente no uno completo. Lo que una agencia necesita es leer el desenlace de un lead —si convirtio y cuanto vale—, no el historial de conversacion ni los datos personales del cliente. Que tu CRM pueda expresar esa diferencia depende de la herramienta; si no puede, conviene saberlo antes de dar el acceso.
- Por que la agencia no deberia usar mi usuario personal? Porque asi nada queda trazable ni revocable. Cada accion parece tuya, y cuando la relacion termina la unica forma de cortar el acceso es cambiar tu propia clave. Los sistemas de permisos como el MCC de Google Ads o el Business Manager de Meta existen justamente para evitar eso.
- Quien responde si la agencia usa mal los datos? Bajo la Ley 21.719, la empresa que define la finalidad y los medios esenciales del tratamiento es la responsable, y la agencia que actua segun sus instrucciones es encargada. El responsable no deja de responder por la eleccion de sus encargados: por eso importan el contrato y el DPA.
- Que es un DPA? Un Acuerdo de Tratamiento de Datos: el anexo que regula objeto y duracion, finalidades autorizadas, instrucciones del responsable, confidencialidad, medidas de seguridad, subcontratacion, incidentes, transferencias internacionales y la devolucion o eliminacion de los datos al terminar el servicio.