Contrato de agência: cláusula de acesso, log e devolução de contas

O contrato fala de meta, de fee, de aviso prévio. Não fala de quem é admin da BM. Não fala de histórico de acesso. Não fala de cookie no notebook do freelancer. No distrato, o comercial discute a multa. O ops descobre que o único 2FA está no celular de quem já saiu, e que o cliente nunca foi admin. A agência de publicidade que trata acesso como detalhe de ferramenta está tratando o jurídico como enfeite. Cláusula de acesso, registro e devolução é o texto que o ops consegue cumprir e que o cliente consegue auditar.

Este artigo não é minuta pronta nem aconselhamento ilegal. É o recorte que o head de mídia e o jurídico deveriam sentar para escrever juntos: titularidade, convite, senha, registro, distrato. O checklist de entrega e devolução é o rito. O contrato é o que obriga o rito quando a relação já esfriou.

O que o contrato de mídia costuma calar

Fee e performance assumem que a conta existe e que alguém entra nela. O silêncio preenche com costume: senha no grupo, admin da agência, Looker no Gmail do gestor, pixel no GTM da casa. Costume funciona enquanto há confiança. Confiança não é cláusula. No conflito, o costume vira acusação: “ficaram com a nossa conta” versus “nunca nos deram admin”.

Três buracos clássicos:

Titularidade. Quem é o dono da BM, da MCC, do pixel, do CMP, da conta de anúncios. Se a agência criou o ativo, isso está escrito? Se o cliente trouxe, a agência é parceira até quando?

Pessoas. Quem pode ser convidado. Papéis. Subcontratados. Freelancer. Estagiário. Saída em X horas. Sem isso, o cliente descobre um e-mail de estagiário seis meses depois do job.

Evidência. Se houver disputa de “quem pausou” ou “quem viu dado de campanha”, o que existe? Histórico? Ou WhatsApp?

A cláusula não precisa nomear software. Precisa nomear o modelo. Convite, não senha compartilhada. Cofre, não planilha no Drive. Relatório de ver, não admin para todo mundo. Devolução com relógio.

Titularidade: dono, parceiro, admin único

Escreva que contas de anúncio, pixels e propriedades de site do cliente são do cliente, salvo ativo que o contrato diga ser da agência. Escreva o contrário quando for MCC da agência com contas-filhas — e as consequências no distrato: a filha volta, a MCC fica.

Admin único na agência é risco dos dois lados. Do cliente: refém. Da agência: 2FA na pessoa, saída impossível, acusação de sequestro de ativo. Cláusula útil: o cliente (ou um e-mail do cliente) permanece admin ou owner. A agência opera com papel de parceiro / operador. Se o cliente recusar owner, o jurídico registra o risco. Ops não deveria aceitar admin único “para ir mais rápido” sem essa frase.

Pixel e CAPI: de quem é a chave. Dataset. GTM. No distrato, a agência devolve ou revoga. Não “leva o tracking” como cortesia comercial. Levar o tracking é levar o cano de dado.

Looker e conta de serviço: fonte de relatório não é a BM. Mesmo assim, token de leitura é acesso. Revoga no mesmo pacote.

Acesso: convite, cofre, proibições

Cláusula operacional, em linguagem que o gestor entende:

Acesso a painéis de anúncio se dá por convite a usuários nominais ou a perfis da operação, com papéis mínimos. É vedado o compartilhamento de senha em chat, planilha ou anexo de e-mail como modo padrão. Exceção, se existir, é escrita, temporária e com dono.

2FA: não SMS em grupo. Cofre da operação ou autenticador sob controle recuperável. No recorte de browser da mesa, senha e 2FA podem viver no fluxo do perfil — Lauth Pass — desde que o contrato de ferramenta e o DPA fechem com o jurídico. A marca não substitui a cláusula. A cláusula descreve o comportamento.

Subcontratados: a agência que usa freelancer informa o modelo (não necessariamente o CPF no anexo aberto). O freelancer não leva senha mestra. Saída do freelancer é o mesmo relógio.

BYOD e home office: contas do cliente não se operam no perfil pessoal do browser familiar como padrão. Se o contrato aceita BYOD, aceita também perfil isolado e revogação. Sem isso, o distrato não alcança o notebook da casa.

Cookie exportado: só com hipótese escrita (migração). Não como backup informal. O checklist de devolução pergunta. O contrato autoriza perguntar.

Histórico: o que prometer sem virar SIEM

O cliente enterprise vai pedir quem viu o quê. A agência média não tem SOC. Tem histórico de atividades: abertura de perfil, convite, revogação, troca de proxy, export. Isso já é muito. O contrato pode dizer que a agência mantém registro de eventos de acesso à operação de contas, com retenção de N meses, disponível em incidente e em auditoria razoável — não em dump semanal para o grupo do cliente.

O que o histórico não é: prova de ROAS. Não coloque o registro como SLA de performance. É SLA de governança.

Quem lê: ops, coordenação, jurídico em disputa. Não o cliente no self-service, salvo acordo. Histórico cru humilha e vaza. Relatório de incidente recortado atende.

Se não há registro hoje, não prometa no contrato. Prometa a data em que passa a haver, ou aceite a lacuna com o comercial ciente. Cláusula mentirosa é pior que silêncio. Silêncio se discute. Mentira se prova.

Devolução e distrato: o relógio

O checklist operacional vira anexo ou política citada. O contrato põe o relógio: em D+0 útil após o aviso de encerramento, a agência revoga convites da equipe, tokens de BI, acessos de cofre, subcontratados. Em D+X, entrega o pack: inventário de identidades, quem ainda está convidado, pixels, o que o cliente precisa assumir de owner.

O cliente, no mesmo relógio, assume admin se ainda não tinha, rotaciona senhas que a agência tenha usado em usuário compartilhado (que não deveria existir), confirma recebimento.

Ativo criado pela agência — MCC própria, perfil de browser, proxy pago pela agência — o contrato diz o que cessa. Proxy da agência não viaja de graça para a próxima casa. Perfil da operação se arquiva. Não se “passa o Chrome”. A agência nova nasce ambiente novo. Cookie da operação antiga é herança tóxica. Escreva que a migração não inclui export de sessão como padrão.

Disputa de verba ou de multa não suspende a revogação de acesso de gente. Suspender revogação como alavanca é o sequestro que o jurídico da outra ponta vai nomear. Fee se discute. Sessão aberta não é garantia.

LGPD e o anexo de acesso

Acesso a contas de anúncio é, muitas vezes, acesso a dado de campanha, audiência, às vezes dado de lead no CRM ligado ao anúncio. A cláusula de acesso conversa com o DPA. Quem da agência pode ver. Suboperador. Transferência. Retenção do registro. Direitos do titular não se resolvem no Ads Manager, mas o “quem viu o público” aparece na auditoria.

Não misture Consent Mode do site com acesso da mesa no mesmo parágrafo sem necessidade. São eixos. Podem viver no mesmo anexo de privacidade, com subtítulos. Fundir no texto único confunde o juiz e o gestor.

Cliente que pede “não registrem nada” está pedindo escuridão. A agência pode recusar o job. Sem histórico, a cláusula de devolução vira palavra contra palavra. Palavra contra palavra é o contrário de operação.

O comercial e o anexo que ninguém lê

Kickoff com pack de senhas contradiz o contrato de convite. O comercial precisa de uma frase: acessos no sistema X, papel Y, prazo Z. Se o cliente só assina se receber a senha da BM no PDF, escale ao jurídico antes do sim. O sim aqui é o incidente com assinatura.

Renovação anual: inventário de acessos como rito, não só o reajuste de fee. Pessoas que já saíram. Freelancers. Admin único que nasceu no meio do ano. Contrato sem revisão de acesso envelhece pior que o fee.

White-label e subagência: a agência mãe controla convite e revogação. A cláusula não deixa a ponta criar admin eterno no cliente final sem o mapa. Sem isso, o distrato da ponta não limpa o grafo.

O que o ops precisa para cumprir o papel

Inventário vivo. Sem inventário, a cláusula de devolução é poesia. As seis colunas. Dono. Lista de usuários convidados. Onde está o 2FA.

Papéis no sistema, não só no PDF.

Um responsável por distrato — ops, não o gestor que está brigando com o cliente no WhatsApp.

Histórico de atividades ligado. Sem ele, o “registro de eventos” do contrato é vazio.

Recusa cotidiana: senha no grupo, admin único, cookie no BYOD. O contrato não opera sozinho. O coordenador que aceita o atalho todos os dias torna a cláusula inútil. No distrato, o inútil aparece.

No meio do contrato: gente sai, gente entra

A cláusula de distrato não cobre o mês sete, quando o gestor pede demissão. Precisa de espelho interno: saída de pessoa com o mesmo relógio de revogação, sem esperar o fim do job. O cliente não precisa assinar cada saída. Precisa da garantia de que a saída existe como rito. Uma linha: a agência revoga acessos de profissionais desligados em D+0 útil e informa, se pedido, que o recorte foi cumprido — sem entregar o RH inteiro.

Entrada de pessoa nova: papéis mínimos, sem admin por padrão. O contrato pode dizer que operadores são nominais e rotativos. Evita a cláusula informal “só o João mexe”. João tira férias. O informal vira crise. Crise vira senha no grupo, exatamente o que a cláusula de convite tentou matar.

Mudança de ferramenta no meio do contrato — novo cofre, novo BI, novo browser da operação — não exige aditivo se o modelo (convite, registro, devolução) permanece. Exige comunicação se o cliente tinha usuário no sistema antigo. Token antigo se revoga. Sistema antigo não fica “por via das dúvidas”. Dúvida é sessão viva.

Auditoria pontual do cliente: janela, recorte, NDA se faltar. Não acesso irrestrito ao histórico de todos os anunciantes da casa. Multi-cliente no mesmo sistema exige que a auditoria do A não veja o B. Isso é cláusula e é arquitetura. Arquitetura sem cláusula falha no pedido. Cláusula sem arquitetura falha na visita.

O que não escrever — e o que não prometer

Não escreva que a agência “garante conta ativa”. Plataforma não assina isso. Escreva governança de acesso e rito de incidente. SLA de comunicação, não de milagre. Já é o recorte certo de operação; o contrato deve ecoar, não contradizer.

Não escreva que isolamento de browser lava política ou pagamento. O jurídico que copia discurso de ferramenta para cláusula de performance cria expectativa que o ops não cumpre. Ferramenta é meio de sessão. Sessão é um eixo.

Não anexe a planilha de senha. Não anexe cookie. Não anexe print de cartão. Anexo de contrato é modelo e inventário de identidades, não cofre.

Se o cliente exige, por política interna, usuário compartilhado, o aditivo nomeia o risco e o responsável pela rotação. Ops cumpre o aditivo ou recusa o job. Cumprir em silêncio e reclamar no distrato é o pior dos dois mundos.

Fechar o ciclo

Contrato de agência que só fala de meta deixa o acesso no costume. Costume quebra no distrato. Cláusula de titularidade, convite, cofre, registro com retenção, relógio de revogação e pack de devolução é o texto que jurídico e ops escrevem juntos. O rito de entrega já existe como checklist. O contrato é o que faz o checklist valer quando ninguém mais quer se ver.

A mesa continua precisando de perfil, de papel, de não misturar Chrome. Isso não substitui a cláusula. A cláusula não substitui a mesa. Os dois, no mesmo anunciante, são o mínimo de uma operação que ainda vai existir depois do e-mail de encerramento.