Offboarding do gestor de tráfego: o que revogar no mesmo dia

O gestor avisa na sexta, às quatro da tarde, que aceitou outra oferta. O comercial agradece. O RH marca a entrevista de desligamento para segunda. O time de mídia segue no Slack como se a sessão fosse se apagar sozinha. Na segunda a BM ainda está aberta no celular pessoal, o 2FA ainda chega no WhatsApp antigo e o grupo do cliente ainda tem o número dele. Saída de gestor de tráfego não é café de despedida. É revogação no mesmo dia.

A agência que trata saída como assunto de pessoas deixa o risco na mesa de tráfego pago. Conta de anúncio não espera o ponto fechar. Quem operava ontem ainda opera hoje se ninguém cortar convite, senha, perfil e hardware. Este texto é o checklist: o que revogar na hora zero, o que pode esperar 24 horas, e o que vira incidente se ficar para a sprint seguinte.

O incidente clássico não é hacker

Quase nunca é um invasor sofisticado. É ex-colaborador com sessão viva. Cookie no notebook de casa. Senha no print do grupo. 2FA no telefone que a empresa nunca recuperou. Acesso de parceiro na BM que ninguém tirou.

O dano aparece em três formas. A primeira é operação residual: a pessoa ainda pausa, ainda exporta, ainda vê gasto. A segunda é disputa: o cliente pergunta quem mexeu e a agência não tem horário nem nome. A terceira é grafo: login no Chrome pessoal depois da saída cola identidade de cliente em máquina que a agência não controla.

Nenhuma dessas formas espera o termo de rescisão. Todas cabem no fim de semana. Por isso o rito começa no anúncio da saída, não no último dia previsto em contrato. Pedido de demissão, dispensa, fim de PJ, término de freelancer: o gatilho é o mesmo. A pessoa deixa de ser dono. O acesso deixa de existir.

Se o sistema de contas é pasta no Chrome e senha no WhatsApp, o desligamento já nasceu atrasado. O modelo que aguenta saída está descrito em como a agência organiza dezenas de contas: inventário, perfil, dono. Sem dono na planilha, não há endereço para revogar.

Inventário da saída: cinco superfícies, não uma

Revogar “o login” é teatro. O gestor de tráfego vive em cinco superfícies. Cada uma exige ação no mesmo dia.

Business Manager e contas de anúncio. Meta, TikTok, LinkedIn, Pinterest, o que o cliente tiver. Papel de parceiro, admin, analista. Usuário direto com e-mail próprio. Senha que passou no grupo mesmo “só uma vez”. Sessão no app do celular.

MCC e contas Google. MCC da agência, MCC do cliente, usuário com acesso a faturamento. Quem via fatura às vezes via mais do que o coordenador imagina. Conta de pagamento e usuário de campanha não são a mesma revogação.

2FA. App autenticador no celular pessoal. SMS no número particular. Hardware key que a pessoa levou para casa. Código de recuperação no Notion. Backup no WhatsApp. Se o segundo fator mora na pessoa, a agência não recuperou a identidade: emprestou.

Laptop e sessão local. Máquina da empresa, máquina pessoal em home office, cookie exportado “para o plantão”. Recolher o notebook sem invalidar sessão é limpeza cosmética. Formatar o disco não tira o convite da BM.

Grupos e canais. WhatsApp do cliente, grupo interno de senhas, Slack com webhook de alerta, e-mail compartilhado, pasta no Drive com CSV de acesso. Remover do grupo depois da revogação das contas. Remover antes e deixar a BM aberta é o inverso do rito: a pessoa perde o aviso e mantém o poder.

Essas cinco superfícies cabem numa linha do inventário se o inventário existir. Se não existir, a saída vira caça ao tesouro. Alguém lembra da MCC. Ninguém lembra do Seller do Mercado Livre. O cliente lembra no mês seguinte, quando o ex-gestor ainda recebe o 2FA.

Hora zero: o que fazer no anúncio da saída

O anúncio pode ser reunião, e-mail ou mensagem no privado. O relógio começa ali. Não no último dia. Não quando o contrato PJ “acabar no dia 30”.

Primeiro: congele o papel. A pessoa deixa de ser dono das identidades que operava. Atualize a coluna dono no inventário antes de qualquer outra coisa. Perfil sem dono é órfão. Órfão vira atalho no sábado.

Segundo: revogue convites. BM, MCC, Shopify, Seller, painel de pixel, ferramentas de criativo com login do cliente. Não “desloga depois”. Revogar é o verbo. Deslogar é esperança.

Terceiro: invalide sessões onde a plataforma deixa. Cookie em máquina pessoal é sessão. Export de cookie feito “para o plantão” é sessão. Se a ferramenta de browser da agência lista sessões ativas, mate as da pessoa. Se não lista, troque senha nos acessos diretos e trate o cookie antigo como comprometido até expirar.

Quarto: retire o acesso ao cofre. Se a senha e o 2FA estavam no Lauth Pass, remova o assento. Isso corta o próximo login sem exigir que o coordenador decore vinte senhas. Se a senha estava no grupo, você já tem incidente: troque tudo que circulou e assuma que o print sobreviveu.

Quinto: leia o histórico de atividades. Quem abriu qual perfil hoje. Quem exportou cookie esta semana. Quem convidou alguém ontem. O histórico não substitui a revogação. Ele mostra o que a memória do time vai esquecer às 18h.

Sexto: recolha o laptop e peça o desligamento de VPN corporativa, se houver. Hardware é o último item da hora zero, não o primeiro. Quem começa pelo notebook e deixa a BM aberta fez o rito invertido.

Sétimo: só então saia dos grupos. WhatsApp do cliente, canal de plantão, lista de e-mail. A ordem importa. Grupo primeiro, conta depois, deixa um operador mudo com poder. Conta primeiro, grupo depois, deixa um operador sem poder e ainda informável se algo quebrar na hora.

O que pode esperar 24 horas — e o que não pode

Nem tudo é hora zero. Separar urgência de higiene evita teatro e evita buraco.

Não espera: convite de parceiro, senha direta, 2FA no celular pessoal, assento no cofre, sessão no perfil de produção, acesso a faturamento, grupo com senha em texto.

Pode esperar 24 horas se já cortou o acesso: arquivamento de perfil zumbi, cancelamento de proxy órfão, revisão de extensões, e-mail de passagem para o cliente, transferência de campanhas em rascunho, troca de dono no CRM.

Pode esperar a semana se o acesso já morreu: retrospectiva de roteiro, atualização de organograma, treinamento do substituto, postmortem se a saída foi por incidente.

O erro comum é empurrar a BM para a semana porque “ela não vai mexer”. Você não controla isso. Você controla convite e senha. Confiança residual não é controle.

Outro erro: esperar o substituto sentar para revogar o anterior. O substituto pode chegar em dez dias. A sessão não espera dez dias. Dono temporário assume. Revogação não depende de contratação.

2FA, laptop e o buraco do celular pessoal

O ponto que mais quebra o rito é o segundo fator. A agência convenceu o gestor a colocar o autenticador no iPhone dele “porque é mais prático”. No dia da saída, o iPhone vai embora. Recuperação vira ticket com a plataforma, com o cliente e com o tempo de anúncio parado.

Regra operacional: 2FA de conta de cliente não mora em aparelho pessoal sem backup institucional. Cofre no browser da operação, hardware key da empresa ou app no dispositivo controlado. Código de recuperação impresso no envelope do ops, não no chat.

Se o 2FA já está no celular da pessoa, a hora zero inclui a transferência antes da revogação total, ou a recuperação documentada com o cliente se a identidade for dele. Não deixe para segunda. Segunda o número já está em outro emprego, talvez em outra agência, talvez no mesmo vertical.

Laptop pessoal em home office pede pergunta explícita: quais perfis existiam só ali? Se a resposta é “não sabemos”, o inventário falhou meses antes. O desligamento registra o desconhecido como incidente, não como detalhe. Perfil vive no sistema compartilhado. Chrome local sem dono é sombra.

Máquina da empresa volta para o TI. O TI formata. O head de mídia não terceiriza a BM para o TI. São ritos diferentes. Um recolhe plástico. O outro corta grafo.

Grupos, senha e o print que não morre

Senha no WhatsApp é o antimodelo. O artigo específico está em senha no WhatsApp como incidente. Na saída, o efeito é simples: quem saiu ainda tem o print. Remover do grupo não apaga a galeria.

Se a operação usava grupo de senha, a hora zero inclui rotação. Todas as senhas que aquela pessoa viu. Não “as do cliente que ela tocava”. As que o grupo mostrou. Se o grupo misturava cinco clientes, são cinco rotações. Dói. É o preço do atalho antigo.

Se a operação usava cofre com permissão, a hora zero é remover assento e revogar perfil. Sem rotação em massa. Sem teatro. O coordenador consegue terminar antes do jantar.

E-mail compartilhado (midia@agencia) é superfície extra. A pessoa pode ter encaminhamento no Gmail pessoal. Corte o encaminhamento. Troque a senha do compartilhado se ela era conhecida. Trate o compartilhado como identidade, não como atalho de inbox.

Cliente, contrato e o que dizer sem pânico

O cliente não precisa do drama interno. Precisa saber duas coisas se o gestor saía das contas dele com usuário direto: quem assume, e se algum acesso do lado de lá precisa ser revogado por ele.

Se o acesso era convite da agência na BM do cliente, a agência revoga. Avisa o cliente que o dono mudou. Não pede senha nova se a senha nunca foi compartilhada.

Se o acesso era login do cliente entregue na entrada — e-mail do anunciante, senha no PDF — a saída exige que o cliente troque a senha. A agência não consegue fingir que revogou o que nunca controlou. Isso é dívida de onboarding. Registre. Corrija no próximo contrato.

Não prometa que “ninguém mais entra”. Prometa o que fez: convites revogados, assento removido, sessões invalidadas, grupos limpos. O resto é o cliente no painel dele. Honestidade operacional cabe numa mensagem de cinco linhas. Romance de segurança não cabe.

Para o recorte comercial da operação multi-cliente, a página de agência de publicidade cobre o posicionamento. O checklist de saída é o rito que esse posicionamento pressupõe.

Depois das primeiras 24 horas

Passagem interna: o novo dono recebe os perfis, não as senhas em texto. Campanhas em rascunho, alertas, pixel, acesso a criativo. Uma reunião curta. Um parágrafo no inventário. Sem PDF de 40 páginas que ninguém lê.

Arquive perfil que só a pessoa usava para teste. Cancele proxy órfão. Confira se algum export de cookie ficou em pasta compartilhada. Cookie cru não é souvenir.

Se a saída foi tensa — justa causa, briga, concorrente no mesmo vertical — trate como incidente de segurança, não só como RH. Rotacione mais. Invalide mais sessão. Leia o histórico com recorte dos últimos 30 dias. Não é polícia. É restrição de blast radius.

Freelancer e estagiário seguem o mesmo esqueleto, menor. Menos superfícies, mesma urgência. Três semanas de job não justificam acesso residual.

Cliente que encerra contrato também é desligamento, invertido: a agência devolve, revoga o próprio time, arquiva perfil, corta proxy. O gestor que sai e o cliente que sai são ritos irmãos. Um tira pessoa. O outro tira anunciante. Os dois cortam grafo no mesmo dia.

Quem é dono do rito

Sem dono, o checklist vira mensagem no Slack. Defina.

Head de mídia ou ops de contas: executa revogação de BM, MCC, perfil, cofre, histórico.

RH: dispara o gatilho no mesmo dia do anúncio. Não agenda para a semana.

TI: recolhe hardware, corta VPN, formata disco.

Comercial: avisa o cliente só o necessário, depois da hora zero, não antes. Aviso antes da revogação cria janela em que o cliente e o ex-gestor ainda conversam com a conta aberta.

Jurídico: entra se houver cláusula de acesso no contrato, disputa ou dado pessoal em log. Não executa a BM.

O rito cabe numa página. Nome, horário, cinco superfícies, confirmação. Se precisa de comitê para tirar um convite, o comitê é o problema.

Saída de gestor é previsível. Toda agência terá uma neste trimestre ou no próximo. O que não é previsível é descobrir na terça que a BM ainda responde no celular de quem já não é time. Isso só acontece quando a sexta foi só um café.