A ferramenta pediu acesso às suas contas de anúncio: o que checar antes de conectar
Toda ferramenta de relatório pede acesso às contas de Meta e Google. Um guia prático para checar credenciais, permissões, isolamento de dados e responsabilidade na LGPD antes de clicar em "conectar".
Toda ferramenta de relatório, dashboard ou automação começa do mesmo jeito: uma tela pedindo que você conecte a conta de anúncios do cliente. Você clica, autoriza, o gráfico aparece bonito e o assunto morre ali.
O problema é que esse clique não é um detalhe técnico. Ele cria um caminho permanente entre os dados de pessoas reais — leads, listas de público, históricos de conversão — e um servidor que você não administra. Se amanhã alguém perguntar "quem tem acesso aos dados do meu cliente?", a resposta precisa ser mais precisa que "a gente usa uma ferramenta".
Este artigo é o checklist que eu faria antes de autorizar qualquer integração. Serve para avaliar fornecedor novo e para auditar o que você já conectou e esqueceu. É o mesmo raciocínio que orientou como tratamos Segurança e LGPD na Blocos, mas o checklist vale para qualquer ferramenta que você use.
De quem é a credencial que está conectando
Existe uma diferença grande entre dois modelos, e quase ninguém olha qual está usando.
Modelo 1: a credencial é do fornecedor. A ferramenta criou um aplicativo na Meta e no Google e todos os clientes dela entram por ali. Você autoriza esse aplicativo a ler a conta do seu cliente. Na prática, o controle do acesso está na mão de um terceiro: se a ferramenta mudar o escopo de permissões, se o token dela vazar, se o aplicativo for comprometido, o problema chega às suas contas sem você ter feito nada.
Modelo 2: a credencial é sua. A conexão usa um acesso criado dentro da conta da sua agência — um usuário de sistema no Gerenciador de Negócios, um token gerado no seu próprio projeto. A ferramenta usa aquilo, mas o dono é você. Quer cortar? Você revoga na origem, sem depender de ninguém abrir ticket.
O segundo modelo dá mais trabalho na configuração inicial e muito menos dor de cabeça depois. É por isso que, na Blocos, as conexões com Meta e Google usam credenciais criadas na conta da própria agência, cifradas em AES-256 e presas àquela agência. Não é elegância técnica: é para que o botão de desligar fique na sua mão.
Pergunte também sobre o escopo
Relatório não altera campanha. Uma ferramenta de análise não precisa de permissão de escrita — não precisa pausar anúncio, criar público, mexer em orçamento. Se a tela de autorização pede isso, pergunte por quê.
Acesso somente leitura é o padrão correto para análise. Reduz o estrago possível de um vazamento e evita a pergunta mais desconfortável que existe: "a campanha mudou sozinha?".
A pergunta que separa promessa de arquitetura
Todo fornecedor diz que os dados de cada cliente são isolados. A pergunta útil é: isolado onde?
Há duas formas de garantir que a agência A não veja os dados da agência B:
Filtro na aplicação. O código, ao montar a consulta, acrescenta "onde agência = X". Funciona até alguém escrever uma consulta nova e esquecer o filtro, ou até um endpoint antigo ser chamado com outro parâmetro. É uma garantia que depende de ninguém errar, para sempre.
Regra no banco de dados. A própria tabela carrega a política: aquela linha só é visível para aquela agência, independente de qual código pergunte. Se o desenvolvedor esquecer o filtro, o banco devolve vazio.
A segunda forma é a única que sobrevive a crescimento de equipe e pressa de deploy. Na Blocos, toda tabela nasce com regra de acesso por agência no próprio banco — filtro feito só na aplicação não conta como isolamento.
Você não vai auditar o banco de um fornecedor, mas pode perguntar. A resposta que você recebe — se é específica ou se é marketing — já diz muita coisa.
Quem responde pelos dados na LGPD: você
Aqui está a parte que mais surpreende gestor de tráfego. Quando sua agência decide quais dados coletar, por quanto tempo guardar e para quê usar, ela está atuando como controladora daqueles dados em relação ao que faz por conta própria — e a ferramenta que você contratou é operadora, tratando os dados em seu nome. Terceirizar o software não terceiriza a responsabilidade.
O que isso significa na prática:
Você precisa de um contrato de tratamento de dados com o fornecedor. Não um "aceito os termos" genérico: um documento que diga o que a ferramenta pode fazer com os dados, onde eles ficam e o que acontece quando você cancela.
Você precisa saber responder a um titular. Se um lead do seu cliente pedir confirmação ou cópia dos dados dele, a lei prevê resposta imediata em formato simplificado e prazo de até 15 dias para a declaração completa. Se você não sabe em quantos sistemas aquele lead está, não tem como cumprir. Na Blocos, o prazo de 15 dias para pedidos do titular está no processo e os documentos — Termos, Privacidade, Cookies, Seus direitos e o Acordo de Tratamento de Dados — são públicos e versionados, justamente para que você possa ler e anexar na sua resposta.
Documento público e versionado vale mais que promessa em reunião. Se a política de privacidade do fornecedor não está acessível sem login, você não tem o que mostrar ao cliente que perguntar.
Dentro de casa: cargo, 2FA e a conta do analista que saiu
Metade dos incidentes de acesso não vem de hacker. Vem de ex-funcionário que continuou enxergando tudo, de senha compartilhada no grupo do WhatsApp, de estagiário com permissão de dono.
Checklist mínimo:
Verificação em duas etapas obrigatória para quem acessa contas de anúncio e ferramentas. Senha vazada sem 2FA é acesso garantido para quem a encontrou. A Blocos oferece 2FA para as contas da equipe; ativar é decisão sua.
Cargos com permissões diferentes. Dono, analista, e cargos criados por você conforme o time. Ninguém deveria ter acesso de administrador porque "é mais fácil".
Desligamento com roteiro. No dia em que alguém sai, existe uma lista do que revogar: plataforma de relatórios, Gerenciador de Negócios, Google Ads, drive, e-mail. Lista escrita, não memória.
Trilha de auditoria. Quem aprovou, quem exportou, quem mudou permissão, com data. E, importante: registro que a própria pessoa não pode editar depois. Na Blocos, aprovação, log, consentimento e snapshot são gravados só pelo servidor, em tabelas que só crescem — o que garante que a prova sirva de prova.
O exercício de cinco minutos para fazer hoje
Abra o Gerenciador de Negócios de um cliente e a lista de aplicativos autorizados da sua conta Google. Leia a lista de acessos ativos.
Quase sempre aparece: uma ferramenta que você testou em 2023, um app de automação que a agência não usa mais, uma conta pessoal de alguém que já saiu. Cada item daquela lista é um caminho aberto para dados de pessoas reais.
Revogue o que não reconhece. Para o que sobrou, responda as perguntas deste artigo: a credencial é minha? É só leitura? O isolamento é no banco? Existe contrato de tratamento? Tem 2FA e trilha de auditoria?
Segurança em agência raramente é um projeto grande. É essa revisão feita a cada trimestre, com lista na mão. Se quiser ver como essas respostas aparecem na prática — credenciais da própria agência, isolamento por construção e documentos públicos —, está tudo detalhado em Segurança e LGPD. E se o seu fornecedor atual não consegue responder, isso em si já é uma informação.
