Un departamento de marketing externalizado es un equipo de fuera de la empresa que hace el trabajo de un departamento propio, según lo contratado.
Esta guía parte de un proveedor ya contratado; cómo elegirlo lo cuenta cómo elegir una agencia de marketing en Navarra sin equivocarte.
El trabajo de marketing se puede delegar casi entero, pero las decisiones siguen siendo de tu empresa.
Qué se externaliza y qué decide siempre la empresa
Trabajar con una agencia de marketing reparte el trabajo, no la responsabilidad. Fuera puede ir casi todo, del plan a la analítica.
La empresa se queda siempre con estas decisiones 7 puntos
- la responsabilidad empresarial y legal
- que sea cierto lo que se promete de la oferta
- la titularidad del dominio, las cuentas y los datos
- el presupuesto
- la capacidad de atender los contactos que lleguen
- producto, precio y riesgo
- la finalidad y la base legal de los datos personales
Hace falta una persona interna con autoridad y tiempo para decidir. Ese reparto se cierra antes del contrato, con las preguntas que conviene hacer a una agencia antes de firmar.
El mandato de una página: qué encarga la empresa a la agencia
El mandato es la página que dice al equipo externo qué resultado se busca, con qué límites y quién decide; se revisa cuando cambia el negocio.
| Campo | Contenido |
|---|---|
| Resultado buscado | Qué debe cambiar y en qué plazo, sin garantías |
| Alcance | Servicios, marcas, zonas y canales incluidos |
| Exclusiones | Lo que no se hará |
| Decisiones reservadas | Presupuesto, promesas comerciales, datos y publicación |
| Responsables | Persona interna, agencia y otros proveedores |
| Indicadores | Qué se mide, con qué fuente y cada cuánto |
| Cadencia | Reuniones, informes y plazos de aprobación |
| Límites | Ley, privacidad, seguridad, marca y capacidad |
| Salida | Activos, accesos que se retiran y documentación |
Desliza a la izquierda: nueve fichas, una por fila →
La matriz de decisión: quién propone, decide, ejecuta y verifica
Una matriz de decisión evita el «todos colaboran». Para cada tipo de cambio reparte esos papeles entre personas concretas.
| Decisión | Propone | Decide | Ejecuta | Verifica |
|---|---|---|---|---|
| Prioridad del trimestre | Empresa y agencia | Empresa | Agencia | Responsable interno |
| Promesa comercial | Agencia | Empresa | Agencia | Revisión legal y de hechos |
| Campaña nueva | Agencia | Empresa | Agencia | Medición y ventas |
| Cambio en la web | Agencia o empresa | Empresa | Desarrollo | Prueba por otra persona |
| Acceso a una cuenta | Quien lo necesita | Titular de la cuenta | Administrador | Registro de accesos |
Desliza a la izquierda: cinco fichas, una por fila →
Los nombres reales se escriben antes de empezar: en la tabla son papeles, no personas de Navarting.
El primer mes con la agencia: accesos, inventario y primera reunión
El primer mes con una agencia de marketing sirve para ordenar lo que ya existe, no para abrir canales.
La empresa entrega el mandato, la matriz de decisión, los accesos de cada tarea y lo que ya hay, ordenado en un brief de marketing y web que ayude a decidir. La agencia devuelve el inventario de cuentas, etiquetas, formularios y automatizaciones, con su titular, y lo que está roto.
En la primera reunión se decide qué es un contacto válido, qué indicadores se mirarán y la fecha de la revisión de los 90 días.
Cadencia: qué reuniones e informes hacen falta y cuáles sobran
La cadencia es el calendario fijo de reuniones e informes, y cada cita termina en una decisión con responsable y fecha.
Sobran la reunión que repasa tareas y el informe que solo lista actividad. Cómo hacer uno que acabe en decisiones lo explica reporting de marketing para decidir.
- Semanal y corta: bloqueos y próximos pasos.
- Mensual: resultados, calidad de los contactos y qué se mantiene o se para.
- Trimestral: objetivos, capacidad, riesgos y lista de trabajo.
- Por cambio grande o incidente: pruebas, aprobación, vuelta atrás y aprendizaje.
Backlog único y límites de trabajo en curso
El backlog es la lista única de trabajo que comparten empresa y proveedor: evita los encargos sueltos por correo o mensajería.
Cada tarea lleva su problema, su responsable y cuándo se da por terminada.
Conviene limitar las tareas abiertas a la vez: «todo es prioritario» esconde que nadie ha elegido.
Sin límite
- Web9 tareas
- Campañas7 tareas
Con límite
- Web3 tareas
- Campañas2 tareas
Con el límite, de 16 a 5 tareas abiertas
Cómo revisar el trabajo de la agencia sin depender solo de su informe
Revisar el trabajo de la agencia de marketing es comprobar en la fuente, con un acceso propio, las cifras de su informe.
Cada mes, abre la publicidad y la analítica con tu usuario, coteja varias cifras del informe y contrasta sus contactos con los que ventas da por válidos.
Si tienes que pedir tus propias cifras, lo que falla son los accesos.
Cuentas y accesos de la agencia con el mínimo privilegio
El NIST, el instituto de normas de Estados Unidos, define el mínimo privilegio como el principio de seguridad por el que un sistema limita los privilegios de acceso de cada usuario al mínimo necesario para sus tareas.
De quién debe ser cada cuenta lo trata qué propiedad debe conservar una empresa sobre web, cuentas y datos. Cada persona de la agencia entra con su usuario, nunca con una contraseña compartida.
Google Ads tiene cinco niveles de acceso, de solo correo electrónico a administrador, y solo el administrador puede dar acceso a la cuenta a otros usuarios (salvo el de solo correo electrónico) y cambiar sus niveles. Se dan y se quitan en «Acceso y seguridad», y Google aconseja tener al menos dos administradores, para no perder el acceso a las etiquetas si uno deja de estar disponible.
Google Analytics tiene 5 roles y 2 restricciones de datos (sin ver los costes o los ingresos), y para eliminar usuarios hay que ser administrador de la cuenta. En Search Console solo los propietarios dan y quitan accesos, y a un propietario verificado hay que quitarle su token, el archivo o la etiqueta con que demostró que la propiedad es suya, o podrá volver.
-
Gestiona tus campañas
acaba en Acceso estándar, con su usuario
-
Solo lee los informes
acaba en Acceso de solo lectura
-
Pide ser administrador por si acaso
acaba en Administrador sin necesitarlo
Puede dar acceso a otros usuarios
-
Persona que ya dejó la agencia
acaba en Sigue entrando en la cuenta
Había que quitarle el acceso al irse
-
Cualquier otra petición de acceso
acaba en La decide el titular de la cuenta
Las claves de herramientas van en un gestor de contraseñas de la empresa. OWASP, un proyecto abierto de seguridad, pide en su guía sobre secretos (claves, credenciales y certificados) estandarizar y centralizar su gestión.
Cuándo la agencia de marketing es encargada del tratamiento
La agencia de marketing es encargada del tratamiento cuando trata datos personales por cuenta de tu empresa, la responsable, como al gestionar tus contactos. Lo define el Reglamento General de Protección de Datos (RGPD, artículo 4), y la Agencia Española de Protección de Datos lo resume: el responsable decide la finalidad y los usos de la información, y el encargado cumple las instrucciones de quien le encarga el servicio.
Si la agencia trata datos personales por tu cuenta, el RGPD exige elegirla con garantías suficientes y un contrato u otro acto jurídico por escrito, que puede ser electrónico. Fija el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos, las categorías de personas y tus obligaciones y derechos, y estipula en particular ocho obligaciones del encargado (artículo 28).
La Ley Orgánica 3/2018 añade que, si el encargado usa los datos para sus propias finalidades, pasa a ser responsable, y que al terminar decides tú si se destruyen, se te devuelven o se entregan a la nueva agencia; si una ley obliga a conservarlos, se te devuelven. El encargado puede guardarlos bloqueados mientras puedan derivarse responsabilidades (artículo 33). Este resumen no es asesoramiento jurídico.
- trata los datos solo con tus instrucciones documentadas, también para sacarlos a otros países;
- exige confidencialidad a quien los trata;
- aplica las medidas de seguridad del artículo 32;
- no recurre a otro encargado sin tu autorización previa por escrito;
- te ayuda a atender los derechos de las personas;
- te ayuda a cumplir los artículos 32 a 36, como avisar de las brechas de seguridad;
- al terminar, suprime o devuelve los datos, a tu elección, y borra las copias salvo obligación legal;
- te da la información para demostrar que cumple y permite auditorías.
Qué mirar a los 90 días para saber si la agencia funciona
La revisión de los 90 días comprueba si el trabajo externo produce decisiones.
Va bien si se cumplen estas condiciones:
- El inventario está hecho y cada acceso tiene nombre y fecha.
- Cada informe mensual acabó en decisiones.
- Puedes comprobar las cifras principales sin pedírselas a nadie.
Ejemplo ficticio: cómo opera Arga su departamento de marketing externo
Arga nombra a una responsable interna, y una agencia ficticia lleva la web y las campañas. El primer mes no abre canales: hace el inventario y arregla el envío de los formularios.
En la primera revisión mensual, las cifras del informe no cuadran con las de la cuenta publicitaria. Arga no sube el presupuesto hasta que la agencia explica y corrige la diferencia. Al terminar el acuerdo, conserva cuentas, archivos y la lista de accesos que retirar.
Ejemplo ficticio: «Empresa Arga» no existe y no representa ninguna relación, equipo ni resultado real.
Checklist de gobierno del departamento externo
Estas comprobaciones resumen cómo operar un departamento de marketing externalizado:
Marca lo que ya está y llévate la lista a tu equipo.
0de 12
El cambio de agencia se prepara desde el primer día
Cambiar de agencia sin perder cuentas, datos ni historial depende de que todo viva desde el principio en sistemas de la empresa.
Comprueba de vez en cuando que otra persona podría encontrar cada activo, restaurar una versión anterior y seguir sin la cuenta personal de nadie. Al salir, se quitan los accesos de la agencia en cada plataforma, se cambian las claves que conocía y se decide qué pasa con los datos personales que trataba.
Cuándo no conviene externalizar el departamento de marketing
Externalizar el departamento de marketing no conviene si nadie dentro de la empresa puede decidir.
Tampoco si los accesos necesarios no se pueden gobernar o si lo que sabe el proveedor no se puede documentar.
Y esta guía no trata relaciones laborales ni fiscales.
Preguntas frecuentes sobre cómo trabajar con una agencia de marketing
¿Cada cuánto hay que reunirse con la agencia?
Con la cadencia de esta guía: una reunión semanal corta para bloqueos, una mensual para decidir con resultados y una trimestral para objetivos y riesgos. Cada una acaba en una decisión con responsable y fecha.
¿Quién debe ser el responsable interno?
Una persona de la empresa con autoridad para decidir y tiempo para hacerlo cada semana. Aprueba prioridades, presupuesto y promesas comerciales, y responde a las consultas de la agencia en el plazo que fija el mandato.
¿Debe la agencia tener acceso de administrador?
Solo si su tarea lo exige. En Google Ads, el acceso estándar ya permite editar campañas; el de administrador permite además dar acceso a otros usuarios y cambiar sus niveles, algo que conviene reservar a la empresa.
¿Qué pasa con los datos al cambiar de agencia?
Si era encargada del tratamiento, decides tú si los datos personales se destruyen, se te devuelven o pasan a la nueva agencia, salvo que una ley obligue a conservarlos: entonces se te devuelven. Las cuentas de la empresa no cambian de manos: basta con retirarle los accesos.
Siguiente paso
Para empezar a operar así, escribe el mandato de una página y la matriz de decisión con nombres reales antes de la próxima reunión.
Después, haz el inventario de accesos de cada cuenta y quita los que nadie sepa explicar.
Si quieres revisar mandato y dependencias con alguien de fuera, consulta la página de marketing externalizado.
Fuentes
Las páginas se consultaron el 7 de octubre de 2026.
- BOE: Reglamento General de Protección de Datos (artículos 4 y 28) y Ley Orgánica 3/2018 de Protección de Datos Personales (artículo 33).
- Agencia Española de Protección de Datos: directrices para los contratos entre responsables y encargados del tratamiento.
- Google: niveles de acceso de Google Ads, gestionar el acceso a Google Ads, gestión de accesos de Analytics, añadir y eliminar usuarios de Analytics y propietarios, usuarios y permisos de Search Console.
- NIST: definición de least privilege.
- OWASP: Secrets Management Cheat Sheet.
Historial de actualizaciones
Publicado el 20 de octubre de 2026.
Es la primera versión de esta guía.
Qué cubre: qué decide siempre la empresa, el mandato, la matriz de decisión, el primer mes, la cadencia, la lista de trabajo con límites, cómo revisar su trabajo, los accesos, el contrato de encargado del tratamiento, la revisión de los 90 días, un ejemplo ficticio y el cambio de agencia.
¿Te suena? Organizar el marketing
Ver cómo lo abordamos