Konta i dostępy firmowe: co powinno być pod Twoją kontrolą przy współpracy z agencją?

Co miesiąc opłacasz faktury za pozycjonowanie strony, kampanie reklamowe czy prowadzenie profili w mediach społecznościowych. Co się jednak stanie, gdy z dnia na dzień postanowisz zalogować się do panelu domeny albo sprawdzić ustawienia konwersji w panelu reklamowym? Brak wiedzy o tym, od czego zacząć, to problem wielu przedsiębiorców. Na szczęście nie musisz być programistą, aby szybko to zmienić. Z tego artykułu dowiesz się, jak spisać i uporządkować cyfrowe zasoby swojej firmy. Poznasz też różnicę między zwykłym dostępem do kont a pełną kontrolą nad nimi. Dzięki temu zabezpieczysz firmę na wypadek zmian w zespole lub zakończenia współpracy z agencją. 

Jakie konta i zasoby marketingowe firma powinna kontrolować na co dzień?

Firma powinna sprawować bezpośredni nadzór nad wszystkimi elementami swojej infrastruktury internetowej oraz gromadzonymi danymi. Do bezwzględnego rdzenia firmowych aktywów cyfrowych należą: 

• domena, 
• hosting, 
• system zarządzania treścią (CMS), 
• firmowe skrzynki pocztowe, 
• narzędzia analityczne, 
• konta reklamowe, 
• oficjalne profile w mediach społecznościowych, 
• bazy danych klientów 
• pliki projektowe.

Prawidłowe zarządzanie tymi zasobami wymaga regularnego stawiania sobie dwóch fundamentalnych pytań testowych:

• czy wiem, gdzie fizycznie znajduje się dany zasób i kto ma do niego dostęp?
• czy moja firma posiada uprawnienia pozwalające na zarządzanie nim bez konieczności angażowania osób trzecich?

Brak jednoznacznej odpowiedzi na którekolwiek z powyższych pytań sygnalizuje podatność organizacji na zatory operacyjne. W sytuacji sporu z wykonawcą, awarii technicznej lub nagłego odejścia pracownika, brak bezpośredniej kontroli nad zasobami paraliżuje bieżącą komunikację ze sprzedażą i generuje niepotrzebne koszty.

Dostęp do konta a kontrola nad zasobem – na czym polega różnica?

Dostęp operacyjny pozwala na wykonywanie codziennych zadań w systemie, podczas gdy pełna kontrola oznacza formalne prawo własności, możliwość zarządzania wszystkimi użytkownikami oraz wyłączny nadzór nad płatnościami. Wiele organizacji myli możliwość logowania się do panelu z posiadaniem praw zarządczych do danego aktywa.

Dostęp techniczny sprowadza się do roli edytora, analityka lub wykonawcy zadań. Oznacza to, że agencja marketingowa może konfigurować kampanie reklamowe, ale nie powinna być wpisana jako prawny właściciel konta. 

O kontroli decydują dane abonenta u rejestratora, główny adres e-mail przypisany do odzyskiwania haseł oraz uprawnienia do usuwania innych użytkowników. Posługiwanie się firmowym adresem e-mail przy zakładaniu konta jest wygodne, ale samo w sobie nie stanowi prawno-technicznego dowodu kontroli, jeśli konto zarejestrowano na prywatne dane wykonawcy.

Trzeba pamiętać, że nazewnictwo ról różni się w zależności od systemu i nie w każdym panelu występuje funkcja określona wprost „Właścicielem”. Często najwyższe uprawnienia posiada administrator główny. 

Do sprawnego zarządzania relacjami zewnętrznymi służą specjalne struktury zbiorcze. Konto menedżerskie to narzędzie zbiorcze służące agencji do obsługi wielu klientów z jednego poziomu, bez konieczności przejmowania wyłączności nad kontem klienta. Dzięki takiemu rozwiązaniu wykonawca realizuje powierzone prace, a firma zachowuje pełnię praw do swojej historii i danych.

Checklista firmowych kont, danych i materiałów – co i jak sprawdzić?

Aby sprawnie przeprowadzić audyt w swojej organizacji, warto podzielić zasoby na uniwersalny rdzeń infrastrukturalny oraz rozszerzenia specyficzne dla danego modelu sprzedaży, np. branży e-commerce. 

W każdym punkcie weryfikacji podlegają trzy parametry: charakterystyka zasobu, czynności do samodzielnego wykonania przez właściciela oraz sygnały ostrzegawcze świadczące o braku pełnej kontroli.

Domena, hosting, strona WWW i poczta firmowa

Domena to unikalny adres internetowy Twojej firmy, natomiast hosting to wydzielona przestrzeń na serwerze, na której przechowywane są pliki strony i poczty. Obydwa te elementy tworzą fundament obecności w sieci i wymagają najwyższego poziomu ochrony.

Sprawdzenie kontroli nad tym obszarem polega na zalogowaniu się do panelu rejestratora domeny i weryfikacji danych abonenta (tzw. registranta). Należy upewnić się, że w formularzu widnieją dane Twojej spółki lub jednoosobowej działalności, a nie dane agencji, która wdrażała serwis. 

Konieczny jest też bezpośredni dostęp do zarządzania rekordami DNS, co umożliwia kierowanie ruchu na odpowiednie serwery. Sama strona oparta o CMS (system zarządzania treścią) wymaga osobnego konta z rolą administratora oraz wdrożonego mechanizmu wykonywania niezależnych kopii zapasowych.

W przypadku poczty elektronicznej należy kontrolować główny panel administracyjny (np. Google Workspace lub Microsoft 365), a nie tylko poszczególne skrzynki pracowników. Sygnałem ostrzegawczym jest sytuacja, w której faktura za odnowienie domeny przychodzi od zewnętrznej agencji z dopiskiem „refaktura”, a wsparcie techniczne rejestratora odmawia udzielenia informacji ze względu na inne dane w systemie. 

Pamiętaj jednak o ważnym niuansie: nazwa rejestratora w publicznej bazie WHOIS nie musi oznaczać prawno-organizacyjnego właściciela, a brak widoczności Twoich danych w publicznych rejestrach z powodu ochrony prywatności nie jest równoznaczny z utratą praw do adresu.

Analityka i zarządzanie zgodami (GA4, GSC, GTM, CMP)

Narzędzia analityczne gromadzą bezcenne dane o zachowaniach klientów i historii ruchu na stronie. Przejęcie lub utrata tych kont oznacza konieczność budowania analityki od zera.

Przy pierwszym audycie warto uporządkować pojęcia: 

• Google Analytics 4 (GA4) to narzędzie do analityki ruchu i zachowań użytkowników na stronie. 
• Google Search Console (GSC) to panel kontroli widoczności serwisu w bezpłatnych wynikach wyszukiwania, kluczowy gdy wdrażana jest strategia SEO. 
• Google Tag Manager (GTM) to system zarządzania kodami śledzącymi bez konieczności edycji kodu strony. 
• Consent Management Platform (CMP) to baner do zarządzania zgodami użytkowników na pliki cookie i przetwarzanie danych.

Podczas weryfikacji upewnij się, że Twoja firma posiada właściwe uprawnienia.

Konta reklamowe, social media i Profil Firmy w Google

Kanały reklamowe oraz firmowe profile społecznościowe – takie jak profesjonalnie prowadzony profil na LinkedIn – bezpośrednio odpowiadają za pozyskiwanie klientów B2B oraz wizerunek marki. Wymagają jasnego podziału ról pomiędzy właścicielem zasobu a wykonawcą kampanii.

Meta Business Portfolio: firma zachowuje pełną kontrolę nad ludźmi, zasobami i finansami, a agencję dodaje jako Partnera lub imiennego użytkownika. Przydzielaj tylko dostęp częściowy do konkretnych stron, kont reklamowych i zadań. Nie przekazuj agencji loginu ani hasła do prywatnego profilu Facebooka – niewłaściwe praktyki logowania z różnych urządzeń mogą być traktowane podejrzanie i prowadzić do sytuacji, w której nastąpi blokada konta na Facebooku. 

Google Ads ma poziomy: 

• administracyjny, 
• standardowy, 
• tylko do odczytu, 
• e-mailowy,
• rozliczeniowy. 

Agencja powinna pracować przez własne konto menedżera (MCC), a klient powinien zachować aktywny dostęp administracyjny bezpośrednio do konta. Sprawdź osobno, czy MCC ma własność administracyjną nad kontem klienta, ponieważ wpływa to na możliwość zarządzania administratorami, menedżerami i linkami. Uprawnienia do kampanii oddziel od uprawnień finansowych: metod płatności, danych podatkowych i fakturowania.

Sygnałem alarmowym jest sytuacja, w której agencja prowadzi działania z własnego, prywatnego konta reklamowego i uniemożliwia przeniesienie historii kampanii, zbieranych grup odbiorców oraz pikseli konwersji po zakończeniu umowy. Przed wprowadzeniem jakichkolwiek zmian w strukturze ról zawsze przeanalizuj oficjalną dokumentację danej platformy, aby przypadkowo nie zablokować aktywnych emisji reklam.

CRM, mailing i dodatkowe zasoby e-commerce

Narzędzia sprzedażowe zawierają najbardziej wrażliwe dane organizacji: informacje o transakcjach oraz dane osobowe klientów.

CRM (Customer Relationship Management) to system do zarządzania relacjami z klientami i przechowywania bazy kontaktów. W e-commerce konieczne jest posiadanie własnego konta w Google Merchant Center, pełnej kontroli nad plikami produktowymi (feedami) oraz integracjami z systemami magazynowymi czy platformami zbierającymi opinie. Konta w systemach do wysyłki newsletterów powinny być zarejestrowane bezpośrednio na dane firmy, a szablony i automatyzacje marketingu przypisane do służbowych adresów e-mail. Formalna własność bazy danych i integracji musi spoczywać po stronie Twojej organizacji.

Pliki, strategie, projekty i narzędzia AI

Aktywa niematerialne obejmują prawa autorskie, księgi znaku, materiały graficzne oraz cyfrowe zasoby wypracowane w trakcie współpracy.

Firma musi posiadać dostęp do dysków chmurowych, kont w serwisach projektowych (np. Canva, Figma, Adobe) oraz plików źródłowych logo w wersjach wektorowych. Pod nadzorem powinny znajdować się również spisywane strategie, dokumenty brandbooka oraz autorskie prompty i konta w narzędziach sztucznej inteligencji wykorzystywane do obsługi marki.

Należy pamiętać o kwestiach prawnych i licencyjnych. Narzędzia, płatne wtyczki, biblioteki zdjęć czy subskrypcje opłacane bezpośrednio przez agencję nie stają się automatycznie własnością klienta, chyba że umowa jednoznacznie stanowi inaczej. Firma powinna jednak zawsze dysponować własnymi plikami źródłowymi i całościową dokumentacją brandu na swoim dysku.

Jak w praktyce sprawdzić, czy firma ma potrzebne uprawnienia?

Aby sprawdzić rzeczywisty poziom kontroli nad wybranym systemem, poproś zespół operacyjny i wykonaj prosty test weryfikacyjny składający się z 5 kroków:

1. próba logowania – zaloguj się do panelu przy użyciu firmowego adresu e-mail przeznaczonego do celów zarządczych;
2. przegląd ról – wejdź w zakładkę zarządzania użytkownikami i sprawdź, jaka rola jest przypisana do Twojego konta (szukaj pojęć: Administrator, Owner, Super Admin);
3. test uprawnień – sprawdź, czy system umożliwia Ci wysłanie zaproszenia dla nowego, testowego adresu e-mail oraz czy możesz zmienić rolę innemu użytkownikowi;
4. weryfikacja odzyskiwania – zobacz w ustawieniach bezpieczeństwa, na jaki adres e-mail i numer telefonu wysyłane są kody resetujące hasło oraz powiadomienia dwuetapowe;
5. zastępstwo zarządcze – upewnij się, że w systemie istnieje drugi, zaufany użytkownik z rolą administratora z wnętrza Twojej firmy na wypadek losowej niedostępności głównego konta.

Poniższa tabela przedstawia wzorcowy rejestr inwentaryzacyjny, który pozwala utrzymać porządek w strukturze dostępów cyfrowych:

Jak udostępniać zasoby marketingowe agencjom i freelancerom bez ryzyka?

Bezpieczne udostępnianie zasobów opiera się na podstawowej zasadzie: nigdy nie przekazujemy zewnętrznym podmiotom głównych danych logowania (loginu i hasła) do konta właściciela. Przekazywanie haseł do kont głównych uniemożliwia późniejszą identyfikację, kto wykonał daną operację w systemie, a także drastycznie obniża poziom bezpieczeństwa.

Właściwy model polega na wykorzystaniu funkcji parowania kont menedżerskich/partnerów lub nadawaniu imiennych zaproszeń na służbowe adresy e-mail konkretnych specjalistów. 

W organizacji warto wdrożyć następujące zasady higieny cyfrowej:

• stosowanie zasady minimalnych uprawnień – przyznawaj tylko takie role, jakich wykonawca faktycznie potrzebuje do realizacji danego zadania (np. rola edytora zamiast administratora);
• korzystanie z firmowego menedżera haseł do bezpiecznego dzielenia się dostępami technicznymi bez ujawniania ciągu znaków;
• wymóg stosowania weryfikacji dwuetapowej (2FA) na wszystkich kontach powiązanych z zasobami firmy;
• prowadzenie i bieżąca aktualizacja rejestru nadanych dostępów zewnętrznych.

Minimalny standard: co najmniej 2 administratorów po stronie firmy, każdy z aktywnym 2FA. Audyt dostępów wykonuj rutynowo raz na kwartał oraz natychmiast po odejściu pracownika, zmianie agencji lub incydencie bezpieczeństwa. Dostępy nadawaj zawsze imiennie, bez używania wspólnych haseł i bez zakładania zasobów na prywatne adresy pracowników.

Co sprawdzić i odebrać, gdy odchodzi pracownik, wspólnik lub zmieniasz agencję?

Rozstanie z pracownikiem, wspólnikiem lub dotychczasową agencją wymaga sprawnego przeprowadzenia procedury wygaszania uprawnień. Zapewnia to ochronę tajemnicy przedsiębiorstwa oraz zapobiega przypadkowym lub celowym modyfikacjom w kampaniach.

Proces porządkowy powinien obejmować następujące kroki:

1. usunięcie konta użytkownika lub powiązanego konta menedżerskiego ze wszystkich platform reklamowych, analitycznych i społecznościowych.
2. unieważnienie aktywnych sesji na urządzeniach przenośnych i przeglądarkach w ustawieniach kont firmowych.
3. zmiana haseł technicznych do integracji i wygenerowanie nowych kluczy API po uzgodnieniu czynności z administratorem IT.
4. odebranie dostępu do firmowego menedżera haseł oraz usunięcie byłego pracownika ze skrzynek grupowych i dysków chmurowych.
5. weryfikacja i zmiana numerów telefonów oraz adresów e-mail służących do awaryjnego odzyskiwania haseł.

Dodatkowe czynności: 

• usuń oczekujące zaproszenia; 
• odłącz MCC i partnerów Meta; 
• cofnij aplikacje OAuth i tokeny API; 
• zinwentaryzuj i wymień piksele oraz integracje należące do odchodzącego wykonawcy; 
• wyloguj aktywne sesje; 
• usuń urządzenia z aplikacjami 2FA; 
• zmień dostęp do skrzynek odzyskiwania haseł.

Sytuacja taka jak zmiana w składzie zarządu lub odejście wspólnika wymaga dodatkowo formalnej aktualizacji danych rejestrowych u dostawców usług, w tym u rejestratora domeny. Wykonanie tych czynności zabezpiecza firmę przed przestojami w pracy i utratą cennych zasobów cyfrowych.

Co zrobić, jeśli firma nie ma dostępu do swojego zasobu?

Wykrycie braku kontroli nad kluczowym kontem wymaga podjęcia uporządkowanych działań ratunkowych. Przede wszystkim ustal dokładną nazwę zasobu oraz identyfikator dostawcy usługi, a następnie sprawdź, na kogo formalnie wystawiane były faktury odnowieniowe.

Następnie podejmij próbę zlokalizowania osoby wpisanej jako główny administrator i przeanalizuj krytyczność biznesową zasobu. Jeśli polubowne przekazanie dostępu nie jest możliwe, rozpocznij oficjalną procedurę odzyskiwania konta w dziale wsparcia technicznego danej platformy. Dostawcy tacy jak Google, Meta czy rejestratorzy domen posiadają procedury reklamacyjne, w których musisz przedstawić dokumenty rejestrowe spółki (NIP, KRS), wyciągi bankowe potwierdzające opłacanie usługi lub potwierdzenie praw do znaku towarowego.

Priorytetem w operacji ratunkowej zawsze są: domena, poczta firmowa, dostęp do serwisu WWW oraz aktywne konta reklamowe. Trzeba jednak zachować realizm – konta utworzone w sposób błędny na prywatne adresy e-mail osób trzecich (np. prywatne konto na Facebooku wykorzystane do założenia strony) mogą okazać się niemożliwe do odzyskania na drodze technicznej bez polubownej współpracy ze strony ich założyciela.