Qué datos hay en juego: nombre, dirección para enviar producto, datos fiscales para pagar, cuentas bancarias, y la imagen y voz de la persona, que es dato personal en sí misma. Todo eso vive en algún sistema y alguien responde de él.
El reparto habitual. Si la agencia tiene su propia red de creadores, los capta y los contrata, es responsable de esos datos y la marca no debería recibir más que lo imprescindible. Si la marca entrega su base de clientes o embajadores para que la agencia los active, la agencia trata datos por cuenta de la marca y hace falta un contrato de encargado del tratamiento.
Lo que conviene pedir por escrito: base jurídica del tratamiento, plazo de conservación, si hay transferencias fuera del Espacio Económico Europeo (muy habitual con herramientas de gestión), y el procedimiento concreto para atender una solicitud de supresión de un creador.
Ese último punto es el que falla en la práctica. Cuando un creador pide que borren sus datos, hay que saber en cuántos sitios están: hoja de gestión, correo, CRM, herramienta de pagos, newsletter. Si nadie tiene esa lista, el derecho de supresión no se puede atender de verdad.
Más contexto: RGPD y contenido de creadores y cesión de derechos de imagen.