SaaS利用契約の注意点｜導入企業が確認すべき条項を弁護士が解説

執筆：弁護士 安藤 一章（タングラム法律事務所／神奈川県弁護士会所属）　公開日：2026年10月20日　最終更新日：2026年10月20日

会計ソフトや顧客管理、勤怠管理など、中小企業でもクラウド型のSaaSは欠かせない存在になりました。導入時は「利用規約に同意する」にチェックを入れるだけ、という会社も多いはずです。しかし、障害でサービスが止まった、顧客データが流出した、解約したらデータを取り出せない、といったトラブルの際に会社を守るのも縛るのも、その利用規約（SaaS利用契約）です。

この記事では、SaaSを導入する企業の立場から、確認すべき条項、責任制限条項の読み方、個人情報保護法上の注意点、交渉できない規約への対応を、横浜の弁護士が解説します。

結論として、SaaS利用契約は「定型約款」として同意だけで契約内容になり得るため、導入前に、サービス水準（SLA）・データの取扱い・責任制限・規約変更・解約時のデータ返還の5点を最低限確認することが重要です。個人データを預ける場合は、事業者がそのデータを「取り扱う」契約かどうかで、個人情報保護法上の委託先監督の要否が変わります。

SaaS利用契約の特徴｜「利用規約に同意」でも契約内容になる

SaaSの多くは、提供事業者が用意した利用規約に申込者が同意する形で契約が成立します。2020年4月1日施行の改正民法は、このような取引の約款を「定型約款」として規律しました（民法548条の2〜548条の4）。

• みなし合意（548条の2第1項）：定型約款を契約の内容とする旨の合意や事前の表示があれば、個々の条項を読んでいなくても、条項に合意したものとみなされます。
• 不当条項の排除（同条2項）：相手方の権利を制限し、又は義務を加重する条項のうち、信義則に反して相手方の利益を一方的に害すると認められるものは、合意しなかったものとみなされます。
• 一方的な変更（548条の4）：変更が相手方の一般の利益に適合する場合や、契約の目的に反せず、変更の必要性・内容の相当性等に照らして合理的な場合には、個別の同意なく規約を変更できます。変更の際は、効力発生時期を定めてインターネット等で周知する必要があります。

事業者間の取引でも、画一的な内容で提供されるSaaSの規約は定型約款に当たる可能性があります。「読んでいなかった」は原則として通らないため、同意する前に内容を確認することが基本です。

SaaS利用契約で確認すべき主な条項

特に確認したい条項は次のとおりです。

条項	確認するポイント
サービス内容・SLA	稼働率の目標値、計画停止の扱い、障害時の連絡方法、目標を下回った場合の利用料減額の有無
データの権利・利用目的	入力データの権利が利用者に残るか、事業者が統計・AI学習等に利用できる範囲
セキュリティ・再委託	安全管理の内容、再委託先・データ保管国、事故発生時の通知義務
責任制限・免責	賠償額の上限、間接損害の除外、故意・重過失の場合の扱い
規約変更	変更の通知方法・時期、不利益変更の場合に解約できるか
期間・自動更新・解約	最低利用期間、解約予告期間、中途解約時の料金
終了時のデータ	エクスポートの可否・形式・期間、削除の時期と証明
準拠法・管轄	海外事業者の場合に外国法・外国の裁判所が指定されていないか

サービス水準の考え方については、経済産業省の「SaaS向けSLAガイドライン」（2008年1月）や、総務省の「クラウドサービス提供における情報セキュリティ対策ガイドライン（第3版）」（2021年9月30日公表）が、責任分担を整理する際の参考になります。

責任制限条項（損害賠償の上限）の読み方

SaaSの規約には、「当社の損害賠償責任は、利用者が過去一定期間に支払った利用料金の額を上限とする」「逸失利益等の間接損害は賠償しない」といった責任制限条項が置かれているのが一般的です。上限額が自社の想定損害に比べてどの程度か、まず把握しておく必要があります。

もっとも、責任制限条項が常に文言どおり適用されるわけではありません。ウェブサイトの受注システムがSQLインジェクション攻撃を受けて顧客情報が流出した事案で、東京地方裁判所平成26年1月23日判決は、損害賠償額を契約金額の範囲内に制限する特約について、受託者に故意又は重過失がある場合には適用されないと判断し、受託者の重過失を認めて賠償を命じました。SaaSの規約の事案ではありませんが、故意・重過失の場合まで責任を限定する条項は、そのとおり適用されない余地があることを示す裁判例です。

導入企業としては、①故意・重過失が責任制限の対象外とされているか、②自社側でサイバー保険等により損害をカバーできるか、を確認しておくとよいでしょう。

個人データを預ける場合の個人情報保護法上の注意点

顧客名簿や従業員情報をSaaSに保存する場合、個人情報保護委員会のQ&A（Q7-53）は、クラウドサービスの利用が個人データの「提供」に当たるかどうかは、クラウドサービス提供事業者がサーバに保存された個人データを取り扱うこととなっているかどうかで判断するとしています。

• 取り扱わないこととなっている場合：契約条項で事業者が個人データを取り扱わない旨が定められ、適切なアクセス制御が行われている場合などは、「提供」にも「委託」にも当たらず、本人の同意や委託先の監督（法25条）は不要とされます（自社の安全管理措置の義務は残ります）。
• 取り扱うこととなっている場合：個人データの取扱いの委託に当たり、委託先として事業者を監督する必要があります（法25条）。

また、事業者やサーバが外国にある場合、Q&A（Q10-25）は、当該外国の制度等を把握したうえで安全管理措置を講じ、外国の名称等を本人が知り得る状態に置く必要があるとしています。データの保管国が分かるかも確認ポイントです。委託に当たる場合の契約条項や監督方法は、個人情報の委託先管理と契約書の必須条項の記事で詳しく解説しています。

解約・サービス終了時のデータ移行に備える

見落とされがちなのが、契約終了時のデータの扱いです。解約後一定期間でデータが削除され復元できないと定める規約もあり、事業者の撤退によるサービス終了のリスクもあります。

導入前に、①CSV等の汎用形式で一括エクスポートできるか、②解約後のデータ保持期間、③サービス終了の通知時期を確認しましょう。中核業務のシステムほど乗り換えにくくなる（ベンダーロックイン）ため、定期的なバックアップも検討しましょう。

交渉できない利用規約への実務的な対応

大手のSaaSでは、規約の修正に応じてもらえないことが通常です。その場合でも、次のような対応が考えられます。

• 比較検討の材料にする：責任制限やデータ返還の条件がより有利なサービスを選ぶ
• 個別契約・覚書の有無を確認する：法人向けプランではSLAやデータ処理に関する個別合意が用意されている場合がある
• 預けるデータを選ぶ：機密性の高い情報は保存しない、権限を絞るなど運用でリスクを下げる
• 規約変更の通知を追う：確認する担当者を決め、不利益な変更があれば解約も検討する

重要なシステムの導入時には、リーガルチェックの活用も一つの方法です。費用の目安は契約書リーガルチェックの費用相場の記事を、提供者側の規約づくりは利用規約の作り方の記事をご覧ください。当事務所の企業法務の取扱内容は、企業法務（契約書レビュー・労務・法改正対応）のページで紹介しています。

SaaS利用契約に関するよくある質問

Q. 利用規約を読まずに同意した場合でも、規約の内容に拘束されますか？

A. 定型約款に当たる場合、個別の条項を読んでいなくても合意したものとみなされます（民法548条の2第1項）。ただし、信義則に反して利用者の利益を一方的に害する条項は、合意しなかったものとみなされる可能性があります（同条2項）。

Q. SaaS事業者は利用規約を一方的に変更できますか？

A. 定型約款の場合、利用者の一般の利益に適合する変更や、契約の目的に反せず合理的な変更は、個別の同意なく行えます（民法548条の4第1項）。後者は効力発生時期までに周知されなければ効力を生じません（同条3項）。

Q. 顧客の個人データをSaaSに保存するには本人の同意が必要ですか？

A. 事業者が個人データを取り扱わないこととなっている場合は「提供」に当たらず、同意は不要とされています。取り扱う場合は委託に当たり、同意は不要ですが委託先の監督が必要です。

Q. 障害で業務が止まった場合、SaaS事業者に損害賠償を請求できますか？

A. 責任制限条項やSLAによって請求できる範囲が限られていることが多く、まず規約の確認が必要です。故意・重過失がある場合に責任制限条項の適用を否定した裁判例もあり、具体的な事情を踏まえて検討することになります。

まとめ｜SaaS導入前の契約確認が会社を守る

SaaS利用契約は、同意のクリックひとつで契約内容となり、一方的な変更もあり得る契約です。導入前にSLA・データの取扱い・責任制限・規約変更・解約時のデータ返還を確認し、個人データを預ける場合は個人情報保護法上の位置づけも整理しましょう。基幹システムの導入時やトラブル発生時は、早めに弁護士に相談することで取り得る手段を整理できます。横浜の当事務所でも、SaaS導入時の規約確認をお受けしています。

※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。具体的な事案についてのご判断は、弁護士にご相談ください。