SaaS利用契約書（B2B）のひな形

プレゼンテーション

SaaS利用契約書は、ソフトウェア・アズ・ア・サービス(SaaS)、すなわちベンダーがクラウド上で提供するソフトウェアを、顧客企業がインターネット経由で利用することを内容とする契約です。日本法上、SaaS契約を直接規律する固有の制定法は存在せず、民法の一般契約法理(準委任または請負に類似する役務提供契約としての性質を持つ場合が多い)に基づいて規律されます。 SaaS事業者が多数の顧客に対し同一内容の利用規約を提示して契約を締結する形態を取る場合、2020年施行の民法改正により新設された「定型約款」の規律(民法第548条の2以下)が適用される可能性があります。定型約款に該当するためには、(1)特定の者が不特定多数の者を相手方として行う取引であって、その内容の全部または一部が画一的であることがその双方にとって合理的なもの(定型取引)であり、かつ(2)契約の内容とすることを目的として準備された条項の総体であることが必要です。定型約款に該当する場合、相手方が個別の条項の内容を認識していなくても、定型約款を契約内容とする旨の合意があれば、原則として各条項について合意したものとみなされます(みなし合意)。ただし、相手方の利益を一方的に害する条項(不当条項)は、信義則に反する場合には合意しなかったものとみなされます(同法第548条の2第2項)。また、定型約款準備者(ベンダー)は、一定の要件(変更が相手方の一般の利益に適合するとき、または契約をした目的に反せず、変更の必要性、相当性等に照らして合理的なものであるとき)を満たせば、個別に相手方の同意を得ることなく約款の内容を変更することができます(同法第548条の4)。この変更条項はSaaS事業者にとって機能追加・料金改定等に柔軟に対応する上で重要な意味を持ちます。 SaaS契約でカスタマー(顧客企業)が特に留意すべき事項として、サービスレベル(稼働率保証、障害時の対応時間等、いわゆるSLA)、データの取扱い(顧客データの帰属、利用目的の制限、契約終了時のデータ返還・削除)、可用性・セキュリティに関するベンダーの義務、免責事項および責任制限条項(ベンダーの損害賠償責任を利用料の一定倍数に制限する条項が一般的)、サービス変更・終了時の予告期間などが挙げられます。 顧客企業の従業員や顧客の個人情報がSaaS上で取り扱われる場合、個人情報保護法(APPI)の適用を受け、ベンダーは顧客(個人情報取扱事業者)からの委託先として、同法上の安全管理措置義務や委託先の監督義務(同法第25条)の対象となる場合があります。また、SaaSがクラウドサーバーを海外に設置している場合には、個人データの外国にある第三者への提供規制(同法第28条、本人の同意取得または相当措置の確保等)への対応が必要となる点にも留意が必要です。 契約書の主要条項としては、サービス内容および利用範囲(アカウント数、利用者数上限等)、利用料金および支払条件、SLA、知的財産権の帰属(ベンダー所有のソフトウェアである旨の確認)、データの取扱いおよび個人情報保護、秘密保持、責任制限、契約期間および自動更新、解約条件、反社会的勢力の排除などが挙げられます。 本テンプレートは企業向け(B2B)SaaS利用を想定した汎用ひな形です。取り扱うデータの機微性やサービスの重要性(基幹システムか補助的ツールか)に応じて、SLAの詳細化や責任制限条項の調整を検討してください。

カスタマイズする情報

• ベンダー(サービス提供者)の名称

• ベンダーの所在地

• 顧客企業の名称

• 顧客企業の所在地

• サービスの名称

• 月額利用料金(円)

よくある質問

SaaSの利用規約は契約書と別に存在しますが、両方に効力がありますか？

SaaS事業者が多数の顧客に画一的な条件で提供する利用規約は、民法上の「定型約款」に該当する場合があり、契約書で規約を契約内容とする旨を合意していれば、規約の各条項について合意したものとみなされます。ただし、顧客の利益を一方的に害する不当な条項は無効となる場合があります。

ベンダーは利用規約を一方的に変更できますか？

定型約款に該当する場合、変更が相手方の一般の利益に適合するとき、または契約の目的に反せず変更の必要性・相当性等に照らして合理的であるときは、個別の同意なく規約を変更することができます(民法第548条の4)。もっとも、変更内容の周知等、一定の手続が求められます。

稼働率保証(SLA)を下回った場合、どのような救済がありますか？

契約書やSLA条件書で、稼働率が保証水準を下回った場合の利用料金の減額・返金等の措置を具体的に定めておくのが一般的です。特段の定めがない場合、債務不履行の一般原則に基づく損害賠償請求を検討することになりますが、責任制限条項により賠償額に上限が設けられていることが多い点に留意が必要です。

顧客データに個人情報が含まれる場合、ベンダーにはどのような義務がありますか？

ベンダーは個人情報保護法上、顧客(個人情報取扱事業者)からの委託先として、安全管理措置を講じる義務および顧客による監督に従う義務を負います。サーバーが海外にある場合は、外国にある第三者への提供規制(同法第28条)への対応も必要です。

契約終了後、預けていたデータはどうなりますか？

本ひな形では、契約終了後、顧客の求めに応じて合理的な期間内にデータを返還し、または一定の保存期間経過後に削除する旨を規定しています。データのエクスポート形式や保存期間について、契約締結前に具体的に確認しておくことが望ましいです。