顧客データの帰属と利用の範囲

結論：顧客データは「誰のものか」だけでなく、「誰が何のために使えるか」を双方向に書く

クラウドサービスの規約で、顧客データの条項は「顧客データの権利は顧客に帰属する」の一文で済まされていることが少なくありません。しかし、帰属を書いただけでは、提供者がそのデータを複製・解析・外部に送信してよいのか、統計にしてサービスの改善に使ってよいのか、反対に顧客がサービスをどの範囲で使えるのかは決まりません。アトラス行政書士法人のレビューでは、帰属と許諾を対象ごとに分け、双方向に書くことを基本にしています。

このページでは、顧客データの帰属と利用の範囲、統計情報、提供者が自ら取得する情報、秘密情報との関係を扱います。契約が終わるときの返還と削除はデータの返還・削除のページ、顧客データに個人データが含まれる場合の委託先としての規律は委託先と個人情報のページで扱います。

「いかなる知的財産権も許諾しない」が、利用権の否定と読まれる

民間スクール向けの顧客管理クラウドのひな形には、利用許諾の条項がなく、代わりに「本契約は、いかなる知的財産権も相手方に移転し又は許諾するものではない」という条項がありました。書いた側の意図は「サービスの権利は提供者に残る」という確認ですが、文言の上では、顧客にサービスを使う権利を与えていないとも読めます。

ブラウザを通じてSaaSを使うときに端末に一時的に記録されることは、電子計算機での利用を円滑にするための付随的な利用として認められているので（著作権法47条の4第1項）、この条項があるから直ちに顧客が侵害者になるわけではありません。問題は、機能の削除や利用の停止をめぐって争いになったときに、提供者が何を約束していたのか、債務不履行の根拠が定まらないことです。顧客のデータの帰属、提供者の利用の範囲（統計・改善・AIの学習）、AIの出力の帰属も決まっていませんでした。

権利の対象を分けて、帰属と許諾を表にする

社内資料を読み込んで回答するAIサービスの試行版の契約では、依頼者の原本が帰属だけを定め、許諾は双方向ともありませんでした。報告書では、権利の対象を5つに分け、それぞれ帰属と許諾を整理しました。

顧客から提供者への許諾がなぜ必要かというと、解析用の複製やインデックスの作成、外部のAIサービスへの送信に伴う複製は、著作権法上の複製（21条）や翻案（27条）に当たり得るからです。顧客の社内資料は公衆に提供・提示された著作物ではないので、コンピュータによる情報処理に付随する軽微な利用を認める規定（著作権法47条の5第1項）は使えません。インデックスの作成のように、表現を享受することを目的としない利用（30条の4）として許される余地がある部分もありますが、根拠箇所を画面に表示して利用者に読ませる機能は表現の享受を伴うので、契約上の許諾で支えておくのが確実です。AI機能に固有の論点はAI機能のページで扱います。

提供者から顧客への許諾では、利用の目的の書き方が問題になります。修正文案では「顧客の業務の目的」としました。「社内業務」と書くと、生成した文書を取引先に送るといった対外的な使い方が範囲の外だと読まれるからです。反対に、スカウト型の採用クラウドの個別契約書では、用途を自社の新卒採用とインターンの募集に限り、マーケティング・人材データベースの構築・教育訓練の目的での利用や、グループ会社への貸与・再許諾、同じIDでのアクセスを禁止しています。顧客に使わせる範囲を絞る必要があるサービスでは、許諾の目的が禁止事項の土台になります。

提供者から顧客に渡るデータの二次利用を縛る

データの流れは、顧客から提供者への一方向だけではありません。サービスの画面や出力、提供者が持つデータベースの情報、提携先から受け取る商品データなど、提供者の側から顧客の手元に渡るデータもあります。これらの二次利用の制限も、許諾の条とあわせて書いておきます。

• スカウト型の採用クラウドでは、顧客企業が取得した学生の情報を、自社の他の業務や他の目的のシステムに転記・再利用すること、AIの学習やデータ分析の素材として使うことを禁止しました。学生の情報を社外で閲覧・複製・保存することを禁じ、社内でも権限を与えた者に限っています。
• 事業者専用の管理クラウドでは、提供者が事前の同意なしに顧客データを生成AIや機械学習の学習データにしないと約束する一方、顧客の側が、サービスの画面・仕様・出力をAIの学習やデータセットの作成、模倣に使うことを禁止しました。学習の規律を双方向にした例です。
• 送客の業務提携では、提携先からAPIとCSVで受け取る商品データについて、利用目的を「商品マスタとの関連付け」「価格・画像その他の取得」に特定して目的外の利用を禁止し、第三者への再提供を禁止し、提供データの知的財産権は提供した側に残るとしました。データの不正な利用は無催告の解除事由にしています。
• 確認したデータベースのクラウドの契約書では、サービスで得た情報の再販売・二次利用・インターネット上での公開を禁止していました。

顧客が掲載・登録するコンテンツの許諾は、加工と委託先まで及ぼす

予約管理クラウドの規約は、利用者が掲載する内容について「本サービスの提供に必要な範囲で保存・表示・送信することを許諾する」としていました。確認の報告書では、次の点を補うべきだと整理しました。

• 画像のリサイズ・圧縮・サムネイルの生成・トリミングは、改変（著作権法20条の同一性保持権の問題）や翻案（27条）に及び得るので、許諾の範囲に加工を含める。
• 許諾が「当社に対し」だけで、再委託先に複製・送信させることまで許諾の範囲に入るかが明らかでないので、委託先による利用を含める。
• 著作者人格権は著作者の一身に専属し譲渡できない（59条）ので、デザイナーが作ったロゴのように利用者自身が著作者でない場合も含め、権利を行使しない旨の連鎖を確保する。
• 契約が終わった後のバックアップやキャッシュに残る分の扱いを決める。

あわせて、権利を侵害する掲載内容を当社が個別に非公開・削除できる定めと、第三者からの申立ての窓口がない点も補うべき事項として挙げました。法人向けの業務支援クラウドの約款では、契約者が生成・保存したコンテンツの権利は契約者に帰属し、当社は提供・運用・保守・機能の改善・品質の向上の範囲で非独占・無償で利用できる、と定めています。

統計情報とサービスの改善：委託の範囲に入れるか、外に出すか

顧客データから統計を作ってサービスの改善や営業に使いたい、という要望は多くの提供者にあります。事務所の書類では、次のような書き方がありました。

スクール向けのクラウドで「委託の範囲に含まれることを承諾する」という一文を足したのは、統計の加工を認める条項があっても、委託された個人情報は「提供の目的の範囲内」でしか扱わないとする別の条項との関係が不明確で、委託先が自社のために加工することは委託の範囲の外と評価され得るからです。また、統計情報が提供者に帰属するとしながら、登録データ（顧客に帰属）の定義に統計情報が含まれたままだと、帰属が矛盾します。定義から統計情報と技術的なログを除いて、矛盾を解消しました。統計情報が個人情報に当たらないことと、顧客との契約で統計の作成を授権されていることは別の問題として扱っています。

試行版の契約では、利用回数・機能の利用の傾向・応答時間・エラーなど、内容を含まず顧客や個人を識別できない「利用状況データ」は承諾なく使え、それ以外の顧客データ本文を一般的な改善や他の製品の開発、AIモデルの学習に使うには、対象と目的を特定した書面の承諾が要り、承諾があっても個人データは委託の範囲を超えて扱わない、と二層に分けました。原本の「顧客の承諾その他適切な根拠なく使わない」という文言は、「適切な根拠」の中身を提供者が説明しなければならず、顧客の法務には「承諾なしに使う余地がある」と読まれるため、改めています。

「匿名化したデータ」という言葉の使い方にも注意します。スカウト型の採用クラウドでは、匿名加工情報を作成して機能の改善や採用市場の統計、学術研究に使い、秘密保持契約を結んだ大学や研究機関に提供できるとしていました（顧客企業には提供しない）。匿名加工情報を作成するときは、個人情報保護委員会規則で定める基準に従った加工、加工の方法などの安全管理、含まれる項目の公表、第三者に提供するときの公表と明示が必要になります（個人情報保護法43条）。単に「匿名化した情報は自由に使える」と書くと、加工の程度によっては個人情報のままだったり、匿名加工情報としての義務がかかったりします。集計した結果だけを使うなら「統計情報」として定義し、匿名加工情報を作るならその義務を果たす運用を前提に書く、と使い分けます。

提供者が自ら取得する「利用者情報」を、顧客データから切り出す

SaaSの提供者は、顧客から預かるデータとは別に、利用者の氏名・メールアドレス・所属・認証情報・ログイン履歴・操作ログなどを、運営・認証・不正の防止・課金のために自ら取得しています。試行版の契約では、これを「利用者情報」として顧客データから切り出し、提供者が自社のプライバシーポリシーに従って取り扱い、顧客は利用者に説明する、と定めました。

予約管理クラウドのプライバシーポリシーの確認でも、IPアドレス・ブラウザ・アクセス日時といった共通の情報を誰の情報として扱うかの区分がない点を指摘しました。当社が自らの目的（不正の防止やセキュリティ）で取得するなら、それは委託の外側で当社が管理者になる情報です。規約の委託の範囲に不正利用の防止が書かれていないのに、プライバシーポリシーでは不正利用の防止を目的に挙げているなど、書類の間の不一致も見つかりました。

顧客データと秘密情報の関係を決める

「顧客データ」「個人データ」「秘密情報」の関係が定義されていないと、別々の条項が別々の義務を定め、どれが優先するか分からなくなります。試行版の契約では、三つの関係が未定義で、条項の並びから別物とすれば顧客データには秘密保持の義務も3年の存続も及ばず、逆に顧客は「全部が秘密情報だ」と主張できる状態でした。

• 顧客データは顧客の秘密情報として扱うが、データの条項と秘密保持の条項が異なるときはデータの条項を優先する、と定めた。
• プレリリースの段階では、画面で見た仕様や体験した不具合が「開示」に当たるかで争いになるため、提供者の仕様・機能・画面・不具合の内容・料金その他の契約条件を提供者の秘密情報に含めた。
• スクール向けのクラウドでは、秘密情報と委託された個人情報の二重の規律（開示の承諾、目的外使用、終了時、存続、安全管理が別々）を整理し、個人情報は秘密情報の除外事由（公知など）に当たっても秘密情報として扱う、と加えた。個人情報は公知になっても保護が消えないからです。
• 同じクラウドで、秘密保持の例外に、専門家（法律上の守秘義務を負う者）、裁判手続、提供者の業務委託先を加えた。専門家を除外しないと、契約の紛争について相談すること自体が形式上は違反になり、裁判で自らの権利を守るための証拠の提出が契約違反になる逆転も生じます。
• 事業者専用の管理クラウドでは、現場ごとの情報・取引先・売上・原価・請求・入出金などを「契約者の重要な秘密情報」と明記し、存続を終了後5年、営業秘密は秘密でなくなるまで、としました。

秘密情報の定め方の型も、SaaSでは選び方に注意が要ります。確認したデータベースのクラウドの契約書は、書面で指定したもの、又は口頭で示して10日以内に書面で特定したものだけを秘密情報とする指定方式でした。顧客がサービスに日々入力するデータに、その都度「秘密」と指定することは現実的でないため、顧客データを秘密情報として扱う旨は、指定とは別に書いておく必要があります。スクール向けのクラウドのひな形は、秘密情報を「一切の情報のうち、次の各号を含むもの」と定めていて、すべてが秘密情報で各号は例示なのか、各号に当たるものだけなのかが読み分けられませんでした。修正・加筆版では「次の各号に掲げるもの」に改めています。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の取引への当てはめは、サービスの仕組みや契約の経緯によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた法人向けのSaaS・クラウドサービスの利用規約、サービス提供契約書、申込書、実証実験（PoC）の覚書、販売代理店契約書、レビュー報告書、ヒヤリングシートなどを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索（法令API）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 経済産業省 / 国税庁