このページの要点
- 不法行為・重過失・第三者からの直接請求・基準額の不確定という4つの経路を点検する。
- 支払額を基準にするなら、初月や無償期間に0円にならない下限を置く。
- 故意・重過失は上限から外し、安全管理措置の内容を別紙で特定する。実施していない措置は書かない。
- 請求期間を短くするなら、起算点は「損害と原因を知った日」にする（民法166条1項1号・724条1号）。
結論：上限の「額」を決める前に、上限が「外れる経路」を点検する
SaaSの利用規約の責任制限の条項は、どの書類にもあるため、ひな形のまま済まされがちです。しかし、アトラス行政書士法人がレビューしてきた書類では、上限の額そのものより、上限が働かない場面が残っていることの方が問題になっていました。上限を「月額の6か月分」にするか「1か月分」にするかを議論しても、その上限を外す経路が開いていれば意味がありません。
このページでは、次の順で、法人向けSaaSの責任制限の条項を点検します。
- 上限を外す4つの経路（不法行為、重過失、第三者からの請求、基準額の不確定）。
- 上限の算定方式と、上限が0円になってしまう場面。
- 故意・重過失の扱いと、重過失と言われないために契約でできること。
- エンドユーザーからの請求、補償の条項、「通常かつ直接の損害」と請求期間。
顧客が法人の契約には消費者契約法の免責の制限は及ばず、責任制限の条項は基本的に有効と考えられています。ただし、規約が定型約款に当たれば、相手方の権利を制限し又は義務を加重する条項のうち、取引の態様・実情と取引上の社会通念に照らして信義則に反し相手方の利益を一方的に害すると認められるものは、合意しなかったものとみなされます（民法548条の2第2項）。個人が混じる場合の注意は契約の組み立てのページをご覧ください。
上限を外す4つの経路
社内資料を読み込むAIサービスの試行版の契約のレビューでは、依頼者の原本の責任制限を、上限を外し得る経路ごとに点検しました。原本は、帰責事由と相当因果関係があり通常かつ直接の損害に限るという範囲の制限、逸失利益などの除外、「月額利用料金の6か月分」の上限、故意・重過失の除外の組み合わせで、事業者間のSaaSとして標準的な作りでした。
上限を外す経路の点検（試行版の契約）
| 経路 | 原本の状態 | 評価と手当て |
|---|---|---|
| ① 不法行為として請求する | 上限の項に「債務不履行、不法行為その他請求原因を問わず」とある | 塞がれている |
| ② 重大な過失を主張する | 安全管理を「合理的な措置」とするだけで中身が空白 | 開いている。措置の内容を別紙で特定する（後述） |
| ③ 第三者から直接請求される | 補償の条項がない。契約の効力は当事者にしか及ばない | 開いている。顧客の資料に起因する請求について顧客の補償の条項を置く |
| ④ 基準額が定まらない | 「月額利用料金の6か月分」。料金が変わった後の基準が不明 | 半分開いている。「損害の原因となった事実が発生した時点の月額の6か月分」と特定 |
上限が「支払った額」ではなく「月額の6か月分」という固定の算定なので、契約の初月でも上限が0円にならない点は長所として報告書に書きました。故意・重過失を除く旨が上限の項のただし書と別の項の二か所にあり、射程の違いが読み手を迷わせるため、一か所にまとめることも提案しています。
スクール向けの顧客管理クラウドのひな形では、不法行為の経路を一字ずつ確かめる必要がありました。損害の範囲を制限する第2項は「前項の損害賠償の範囲」と書かれていて、前項（債務不履行の責任）にしか及びません。これに対し上限を定めた第3項には「前項の」がなく、文言の上では不法行為による請求も含み得ます。ただし、文脈から契約上の責任を限定する趣旨と解される余地も残ります。宅配便の約款の責任限度額が不法行為にも及ぶとした判例（最判平成10年4月30日）は、当事者の合理的な意思や、低額な運賃で大量の小口の荷物を運ぶという宅配便の取引の特質を理由にしているので、SaaSの上限に当然に及ぶとは限りません。上限を不法行為にも及ぼしたいなら、「請求の原因を問わず」と文言で明示しておくのが確実です。「前項の」の三文字の有無で、上限が不法行為に及ぶかの読み方が変わるという例です。
上限の算定方式と、上限が0円になる場面
事務所の書類に現れた上限の算定方式を並べると、次のようになります。
上限の算定方式の比較（事務所の書類から）
| 算定の方式 | 使っていたサービス | 注意点 |
|---|---|---|
| 月額の一定か月分（固定） | 試行版の契約（6か月分） | 初月でも0円にならない。基準時の特定が要る |
| 直前の請求日に係る1か月分＋下限 | スクール向けの顧客管理クラウド（修正・加筆版） | 初月も最低の月額を下限とする括弧書きで0円を防ぐ |
| 直近12か月の支払総額 | 予約管理クラウド、採用支援のクラウド、スカウト型の採用クラウド、施設向けシステム（年間の累積で判断） | 無料・β・解約後は0円になり得る |
| 過去6か月の支払総額 | 生成AIを統合した法人向けクラウド、広告の制作を管理するクラウド | 同上 |
| 直近12か月 → 直近1か月 | 事業者専用の管理クラウド（修正版2で縮小） | 依頼者の要望を反映したとみられる改訂。上限が大きく下がる |
| 1か月分／1か月分又は支援業務の対価の高い方 | 音声応答のクラウド（規約／個別契約） | 書類ごとに意図して変えている |
支払った額を基準にする方式は分かりやすい反面、支払がない場面で上限が0円になります。予約管理クラウドの規約は「損害の発生前12か月間に利用者が当社に支払った料金の総額を上限とする」で、確認の報告書ではこれを最も重い指摘の一つに挙げました。
「直前12か月の支払総額」で上限が0円になる3つの場面
無料の利用者もデータ（個人情報を含む）を預けており、個人情報保護法上の義務は報酬の有無で変わりません。上限0円は、軽い過失による不具合・停止・データ消失・漏えいについて、実質的に全部の免責に近づきます。
規約が定型約款に当たれば、上限0円の部分が合意しなかったものとみなされる余地があり、個人が混じれば、責任の全部を免除する条項として消費者契約法8条1項1号（不法行為なら3号）の問題になり得ます。報告書では、算定の不確定さ（起算点を事故の発生日・発覚日・請求日のどれにするか、累計か事故ごとか、税込か、手数料を含むか、複数のブランドを契約している場合の単位）も、状況ごとの上限額の図で示しました。
事務所の改訂例：上限0円の解消
基準時と初月
理由顧客に有利でも不利でもなく、争点をなくす修正です。下限を置いたことで「上限0円＝全部の免責」という入口がなくなりました。
無料・試用の場面を書き分けた例
無償期間は本来の1か月分
個人向けの管理クラウド
- 無償期間中の損害は「無償の措置がなければ支払うべきであった1か月分」を上限
3段階に分ける
広告の制作を管理するクラウド
- 支払う顧客は直近6か月の支払額
- 招待されて無料で使う制作会社は固定額
- トライアル中は責任を負わない
無償プランは固定額
採用支援のクラウド
- 有料は損害発生日から遡る12か月の支払総額
- 無償プランは固定額の上限
情報漏えいについてだけ上限を上げる二段構えも、法人の顧客との交渉で使われます。試行版の契約では、現行のまま全類型6か月分とする案、原則6か月分とし顧客データの漏えい・目的外利用は12か月分とする案、漏えいを上限の対象から外す案の三つを示し、二つ目を推奨しました。社内資料を丸ごと預かるサービスで漏えいが上限で打ち切られることには、法人の法務が同意しにくいからです。三つ目は、顧客から求められたときに二つ目で押し返すための材料として位置づけています。
故意・重過失は上限から外す。重過失と言われないための別紙
ホテルの宿泊約款で賠償の額を一定の限度に制限する定めは、ホテル側に故意又は重大な過失がある場合には適用されないとした判例（最判平成15年2月28日）や、上限の条項に故意・重過失を除く旨が書かれていなくても故意・重過失には適用しないとし、周知された基本的な対策（SQLインジェクション対策）を怠ったことを重過失と認めた裁判例（東京地判平成26年1月23日）があります。故意・重過失を除く旨は、上限の文の中に書いておくのが基本です。
問題は、何が重大な過失に当たるかが事実で決まることです。試行版の契約では、安全管理の義務を「合理的な安全管理措置」とだけ書いていたため、別紙「セキュリティ対策の概要」に記載した措置を、締結時点で当事者が合意する合理的な安全管理措置の内容とする、と修正を提案しました。措置は変更できるが、全体として同等以上の水準を維持する、という条件付きです。
別紙に書く安全管理措置の項目の例（試行版の契約）
- 通信と保存の暗号化、アクセス制御、ログの保全。
- 公的機関の注意喚起を踏まえた脆弱性への対応。
- AI固有の対策（指示を乗っ取る入力への対策、出力の権限による絞込み、送信するデータの最小化）。
- 従業者の監督、外部サービスの選定の基準、バックアップ（削除の期限と整合させる）、事故時の対応。
このとき必ず守るのが、「実施していない項目は書かない」ことです。書いた措置を実施していなければ、それ自体が債務不履行になり、重過失の判断でも不利に働きます。プライバシーポリシーで「通信はすべて暗号化しています」と全称で書いた例についても、実装とのずれは事故のときの責任の評価に影響すると指摘しました。また、先の裁判例では発注者側の事情で3割の過失相殺がされています。顧客と提供者の管理の領域を契約で切り分けておく（共同責任モデル）ことが、事故のときに効いてくる理由です（利用者アカウントとセキュリティのページ）。
エンドユーザーからの請求と、補償の条項
スクール向けの顧客管理クラウドでは、顧客（スクール）の生徒本人が提供者に直接請求してきた場合、過失の程度にかかわらず、顧客との契約の上限は働きません。契約の効力は当事者の間にしか及ばないからです。荷受人も信義則上、宅配便の約款の責任限度額を超えて賠償を求めることは許されないとした判例（最判平成10年4月30日）は、荷受人が宅配便による運送を容認していたなどの事情によるもので、契約関係も容認もない生徒に及ぼすのは難しいと考えました。生徒からの請求は、契約ではなく安全管理の実装と保険で備える領域です。
顧客の資料に起因する第三者からの請求には、補償の条項（indemnification）で備えます。試行版の契約の修正文案では、顧客が取引先との秘密保持契約の対象の資料を接続した場合、第三者の著作物を接続して提供者の複製やインデックスの作成が侵害だと主張された場合、適法に取得していない個人データが含まれていた場合に、顧客が自己の費用で解決し、提供者の損害（合理的な防御の費用を含む）を補償する、としました。提供者は速やかに通知して防御に協力し、顧客は提供者の事前の承諾なく提供者に義務を負わせる和解をしない、という手続も付けています。
ご相談と回答補償の条項の交渉
顧客にだけ補償を求めてよいか。
対等性の観点から、提供者のサービスの基盤部分が第三者の知的財産を侵害しないことの補償を、上限の範囲内で、生成物・顧客データ・顧客の改変に起因するものを除いて受けるのが、顧客の法務から必ず求められる点だと説明しました。
ユーザー企業の側から、相手方提示の原案を直すときは。
SNSの自動運用ツールの契約をユーザー企業の側で修正した案件では、責任制限の条項が成果未達の場合の返金の義務を制限しないこと、免責に「自己の故意又は重大な過失による場合を除き」を加えることを明記しました。
上限の外側の6つの点：免責の事由・保証否認・損害の範囲
スクール向けの顧客管理クラウドの依頼者から「上限を直前1か月分とする水準は妥当か」と質問されたとき、事務所の回答は「維持できる。問題は上限の外側にある」でした。報告書では、上限の法的な根拠、上限0円の場面、生徒からの直接の請求に加えて、次の点が欠けていることを挙げています。
上限の外側で欠けていた事項（スクール向けのクラウドのひな形）
| 欠けていた事項 | なぜ問題か | 第2版・修正加筆版での手当て |
|---|---|---|
| 免責の事由 | クラウド・回線・外部AI・決済の障害、顧客の環境、天災による損害の扱いがない | 免責の事由を5つの類型で列挙 |
| 生徒からの請求の分担 | 顧客が独断で示談したときの求償の制限や、提供者が防御に参加する手続がない | 第三者からの請求についての補償の条項を追加 |
| 請求の期間 | 秘密保持の条の「3年間存続」が請求期間の短縮と読めるか分からない | 請求期間を1年とし、起算点を「知った日」に |
| 保証否認 | 提供の水準を保証しない旨がない | 提供と中断の条で中断できる場面を定め、中断による損害を責任の条項につなぐ |
| 「間接損害」の意味 | 日本の法律上の定義がなく、データの復旧費用や謝罪の対応の費用がどちらに入るか争点になる | 範囲に「事業機会の喪失、データの滅失に伴う復旧費用」を明示 |
| バックアップとの関係 | 責任の条にあるバックアップの義務と、免責の定めがつながっていない | 報告書で、義務の範囲と免責の関係を決めるよう指摘 |
損害の範囲を制限する条項は、双方に適用される形で書かれていることが多い点にも注意が要ります。範囲から逸失利益を除くと、顧客の不正な利用によって提供者が被る逸失利益も切り落とされます。双方向の条項にするのか、提供者の責任だけに適用するのかを、意図して選びます。
施設向けの業務支援システムの規約では、上限を直近1年の支払総額とし、複数の事象が起きても年間の累積で上限を判断すると定めたうえで、免責の対象に「第三者からの請求に基づく損害」と「利用者の業務の遂行に起因する損害」を明示しています。サービスの利用の結果を最終的に判断するのは利用者だ、という位置づけを責任の条項に反映した形です。生成AIを統合した法人向けクラウドの規約も、間接損害・逸失利益・データの喪失・第三者の請求に基づく損害を負わないと列挙しています。
前払金の返還と上限の関係も整理しておきます。解除に伴う原状回復としての返還は損害賠償ではないので、責任の上限の条項の対象にはならないと考えられます。上限が小さくても、提供者の都合で終わったときの前払金の返還の問題は上限とは別に残る、ということです（期間・中途解約のページ）。
情報漏えいの損害の大きさについて、試行版の契約の報告書では、過去の漏えいの裁判例を示しながら、1人あたりの慰謝料は少額でも、通知・問合せの窓口・見舞金の費用が人数に比例して膨らむ構造を説明しました。予約管理クラウドの報告書でも、委託先の側の従業員による顧客情報の持出しで委託元の責任が問われ、漏えいがプライバシーの侵害に当たるとした最高裁の判断（最判平成29年10月23日）に触れ、お客様から利用者、利用者から当社へと請求が連鎖する場面では、上限が唯一の歯止めになると指摘しています。
「通常かつ直接の損害に限る」と、請求の期間
予約管理クラウドの依頼者からは、「『通常かつ直接の損害に限る』という文言を加えるべきか」という質問を受けました。回答は「任意。加えなくても差し支えない」です。理由として、次の点を挙げました。
- 「通常」は民法416条1項（通常生ずべき損害）と重なり、実質的に効くのは特別の事情による損害の排除にとどまる。
- 「直接」「間接」は日本の法律上の定義がなく、何が直接の損害かという争点が増える。
- 「通常」と「直接」は別の軸で、併記すると解釈が割れる。
- 漏えいのときの本人への通知や調査の費用が「直接の損害」に当たるか、という新たな争点を生む。
- 12か月分の上限と二重になり、実益は高額・長期の利用者に限られる。
原本が損害の原因となった資料の保管場所でないサービスでは、「顧客が原本を管理していれば生じなかった原本の復元費用」を除外する、と限定して書きました。解析用のデータやインデックスの再作成の費用まで除外すると、サービスの中核の給付について実質的に全部免責していると評価される余地があるため、「原本」に限っています。
請求できる期間を短くする条項では、起算点に注意します。スクール向けのクラウドの第2版は「原因となった事実が生じた日から1年」としていましたが、修正・加筆版では「損害及びその原因となった事実を知った日から1年」に改めました。発覚が遅れがちな情報漏えいでは、知らないうちに期間が過ぎてしまうおそれがあり、民法の消滅時効が「知った時」から進むこと（民法166条1項1号、724条1号）とも逆向きになるからです。期間の1年は維持しています。
起きがちなこと
責任制限で起きがちなこと
- 上限を「直前12か月の支払総額」にし、無料プラン・β期間・解約後の元利用者について上限が0円になる。
- 上限の項に「前項の」があるかないかで、不法行為に及ぶかどうかが変わることに気づいていない。
- 料金を改定した後、どの時点の月額で上限を計算するか決まっていない。
- 安全管理の義務を「合理的な措置」とだけ書き、重過失の主張に反論する材料がない。逆に、実施していない措置を別紙やポリシーに書いている。
- エンドユーザーから直接請求されたときに、顧客との契約の上限が働かないことを想定していない。
- 請求期間を「原因事実が生じた日から1年」とし、発覚の遅い漏えいで期間が先に過ぎる。
責任制限の条項は、データの扱いの条項と組み合わせて初めて機能します。顧客データの帰属と利用の範囲は顧客データのページで扱います。
よくあるご質問
SaaSの賠償の上限は、何か月分にするのが一般的ですか？
事務所の書類では、1か月分、6か月分、12か月分の例があり、低価格のサービスほど短く、企業向けほど長い傾向があります。水準よりも、無料期間や初月に上限が0円にならないか、どの時点の月額を基準にするか、故意・重過失を除いているかを先に確かめることが大切です。
上限を「直前12か月の支払総額」とすると、何が問題ですか？
無料プランの利用者、β期間中で課金前の申込者、解約から12か月を超えた元利用者について上限が0円になります。実質的に全部の免責に近づき、定型約款の不当条項や、個人が混じる場合の消費者契約法の問題になり得ます。固定額の下限を置く、無償期間は本来の1か月分とするなどで解消します。
責任制限に「通常かつ直接の損害に限る」と加えるべきですか？
必須ではありません。「通常」は民法416条と重なり、「直接」「間接」には法律上の定義がないため、かえって争点が増えることがあります。加えるかどうかより、上限が外れる経路の点検を優先します。
重過失と言われないために、契約でできることはありますか？
安全管理の措置の内容を別紙で特定し、締結時に当事者が合意した合理的な措置の内容とする方法があります。ただし、実施していない措置は書かないことが前提です。顧客と提供者の管理の領域を切り分けておくことも、事故のときの評価に影響します。
エンドユーザーから直接訴えられた場合、顧客との契約の上限は効きますか？
原則として効きません。契約の効力は当事者の間にしか及ばないからです。顧客の資料や行為に起因する第三者からの請求については、顧客の補償の条項を置き、防御への協力や和解の制限の手続も定めておきます。
あわせて読みたい、関連する別のガイド
- バックアップ・障害・賠償の上限システム保守・SES契約書ガイド
- ネットショップの免責条項と契約不適合ネットショップ・EC販売の法務ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別の取引への当てはめは、サービスの仕組みや契約の経緯によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた法人向けのSaaS・クラウドサービスの利用規約、サービス提供契約書、申込書、実証実験（PoC）の覚書、販売代理店契約書、レビュー報告書、ヒヤリングシートなどを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索（法令API）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 経済産業省 / 国税庁
