⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

クラウドサービス基本契約書

第1部: 書式本文

第1条(目的) 乙(提供者)は、甲(利用者)に対し、【クラウドサービス名】(以下「本サービス」という。)を、本契約及び個別契約に定める条件で提供する。

第2条(基本契約と個別契約) 本契約は、甲乙間で本サービスを継続的に利用するにあたっての基本的な取引条件を定めるものとし、利用するサービスメニュー、料金その他の具体的条件は、個別契約又は注文書において別途定める。

第3条(通信の秘密の保護) 乙は、電気通信事業法上の電気通信事業を営む場合、又は本サービスの提供において電気通信役務を提供する場合、同法第4条に定める通信の秘密を侵してはならず、甲の通信内容を正当な理由なく第三者に開示しない。

第4条(セキュリティ対策) 乙は、総務省が公表する「クラウドサービス提供における情報セキュリティ対策ガイドライン」等を参考に、別紙に定めるセキュリティ対策を実施する。

第5条(責任分界) 本サービスに係るインフラ層(ハードウェア、ネットワーク、仮想化基盤)の管理は乙が行い、甲が本サービス上に構築するアプリケーション層及びデータの管理は甲が行う。責任分界の詳細は別紙責任分界点一覧のとおりとする。

第6条(データの保存場所) 乙は、甲データの保存場所(データセンターの所在国・地域)を甲に開示し、甲の事前の承諾なくこれを変更しない。

第7条(第三者委託) 乙は、本サービスの提供にあたり第三者(下位クラウド事業者等)を利用する場合、当該第三者の名称及び委託内容を甲に開示する。

第8条(障害通知) 乙は、本サービスに重大な障害が発生した場合、認知後速やかに甲に通知し、復旧見込み及び影響範囲を報告する。

第9条(法令改正への対応) 甲乙は、電気通信事業法、個人情報保護法その他関連法令の改正があった場合、必要に応じて本契約の内容を見直すため協議する。

第10条(不可抗力免責) 乙は、天災地変、戦争、テロ、感染症のまん延、大規模な通信障害その他の不可抗力により本サービスの提供が困難となった場合、その履行遅滞又は履行不能について責任を負わない。

第11条(規約変更手続) 乙は、本サービスに適用される利用規約を変更する場合、【〇日】前までに甲に通知し、甲が異議を述べないときは変更後の内容による合意が成立したものとみなす。

第2部: 立場別・場面別の書き換えパターン

A. 提供者向け

A-1. 不可抗力の範囲の明確化

修正条文例:「不可抗力には、電力会社の大規模な計画停電、上位通信事業者の障害及びサイバー攻撃による大規模障害を含むものとする。」 一言解説: 免責の対象となる不可抗力の範囲を具体的に例示し、解釈の争いを減らす修正である。

A-2. 責任制限の追加

修正条文例:「乙が本契約に関し甲に対して負う損害賠償責任の総額は、損害原因となった事象が発生した月の直前6か月間に甲が支払った利用料金の総額を上限とする。」 一言解説: クラウド基盤の障害による損害賠償責任を利用料金と比例した範囲に限定する修正である。

B. 利用者向け

B-1. データ保存場所の変更に対する事前承諾の強化

修正条文例:「乙は、甲データの保存場所を変更しようとする場合、変更予定日の【〇日】前までに甲に通知し、甲の書面による承諾を得るものとする。承諾が得られない場合、甲は本サービスの利用を継続しないことができる。」 一言解説: 越境移転の可能性がある保存場所の変更について、利用者の関与を強化する修正である。

B-2. 第三者委託先の変更時の通知強化

修正条文例:「乙は、第三者委託先を変更又は追加する場合、事前に甲へ通知し、甲が合理的な異議を述べたときは、乙は当該異議について誠実に協議する。」 一言解説: サプライチェーン上のリスク管理のため、委託先変更について利用者が意見を述べる機会を確保する修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、クラウド事業者との間で、個別のサービスメニューにとらわれない包括的な基本取引条件(セキュリティ対策、責任分界、障害通知、法令対応等)を定める場面で用いる。単発のクラウドリソース利用や、既に個別契約書で全ての条件が網羅されている場合には、屋上屋を架すことになるため、基本契約と個別契約の役割分担を明確にしたうえで利用することが望ましい。

根拠法令 電気通信事業を営む者は、電気通信事業法第4条により通信の秘密を保護する義務を負い、これに違反した場合は同法上の罰則の対象となる可能性がある。クラウドサービスの提供が同法上の電気通信事業に該当するか否かは、提供するサービスの内容によって判断が分かれるが、該当する場合は通信の秘密の保護に加え、利用者情報の適正な取扱いに関する電気通信事業法上の規律(外部送信規律を含む)にも留意する必要がある。また、総務省が公表する「クラウドサービス提供における情報セキュリティ対策ガイドライン」は法的拘束力を持つものではないが、業界の実務水準を示すものとして、セキュリティ対策の合理性を判断する際の参考とされることが多い。個人データを取り扱う場合は、データの保存場所が海外である場合、個人情報保護法第28条の越境移転規制との関係も検討が必要である。

実務でよくある失敗と対策 第一に、責任分界点を定めずに契約し、障害発生時にインフラ層とアプリケーション層のいずれに原因があるかを巡って対立する失敗がある。第5条のように責任分界点一覧を別紙で具体化することが対策となる。第二に、下位クラウド事業者への再委託の有無や委託先を開示しないまま契約し、後日委託先の変更によってセキュリティ水準やデータ保存場所が変わっていたことが判明する失敗がある。第7条及びB-2のように委託先の開示と変更時の通知を義務付けることが有効である。第三に、利用規約の変更手続を「事前通知後、異議なければみなし合意」とする条項を設けたが、実際には利用者への通知が形骸化し、実質的な同意なく重要な条件変更が行われる失敗がある。変更内容の重要度に応じて明示的な承諾を要求する等、通知方法の実効性を確保する必要がある。

電気通信事業法の該当性判断やクラウドサービスに固有のセキュリティ要求水準は、提供するサービスの内容によって異なるため、個別事案は専門家に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 基本契約と個別契約の役割分担及び優先関係を明確にしたか
• [ ] 電気通信事業法の適用の有無及び通信の秘密の保護を確認したか
• [ ] セキュリティ対策の内容を別紙で具体化したか
• [ ] 責任分界点(インフラ層/アプリケーション層)を別紙で明確にしたか
• [ ] データの保存場所及びその変更時の手続を定めたか
• [ ] 第三者委託先(下位クラウド事業者)の開示及び変更時の通知を定めたか
• [ ] 重大障害発生時の通知義務及び報告内容を定めたか
• [ ] 不可抗力免責の範囲を具体的に例示したか
• [ ] 利用規約変更時の通知手続及びみなし合意の妥当性を確認したか
• [ ] 海外にデータが保存される場合の越境移転規制(個人情報保護法第28条)への対応を確認したか