このページの要点
- 削除の期限は義務として書き、例外は法令・事故の調査や紛争・官公庁の命令に限る。
- 終了日までか、終了後一定期間か、エクスポートできる期間と形式を決める。
- 外部サービスの側に残るデータは、その条件によるとして保持期間を開示する。
- 個人情報の義務は期間で切らず、保有している間は存続させる。
結論：削除は「目安」でなく期限で約束し、例外と外部サービス側の保持を書き分ける
クラウドサービスの契約が終わるとき、顧客が最も気にするのは「預けたデータを取り出せるか」と「本当に消してくれるか」です。どちらも、契約が終わった後の約束なので、契約書に書いていなければ守らせる根拠がありません。アトラス行政書士法人が作成・レビューしてきたSaaSの書類では、削除の期限を「目安」と書いている、有料から無料への移行と終了時の削除がぶつかっている、外部サービスの側に残るデータについて何も書いていない、といった問題が見られました。
このページでは、エクスポート（データの書き出し）の期間と方法、削除の期限と例外、バックアップと外部サービスの側の保持、顧客が自分で消すべきデータ、提供者の都合による終了や事業の譲渡のときのデータを扱います。
「目安」と書くと、努力目標と読まれる
社内資料を読み込むAIサービスの試行版の契約では、契約の終了後、通常の稼働データは30日、バックアップは60日（世代の入替えで上書き）で削除する、とされていました。この日数は業界の水準として妥当です。問題は「目安」という言葉で、削除の期限が努力目標と読まれることでした。
「目安」にしておけば、期限を守れなかったときに債務不履行と言われずに済む、という利点はあります。しかし、顧客の監査で「いつ消したのか」を示せず、かえって提供者の運用が疑われます。個人情報保護法も、利用する必要がなくなった個人データは遅滞なく消去するよう努めることを求めています（個人情報保護法22条）。修正文案では、期限を義務にしたうえで、例外を限定しました。
条文例終了後の削除（試行版の契約の修正文案を一般化）
- 乙は、本契約の終了日から30日以内に、顧客データ（解析用の複製及びインデックスを含みます。）を削除し、バックアップに含まれる顧客データは、終了日から60日以内に上書き又は削除により消去します。
- 前項にかかわらず、乙は、（1）法令により保存が義務付けられている場合、（2）セキュリティインシデントの調査又は係属中若しくは具体的に予見される紛争のために必要な場合、（3）裁判所又は行政機関等の命令又は要請がある場合に限り、必要な範囲で顧客データを保持することができます。この場合、保持している間も本契約の義務が及び、乙は、保持する旨と理由を甲に通知し、事由が消滅した後速やかに削除します。
- 乙は、甲の求めがあるときは、削除が完了したことを書面又は電磁的方法により報告します。
原本の例外は「その他正当な理由」でしたが、これでは何でも例外になり得るため、3つの類型に限りました。顧客が求める削除の証明書は、負担が小さいので応じてよいと交渉表に書いています。
エクスポートの期間と方法を比べる
削除の前に、顧客がデータを取り出せる機会を確保しておきます。事務所の書類に現れたエクスポートの書き方は、次のとおりです。
エクスポートの期間と方法（事務所の書類から）
| サービス | 取り出せる期間 | 方法・費用 |
|---|---|---|
| 試行版の契約 | 終了日まで | サービスの機能で提供される範囲で成果物・設定等を取得できる。終了日以後の返還の義務は負わない |
| スクール向けの顧客管理クラウド（第2版） | 終了日から30日間 | その間はアクセスを維持。経過後に消去 |
| 議事録のクラウド | サービス終了後30日間 | ダウンロードの機会を与え、期間経過後は削除できる |
| 採用支援のクラウド | 終了後90日 | 経過後に削除できる。保存は契約者の責任 |
| 法人向けの業務支援クラウドの約款 | 終了後30日間 | その間だけ取得を申請できる |
| 施設向けの業務支援システム | 終了後30日以内の請求 | CSV等の出力できる形式で提供した後に削除。費用は利用者負担 |
| 広告の制作を管理するクラウドのトライアル | 移行しない場合30日間保持 | 移行すればデータを引き継ぐ |
反対に、顧客の側にデータの管理を委ねる書き方もあります。広告の制作を管理するクラウドの有償規約では、ファイルの管理とバックアップは広告主の責任で、事前の通知なく削除される可能性があること、契約の終了後のファイルは当社の判断で削除される場合があることを定めています。共有のためのツールで、原本は顧客の手元にあることを前提にした設計です。こうした書き方をとるなら、顧客が自分でバックアップをとる前提であることを、申込みの段階で分かるようにしておきます。予約管理クラウドの規約では、データを取り出す機会がサービス全体の終了のときにしか定められておらず、個別の契約の終了やアカウントの削除の前に取り出せるかが分からない点を指摘しました。
原本は顧客のストレージにあって、サービスは解析用の複製を持つだけ、という試行版の契約でも、生成物や対話の履歴を業務の記録として残したい顧客は多いので、終了日までのエクスポートを明記しました。反対に、終了日の後に返還する義務は負わないと書いて、提供者が約束できないことを約束しない形にしています。エクスポートの形式（CSVなど一般的な形式で出力できるか）、取り出しの期間の長さと方法は、予約管理クラウドの報告書でも、解約時のデータの引取りとして規約に書いておくべき事項に挙げました。
スクール向けのクラウドのひな形は、提供者が14日前の通知でいつでも中途解約できる一方、終了時のデータの定めがなく、「スクールの顧客台帳が2週間で消える」構造でした。提供者の側から見ても、顧客が何も言わないときに消してよいのかが定まらず、消せば「勝手に消した」、持ち続ければ「返さない」と言われます。第2版で終了日から30日間のエクスポートとアクセスの維持を定め、修正・加筆版でバックアップの保存期間を求めに応じて開示する、と加えました。
委託先としての返却・消去と、個人情報の存続期間
顧客データに個人データが含まれ、提供者が委託先の立場にある場合、終了時の返却・消去は委託先として負うべき定めの一つです（委託先と個人情報のページ）。スクール向けのクラウドのひな形は「甲の指示に従い個人情報を返却又は消去する」だけで、期限も、指示がない場合の扱いも、バックアップも、消去の証明もありませんでした。「甲の指示に従い」と書くと、指示がない限り提供者は何もできず、何もしないまま保持し続けることになります。また、個人情報の取扱いの義務を「契約の終了後3年間存続する」と期間で切ると、提供者がまだ保有している間に義務の空白が生じ、3年が過ぎれば返却・消去の義務も消えると読めます。第2版では、個人情報の条は提供者が個人情報を保有している間は存続する、と期間ではなく保有の事実に結び付けました。
削除の依頼を受けるときの手続
契約の終了とは別に、顧客から削除の依頼を受けることもあります。予約管理クラウドの規約の確認では、削除の依頼の本人確認と権限の確認（退任したメンバーや、なりすましによる依頼）、利用者の指示がないのに当社が削除してよいか、保存の例外として挙げた「請求に関する記録等」の「等」が何を含むか、が定まっていない点を挙げました。個人向けの管理クラウドの規約では、削除の請求を受けて本人確認ができたときは、法令上の保存・紛争・不正の防止のために必要な場合を除いて速やかに削除し、請求がないときは運営者所定の保存期間に従う、としています。
終了後の保持・削除のその他の書き方（事務所の書類から）
| サービス | 定め |
|---|---|
| 法人向けの業務支援クラウドの約款 | 終了後30日間保管し、その間だけ取得を申請できる。経過後は復元できない方法で削除。法令・公的機関の要請、権利の行使や紛争の解決、統計加工した情報の継続利用は例外。削除による損害は故意・重過失を除き責任を負わない |
| 採用支援のクラウド（規約とプライバシーポリシー） | 終了後90日を過ぎると削除できる。保存は契約者の責任で、法定保存とバックアップは例外。プライバシーポリシーでは90日保存した後に削除又は匿名化し、バックアップは合理的な期間の後に順次上書き・消去 |
| 事業者専用の管理クラウド | エクスポートは契約者の責任。終了後は所定の期間の経過後に削除又はアクセス不能に。法令対応・紛争・未払いの回収のための保持は可。CSVの取込み・書出しの文字化けや変換の誤りは利用者が確認し、故意・重過失を除き責任を負わない |
| 施設向けの業務支援システム | 終了後30日以内に削除。匿名化・統計・派生データは対象外。バックアップは管理方針に従って順次消去 |
| 議事録のクラウド | 30日間のダウンロードの機会の後に削除。復旧・バックアップの責任は負わない |
有料から無料に移るときと、契約終了の削除がぶつかる
事業者向けの予約管理クラウドの規約では、有料プランを解約すると無料プランに移り「登録済みのデータは削除されない」としながら、別の条で「本サービスの契約が終了した場合、30日以内にお客様データを含め削除する」としていました。そして「本サービスの契約」が定義されていませんでした。
「本サービスの契約」の読み方で起きること
| 読み方 | 起きること | リスク |
|---|---|---|
| 有料プランの解約が「契約の終了」に当たる | 30日後にデータが消える | データが残ると期待して解約した利用者のデータが消え、消失の賠償を求められる |
| 有料プランの解約は「契約の終了」に当たらない | 無料プランが続く限りデータは無期限に残る | 削除されると期待した利用者のお客様データが残り続ける。当社から終わらせる手段もない |
| どちらにしても | 利用者の指示なく削除すると、利用者が法令の対応のために保存すべきデータを失う | お客様データは利用者が管理するデータなので、削除の判断の主体が問題になる |
確認の報告書では、これを公開前に直すべき最も重い指摘の一つにしました。解決の方向は、有料プランの解約、無料プランの終了、アカウントの削除をそれぞれ定義し、それぞれでデータをどうするか（保持の期間、削除の起点、利用者への事前の通知）を書き分けることです。無料プランへの移行で公開中のイベントが自動的に非公開になる仕組みについても、どれを残すかを利用者が選べず、予約を受け付けているイベントが見えなくなるとお客様がキャンセルや確認をできなくなる、という点を指摘しています。プランの変更の書き方は料金設計のページでも触れています。
バックアップと、外部サービスの側に残るデータ
「30日以内に削除」と書いても、その30日目に、提供者のシステムの外にデータが残っていることがあります。予約管理クラウドのプライバシーポリシーの確認では、次の点を調べました。
- クラウドのデータベースの復元機能で、有料プランなら30日、無料プランなら7日さかのぼって復元できる状態が続く。
- メール配信のサービスは、提供者とメール配信事業者の契約が終了してから90日以内に削除する定めで、起点が利用者の削除とは別。
- 決済代行事業者は、法令の遵守や不正対策のために一定期間データを保持する（期間は不明）。
- 「削除」がすべての複製を指すのか、当社のシステム上の削除だけなのかが書かれていない。30日の起点も、規約とプライバシーポリシーで違っていた。
試行版の契約の修正文案では、提供者が約束できないことを約束しない守りの条項として、第三者サービスの側に残るデータ（不正利用の監視のために一定期間保持されるのが通例）は、その第三者サービスの条件による、としました。そのうえで、保持の期間は別紙で開示し、提供者は保持の期間を限定する条件のサービスを選ぶよう努める、としています。
終了後のデータの行き先（試行版の契約の整理）
どこに何日残るかを一覧にしておけば、顧客の監査やセキュリティのチェックシートにもそのまま答えられます。
広告の制作を管理するクラウドのプライバシーポリシーでは、アプリケーション・アカウント管理・アクセス制御・操作ログは当社、基盤のインフラと物理的な設備はクラウドの事業者、と責任を分ける共有責任モデルを書き、当社はクラウドの事業者に対して合理的な範囲で監督し必要な情報の開示を確認する、としています。バックアップについて当社の義務も利用者の位置づけもない規約は、顧客にバックアップの義務があれば過失相殺（民法418条）の事由になり得る、という点も確認の報告書で触れました。
顧客が自分で消すべきデータ
提供者のシステムの中のデータと、顧客が自分の手元に取り込んだデータは、削除の責任が別です。スカウト型の採用クラウドの個別契約書では、学生が退会すれば顧客企業の閲覧の権限は即時に失効すること、卒業後は提供者の判断で閲覧を止められることを定める一方、顧客企業が作ったメモ・画面のキャプチャ・印刷物・採用管理システムに連携したデータ（抽出データ）は、顧客企業が個人情報の管理者として法令と社内規程に従って保存・削除し、提供者はその削除に責任を負わない、としました。企業向けの規約でも、利用目的を達成した後や提供者の指示があれば破棄すると定めています。
無償PoCの覚書では、試験の終了から2か月以内の削除を原則としながら、連絡用の情報、交付の記録、法令上の保存が必要な記録を号で分けて例外にしました（PoC・トライアルのページ）。削除の条項は、法令上の記録の保存の義務とぶつからないように例外を置くことが欠かせません。
提供者の都合による終了、事業の譲渡、復号できない暗号化
- サービス全体の終了。予約管理クラウドの規約は、サービスを終了するときは90日以上前に通知し、データを取り出せる期間を設けるとしており、この部分は維持してよいと評価しました。スクール向けのクラウドのひな形では、サービス全体の終了と個別の契約の終了が区別されていなかったため、両者を分けて書くよう指摘しています。個人向けの管理クラウドでは、運営者の判断でサービスを終了し支払済みの期間の途中で使えなくなる場合は残りの期間を日割で返金し、データの保存の期間と方法を案内する、としました。
- 利用の停止の間。停止の間に顧客が管理画面に入れないと、データを取り出すことも、顧客のお客様への対応（予約の取消しや返金の手続など）もできなくなります。予約管理クラウドの規約の確認では、停止中のこうした影響をどうするかが書かれていない点を指摘しました。停止の間もエクスポートだけは認めるのか、停止から解除に進んだときに取出しの期間を設けるのかを決めておきます。
- トライアルの終了。広告の制作を管理するクラウドのトライアル規約では、移行しない場合は30日間保持した後に削除し、削除の予告は可能な限り電子メールで行う、としています。
- 事業の譲渡。事業者専用の管理クラウドの規約では、事業譲渡・会社分割・合併のときに、契約上の地位・登録情報・ユーザーデータを承継先に移すことができ、契約者は事前に同意したものとする、と定めています。顧客から見ると、提供者が変わってもデータの扱いが続くのかという問題なので、承継先に同じ義務を引き継がせる旨とあわせて書きます。
- 運営者も復号できない暗号化。個人向けの管理クラウドの修正版2では、パスフレーズの設定を必須にし、パスフレーズは利用者の端末にだけ保存され運営者は持たないこと、パスフレーズと一度だけ表示されるリカバリーコードの両方を失えば運営者を含め誰も復号・復元できないこと、その場合はデータのリセットでアクセスは回復するがデータはすべて消えること、リセットしても契約と有料プランは続くことを規約に書きました。データを返せない・見られない設計を、責任の分かれ目と開示の請求への対応の前提として明記した例です。
ヒヤリングの問いと理由返還・削除の条を作る前に
顧客は、どの形式でデータを取り出せますか。
CSVなどの形式、取り出せる範囲（設定・成果物・履歴）、費用の負担を決めます。
取り出せる期間は、終了日までですか、終了後も続きますか。
終了後も取り出せるなら、その間のアクセスの維持と、期間の経過後の削除を書きます。
バックアップは何日で消えますか。外部サービスには何が何日残りますか。
日数を確認し、約束できる範囲で書き、約束できない部分は外部サービスの条件によると開示します。
有料から無料への移行、アカウントの削除、契約の終了は、それぞれ別の手続ですか。
それぞれでデータをどうするかを書き分けます。
法令上保存しなければならない記録はありますか。
削除の例外として、保存の期間とアクセスの制限を書きます。
起きがちなこと
データの返還・削除で起きがちなこと
- 削除の期限を「目安」と書き、顧客の監査でいつ消したかを示せない。
- 削除の例外を「その他正当な理由」とし、何でも例外になり得る。
- 提供者の短い予告での中途解約と、終了時のデータの定めのなさが重なり、顧客の業務データが短期間で消える。
- 有料プランの解約後は無料プランに移ると書きながら、契約終了で30日以内に削除する、とも書いている。
- クラウドの復元機能やメール配信事業者の保持など、外部サービスの側に残るデータを考えていない。
- 顧客が自分のシステムに取り込んだデータの削除まで、提供者が責任を負うように読める。
よくあるご質問
解約後のデータの削除は「30日程度を目安に削除」と書いてもよいですか？
おすすめしません。「目安」は努力目標と読まれ、顧客の監査でいつ消したかを示せず、かえって運用を疑われます。「30日以内に削除する」と期限を義務にし、法令上の保存・事故の調査や紛争・官公庁の命令などに例外を限定して書く方が、顧客の信頼を得やすくなります。
解約後もしばらくデータを取り出せるようにすべきですか？
サービスの性質によります。終了日まで取り出せるとし、終了後の返還義務は負わないと明記する方法と、終了後30日間などアクセスを維持してエクスポートできるようにする方法があります。提供者の短い予告で中途解約できる契約では、終了後の取出しの期間を設けておくことが特に大切です。
外部のクラウドやメール配信サービスに残るデータも、削除を約束しなければなりませんか？
提供者が約束できないことは約束しないのが基本です。外部サービスの側に残るデータはその外部サービスの条件によるとし、保持の期間を別紙などで開示し、保持の期間を限定する条件のサービスを選ぶよう努める、という書き方があります。
有料プランから無料プランに移ったとき、データはどうなると書けばよいですか？
有料プランの解約、無料プランの終了、アカウントの削除、契約の終了をそれぞれ定義し、それぞれでデータを保持するのか削除するのか、削除の起点と事前の通知を書き分けます。「データは削除しない」と「契約終了で30日以内に削除」が並ぶと、どちらが適用されるか争いになります。
削除証明書を求められたら、応じるべきですか？
負担は小さいので、応じてよいと考えています。顧客の求めがあれば削除の完了を書面又は電磁的方法で報告する、と規約に書いておけば、個別の要望にも同じ手続で対応できます。
あわせて読みたい、関連する別のガイド
- 期間・更新・解約と、終了時の引継ぎシステム保守・SES契約書ガイド
- 個人情報の第三者提供と、海外のクラウド・SaaSを使うときの整理アプリ・Webサービスの利用規約ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別の取引への当てはめは、サービスの仕組みや契約の経緯によって異なることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた法人向けのSaaS・クラウドサービスの利用規約、サービス提供契約書、申込書、実証実験（PoC）の覚書、販売代理店契約書、レビュー報告書、ヒヤリングシートなどを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索（法令API）で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / 個人情報保護委員会 / 経済産業省 / 国税庁
