このページの要点
- バックアップは「誰が取るか」「何を保証しないか」「復元が失敗したら何をするか」の3点を書く。
- 外部要因の免責は包括的に書かず、原因を限定して列挙し、調査に協力する義務を置く。
- 賠償の上限は、基準期間・支払った額か発生した額か・故意重過失の例外・請求の期限まで書く。保守では直近12か月が中心。
- 秘密保持契約の賠償を業務委託の上限に揃える修正には慎重に。保険の加入を確認する。
結論：復旧の「成功」は保証しない。賠償の上限は基準期間と例外まで書く
保守契約の責任の条で、最も争いになりやすいのはデータです。バックアップを取ることになっていたのに復旧できなかった、という場面で、委託者は「復旧できなかったのは契約違反だ」と考えます。個人のWebデザイナーの保守・運用契約の原案をレビューしたときは、バックアップの頻度と世代数を定めた点は優れているとしつつ、復旧の成功を保証するかどうか、復旧までの目安の時間、データの完全性の免責が欠けているため、「復旧できなかった＝契約違反」と主張されるおそれがあると指摘しました。
賠償の上限も、保守契約の要の条です。保守料は月数万円でも、システムが止まったときの委託者の損害は、それよりずっと大きくなり得ます。事務所が扱ってきた保守・SESの契約では、上限の基準を「直近12か月に支払った額」とする例が最も多く、6か月、3か月、当月分とする例もありました。上限の基準期間の取り方、「支払った額」か「発生した額」か、故意・重過失の例外、請求の期限、秘密保持契約との関係まで決めて、初めて上限の条が機能します。
このページでは、バックアップの書き方、障害と外部要因の免責、セキュリティ事故の報告、賠償の上限の比較と設計の論点を紹介します。サーバーやアカウントの管理の分担は責任分界とアカウント管理、障害時の対応時間の目安はSLA・対応時間のページをご覧ください。
バックアップの書き方：3つの型
| 型 | 条文の考え方 | 契約の例 |
|---|---|---|
| 受託者が取得に努める型 | 受託者が独自に実装したバックアップの機能で定期的に取得される状態を維持するよう努める。周期・世代数・保存期間・保存場所は受託者が定め、完全な取得・内容の完全性・特定時点への復元・復元時間・復元の成功は保証しない | 保守ベンダーの保守契約 |
| 頻度と世代を決め、復旧は「試みる」型 | データベースは毎日・14世代、ファイルは週1回・8世代。重要な操作の前の手動バックアップを支援。「復旧」は取得済みの最新のバックアップで正常な時点への復元を試みる努力義務 | Webサイト保守の書き直し版 |
| バックアップは顧客の責任とする型 | 業務データ・顧客情報・メール・クラウドのデータのバックアップは委託者の責任と費用。受託者は保全・保管・監視・復旧の義務を負わない。データの復旧は別料金で完全な復旧は保証しない | 定額ITサポートの契約書 |
保守ベンダーの保守契約では、さらに、確認で異常を見つけたら速やかに委託者に通知して回復を図ること、仕様を超える周期・世代・期間、遠隔地での保管、復元のテストは別途有償で協議すること、変更作業の前に取る一時的なバックアップは完全性を保証しないこと、緊急時の復旧対応はバックアップが正常に取れていて使えることが前提で、使えない場合は範囲外の作業として別途有償であることを定めました。
事務所の改訂例 バックアップの機能の扱い（保守ベンダーの保守契約）
終了後の扱い
終了後の作業の義務を定めた条は存続条項に入っていることと比べても整合しない。契約が終わった瞬間にこの項の効力が消えると読まれないようにするため。
生成AIを使った業務支援のサービスの基本契約では、利用者が自己の責任と費用でデータを保存・管理し、必要に応じてバックアップを取ること、提供者の合理的な支配を超える事由によるデータの消失は免責とすることを定めていました。テンプレート型のHP制作と継続保守の契約では、月1回の定期バックアップと、復元できる形式での保管を保守の内容にしています。業務の自動化を頼んだ委託側の契約では、成果物を作業ごとに委託者の環境に保存させたうえで、外部サービスの障害や災害で失われた場合は受託者が保存データからの復元に合理的に協力する、としました。どの型を選ぶにしても、「誰が取るのか」「何を保証しないのか」「復元が失敗したときに何をするのか」の3点を書いておきます。
障害と外部要因の免責は、限定して列挙する
保守ベンダーの保守契約では、受託者に帰責事由がない限り、第三者のソフトウェアの変更・停止・障害、委託者や第三者による変更、サイバー攻撃、未知の脆弱性、通信障害、サーバー障害、委託者の協力の遅れなどによる損害について責任を負わない、と定めました。不可抗力にはサイバー攻撃と第三者のサービスの停止を含め（金銭の支払の債務は除く）、不可抗力が60日以上続いたらどちらも催告なしに解除できるとしています。委託者の不払い・協力不足、作業を続けると重大な危険がある場合、外部要因の場合は保守を停止でき（緊急なら事後の通知）、停止による損害について受託者は責任を負わない、という条もあります。
ただし、免責を広く書けばよいわけではありません。Webサイト保守の原案のレビューでは、サーバー・外部プラットフォームの障害、仕様変更、第三者の攻撃を包括的に免責する書き方は、無効とされるリスクがあると指摘し、免責の事由を限定して列挙すること、発生の原因を切り分けること、受託者が調査に協力する義務を置くことを勧めました。免責の条は、「どの原因なら責任を負わないか」を具体的に書くほど、有効に働きます。
不可抗力の条に、外部のサービスの障害を明記する例も増えています。Web制作会社がフリーランスに発注する基本契約では、不可抗力に「クラウドサービスその他の外部サービスの大規模な障害」を含め（金銭の支払の債務は除く）、Webサイト保守の書き直し版では、不可抗力などの事由に、外部のクラウドサービスやECプラットフォームの仕様変更・停止・利用制限と、委託者や第三者の操作ミス・不適切な設定変更を含めていました。不可抗力が続いたときに解除できるまでの期間も、保守ベンダーの保守契約は60日以上、Webサイト保守の書き直し版は30日以上としていて、契約ごとに違います。
- 注文書方式のWebシステム開発の意見書では、免責の5類型（サーバーへのハッキング、パスワードの盗難、サーバーダウン、利用者数が予想を超えた場合、その他受託者に重大な過失がない障害）を「ヌケモレなし」と評価しつつ、クラウド・サーバー・認証APIなど第三者のサービスの障害・停止・サービスの終了の追記を提案しました。
- テンプレート型のHP制作と継続保守の契約では、免責の事由に、サーバー・ネットワーク・電力などのインフラの要因、CMS・プラグイン・テーマの脆弱性やバージョンの不整合、サイバー攻撃に加え、「保守契約の不継続・解除後のセキュリティの脆弱化」を挙げていました。保守をやめた後のサイトの脆弱性まで責任を問われないための一文です。
- 遠隔運用代行の契約では、外部サービスの仕様変更・障害・停止・終了、通信回線や委託者・元請の機器の障害、委託者や元請が受託者の報告に従わなかったことに起因する損害を、故意・重過失を除き免責としつつ、不具合の調査・修理の義務は免除しないと書きました。
セキュリティ事故と、漏えいの報告の期限
保守や運用の受託者は、委託者の個人データを扱うことが多く、事故が起きたときの報告の手順を決めておく必要があります。個人情報保護法は、個人データの漏えい・滅失・毀損などで個人の権利利益を害するおそれが大きいものとして規則で定める事態が生じたときは、個人情報保護委員会への報告を義務付けていますが、委託を受けた事業者が、規則に従ってその事態を委託元に通知したときは、報告の義務を免れるとしています（個人情報保護法26条1項）。保守の受託者にとっては、委託元への速やかな通知が、法律上の義務を果たすことにもつながります。
1乙は、甲の個人情報等又は秘密情報の漏えい、滅失、毀損その他の事故が生じ、又はそのおそれがあることを知ったときは、直ちに、遅くとも24時間以内に甲に通知する。
2乙は、前項の通知の後、事故の事実、原因、影響の範囲、本人の範囲、二次被害のおそれ、講じた応急措置及び今後の対応方針を甲に報告し、被害の拡大の防止及び証拠の保全に努める。
3乙は、甲が行う本人への通知、個人情報保護委員会への報告その他の対応に協力する。乙の責めに帰すべき事由による事故の対応に要した費用は、乙の負担とする。
委託側で起案した契約です。別の委託側の秘密保持契約や、個人エンジニアの個人情報の覚書のレビューでも、漏えいの報告の期限の例として24時間以内を挙げています。
受託側の保守契約では、重大なセキュリティ事故を知ったら受託者が速やかに委託者に連絡して対応を協議し、範囲を超える事故の対応は別途有償とする、と定めていました。マルウェア感染・不正アクセス・データ消失などの事故の大規模な調査・復旧・証拠保全・外部機関への対応は、範囲外の号にも入れています。事故の「報告」は月額の範囲の義務とし、事故の「調査と復旧」は別料金とする、という切り分けです。オフショア開発の準委任の契約でも、アクセス制限・認証の管理・暗号化・ログの管理・従事者の教育と監督などの安全管理措置を列挙し、事故やそのおそれを知ったら速やかに報告し、委託者の指示で拡大の防止・原因の究明・再発の防止を行う、と定めました。
賠償の上限を比べる
| 契約 | 上限の基準 | 例外・請求の期限など |
|---|---|---|
| 保守ベンダーの保守契約 | 損害が発生した月から遡る12か月に委託者が現に支払った月額保守料と追加作業料の総額 | 重過失は2倍、故意は上限なし。直接かつ通常の損害に限る。開発に起因する損害は開発代金を上限として別に扱う |
| 受託側の開発等基本契約（準委任の部分） | 損害発生日の前12か月間にその個別契約で発生した委託料の総額 | 重過失は2倍、故意は上限なし。請負の部分は個別契約の委託料総額 |
| 定額ITサポート | 委託者が現実に支払った直近12か月分の利用料金の総額 | 損害の発生日から6か月以内に書面で通知しなければ請求できない |
| テンプレート型HP制作と継続保守 | 保守に起因する損害は、損害発生の直前12か月間の保守費用の累計 | 制作に起因する損害は受領した初期費用が上限 |
| 副業エンジニアの契約の修正提案 | 原因事由の時点から遡る12か月に現実に受領した対価の総額 | 故意・重過失を除く。交渉ガイドでは24か月や固定額への歩み寄りの余地を記載 |
| フリーランスへの発注の基本契約（委託側） | 原因となった個別契約の報酬額（紐づかなければ遡って12か月の報酬総額） | 故意・重過失、第三者の権利侵害の補償、秘密保持・個人情報の違反は上限の対象外 |
| 仲介会社との準委任の基本契約（修正版） | 損害が発生した契約年度に実際に支払った報酬総額 | 秘密保持の重大な違反、第三者の権利侵害などは上限の対象外 |
| 学校法人の校内IT業務 | 直近6か月分の報酬総額 | 故意・重過失を除く。特別損害は予見できた場合に限る |
| 業務の自動化の委託（委託側） | 原因事由が生じた6か月の契約期間に委託者が現実に支払った報酬総額 | 故意・重過失は除く。秘密保持契約の賠償は上限なしを維持 |
| システム管理業務の委託（委託側） | 委託者が支払った過去6か月分の総報酬額 | 故意・重過失は除く。請求は損害を知った日から1年以内 |
| AI活用支援のコンサルティング契約 | 月額型は直近3か月の支払報酬総額、単発は当該契約の報酬総額 | 故意・重過失は除く |
| ネットワークエンジニアの準委任 | 損害が発生した契約月の月額報酬額（複数月にわたっても契約期間中の総報酬額まで） | 故意・重過失、第三者の知的財産権の侵害、秘密保持違反は上限の対象外 |
| オフショア開発の準委任 | 損害が発生した月の報酬額 | 委託者は損害の発生又は認識から30日以内に書面で通知しなければ請求権を放棄したものとみなす |
| SaaSと導入支援の一体契約 | 原因となった月の月額利用料1か月分と、導入支援の支払額の高いほう | データの損失・第三者からの請求は故意・重過失を除き免責 |
| 個人のWebデザイナーの保守・運用契約（依頼者の原案） | 直近1か月に支払われた報酬額 | レビューでは「極端に低い」と指摘し、重大な過失の定義がないことも問題とした |
並べてみると、保守の契約では「直近12か月」が中心で、委託側の契約やSESでは6か月や当月分のように短めの期間が選ばれていることが分かります。上限は、受託者の売上に対して合理的な範囲で、委託者にとっても納得できる水準にする必要があります。1か月分のように極端に低い上限は、相手方の理解を得にくく、争いになったときに上限の条そのものの合理性を争われる火種にもなります。
上限の決め方の論点：「現に支払った額」と「発生した額」、例外、期限
上限の基準の書き方には、細かいけれども大きな違いがあります。保守ベンダーの保守契約は「12か月に現に支払った」額、開発等基本契約の準委任の部分は「12か月に発生した」委託料としていました。前者は、委託者が保守料を払っていない期間があれば上限が下がり、後者は未払いの分も含めて上限を計算します。同じように、上限を「原因が生じた月に支払った額」とする書き方は、月末締め翌月末払いの契約では、最初の月の上限がゼロになり得ます。基準の月を損害の発生月にするのか原因の発生月にするのか、支払った額か請求できる額か、を条文の段階で確かめておきます。
故意・重過失の扱いも重要です。故意や重大な過失がある場合にまで責任を制限する条項は、効力が否定され得ると考えられているため、事務所の書類では、上限に故意・重過失の例外を置くのが通常です。開発等基本契約のレビューでは、依頼者の下書きが、上限には故意・重過失の手当てをしていたのに、賠償の範囲を直接・通常の損害に限る部分には故意・重過失を外す但書がなかったので、範囲の限定にも但書を加えました。保守ベンダーの保守契約のように、重過失なら上限を2倍にし、故意なら上限なしとする段階的な書き方もあります。
請求の期限を置く例もあります。定額ITサポートは損害の発生日から6か月、オフショア開発の準委任は30日、システム管理業務の委託は損害を知った日から1年、HP制作・保守のひな形は顧客の請求を原因を知った時から1年以内としていました。30日のような短い期限は、受託者には有利ですが、委託者が損害に気づくまでに時間がかかる障害では問題になりやすいので、起算点（発生か、認識か）とあわせて検討します。上限の対象から外す事由（秘密保持の重大な違反、第三者の権利侵害、故意の背信など）も、上限の条の一部として書いておきます。
秘密保持契約の上限、保険、弁護士費用
業務の自動化を頼んだ委託側の案件では、相手方から、秘密保持契約に「秘密保持契約上の賠償も業務委託契約の上限に揃える」という項を新設する修正が提案されました。事務所のリスク確認の報告書は、個人情報や営業秘密の漏えいは、品質や納期の履行のリスクとは性質が違い（個人情報保護法の報告・通知の義務や、不正競争防止法の保護を失うおそれがある）、業務委託の対価を超える損害になり得ると整理しました。そのうえで、(a)上限なしを維持する、(b)どうしても上限を置くなら業務委託とは別建ての独立した上限とし、少なくとも個人情報と営業秘密の漏えいは上限の対象外にする、(c)受託者の賠償責任保険の加入を確認する、という3つの対応を示し、委託者の名義で相手方に送る説明文では、通常の過失による不測の事態は上限の条ではなく保険の確認と事故時の協議で備える、と書いています。最終的に、秘密保持契約は上限なしの原案に戻しました。
遠隔運用代行の契約でも、業務委託の側には上限を置きつつ、秘密保持契約は上限なしとしました。単価や原価などの営業秘密が漏れた場合の損害は、月額の報酬を大きく超え得るからです。業務委託契約と秘密保持契約を別に結ぶときは、どちらの上限がどの損害にかかるのかを、両方の契約書で一致させておく必要があります。
賠償責任保険は、上限の設計の前提になります。HP制作・保守のひな形の申し送りでは、賠償責任保険の加入を賠償の条の設計の前提とし、ヒヤリングでも加入の状況を確かめました。三者構造の業務支援の契約では、受託者に事業活動の包括賠償責任保険などへの加入と証券の写しの提出を求めています。
弁護士費用を賠償に含めるかどうかも、決めておくべき点です。副業エンジニアの契約のレビューでは、最高裁令和3年1月22日判決を挙げ、契約上の債務の履行を求める訴訟の弁護士費用は、債務不履行に基づく損害として相手方に請求できない、とされていることを説明しました。原案には「弁護士費用を含む」一切の損害の賠償が書かれていましたが、契約で弁護士費用を含めると定めれば、判例の原則とは別に負担が広がるので、上限の条とあわせて見直す対象になります。
起きがちなこと：「復旧できなかった」から始まる請求
バックアップと賠償の条は、事故の日に初めて読まれる条です。復旧を保証しないこと、免責を限定して列挙すること、上限の基準と例外と期限を書くことの3つを、平時に整えておきます。終了後のデータの扱いは期間・更新・解約と引継ぎのページで扱います。
よくあるご質問
バックアップから復旧できなかったら、契約違反になりますか？
契約の書き方しだいです。「復旧」を取得済みのバックアップで正常な時点への復元を試みる努力義務と定義し、復元の成功・復元時間・データの完全性は保証しないと書いておけば、復旧できなかったこと自体は契約違反になりにくくなります。
保守ベンダーが組んだバックアップの仕組みは、契約終了後どうなりますか？
事務所が見直した保守契約では、受託者が業務のために使う機能で納入物・成果物に当たらず権利は受託者に留保され、終了後は提供をやめてよく、終了後のバックアップは委託者の責任と定め、その項を存続条項にも入れました。
保守契約の賠償の上限は、何か月分が多いですか？
事務所が扱った保守の契約では「直近12か月に支払った額」が最も多く、6か月・3か月・当月分とする例もあります。1か月分のように極端に低い上限は、相手方の理解を得にくく、争いの火種になります。故意・重過失の例外もあわせて定めます。
情報漏えいがあったら、何時間以内に報告させればよいですか？
事務所の委託側の契約では、認識後直ちに、遅くとも24時間以内に通知し、事実・原因・影響範囲・本人の範囲・応急措置を報告させ、本人への通知や個人情報保護委員会への報告に協力させる形にしました。
秘密保持契約の賠償の上限を、業務委託契約の上限に揃えてもよいですか？
委託者の立場では慎重に考えるべきです。個人情報や営業秘密の漏えいは業務委託の対価を超える損害になり得るため、上限なしを維持するか、別建ての上限にして少なくとも個人情報と営業秘密の漏えいは上限の対象外にし、受託者の保険の加入を確認する対応があります。
あわせて読みたい、関連する別のガイド
- 責任制限：上限の額より、上限が外れる経路SaaS・クラウドサービスの契約書ガイド
- SLAを約束しない設計と、障害・サポートの条項SaaS・クラウドサービスの契約書ガイド
あわせて読みたいページ
本ページは一般的な情報提供です。個別の契約への当てはめは、取引の実態によって結論が変わることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたシステム保守業務委託契約書、Webサイトの保守・運用業務委託契約書、定額ITサポートの契約書、準委任型の業務委託基本契約書と個別契約、エンジニアへの業務委託契約書、秘密保持契約書、ヒヤリングシートなどを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月16日）。参考: e-Gov法令検索 / フリーランス法特設サイト（公正取引委員会）
