施設向けヘルステックSaaSの利用規約：契約は二層で組む

結論：施設向けSaaSの規約は、提供者と施設の契約と、施設が取る同意の「二層」で組む

介護施設・障害者施設・保育園・薬局などが、入所者や園児、患者の服薬の確認、体調の記録、見守りなどに使うSaaS（インターネットを通じて提供されるソフトウェアのサービス）の利用規約を作るとき、最初に決めることは三つあります。契約の当事者は誰か。データは誰のものか。個人の同意は、誰が、誰から取るのか。一般のアプリの規約と違い、サービスを使うのは施設でも、顔の情報や服薬の情報を差し出すのは入所者や園児という個人であり、その個人は提供者と直接の契約を結んでいません。

事務所は、顔認証で本人を確認し、文字認識で薬剤の情報を確かめ、服薬の履歴を記録する服薬支援のシステムを、介護施設・障害者施設・保育園・医療法人・薬局などに提供する事業者について、法人向けの利用規約（9版）、個人向けの利用規約（3版）、プライバシーポリシー（3版）を作成しました。この記事では、用語を次のとおり使います。「提供者」はSaaSを運営する事業者、「利用者」は提供者と契約する施設や法人、「利用対象者」はその施設で服薬確認などの対象になる入所者・園児・患者です。

提供者は、施設が利用対象者から同意を取る場に立ち会えません。そのため規約で、施設に同意の取得を義務づけ、何についての同意かまで書いておく必要があります。「同意を取るものとします」という一文だけでは、どの利用までが同意の対象に入っているのかが分からず、後で提供者が情報を使うときの根拠として心もとないものになります。

利用者を絞る：自己の業務として行う法人・団体だけを対象にする

事務所の法人向け規約の第4条は、対象を、「自己の業務として」服薬管理業務を行う法人または団体で、提供者が利用を適当と認めた者とし、介護施設、障害者施設、保育園、医療法人、薬局などを例に挙げています。そのうえで、法令の遵守の状況や業務の内容、利用の目的を見て、承認しないこともできるとしました。対象を絞る理由は二つあります。一つは、後に述べる最終確認の責任を、実際に負える体制の相手に限ること。もう一つは、「自己の業務として」行う者に限ることで、サービスを第三者に再提供する事業者も対象から外れることです。禁止事項には、システムの解析や再配布などを、利用者自身だけでなく利用対象者に行わせる場合も含めて並べています。施設向けのシステムの規約を、マッチングや求人のサービスの規約とあわせて紹介した介護の事業譲渡も参照してください。

契約の相手が公立の施設のときは、もう一つ確認が要ります。個人情報保護法の「個人情報取扱事業者」には、国の機関や地方公共団体が含まれません（同法16条2項）。公立の保育所のように地方公共団体の機関が運営する施設は、同法2条11項の「行政機関等」として別の規律の下にあり、民間の施設向けに書いた第三者提供や委託の文言が、そのままは当てはまらないことがあります。申込みの段階で、設置者が民間か公立かを確認する欄を設けると、規約の適用を整理しやすくなります。

契約の相手が法人・団体であれば、消費者契約法は適用されません。同法の「消費者」は、事業として又は事業のために契約の当事者となる場合を除いた個人であり（同法2条1項）、「事業者」には法人その他の団体と、事業として又は事業のために契約の当事者となる個人が含まれる（同条2項）からです。個人が経営する小規模な施設も、事業のために契約する以上は事業者です。ただし、事業者どうしの契約でも、責任を全部免除するような条項が当然に有効になるわけではありません。事務所の法人向け規約は、責任の制限を、故意または重過失がある場合を除く形にしています。

個人情報：委託として預かる範囲と、提供者が自分のために使う範囲を分ける

施設が入所者の服薬の情報や顔の情報をシステムに登録するとき、まず扱う情報の性質を確かめます。服薬の記録は、病歴や、疾病などを理由に医師等により診療や調剤が行われたことに当たり得て、要配慮個人情報になります（個人情報保護法2条3項、同法施行令2条3号）。顔の骨格や皮膚の色、目・鼻・口などの位置や形状によって定まる容貌を、電子計算機の用に供するために変換した符号で、特定の個人を識別するに足りる基準に適合するもの（同法施行令1条1号ロ）は個人識別符号（法2条2項1号）で、これを含む情報は個人情報です（同条1項2号）。要配慮個人情報は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで取得してはなりません（同法20条2項）。

施設が提供者に情報の取扱いを任せる形は、委託に当たります。利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、提供を受ける側は第三者に該当せず、本人の同意を得なくても個人データを渡せます（同法27条5項1号）。その代わり、施設は委託先への必要かつ適切な監督を行い（同法25条）、提供者も自ら安全管理措置を講じます（同法23条）。個人データの漏えいなどが起きたとき、委託を受けた側は、委託元に通知すれば個人情報保護委員会への報告をしなくてよく（同法26条1項ただし書）、本人への通知も委託元が担います（同条2項）。そのため規約には、提供者が施設に通知する期限と内容を書いておきます。

提供者が集めたデータを、サービスの精度の向上や新しい機能の開発に使う場合は、委託の範囲に収まるかどうかが問題になります。個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａは、委託を受けた者が、委託元の利用目的の達成に必要な範囲内であれば、提供を受けた個人データを自社の分析技術の改善に利用できる（Q7-39）とする一方、委託業務の範囲外で統計情報に加工し、自社のために使うことは認められない（Q7-38）としています。委託の範囲を超えて自社のために取り扱うのなら、委託とは別に、本人の同意などの根拠が必要になる、ということです。なお同Ｑ＆Ａは、学習済みのパラメータと特定の個人との対応関係が排斥されている限り、そのパラメータは個人情報に当たらないとも整理しています（Q1-8）。

事務所の法人向け規約は、この点を次のように組みました。委託型で組む方法と、提供者が利用対象者の同意に基づいて自ら取得する形で組む方法があり、学習を行う提供者のサービスでは後者を選んでいます。施設が、利用対象者から、提供者による情報の取得、利用及び保管について、法令に従い必要かつ適法な同意を取る条項（第16条2項）を置き、提供者が、サービスの提供、維持、改善、品質向上、不具合対応、統計分析に必要な範囲に限って利用者データを無償で利用できるとしました（同条3項）。学習に使うデータは、特定の個人を識別できず、通常の方法により復元できない状態に加工した情報に限り（第18条2項）、顔認証データなどの生体情報は、個人を識別できない形式に変換して、生体情報そのものを保持も再利用もしない（同条3項）、としています。

開示などの請求の窓口も決めておきます。保有個人データとは、個人情報取扱事業者が、開示、訂正、利用の停止などを行う権限を有する個人データのことです（同法16条4項）。受託者として預かるだけで、提供者にその権限がなければ、本人からの開示の請求（同法33条）の相手方は施設になります。規約には、提供者が利用対象者本人から開示などの求めを受けたときは遅滞なく施設に通知し、施設の求めに応じて、利用者データの出力などで協力する、と書いておきます。提供者が外国の事業者のクラウドや分析の仕組みを使うときは、外国にある第三者への提供の制限（同法28条）も関わります。同意の取り方は、クリニックのプライバシーポリシーで紹介した国外移転の項と同じ考え方です。なお、令和8年7月17日に個人情報保護法等の一部を改正する法律が公布されており、公布日に施行された部分のほか、令和9年1月17日と令和10年7月16日に施行される部分があります。この項で挙げた条文は、いずれも現行の施行済みの規定によっており、未施行の改正後の規定は前提にしていません。

医療機器・緊急通報・誤判定：「医療行為ではない」という宣言を、表示と手順で支える

規約に「医療行為ではない」と書いても、医療機器でなくなるわけではありません。薬機法の医療機器とは、人若しくは動物の疾病の診断、治療若しくは予防に使用されること、又は人若しくは動物の身体の構造若しくは機能に影響を及ぼすことが目的とされている機械器具等（再生医療等製品を除く。）であって、政令で定めるものをいい（同法2条4項）、機械器具等にはプログラムが含まれます（同法2条1項2号の括弧書）。厚生労働省の「プログラムの医療機器該当性に関するガイドライン」（令和3年3月31日、令和5年3月31日一部改正）は、該当するかどうかを、提供者の表示、説明資料、広告などに基づいて、プログラムの使用目的とリスクの程度で判断するとし、同じ機能のプログラムでも、使用目的が異なれば結論が異なり得る、としています。

同ガイドラインは、医療機器に当たらない典型的な事例として、医療関係者が過去の処置や治療内容、健康情報などを記録、閲覧又は転送するプログラムや、使用者が自らの健康記録を保存、管理、表示するプログラムを挙げています。服薬の履歴の記録や出力は、この類型に近い機能です。ただし、顔認証や文字認識で薬剤を確かめる機能を含め、個々のプログラムが医療機器に当たるかどうかは、使用目的と機能に即して個別に判断されるもので、規約の書き方や事務所が決められることではありません。一方で、判断の手順の項では、入力された情報をもとに疾病候補や罹患リスクを表示する、推奨される治療方法を示す、といった処理方法が、明確にしておくべき事項として並んでいます。複数の機能を持つプログラムは、一つでも医療機器の定義を満たす機能があれば、全体が医療機器としての規制を受けます。

事務所の法人向け規約は、「医療機器としての承認、認証又は届出を前提とするものではなく、当該制度上の規制対象となることを目的として設計されたものでもありません」と定めています（第5条3項）。この宣言は、機能の実態と表示がこれに沿っていて初めて意味を持ちます。機能を追加するとき、たとえば記録した服薬の状況から注意の必要な人を示す機能を足すときは、規約の改定とあわせて、機能の使用目的、営業資料、画面の言葉を見直し、「診断」「判定」「治療」といった言葉が入っていないかを確かめます。禁止する行為を手段まで列挙する考え方は、医療行為との線引きで紹介しています。

緊急時の扱いも決めます。個人向けの規約は、「本サービスは緊急通報機能を有せず、医療機関への連絡または救急対応を代替するものではありません」と書いています（第3条4項）。見守りに近い機能を持つサービスでは、法人向けでも同様に、緊急通報の機能がないこと、緊急の連絡を代行しないことを施設が理解したうえで使う前提にします。誤判定や未同期で結果に誤差が出たときの責任は、場面を分けて書きます。

施設の種類によって、参照するガイドラインも変わります。医療機関に医療情報を扱う情報システム・サービスを提供する事業者については、経済産業省と総務省の「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」（第2.0版、令和7年3月改定）があり、医療機関の側が参照する厚生労働省の「医療情報システムの安全管理に関するガイドライン」とは、提供者と医療機関という役割で対になっています。介護関係事業者の個人情報の取扱いについては、個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」（令和8年4月一部改正）が、医療機関等と、介護保険法や老人福祉法に基づく事業者を対象に整理しています。利用者の種類ごとに、どの文書が関係するかを営業資料や契約の別紙に整理しておくと、施設からの確認に答えやすくなります。

年契約の料金と期間：最低利用期間・違約金・年額一括払い・値上げ

法人向けのSaaSは、事業所単位の月額課金で、利用期間を1年とする年契約にすることが多くなります。事業者どうしの契約なので消費者契約法は適用されず、中途解約と違約金の組み方は契約で決めます（個人向けの会費や年契約の考え方はキャンセル料・返金で紹介しています）。違約金を定めたときは、損害賠償額の予定と推定されます（民法420条3項）。事務所の法人向け規約は、版を重ねる中で、次の三つの組み方を検討しました。

組み方を選んだ後に、条文が壊れやすい箇所が三つあります。一つ目は、月割と日割の計算のルールです。1か月未満は日割にするか、利用開始月と自己都合の解約月は全額にするかを、条文に書きます。違約金の算定が別の条を参照する形にするなら、その条に計算のルールが実際に書かれているかを、版を替えるたびに確かめます。二つ目は、年額一括払いの扱いです。施設の都合で終了したときは返金しない一方、提供者の責めによる終了と、料金改定に同意せずに解約したときは、未経過の分を月割で返す、という条を置いた版が、事務所の書類にあります。三つ目は、更新しない旨の通知と、期間中の解約を、言葉で分けることです。どちらも「解約の意思表示」と書くと、30日前までという通知の期限が、どちらに掛かるのかが読み取れません。

料金の改定も、あらかじめ条文にしておきます。事務所の規約は、経済情勢の変動、クラウドの利用料その他の外部サービスの費用の増加、法令の改正、機能の追加などの事情があるときに料金を改定でき、改定後の料金、理由、効力発生日を示して、効力発生日の30日前までに通知する、としています。改定後の料金は、効力発生日以降に開始する利用期間に適用し、同意しない施設は、効力発生日までに解約の意思表示をすれば、違約金なしで終了できます。解約の意思表示をせずに使い続けたときは、改定に同意したものとみなします。値上げに反対する利用者を違約金で縛らない設計は、法人どうしでも納得を得やすいものです。規約そのものを変更する条（第8条）にも、30日前の通知と、重大な不利益を及ぼす場合の異議の手続があります。規約が定型約款（民法548条の2第1項）に当たる場合に、相手方の個別の合意なく行う変更のうち、契約の目的に反せず合理的なもの（同法548条の4第1項2号）は、効力発生時期を定めてインターネットなどで周知する必要があり（同条2項）、効力発生時期が来るまでに周知しなければ効力を生じません（同条3項）。30日前の通知は、この周知の要件にも合います。なお、金額は税込か税別かを、料金表で必ず明記します。

個人向けプランは別の規約にする：消費者契約法、家族、制限行為能力者

個人（その家族を含む）が自分で契約するプランは消費者契約になります。法人向けの免責や違約金の条項を同じ規約に混ぜると、個人との関係で無効になる条項が混じります。事務所は、法人向けと個人向けを別の規約に分けました。個人向けは、月額課金で1か月を1利用期間とし、自動更新、解約は次回の利用期間の開始日の前日までに所定の手続を完了すること、利用期間の途中で解約しても日割の精算や返金をしないこと、という組みです（第5条・第6条）。

消費者契約法との関係では、三点を確かめます。一つ目は、責任の制限です。事業者の債務不履行による責任を全部免除する条項は無効で（同法8条1項1号）、故意または重過失による責任の一部免除も無効です（同項2号）。軽過失の責任の一部を免除する条項は、重過失を除く過失にのみ適用されることを明らかにしていなければ無効になります（同条3項）。事務所の個人向け規約が、上限額を定めたうえで、故意または重過失による損害にはその上限を適用しないとしているのは、この規律に合わせたものです（第13条）。二つ目は、返金をしない定めです。解約に伴う違約金に当たり得るものは、事業者に生ずべき平均的な損害の額を超える部分が無効になり（同法9条1項1号）、求められたときは算定根拠の概要を説明するよう努めます（同条2項）。月払いの対価の性質と、解約手続の期限の設定との整合を、説明できるようにしておきます。三つ目は、一方的に不利益な条項の全般で、民法1条2項の基本原則に反して消費者の利益を一方的に害するものは無効です（同法10条）。専属的な合意管轄のように、消費者に不利益が及びやすい条項は、法定の管轄に加えて事業者の所在地の裁判所にも訴えを提起できる、という付加的な定めにとどめるのが無難です。

家族が高齢の親の服薬を見守る使い方では、利用者本人の能力にも注意が必要です。未成年者が法律行為をするには法定代理人の同意が要り（民法5条1項）、同意のない行為は取り消せます（同条2項）。被保佐人や被補助人も、保佐人や補助人の同意を要する行為について同様です（同法13条、17条）。法律行為の時に意思能力を有しなかった者の法律行為は無効です（同法3条の2）。事務所の個人向け規約は、未成年者に加えて、成年被後見人、被保佐人、被補助人も、法定代理人、成年後見人、保佐人、補助人などの同意または関与を得て利用すると定め、これを欠く登録を拒否し、登録後でも資格を取り消すことがあるとしました（第2条3項、第4条4項）。登録の完了で同意したとみなす書き方を、同意の意思を表示して登録を完了した時点で、という書き方に改めたのも、高齢の利用者が多いことを踏まえた修正です。チェック欄に「同意を得ています」と入力してもらうだけでは確認になりにくいため、必要に応じて同意または関与の確認を求める、という定めも置いています。

個人がウェブで申し込む月額のサービスは、特定商取引法の通信販売にも当たります。役務の対価、支払の時期と方法、役務の提供時期、申込みの撤回や解除に関する事項などを広告に表示し（同法11条）、申込みの画面には、役務の分量や対価などの事項を表示しなければならず（同法12条の6第1項）、その操作が申込みになることを誤認させる表示をしてはなりません（同条2項）。解約の期限と、返金をしないことは、規約の中だけでなく、申込みの前の画面や表記にも表示します。

終了時のデータ：返還・削除・残るものを決める

契約が終わったとき、施設の側には入所者や園児の記録が残るべきですし、提供者の側にはデータを持ち続けない義務が生じます。事務所の法人向け規約は、利用終了日から30日以内に、提供者が管理する利用者データを削除する、と定めています（第17条）。その期間内に利用者が返還を請求したときは、通常出力できる形式（CSVなど）で提供したあとに削除し、返還に要する費用は、提供者が別に定める方法で算定して利用者が負担します。法令に基づく保存義務のある情報と、紛争対応や監査対応に必要な記録は、その義務や必要性が続く間に限って保有できます。バックアップのデータは、バックアップの管理方針に従って順次消去します。

データの権利の整理が、この条の前提になります。利用者データに関する権利は利用者に帰属し、提供者は、サービスの提供に必要な範囲の利用権を持ちます（第16条1項）。一方で、利用者データをもとに作った匿名化情報、統計情報、分析結果などの派生データの権利は提供者に帰属し（同条4項）、終了時の削除の対象にはなりません（第17条5項）。ここで用語に注意が必要です。「匿名化情報」と書くとき、それが法律上の匿名加工情報（個人情報保護法2条6項）と同じ意味なのか、別の意味なのかを定義します。匿名加工情報であれば、作成の基準に従って加工し（同法43条1項）、含まれる情報の項目を公表する義務があります（同条3項）。法人向けと個人向けで、削除の対象外とする情報の呼び名がそろっていないと、読み手によって対象の範囲が変わります。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。医療機関の開設・介護保険の指定などの許認可の手続、診療報酬の請求、労務の手続は扱っていません。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきたクリニックのウェブサイトの利用規約・プライバシーポリシー、訪問看護・自費リハビリ・生活支援の利用契約書、医療機関との業務提携契約書、介護事業の譲渡契約書、歯科医院の契約書などを、個別の事業者が特定できない形に整理したものです。条文は e-Gov法令検索で、医療広告の記述は厚生労働省の医療広告等ガイドライン（令和8年3月30日最終改正）で確認しています（最終確認日：2026年10月21日）。参考: e-Gov法令検索 / 医療法における病院等の広告規制について（厚生労働省） / 個人情報保護委員会