記帳代行・経理代行の秘密保持契約書：顧客向けと外注入力者向けを分けて作る

結論：記帳代行のNDAは、同じ会社が「預かる側」と「渡す側」の両方になるので、二本に分けて向きを決める

記帳代行・経理代行では、顧客から預かった会計データ（帳簿、仕訳、通帳や請求書・領収書の写し、取引先や従業員に関する情報）が、記帳代行会社を通って、外注の入力担当者に渡ることがよくあります。このとき記帳代行会社は、顧客に対しては情報を預かる受領者であり、外注の入力担当者に対しては情報を渡す開示者です。一本のひな形を両方に使い回すと、受領者としての条項（返還・削除の免除、再委託の許容）と、開示者としての条項（生成AIへの入力の禁止、私用端末の禁止）が混ざり、どちらの相手にも合わない書面になります。

このページは、会計データを守るための契約設計だけを扱います。業務の範囲や料金の定めは業務委託契約や規約の領分で、税務の中身には立ち入りません。参考にしているのは、クラウド型の記帳代行を営む事業者の案件一式（依頼者が用意していた顧客向けNDAの案の点検、顧客向けNDAの初版と修正版、外注の入力担当者向けのNDA、外注向けの業務委託契約、利用規約）と、個人で記帳代行・経理サポートを営む事業者のNDAと業務委託契約です。

先に、このページの結論を四つ挙げます。

1. 顧客向けと外注向けは別の書面にする。顧客向けでは、記帳代行会社が負う義務と、手元に残してよい情報を書く。外注向けでは、記帳代行会社が相手に課す禁止事項を書く。
2. 会計ソフトなどクラウドの安全管理は、本文に細目を書かず、別紙の基準を参照する。暗号化、多要素認証、アクセス権限、操作ログ、データの保存先の国・地域を、別紙に固定する。
3. 外注の入力担当者による生成AIへの会計データの入力は禁止し、再委託は事前の書面承諾にする。承諾があっても入力してはいけない情報を決めておく。
4. 返還・削除と存続期間は、法令上の保存と「公知となるまで」型の曖昧さを見て決める。業務範囲に関する法令適合の確認条項は、NDAに置かず業務委託契約や規約に置く。

顧客向けと外注向けを並べる：同じ記帳代行会社の書類でも、条の強さが逆になる

クラウド型の記帳代行事業者の案件では、顧客向けNDAと外注向けNDAを、同じ会社の書類として作りました。両方を並べると、同じ論点（定義、再委託、返還、賠償）で、書き方の向きが逆になっているのが分かります。

向きを分けておく実益は、運用の場面で現れます。顧客から「外注に出しているのか。出しているなら誰に出しているのか」と聞かれたとき、記帳代行会社が外注向けNDAの存在と中身を示せるかどうかで、顧客の信頼は変わります。また、顧客向けで保管の継続を認めてもらっているのに、外注向けで「直ちに返還・削除」としていれば、外注先のところで確実に消えるという構造が保たれます。二本の書面は、互いに矛盾しないよう、保管の例外が記帳代行会社のところで止まるように組みます。

顧客向け：依頼者の案を点検して見えた五つの課題

依頼者のクラウド型記帳代行事業者は、顧客向けの相互型NDAの案を用意していました。案は、秘密情報の定義、秘密保持義務、例外、契約期間、違反時の責任という基本の構成を一通り備え、記帳代行の特性に合わせてクラウド会計ソフトの利用や再委託にも触れていました。そのうえで点検では、実務上の安全性と法的な明確さの面から、五つの改善課題を挙げました。

この五つの課題を反映した相互型の改訂版では、再委託を顧客の事前の書面承諾制にしました。ところが、別に作った顧客向けNDAでは、前の表のとおり、事前承諾を求めない形になっています。外注の入力担当者を含むチームで処理する運用では、案件ごとに顧客の承諾を取る流れが回りにくいことが背景にある、と見られます。承諾を求めない代わりに、再委託先への同等義務を契約で課し、選任・監督の責任を負い、注意を尽くしたことを証明できなければ責任を免れない、という形で歯止めをかけました。預けた顧客の側から見れば、承諾制のほうが安心ですが、承諾制は運用を止めやすいという現実もあります。そこで、再委託の強さを三段に分けて、取引の実態に合う位置を選びます。

会計データの安全管理は、本文に細目を書かず「別紙の基準」を参照する

点検で挙がった課題の一つ目が、クラウドの安全管理でした。記帳代行は、財務情報と個人情報が集まる業務で、クラウド会計ソフトを使い、外部の事業者にデータを預ける構造になります。アクセスする人、端末、場所も多く、情報の漏えい、不正なアクセス、国外への保存のリスクが常にあります。こうした業務で「適切な安全管理措置を講じる」とだけ書くと、事故のあとに、何が適切だったのか、業界の水準と比べてどうだったのか、契約上何を求められていたのかを、誰も説明できません。

かといって、細目を契約書の本文に書き込むと、クラウドの仕様が変わるたびに契約書を直すことになります。そこで、本文には「別紙の基準に基づく」とだけ書き、基準そのものは別紙に置いて、変更の手続を決めておく書き方を選びました。相互型の改訂版では、クラウドの条に次の事項を入れています。

• 通信中と保存中のデータの暗号化
• アクセス権限の分離管理と、パスワード・多要素認証などによる利用者の認証
• アクセス・操作ログの取得、保管、定期的な監査
• クラウド事業者のサーバの設置場所（国・地域）の事前の確認と、その国の個人情報保護法令の遵守
• 再委託先（サブプロセッサー）による情報の取扱いの制限と、秘密保持義務の契約による担保
• クラウドの変更や、データ処理の方針の重大な変更があるときの、事前の文書による通知と書面承諾
• インシデントが起きたときの、遅滞のない報告、原因の調査、再発防止、影響範囲の特定

法令との関係も確認しておきます。顧客の会計データに、従業員や取引先個人の情報のように、個人データに当たるものが含まれるなら、記帳代行会社は個人データの取扱いの委託を受けた者になります。個人データの取扱いを委託することに伴って個人データが渡される場合、受け取る側は第三者に当たらず、本人の同意なしに渡せます（個人情報保護法27条5項1号）。その一方で、委託する顧客には、委託先を必要かつ適切に監督する義務があります（同法25条）。個人情報保護委員会のガイドライン（通則編）は、この監督の中身として、適切な委託先の選定、安全管理措置を盛り込んだ委託契約の締結、委託先の取扱状況の把握を挙げ、委託先が再委託するときは、再委託先や業務内容の事前の報告または承認を受けることが望ましいとしています（3-4-4）。

顧客からすれば、この監督を果たすために、別紙の基準、変更の事前承諾、事故の報告が必要になります。クラウドのサーバが国外にある場合は、事業者が外国で個人データを取り扱うときに、その国の個人情報保護の制度を把握したうえで安全管理措置を講じることがガイドラインの別添10-7に示されています。クラウド事業者が個人データを取り扱うかどうか、国外への提供に当たるかどうかは、契約の内容で整理が分かれるため、NDAでは、保存先の国・地域を事前に通知させ、変更のときは承諾を取る定めにしておくのが実務的です。

事故が起きたときの報告にも、法律の仕組みが関わります。個人データの漏えい等で個人の権利利益を害するおそれが大きいものが生じたとき、個人情報取扱事業者は個人情報保護委員会に報告しなければなりませんが、他の事業者から個人データの取扱いの委託を受けた事業者は、委託元に通知すれば、この報告を免れます（同法26条1項ただし書）。つまり、委託を受けた記帳代行会社の最も大事な義務は、委託元である顧客に、決めた時間内に、必要な事項を通知することです。NDAの事故報告の条は、この通知の時間と報告事項を決めるために置きます。個人情報の取扱いに関する別の覚書の設計はNDAとは別に結ぶ個人情報の取扱いに関する覚書で扱っています。

書類によっては、個人番号（マイナンバー）が載ったものが紛れ込みます。個人番号に関する事務の委託を受けた者が再委託するには、委託した者の許諾が必要です（行政手続における特定の個人を識別するための番号の利用等に関する法律10条1項）。記帳代行で個人番号を含む書類を受け取るかどうかは、サービスの設計として先に決めておき、受け取らないなら、受け取らない旨と、紛れ込んだときの返却・削除の扱いをNDAか業務委託契約に書いておくと、現場が迷いません。

外注の入力担当者向け：向きが逆になると、条は「止める」ために使う

外注向けNDAでは、記帳代行会社が渡す側です。ここでの条は、外注先の運用を縛り、事故を起こさせないために使います。外注向けNDAの主な禁止事項は、次の四つです。

一つ目は、必要な範囲を超えた閲覧・利用の禁止です。入力に必要な範囲を超えて秘密情報を閲覧し、複製し、加工し、保存し、移転してはならず、情報を利用した営業活動、顧客の勧誘、競業行為もしてはならない、と定めています。入力担当者が、見えてしまった顧客の事情を使って、顧客に直接営業をかける事態を防ぐ条です。

二つ目は、アカウント情報の管理です。顧客のクラウド会計などにログインするためのID、パスワード、認証情報は厳重に管理し、第三者に開示・貸与・共有させず、漏えいのおそれがあれば直ちに報告させます。共有アカウントの扱いは撮影・SNS・アカウントの漏えいの考え方が参考になります。

三つ目は、端末と通信環境です。私用の端末、スマートフォン、クラウド、個人メール、外部記録媒体に保存してはならず、第三者が見られる場所や公衆無線LANで取り扱ってはならない、と定めています。在宅の入力担当者が、カフェで画面を開いて作業する場面を想定した条です。

四つ目が、生成AIへの入力の禁止です。事前の書面承諾なく、秘密情報を生成AIや機械学習のサービスに入力・送信・学習利用させてはならず、承諾があっても、個人情報、顧客情報、会計情報は入力してはならない、と二段で定めています。記帳代行では、守る情報のほとんどがこの「承諾があっても入れてはいけない情報」に当たるため、承諾の余地は実際にはごく狭くなります。強さの段の比べ方は生成AIへの入力：禁止・条件付き・許容の書き分けで扱っています。文章の整形や表記ゆれの確認のように、会計データを含まない補助作業にだけAIを許す運用にする場合は、そのための別の条か、使ってよいサービスの一覧を用意します。

再委託には、民法の定めも背景にあります。顧客と記帳代行会社の間の委託が準委任に当たる場合、受任者である記帳代行会社は、委任者である顧客の許諾を得たとき、またはやむを得ない事由があるときでなければ、復受任者（受任者に代わって委任事務を処理する者）を選任できません（民法644条の2第1項、656条）。外注の入力担当者に入力などの事務そのものを任せる場合は、この復受任者の選任に当たり得ます。ただ、条文があっても、許諾を得たかどうかが争いになり、再委託先に同等の義務を課したかどうかも確かめられません。再委託の事前承諾と、再委託先への同等義務を、書面に明記しておきます。

外注向けNDAの賠償は、直接損害から間接損害、逸失利益、信用毀損、調査・是正・顧客対応・行政対応の費用、弁護士費用まで広く取っています。相手が個人であるときは、金額の根拠を説明できる範囲かどうかを確かめます。外注の入力担当者が、実態として雇用されるスタッフである場合は、違約金や賠償額の予定を置くことが労働基準法16条に触れるおそれがあります（損害賠償・違約金・上限）。

業務範囲に関する法令適合の確認条項は、NDAでなく業務委託契約・規約に置く

顧客向けNDAの案には、記帳代行が法令に定める一定の業務に当たらないことを、顧客に確認させる条が入っていました。点検で挙がった三つ目の課題が、この条の置き場所でした。この条の中身の当否はこのページでは扱いません。NDAに置くのは適切でない、というのが事務所の整理です。

理由は二つあります。一つ目は、NDAの目的が情報の保護であり、業務の範囲や法令への適合を確かめる条とは、契約の性質が違うことです。二つ目は、NDAは顧客向けにも外注向けにも使い回す書面で、業務範囲の確認は、顧客との業務委託契約や利用規約の側にこそ必要なことです。目的の違う条が混ざると、NDAを使い回すたびに、その条の意味が合わなくなります。

実際の案件でも、この条はNDAから外し、サービスの利用規約の側に置く整理にしました。ここで押さえておきたいのは、「何を書くか」の前に、「どの書面に書くか」を決めておく、という点です。

返還・削除と存続期間：帳簿の保存と「公知となるまで」

返還・削除は、向きによって三つの設計があります。

帳簿の法定保存は、誰が義務を負うのかを分けて考えると整理できます。株式会社は、会計帳簿の閉鎖の時から10年間、会計帳簿とその事業に関する重要な資料を保存しなければならず（会社法432条2項）、この義務を負うのは、帳簿を作る会社自身です。記帳代行会社は、顧客のために事務を処理する立場で、受け取った資料は、準委任の考え方では、事務の処理に当たって受け取った物として、委任者に引き渡す関係にあります（民法646条1項、656条）。そこで契約では、預かった原本や顧客の資料の返還と、記帳代行会社の手元に残るコピーやバックアップの削除を分けて書きます。手元に残してよいものは「業務の記録に必要な範囲」に絞り、その間も秘密保持が続くことを書いておくと、顧客向けの保管継続の条が、後から広げて読まれにくくなります。返還・削除の一般的な設計は返還・廃棄・証明で扱っています。

存続期間の「公知となるまで」型には、前に挙げた曖昧さがあります。事務所は、これを「公知となった日、又は開示者が秘密性を解除した日のいずれか早い日」と書き直し、顧客向けの最終の書面では、業務の終了後1年は効力が続くこと、秘密保持は書面による解除又は公知となるまでであること、保管を続ける情報については引き続き守ることを組み合わせました。外注向けでは、個人情報、顧客情報、営業秘密に限って、期間の定めなく存続させています。一般の秘密情報と、守り続けたい情報を分ける「二段構え」の考え方は存続期間の設計に詳しく書いています。

書面が二つ並ぶときの優先関係にも注意します。個人で記帳代行・経理サポートを営む事業者の案件では、業務委託契約の秘密保持の条に、契約終了後3年有効、別途のNDAを結び、矛盾する場合はNDAが優先する、と書かれていました。NDAは、各開示日から5年存続する定めで、二つの期間が食い違います。優先関係の条は置かれているので、結果的にはNDAの5年が優先しますが、書面を読む人にとっては分かりにくい構造です。期間を揃えるか、業務委託契約の秘密保持の条をNDAに引き継ぐ形にするかを、あらかじめ決めておくと、迷いが生じません（NDAを結ぶ形）。

起きがちなこと

よくあるご質問

あわせて読みたいページ

本ページは一般的な情報提供です。個別の契約への当てはめは、取引の内容や相手の立場によって結論が変わることがあります。事務所の改訂例・ご相談の事例として紹介している内容は、アトラス行政書士法人が作成・レビューしてきた秘密保持契約書（NDA）、守秘義務契約書、業務上の守秘義務誓約書、秘密保持を内包した業務委託契約書、共同研究契約書・覚書、試験委託のNDA、PoCの覚書などを、個別の事業者や案件が特定できない形に整理したものです。条文は e-Gov法令検索で確認しています（最終確認日：2026年10月20日）。参考: e-Gov法令検索 / 個人情報保護委員会