秘密保持契約書（NDA）について、趣旨と背景を説明します。
条文
<会社名>（以下「甲」という。）とP-One合同会社（以下「乙」という。）は、本件業務遂行のため相手方より提供を受ける秘密情報の取扱いについて、以下のとおり定める。
**第1条（秘密情報の定義及び秘密保持義務）**
甲及び乙は、本件業務遂行のため相手方より提供を受けた技術上又は営業上その他業務上の情報のうち、相手方が書面により秘密である旨指定して開示した情報、又は口頭により秘密である旨を示して開示した情報で開示後30日以内に書面により内容を特定した情報（以下あわせて「秘密情報」という。）を第三者に漏洩してはならない。但し、次の各号のいずれか一つに該当する情報についてはこの限りではない。また、甲及び乙は秘密情報のうち法令の定めに基づき開示すべき情報を、当該法令の定めに基づく開示先に対し開示することができるものとする。
1. 秘密保持義務を負うことなくすでに保有している情報
2. 秘密保持義務を負うことなく第三者から正当に入手した情報
3. 相手方から提供を受けた情報によらず、独自に開発した情報
4. 本契約及び個別契約に違反することなく、かつ、受領の前後を問わず公知となった情報
**第2条（秘密情報の管理）**
秘密情報の提供を受けた当事者は、当該秘密情報の管理に必要な措置を講ずるものとする。
**第3条（目的外使用の禁止）**
甲及び乙は、秘密情報について、本契約及び個別契約の目的の範囲内でのみ使用し、本契約及び個別契約の目的の範囲を超える複製、改変が必要なときは、事前に相手方から書面による承諾を受けるものとする。
**第4条（開示範囲）**
甲及び乙は、秘密情報を、本契約及び個別契約の目的のために知る必要のある各自（本契約及び個別契約に基づき乙が再委託する場合の再委託先を含む。）の役員及び従業員に限り開示するものとし、本契約及び個別契約に基づき甲及び乙が負担する秘密保持義務と同等の義務を、秘密情報の開示を受けた当該役員及び従業員に退職後も含め課すものとする。
**第5条（秘密情報の提供及び返却等）**
甲及び乙は、相手方から提供を受けた資料等が本件業務遂行上不要となったときは、遅滞なくこれらを相手方に返還又はその指示に従った処置を行うものとする。
**第6条（個人情報）**
1. 甲及び乙は、本件業務遂行に際して相手方より取扱いを委託された個人情報を第三者に漏洩してはならない。
2. 甲及び乙は、個人情報を相手方に提示する際には、その旨を明示するものとする。また、甲及び乙は、自らの有する個人情報を相手方に提供する場合には、個人が特定できないよう加工した上で、相手方に提供するよう努めるものとする。
3. 甲及び乙は、相手方より取扱いを委託された個人情報の管理に必要な措置を講ずるものとする。
4. 甲及び乙は、相手方より取扱いを委託された個人情報について、本契約及び個別契約の目的の範囲内でのみ使用するものとする。
**第7条（AI利用制限）**
甲および乙は、相手方の秘密情報、個人情報または機密性の高い情報を、事前の承諾なくAIサービスに入力してはならない。
**第8条（存続期間）**
本契約の規定は、本契約終了後、3年間存続する。趣旨と背景
業務において機密情報・個人情報を取り扱うことは珍しくありません。そこでその取扱いを定めたものです。
大半は一般的な内容ですが、ご説明が必要と思われる箇所について補足します。
第4条（開示範囲）
甲及び乙は、秘密情報を、本契約及び個別契約の目的のために知る必要のある各自（本契約及び個別契約に基づき乙が再委託する場合の再委託先を含む。）の役員及び従業員に限り開示するものとし、本契約及び個別契約に基づき甲及び乙が負担する秘密保持義務と同等の義務を、秘密情報の開示を受けた当該役員及び従業員に退職後も含め課すものとする。
「本契約及び個別契約に基づき乙が再委託する場合の再委託先を含む」とありますが、弊社がお客様の情報を開示したい場合は基本契約書に基づいたお客様の承認が必須であり、黙って外に出せるわけではありません。
一方でお客様が弊社から提出された成果物（レポートやソースコードなど）の取り扱いは、基本契約書の「成果物等の著作権及び利用許諾」に準ずることになります。通常の利用範囲内でお客様のビジネスを阻害することはないはずですが、気になる点がございましたら別途ご相談ください。
第6条（個人情報）
- 甲及び乙は、個人情報を相手方に提示する際には、その旨を明示するものとする。また、甲及び乙は、自らの有する個人情報を相手方に提供する場合には、個人が特定できないよう加工した上で、相手方に提供するよう努めるものとする。
マスキングは努力義務までとしています。無制限に義務が拡大して業務を阻害しないためです。
弊社は個人情報取り扱い自体を目的とする業務を行っておりませんが、作業に付随して個人情報に触れることが起こりえます。この際、マスキングを必須としていると、例えば本番データベースの調査をする前にユーザーテーブルの住所カラムをすべてマスキングしなければならないと読めかねません。これは現実的でないため、マスキングは努力義務までとしています。
ただ、テストデータをメールで送るような場合には、ダミーデータまたはマスキングを施したデータをお送りいただけると有り難く存じます。
第7条（AI利用制限）
甲および乙は、相手方の秘密情報、個人情報または機密性の高い情報を、事前の承諾なくAIサービスに入力してはならない。
AIの利用を行うにあたっては、秘密情報（個人情報やAPIキーはもちろん、非公開のソースコードや内部資料なども含みます）を相手方の承認なしに使わないこととしています。もっとも昨今の業界事情をふまえると、AIを一切使わないことはもったいないことであり、業務に必要な範囲で承認依頼を出すはずです。
なお利用するAIサービスは、入力した情報が学習に利用されず、十分なセキュリティを備えたサービス（Amazon Bedrockなど）に限ります。ただしそれをNDAで定めると業務に支障が出やすくなるため、AIの利用許可依頼を出す際に、どのようなサービスを使おうとしているかをご説明するワークフローにしています。