Legal compliance

法務コンプライアンス(利用規約・プライバシー・ライセンス)

目的

個人開発・小規模サービスが最低限押さえるべき法務要件を体系的に整理し、見落としによるリリース後のトラブルを防ぐ。

免責: 本スキルは一般的な留意点の整理であり法的助言ではない。最終判断は専門家への相談と公式情報の確認で行うこと。

使うタイミング

• 新規サービスのリリース前最終チェック
• 有料機能・課金モデルの追加時
• アナリティクス・広告SDK・外部API連携の追加時
• OSSとして公開する、または他者のOSSを利用するとき
• Apple/Googleストアへの申請前
• 海外展開を検討し始めたとき

進め方

1. サービス類型の確認: 無料/有料、国内のみ/海外あり、個人情報取得の有無、アプリストア経由かWebか、未成年利用の可能性を洗い出す
2. 必要な文書の特定: 類型に応じて「利用規約」「プライバシーポリシー」「特定商取引法に基づく表記」「Cookie同意バナー」の要否を判断する
3. テンプレートの取得と修正: 政府・業界団体・弁護士監修の雛形を土台にする。名前だけ変えるのではなく、自サービスの実態(取得データ・課金方式・退会フロー)に合わせて書き直す
4. 依存ライブラリのライセンス棚卸し: license-checker 等でライセンス一覧を出力し、GPL系・LGPL系・AGPL系が含まれないか確認する
5. チェックリストの通し確認: 本スキルの成果物テンプレートを使い、各項目の状態を記録する
6. 専門家レビューの要否判断: 有料・決済・医療・金融・子供向けなど規制が重なる場合は弁護士への相談を検討する
7. 公開・実装: 文書をサービス上に掲載し、退会・削除導線・同意フローが実装されていることを確認する

領域別の留意点

利用規約

必須条項: サービス内容の定義 / 禁止事項 / 免責・責任制限 / アカウント停止・削除の条件と手続き / 規約変更手続き(通知方法・効力発生時期) / 準拠法・管轄裁判所(日本法・東京地裁が一般的)。

• 免責条項を入れても完全な免責は認められないケースがある(消費者契約法10条)
• B2C(一般ユーザー向け)は消費者契約法の制約を受ける
• 規約を変更したら変更日・変更箇所・施行日を明示し、重要変更は事前にメール等で通知する

プライバシーポリシー

取得情報を漏れなく列挙する: 入力情報(氏名・メールなど) / Cookie・ローカルストレージ / アナリティクスSDK(GA4等)が収集するデータ / 広告SDK / 外部ログイン(OAuth)で取得するプロフィール情報。

• 個人情報保護法上の「個人情報取扱事業者」は保有個人データの利用目的・第三者提供・委託先の開示義務がある
• 削除・訂正依頼の窓口(メールアドレス)を明記する
• 保存期間の目安を書く(「退会後○日以内に削除」など)

特定商取引法に基づく表記

日本で有料販売を行う場合に必須。記載事項: 事業者名 / 住所 / 電話番号または電子メール / 販売価格・送料 / 支払方法・時期 / 役務提供時期 / キャンセル・返金ポリシー。

• 個人が住所を公開したくない場合、「請求があれば遅滞なく開示する」方式が認められているケースがある(消費者庁Q&A参照)。ただし電話番号の記載省略は一定要件を満たす必要あり
• サブスク型は「自動継続課金」の明示と解約方法の分かりやすい導線が必要

資金決済法(前払式支払手段)

アプリ内ポイント・チャージ残高など「前払い」で購入しサービス内で使う仕組みは前払式支払手段に該当し得る。基準額(発行額が1,000万円超)を超えると届出または登録が必要。個人開発段階では安易にポイント制を設計しない。代替案: 都度決済 / Stripe等の外部決済に課金管理を委ねる。

海外ユーザー対応

GDPR(EU)・CCPA(カリフォルニア)は国外事業者にも適用され得る。最低限の対応目安:

• 明らかに日本国内ユーザー限定(日本語のみ・国内決済のみ)なら当面は国内法優先で可
• EUユーザーが利用する可能性があるならCookie同意バナーと「処理の法的根拠」の明示が必要
• データを国外サーバー(AWSのリージョン等)に置く場合はデータ移転の扱いをポリシーに記載する

OSSライセンス

ライセンス種別	扱いやすさ	注意点
MIT / ISC / BSD	高	著作権表示の同梱だけでOK
Apache-2.0	高	特許条項あり。NOTICEファイルの同梱が必要な場合あり
LGPL-2.1/3.0	中	動的リンクなら制約が緩いが、静的バンドル(webpack等)は要確認
GPL-2.0/3.0	低	コピーレフト。組み込むと自コードも同ライセンス要求が生じるケースあり
AGPL-3.0	低	Webサービスとして提供するだけでもソース開示義務が生じ得る

• npx license-checker --summary や pip-licenses でライセンス一覧を定期確認する
• 自分のコードのライセンス: 公開OSSにするならMITが無難。プロプライエタリにするなら明示的に著作権表示のみ

アプリストア

• Apple App Store: プライバシーラベル(収集するデータの種類・用途)の正確な申告が必須。外部課金への誘導(Webへのリンクなど)は審査ガイドライン3.1.1違反になるケースあり
• Google Play: データセーフティセクションの記入。ターゲット層に子供が含まれる場合はFAMILIESポリシーが適用

退会・データ削除

App Store/Google Playに掲載するアプリはアカウント削除機能の実装が必須(2022年以降の方針)。退会フローでデータを即時削除するか保持期間を明示する。削除依頼への対応窓口もポリシーに記載する。

成果物テンプレート

# リリース前法務チェックリスト

| 項目 | 必要性 | 状態 | メモ |
|---|---|---|---|
| 利用規約の公開 | 必須 | [ ] | URLを記入 |
| プライバシーポリシーの公開 | 必須 | [ ] | URLを記入 |
| 特定商取引法に基づく表記 | 有料販売時必須 | [ ] | — |
| 取得情報の列挙漏れなし | 必須 | [ ] | SDK追加時に再確認 |
| 削除・退会導線の実装 | 必須(アプリ) | [ ] | — |
| 依存ライセンス一覧の確認 | 必須 | [ ] | license-checker出力を保存 |
| GPL/AGPL系ライブラリなし or 対応済み | 必須 | [ ] | — |
| 自コードのライセンス表示 | OSSの場合必須 | [ ] | — |
| 資金決済法 非該当の確認 | ポイント制なら要確認 | [ ] | — |
| Apple プライバシーラベル記入 | iOS配信時必須 | [ ] | — |
| Google データセーフティ記入 | Android配信時必須 | [ ] | — |
| Cookie同意バナー | EU向けなら必須 | [ ] | — |
| 年齢確認/未成年対応 | サービス類型次第 | [ ] | — |
| 規約の最終更新日記載 | 必須 | [ ] | — |

チェックリスト

• サービス類型(無料/有料/国内外)を明文化した
• 利用規約・プライバシーポリシーがサービス実態と一致している
• 取得する全データ(SDKが自動収集するものを含む)をポリシーに列挙した
• 有料販売があれば特定商取引法表記を掲載した
• 依存ライブラリのライセンスを一覧化し、GPL/AGPL系の対処方針を決めた
• アカウント削除・データ削除の導線が実装されている
• 規約変更手続きの条項と通知方法が決まっている
• 専門家相談の要否を判断した

アンチパターン

• 他サービスの規約を名前だけ変えてコピペ: 実態と乖離した条項は無効になるリスクがある。必ず自サービスの仕様に合わせて書き直す
• ポリシー記載なしでアナリティクス・広告SDKを導入: SDKが自動収集するデータも個人情報保護法・GDPRの対象になり得る
• 依存ライセンスの未確認: AGPL製ライブラリをWebサービスに組み込んでソース非公開のままリリースするとライセンス違反
• 特定商取引法表記なしで有料販売: 行政指導・消費者トラブルの原因。サブスクなら解約方法の明示も必須
• 個人開発でポイント制を安易に導入: 前払式支払手段として資金決済法の規制対象になり得る
• 規約を作って一度も更新しない: 機能追加・SDK変更のたびにポリシーを見直す習慣を持つ

モデル委譲ガイド

共通原則は [[orchestration]] を参照。

役割	担当	具体的なタスク
司令塔(メインモデル)	リスク評価・判断	サービス類型の確定、専門家相談の要否判断、チェックリストの最終確認
Opus相当	高品質レビュー	ドラフト済み利用規約・プライバシーポリシーの条項ごとのレビュー、矛盾・抜け漏れ指摘
Sonnet相当	文書作成・棚卸し	利用規約・プライバシーポリシーのドラフト作成、依存ライセンス一覧の整理と問題点抽出
Haiku相当	情報収集	個人情報保護委員会・消費者庁・App Store審査ガイドラインの最新情報収集、SDKのプライバシー仕様の確認

関連スキル

• [[requirements-definition]] — サービス仕様の確定時に法務要件を盛り込む
• [[mvp-development]] — MVPリリース前の法務最小対応の判断
• [[monetization]] — 課金モデル設計時の資金決済法・特定商取引法の検討
• [[security]] — 個人情報の安全管理措置(暗号化・アクセス制御)
• [[api-design]] — 外部API連携時のデータ取り扱いとポリシー記載
• [[cicd-deployment]] — リリースパイプラインへの法務チェック組み込み
• [[documentation]] — 利用規約・ポリシー文書の管理とバージョン履歴