ClaudeのDPAとは｜プラン別の結び方と5つの確認点
「取引先からClaudeのDPAを出してほしいと言われた」「ClaudeのDPAは、どのプランで結べるのか」——社内でClaudeを使い始めて、法務や取引先から書類を求められたとき、多くの担当者がこの問いで手が止まります。
結論から言うと、ClaudeのDPA（データ処理補遺）は、Team・Enterprise・Claude APIなどの商用プランでは商用規約に最初から組み込まれていて、別に署名する手続きはありません。反対に、Free・Pro・Max・Ultraの個人向けプランにはDPAが付きません。どのプランで契約しているかで、DPAがあるかどうかが決まります。
株式会社Fyveは、中小企業のAI導入を支援する中で、お客様と一緒に生成AIの社内ルールを作り、使ってよいサービスを契約条件から選んでいます。この記事では、Anthropicの公式の規約とDPAの本文を読んだうえで、プラン別の結び方と、中身で確かめるべき点を整理します。
ClaudeのDPAの早見表｜プラン別に付くかどうか
先に全体を表にまとめます。2026年11月7日時点で、Anthropicの公式ページ（商用規約・消費者向け規約・プライバシーセンター・Claude Codeのデータ利用のページ）で確認した内容です。
プラン・使い方 | 適用される規約 | DPA | 入力の学習 |
|---|---|---|---|
Free・Pro・Max・Ultra（個人向け） | 消費者向け規約（Consumer Terms） | 付かない | 設定がオンなら学習に使われる |
Team・Enterprise（Claude for Work） | 商用規約（Commercial Terms） | 自動で組み込み | 使われない |
Claude API（Console・APIキー） | 商用規約 | 自動で組み込み | 使われない |
Amazon Bedrock・Google Cloud・Microsoft Foundry経由 | 各クラウドの規約 | 各クラウド側の契約で確認 | 各クラウドの規約で確認 |
表の「入力の学習」は、商用規約の「Anthropic may not train models on Customer Content from Services（Anthropicはサービスで受け取った顧客のコンテンツでモデルを学習してはならない）」という一文と、Claude Codeのデータ利用のページの記述にもとづきます。ただし商用プランでも、組織の管理者が自分から開発パートナープログラムに参加した場合は例外になります。
この表でいちばん大事なのは1行目です。会社の業務でClaudeを使っていても、社員が個人で契約したProやMaxでログインしているなら、そのやりとりにはDPAがありません。取引先に「DPAがあります」と答えられるのは、会社としてTeam・Enterprise・APIのどれかで契約している範囲だけです。
DPA（データ処理補遺）とは｜Claudeを使う会社にとっての意味
DPAは「Data Processing Addendum」または「Data Processing Agreement」の略で、日本語では「データ処理補遺」「データ処理契約」と訳されます。サービスの提供者が、利用企業から預かった個人データをどう扱うかを約束する契約です。
ClaudeのDPAでは、役割が次のように決まっています。
- 利用企業（お客様）が管理者（controller）：どの個人データを、何のために扱うかを決める側
- Anthropicが処理者（processor）：お客様の指示の範囲で、サービスの提供と維持のためだけにデータを扱う側
DPAの本文には、Anthropicはお客様の個人データを売ったり共有したりしないこと、お客様の文書による指示に従って処理することが書かれています。もともとはEUの一般データ保護規則（GDPR）が求める契約の形ですが、日本の会社でも求められる場面が増えています。
日本の中小企業でDPAを聞かれる3つの場面
- 取引先との秘密保持契約：「預かった情報を、学習に使われないサービスでしか扱わない」といった条件が入っていて、その根拠を求められる
- 海外の取引先・親会社：GDPRの対象になる個人データを扱うため、提供者とのDPAの有無を調達の書類で聞かれる
- 社内の審査：情報システムや法務の担当者が、個人情報を入力してよいサービスかどうかを決めるために、契約の根拠を確かめる
どの場面でも、聞かれているのは「Claudeは安全か」という一般論ではありません。「あなたの会社が使っている契約に、データの扱いの約束が入っているか」です。だからプランの確認が先になります。
ClaudeのDPAの結び方｜署名は要らない
AnthropicのプライバシーセンターのFAQ「How do I view and sign your Data Processing Addendum (DPA)?」（2026年3月16日更新）には、DPAは標準契約条項（SCC）を含めて商用規約に自動で組み込まれている、と書かれています。商用規約にも「サービスに送られたデータは、Anthropicのデータ処理補遺に従って処理される」という条項があります。
つまり、手続きは次の順番になります。
- Team・Enterprise・APIのどれかで、会社として契約する（商用規約に同意する）
- 同意した時点で、DPAもその契約の一部になる
- DPAの本文は公開ページ（anthropic.com/legal/data-processing-addendum）で読める
別の書面に署名して送り返す工程は、公式のFAQには書かれていません。そのため実務では、契約した日・プラン名・その時点のDPAの版を社内に控えておくのが現実的です。DPAの本文は2025年2月24日発効、商用規約は2025年6月17日発効の版が、2026年11月7日時点で公開されています。規約は改訂されることがあるので、控えには「確認した日」を必ず添えます。
取引先の調達部門から「署名済みの書面」を求められた場合は、公開ページの写しで足りるかを先方に確かめ、足りなければAnthropicの営業窓口に相談します。公式のFAQにはその手順が書かれていないため、この記事では窓口の具体的な受け付け方までは断定しません。
Bedrock・Google Cloud・Microsoft Foundry経由の場合
同じFAQには、他社のプラットフォーム経由でClaudeを使う場合は、そのプラットフォームの規約が適用される、とあります。Amazon BedrockでClaudeを呼んでいるなら、確認する相手はAWSとの契約です。会社がすでにAWSやGoogle Cloud、Microsoftと結んでいるデータ処理の契約がそのまま効くことが多く、取引先への説明もそちらの書類で行います。
ClaudeのDPAの中身｜数字で見る7つの条項
DPAがあるとわかったら、次は中身です。2025年2月24日発効の本文から、取引先や社内の審査で聞かれやすい条項を抜き出しました。
項目 | DPAに書かれていること |
|---|---|
対象 | お客様と、お客様が50%を超えて支配する（または支配される・共通の支配下にある）関連会社が送った個人データ |
処理の目的 | サービスの提供と維持のためだけ。お客様の文書による指示に従う |
再委託先（サブプロセッサー） | 一覧はAnthropicの公開ページ。新しい再委託先の前に通知があり、通知から15日以内なら、プライバシーやセキュリティ上の合理的な理由で異議を出せる |
漏えい時の通知 | 漏えいを知ってから48時間以内に書面で通知 |
契約終了後のデータ | 終了・満了から30日以内に削除（法律上の保存義務などの例外あり）。求めれば返却か自分での書き出しが可能 |
監査 | 外部の監査人による年1回の監査。SOC 2などの報告書を求めに応じて提供。お客様自身の監査は、内容を合意したうえで自費、原則12か月に1回まで |
国外への移転 | EUの標準契約条項（モジュール2と3）、英国の補遺、スイスの補遺を組み込み |
このうち、日本の会社が社内の審査で使いやすいのは「48時間以内の通知」「契約終了後30日以内の削除」「再委託先への15日の異議」の3つです。数字があるので、社内のルールや取引先の条件と並べて、足りるかどうかを判断できます。
たとえば取引先の秘密保持契約に「委託先で漏えいがあった場合、24時間以内に報告する」と書かれているなら、Anthropicからの通知が最大48時間後になりうる以上、自社の報告の段取りを別に考える必要があります。DPAを読む目的は、こうした食い違いを契約の前に見つけることです。
Claude CodeとDPA｜ログインの仕方で変わる
Claude Codeは、どのアカウントでログインしているかで、適用される規約が変わります。Claude Codeのデータ利用のページ（2026年11月7日に確認）の記述を整理すると、次のとおりです。
ログインの仕方 | 規約 | サーバー側の保存期間 |
|---|---|---|
Pro・Max・Ultraのアカウント | 消費者向け規約（DPAなし） | 学習を許可している場合5年、許可していない場合30日 |
Team・Enterpriseのアカウント、APIキー | 商用規約（DPAあり） | 標準で30日 |
Enterpriseで、データを残さない設定（ZDR）を個別に有効化 | 商用規約＋個別の取り決め | サーバー側に残さない |
開発の現場では、ここが抜けやすいところです。会社がTeamを契約していても、エンジニアが自宅で使っている個人のMaxのままClaude Codeにログインしていれば、そのやりとりは消費者向け規約の側に入ります。DPAで守られているのは、会社の契約でログインした分だけです。
DPAの外にある3つのデータ
商用プランでログインしていても、次のデータはDPAとは別の決まりで扱われます。いずれもClaude Codeのデータ利用のページに書かれている内容です。
- 手元のパソコンの会話記録：Claude Codeは、会話を再開できるように、手元のパソコンの中に会話記録を平文で既定30日間保存します。期間は設定（cleanupPeriodDays）で変えられます。これは自分の端末の管理の問題で、DPAの対象ではありません
- /feedbackで送った会話：/feedback・/bug・/shareで送った会話記録は5年間保存されます。不具合の報告に機密のコードを含めないよう、社内で決めておく必要があります
- セッションの評価のあとに出る質問：「会話記録を見てもよいか」という追加の質問に「はい」と答えると、会話記録がアップロードされ、最大6か月保存されます
私たちがClaude Codeを日々の業務で使うときも、DPAの有無と同じくらい、この3つの扱いを先に決めています。契約で守れる範囲と、使う人が守る範囲を分けておかないと、「DPAがあるから大丈夫」という説明が実態とずれていきます。
ClaudeのDPAが答えないこと
DPAは強い約束ですが、何でも書いてあるわけではありません。取引先に説明する前に、DPAの外にある論点を押さえておきます。
データの保存場所
DPAの本文には、データをどの国で保存・処理するかは書かれていません。国外への移転は標準契約条項で手当てされ、移転の影響評価に必要な情報をAnthropicが提供する、という形です。「日本国内に保存してほしい」という条件がある場合は、DPAとは別に、クラウド経由で使う地域の指定などを検討します。
学習に使わないこと
「入力を学習に使わない」という約束は、DPAではなく商用規約の側にあります。取引先に説明するときは、DPAと商用規約の2つを合わせて示すと話が通りやすくなります。
データを残さない設定（ZDR）
DPAがあっても、サーバー側には標準で30日間データが残ります。保存そのものをなくしたい場合は、データを残さない設定（ZDR：Zero Data Retention）が別に必要です。Claude Codeのデータ利用のページによると、ZDRはEnterpriseの標準の契約には含まれず、条件を確かめたうえで組織ごとに有効化されます。ZDRの確かめ方は、別の記事で詳しく書いています。
日本の個人情報保護法での扱い
DPAはGDPRの形に合わせた契約なので、日本の個人情報保護法で問題がないかは、別に判断が要ります。日本ディープラーニング協会（JDLA）が2026年2月3日に公開した「法と技術の検討委員会報告書Ⅱ」は、生成AIに本人の同意なく個人データを入力することは、条件を満たせば適法に行いうる、と整理しています。条件として挙げられているのは、ビジネス向けのサービスであること、提供者のデータ処理の契約（DPA）が適用されていること、入力が学習に使われないこと、利用目的の範囲内であること、委託先の監督と、外国にデータが移るときの基準を満たすことです。報告書は「可能性が高い」という書き方で、断定はしていません。
また、個人情報保護委員会は2023年6月2日の注意喚起で、生成AIに個人情報を入力するときは利用目的の範囲内かを確かめること、入力した個人データが応答の出力以外に使われると法令違反のおそれがあることを示しています。DPAは、この条件の一部を契約で満たすための材料であって、それだけで判断が終わるわけではありません。個人データを扱う運用を決めるときは、顧問の弁護士などに確認してもらってください。
私たちの確かめ方｜DPAを社内ルールに落とす
私たちは、お客様と生成AIの利用ガイドラインを作るとき、JDLAの報告書の条件を2つに分けています。
- 会社が契約とサービスの選び方で満たすもの：ビジネス向けのプランであること、DPAがあること、学習に使われないこと。これは「使ってよいサービスの一覧（別表）」の審査の側に置く
- 使う人がその都度守るもの：利用目的の範囲内で入力すること、必要な項目だけを入力すること。これは社員向けの条文の側に置く
この分け方にすると、ClaudeのDPAの役割がはっきりします。DPAは、社員一人ひとりの注意ではなく、会社がサービスを選ぶ段階で確かめるものです。
使ってよいサービスの一覧には、サービス名とプランに加えて、「DPAの有無」「学習に使うかどうか」「確かめた日」の3つを書く欄を設けています。規約は改訂されるので、確かめた日が無い一覧は、半年もすれば根拠になりません。Claudeであれば、たとえば次のように書きます。
サービス・プラン | DPA | 学習 | 個人データの入力 | 確かめた日 |
|---|---|---|---|---|
Claude Team（会社の契約） | あり（商用規約に組み込み） | 使われない | 利用目的の範囲内で可 | 2026-11-07 |
Claude Pro・Max（個人の契約） | なし | 設定による | 不可（業務に使わない） | 2026-11-07 |
取引先の秘密保持契約に「学習に使われない契約のサービスに限る」という条件がある場合、個人向けのプランは最初から外します。社員の個人アカウントで仕事をしないことも、ルールの中に書いておきます。
生成AIの社内ルール全体の作り方は、こちらにまとめています。
生成AI社内ガイドラインの作り方｜実務で使えるルール設計の考え方
ClaudeのDPAを確かめる5つの確認点
社内の稟議や取引先への回答の前に、次の5つを順に確かめます。
- 会社の契約か：Team・Enterprise・APIのどれかで、会社名義で契約しているか。個人のPro・Max・Ultraが混ざっていないか
- どの経路で使っているか：Anthropicと直接か、Bedrock・Google Cloud・Microsoft Foundry経由か。経由なら確認する契約はクラウド側になる
- DPAの版と日付：公開されているDPAの発効日（2026年11月7日時点では2025年2月24日）と、確認した日を控えたか
- 数字が自社の条件に足りるか：漏えい通知48時間・終了後30日の削除・再委託先への異議15日が、取引先の条件や社内のルールと食い違っていないか
- DPAの外を決めたか：手元の会話記録・/feedback・保存期間30日（必要ならZDR）・日本の個人情報保護法での扱いを、別に決めたか
Claude CodeのTeamとEnterpriseの違いや、法人で入れるときの判断の基準は、こちらで比較しています。
よくある質問
ClaudeのDPAは、Teamプランでも結べますか？
結べます。というより、Teamを契約して商用規約に同意した時点で、DPAは自動でその契約の一部になります。別の署名は要りません。Anthropicのプライバシーセンターは、DPAが商用規約に組み込まれていて、Claude for Work（Team・Enterprise）とClaude APIのような商用の製品に適用される、と説明しています。
Claude MaxやUltraにDPAはありますか？
ありません。Max・Ultraは個人向けの消費者向け規約で提供されていて、DPAは付きません。料金が高いプランでも、規約の種類は個人向けのままです。会社の業務に使う場合は、Team以上かAPIの契約に切り替えます。
Claude CodeのDPAは別にありますか？
Claude Code専用のDPAはありません。Team・EnterpriseのアカウントかAPIキーでログインしていれば、商用規約とそのDPAが適用されます。Pro・Max・Ultraのアカウントでログインしている場合は消費者向け規約になり、DPAはありません。
DPAがあれば、サーバーにデータは残りませんか？
残ります。商用プランでも標準では30日間保存されます。DPAが約束するのは扱い方（目的の限定・漏えい時の通知・終了後の削除など）で、保存しないことではありません。保存そのものをなくすにはZDRが別に必要です。
再委託先の一覧はどこで見られますか？
DPAでは、再委託先の一覧はAnthropicの公開ページ（anthropic.com/subprocessors）に載せると定めています。2026年11月7日時点では、このアドレスはAnthropicのトラストセンター（trust.anthropic.com）へ転送されます。新しい再委託先が加わる前には通知があり、通知から15日以内なら異議を出せます。
まとめ｜ClaudeのDPAはプランで決まる
- ClaudeのDPAは、Team・Enterprise・APIの商用規約に自動で組み込まれていて、別の署名は要らない
- Free・Pro・Max・Ultraの個人向けプランにはDPAが付かない。会社の業務で使うなら、会社の契約でログインしているかを先に確かめる
- DPAの中身で使いやすい数字は、漏えい通知48時間・終了後30日の削除・再委託先への異議15日
- 保存場所・ZDR・手元の会話記録・日本の個人情報保護法での扱いは、DPAの外で別に決める
- 使ってよいサービスの一覧に「DPAの有無」と「確かめた日」を書き、規約の改訂に合わせて見直す
株式会社Fyveは、中小企業のAI導入で、こうした契約条件の確認から社内ルールづくりまでを一緒に進めています。規約やDPAは改訂されることがあるので、契約の前には必ず最新の公式ページで確かめてください。
Claudeのこの5つの設定、今すぐ見直した方がいい
共有・学習・入力・権限・委任。事故が起きるのはこの5つだけ（全28ページ）
2026年7月、Claudeの共有チャットがGoogle検索から読める状態になっていました。原因は設定そのものではなく、自分が過去に共有したものを覚えていないことでした。共有リンクの棚卸しから、学習をオフにしても残る例外条項、Claude Codeの権限モードまで、今日30分で確認できる形にまとめています。
- 見落としやすい共有リストは3つある（3つ目は画面の下）
- 学習をオフにしても残る、公式の例外条項
- 権限モード6つの違いと、Shift+Tabでの切り替え方
- 私が実際に禁止しているコマンド23行を全文公開
メールアドレス登録で他にも様々な資料を閲覧できます
＋10PDF 19点・合計499ページ ＋ すぐ使えるzip素材 3点
どれも登録後の受け取りページから、まとめてダウンロードできます。
毎週配信の無料ニュースレター「AIネイティブ超研究」の購読特典です。メール登録後すぐ、受け取りページのご案内が届きます。そこにはこの資料に加えて、過去の特典もすべてまとめて置いてあります。あわせて、AI活用に関するお知らせやお役に立てそうなご案内をお送りすることがあります。解除はいつでも1クリック。
「Claude を自分で使いこなしたい」「自社の業務に組み込みたい」
── そんな方は、まず初回無料相談でお話ししてみませんか。
御社の業務に合わせたClaude導入支援
「AIツールを導入したが、現場で使われない」を終わらせる。
業務課題のヒアリングから設計、ハンズオン実践、運用定着まで一貫して支援します。