不動産SaaS選定のチェックポイント｜契約前に確かめるデータの書き出し・権限・個人情報の委託先の監督・解約時のデータ

不動産会社が業務システム（SaaS）を選ぶときは、画面の使いやすさより先に、データを書き出せるか、権限を分けられるか、個人データを誰が取り扱うのか、解約したときにデータがどうなるかを契約前に確かめることが大切です。これらは契約した後では変えにくく、入居者やオーナーの個人情報について責任を負うのは、システムを使う不動産会社の側です。この記事では、IPA（情報処理推進機構）の手引きと個人情報保護委員会の資料に沿って、確認する点と確かめ方を整理します。製品の比較や料金は扱いません。

契約前に確かめる理由

業務システムは、入れた直後よりも、使い始めて1年、2年たってからの方が替えにくくなります。物件、入居者、契約、入金の履歴がそのシステムにたまり、社員の手順もそれに合わせて固まるからです。そのため、デモ画面の印象で決めるのではなく、「やめるときに困らないか」「事故が起きたときに誰が何をするか」を先に確かめておく必要があります。

もう1つの理由は個人情報です。入居者の氏名、連絡先、勤務先、緊急連絡先などをクラウドに置く場合、そのサービスの事業者が個人データを取り扱うことになっていれば、個人情報保護法25条の委託先の監督の対象になります。監督の義務を負うのは、システムを使う不動産会社です。

システム選びはDX全体の一部です。進める順番は不動産DXロードマップにまとめています。

選ぶ前に社内で決めること

IPAの「中小企業のためのクラウドサービス安全利用の手引き」（2026年6月）のチェック項目は、最初に「どの業務をクラウドサービスで行い、どの情報を扱うかを検討し、業務の切り分けや運用ルールを明確にしましたか？」と問いかけています。また、扱う情報が漏えい、改ざん、消失したり、サービスが停止したりした場合の影響を確認したかも問うています。

不動産会社であれば、次の3点を紙1枚に書き出してから比較に入ります。

• 対象にする業務（例：入居者の管理、入金の記録、オーナーへの報告）
• 入れる情報（例：入居者の氏名・連絡先・緊急連絡先、口座の情報、契約書のPDF）
• 止まったときの影響（例：月末の入金確認ができない、更新の案内が遅れる）

同じ手引きは、クラウドサービスの特性を理解した管理担当者を社内に確保しているかも確認項目にしています。小さな会社でも、システムの設定と権限を見る担当を1人決めておきます。

データの書き出し

データを書き出せるかどうかは、後でシステムを替えるときや、税務調査、オーナーからの問い合わせに対応するときに効いてきます。

何を書き出せるか

次のデータを、利用者が自分の操作で書き出せるかを確かめます。サポートに依頼しないと出せない場合は、その方法と期間、費用の有無を確認します。

• 物件と部屋の情報
• 入居者と契約の情報（契約期間、賃料、更新日など）
• 入金の履歴と未入金の記録
• オーナーへの報告と送金の明細
• アップロードした書類（契約書、重要事項説明書、写真など）
• 操作の履歴（誰がいつ何を変えたか）

書き出す形式

表形式のデータは、表計算ソフトで開ける形式で出せるか、各列が何を意味するかの説明があるかを確かめます。書類は元のファイルのまま、物件や入居者と対応づけて取り出せるかを確認します。

保存義務との関係

システムの中のデータには、法令で保存期間が決まっているものがあります。宅建業法施行規則18条3項は、宅建業法49条の帳簿を各事業年度の末日で閉鎖し、閉鎖後5年間（自ら売主となる新築住宅に係るものは10年間）保存するよう定めています。電子契約で交わした契約書や、メールで受け取った請求書は電子帳簿保存法7条の電子取引に当たり、国税庁は「日付・金額・取引先」で検索できることなどを保存の要件として示しています。システムを使っている間だけでなく、やめた後もこれらの要件を満たして残せるかを考えておく必要があります。詳しくは不動産の電子帳簿保存法対応をご覧ください。

権限とアカウント

個人情報保護法23条は、個人データの漏えい、滅失、毀損の防止その他の安全管理のために必要かつ適切な措置を講じるよう定めています。システムの権限とアカウントの管理は、その中心になる部分です。

IPAの手引きは、クラウドサービスを適切な利用者のみが利用可能となるように管理できているか、パスワードなどの認証機能について適切に設定・管理できているかを確認項目にしています。不動産会社では、次の点を確かめます。

• 役割ごとに見られる範囲と操作できる範囲を分けられるか（例：口座の情報は経理担当だけ）
• 物件やオーナーごとに見られる範囲を絞れるか
• パスワードに加えて、もう1つの確認（多要素認証）を設定できるか
• 退職者のアカウントをすぐに止められるか、止めたことが記録に残るか
• 誰がいつ何を見たり変えたりしたかの履歴が残り、利用者が確認できるか
• 協力業者やオーナーに一部だけ見せる場合、その範囲を限れるか

個人情報の委託先としての確認

事業者が個人データを取り扱うかどうか

個人情報保護委員会のQ&A（7-53）は、クラウドサービスを使う場合について、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービス提供事業者において個人データを取り扱うこととなっているかどうかが判断の基準になるとしています。契約条項で事業者が個人データを取り扱わない旨が定められ、適切にアクセス制御を行っている場合などは、提供にも委託にも当たらないとされています。反対に、事業者が個人データを取り扱う場合は、委託として25条の監督が必要になります。

個人情報保護委員会は令和6年3月25日の注意喚起で、クラウドサービス提供事業者が保守用のIDを持ち利用者の個人データにアクセスできる状態にあったことや、利用規約で特定の場合に利用者の個人データを使用等できることとなっていたことを挙げ、その事業者が個人データの取扱いの委託を受けていると判断した事例を示しています。規約の「保守」「サービス改善」「統計」などの条項は、読み飛ばさずに確認します。

委託先の監督で確かめること

個人情報保護委員会の資料「委託先を監督してますか？」は、適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握の3点を示しています。契約では、双方が同意した安全管理措置の内容と、委託元が委託先の取扱状況を把握できる内容を盛り込むこと、定期的な監査等で実施状況を把握することが挙げられています。委託先がさらに別の事業者に再委託する場合も、同様の監督が必要とされています。

業務システムの契約前に、次の点を規約、契約書、事業者への質問で確かめます。

• 事業者の社員が、保守などの目的で個人データを見ることがあるか。あるならどの条件で、誰が承認するか
• サーバーや保守を別の会社に任せているか（再委託先）。その会社に対する監督をどうしているか
• データがどの国や地域のサーバーに保存されているか（IPAの手引きの確認項目）
• 安全管理措置の内容を、書面や公開資料で確認できるか。定期的な報告を受けられるか
• 漏えいなどが起きたときに、いつ、どの方法で連絡が来るか

最後の点について、個人情報保護法26条1項は、個人の権利利益を害するおそれが大きい漏えい等が生じたときに個人情報保護委員会への報告を求め、ただし書で、委託を受けた事業者が委託元に通知したときはこの限りでないとしています。委託元が報告を判断するには、委託先から速やかに連絡が来る取り決めが欠かせません。

解約時のデータ

IPAの手引きは、サービスの利用が終了したときのデータの取扱い条件について確認したかを確認項目にしています。解約時の扱いは、契約の段階でしか交渉の余地がない部分です。

• 解約の何日前までに申し出る必要があるか。自動更新の有無
• 解約後、どれだけの期間データを書き出せるか
• 事業者の側でデータをいつ消すか。消したことを書面などで確認できるか
• バックアップに残ったデータがいつ消えるか

個人情報保護法22条は、個人データを利用する必要がなくなったときは遅滞なく消去するよう努めることを求めています。一方で、帳簿や電子取引のデータには前述の保存義務があります。解約の前に、保存が必要なデータを自社で書き出して保管し、そのうえで事業者側の消去を確認する、という順番で進めます。

障害とサポート

IPAの手引きは、サービス停止やデータの消失・改ざんなどに備えて重要情報を手元に確保しているか、使い方が分からないときの支援が提供されているかも確認項目にしています。月末の入金確認や更新の案内など、止まると困る業務については、システムが止まったときに手元の書き出しデータで最低限の確認ができるようにしておきます。問い合わせの窓口、受付時間、障害の知らせ方（メール、画面上のお知らせなど）も契約前に確かめます。

試用期間の使い方

試用期間があるときは、画面を眺めるだけで終わらせず、次の順番で試します。

1. 架空の物件と入居者のデータを作る（本物の個人情報は、委託の確認が済むまで入れない）
2. 1つの業務を最初から最後まで通す（例：契約から初回の入金確認、オーナーへの報告まで）
3. 入れたデータを書き出し、表計算ソフトで開いて中身を確かめる
4. 権限を分けたアカウントを作り、見えてはいけない情報が見えないことを確かめる
5. サポートに実際に質問し、回答までの流れを確かめる

契約前の確認表

ウルスタくん（物件・入居者の管理、入金の記録、オーナーへの送金明細、書類と電子サインなど）を検討していただく場合も、この確認表の項目をそのまま質問としてお送りください。比べるサービスが複数あるときは、同じ表に回答を並べると違いが分かりやすくなります。

よくある質問

Q1. 利用規約に「個人情報を適切に管理します」とあれば十分ですか。

それだけでは、事業者が個人データを取り扱うのか、保守の際に見ることがあるのかが分かりません。個人情報保護委員会の注意喚起は、保守用のIDや規約上の使用の定めを判断の要素に挙げています。具体的な条件を規約や事業者への質問で確かめてください。

Q2. 小さな会社でも委託先の監督は必要ですか。

個人情報保護法25条は、個人データの取扱いを委託する個人情報取扱事業者に監督を求めており、会社の規模で除外する定めはありません。監督の方法は、事業者が公開している安全管理の資料を確認し、契約で報告の受け方を決めるといった形で、規模に合わせて組み立てられます。

Q3. データの書き出しができないシステムは避けるべきですか。

書き出しの方法がまったくない場合、帳簿や電子取引のデータを保存期間中に残せるか、システムを替えるときにどうするかが問題になります。サポート経由で出せる場合は、その期間と費用を契約前に確認してください。

Q4. 試用期間に本物のデータを入れてもよいですか。

本物の入居者のデータを入れる前に、事業者が個人データを取り扱うかどうかと、委託として必要な取り決めを確認しておくことをおすすめします。試用は架空のデータで十分に確かめられます。

出典（本文で参照している資料）

• 独立行政法人情報処理推進機構（IPA）「中小企業のためのクラウドサービス安全利用の手引き」（2026年6月）
• 個人情報保護委員会「個人情報保護法ガイドラインQ&A」7-53（クラウドサービスの利用）
• 個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について（注意喚起）」（令和6年3月25日）
• 個人情報保護委員会「委託先を監督してますか？」
• e-Gov法令検索「個人情報の保護に関する法律」（第22条・第23条・第25条・第26条）
• e-Gov法令検索「宅地建物取引業法施行規則」（第18条）
• e-Gov法令検索「電子計算機を使用して作成する国税関係帳簿書類の保存方法等の特例に関する法律」（第7条）
• 国税庁「電子帳簿保存法 電子取引データの保存方法をご確認ください」

この記事は2026年10月7日時点の情報です。