DatoCMSは中国本土で使えるか：ICP・EUのデータの国内保存・コンプライアンスの関門

DatoCMSはコンテンツを管理する有能な手段であり、ここでそこから移るよう求めるものは何もありません。しかし「DatoCMSは中国で使えるか」は、静かに二つの異なる問いを畳み込んでいます。DatoCMSはヘッドレスCMS——訪問者が実際に開くページではなく、貴社が構築するウェブサイトやアプリに供給するコンテンツバックエンド——です。したがって中国本土で運営する許可を得なければならないのは、そこからデプロイする公開サイトであり、それを得ることはコンプライアンスの問題——ICP備案と個人データのルール——であって、欧州でホストされるコンテンツバックエンドが答えるものでも、貴社に代わって答えられるものでもありません。以下は、DatoCMSが自らについて文書化していることと、問いを決める扉を、その言葉と中国の法で示します。

中国でのDatoCMS：ひと目で

ヘッドレスとは、関門がDatoCMSにないということ

DatoCMSが自らを何と言うかから始めましょう。自身のドキュメントでは“a cloud-based headless CMS”（クラウド型のヘッドレスCMS）であり、“a headless CMS clearly separates the actual content from the display layer and the front-end user experience”（ヘッドレスCMSは実際のコンテンツを表示層やフロントエンドのユーザー体験から明確に分離する）とします。貴社が構築するどんなフロントエンドにも、“a content infrastructure that comprises different APIs”（複数のAPIからなるコンテンツ基盤）を通じてコンテンツを渡します——言い換えれば、サイトそのものではなく、サイトの背後に座るデータベースのようなバックエンドです。

その区別が、コンプライアンスの物語のすべてです。本土の訪問者はDatoCMSを決して読み込みません。読み込むのは貴社がデプロイするウェブサイトであり、国務院令第292号とMIIT令第33号の下でICP備案（备案）が規律するのは、そのウェブサイト——中国本土の人々に配信されるフロントエンド——です。DatoCMSはそれ自体の備案を持たず、バックエンドである以上はもともと持ちようがありません。DatoCMS上に、本土の規制当局が備案を結びつける先はないのです。したがって「DatoCMSを使っている」は、中国向けのサイトが運営を許可されているかについて何も語りません——備案は、どこでどう公開しようと、貴社に着地します。

コンテンツの住まいは本土ではなくアイルランド

そのバックエンドがどこに存在するかは依然として重要です。貴社のコンテンツ——そしてそれと一緒に保持するもの——もそこに存在するからです。DatoCMSは所在について率直です。“all our servers are based in European Union, in Ireland in particular”（すべてのサーバーは欧州連合、とくにアイルランドに置かれる）、“a dedicated Kubernetes cluster in AWS”（AWS上の専用Kubernetesクラスター）で動き、自社コミュニティのフォーラムでも“all our CMS hosting and data storage are based exclusively in the EU (Ireland)”（当社のCMSのホスティングとデータ保存はすべてEU（アイルランド）に限られる）と確認し、別のリージョンを選ぶ選択肢はありません。選べる中国本土のリージョンも、そこへのセルフホストの経路もありません。

大半のチームにとって、これはささやかなリスクであり、率直に言う価値があります。DatoCMSは主に貴社のコンテンツを保持し、ユーザーのデータベースではないため、第一義的には個人情報のストアではありません。しかし中国ユーザーの個人データ——フォームの送信、メンバープロフィール、著者の記録——をそこに保持する限り、そのデータはいまEUにあり、それを国境の向こうへ移すか露出することは、中国の個人情報保護法（PIPL）（英語）の下での越境移転です：通知、個別の同意、そして承認された移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証——第38〜43条）。重要情報インフラ運営者または大量取扱者であれば、中国で収集した個人情報は本土に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——アイルランド限定のストアには満たせない国内保存義務です。

到達でき、キャッシュされることは、ライセンスされていることと同じではない

DatoCMSは速さを保つために配信に頼ります。コンテンツは“a global network of delivery”（グローバルな配信ネットワーク）と“a layer of caching with Cloudflare”（Cloudflareによるキャッシュの層）を通じて動き、訪問者がどこにいてもその近くへコピーを押し出します。それはページを速くし、速度を「中国で使えるか」の答えと読み違えやすくします。そうではありません。ユーザーの近くに座るキャッシュはパフォーマンス機能であって許可ではありません。ICP備案を持たず、権威あるデータをアイルランドから移しもしません。

したがって、到達性はこの問いの軽いほうの半分です。キャッシュから速く描画されるサイトでも、公開フロントエンドのための備案は依然として必要であり、ユーザーの個人データがどこに行き着くかを依然として説明しなければなりません。それらはコンプライアンスの事実であり、どれだけエッジでキャッシュしても片付きません。

これは判定ではなくリスクの見取り図です。ICP備案、中国国内でのデータ保存、あるいはその両方のどれが必要かは、サイトが何を収集するか、どれだけの個人データを保持するか、訪問者が誰かによって変わります——構築の前に、専門家と確定させる価値があります。

21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ

貴社はこれまで通り、DatoCMSをコンテンツバックエンドとして保ちます——同じモデル、同じAPI、同じ編集ワークフロー。欧州でホストされるヘッドレスCMSが与えられないのは、本土の利用者が求める唯一のものです。すなわち、DatoCMSから構築する公開サイトの前段に置く、法令に沿った本土内からのICP備案済み配信——作り直しも、二つ目のコードベースも、DatoCMSからの乗り換えもありません。当社の中国チームが、その公開サイトにどの義務が着地するか——ICP備案と、貴社の法人・データ・ユーザーについてのPIPLの越境やデータの国内保存の義務——を整理し、合法的な中国拠点に必要な中国国内からの配信を立ち上げます——DatoCMSは貴社の唯一のコンテンツ源のままで。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

• 中国のICP備案とは、そしてどう取得するか？
• PIPLの下での越境データ移転（英語）