Optimizely（Episerver）は中国本土で使えるか：データの国内保存・ICP・PIPL

Optimizely——多くのチームがいまもEpiserverとして知るデジタル・エクスペリエンス・プラットフォーム——は、世界で最も広く導入されている企業向けDXPの一つであり、「Optimizelyは中国で使えるか」は、単純なイエス・ノーより鋭い答えを持ちます。Optimizelyは、好きなサーバーにインストールするソフトウェアではありません。Optimizelyが貴社のためにホスト・運用するプラットフォームであり、その中国の問いに自身のドキュメントで答えています。Microsoft Azure上の、固定された一群のリージョンで動き、中国本土には一つもない、と。その上に築くサイトは本土から到達できますが——配信され、データが保存されるのはオフショアからです。

したがって問いの正直な形は「Optimizelyは遮断されているか」ではなく、「Optimizelyのコンテンツと訪問者のデータはどこに存在し、その前面にある公開サイトは中国で運営を許可されうるか」です。それらは二つのコンプライアンスの問い——データの国内保存とICP備案——であり、キャッシュや実験の調整やエッジ配信では答えられない「Optimizelyは中国で使えるか」の半分です。以下は、Optimizelyがどこで動くかについて文書化していること、中国の個人情報保護法が中国向けサイトの収集するデータをどう扱うか、そして公開の本土サイトが発動させるICP備案を、Optimizely自身の言葉と中国の法で示します——ストップウォッチではなく専門家に持ち込めるように。

中国でのOptimizely：ひと目で

Optimizely（Episerver）とは何か——オフショアのAzure上のマネージドDXP

OptimizelyのCloud Architectureドキュメントから始めるのがよいでしょう。多くの「中国で使えるか」記事が飛ばす問い——誰がサーバーを運用し、どこで、に答えているからです。Optimizelyは自社のプラットフォームを“a managed hosting platform built on Microsoft Azure”（Microsoft Azure上に構築されたマネージドホスティングプラットフォーム）と呼び——Optimizelyがそれをプロビジョニング・運用し、貴社は固定のリストからリージョンを選びます。製品には率直に名を挙げる価値のある歴史があります。Episerverとして始まり、2020年にEpiserverが実験の会社Optimizelyを買収した後、2021年にOptimizelyの名を採ったため、CMS／DXPと実験・パーソナライゼーションのスイートがいまは一つのブランドの下にあります。変わっていないのはその形です——貴社自身のサーバーにインストールするソフトウェアではなく、Optimizelyのアドレスにあるプラットフォームです。

それが問い全体を組み替えます。Optimizelyがプラットフォームをホストする以上、「Optimizelyは中国で遮断されているか」は誤ったレンズです。本土から到達できます。オフショアから配信されるサイトは本土の訪問者に遅くなりえ、サードパーティのフォント・分析・地図ライブラリを引き込むテーマやフロントエンドのコードは、本土の内側で品質が落ちるアセットを読み込みえます——が、それは配信の問題であって、中国の利用者に向けてOptimizelyを運営してよいかを決めるものではありません。それを決めるのは下の二つの扉であり、どちらもOptimizelyが提供するすべてのリージョンが中国本土の外にあるという事実に懸かっています。

第一の扉：コンテンツと訪問者のデータがどこに存在するか

本土の利用者にとって第一の扉はデータの国内保存であり、Optimizelyは自らの言葉でそれを確定させます。“Your content database and blob storage remain in your selected region”（コンテンツのデータベースとBLOBストレージは選択したリージョンに留まる）、そして“origin data stays in-region”（オリジンのデータはリージョン内に留まる）。リージョンのリストは、北米東部（バージニア）・北米西部（ワシントン）・欧州西部（オランダ）・欧州北部（アイルランド）・アジア太平洋（シンガポール）・オーストラリア東部（シドニー）——6つのリージョンで、中国本土には一つもなく、最も近いシンガポールでも依然としてオフショアです。したがってOptimizelyのサイトが保持するものは何であれ、国外に存在します。

DXPは単にページを描画するだけのことはめったにありません。ページコンテンツ、編集者と連絡先の記録、フォームとキャンペーンの入力、そして——Optimizelyの実験とパーソナライゼーションはサイト上の行動を見るため——その行動に結びつく訪問者の識別子はすべて、貴社が選ぶオフショアのリージョンに着地します。中国の訪問者にとって、それらの識別子と送信は個人情報です。オフショアのリージョンに保持すれば、その個人情報を本土の外へ運んでおり、中国の個人情報保護法（PIPL）（英語）はそれを越境移転として規律します（第3章、第38〜43条：通知、個別の同意、そして認められた移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証）。その重さは、Optimizelyを使うこと自体ではなく、量と役割に応じて大きくなります。CACの2024年3月の越境ルールの下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合はそれらのメカニズムを免除され、一方CIIOまたは大量取扱者は、中国で収集した個人情報を本土内に留めなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））。どれが貴社に当てはまるかは専門家への問いなので、具体は既定ではなくリスクの絵姿として扱ってください。

第二の扉：公開の本土サイトのためのICP備案

中国本土の人々に公開ウェブサイトを配信することは、Optimizelyのコードとは無関係な許可を発動させます——ICP備案（备案）です。国務院令第292号（第4条）とMIIT令第33号の下で、その備案は本土内に物理的に所在するホスティングリソースと、本土の法人に結びつきます——そしてオフショアのAzureリージョンでのみ動くプラットフォームには、結びつける国内のものがありません。

ここが「Optimizely Cloudはすでに当社のサイトが存在する場所だ」が中国について何も決めないところです。プラットフォームは中国本土のリージョンを公表しないため、シンガポールやバージニアからサイトに到達しても、備案が必要とする国内の土台は生まれません——そしてそれは、従来型のページを描画しようと、Optimizelyのコンテンツ APIに対してヘッドレスのフロントエンドを描画しようと、変わりません。備案はホスティングに従い、ホスティングはオフショアにあり、この扉を閉じるとは、Optimizelyのオリジンの前段に中国本土内のICP備案済み配信を置くことであって、そこから再プラットフォーム化することではありません。

21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ

貴社はこれまで通りOptimizelyで構築します——同じCMS、同じ実験とパーソナライゼーション、同じコンテンツモデル、同じワークフロー。本土の利用者が加えるのは、プラットフォームのオフショアのフットプリントが供給できない唯一のものです。すなわち、既存のOptimizelyのオリジンの前段に置く、本土内からのICP備案済み配信——各訪問者の実IPが国境を越えて運ばれないよう、固定の国内入口を伴って。当社の中国チームが、貴社の法人とOptimizelyのサイトが収集する個人データにどの義務が当てはまるかを整理し、ICP備案を代行し、国内入口を立ち上げます——そして法がユーザーのデータを中国の地に留めるよう求めるところでは、そのデータを本土に保つお手伝いをします。作り直しも、二つ目のコードベースも、Optimizelyからの乗り換えもありません。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

• 中国のICP備案とは、そしてどう取得するか？
• PIPLの下での越境データ移転（英語）