Salesforce Commerce Cloudは中国本土で使えるか：ICP・データの国内保存・オフショアのPOD

中国本土の利用者にとって、Salesforce Commerce Cloudをめぐる問いは、店舗がどれだけ速く描画されるかではありません——そもそもそこで運営する許可があるのか、そして買い物客のデータをどこに置くことが許されるか、です。Salesforce Commerce Cloud（旧Demandware）はSalesforceがホストするSaaSです。貴社の店舗はSalesforce自身の「ポイント・オブ・デリバリー（POD）」上で動き、Salesforceはそれがどこにあるかを文書化しています。そのいずれも中国本土の内側にはありません。したがって中国向けの店舗は、到達はできても完全にオフショアから配信されます——公開の本土店舗が必要とするICP備案の土台を持たず、中国の買い物客が出す注文のたびに、中国の法の下での個人情報の越境移転になります。Salesforceは優れたコマースプラットフォームであり、ここで手放すよう求めるものは何もありません。これは、それが提供するために作られたのではない唯一の層についての話です。

中国でのSalesforce Commerce Cloud：ひと目で

本土の土台を持たない、Salesforceホストのプラットフォーム

Salesforce Commerce Cloudは貴社がホストするものではなく、Salesforceが貴社のために、所在地を“the country, state and outgoing IP addresses”（国・州・送信元IPアドレス）までしか公開しない共有の「ポイント・オブ・デリバリー」上でホストします。現行のInfrastructure and Sub-processors文書が、その地域がどこかを確定させます。“Commerce Cloud/B2C Commerce”の顧客データは、Salesforceの言葉で“one of the following regions”（以下のいずれかの地域）——米国・オーストラリア・フランス・ドイツ・英国・スウェーデン・オランダ・日本——にホストされ、ホスティング事業者としてAmazon Web ServicesとSalesforce自身の事業体が挙げられています。文書全体を通じて、中国本土は一度も現れません。

その地理が、ページが一つも読み込まれる前にライセンスの問いを決めます。Salesforceの世界に本土ルートはありますが、それは別物です。SalesforceのAlibaba Cloud上での提供を、同社は“All Salesforce products in the Greater China region are sold and operated exclusively by Alibaba Cloud”（大中華圏のすべてのSalesforce製品はAlibaba Cloudが独占的に販売・運営する）と説明します。細則を読むと、コマースチームにとって二つが際立ちます。その取り決めがカバーするクラウドは“Sales Cloud, Service Cloud, Salesforce Platform”と関連ゲートウェイであり——Commerce Cloudはそのリストにありません——そしてSalesforceは“Global customers can no longer use global services within mainland China”（グローバル顧客は中国本土内でグローバルサービスをもはや利用できない）と率直に述べます。つまりSalesforceが運営する唯一の国内の住まいは、貴社がすでに運用しているB2C Commerceの店舗とは別の製品ラインなのです。

オフショアの店舗が保持できないICPの扉

中国本土の人々に公開店舗を見せることは、パフォーマンスとは無関係な許可を発動させます——ICP備案（备案）です。国務院令第292号とMIIT令第33号の下で、その備案は本土内に物理的に所在し、本土の法人が保有するホスティングリソースに結びつかなければなりません。Salesforce Commerce CloudのPODは、Salesforce自身の開示によればすべてオフショアです——したがってプラットフォーム上に備案を錨で留める先がありません。これが「でも当社の店舗はもうSalesforceで動いている」の先にある硬い行き止まりです。中国から到達できることと、そこで運営する許可を得ていることは別物であり、フロントエンドをどれだけ調整しても、ICP備案が求める国内のホストは生まれません。

買い物客がチェックアウトした瞬間、そのデータは本土を離れる

店舗は個人データの機械です。アカウントを作り、注文を出す中国の買い物客は一人ひとり、氏名・住所・電話番号・決済の識別子を渡します——そしてCommerce Cloudはそのデータをオフショアの地域にしか保存しないため、保存された瞬間に国境を越えます。中国の個人情報保護法（PIPL）（英語）の下では、それは越境移転であり、取扱者である貴社は——Salesforceではなく事業者である貴社は——通知を行い、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません（第38〜43条）。重要情報インフラ運営者であるか、規制された量を超えて個人データを動かす場合、その情報はそもそも本土に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのいかなるPODも満たせない国内保存義務です。

これは判定ではなくリスクの見取り図です。ICP備案、国内保存、あるいはその両方のどれを負うかは、何を売るか、どれだけの個人データを保持するか、買い物客が誰かによって変わります——構築の前に、専門家と確定させる価値があります。

21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ

貴社はこれまで通りSalesforce Commerce Cloudで販売を続けます——同じカタログ、同じ店舗、同じSalesforce運営のオリジン。21YunBoxは、オフショアのSaaSプラットフォームにはできない唯一の層を加えます。すなわち、既存のCommerce Cloudオリジンの前段に置く、法令に沿った本土内からのICP備案済み配信——作り直しも、二つ目のコードベースも、Salesforceからの乗り換えもありません。当社の中国チームが、貴社の法人と取扱データ量にどの義務が当てはまるかを整理し、ICP備案を代行し、本土の買い物客が到達する国内の入口を立ち上げます——Salesforceは貴社のシステム・オブ・レコードのままで。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

• 中国のICP備案とは、そしてどう取得するか？
• PIPLの下での越境データ移転（英語）