SAP Aribaは中国本土で使えるか：データの国内保存、PIPLの越境、そして上海リージョン
SAP AribaとSAP Business Networkは中国本土のデータセンター（上海）を実際に運用しています——ですから本当の問いは、このスイートに中国の拠点があるかではなく、貴社テナントの調達データが実際にそこに置かれているか、そして買い手・売り手のネットワークが設計からして国境を越えて動かすサプライヤーとバイヤーの個人情報に何が起きるか、です。だからこそ軸は速度ではなく、データの国内保存とPIPLの越境移転（第38〜40条）です。上海リージョン、越境のネットワークフロー、そして法令に沿った中国国内経路を、コンプライアンス起点で読み解きます。
SAP Aribaは中国本土で使えるか
インフラについては概ねイエス——そしてこれはよくある思い込みを正します。SAP AribaとSAP Business Networkは上海に中国本土のデータセンターを実際に運用しているので、このスイートは「中国の拠点がない」ケースではありません。コンプライアンスの問いはより狭く、貴社テナントのデータが実際にそこに置かれているか、そして設計からして国境を越えるサプライヤー・バイヤーのネットワークに何が起きるか、です。
SAP自身の2026年SOC 2監査報告は、このスイートの「SAP Data Center Locations」に「中国・上海」を挙げています。しかし国内保存は製品の属性ではなく貴社テナントのプロビジョニングの事実です——配置はアカウントの国に従い、既存アカウントは切り替えられるため、レガシーや設定ミスのテナントは依然として調達データをオフショアに保持し得ます。そしてSAP Business Networkは中国の当事者と海外の相手方をつなぐため、サプライヤー・バイヤーの連絡先個人情報、発注書、請求書が通常の運用として国境を越えます——PIPL（英語）の越境移転（通知、個別の同意、移転メカニズムのいずれか一つ、第38〜40条）であり、量や「重要データ」についてはデータ越境の安全評価（英語）があり得て、CIIOにはサイバーセキュリティ法（英語）第39条（旧第37条）の中国国内保存があります。
21YunBoxは、どの調達フローが国境を越えるか、貴社のデータが中国国内の足場に乗っているかを整理し、中国に留めるべきものを国内化し、公開向けの調達サーフェスをICP備案済みのインフラで中国国内から配信します。作り直しは不要で、いかなる種類の回避的手段も用いません。具体的な事情は専門家と確認すべきリスクとして扱ってください。当社の中国チームがリスクを一緒に整理します →
コンプライアンス・スナップショット
- ✓ SAP AribaとSAP Business Networkは中国本土のデータセンターを運用——「中国・上海」がSAP自身の2026年SOC 2監査報告の「SAP Data Center Locations」に挙げられている。中国の拠点がないツールと異なり、このスイートは中国顧客の調達データを国内でホストできる。
- ! 国内保存が成り立つのは、貴社テナントが実際に中国サイトにプロビジョニングされている場合だけ。配置はアカウントプロファイルの国に従い、既存アカウントはデータセンターを切り替えられるため、レガシーや設定ミスのテナントは依然として調達データをオフショアに保持し得る。どのデータセンターに乗っているかを確認せよ。
- ! 買い手・売り手のネットワークは設計からして越境：中国の当事者がオフショアの相手方と取引すると、サプライヤー・バイヤーの連絡先PI、発注書、請求書が国境を越える——ホームテナントがどこにあろうと、PIPLの越境移転（第38〜40条：通知、個別の同意、移転メカニズムのいずれか一つ）。
- ! 量の閾値を越える場合、あるいは調達記録が「重要データ」に当たる場合、その移転は何かが出ていく前にCACのデータ越境の安全評価（数据出境安全评估）を要し得る。
- ! 重要情報インフラ運営者の場合、サイバーセキュリティ法 第39条（旧第37条）は中国で収集した個人情報を本土に保存することを求める——上海リージョンがこれを満たすのは実際にそこに保持されるデータについてだけ、しかも貴社テナントがそこに乗っている場合のみ。
- ✓ 法令に沿った経路：中国国内の配置を確認し、どのネットワークフローが国境を越えるかを整理し、中国に留めるべきものを国内に留め、公開向けの調達サーフェスをICP備案済みのインフラで中国国内から配信する——合法な経路に徹する。
SAP Aribaの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| SAP AribaとSAP Business Networkは中国本土のデータセンターを運用する。SAP自身の2026年SOC 2監査報告は「以下のデータセンター所在地を対象とする」と述べ、「SAP Data Center Locations」の下に「中国・上海」を挙げる——サウジアラビア、UAEの拠点、中国外のGoogle Cloudの各拠点と並ぶ、このスイートの中国本土リージョンだ。したがって、中国の拠点がないツールと異なり、このスイートは中国顧客の調達データを国内に保持できる。 | SAP Trust Center — SAP Ariba and SAP Business Network SOC 2 Audit Report 2026（2026-10-09 取得） |
| どのデータセンターがデータを保持するかはアカウントに従い、変更できる。スイートのCloud Integration GatewayについてのSAPのドキュメントは、新規顧客の配置を「会社プロファイルで定義された国に基づくデータセンターの自動リンク」と説明し、既存顧客は「どのデータセンター経由でデータをルーティングするかを選ぶ」ことができ、切り替えもできる。したがって中国での国内保存は、製品だけでなく貴社固有のテナントがどうプロビジョニングされているかによる。 | SAP Ariba Cloud Integration Gateway release update 199577（support.ariba.com、2026-10-09 取得） |
| 買い手・売り手のネットワークは設計からして個人情報を国境を越えて動かす。SAP Business Networkは中国の当事者と海外の相手方をつなぐため、サプライヤーとバイヤーの連絡先情報、発注書、請求書が日常的に国境を越える——ホームテナントがどこにあろうと、PIPL第38〜40条の個人情報の越境移転（通知、個別の同意、そして移転メカニズムのいずれか一つ：CACの安全評価、CAC標準契約、または認証）だ。 | 中華人民共和国個人情報保護法 第38〜40条（cac.gov.cn、2026-10-09 取得） |
| 国内保存の義務は、製品ではなく役割で決まる。重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報は本土に保存しなければならず（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））、量の閾値を越える場合や「重要データ」については、何かが出ていく前にCACのデータ越境の安全評価が要求され得る——上海リージョンが満たすのは、実際にそこに保持されるデータについてだけの門だ。 | PIPL 第40条；中華人民共和国サイバーセキュリティ法 第39条（旧第37条、2025年改正は2026-01-01施行）；CACデータ越境の安全評価弁法（2026-10-09 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月9日に確認しました。
SAP Aribaが中国本土で「使える」かは、速度の問いであるずっと前に、データの国内保存と越境の問いです——そして正直な出発点は、よくある思い込みを正します。SAP AribaとSAP Business Network（旧Ariba Network）は中国本土のデータセンターを実際に運用しています。SAP自身の2026年のSOC 2監査報告は、このスイートの”SAP Data Center Locations”（SAPデータセンター所在地）に”Shanghai, China”（中国・上海）を挙げています。ですからこれは「中国の拠点がない」ケースではありません。本当の問いはより狭く、より鋭いものです。貴社テナントの調達データは、実際にその中国国内の足場にプロビジョニングされているか。そして、買い手・売り手のネットワークが通常の運用として国境を越えて動かすサプライヤーとバイヤーの個人情報——連絡先、契約、発注書、請求書——に何が起きるか。前者はSAPが自身のドキュメントで答え、後者は中国の法が決めます。
中国でのSAP Ariba：ひと目で
| 決め手 | SAP Ariba自身の言葉で——そして中国の法では |
|---|---|
| 何であるか | クラウドの調達・サプライヤーネットワークのスイート——ソーシング、契約、調達、そして買い手と売り手をつなぐSAP Business Network。サプライヤーとバイヤーのマスターデータと連絡先、契約、発注書、請求書を保持します。個人情報に加えて商業データであり、その一部は「重要データ」に当たり得ます。 |
| 中国本土リージョンはあるか | あります。SAPの2026年SOC 2監査報告は、SAP AribaとSAP Business Networkの“SAP Data Center Locations”の下に“Shanghai, China”を挙げています。中国の拠点がないツールと異なり、このスイートは中国の顧客のデータを国内でホストできます。 |
| 貴社のデータは実際にそこに置かれているか | 貴社テナントが中国サイトにプロビジョニングされている場合に限ります。SAPのCloud Integration Gatewayのドキュメントによれば、配置は"automated data-center linkage based on the country defined in their company profiles"（会社プロファイルで定義された国に基づくデータセンターの自動リンク）で、既存アカウントは"choose which data center they want their data to be routed through"（どのデータセンター経由でデータをルーティングするかを選ぶ）とされます。レガシーまたは設定ミスのテナントは、依然としてオフショアに置かれ得ます。 |
| 設計からして越境のネットワーク | SAP Business Networkは中国の当事者と海外の相手方をつなぐため、サプライヤーとバイヤーの連絡先個人情報・発注書・請求書が通常の運用として本土とオフショアの間を動きます——ホームテナントがどこにあろうと、PIPLが規律する越境移転（第38〜40条）です。 |
| 保存、評価、ICP | CIIOまたは大量取扱者の場合、中国で収集した個人情報は本土に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。閾値を越える場合や「重要データ」については、何かが出ていく前にCACのデータ越境の安全評価が適用され得ます。そして中国国内から提供される公開向けのサプライヤーポータルはICP備案を要します。 |
中国本土リージョンは存在する——しかし国内保存は、貴社テナントが実際にどこに乗っているかで決まる
ここで最も強い事実である訂正から始めましょう。SAP Aribaは本土の外に取り残された外国SaaSではありません。SAP自身の2026年SOC 2監査報告は、SAP AribaとSAP Business Networkの”SAP Data Center Locations”の一つとして”Shanghai, China”を名指しているので、このスイートは中国顧客の調達データを本当に国内に保持でき——多くの外国プラットフォームが提供するより多くの足場を持ちます。
とはいえ、リージョンがあることと、そこに乗っていることは別です。スイートのCloud Integration GatewayについてのSAPのドキュメントは、配置を製品ではなくアカウントの属性として説明します。新規顧客は”automated data-center linkage based on the country defined in their company profiles”（会社プロファイルで定義された国に基づくデータセンターの自動リンク）を得て、既存顧客は”choose which data center they want their data to be routed through”（どのデータセンター経由でルーティングするかを選ぶ）ことができ、切り替えもできます。したがって中国での国内保存は、貴社固有のテナントについてのプロビジョニングの事実です。中国サイトが利用可能になる前に開かれたアカウント、あるいはプロファイルの国が中国に設定されていないアカウントは、依然としてサプライヤーとバイヤーのデータをオフショアに保持し得ます。最初に確定すべきは最も単純なことです。貴社テナントは実際にどのデータセンターに乗っているか。
買い手・売り手のネットワークは設計からして越境だ
SAP Business Networkは買い手と売り手をつなぐために存在します——そしてそれらの相手方は異なる国にいます。オフショアのサプライヤーと取引する中国のバイヤー、あるいはオフショアのバイヤーに提供する中国のサプライヤーは、サプライヤーとバイヤーの連絡先個人情報・発注書・請求書を、通常の運用として本土と海外の間でルーティングします。ホームテナントが上海にある場合でも、それらのネットワークフローは国境を越えます。
中国の個人情報保護法（PIPL）（英語）の下では、これは個人情報の越境移転であり、義務は取扱者——SAPではなく貴社——に課されます。通知し、国外への移転について個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たすことです（第38〜40条）。国内リージョンはデータがどこに置かれるかには答えますが、それ自体は、国境を越えて動くデータに付く義務を果たすものではありません。これは「中国にデータセンターがある」という答えが見落としがちな半分であり、買い手・売り手のネットワークにとっては、より鋭い半分です。
国内保存だけが義務の全部ではない——保存、データ越境評価、そして公開向けサーフェス
ネットワークの問いの傍らに、さらに三つの門があり、それぞれ製品ではなく貴社の姿勢で決まります。
- 保存。 重要情報インフラ運営者または大量取扱者であれば、中国で収集した個人情報は本土に保存しなければなりません（サイバーセキュリティ法（英語）第39条（旧第37条——データ国内保存の規定は、2026年1月1日に施行された2025年のサイバーセキュリティ法改正で改番され、実質は不変）、PIPL 第40条）。上海リージョンがこれを満たすのは、実際にそこに保持されるデータについてだけであり——これはまっすぐ、貴社テナントの配置の確認へと戻ります。
- データ越境評価。 量の閾値を越える場合、あるいは調達記録が「重要データ」に当たる場合、それらをオフショアへ動かすには、何かが出ていく前に中国のデータ越境の安全評価（数据出境安全评估）（英語）が必要になり得ます。
- 公開向けサーフェス。 中国国内から本土のユーザーに実際に提供されるサプライヤー登録やオンボーディングのポータルは、本土のホスティングリソースに紐づくICP備案の義務を負います。
以上のどれも、SAP Aribaが「ブロックされている」「違法だ」という判定ではありません——明らかにそのいずれでもなく、多くの外国SaaSより多くの中国の足場を提供します。これはリスクの見取り図です。どの門が効いてくるかは、法人、データ量、取扱者としての役割、相手方が誰かで変わります——中国の調達がそれに依存する前に、専門家と確定させる価値があります。
法令に沿った経路——把握し、国内に留め、配信する
中国向けに調達を運用する合法な方法があり、それには形があります。まず 把握（マップ）：当社の中国チームが、貴社のAribaデータが実際にどこに置かれ、どの買い手・売り手のフローが国境を越えるかを、貴社の法人とデータ量に照らして整理します——何が中国に留まらなければならないか、何が合法的に出られるか、どこで第39条の保存義務やデータ越境の安全評価が効くか、通知と同意が何をカバーしなければならないか。法的な結論は専門家と確定し、それを支える技術的な全体像は当社が描きます。
次に 国内化（ローカライズ）：中国の調達データが中国国内の足場に乗るようにします——貴社テナントをプロビジョニングできる場合はスイートのSAP自身の上海リージョン、それがカバーしないサーフェスには中国国内の取り決め——そして、あるフローについて国内の調達・ERPプラットフォーム（たとえば用友（Yonyou）やKingdee（金蝶）のエコシステム）のほうが適する場合は、それを採用・統合し、中国に留まるべきデータが既定で出ていくのをやめさせます。
そして 配信（デリバー）：中国向けのサーフェス——サプライヤーポータル、本土ユーザーが実際に開くオンボーディングや登録のページ——は、それ自体が本土での公開サービスなので、ICP備案の義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxはそれを中国国内から配信します——21YunBox Optimizer——すでに運用しているものの前段に置き、作り直しも再プラットフォーム化もなく。結果は、中国の利用者に向けて合法かつ法令に沿って動く調達です。私たちが決してしないこと——そして誰も合法にはできないこと——は、中国のデータ越境ルールやネットワーク上の制限をかいくぐる道を手渡すことです。国内に留めるべきものを国内に留め、国内から配信し、個人情報をひそかに中国から持ち出すことは決してありません。
関連する読み物：
よくあるご質問
SAP Aribaは中国本土にデータセンターを持っていますか？
はい——そしてこれはよくある思い込みを正します。SAP AribaとSAP Business Networkに関するSAP自身の2026年SOC 2監査報告は、「SAP Data Center Locations」の中に「中国・上海」を挙げているので、このスイートは中国顧客の調達データを国内でホストできます。落とし穴は、国内保存が貴社固有のテナントについてのプロビジョニングの事実だということです。配置はアカウントプロファイルの国に従い、既存アカウントはデータセンターを切り替えられるため、レガシーや設定ミスのテナントは依然としてデータをオフショアに保持し得ます。どのデータセンターに乗っているかを確認し、具体的な事情は専門家と整理すべきリスクとして扱ってください。
Aribaのデータが上海にあれば、中国向けに法令適合ですか？
国内保存だけでは足りません。中国リージョンはデータがどこに置かれるかには決着をつけますが、SAP Business Networkは中国の当事者と海外の相手方をつなぐため、サプライヤー・バイヤーの連絡先情報、発注書、請求書が設計からして国境を越えます——これは通知、個別の同意、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を要するPIPLの越境移転であり、量や「重要データ」についてはデータ越境の安全評価もあり得ます。重要情報インフラ運営者の場合、サイバーセキュリティ法 第39条（旧第37条）が中国国内保存の義務を加えます。これらのどれが効くかは、実際に何を収集し動かすかに照らして専門家に問う問いです。
21YunBoxはSAP Aribaの設定を中国で使えるようにする手助けができますか？
はい。当社の中国チームが、Aribaの調達データが実際にどこに置かれ、どの買い手・売り手のフローが国境を越えるかを整理し、貴社テナントが中国国内の足場に乗っているかを確認し、中国に留めるべきものを国内化します。公開向けの調達サーフェス——本土ユーザーに提供されるサプライヤーポータルやオンボーディングのページ——については、すでに運用しているものの前段に、ICP備案済みの中国国内からの配信を立ち上げます。作り直しなし、いかなる種類の回避的手段もなしに。お問い合わせいただければ、個別のケースを一緒に整理します。
