BugHerdは中国本土で使えるか：PIPL、越境データ、そしてオフショアのフィードバックツール
BugHerdは中国本土にリージョンを持たず、米国ノーザンバージニアのAWS us-east-1でホストし、スクリーンショットとレビュアーのアイデンティティをすべてそこに保存します。そのため中国のレビュアーに使うことはPIPLの個人情報の越境移転に当たり、ICP備案はウィジェットを埋め込むサイト側に付き、BugHerd側には付きません。コンプライアンス起点で読み解きます。
BugHerdは中国本土で使えるか
はい——中国向けのサイトにBugHerdを埋め込めば動作します。ただし「使ってよいか」は速度ではなく個人情報の問いです。BugHerdはレビュアーの氏名・メールアドレス・セッションのメタデータを集め、そのすべてを米国に保存します。そのため中国本土のレビュアーに使うことは、個人情報の越境移転に当たります。
BugHerd自身のセキュリティページは、プラットフォームが“runs on Salesforce Heroku, hosted on Amazon Web Services (AWS) in the us-east-1 region (Northern Virginia, USA)”（米国ノーザンバージニアのAWS us-east-1上のSalesforce Herokuで稼働）、そして“Screenshots and attachments are stored in AWS S3 in the same region”（スクリーンショットと添付ファイルは同じリージョンのAWS S3に保存）と記しています——オフショアの単一リージョンで、中国本土の拠点はありません。BugHerdは埋め込みウィジェットとして貴社のページに到達するため、ICP備案はそれを埋め込むサイト側に付き、BugHerdには付きません。しかしBugHerdが取得・記録するレビュアーのアイデンティティやブラウザ・OS・URLは、収集された瞬間に中国本土を離れます——PIPLの下の越境移転（英語）（通知・個別の同意・移転メカニズム、第38〜43条）であり、オフショアのみのツールでは満たせないデータの国内保存義務（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））です。下の表はBugHerd自身の記述と、それぞれが引き起こすルールです。
これは判定ではなくリスクの見取り図です。PIPLの越境ルールや国内保存義務が適用されるかは、レビュアーが誰か、スクリーンショットに何が写るか、貴社の役割と取扱データ量で変わります。当社の中国チームが貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! BugHerdはフィードバック・スクリーンショット・レビュアーのデータをAWS us-east-1（米国）に保存
- ! 中国のレビュアーの氏名・メール・IPが国境を越える——PIPLが適用
- ! スクリーンショットはレビュー対象ページ上の個人情報を何でも写し取りうる
- ✓ ICP備案はウィジェットを埋め込むサイト側に付き、BugHerdには付かない
- ✕ 中国本土のリージョンがないため、国内保存義務はBugHerd上では満たせない
BugHerdの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| BugHerdはすべてを米国の単一リージョンに保存——中国本土の選択肢はない。自身のセキュリティページでBugHerdは、プラットフォームが“runs on Salesforce Heroku, hosted on Amazon Web Services (AWS) in the us-east-1 region (Northern Virginia, USA)”（米国ノーザンバージニアのAWS us-east-1上のSalesforce Herokuで稼働）、そして“Screenshots and attachments are stored in AWS S3 in the same region”（スクリーンショットと添付ファイルは同じリージョンのAWS S3に保存）と記している。レビュアーのアイデンティティ・スクリーンショット・ログはすべてオフショアにあり、中国のレビュアーから収集した個人情報はPIPLの下の越境移転（英語）（第38〜43条）に当たる。どう調整しても中国本土内には置けない。 | BugHerd — Security（bugherd.com/security、2026-10-07 取得）；PIPL 第38〜43条 |
| BugHerdのウィジェットは、ピンのたびにレビュアーのアイデンティティとデバイスのメタデータを取得する。BugHerdの製品ページによれば、クライアントがポイントしてコメントすると“grabs a screenshot, saves technical details”（スクリーンショットを取得し技術的詳細を保存）し、“captures and logs technical info such as browser, URL and operating system”（ブラウザ・URL・OSなどの技術情報を取得・記録）する。中国本土のレビュアーにとって、そのスクリーンショットとメタデータは個人情報であり、BugHerdのサーバーに届いた瞬間に国外へ出る——PIPLの越境ルール（英語）（第38〜43条）の引き金となる。 | BugHerd — Bug Reporting Software（bugherd.com、2026-10-07 取得）；PIPL 第38〜43条 |
| BugHerdは氏名・メール・IPアドレスを記録し、設計上オフショアへ移す。プライバシーポリシーは保持する個人データとして“First and Last names”（姓名）、“Email address”（メールアドレス）、“The IP address from which you access the Internet”（インターネット接続元のIPアドレス）を挙げ、利用者に“You agree to your data being transferred to other countries when you share your data with us”（データ共有時に他国への移転に同意する）と伝え、その移転先として“to and from any country, including Australia, the United Kingdom and the United States of America”（オーストラリア・英国・米国を含むあらゆる国）を挙げている。いずれも中国本土ではないため、中国のレビュアーの個人情報を国内に留めることはできない——PIPLの国内保存（英語）（第40条、サイバーセキュリティ法 第39条（旧第37条））がCIIOや大量取扱者に求めることの正反対である。 | BugHerd — Privacy and Security Policy（bugherd.com/privacy、2026-10-07 取得）；PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条） |
| ICP備案はBugHerdを埋め込むサイト側に付き、BugHerdには付かない。BugHerdは“JavaScript embed”（BugHerd自身の用語）——既に貴社が配信しているオリジンに読み込まれる第三者コンポーネントであって、一般公開サイトの運営者ではない——として貴社のページに到達する。したがってICP備案（ICP备案、国務院令第292号およびMIIT令第33号）は、それを埋め込む中国本土のサイト側に付き、BugHerd自身には不要である。だからBugHerdの中国の問いは、ライセンスではなくデータの問いになる。 | BugHerd — Security（bugherd.com/security、2026-10-07 取得）；国務院令第292号；MIIT令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、BugHerdをめぐる決め手は「ウィジェットがどれだけ速く描画されるか」ではありません。誰の個人情報を集め、そのデータをどこに置くことが許されるか、です。BugHerdはそのどちらも自身のドキュメントに記しています。フィードバックウィジェットは貴社のサイトに埋め込まれ、レビュアーがポイントしてコメントした瞬間にスクリーンショットを取得し、ブラウザ・OS・URLを、アカウントに紐づく氏名とメールアドレスとともに記録します。そしてそのすべてが米国の単一リージョンに保存され、中国本土には何一つ置かれません。BugHerdを埋め込むこと自体は簡単です。リスクは、オフショアへ送られるデータに付いてくる法——ネットワークではなく——にあります。
中国でのBugHerd：ひと目で
| 決め手 | BugHerd自身の言葉では |
|---|---|
| それは何か | 貴社のページに埋め込むフィードバックウィジェット——BugHerd自身の言葉では“JavaScript embed”——であって、貴社がホストするものではありません。それは“runs on Salesforce Heroku, hosted on Amazon Web Services (AWS) in the us-east-1 region (Northern Virginia, USA)”（米国ノーザンバージニアのAWS us-east-1で稼働）。 |
| 何を集めるか | ピンのたびにBugHerdは“captures and logs technical info such as browser, URL and operating system”（ブラウザ・URL・OSなどの技術情報を取得・記録）し、あわせて姓名・メールアドレス・インターネット接続元のIPアドレス、そしてスクリーンショットそのものを扱います。 |
| データの置き場所 | “Screenshots and attachments are stored in AWS S3 in the same region.”（スクリーンショットと添付ファイルは同じリージョンのAWS S3に保存。）レビュアーのアイデンティティを含めすべてが米国に留まり、中国本土のリージョンは一つもありません。 |
| 一般向けの配信 | BugHerdは埋め込み型の第三者コンポーネントなので、ICP備案は——BugHerdではなく——それを埋め込むサイト側に付きます。BugHerd自身は中国本土の足場を持ちません。 |
| 引き起こすルール | 中国のレビュアーの個人情報をオフショアに保存することは、PIPLの下の越境移転（第38〜43条）に当たります。データの国内保存義務（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））は、オフショアのみの保存では満たせません。 |
埋め込みウィジェットであって、ホストではない——だからICP備案はBugHerdのものではない
BugHerdは貴社がホストするものではなく、既に貴社のオリジンが配信しているページに差し込む第三者ウィジェット——BugHerd自身の用語では“JavaScript embed”——です。この区別が、ライセンスの問いに決着をつけます。中国本土の訪問者に見せる一般公開サイトは、国務院令第292号とMIIT令第33号の下でICP備案（ICP备案）を発動しますが、その備案はサイト運営者と、その背後にある中国本土のホスティングリソースに付くものであって、外部から読み込まれるコンポーネントに付くものではありません。したがってBugHerd自身にICP備案は不要で、「BugHerdはICPを取れるか」という問いの立て方自体が誤りです。正しい問いは、ウィジェットが稼働したあとに個人情報をどう扱うかです。ホスト側のライセンスと違って、それは貴社自身が負うリスクだからです。
本当のリスク：国境を越えるレビュアーのデータ
BugHerdは人を捉えることで価値を出します。レビュアーがポイントしてコメントした瞬間、BugHerdはスクリーンショットを取得し、技術的な詳細を保存し、自身の言葉では“captures and logs technical info such as browser, URL and operating system”（ブラウザ・URL・OSなどの技術情報を取得・記録）します。それをアカウントに紐づければ、BugHerdは姓名・メールアドレス・インターネット接続元のIPアドレス、そしてスクリーンショットそのものを保持していることになります。中国本土にいるレビュアーにとって、これらはすべて個人情報です。そしてBugHerdのセキュリティページは、その置き場所を明示しています——プラットフォームは“runs on … Amazon Web Services (AWS) in the us-east-1 region (Northern Virginia, USA)”（米国ノーザンバージニアのAWS us-east-1で稼働）、そして“Screenshots and attachments are stored in AWS S3 in the same region”（スクリーンショットと添付ファイルは同じリージョンのAWS S3に保存）。
これは、データが収集された瞬間の個人情報の越境移転（英語）です。中国個人情報保護法（PIPL）の下では、取扱者——BugHerdではなく貴社——が、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません（第38〜43条）。さらにBugHerdはレビュー対象のページのスクリーンショットを取得するため、その画面に写り込んだ個人情報は何であれ一緒にオフショアへ渡り、移転の範囲はレビュアー自身の情報をはるかに超えて広がります。
中国本土のリージョンがない——だから国内保存はできない
BugHerdはすべてを米国の単一リージョンに保持し、そもそもデータを国境を越えて動かす前提で作られています。運営者はオーストラリアの企業で、BugHerd自身の記載では“built and operated by Splitrock Studio Pty Ltd, an Australian company”（オーストラリア企業Splitrock Studio Pty Ltdによって構築・運営）。プライバシーポリシーは利用者にこう明言します——“You agree to your data being transferred to other countries when you share your data with us”（当社にデータを共有する際、データが他国へ移転されることに同意する）、そしてその移転先として“to and from any country, including Australia, the United Kingdom and the United States of America”（オーストラリア・英国・米国を含むあらゆる国）を挙げています。そのいずれも中国本土ではありません。重要情報インフラ運営者（CIIO）または大量取扱者であれば、中国で収集した個人情報は中国本土内に保存しなければなりません（PIPL 第40条（英語）、サイバーセキュリティ法 第39条（旧第37条））——どう設定しても、オフショアのみのツールでは満たせない国内保存義務です。
これは判定ではなくリスクの見取り図です。PIPLの越境ルールが適用されるか、そして国内保存義務が生じるかは、レビュアーが誰か、スクリーンショットに何が写るか、貴社の役割、取扱データ量で変わります。BugHerdを中国チームに展開する前に、専門家と整理すべき問いです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
BugHerdは今のままお使いいただけます。当社が加えるのは、オフショアのフィードバックツールには提供できないピース——BugHerdのウィジェットを埋め込むオリジンの前段に置く、法令に沿ったICP備案済みの中国本土内からの配信です。作り直しも、二つ目のコードベースも、BugHerdからの移行も要りません。当社の中国チームが、貴社の法人・レビュアー・取扱データ量に照らしてPIPLの越境とデータの国内保存の義務を整理し、BugHerdを今動いている場所に残したまま、合法的な中国拠点に必要な中国国内からの配信と保存を立ち上げます。
関連する読み物：
よくあるご質問
BugHerd自体にICP備案は必要ですか？
いいえ、BugHerd自体には不要です。BugHerdは貴社のオリジンが配信するページに埋め込む第三者ウィジェット（セキュリティページは“JavaScript embed”と呼ぶ）であり、一般公開サイトの運営者ではなくバックエンドのコンポーネントです。ICP備案（ICP备案、国務院令第292号およびMIIT令第33号）は、BugHerdを埋め込む中国本土のサイト側に付くものであり、BugHerdのオフショアのサービスには付きません。BugHerdが提起するコンプライアンスの問いは、ライセンスではなくデータです——レビュアーのアイデンティティとセッションのメタデータを集め、米国に保存します。
BugHerdがフィードバックのデータを米国に保存することは問題ですか？
イエス・ノーで割り切るのではなく、専門家と評価すべきリスクとして扱ってください。BugHerdのセキュリティページは、AWSの“us-east-1 region (Northern Virginia, USA)”でホストし、スクリーンショットと添付ファイルを同じリージョンに保持するとしています。レビュアーが中国本土にいる場合、その氏名・メール・IPアドレスと、BugHerdが記録するブラウザ・OS・URLのメタデータは国外へ出ます——PIPLが規律する越境移転（通知・個別の同意・移転メカニズム、第38〜43条）です。CIIOまたは大量取扱者であれば、中国で収集した個人情報は中国本土内に保存しなければならず（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））、オフショアのみのツールではこれを満たせません。
21YunBoxはBugHerdを中国で法令適合に使う手助けができますか？
はい。当社の中国チームが、BugHerdが収集するレビュアーのデータについて、PIPLの越境とデータの国内保存のリスクを整理します——レビュアーが誰か、スクリーンショットに何が写るか、貴社の役割と取扱データ量に照らして——そして、BugHerdを埋め込むオリジンの前段に、法令適合の中国拠点に必要なICP備案済みの中国国内からの配信と保存を立ち上げます。BugHerdは今の場所のままで構いません。個別のケースはお問い合わせ（英語）いただければ一緒に整理します。
