Bunは中国本土で使えるか：データの国内保存、ICP、そして越境ルール
Bunは貴社自身のサーバーで動かすオープンソースのJavaScript／TypeScriptランタイムで、データの国内保存に対して中立であり、中国でも問題なく動きます。本当の中国の問いはBunではありません——どこにデプロイするか（ICP、MLPS）、そして扱うデータが国内に留まるか、PIPLの下で国境を越えるか、です。
Bunは中国本土で使えるか
はい——Bunは中国で問題なく動きます。貴社自身のサーバーで動かすオープンソースのコードで、選ぶべきリージョンはないため、ランタイムが妨げになることはありません。本当の中国の問いは、到達性ではなく、デプロイとデータについてです。Bunアプリが中国本土のユーザーに配信するなら、そのホストはICP備案（备案）を負い、運営者は等級保護（等保／MLPS）の義務を負います。中国ユーザーから集める個人情報は個人情報保護法（PIPL）（英語）が規律し、オフショアのデータベースやバックエンドはそれを合法的な根拠を要する越境移転（英語）にします。Bunが同梱するパッケージマネージャーも、インストール時に依存関係をオフショアのレジストリから解決します。合法的な経路は、Bunを、ICP備案済み・等級保護に適したインフラ上で、中国ユーザーのデータを国内に留めて国内で動かすことです。
コンプライアンス・スナップショット
- ! Bun自体は中国で問題なく動く——貴社自身のサーバーで動かすオープンソースのコードだ
- ! 中国本土のユーザーに配信するBunアプリは、そのホスト上でICP備案と等級保護（MLPS）を負う
- ! Bunアプリが中国ユーザーから集める個人情報はPIPLが規律する
- ! bun install は依存関係をオフショアのレジストリから引く——サプライチェーンの懸念
- ! CIIOの場合、中国の個人データはサイバーセキュリティ法 第39条（旧第37条）の下で国内に留めねばならない
- ✓ 21YunBoxはBunを、ICP備案済み・等級保護対応のインフラで中国データを国内に留めて国内運用する
Bunの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Bun自身のREADMEは、これを“an all-in-one toolkit for JavaScript and TypeScript apps”（JavaScript／TypeScriptアプリ向けのオールインワンのツールキット）と説明し、単一の実行ファイルとして配布され、“Node.js-compatible package manager”（Node.js互換のパッケージマネージャー）を含むとする——貴社自身のサーバーで動かすオープンソースソフトウェアであり、ホスティングサービスも、選ぶべき中国国内リージョンもない。 | Bun GitHub リポジトリ README（oven-sh/bun、2026-10-14 取得） |
| Bunの公式サイトは、これを“a fast JavaScript runtime & toolkit”（高速なJavaScriptランタイム＆ツールキット）——ランタイムに加えてバンドラー・テストランナー・パッケージマネージャーを備え、貴社がインストールして自ら動かすものであって、マネージドなリージョンを持つホスティングプラットフォームではない——と説明する。ゆえにどこで動くかはデプロイの決定である。 | bun.com ホームページ（2026-10-14 取得） |
| 個人情報保護法（PIPL）の下では、中国ユーザーの個人情報をオフショアのサーバーやデータベースへ送ることは越境移転（第38〜40条）である：通知、個別の同意、そして移転メカニズム——CACの安全評価、CAC標準契約、または認証——が必要で、義務は取扱者である貴社に落ちる。 | 中華人民共和国個人情報保護法（21YunBox英語版リファレンス、2026-10-14 取得） |
| 重要情報インフラ運営者（および大量取扱者）について、中国のサイバーセキュリティ法は、中国本土で収集・生成した個人情報と重要データを国内に保存し、いかなる国外移転の前にも安全評価を行うことを求める——第39条（旧第37条。2026年1月1日施行の2025年改正で番号が振り直されたが内容は不変）。 | 中華人民共和国サイバーセキュリティ法（21YunBox英語版リファレンス、2026-10-14 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月14日に確認しました。
中国本土の利用者にとって、Bunについてまず片づけるべきは、問いが「インストールできるか」「どれだけ速く動くか」ではなく、そもそもBunの問いですらない、ということです。Bunはオープンソースのツールキット——JavaScript／TypeScriptランタイム、バンドラー、テストランナー、そしてNode.js互換のパッケージマネージャーを一つの実行ファイルにまとめたもの——で、貴社自身のサーバーで動かします。「Bunのデータセンター」も、選ぶべき「Bunのリージョン」もありません：同じバイナリが北京のデータセンターでもフランクフルトのデータセンターでも同一に動き、それ自体はオフショアに何も保存せず、貴社のデータをどこかへ送り返すこともありません。ですから「Bunは中国で使えるか」は、三つの別々の問い——どこにデプロイするか、どんなデータを処理するか、ビルド時に何へ到達するか——に分解され、そのどれも bun install が成功することを確認しても答えになりません。
中国でのBun：ひと目で
| 決め手 | Bun自身の言葉と、中国の法では |
|---|---|
| 実際にどこで動くか | Bunは貴社自身のサーバーで動かすオープンソースのコードで、選ぶべきリージョンを持つBun「サービス」はなく、ランタイムは中国本土のインフラ上でも問題なく動きます。中立でないのはデプロイ先のホストです：中国本土のユーザーに配信するアプリは、中国本土のホスティングリソース上のICP備案（备案）を負い、システムの運営者は等級保護（等保／MLPS）の義務を負います。 |
| アプリが処理するデータ | Bunのバックエンドはセッションとユーザーの状態をサーバー側に保持し、データベースを読み書きします。それが中国のユーザーから集める個人情報——氏名・連絡先・識別子・アカウントや注文の記録——こそ、選んだランタイムとは無関係に、個人情報保護法（PIPL）（英語）が規律する対象です。 |
| 国境を越えるデータ | アプリをオフショアのデータベースに接続したり、中国ユーザーの個人情報を国外へ転送したりすれば、それはPIPL 第38〜40条の下の越境移転（英語）です：通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）が必要で、義務は取扱者である貴社に付きます。 |
| ビルド時に引き込むもの | BunはNode.js互換のパッケージマネージャーを同梱し、bun install は依存関係をオフショアに所在するパッケージレジストリから解決します。プライベートやスコープ付きのパッケージは貴社の独自ソースを運びます。これはランタイムに付随するサプライチェーンと国内保存の懸念です——インストールが完了したことを確認するプローブには、それらの依存関係がどこに置かれたかは見えません。 |
| 到達性は軸ではない | bun install が成功しアプリが描画されても、そのデプロイとデータがその場所に置かれてよいかについては何も言えません。決め手は、国内保存と、ホストが負うICP／MLPSの義務であって、速度ではありません。このページは一次の遅延数値を公表しません。速度は誤った軸です。 |
ランタイムは動かす場所で動く——リスクはデプロイ先のホスト
まずBunがどこで動くかから始めましょう。残りはそこに乗るからです。BunのREADMEは冒頭でこれを“an all-in-one toolkit for JavaScript and TypeScript apps”（JavaScript／TypeScriptアプリ向けのオールインワンのツールキット）と呼び、単一の実行ファイルとして配布されるとし、そのランタイムを“a drop-in replacement for Node.js”（Node.jsのドロップイン置き換え）と位置づけます。これは貴社が選んだインフラにデプロイするサーバーソフトウェアであり——そのインフラはオフショアと同じくらい簡単に中国本土のサーバーにもなりえます。その意味でBunは、ブロックされた消費者向けサービスとは違って中国で利用でき、完全に国内で動かせます。
それが同時に意味するのは、Bunが貴社の国内保存の姿勢を決して決めない——決めるのはデプロイだ、ということです。Bunアプリが中国本土のユーザーに配信するなら、その背後のホスティングリソースはICP備案（备案）を負い、中国本土で動くシステムの運営者として、貴社は等級保護（等保／MLPS）の義務を引き受けます。中国本土のユーザーが到達するオフショアのVMこそが本当のリスクであり、それはBunの性質ではなくデプロイの選択です。ですからコンプライアンスの問いは、ランタイムを見ても答えは出ません。アプリをどこにホストし、そのデータがどこにあるかを見て、答えが出ます。
アプリが処理するデータこそ、PIPLが規律する対象
Bunのバックエンドは中立な配管ではありません。HTTPを終端し、セッションとユーザーの状態をサーバー側に保持し、データベースを読み書きします——そしてアプリが中国のユーザーから集める個人情報は、どのランタイムがコードを実行しようと、中国の個人情報保護法（PIPL）（英語）が規律します。そのデータがオフショアのデータベースに書き込まれた瞬間、あるいはバックエンドがそれをオフショアのサービスへ転送した瞬間、それは国を離れています：PIPLの下ではこれは越境移転（英語）（第38〜40条）であり、法は義務を取扱者である貴社に課します——通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）、さらに政府ID・金融・健康情報などセンシティブなデータの場合は第28条の加重された義務が付きます。
そして貴社の組織が重要情報インフラを運営する、あるいは個人情報を大量に扱う場合、サイバーセキュリティ法（英語）がデータの国内保存義務を加えます——第39条（旧第37条。2026年1月1日施行の2025年改正で番号が振り直されたが内容は不変）は、そうした運営者が国内で収集・生成した個人情報と重要データを国内に保存し、いかなる国外移転の前にも安全評価を行うことを求めます。そのいずれもBunが決めるものではありません。決めるのは、データベースがどこにあり、そこへ届くために何が国境を越えるか、です。
パッケージマネージャーはインストール時にオフショアへ到達する——サプライチェーンの側面
Bunはランタイム以上のものであり、その追加のピースには固有の国内保存の論点があります。READMEは同じ実行ファイルに組み込まれた“Node.js-compatible package manager”（Node.js互換のパッケージマネージャー）を説明しており、bun install はビルド・インストール時に、依存関係をオフショアに所在するパッケージレジストリから解決します。これはランタイムに付随するサプライチェーンと国内保存の懸念です：貴社のビルドは解決のたびに国境を越え、公開するプライベートやスコープ付きのパッケージは、貴社の独自ソースと——あまりに多くの場合——埋め込まれた認証情報を運びます。クラッシュや分析のテレメトリ、実行時にアプリが呼ぶ第三者APIも、同じようにオフショアへ流れえます。bun install が完了したことを確認する到達性チェックは、それらの依存関係——とそれに同梱された秘密情報——がどこに置かれたかについて、何も語りません。
到達性チェックがこれを見落とす理由
到達性や遅延のテストは、ツールキットをインストールし、エンドポイントを叩き、応答したことと速度を報告します。ランタイムにとって、それは三重に誤った問いです。bun install が成功することは、レジストリに到達できたことを証明するだけで、依存関係とその秘密情報がどこに着地したかは証明しません。アプリが描画されることは、サーバーが応答したことを証明するだけで、そのサーバーがその場所に置かれてよいか、ICP備案を備えているかは証明しません。そして青信号は、データベースを流れる個人情報が合法的に国境を越えたかについて、何も語りません。それらはデプロイと法の事実であり、プローブには見えません——純粋な速度や到達性の見方が供給できない半分であり、当社が先頭に据える半分です。
合法的な経路——マップし、ローカライズし、配信する
オープンソースのランタイムについて、21YunBoxの役割は限定的であり、それを率直に申し上げます：お売りする「国産Bun」はありません——ランタイムは既に、国内を含めて貴社が自由に動かせるものです。当社の価値は三つの動きにあります。
第一に、リスクをマップします：Bunアプリが実際にどこで動くか、中国ユーザーから何の個人情報を集めるか、データベースとキャッシュがどこにあるか、どのフローが国境を越えるか、ビルドがオフショアのレジストリから何を引くか——そしてそれらすべてがPIPLの越境ルール、第28条、サイバーセキュリティ法にどう当たるか。貴社と顧問弁護士がガードレールを設定できるように整理します。第二に、合法的にオフショアに置けないもののローカライズを支援します：Bunアプリを、ICP備案済み・等級保護に適したインフラ上で国内で動かし、中国ユーザーのデータを中国本土のデータベースに留め、ビルドが必要とする依存関係を国内のソースから解決します。第三に、貴社の中国向けの配信面——中国本土のユーザーが到達するアプリまたはAPIのエッジ——を、ICP備案済みの中国国内インフラ（21YunBox Optimizer）で、貴社が既に運用するBunアプリの前段に配信します。作り直しも、二つ目のコードベースも要りません。
21YunBoxは、移行ではなく法令適合のオーバーレイであり、お使いのツールの競合ではなくパートナーです。21YunBoxはいかなる種類の不正な手段も用いず、推奨もしません。 その結果は、中国のユーザーに向けて合法かつ法令適合に動く構成です。
関連する読み物：
よくあるご質問
Bunは中国でブロックまたは利用不可ですか？
いいえ。Bunは貴社自身のサーバーで動かすオープンソースソフトウェアで、ブロックされるものも選ぶべきリージョンもなく、中国本土のインフラ上でも同一に動きます。「Bunは中国で使えるか」は到達性ではなくデプロイとデータの問いです——重要なのは、アプリをどこにホストし、扱う個人情報が国内に留まるかです。
BunでアプリをデプロイするとICP備案が必要ですか？
Bun自体には不要ですが、中国本土のユーザーに配信するサイトやアプリの背後のホスティングリソースには必要です。ICP備案（备案）は中国本土のホストに付き、システムの運営者として貴社は等級保護（等保／MLPS）の義務も引き受けます。中国本土のユーザーが到達するオフショアのサーバーこそが本当のリスクであり——それはランタイムとは無関係の、デプロイの選択です。
Bunはパッケージマネージャーを同梱しますが、依存関係をオフショアのレジストリから引くことはコンプライアンスの問題ですか？
ブロックというより、サプライチェーンと国内保存の検討事項です。bun install は依存関係をオフショアに所在するパッケージレジストリから解決するため、ビルドは解決のたびに国境を越え、プライベートやスコープ付きのパッケージは貴社の独自ソースを運びます。対処は、ビルドを行い依存関係を国内のソースから解決することを、法令適合・ICP備案済みのデプロイの一部として行うこと——これはまさに当社が構築を支援する部分です。
