Dropbox Sign（HelloSign）は中国本土で使えるか：PIPL・越境データ・ICP
Dropbox Sign——かつてHelloSignと呼ばれていたサービス——はオフショアのAWS上で動き、中国本土のリージョンはありません。そのため中国の署名者の氏名・IPアドレス・署名済み文書はPIPL上の越境移転として国を出て、その署名ウィジェットを埋め込んだところではICP備案が貴社のサイトに乗ります。その扉をコンプライアンス起点で読み解きます。
Dropbox Sign（HelloSign）は中国本土で使えるか
読み込めます——しかし中国の署名者にとって、これは署名の問題ではなく越境データの問題です。Dropbox Sign（HelloSignが改称したサービス）はオフショアのAWS上で動き、中国本土のリージョンはないため、中国で収集するすべての氏名・メール・IPアドレス・署名済みの合意は、設計上、国を出ます。
Dropbox自身のデータレジデンシーのページは、署名済み文書を置ける場所——“the US, Australia, the EU, Japan, Canada, and the UK”（米国・オーストラリア・EU・日本・カナダ・英国）——を挙げ、“The default region for all plans is US”（すべてのプランの既定リージョンは米国）とし、文書が編集・署名される間は“a temporary copy of the document is moved to our US servers”（文書の一時的なコピーが当社の米国サーバーへ移される）と注記します。そのどれも本土にはありません。プライバシーポリシーは、貴社が“consent to have your information transferred to us and our facilities in the United States or elsewhere”（情報を米国またはその他の地域へ移転することに同意）し、“you are the data controller”（貴社がデータ管理者）と述べます。中国の署名者にとってその個人情報はPIPLが規律する越境移転であり、署名ウィジェットを公開の本土サイトに埋め込んだところでは、ICP備案はDropboxではなくそのサイトに乗ります。下の表はDropbox Sign自身の文言と、それぞれが発動させるルールです。
これは判定ではなくリスクの見取り図です——何を負うかは、貴社の法人・署名者の量・保持するデータによって変わります。当社の中国チームが署名者データのリスクと備案の道を一緒に整理します →
コンプライアンス・スナップショット
- ! 中国の署名者のデータはオフショアのAWS上、既定で米国に置かれる
- ! 氏名・IP・署名済み文書が国境を越える——PIPLが適用
- ✕ 中国本土のリージョンがないため、ここではデータを国内に留められない
- ! 署名ウィジェットを埋め込めば、ICP備案は貴社のサイトに着地する
- ! Dropbox自身のポリシーが、貴社をデータ管理者とし、Dropboxをそうしない
Dropbox Sign (Formerly Hellosign)の公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Dropbox Signには中国本土内のリージョンがありません。自身のデータレジデンシーのページで、Dropboxは署名済み文書を置ける場所を“Dropbox Sign has data infrastructure for document storage in the US, Australia, the EU, Japan, Canada, and the UK”（米国・オーストラリア・EU・日本・カナダ・英国の文書保存のデータインフラ）と説明し、“The default region for all plans is US”（すべてのプランの既定リージョンは米国）とします。六つのいずれも本土にはなく、中国の署名者の文書をDropbox Sign上で中国国内に留める設定はありません。 | Dropbox — Dropbox Sign data residency（help.dropbox.com）、2026-10-07 取得 |
| 米国以外のリージョンでも、処理はやはり米国で行われます。Dropboxのレジデンシーのページは、保存時のファイルは“stored in our AWS data infrastructures in the selected region”（選択したリージョンの当社のAWSデータインフラに保存される）とする一方、文書が編集・送信・署名される間は“a temporary copy of the document is moved to our US servers where processing is performed”（文書の一時的なコピーが処理の行われる当社の米国サーバーへ移される）とします。EUや日本のリージョンを選んでも、中国の署名者のライブの文書を米国のインフラから外すことはできず——いずれにせよPIPLの下での越境移転（通知・個別の同意・移転メカニズム、第38〜43条）です。 | Dropbox — Dropbox Sign data residency（help.dropbox.com）、2026-10-07 取得；PIPL 第38〜43条 |
| きわめてセンシティブな個人データを保持し——PIPLの義務はDropboxではなく貴社のものです。プライバシーポリシーは、貴社の“email address and a password, your phone number, your address and an electronic image of your signature,”（メールアドレスとパスワード、電話番号、住所、署名の電子画像）、“IP addresses,”（IPアドレス）、そして“for review or signature”（レビューや署名のため）にアップロードする文書を記録し、貴社が“consent to have your information transferred to us and our facilities in the United States or elsewhere”（情報を米国またはその他の地域へ移転することに同意）するとします。また“you are the data controller”（貴社がデータ管理者）であり、米国外のほとんどの顧客には“Dropbox International Unlimited Company act[ing] as a processor”（Dropbox International Unlimited Companyが処理者として振る舞う）とします——したがって中国の署名者にとって、これはPIPLが規律する個人情報の越境移転であり、義務は貴社に課されます。 | Dropbox Sign Privacy Policy（sign.dropbox.com/about/privacy）、発効2025-01-14、2026-10-07 取得；PIPL 第38〜43条 |
| ICP備案は貴社のサイトに着地し、データには国内保存の義務が及びうります。Dropbox Signの署名ウィジェットを公開の本土向けウェブサイトに埋め込む——またはそのリンクを送る——ところでは、そのサイトにICP備案（国務院令第292号、MIIT令第33号）が必要で、オフショアのサービス自体は備案できません。そして重要情報インフラ運営者または大量取扱者であれば、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのみのサービスには満たせません。 | 国務院令第292号；MIIT令第33号；PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）；Dropbox Sign Privacy Policy（オフショア保存・顧客が管理者）に依拠、2026-10-07 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、Dropbox Sign——Dropboxが改称するまでHelloSignと呼ばれていた電子署名サービス——をめぐる決め手となる問いは、署名ページがどれだけ速く描画されるかではありません。それが収集する個人データが国を出てよいか、そして署名フローを運ぶサイトがそもそも中国で運営する許可を得ているか、です。Dropboxは前半を自身のドキュメントで答えています。Dropbox Signは署名済みの文書をオフショアのAWS上で保存・処理し、本土内のリージョンはありません。したがって中国向けの署名フローは到達できますが、それが捕捉するすべての氏名・メール・IPアドレス・署名済みの合意は中国の外に着地します——そしてそれが、レイテンシではなく、リスクです。
中国でのDropbox Sign：ひと目で
| 決め手 | Dropbox Sign自身の言葉では |
|---|---|
| どこで動くか | “Data infrastructure for document storage in the US, Australia, the EU, Japan, Canada, and the UK,”（米国・オーストラリア・EU・日本・カナダ・英国の文書保存のデータインフラ）で、“The default region for all plans is US”（すべてのプランの既定リージョンは米国）——すべてオフショアのAWS上で、中国本土内には一つもありません。 |
| 何を保持するか | 貴社の“email address and a password, your phone number, your address and an electronic image of your signature,”（メールアドレスとパスワード、電話番号、住所、署名の電子画像）、“IP addresses,”（IPアドレス）、そして“for review or signature”（レビューや署名のため）にアップロードする文書——きわめてセンシティブな個人データ。 |
| 国境を越える | 中国の署名者に提供するにあたり、貴社は“consent to have your information transferred to us and our facilities in the United States or elsewhere”（情報を米国またはその他の地域の当社とその設備へ移転することに同意）します——PIPLが規律する個人情報の越境移転です。 |
| 義務を負うのは誰か | Dropboxのポリシー：“you are the data controller,”（貴社がデータ管理者）であり、米国外のほとんどの顧客には“Dropbox International Unlimited Company act[ing] as a processor”（Dropbox International Unlimited Companyが処理者として振る舞う）——したがってPIPLの義務はDropboxではなく貴社のものです。 |
| 公開配信 | 署名ウィジェットを埋め込む、またはそのリンクを送る、本土向けの公開サイトには、そのサイトにICP備案が必要です。Dropbox Signには備案を結びつける中国国内のリージョンがありません。 |
本土のリージョンがない、だから署名者のデータはオフショアにある
Dropbox Signは署名済みの文書を六つのいずれかに保存し、Dropbox自身の言葉ではそのリストは“the US, Australia, the EU, Japan, Canada, and the UK.”（米国・オーストラリア・EU・日本・カナダ・英国）です。同じページは“The default region for all plans is US,”（すべてのプランの既定リージョンは米国）とし、保存時のファイルは“stored in our AWS data infrastructures in the selected region.”（選択したリージョンの当社のAWSデータインフラに保存される）とします。そのどのリージョンも中国本土にはなく、より近いものを選んでも中国の署名者にとっての算術は変わりません。データはやはり国を出ています。レジデンシーは完成したファイルがどこに落ち着くかを制御するだけで——データを中国の内側に留めはしません。
米国以外のリージョンを選んでも、ライブの文書を米国のインフラから外すことすらできません。Dropboxのレジデンシーのページは、文書が編集・送信・署名される間、“a temporary copy of the document is moved to our US servers where processing is performed.”（文書の一時的なコピーが処理の行われる当社の米国サーバーへ移される）と明言します。つまりEUや日本の設定は、完成したファイルがどこに落ち着くかを動かすのであって、中国の署名者の文書が最も重要な瞬間にどこで扱われるかではありません。地理はいずれにせよオフショアです。
きわめてセンシティブな個人データが、設計上、国境を越える
電子署名サービスは、フォームが触れるなかで最もセンシティブなデータの一部を収集し、Dropbox Signのプライバシーポリシーは率直にそう述べています。貴社の“email address and a password, your phone number, your address and an electronic image of your signature,”（メールアドレスとパスワード、電話番号、住所、署名の電子画像）、“IP addresses,”（IPアドレス）を含むネットワーク識別子、そして“for review or signature”（レビューや署名のため）にアップロードする文書——合意書そのものです。中国の署名者にとって、そのすべてをオフショアのAWSへ送ることは、中国の個人情報保護法の下での個人情報の越境移転です。取扱者は通知を行い、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません（第38〜43条）。重要情報インフラ運営者（CIIO）または大量取扱者であれば、中国で収集した個人情報は本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのみのサービスが満たせない国内保存義務です。
そしてその義務は、Dropboxではなく貴社が負います。ポリシーは“you are the data controller,”（貴社がデータ管理者）であり、米国外のほとんどの顧客には“Dropbox International Unlimited Company act[ing] as a processor”（Dropbox International Unlimited Companyが処理者として振る舞う）と述べます。PIPLの用語では貴社が個人情報の取扱者です。同意、通知、移転メカニズムは、ファイルを保存するプラットフォームではなく、署名者を集めた運営者である貴社に法が課す義務です。
ICPの扉は、Dropbox Signではなく貴社のサイトに乗る
Dropbox Signは通常、貴社自身のページに埋め込まれたウィジェット、または貴社自身のサイトから送られる署名リンクを通じて到達されます。その配置が二つ目の扉を引き込みます。中国の内側から本土の訪問者に配信される公開向けのウェブサイトは、国務院令第292号とMIIT令第33号の下でICP備案（备案）を発動させ、その備案は——埋め込みを運ぶ、またはリンクを送る——運営者のサイトに結びつき、その背後のSaaSにではありません。Dropbox Signは本土のリージョンを持たないため、Dropbox上に備案を結びつける先はなく、義務は代わりに貴社のサイトに着地します。「署名ウィジェットを差し込むだけ」は、その義務をどこか別の場所へ移しはしません。
これは判定ではなくリスクの見取り図です。通知と個別の同意、移転メカニズム、国内保存、ICP備案、あるいはそれらを一度に複数負うかは、何に署名するか、保持する個人データの量、署名者が誰かによって変わります——展開する前に、専門家と確定させる価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はこれまで通りDropbox Signを使い続けます。当社が加えるのは、オフショアの電子署名サービスにはできないピースです。すなわち、署名フローを運ぶ公開サイトの前段に置く、法令に沿った本土内からのICP備案済み配信——作り直しも、二つ目のコードベースも、Dropbox Signからの乗り換えもありません。署名者のデータは依然としてDropboxのオフショアのAWSに着地するため、当社の中国チームが、貴社の法人・署名者の量・各フローが実際に必要とする同意と移転メカニズムに照らしてPIPLの越境とデータの国内保存のリスクを整理します——そうして、書類仕事が国境を越えるものと一致し、署名者を集めるサイトが、彼らのいる場所で運営する許可を得た状態になります。
関連する読み物：
よくあるご質問
EU（または日本）のデータリージョンを選びました——これで中国の問題は解決しますか？
いいえ。Dropbox Signは中国本土のリージョンを提供しないため、選ぶどのリージョンも中国の署名者にとっては依然としてオフショアで、PIPL上の越境移転のままです。そしてDropbox自身のレジデンシーのページは、文書が編集・送信・署名される間は“a temporary copy of the document is moved to our US servers where processing is performed”（文書の一時的なコピーが処理の行われる当社の米国サーバーへ移される）とするため、米国以外のリージョンでもライブの文書を米国のインフラから外すことすらできません。レジデンシーは完成したファイルがどこに落ち着くかを制御するだけで、データが中国を出たかどうかではありません。
中国の署名者にDropbox Signを使うのは違法ですか？
確定したイエス・ノーと決めつけず、専門家と評価すべきリスクとして扱ってください。オフショアの電子署名サービスからは二つのことが続きます。中国の署名者の個人情報——氏名・IPアドレス・署名済み文書——が本土を離れ、PIPLがそれを越境移転として規律すること（通知・個別の同意・移転メカニズム）、そしてその署名ウィジェットを公開の本土向けサイトに埋め込んだところでは、そのサイトにICP備案が必要なこと。Dropboxのポリシーは貴社をデータ管理者ともするため、それらの義務は貴社のものです。データの国内保存義務も適用されるかは、貴社の役割（たとえばCIIO）と取扱データ量によります。
21YunBoxは、中国でDropbox Signを法令適合に使う手助けができますか？
はい。当社の中国チームが、Dropbox Signがオフショアに保持する署名者データについて、貴社の法人・署名者の量・各フローが必要とする同意と移転メカニズムに照らしてPIPLの越境とデータの国内保存のリスクを整理し、署名フローを運ぶサイトの前段に、公開の中国拠点が求めるICP備案済みの中国国内からの配信を、Dropbox Signからの乗り換えなしに立ち上げます。個別のケースを一緒に整理しますので、お問い合わせください。
