Guruは中国本土で使えるか：PIPLの越境移転・データの国内保存・従業員データのルール

中国事業の全体でGuruを運用する企業の本能は、ナレッジベースが上海から応答するかと問うことです。応答します——Guruは中国が遮断しないクラウドソフトウェアです——ので到達性は問いではありません。それを決めるのは、二つのものがどこに存在するかです。社内の会社コンテンツ（チームが作成し検証するカード・プレイブック・資料・回答）と、中国の従業員の個人情報——ユーザーディレクトリとプロフィール、加えて誰がどのナレッジを読み・検索し・検証するかについてGuruが構築するエンゲージメントと利用の分析——です。Guruは米国のエンタープライズAIナレッジ・セールスイネーブルメントのプラットフォームで、Amazon Web Services上のクラウドSaaSとして動きます。自社のセキュリティページによればコンテンツはAWSのデータベースに保存され、中国本土のリージョンも中国国内のビルドもありません。ので、その従業員データとコンテンツはオフショアに置かれます：PIPL上の越境移転（第38〜40条）、プラットフォームが中国の従業員をプロファイリングするための第24条の自動的な決定の扉、社内コンテンツと重要データのデータの国内保存の問い、CIIOや大量取扱者のサイバーセキュリティ法の保存義務、そしてGuruが配信する中国向けのあらゆる面のICP備案です。

中国でのGuru：ひと目で

実際に何を保持するのか——社内コンテンツと人々のデータ

Guruはナレッジ・セールスイネーブルメントのプラットフォームなので、中国の法が大きく異なる扱いをする二つのカテゴリーのデータを集中させます。一つ目は貴社の 社内の会社コンテンツ です。チームが書き最新に保つカード・プレイブック・製品と営業の資料・オンボーディング教材・検証済みの回答。その一部は機密であり、一部は他者の個人情報を運び——営業プレイに名指された顧客、取引先メモの連絡先——大量の、または規制業種では「重要データ」（重要数据）へと寄りうます。

二つ目は貴社の 中国の従業員の個人情報 です。Guruはユーザーディレクトリとプロフィールを保持し——ナレッジの定着を測るために作られているため——個人についての 分析を継続的に生成します。ユーザー単位・チーム単位のコンテンツへのエンゲージメント、ユーザー別の閲覧、検索の挙動、そして誰がどのカードを検証・保守するか。Guru自身の分析は“team- and user-level engagement”（チーム単位・ユーザー単位のエンゲージメント）と、ユーザーやグループでフィルタするダッシュボードを説明し、これをオンボーディングや業績を支えうるデータとして提示します。これはふつうの個人情報であり——Guruは身分証番号や金融口座番号を保持するように作られていないので、PIPL第28条の「センシティブな」カテゴリーではありません——しかし依然として個人情報であり、依然として貴社の中国の従業員のものです。

そのすべてはどこで動くのか。オフショアです。Guruのセキュリティページはコンテンツが“stored and managed in a highly secure AWS database”（高度に安全なAWSのデータベースに保存・管理）され、“to a disaster recovery site in an entirely separate region”（まったく別のリージョンのディザスタリカバリ拠点へ）コピーされるとします。EU-米国データプライバシーフレームワークに認証し、移転にEUの標準契約条項を用い、“In addition to AWS, Guru uses some third parties”（AWSに加え、Guruはいくつかのサードパーティを使う）と注記します。提供される中国本土のリージョンも中国のソブリンクラウドのパーティションもありません——ので、中国事業にとって、コンテンツも従業員データも本土の外に存在します。

扉——従業員の個人データ、越境移転、そして自動的な決定

従業員ディレクトリ・プロフィール・利用分析は中国の個人情報保護法（PIPL）の下での個人情報なので、中国の従業員のためにGuruを運用することは越境移転（数据出境）であり——PIPLは義務を取扱者、すなわち処理者であるGuruではなく貴社の中国法人に課します。第38〜40条は、通知、一般的な規約とは別個の 個別の 同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を、そもそも従業員データを収集する第13条・第23条の通知・同意・最小化の義務とともに求めます。

ここで特徴的な扉は 第24条 です。Guruは従業員データをただ保存するのではなく、プロファイリングします。エンゲージメントスコア、導入のダッシュボード、検証活動、誰が何を読んだかの分析は、まさにPIPL第24条が規律する類のプロファイリングです。そのプロファイルで行われた自動的な決定が個人に重大な影響を及ぼすところでは、人は説明を求め、機械のみによる決定を拒否でき、プロファイリングは不合理な差別的扱いを課してはなりません。中国の従業員をスコアリングしランク付けすることは、中国の従業員データと職場監視の規範にも照らされます。これが到達性のテストには決して見えない半分です——プラットフォームは、オフショアで、貴社の中国の従業員を見張りスコアリングしています。

データの国内保存が両者の下にあります。貴社の組織が重要情報インフラ運営者または大量取扱者であれば、サイバーセキュリティ法 第39条（旧第37条）（英語）が、本土で生成した個人情報を本土に保存するよう求め——オフショアのナレッジプラットフォームが満たせない義務です。そして大量の、またはセンシティブな業種の社内コンテンツは「重要データ」の問いを引き上げ、独自の輸出管理を伴いうます。どの扉が、どの組み合わせで適用されるかは、業種・従業員・取扱者としての役割によって変わります。

ログインは問いではない——法令に沿った中国国内の従業員データこそが問いだ

Guruは中国で読み込まれるので、仕事は済んだと扱いたくなります。済んでいません。リスクは到達性ではなく——中国の従業員の個人情報と社内コンテンツが、中国本土のリージョンを持たないプラットフォームで保持されプロファイリングされていることだからです。オフショアのサービスをより速く読み込ませてもそれを国内化できず、オフショアのリージョン間で移してもデータは移転を移すだけで、終わりはしません。

法令に沿った形は、中国の従業員データと社内コンテンツを 中国国内の基盤 に保ち——中国に所在する処理経路か中国で合法な国内の代替手段——合法に出てよいものだけを国境の向こうへ送り、収集するものを最小化し、第13条・第23条の通知と同意を取得し、そしてあらゆる第24条の自動的な決定とプロファイリングの義務を、従業員にとって自動化のみに駆動されない経路とともに取り扱うことです。Guruが配信する中国向けのあらゆる面——外部のヘルプセンター、公開のナレッジベース、顧客向けのマイクロサイト——は本土の公開サービスであり、ICP備案の義務と法令に沿った中国国内からの配信を伴います。それはデータの国内保存と配信の設計であって、従業員データをいずれにせよオフショアへ運ぶ隠れた経路では決してありません。これは判定ではなくリスクの見取り図です——社内コンテンツが「重要データ」か、どの義務が効くかは、業種と従業員によるので、専門家と具体を確定させてください。

法令に沿った経路——把握し、国内化し、届ける

把握（Map）：Guruが中国の従業員のために保持する従業員の個人情報——ディレクトリ、プロフィール、そして個人をプロファイリングするエンゲージメント・利用・検証の分析——と、その傍らの社内コンテンツを棚卸しし、それぞれがどこで処理・保存されるか（オフショアのリージョン）、プラットフォームが第24条を発動させる仕方で個人をプロファイリングするか、同意とデータの国内保存の根拠、そしてコンテンツが「重要データ」に達するかを記録します。

国内化／統制（Localize/Govern）：中国の従業員データと社内コンテンツを 中国国内 に保ちます——中国に所在する経路か中国で合法な国内の代替手段で、データ最小化を伴う。第13条・第23条の通知と同意を取得し、第24条の義務を、自動化のみのプロファイリングによる決定を従業員が拒否できる手段を含めて履行します。国内化とは、データを中国国内の経路に保つことであって——いずれにせよオフショアへ送る仕組みでは決してありません。

配信（Deliver）：Guruが配信する中国向けのあらゆる面は本土の公開サービスなので、ICP備案（备案）の義務を負い、法令に沿った中国国内からの配信を必要とします——21YunBox Optimizerを、すでに運用中のスタックの前段に、作り直しも再プラットフォーム化もなしに置きます。その結果が、中国の利用者に向けて合法かつ法令適合で動くナレッジ・イネーブルメントのスタックです。21YunBoxは、いかなる種類の不正な手段も用いず、推奨もしません——留まるべきものを中国国内に保ち、残りを本土の内側から法令に沿って配信し、個人情報を人知れず国境を越えて移すことは決してしません。21YunBoxはGuruの競合ではなく、法令適合のオーバーレイでありパートナーです。

コンプライアンス評価を依頼する（英語） →

関連する読み物

• PIPLの下での越境データ移転
• 中国サイバーセキュリティ法（データの国内保存、第39条、旧第37条）（英語）
• 中国の個人情報保護法（第13条・第23条・第24条・第38〜40条）（英語）
• 中国のICP備案の取得方法

関連テクノロジー

Highspot

Highspot

Microsoft Viva

Microsoft Viva

Mural

Mural

Seismic

Seismic

Simpplr

Simpplr

Staffbase

Staffbase