Hasuraは中国本土で使えるか：データの国内保存・PIPL・オフショアのGraphQL API
Hasuraはデータの上に即座のGraphQL APIを与えますが、そのマネージドホスティング——Hasura CloudとHasura DDN——はそのAPI層をオフショアのクラウド（AWS・GCP・Azure）上でのみ動かし、中国本土には一つもありません。そのため中国ユーザーのあらゆるクエリは国境を越えます——速度ではなく、PIPLのデータの国内保存と越境移転の問いです。
Hasuraは中国本土で使えるか
Hasuraを中国本土で使えるかは、APIがどれだけ速く応答するかより先に、まずデータの国内保存で決まります。Hasuraはデータの上に即座のGraphQL APIを与え、そのマネージドホスティング——Hasura Cloud、そして後継のHasura DDN——はそのAPI層をオフショアで動かし、中国本土内のリージョンはありません。
Hasura自身のCloudリージョンのドキュメントによれば、「Hasura CloudはAWS・GCP・Microsoft Azure Cloud上の複数のリージョンで利用できる」——そのリージョンは米国・欧州から東京・シンガポール・シドニー・ムンバイにわたり、どれも本土にはありません。APIがオフショアにあるため、中国ユーザーが自分自身の個人データに対して行うすべてのクエリとミューテーションは国境の向こうで応答され、Hasura Cloudがキャッシュするものもそのオフショアのリージョンに置かれます——PIPLが規律する個人情報の越境移転であり、CIIOや大量取扱者には国内保存の義務が伴います。下の表はHasura自身の文言と、それが発動させるルールです。
これは判定ではなくリスクの絵姿です——義務はAPIを通るもの、取扱データ量、役割によって変わります。当社の中国チームが貴社のHasuraのリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! 到達はできるが、GraphQL APIはオフショアのセル（AWS・GCP・Azure）から提供される——中国本土のリージョンなし
- ! 中国ユーザーのデータへのあらゆるクエリとミューテーションが国境の向こうで応答される
- ! 通信中の個人データと、Hasura CloudがキャッシュするものはPIPLの下でオフショアで扱われる
- ✕ Hasura CloudにもHasura DDNにも、中国国内のリージョンやデータレジデンシーの選択肢はない
- ✓ 前段のアプリには法令に沿ったICP備案済みの中国国内経路が存在——作り直しも移行も不要
Hasuraの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Hasura自身の言葉では：“Hasura Cloud is available in multiple regions on both Amazon Web Services (AWS), Google Cloud Platform (GCP) and Microsoft Azure Cloud.”（Hasura CloudはAWS・GCP・Microsoft Azure Cloud上の複数のリージョンで利用できる。）挙げられるリージョンは米国・欧州からカナダ（中部）、そしてアジア太平洋では東京・シドニー・シンガポール・ムンバイに及び——中国本土内には一つもなく、最も近い東京やシンガポールも依然としてオフショアです。 | Hasura — Hasura Cloud Regions、2026-10-08 取得 |
| Hasuraはデータの前段のGraphQL API層であって、データベースそのものではありません——しかしだからこそ重要です。中国ユーザーが行うすべての読み書きは、Hasura Cloudがオフショアでホストするエンドポイントを経由するため、彼らの個人情報はリクエストのたびに国を出ます。PIPLはその越境移転を規律します：個人情報の取扱者——Hasuraではなく、その顧客である貴社——が、通知を行い、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません。 | PIPL 第3章 第38〜43条 |
| リスクは、ツールを使うこと自体ではなく量と役割に応じて大きくなります：CACの2024年3月の越境データ規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除されます——それを超えると、いずれかのメカニズムが適用されます。 | CAC — データ越境移転の促進と規範化に関する規定（2024年3月） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのどのHasuraのリージョンも満たせない義務です。本土の利用者が必要とする別個のICP備案はHasuraの扉ではありません：APIは自身の公開サイトを提供しないため、その義務は、中国の利用者に向き合うなら、Hasuraの前段のアプリケーションにあります。 | PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月8日に確認しました。
中国本土の利用者にとって、Hasuraをめぐる決め手となる問いは、APIがどれだけ速く答えるかではありません——そのAPIの背後にあるデータをどこに置くことが許されるか、そしてそれを提供するAPIがどこで動くか、です。Hasuraは既存のデータの上に即座のGraphQL APIを与えます。データベースそのものではなく、データベースの前段の層です。そのマネージドホスティング——Hasura Cloud、そしてその後継のHasura DDN——は、そのAPI層をオフショアのクラウド上で動かし、中国本土内のリージョンはありません。エンドポイントは国境の向こうから到達できますが、中国の法が反応するのは、ユーザーの個人データへのすべてのクエリがオフショアで応答され、そのマネージドサービスの何一つ本土にないという事実です。
中国でのHasura：ひと目で
| 決め手 | 中国にとってHasuraはどうか |
|---|---|
| Hasuraとは何か | 既存のデータソースの上に置く即座のGraphQL（およびREST）API——アプリケーションが問い合わせる層であって、記録のデータベースではありません。そのAPIがどこで動き、提供するデータがどこを移動するかが、決め手となる問いです。 |
| どこで動くか | Hasura Cloudは“available in multiple regions on both Amazon Web Services (AWS), Google Cloud Platform (GCP) and Microsoft Azure Cloud”（AWS・GCP・Microsoft Azure Cloud上の複数のリージョンで利用できる）——米国・カナダ・欧州、そしてアジア太平洋では東京・シドニー・シンガポール・ムンバイ。中国本土内のリージョンはなく、後継のHasura DDNもそのデータプレーンを同じオフショアのクラウド上で動かします。 |
| 中国ユーザーのデータ | すべてのクエリとミューテーションはオフショアのエンドポイントで応答されるため、個人データはリクエストのたびに国を出ます。Hasura Cloudがキャッシュするレスポンスもオフショアに置かれます。PIPLが規律する越境移転です。 |
| データの国内保存 | 重要情報インフラ運営者（CIIO）または大量取扱者の場合、中国で収集した個人情報は本土内に留めなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））。オフショアのどのHasuraのリージョンもその義務を満たせません。 |
| ICP備案 | Hasuraの扉ではありません。APIは公開サイトを提供しないため、本土の利用者が必要とするICP備案は、API層そのものではなく、Hasuraの前段のアプリケーションに結びつきます。 |
API層はオフショアで動く——そしてそれが提供するデータもオフショアにある
Hasuraの仕事は、すでに保持しているデータの上にGraphQL APIを公開することで、そのマネージドホスティングはそのAPIをオフショアで動かします。Hasura自身のCloudリージョンのドキュメントでは、“Hasura Cloud is available in multiple regions on both Amazon Web Services (AWS), Google Cloud Platform (GCP) and Microsoft Azure Cloud”（Hasura CloudはAWS・GCP・Microsoft Azure Cloud上の複数のリージョンで利用できる）とされ、提供するリージョンは米国・カナダから欧州、そして東京・シドニー・シンガポール・ムンバイにまで及びます——本土には一つもなく、最も近いものも依然としてオフショアです。Hasuraの新しいData Delivery Network（DDN）も同じように作られ、そのデータプレーンを同じオフショアのクラウド上で動かします。その地理が、どのクエリが計測されるより前に中国の問いを決めます。中国ユーザーに応答するエンドポイントは国外にあり、彼らが行うすべての読み書きはそこを経由します。
ゲートウェイはコピーではない——個人データそのものが国境を越える
API層を無害な配管のように扱いたくなりますが、Hasuraでは国境を越えるのは個人データそのものです。各GraphQLクエリは、オフショアのエンドポイントを通じてユーザーのレコードを読み出し、各ミューテーションはそれを書き戻し、Hasura Cloudのレスポンスキャッシュを有効にしたところでは、クエリが返したデータが単に通過するだけでなく、そのオフショアのリージョンに置かれることがあります。したがって、中国本土にいるアプリケーション——あるいはユーザー——がHasura Cloudのエンドポイントと対話することは、一度ではなく継続的に、個人情報を国境を越えてやり取りすることです。中国の個人情報保護法（PIPL）の下では、その継続的な流れも、オフショアのキャッシュも越境移転であり、義務は——Hasuraではなく——取扱者である貴社に課されます。通知、個別の同意、そして移転メカニズムのいずれか一つのクリアです。ラウンドトリップを調整しても、データがどこで扱われるかは変わりません。そこは、パフォーマンスの修正では届かない部分です。重要情報インフラ運営者（CIIO）または大量取扱者の場合、中国で収集した個人情報は本土内に留めなければならず（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））、オフショアのどのHasuraのリージョンもそれを満たせません。
ICPはアプリの扉であって、APIの扉ではない——そう言うことに意味がある
どの中国ページにもICPの警告を貼り付けたくなりますが、Hasuraの層にそれは属しません。国務院令第292号とMIIT令第33号の下でのICP備案（备案）は、公開向けのウェブサイトと、それを配信する本土のホスティングに結びつきます——そしてAPIは自身の公開サイトを提供しません。したがってその義務は、API層ではなく、中国の利用者に向き合うHasuraエンドポイントの前段のアプリケーションにあります。Hasuraのコンプライアンス上の比重は、より狭い一点——データの国内保存と越境の流れ——で重くなります。二つの扉を区別して保つことが、どのリスクがどこにあるかを正確に教えてくれます。データの問いをライセンスの問いに溶かしてしまうのではなく。
これは判定ではなくリスクの見取り図です。国内保存の義務が適用されるか、どの越境メカニズムが適合するかは、貴社の法人、扱う個人データの量、そしてそれが誰のものかによって変わります——構築の前に、専門家と確定させる価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はこれまで通りHasura上に構築し続けます。当社が加えるのは、オフショアのAPI層が単独では提供できないピースです。すなわち、貴社のAPIを呼び出すアプリケーションのための、法令に沿った本土内からのICP備案済み配信と、データの国内保存の義務が求める中国国内の保存——すでに運用中のスタックの周りに置き、作り直しも、二つ目のコードベースも、Hasuraからの乗り換えもありません。当社の中国チームが、貴社の法人と取扱データ量に照らしてPIPLの越境とデータの国内保存のリスクを整理し、合法的な中国拠点に必要な中国国内からの配信と保存を立ち上げます——GraphQL APIはすでにある場所のままで。
関連する読み物：
よくあるご質問
Hasuraは中国ユーザーのデータを中国国内に保存しますか？
いいえ。Hasuraのマネージドホスティング——Hasura Cloud、そして後継のHasura DDN——はAPI層をオフショアのクラウド（AWS・GCP・Azure）上でのみ動かし、自身のリージョンのドキュメントに中国本土のリージョンは載っていません。したがって中国ユーザーが行うクエリとミューテーションはオフショアで応答され、Hasura Cloudがキャッシュするレスポンスもそこに置かれます。彼らの個人データは本土の外で扱われます。
中国でHasuraを使うのは違法ですか？
本質的には違いません。問題はオフショアのAPIを通じた個人情報の越境移転であり、PIPLは、通知を行い、個別の同意を取得し、移転メカニズムのいずれか一つを満たせばこれを認めます。データの国内保存義務にも直面するかは、貴社の役割（たとえばCIIOか否か）と、扱う個人情報の量によります。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxは、当社のHasuraの構成を中国で法令適合にできますか？
はい。当社の中国チームが、貴社の取扱データ量と役割について越境とデータの国内保存のリスクを評価し、貴社のAPIの前段のアプリケーションに法令適合のICP備案済み中国国内配信を——そして、中国ユーザーのデータを本土に留めることを法が求める場合は中国国内の保存も——作り直しもHasuraからの乗り換えもなしに立ち上げます。個別のケースを一緒に整理しますので、お問い合わせください。
