hCaptchaは中国本土で使えるか：訪問者データ・PIPLの越境移転・データの国内保存
hCaptchaのアンチボット・ウィジェットは中国本土から到達できるため、読み込みは本当の問いではありません。人間とボットを見分けるために、各訪問者のIPアドレス、デバイスとブラウザのデータ、そして行動のシグナル——マウスの動き、キー入力、タッチイベント——を収集し、そのすべてがPIPLの下での個人情報です。そしてIntuition Machines自身のプライバシーポリシーによれば、hCaptchaは米国から運営され、訪問者データは米国へ移転・処理・保存されます（GDPR FAQはEUのデータセンターと「世界各地のリージョナルサーバー」も挙げます）——中国本土のリージョンは名指されていません。中国の訪問者にとって、その収集はPIPL第38〜40条の下での越境移転であり——通知、個別の同意、移転メカニズム——収集そのものにもPIPL上の適法な根拠と明確な通知が必要です。hCaptchaが何を収集し、どこへ送られ、法令に沿った中国国内の経路は何かを、コンプライアンス起点で読み解きます。
hCaptchaは中国本土で使えるか
hCaptchaのウィジェットは中国本土から到達できるため、読み込みは本当の問いではありません。それを決めるのは、CAPTCHAが設計上すべての訪問者を検査すること——そしてhCaptchaが各訪問者のIPアドレス、デバイスとブラウザのデータ、行動のシグナル（すべてPIPLの下での個人情報）を収集し、それをオフショアで処理することです。
Intuition Machines自身のプライバシーポリシーによれば、hCaptchaは“is based in the United States”（米国を拠点とする）、“controlled and operated by us from the United States”（当社が米国から管理・運営する）であり、訪問者データは“will be transferred to, processed, and stored in the United States”（米国へ移転・処理・保存される）とされ、GDPR FAQは欧州と米国のデータセンターと“regional servers around the world”（世界各地のリージョナルサーバー）を加え、中国本土のリージョンは名指しません。中国の訪問者にとって、その収集はPIPL第38〜40条の下での越境移転であり——通知、個別の同意、移転メカニズム——中国のデータ越境安全評価（英語）を発動させることもあります。収集そのものもPIPL上の適法な根拠と明確な通知を必要とし、重要情報インフラ運営者には、サイバーセキュリティ法（英語）の第39条（旧第37条）が、オフショアのリージョンには満たせない中国国内保存の義務を加えます。
21YunBoxは越境と同意のリスクを整理し、中国の人間認証を中国に所在する同意済みの基盤に国内化し、中国向けサイトをICP備案済みのインフラで中国国内から配信します——作り直しなし、そしていかなる種類の不正な手段も用いずに。具体は専門家に確認すべきリスクとして扱ってください。当社の中国チームが貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ✓ 到達性は問題ではない。hCaptchaはGoogle系のドメインではなく自社のエンドポイント（js.hcaptcha.com）から配信されるため、一部の海外CAPTCHAのように国境で遮断されることはない。到達性は中国の問いではない。
- ! CAPTCHAは設計上すべての訪問者を検査する。hCaptchaは各中国訪問者のIPアドレス、デバイスとブラウザのデータ、行動のシグナル——「マウスの動き、スクロール位置、キー入力イベント、タッチイベント」——を収集し、そのすべてがPIPLの下での個人情報だ。
- ! hCaptchaはIntuition Machinesにより米国から運営され、自身のプライバシーポリシーによれば訪問者データは「米国へ移転・処理・保存」され、GDPR FAQはEUのデータセンターと「世界各地のリージョナルサーバー」を加える。中国本土のリージョンは名指されず、シグナルはオフショアに置かれる——PIPL第38〜40条の下での越境移転：通知、個別の同意、移転メカニズムのいずれか一つ。
- ! 収集そのものも、チャレンジが発火する前にPIPL上の適法な根拠と明確な通知を必要とし、hCaptchaへの越境移転には、その上にさらに別個の同意が必要だ。
- ! 一定の閾値を超えればデータ越境安全評価が適用されうり、重要情報インフラ運営者には、サイバーセキュリティ法 第39条（旧第37条）が中国で収集した個人情報を中国に保存するよう求める——オフショアのリージョンには満たせない義務だ。エンタープライズの「First-Party Hosting」制御は中国本土のリージョンを名指さず、それ自体ではPIPLの義務を果たさない。
- ✓ 法令に沿った道：訪問者のシグナルを同意済みの基盤で中国国内に留める、中国に所在する人間認証の選択肢を運用し、合法的に出てよいものだけをオフショアへ送り、中国向けサイトをICP備案済みのインフラで中国国内から配信する——把握・国内化・配信、そして不正な手段は決して用いない。
hCaptchaの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| hCaptchaはすべての訪問者を検査し、そのIPアドレス、デバイスとブラウザのデータ、行動のシグナルを収集します。自身のプライバシーポリシーによれば、hCaptchaは人間とボットを見分けるためにエンドユーザーから“mouse movements, scroll position, keypress events, touch events, and similar information as applicable”（マウスの動き、スクロール位置、キー入力イベント、タッチイベント等）を、加えて“IP addresses, browser type, Internet service provider, platform type, device type, operating system”（IPアドレス、ブラウザの種類、ISP、プラットフォーム種別、デバイス種別、OS）を収集します。Data Privacy Frameworkの開示は、米国で処理しうるものとして“Communications metadata (e.g. information on originating IP address or other identifier, date and time of interaction)”（通信メタデータ。例：発信元IPアドレスその他の識別子、やり取りの日時）を挙げます。IPアドレスとデバイス識別子はPIPLの下での個人情報です。 | hCaptcha — Privacy Policy（hcaptcha.com）、2026-10-09 取得 |
| hCaptchaは米国から運営され、プライバシーポリシーは訪問者データを米国で処理・保存すると述べています。“A Note to Customers Outside the United States”の下で“IMI is based in the United States. The Sites and Service are controlled and operated by us from the United States”（IMIは米国を拠点とし、サイトとサービスは当社が米国から管理・運営する）とし、“Cross-Border Data Transfer”の下で“your personal data will be transferred to, processed, and stored in the United States”（貴社の個人データは米国へ移転・処理・保存される）と述べます。hCaptchaはIntuition Machines, Inc.（IMI）のサービスです。 | hCaptcha — Privacy Policy（hcaptcha.com）、2026-10-09 取得 |
| hCaptchaは中国本土のデータリージョンを名指していません。GDPR FAQは、“operated by Intuition Machines, a company headquartered in the United States”（米国に本社を置くIntuition Machinesが運営）、“processes the vast majority of data within one of our many regional servers around the world”（大半のデータを世界各地の多数のリージョナルサーバーのいずれかで処理）、メタデータは“in our main data centers in Europe and, if applicable, the US”（欧州と、該当する場合は米国の主要データセンター）、そして“by default, analytics data is already stored in the EU”（既定で分析データはすでにEUに保存）と述べます。中国本土はそのプライバシーまたはGDPRのドキュメントのどこにも現れず、中国で収集した訪問者のシグナルは本土の外に置かれます。 | hCaptcha — GDPR FAQ（hcaptcha.com）、2026-10-09 取得 |
| 中国の訪問者のシグナルをhCaptchaのオフショアのインフラへ送ることは、PIPL上の越境移転です。中国本土の人々から収集した個人情報を米国またはEUのインフラへ移すことは、PIPL第38〜40条を発動させます：通知、一般的な合意とは別個の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）。IP・デバイス・行動のシグナルの収集そのものも、PIPL上の適法な根拠と明確な通知を必要とします。 | Personal Information Protection Law of the PRC, Articles 38–40（cac.gov.cn）、2026-10-09 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月9日に確認しました。
中国本土に配信するサイトにとって、hCaptchaはプライバシーツールと同じ厄介なねじれを抱えています。そのまま使うと、それ自体がデータコンプライアンスのリスクを生みうるセキュリティ制御だということです。最初の本能は、ウィジェットが中国から読み込まれるのかを問うことで——回線上はたいてい読み込まれます。hCaptchaはGoogle系のドメインではなく自社のエンドポイントから配信されるため、一部の海外CAPTCHAのように国境で遮断されることはありません。したがって、到達性は中国の判断が決着する場所ではありません。それを決めるのはもっと単純で、速度より上流にあります。CAPTCHAはすべての訪問者を検査することで機能し、hCaptchaは人間とボットを見分けるために各訪問者のIPアドレス、デバイスとブラウザの詳細、そして行動のシグナルを収集します——そのすべてが中国の法の下での個人情報です——そして、そのデータを本土の外で処理します。
中国でのhCaptcha：ひと目で
| 決め手 | hCaptcha自身の言葉で——そして中国の法では |
|---|---|
| それは何か | hCaptchaはIntuition Machines, Inc.（IMI）による人間認証／アンチボットのウィジェットです。訪問者が人間かを判定するために、自らの言葉で“IP addresses, browser type, Internet service provider, platform type, device type, operating system”（IPアドレス、ブラウザの種類、ISP、プラットフォーム種別、デバイス種別、OS）を、そしてエンドユーザーからは“mouse movements, scroll position, keypress events, touch events, and similar information as applicable”（マウスの動き、スクロール位置、キー入力イベント、タッチイベント等）を収集します。これは識別可能な訪問者の継続的な記録です。 |
| 本土から到達できるか？ | おおむね、はい。hCaptchaは自社のホスト（js.hcaptcha.com）から読み込まれ、Google系のドメインに依存しないため、一部の海外CAPTCHAのように国境で遮断されることはありません。到達性は問いの配信側の半分であって、合法的に使ってよいかを決める半分ではありません。 |
| 訪問者のシグナルはどこへ行くか？ | オフショアです。プライバシーポリシーは、hCaptchaが“controlled and operated by us from the United States”（当社が米国から管理・運営する）であり、個人データは“will be transferred to, processed, and stored in the United States”（米国へ移転・処理・保存される）と述べ、GDPR FAQは“main data centers in Europe and, if applicable, the US”（欧州と、該当する場合は米国の主要データセンター）と“many regional servers around the world”（世界各地の多数のリージョナルサーバー）を加えます。中国本土のリージョンは名指していません。 |
| 中国の訪問者のシグナルをそこに集めること | IPアドレス、デバイス識別子、行動のシグナルは個人情報です。それらを米国またはEUのインフラに保持することは、PIPL（第38〜40条）の下での越境移転（数据出境）です。通知、個別の同意、そして移転メカニズムのいずれか一つ。収集そのものも、チャレンジが発火する前にPIPL上の適法な根拠と明確な通知を必要とし、閾値を超えればデータ越境安全評価が適用されうり、重要情報インフラ運営者には、サイバーセキュリティ法 第39条（旧第37条）が、オフショアのリージョンには満たせない中国国内保存の義務を課します。 |
| 義務を負うのは誰か | 中国向けサイトの運営者である貴社——個人情報の取扱者です。hCaptcha自身のポリシーは、エンドユーザーのデータの処理が“is governed by the agreement we have with our Integrator customers”（当社とインテグレーター顧客との契約に規律される）、すなわちIMIは委託を受けた処理者として振る舞うと述べます。ウィジェットを埋め込んでも、PIPLの義務はベンダーには移りません。 |
| 法令に沿った道 | チャレンジとシグナルのデータを同意済みの基盤で中国国内に留める、中国に所在する人間認証の選択肢を運用し、合法的に出てよいものだけをオフショアへ送り、中国向けサイトをICP備案済みのインフラで中国国内から配信します。21YunBoxは把握・国内化・配信を行い、いかなる種類の不正な手段も用いず、推奨もしません。 |
CAPTCHAはすべての訪問者を検査する——だから設計上、個人情報を集める
構造上の要点は、hCaptchaがまさにセキュリティツールであるがゆえに見落とされがちです。その手法のすべては、訪問者が何をするかを観察し、人間かどうかを判定することにあり——そのために人からシグナルを読み取ります。hCaptcha自身のプライバシーポリシーには、そのシグナルが明記されています。“IP addresses, browser type, Internet service provider, platform type, device type, operating system”（IPアドレス、ブラウザの種類、ISP、プラットフォーム種別、デバイス種別、OS）の自動収集、そしてエンドユーザーからは特に“mouse movements, scroll position, keypress events, touch events, and similar information as applicable”（マウスの動き、スクロール位置、キー入力イベント、タッチイベント等）。そのData Privacy Frameworkの開示はさらに踏み込み、米国で処理しうるものとして“Communications metadata (e.g. information on originating IP address or other identifier, date and time of interaction)”（通信メタデータ。例：発信元IPアドレスその他の識別子、やり取りの日時）を名指します。
中国の個人情報保護法（PIPL）の下では、IPアドレスとデバイス識別子は個人情報であり、やり取りのシグナルは識別可能な人の行動を記述します。したがって、ボットを止めるために追加したウィジェットは、どの中国の訪問者にとっても、個人情報の収集点です——訪問者がフォームに到達した以外に何もしていない段階で、静かに集められます。これにより二つの義務が同時に発生します。収集するための適法な根拠と明確な通知、そして——その後データが本土を離れるため——以下の越境ルールです。
到達はできる——だがシグナルがどこに着地するかが問いだ
hCaptchaはおおむね中国から読み込まれるため、このチェック項目は済んだと思いたくなります。済んでいません。判断は、訪問者のシグナルがどこに落ち着き、それが国を出る適法な根拠を持っていたかであり、hCaptchaは「どこ」を自身の文書で答えています。プライバシーポリシーは、IMIが“is based in the United States”（米国を拠点とする）、“the Sites and Service are controlled and operated by us from the United States”（サイトとサービスは当社が米国から管理・運営する）、そして個人データが“will be transferred to, processed, and stored in the United States”（米国へ移転・処理・保存される）と述べます。GDPR FAQはより広い、しかし依然としてオフショアのフットプリントを描きます——“within one of our many regional servers around the world”（世界各地の多数のリージョナルサーバーのいずれか）での処理、“in our main data centers in Europe and, if applicable, the US”（欧州と、該当する場合は米国の主要データセンター）でのメタデータ、そして分析は“by default… already stored in the EU”（既定で……すでにEUに保存）。どこにも中国本土のリージョンは名指されていません。
そのため、このページはhCaptchaについて一次情報による中国のレイテンシや到達性の数値を一切掲載しません。国内保存と同意で決まる判断にとって、速度は軸ではないからです。hCaptchaはエンタープライズ向けの制御を提供してはいます——“First-Party Hosting”や“Zero PII”の機能を掲げ、エンタープライズ顧客は“hard technical guarantees on what data is stored, where data will be processed”（どのデータが保存され、どこで処理されるかについての確かな技術的保証）を得られるとします。検討する価値はありますが、それらは中国本土のリージョンを名指しておらず、それ自体では、取扱者である貴社に課されるPIPLの同意・通知・移転の義務を果たしません。いずれかが貴社に中国に所在する基盤を与えるかは、hCaptchaと専門家に確認すべき設定であって、ウィジェットを埋め込むことで自動的に継承する既定ではありません。
越境移転——そしてそれが必要とする同意
ここが、多くのチームが見落とすゲートです。米国またはEUでデータを処理するhCaptchaのデプロイは、定義上、本土の外にあります。中国の訪問者のために保持するIP・デバイス・行動のシグナルは個人情報であり、それをオフショアのインフラに載せることはPIPLの下での個人情報の越境移転です。法は義務を取扱者——処理者であるhCaptchaではなく、サイト運営者である貴社——に課します。第38〜40条は、通知、サイトを使うことへの一般的な同意とは別個の個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求めます。
さらに二つのルールが上に乗りうります。一定の閾値を超えるか、データが「重要データ」である場合、その移転は何かが出ていく前に中国のデータ越境安全評価（英語）（数据出境安全评估）を要することがあります。そして貴社の組織が重要情報インフラ運営者であれば、サイバーセキュリティ法（英語）の第39条（旧第37条——データ国内保存の規定は2026年1月1日施行の2025年改正で振り直され、実質は変わりません）が、中国で生成した個人情報を中国に保存するよう求め、オフショアのhCaptchaのデプロイはこれを満たせません。これはどれもチャレンジがどれだけ速く描画されるかの話ではなく、データが収集され、移動する適法な根拠を持っていたかの話です。CAPTCHAに特有のニュアンスとして、収集を同意以外の根拠——サービスの安全性——に拠らせられる場合がありますが、それはまさに専門家と確定すべき判断であり、越境の移動が依然として必要とする個別の同意と移転メカニズムを取り除くものではありません。これらの義務のどれが貴社の具体的なデプロイに適用されるかは、実際に何を収集しどこへ送るかに照らして専門家と確認すべきリスクです。
法令に沿った経路——把握し、国内化し、届ける
中国向けサイトのためにボット対策を運用する合法的な道があり、それには形があります。まず把握（Map）：当社の中国チームが、両面——収集と移転——でのPIPLリスクを洗い出します。チャレンジが中国の訪問者から何を集めるか、そのうち国内に留めなければならないもの、合法的に出てよいもの、データ越境安全評価や第39条の保存義務が効くのはどこか、そして同意・通知のフローが何をカバーすべきか。法的な結論は専門家と確定し、当社はそれに供する技術的な全体像を構築します。
次に国内化（Localize）：中国のチャレンジとシグナルのデータを、中国に所在する同意済みの基盤に留める人間認証の選択肢を立ち上げ、統合します——中国には確立した国内の人間認証サービスがあり、たとえばGeeTest（极验）や、主要な中国クラウド各社に組み込まれたCAPTCHA／人机验证の仕組みです——そうして、依存している保護は機能し続けながら、訪問者のシグナルは既定で国を出なくなります。hCaptchaが他の市場を担い続けるところでは、そのまま担い続けます。
そして配信（Deliver）：チャレンジを描画する中国向けサイトは、それ自体が本土の公開サービスであり、ICP備案（备案）の義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxは、すでに運用中のスタックの前段に21YunBox Optimizerを置き、作り直しも再プラットフォーム化もなしに、中国国内でそれを配信します。その結果が、中国で実際にサイトを使う人々に向けて合法かつ法令適合で動くボット対策です。当社が決して行わない——そして誰も合法的にはできない——のは、中国のデータ越境ルールやネットワーク上の制限を逃れる手立てを手渡すことです。当社は、留まるべきものを国内化し、中国国内で配信し、個人情報を人知れず中国の外へ出すことは決してしません。
関連する読み物：
よくあるご質問
hCaptchaは中国本土で利用できますか？
おおむね、はい——hCaptchaは自社のエンドポイントから読み込まれ、Google系のドメインに依存しないため、中国が国境で遮断するサービスではなく、利用可否は障害ではありません。中国向けサイトにとっての本当の問いはデータの国内保存と同意です。hCaptchaはIntuition Machinesにより米国から運営され、訪問者データを米国とEUで処理し、中国本土のリージョンはないため、中国の訪問者から収集するIP・デバイス・行動のシグナルはオフショアに置かれます。このページは中国のレイテンシ数値を掲載しません。速度は軸ではなく——答えはネットワーク上の抜け道では決してありません。具体は専門家に確認すべきリスクとして扱ってください。
中国の訪問者にhCaptchaを使うことは、個人情報の越境移転ですか？
hCaptchaが収集するシグナル——IPアドレス、デバイスとブラウザのデータ、マウス・キー入力・タッチのイベント——が米国またはEUのインフラで処理されるなら（hCaptchaは中国本土のリージョンを名指していません）、はい。中国の訪問者にとって、それはPIPLの下での越境移転です。つまり通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）が必要で、閾値を超えれば中国のデータ越境安全評価の対象になりえます。収集そのものもPIPL上の適法な根拠と明確な通知を必要とし、重要情報インフラ運営者には、サイバーセキュリティ法 第39条（旧第37条）が中国国内保存の義務を加えます。取扱者はサイト運営者である貴社であり、hCaptchaは委託を受けた処理者です。正確な義務は専門家に確認してください。
中国で法令適合に人間認証を運用するとはどういうことで、21YunBoxは手助けできますか？
法令に沿ったパターンは、中国の訪問者のチャレンジとシグナルのデータを既定でオフショアに置くのではなく、中国に所在する同意済みの基盤に留め——中国にはまさにこのための確立した国内の人間認証サービスがあります——一方、チャレンジを描画する中国向けサイトはICP備案済みのインフラで中国国内から配信します。当社の中国チームが、貴社の法人・データ・ユーザーについてPIPLの越境と同意のリスクを整理し、中国の人間認証を中国に所在する選択肢に国内化し、hCaptchaが提供しないICP備案済みの中国国内からの配信を、すでに運用中のスタックの前段に立ち上げます。それは中国のデータ越境ルールを回り込む経路では決してありません。個別のケースを一緒に整理しますので、お問い合わせください。
