LogicGate Risk Cloudは中国本土で使えるか：GRCデータ、PIPL、データの国内保存
LogicGate Risk Cloudはリスクを統制するために運用するGRCプラットフォームです——そして自社のサブプロセッサー一覧は、そのデータを米国・EU・英国・オーストラリアのAWS上にホストし、中国本土のリージョンはありません。中国のユーザーにとって、これはリスクレジスター、監査証跡、第三者と担当者の個人情報を、PIPLの越境移転に変えます。エクスポージャーと、法令に沿った国内経路を、コンプライアンス起点で読み解きます。
Does LogicGate Risk Cloud work in China?
Risk Cloudは中国から到達できますが、LogicGateは貴社のGRCの記録を米国・EU・英国・オーストラリアのAWS上にホストし——本土には決して置きません——ですから中国にいる人向けに運用することは、速度の問題ではなくPIPLの越境移転です。
Risk Cloudは、リスクレジスター、第三者と監査の記録、そして統制オーナー・リスクオーナー・監査人・取引相手の個人情報を保持します。一部のインシデント・調査・プライバシーの記録は、PIPL第28条の下でのセンシティブな個人情報であり得ます。LogicGateの四つのAWSリージョンのどれも中国にないため、そのデータはオフショアに行き着き、PIPLの越境義務（第38〜40条）を発動し、CIIや大量取扱者には国内保存義務（PIPL第40条、サイバーセキュリティ法 第39条、旧第37条）を発動します。21YunBoxは顧問弁護士とともにエクスポージャーを可視化し、本土に留まらねばならない記録のために同意済み・ICP備案済みの国内保存と配信を立ち上げます。
コンプライアンス・スナップショット
- ✕ 選べる中国本土のリージョンがない——AWSホスティングは米国・EU・英国・豪州のみ
- ! リスクレジスター・監査証跡・取引相手の個人情報がオフショアに置かれる＝PIPLの移転
- ! 担当者と取引相手の個人情報。一部のインシデント／プライバシー記録はPIPL第28条のセンシティブ
- ! 国内保存が求められ得る（PIPL第40条、CSL第39条（旧第37条））
- ! 中国向けのダッシュボードや受付フォームには、LogicGateが提供できないICP備案が要る
- ✓ 21YunBoxはエクスポージャーを可視化し、国内保存とICP備案済みの国内配信を立ち上げる
LogicGate Risk Cloudの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| LogicGateのサブプロセッサー一覧は、ホスティングプラットフォームとしてAmazon Web Services（AWS）を挙げ、Risk Cloudのデータ所在地を「米国・EU・英国・オーストラリア」という顧客の選択として示す——中国本土のリージョンは挙げられていない。 | LogicGate Subprocessors & Affiliates（Effective: August 2024） |
| LogicGateのTrust Centerは顧客に「Risk Cloudのデータをホストするこれら四つのデータセンターから選ぶ」よう促し、「データの所在とコンプライアンスのニーズに対するより大きなコントロール」を提供するとする——その四つは米国・EU・英国・オーストラリアで、本土には一つもない。 | LogicGate Risk Cloud Trust Center |
| 中国にいる人の個人情報をオフショアのインフラで処理することは、PIPL第38〜40条の下での越境移転であり、通知、個別の同意、そしてクリアしたメカニズム（CACの安全評価、CAC標準契約、または認証）を要する。 | 個人情報保護法（PIPL）第38〜40条 |
| 重要情報インフラ運営者の場合、中国で収集した個人情報と重要データは、サイバーセキュリティ法 第39条（旧第37条）の下で本土に保存しなければならない。2026年1月1日施行の2025年改正が、その規定の番号を内容を変えずに変更した。 | サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。
中国本土のチームにとって、LogicGate Risk Cloudをめぐる問いは、ダッシュボードが開くかではありません——他のSaaSと同じように公共のインターネット越しに読み込まれます。問いは、それが保持する記録がどこに行き着くことを許されるか、です。Risk Cloudは、企業がリスクそのものを統制するために運用するシステムです。全社・業務のリスクレジスター、第三者とベンダーのリスク評価、統制ライブラリと監査証跡、規制コンプライアンスのマッピング、ポリシー、そしてあらゆるワークフローの背後にある統制オーナー・リスクオーナー・監査人・第三者の取引相手の連絡先。識別可能な人を名指した瞬間、そのすべてが個人情報であり、一部はセンシティブです。LogicGateはそれをAmazon Web Services上にホストし、自社のサブプロセッサー一覧はその所在地を、米国・EU・英国・オーストラリアという顧客の選択として挙げます——四つのオフショアのリージョンで、中国本土内には一つもありません。これは速度ではなく、中国の法の下でのデータの国内保存と越境の問いであり、LogicGateは自社の文書でそれに答えています。
中国でのLogicGate Risk Cloud：ひと目で
| 決め手 | LogicGate自身の言葉で——そして中国の法では |
|---|---|
| 記録がどこにあるか | LogicGateのサブプロセッサー一覧は、ホスティングプラットフォームとしてAmazon Web Services（AWS）を挙げ、所在地を「米国・EU・英国・オーストラリア」という顧客の選択として示します。そのTrust Centerはこれを「選べる」四つのデータセンターとして枠づけます。どの選択肢も中国に対してはオフショアで、本土内には一つもありません。 |
| 何を保持し、なぜ個人情報か | リスクレジスター、第三者とベンダーのリスク評価、統制と監査証跡、規制マッピングとポリシー——加えて統制オーナー・リスクオーナー・監査人・第三者の取引相手と署名者の氏名と連絡先。PIPLの下では、それらの識別子は個人情報であり、人を名指すインシデント・調査・プライバシーの記録はセンシティブであり得ます。 |
| 中国ユーザーのデータ | 中国にいる人の個人情報をオフショアのAWSリージョンで処理することは、PIPLが規律する越境移転です（第38〜40条）：通知、海外の受領者を名指した個別の同意、そして国外へ出る前にクリアした移転メカニズムのいずれか一つ。 |
| 国内保存義務 | 重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報は本土に留まらなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））。米国・EU・英国・豪州という顧客の選択では、その義務を満たせません。 |
| 到達性は判断軸ではない | ダッシュボードが読み込まれることは何も決めません。中国向けの接点——本土のユーザーに見せるRisk Cloudのダッシュボード、アテステーションのポータル、第三者の受付フォーム——は、LogicGateが提供しない本土ホスティングに結びつくICP備案を必要とする公開サービスです。 |
本土にリージョンがない、だからGRCの記録は国外へ出る
LogicGateは、Risk Cloudがどこにあるかについて珍しく明確です。そのサブプロセッサー一覧はホスティングプラットフォームとしてAmazon Web Servicesを挙げ、データ所在地を「米国・EU・英国・オーストラリア」という顧客の選択として示し、Trust Centerは顧客に「Risk Cloudのデータをホストするこれら四つのデータセンターから選ぶ」よう促し、これを「データの所在とコンプライアンスのニーズに対するより大きなコントロール」と説明します。そのコントロールは本物で——多くの多国籍企業にとっては真の強みです。それはまさに中国にとってのミスマッチでもあります。四つのリージョンはいずれも本土に対してオフショアで、LogicGateは中国のリージョンをまったく公表していません。ですから中国にいるユーザーや従業員にとって、その人に紐づくリスク・監査・第三者の記録は、米国・欧州・英国・オーストラリア——国外——に行き着きます。
オフショアで処理されるその個人情報は越境移転であり、義務は個人情報取扱者——LogicGateではなく、顧客である貴社——に課されます。通知、海外移転のための個別の同意、そしてクリアしたメカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を負います（PIPL第38〜40条）。一定の量を越える場合、あるいは記録が重要データに当たる場合、その移動は国外へ何かが出る前に中国のデータ越境安全評価（英語）も必要とし得ます。ガバナンスのフットプリントに最も近いAWSリージョンを選んでも、これらは何も変わらず、データがどのオフショアの国に置かれるかを選ぶだけです。
リスク・監査・第三者の記録は個人情報であり——一部はセンシティブである
居心地の悪い部分は構造的です。Risk Cloudはコンプライアンスを運用するために配備するツールであり——そうする中で、密な個人情報のストアを蓄積します。第三者とベンダーのリスク評価は取引相手の連絡先と署名者の詳細を帯び、統制と監査のワークフローは各項目に責任を負う統制オーナー・リスクオーナー・監査人の氏名を帯び、LogicGate自身の「自動証跡モニタリング」はアテステーションの背後にある成果物を取り込みます。PIPLの下では、それらの氏名・役割・メールアドレス・オンライン識別子は、識別可能な人を記述した瞬間に個人情報であり——それをオフショアのリージョンへ輸出することが、前節の述べる移転です。
一部はさらに進みます。顧客がRisk Cloudを、インシデント、調査、データ主体やデータプライバシーのリクエスト、または識別可能な個人を名指すか金融・身元データを保持する評価の追跡に使う場合、それらの記録はPIPL第28条の下でのセンシティブな個人情報であり得ます——処理の前に、特定の目的、厳格な必要性、加重された個別の同意、そして個人情報保護影響評価を要します。LogicGateのオプトインの生成AI機能は、もう一つのオフショアのフローを加えます。そのサブプロセッサー一覧はOpenAI, L.L.C.を米国に置き、「データ分析、自動レポート、インサイト生成、パーソナライズされた推薦」のためとするので、それらをオンにするとGRCのコンテンツがもう一つの米国の受領者へ流れます。そして重要情報インフラ運営者——金融・エネルギー・通信など——では、一部のリスク・統制の記録がそれ自体で重要システムを記述し得ます。皮肉は明白です。コンプライアンスを統制するために買ったプラットフォームが、それ自体のPIPLのエクスポージャーになるのです。
エクスポージャーを狭めても扉は閉じない
何が越境するかを減らすてこはあります。ガバナンスのフットプリントに最も近いEU・英国・豪州のデータセンターを選び、フィールドを最小化・秘匿し、識別可能なデータをアプリケーションの一部に限定し、オプトインのAIと分析のサブプロセッサーをオフにしてデータに触れる受領者を減らせます。そのどれもが行う価値があり、どれもがペイロードとそれが通る手の数を縮めます。
しかしそれらは何が越境するかを変えるのであって、越境する事実は変えません。LogicGateの四つのAWSリージョンのどれも中国本土にないため、中国のユーザーの記録はなお国外へ出て、国内保存義務は影響を受けません。CIIO運営者または大量取扱者の場合、中国で収集した個人情報はPIPL第40条とサイバーセキュリティ法（英語）第39条（旧第37条）——データ国内保存の規定。2026年1月1日施行の2025年サイバーセキュリティ法改正が第37条から第39条へ番号を変えたが、内容は不変——の下で本土に保存しなければなりません。到達性は別の事柄で、中国向けの接点については独立に効きます。Risk Cloudのダッシュボード、アテステーションのポータル、第三者の受付フォームを本土内のユーザーに露出するなら、その接点は、LogicGateが提供しない本土のホスティングリソースに結びつくICP備案（ICP 备案、国務院令第292号とMIIT令第33号の下）の義務を負う公開サービスです。ページが速く読み込まれるかは問いではなく、ここでは中国の一次の遅延値を公表しません。速度はこれが懸かる判断軸ではないからです。これはリスクの見取り図であって判定ではありません。個別の同意、移転メカニズム、国内保存、データ越境評価、ICP備案、あるいはその組み合わせを負うかは、貴社の法人、データ量、利用者が誰かで変わります——頼る前に専門家と確定させてください。
法令に沿った経路——把握し、国内化し、配信する
中国向けのオーディエンスにGRCプラットフォームを運用する、法令に沿った方法があり、それには明確な形があります。まず、把握：当社の中国チームは、Risk Cloudが保持するリスク・監査・第三者・担当者の記録に付くPIPLの越境・センシティブPI・データ国内保存の義務を——貴社の法人、データ量、利用者が誰かに照らして——整理し、別個の越境の同意、データ越境評価、第28条の影響評価、または第39条の保存義務がどこで適用されるかを示します。法的な判断は顧問弁護士とともに下し、当社はその判断が乗る技術的な全体像を作ります。
次に、国内化：国内に留まらねばならない記録のために、同意済みの国内処理と保存を立ち上げて統合します——中国の制度が期待する形で個別の同意を取得した上での本土での保存という法令に沿ったパターン——ですから合法的に出せないものはもはや出ず、LogicGateがすでに役立つ市場では使い続けます。
次に、配信：中国向けのあらゆる接点——本土のユーザーが触れるダッシュボード、アテステーションのポータル、受付フォーム——は本土での公開サービスなので、ICP備案の義務を負い、法令に沿った国内配信を必要とします。21YunBoxはそれを本土の内側から、ICP備案済みの国内インフラ——21YunBox Optimizer——で、すでに運用中のスタックの前段に、作り直しも二つ目のコードベースもなしで配信します。21YunBoxは移行ではなく法令適合のオーバーレイであり、LogicGateの競合ではなくパートナーです。21YunBoxが決してしないこと、そして合法的な提供者が提供できないことは、中国のデータ越境ルールやあらゆるネットワーク制限を迂回することです。21YunBoxはいかなる種類の回避手段も使わず、推奨もしません。結果は、中国の利用者に向けて合法かつ法令に沿って動くGRC構成です。
関連する読み物：
よくあるご質問
LogicGate Risk Cloudは中国で遮断されていますか？
到達性はコンプライアンスの問いではありません。Risk Cloudは公共のインターネット越しに到達するクラウドSaaSです。論点は、LogicGateがそれが保持する記録を米国・EU・英国・オーストラリアのAWS上にホストし、中国本土のリージョンがないことです。中国にいる人にとって、その個人情報をそれらのオフショアのリージョンで保存・処理することは、ページの読み込み速度が何であれ、PIPLが規律する越境移転です。
LogicGate Risk Cloudのデータはどこに保存され、中国リージョンはありますか？
LogicGateのサブプロセッサー一覧はRisk CloudをAmazon Web Services上にホストし、データ所在地を米国・EU・英国・豪州という顧客の選択として示し、Trust Centerはこれを選べる四つのデータセンターとして枠づけます。その四つのどれも中国本土になく、選べる国内の選択肢はありません。
中国チーム向けにLogicGateを運用することはPIPLの越境ルールを発動しますか？
Risk Cloudが中国にいる人——統制とリスクのオーナー、監査人、第三者の取引相手と署名者——についての個人情報を保持するなら、それをオフショアのAWSリージョンへ輸出することはPIPL第38〜40条の下での越境移転であり、通知、個別の同意、クリアした移転メカニズムを要し、一定の量を越える場合はデータ越境安全評価も要し得ます。一部のインシデント・調査・プライバシーの記録は、第28条の下でのセンシティブな個人情報でもあり得ます。21YunBoxは顧問弁護士とともにエクスポージャーを可視化し、本土に留まらねばならない記録のために同意済みの国内保存を立ち上げられます。
