Medusaは中国本土で使えるか：PIPLの越境移転・ICP備案・データの国内保存

MedusaはMITライセンスの、自社ホスト可能なコマースプラットフォームです。ですから中国本土で使えるかは、どこで動かすかで決まります——オフショアにホストしたストアは顧客のPIIと注文を本土の外に置き（PIPLの越境移転）、ストアフロントには依然としてICP備案が必要で、中国の決済はライセンスを持つ国内の経路を通ります。国内保存・ICP・決済のリスクを、コンプライアンス起点で読み解きます。

文責：21YunBox コンプライアンスチーム · 最終確認 2026年10月10日 · Medusaの公式ドキュメントで確認済み

Medusaは中国本土で使えるか

Medusaには切り替えられる中国リージョンはありません——そのMITライセンスのコアは貴社が自社ホストするソフトウェアなので、中国本土で「使える」かは、サーバーをどこで動かし、保持する顧客のPIIと注文で何をするかで決まり、Medusaが決めるのではありません。

Medusaは「カスタムのコマースアプリを構築する」ためのプラットフォームであり、そのデプロイ文書は、貴社が選んだNode.jsのホスト上で「貴社のサーバーがPostgreSQLデータベースに接続する」としています——ですから、それが保持する顧客の氏名・住所・電話番号・注文・行動は、貴社がデプロイした場所に存在します。本土の買い物客を扱うためにそのストアをオフショアにホストすれば、彼らの個人情報のPIPLの越境移転を行っていることになります。公開ストアフロントには依然としてICP備案が必要で、中国の決済はライセンスを持つ国内の経路を通ります。コアがオープンソースで自社ホスト可能なので、適法な手立ては、ストアのデータを国内に留める——エンジンを本土で自社ホストする——こと、配信経路をICP備案すること、決済をライセンスを持つ国内プロバイダー経由に通すことであって、オフショアのストアフロントを到達可能にすることではありません（21YunBoxは決済について助言の立場）。

これは判定ではなくリスクの見取り図です。どの備案・越境メカニズム・決済経路が必要かは、貴社の法人、ホスティング、買い物客が誰かで変わります。当社の中国チームがリスクを一緒に整理します →

コンプライアンス・スナップショット

! MedusaはMITライセンスの自社ホスト型ソフトウェア——コンプライアンスはどこで動かすかに乗る
✕ オフショアにホストしたMedusaストアは、顧客のPIIと注文を本土の外に置く
! 公開ストアフロントには、ライセンスを持つ本土のホストに紐づくICP備案が必要
! 中国の決済はライセンスを持つ国内の経路を通る——21YunBoxは助言、ライセンスは非保有
✓ Medusaを国内で自社ホストし、配信をICP備案し、ライセンスを持つ決済を使う——適法な経路

コンプライアンス評価を依頼する（英語）

データ経路・備案・決済経路を一緒に整理します／開始に中国法人は不要

Medusaの公式ドキュメントが中国について述べていること

事実	一次情報源
MedusaのコアはMITライセンスの自社ホスト型ソフトウェア——切り替えられるMedusa運営の中国リージョンは存在しない。Medusa自身のREADMEは“Medusa uses an open-core model. The core is licensed under the MIT License”（Medusaはオープンコアモデルを採り、コアはMITライセンスで提供される）と述べ、貴社自身が運用する「カスタムのコマースアプリを構築する」ためのプラットフォームだとする。ホストを選び運用するのは貴社なので、ストアフロントを中国本土でライセンス取得し配信できるかはデプロイ先で決まり、Medusaが決めるのではない——本土の買い物客に提供する公開の商用ストアは、ライセンスを持つ本土のホストに紐づくICP備案を要する。	Medusa — GitHub README（github.com/medusajs/medusa）、2026-10-10 取得
貴社が選んだホスト上でMedusaを自社ホストし、そのサーバーはストアのデータを貴社自身のデータベースに保持する。Medusaのデプロイ文書は、アプリは“must be deployed to a hosting provider supporting Node.js server deployments”（Node.jsサーバーのデプロイに対応するホスティングプロバイダーにデプロイされなければならない）とし、“your server connects to a PostgreSQL database, Redis, and other services relevant for your setup”（貴社のサーバーはPostgreSQLデータベース・Redis・その他関連サービスに接続する）とする——顧客アカウント・カート・注文はそのデータベースに存在する。Medusa Cloudはマネージドの代替（“Cloud hosts your server, Admin dashboard, database, and Redis instance”）で、その文書に中国本土のリージョンは挙げられていない。オフショアにデプロイすれば本土の買い物客の個人情報は中国の外に置かれる——PIPL第38〜40条の下での越境移転。	Medusa — Deployment docs（docs.medusajs.com/learn/deployment）＆Cloud FAQ（docs.medusajs.com/cloud/faq）、2026-10-10 取得；PIPL 第38〜40条
本土の買い物客については、Medusaのストアが収集するPIIは、ストアがオフショアにホストされているとき越境移転になる。チェックアウトで収集される氏名・住所・電話番号・メールアドレス・注文履歴は、中国の個人情報保護法の下では個人情報であり、本土の外へ移転するには通知、買い物客の購入への同意とは区別される個別の同意（第13条・第23条）、そして移転メカニズム——CACの安全評価（英語）、CAC標準契約、または認証（第38〜40条）——が必要。	中国個人情報保護法（PIPL）第13条・第23条・第38〜40条、2026-10-10 確認
ストアフロントにはICP備案が必要で、大量取扱者はデータを国内に保存しなければならない。本土の中国に提供される公開ストアフロントはICP備案の義務を負い、取引型のストアは一般にライセンスを持つ本土のホストに紐づく商用ICPライセンス（ICP経営許可証）を要する。海外ホストのストアフロントはそのままではICP備案できない。重要情報インフラ運営者または大量取扱者は、中国で収集した個人データを本土内にも保存しなければならない——サイバーセキュリティ法第39条（旧第37条）（英語）（2025年の改正（2026年1月1日施行）で第37条から第39条へ番号変更、内容不変）；PIPL第40条。	21YunBox コンプライアンスチーム — 中国サイバーセキュリティ法第39条（旧第37条）；PIPL第40条；国務院令第292号；MIIT令第33号、2026-10-10 確認

情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。

中国向けのストアにとって、Medusaをめぐる決め手は「ストアフロントが速く描画されるか」ではありません——顧客の個人情報・注文・行動をどこに置くことが許されるか、そのストアフロントをICP備案できるか、そして中国の決済をどう精算するか、です。Medusaはオープンソースのデジタルコマースプラットフォームです。そのコアはMITライセンスで提供され、貴社が選んだNode.jsのホスト上で自社ホストし、サーバーは顧客・カート・注文を保持するPostgreSQLデータベースに接続します。マネージド版のMedusa Cloudは、そのインフラを貴社に代わって用意します。この自社ホスト可能性こそ、ここでの正直な手立てです——中国の顧客のデータを国内に留められるのは、これのおかげです。答えを決めるのは四つの柱です：顧客PIIの越境移転、公開ストアフロントに必要なICP備案、ライセンスを持つ国内決済、そしてCIIOまたは大量取扱者のための国内保存。

Medusaのデプロイ文書。自社ホストのMedusaアプリは貴社が選んだNode.jsのホスティングプロバイダーにデプロイされ、サーバーは貴社自身のPostgreSQLデータベースに接続すること、そしてMedusa Cloudがマネージドの代替として提供されることが述べられている — “Your server connects to a PostgreSQL database, Redis, and other services relevant for your setup.”（貴社のサーバーは、PostgreSQLデータベース、Redis、その他セットアップに関連するサービスに接続する）。Medusaは貴社が選んだNode.jsのホスト上で自社ホストされるため、顧客・カート・注文を保持するそのデータベースは、貴社が管理する本土のインフラ上に置くことができます。マネージドの代替としてMedusa Cloudも提供されます。出典：Medusa Docs — Deployment

中国でのMedusa：ひと目で

決め手	Medusa自身の言葉で——そして中国の法では
貴社が保持するもの	顧客アカウント——氏名・配送先住所・電話番号・メールアドレス——に加え、カート・注文・閲覧行動が、貴社のMedusaのPostgreSQLデータベースに保持されます。中国の買い物客については、そのすべてが個人情報です。
どこで動くか	MedusaのMITライセンスのコアは貴社が選んだNode.jsのホスト上で自社ホストされ、Medusa Cloudはマネージドの代替で、その文書に中国本土のリージョンは挙げられていません。中国向けのストアをオフショアのデプロイで運用すれば、顧客のPIIと注文はオフショアに置かれます——PIPL第38〜40条の下での越境移転（数据出境）です。
ICP備案の門	ストアフロントは中国における公開のインターネットサービスであり、ICP備案（备案）の義務を負います。海外ドメイン上の海外ホストのストアフロントはそのままではICP備案できないため、法令適合の中国ストアには国内のICP備案済みの配信経路が必要です。
決済と国内保存	中国のモバイルウォレットを受け付けるには、ライセンスを持つ国内の決済経路を通ります——海外のプラットフォームが直接提供できない、規制された非銀行の活動です（21YunBoxはここで助言します。決済ライセンスは保有していません）。CIIOまたは大量取扱者は、データを国内に保存しなければなりません（サイバーセキュリティ法第39条（旧第37条）、PIPL第40条）。
到達性は軸ではない	ストアフロントが読み込めるかは問いではありません。ストアのデータがどこに置かれ、適法に備案され決済されているかが問いです。手立ては、オープンソースのエンジンを本土で自社ホストして顧客のPIIと注文を国内に留め、配信経路をICP備案し、決済をライセンスを持つ国内プロバイダー経由に通すこと。

貴社が実際に保持するもの——顧客PII、注文、行動

Medusaは自らを“a commerce platform with a built-in framework for customization that allows you to build custom commerce applications without reinventing core commerce logic”（コアのコマースロジックを作り直すことなくカスタムのコマースアプリを構築できる、カスタマイズのための組み込みフレームワークを備えたコマースプラットフォーム）と説明しており、そのコアのコマースモジュール——顧客・カート・注文・価格・在庫・フルフィルメント——はオープンソースで、貴社自身のサーバー上で動きます。このアーキテクチャが中国にとって重要なのは、最も規制されるデータがどこに置かれるかを正確に教えてくれるからです。Medusaのストアは、氏名・配送先住所・電話番号・メールアドレスを伴う顧客アカウントを保持し、その顧客が行うカートと注文を保持し、その背後にある行動を記録します。Medusaのデプロイ文書は、そのデータベースがどこに存在するかについて明快です：“Your server connects to a PostgreSQL database, Redis, and other services relevant for your setup.”（貴社のサーバーは、PostgreSQLデータベース、Redis、その他セットアップに関連するサービスに接続する）。

サーバーは、買い物客のブラウザが呼び出す公開のStore APIと、貴社チームが使う特権的なAdmin APIを公開しますが、どちらも同じデータベースを読み書きします。ですから「顧客データはどこに存在するのか？」という問いには一つの答えしかありません——Medusaのサーバーをデプロイした場所、どこであれそこです。中国本土の買い物客を扱うストアにとって、そのデータベースは彼らの個人情報の集積であり、その物理的な所在地はデータの国内保存の問いです。オフショアにデプロイすればその情報は本土の外に置かれ、国内で自社ホストすれば本土に留まります。Medusaはその選択を貴社に委ねます。貴社に代わって選びはしません。

三つの門：顧客データの越境、ICP備案済みのストアフロント、ライセンスを持つ決済

顧客PIIの越境移転。 ストアが個人情報を保持するため、中国向けのストアをオフショアのデプロイで運用することは、そのデータが中国から収集された瞬間に越境移転（数据出境）になります。個人情報保護法は、その義務を取扱者——Medusaではなく、ストア運営者である貴社——に課します。第38〜40条は、明確な通知、買い物客の購入への同意とは区別される個別の同意（第13条・第23条）、そして適法な移転メカニズムのいずれか一つ：CACの安全評価（英語）、CAC標準契約、または認証、を求めます。重要情報インフラ運営者であるか、規制当局の量の閾値を超えて個人情報を取り扱う場合——トラフィックの多いストアは日常的に超えます——には、そのデータは本土内にも保存しなければならず、これはサイバーセキュリティ法（英語）第39条（旧第37条——2025年のサイバーセキュリティ法改正（2026年1月1日施行）により、データ国内保存の条文が第37条から第39条へ番号変更され、内容は変わっていません）のデータ国内保存の義務であり、PIPL第40条が補強します。

ICP備案済みのストアフロント。 中国向けのストアフロントは公開のインターネットサービスであり、本土の利用者に提供される公開サイトはICP備案（备案）の義務を負います。販売して決済を受け付ける取引型のストアは、商用のインターネット情報サービスを行っており、一般にライセンスを持つ本土のホストに紐づく商用ICPライセンス（ICP経営許可証）を要します。海外ドメイン上の海外ホストのMedusaストアフロントはそのままではICP備案できません——ですから本土の買い物客に法令適合で届くとは、海外のストアフロントを単に中国に向けることではなく、国内のICP備案済みの配信経路を持つことを意味します。

ライセンスを持つ国内決済。 中国の主要なモバイルウォレットを受け付けるとは、ライセンスを持つ国内の決済経路を通して精算することを意味し——これは海外のプラットフォームが直接提供できない、規制された非銀行決済の活動です——そして中国の電子商取引法が、さらにプラットフォームと消費者保護の義務を重ねます。21YunBoxは決済をライセンスを持つ国内プロバイダーへ通すことについて助言します。それ自体が決済ライセンスの保有者ではありません。

ストアフロントに到達できるかは問いではない——法令適合の国内ストアが問いだ

Medusaのストアフロントが中国から到達できるかは、コンプライアンスの問いではありません。ストアの顧客PIIと注文がどこに置かれるか、ストアフロントが備案済みか、決済がどう精算されるかが問いです。そしてここでMedusaのライセンスこそ、多くのチームが見落とす突破口です。コアはMITライセンスのオープンソースで、完全に自社ホスト可能です：貴社が選んだNode.jsのホストにデプロイし、サーバーは貴社が管理する本土のインフラ上に置ける“connects to a PostgreSQL database”（PostgreSQLデータベースに接続する）。したがって適法な経路は、オープンなエンジンを本土で自社ホストして中国の顧客のPIIと注文を国内に留め——ストアが収集するものを最小化・仮名化してリスクにさらす個人情報を減らし——その前段に配信経路をICP備案し、中国の決済をライセンスを持つ国内プロバイダー経由に通すことです。データを国内に留めるとは、まさにその通りの意味です：ストアのデータは本土の経路の上に留まり、オフショアへ送って戻すような経路には決して乗りません。

これはリスクの見取り図であって判定ではありません。国内保存の義務が当てはまるか、どの越境メカニズムが合うか、どのICPのトラックと決済経路が必要かは、貴社の法人、保持する個人情報の量、それが誰のものかで変わります——構築の前に具体的な点を専門家と詰めてください。

適法な経路——map（整理）、localize（国内化）、deliver（配信）

Medusaは貴社のコマースプラットフォームのままです。作り直しも移行もありません。21YunBoxが加えるのは、その周りのコンプライアンスと配信のレイヤーです。

Map（整理）。 ストアが保持する顧客PII・注文・行動データ、Medusaのサーバーとそのデータベースが今どこで動いているか、中国の決済がどう扱われているか、ストアフロントが備案済みか、そして同意の根拠を棚卸しし——国内保存・ICP・決済の全体像を具体的にします。
Localize（国内化）。 オープンソースのエンジンを本土のインフラ上で自社ホストして中国の顧客のPIIと注文を国内に留め、ストアが収集するものを最小化・仮名化し、第13条・第23条の同意を取得し、中国の決済をライセンスを持つ国内プロバイダー経由に通す手助けをします。国内化とは、ストアのデータが国内の経路の上に留まることを意味します。
Deliver（配信）。 ストアフロントはICP備案の義務を負い、法令適合の国内配信を必要とする公開サイトです——21YunBox Optimizerが、貴社がすでに運用しているスタックの前段に入り、作り直しは不要です。

21YunBoxはMedusaのコンプライアンスのオーバーレイでありパートナーであって、競合ではなく、決済ライセンスについては助言の立場です。21YunBoxはいかなる種類の不正な手段も用いず、勧めもしません。目標はシンプルです：貴社のMedusaストアが、中国の利用者に向けて合法的に、法令に適合して動くことです。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

よくあるご質問

すでにMedusaを運用しています——中国の顧客に向けるだけでそのまま動きますか？

到達性は問いではありません。Medusaは貴社がホストするソフトウェアなので、オフショアのサーバーから運用するストアは到達できてもICP備案がありません——そして本土の買い物客に提供される公開の商用ストアフロントには備案が必要で、一般にライセンスを持つ本土のホストに紐づく商用ICPライセンス（ICP経営許可証）を要します。一方、Medusaが記録する顧客アカウント・注文・チェックアウトのデータは、サーバーのある場所に存在します。「すでにMedusaを運用している」ことは中国の問いを解決しません。どこでホストするかが解決します。

海外にホストしたMedusaストアから中国本土へ販売するのは問題ですか？

一律のイエス・ノーではなく、専門家と評価すべきリスクとして扱ってください。オフショアにホストすると二つのことが生じます：本土の外から提供される公開ストアフロントはICP備案を持てず、チェックアウトで収集される氏名・住所・電話番号・決済情報は本土を出ます——これはPIPLが規律する個人情報の越境移転（通知、個別の同意、移転メカニズム、第38〜40条）です。重要情報インフラ運営者または大量取扱者であれば、そのデータは中国に保存しなければならない場合があり（サイバーセキュリティ法第39条（旧第37条）、PIPL第40条）、中国の決済はライセンスを持つ国内の経路を通して精算しなければなりません。

21YunBoxはMedusaストアを中国で使えるようにする手助けができますか？

はい。Medusaはオープンソースで自社ホスト可能なので、エンジンを本土のインフラ上で運用して顧客のPIIと注文を国内に留める手助けをし、貴社の法人と買い物客に照らしてPIPLの越境・データ国内保存のリスクを整理し、貴社がすでに運用しているMedusaストアの前段にICP備案済みの国内配信を立ち上げます——作り直しも、二つ目のコードベースも不要——そのうえで、中国の決済をライセンスを持つ国内プロバイダー経由に通すことについて助言します。お問い合わせいただければ、個別のケースを一緒に整理します。

Medusaに関する記事

ウェブサイト

https://medusajs.com/

カテゴリー

eCommerce