NAVEXは中国本土で使えるか：内部通報・PIPLのセンシティブ個人情報・データの国内保存
NAVEX（旧NAVEX Global）は顧客データを米国またはEUのみにホストし、中国本土のリージョンはありません。したがってEthicsPointやNAVEX Oneが保持する内部通報レポート・調査ファイル・契約書はオフショアに落ち着きます——しばしばセンシティブな個人情報のPIPL越境移転です。データの国内保存・同意・ICPのエクスポージャーと、法令に適合した中国国内の経路をコンプライアンス起点で読み解きます。
NAVEXは中国本土で使えるか
NAVEXが中国本土で「使える」かは、速度ではなくデータの国内保存の問いです——それが保持するホットラインのレポートとケースファイルは、貴社が持つ中で最もセンシティブなデータです。
NAVEX（旧NAVEX Global）は顧客データを米国またはEUのみにホストし——フランクフルトに保存し、アムステルダムにバックアップ——中国本土のリージョンはありません。したがって貴社の中国拠点から収集する内部通報レポート、調査ファイル、第三者契約書はオフショアに落ち着きます：しばしばセンシティブな（第28条）個人情報のPIPL越境移転であり、個別の同意、移転メカニズム、そして事前の影響評価を要します。適法な経路は、中国にとどまらねばならないレコードを、同意済み・ICP備案済みの中国国内の足場に保つことです。
コンプライアンス・スナップショット
- ! 中国から開く——しかし到達性はコンプライアンスの問いではない
- ! 内部通報とケース記録＝PIPL第28条のセンシティブ個人情報
- ! ホスティングは米国またはEU（フランクフルト／アムステルダム）のみ——オフショアの移転
- ✕ 選べる中国本土のリージョンが存在しない
- ✓ 適法な経路：エクスポージャーを可視化し、レコードを国内に国内化し、ICP備案済みで配信
NAVEXの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| NAVEX自身の言葉で、顧客データは二つのリージョン——米国またはEU——のいずれかにホストされる：「データをEUにホストする場合、データはドイツ・フランクフルトに安全に保存・保護され、オランダ・アムステルダムにバックアップされる」、米国にホストする場合は「EU一般データ保護規則（GDPR）の要件に適合して保持される」。中国本土のリージョンは提供されない。 | NAVEX — Data Privacy |
| NAVEX Oneのサブプロセッサー一覧はOkta、Fivetran、Snowflake、Microsoft Azureを挙げ、それぞれ「米国内」および「EU内のホスティングとクラウドインフラのリージョン」で動き、Microsoftは「ホスティング用のAzure」を提供する。挙げられたリージョンはすべて米国またはEU——中国本土には一つもない。 | NAVEX — NAVEX One サブプロセッサー |
| 内部通報・倫理ホットラインのレポートは、通報者のアイデンティティと特定可能な人物に関する申し立てを対にし、しばしば金融・健康・犯罪疑いの行為に触れる——PIPL第28条のセンシティブ個人情報である。それを中国から国外へ出すことは、通知、別個かつ具体的な同意、移転メカニズムの一つ、そして事前の個人情報保護影響評価（PIPL第38〜40条および第55条）を要する越境移転である。 | 個人情報保護法（PIPL）第28条、第38〜40条、第55条 |
| 重要情報インフラ運営者や大量取扱者の場合、中国本土で生成された個人情報は本土内に保存しなければならない（PIPL第40条；サイバーセキュリティ法 第39条（旧第37条）——2026年1月1日施行の2025年改正で振り直され、実質は不変）。オフショアのNAVEXリージョンでは、その義務を果たせない。 | PIPL第40条；サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。
NAVEXのような内部通報ホットラインとGRCプラットフォーム——EthicsPointを中核とする、かつてNAVEX Globalのブランドだった倫理・コンプライアンスのスイート——にとって、中国本土で「使える」かは、受付フォームが読み込まれるかでは決まりません。決めるのは、それが保持するレコードがどこに落ち着くことが許されるかです。NAVEXは、貴社の最もセンシティブなガバナンスデータの記録簿です：通報者のアイデンティティと、名指しされた特定可能な人物に関する申し立てを対にする内部通報・倫理ホットラインのレポート；調査ケースファイル；第三者契約書とその署名者；リスクレジスタ；取締役会と方針の資料。そのすべてが個人情報であり、ホットラインのレポートは企業が保持する中でも最もセンシティブな部類です。NAVEX自身のデータプライバシーページによれば、顧客データは米国またはEUにホストされ——フランクフルトに保存し、アムステルダムにバックアップ——中国本土のリージョンはありません。中国の法が反応するのは、遅延ではなく地理です。
中国でのNAVEX：ひと目で
| 決め手 | NAVEX自身の言葉で——そして中国の法では |
|---|---|
| レコードがどこに置かれるか | NAVEXは顧客データを二つのリージョン——米国またはEU——のいずれかにホストします。その言葉では「データをEUにホストする場合、データはドイツ・フランクフルトに安全に保存・保護され、オランダ・アムステルダムにバックアップされる」。NAVEX Oneのサブプロセッサー（Okta、Fivetran、Snowflake、Microsoft Azure）は「米国内」および「EU内のホスティングとクラウドインフラのリージョン」で動きます。中国本土のリージョンは挙げられていません。 |
| 何を保持し、なぜセンシティブか | 内部通報・倫理ホットラインのレポート（EthicsPoint）、調査ケースファイル、第三者契約書と署名者情報、リスクレジスタ、取締役会と方針の記録。レポートは通報者のアイデンティティと、特定可能な人物に関する申し立てを対にし、しばしば金融・健康・犯罪疑いの事項に触れます——PIPL第28条のセンシティブ個人情報です。 |
| 中国のデータが国境を越える | 貴社の中国拠点から起票されたレポートや、中国を拠点とする相手方を名指しした契約書は、中国で収集された個人情報です。それを米国やEUのNAVEX環境に保持することは、PIPL（第38〜40条）の越境移転（数据出境）です：通知、移転メカニズムの一つ、そして——センシティブデータには——別個かつ具体的な同意と、事前の影響評価。 |
| データの国内保存義務 | 重要情報インフラ運営者や大量取扱者の場合、中国で生成された個人情報は本土に保存しなければならず（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））、何かが出ていく前にデータ越境安全評価が及ぶことがあります。オフショアのNAVEXリージョンでは、その義務を果たせません。 |
| 到達性は軸ではない | 受付フォームが中国で開くかは配信の半分であって、決定ではありません。中国国内から実際に配信される中国向けの通報の面は、ICP備案も負います。エクスポージャーは、レポートがどこに置かれるかであって、ページが描画されるかではありません。 |
本土のリージョンがないため、レポートは国を出る
NAVEXはホスティングの地理を率直に公表しています。そのデータプライバシーページは顧客に、「データを米国にホストする場合、データはEU一般データ保護規則（GDPR）の要件に適合して保持される」こと、そして「データをEUにホストする場合、データはドイツ・フランクフルトに安全に保存・保護され、オランダ・アムステルダムにバックアップされる」ことを伝えます。二つのリージョン、いずれもオフショア。NAVEX Oneのサブプロセッサー一覧も運用面で同じことを述べます——Okta、Fivetran、Snowflake、Microsoft Azureはそれぞれ「米国内」および「EU内のホスティングとクラウドインフラのリージョン」で動く——そしてWhistleBの内部通報製品は「当社のデータセンターはEU内に所在する」と述べます。中国本土はこれらの地図のどれにも現れません。したがってNAVEXが国内のリージョンを開くまでは、貴社の中国拠点から収集するあらゆる倫理レポート・ケースファイル・契約書・リスク記録は、米国またはEUのNAVEX環境に落ち着きます——本土を出た瞬間からの個人情報の越境移転です。
内部通報レポートはセンシティブ個人情報である
NAVEXのエクスポージャーを通常のアプリより鋭くするのは、保持するものの性質です。倫理ホットラインのレポートは中立な記録ではありません：通報者——名指しのことも、匿名のことも——を、特定可能な同僚に関する詳細な申し立てと対にし、金融上の不正、ハラスメント、安全や健康の問題、あるいは犯罪疑いの行為に日常的に触れます。中国の個人情報保護法（第28条）の下では、それはセンシティブ個人情報——漏えいや悪用が人の尊厳や安全を容易に害し得る情報——です。その取扱いには、特定の目的と証明された必要性、別個に取得した同意、そしてデータを扱う前の個人情報保護影響評価（第55条）が求められ——国外へ送る前には、さらに二度目の、具体的な同意が求められます。
ここで皮肉は本物の法的な結び目へと鋭くなります。企業が倫理・コンプライアンスのプログラムを運用するために導入するまさにそのツールが、保持する最もセンシティブなレポートを中国から運び出すのです。そしてそれらのレポートに登場する人々こそ、国外移転に自由には同意できない人々です：匿名で起票した通報者は何にも同意しておらず、申し立てで名指しされた従業員が、自分への告発をオフショアへ送ることを認めるはずもありません。センシティブなレポートを大量に国境を越えて動かすことは、何かが出ていく前に中国のデータ越境安全評価（英語）（数据出境安全评估）を引き込むこともあります。
エクスポージャーを狭めても、扉は閉じない
反射的に、NAVEXとその同業が提供するレバーに手が伸びます——レポートから名前を伏せる、米国よりEUリージョンを選ぶ、ケースを開ける人を制限する、自己管理のデプロイについて尋ねる。どれもやる価値があり、どれも国境を越える もの を減らします。しかしどれも、それが越えるという 事実 を変えません。米国データセンターよりフランクフルトを選ぶことは、センシティブなレポートをあるオフショアの法域から別の法域へ移すだけで、中国本土の中に入れることではありません。そして中国は、NAVEXが文書化するGDPR時代のセーフガード——EU標準契約条項やEU・米国データプライバシーフレームワーク——を、本土から個人情報を国外へ出すための適法な根拠として認めていません；認められる経路は、CACの安全評価、CAC標準契約、またはCAC認定の認証です。墨消しはペイロードを狭めますが、残るものについては国内保存の問いを残し、データ国内保存の義務（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条）（英語）——2026年1月1日施行の2025年サイバーセキュリティ法改正がデータ国内保存の条番号を第37条から第39条へ振り直したもので、実質は不変）は、何件が移動するかではなく、レコードそのものに付きます。
これは判定ではなくリスクの見取り図です。別個の同意、移転メカニズム、データの国内保存、ICP備案、あるいはそれらの組み合わせのどれを負うかは、貴社の法人、データ量、NAVEXが保持するもののうちどれだけが個人情報でセンシティブか、そして通報者と対象者が誰かで変わります——一件でもNAVEXを通す前に、すべて専門家と確定させる価値があります。
法令に沿った経路——可視化し、国内化し、配信する
中国本土に人と事業を持つ組織のためにNAVEXを適法に運用する道があり、それには明確な形があります。まず、可視化（Map）：当社の中国コンプライアンスチームが、貴社のPIPLの越境・データ国内保存・センシティブ個人情報の義務を、実際の法人、データ量、通報者とデータ主体が誰かに照らして読み解きます——NAVEXのどのレコードが中国の地にとどまらねばならないか、どれが適法に国境を越えてよいか、どこでデータ越境安全評価や第39条（旧第37条）の保存義務が及ぶか、通知・同意・影響評価のフローが何をカバーすべきか。法的な結論は貴社の専門家と到達し、当社はそれを支える技術的な全体像を作ります。
次に、国内化（Localize）：本土にとどまらねばならないレコード——中国法が国内に保つセンシティブなレポートとケースデータ——のために、同意済みの国内の置き場所を立ち上げて統合します。NAVEXが自己管理のデプロイをサポートする場合はそれを含みます。一方で、適法に越境してよいすべてについては、NAVEXを記録簿として残します。
次に、配信（Deliver）：あらゆる中国向けの面——本土の人々に実際に配信される従業員向け通報ポータルや受付・開示フォーム——はそこでの公開サービスなので、ICP備案の義務を負い、法令に適合した中国国内からの配信を必要とします。21YunBox Optimizerが、すでに運用中のNAVEXスタックの前段で、ICP備案済みのインフラから中国国内で配信します——作り直しも、二つ目のコードベースも、移行もありません。貴社のNAVEX投資に対して、当社は置き換えではなく、法令適合のオーバーレイでありパートナーです。結果として得られるのは、中国の利用者に向けて適法かつ法令に適合して動く倫理・コンプライアンスのプログラムです。21YunBoxは、いかなる不正な手段も用いず、推奨もしません。
関連する読み物：
よくあるご質問
NAVEXは内部通報・倫理ホットラインのデータを中国に保存しますか？
いいえ。NAVEX自身のデータプライバシーページによれば、顧客データは米国またはEUにホストされ——ドイツ・フランクフルトに保存し、オランダ・アムステルダムにバックアップ——そのリージョンのいずれも中国本土ではありません。したがって貴社の中国拠点から収集するレポート・ケースファイル・契約書はオフショアに保存され、それがこれを速度ではなくデータの国内保存の問いにします。
中国でNAVEXを使うのは違法ですか？
本質的に違法ではありません。問題は個人情報の越境移転であり、PIPLは通知し、個別の同意を取得し、移転メカニズムの一つを満たせばこれを認めます。難しいのは、倫理ホットラインのレポートが第28条のセンシティブ個人情報であり、そこに登場する人々——匿名の通報者、申し立てで名指しされた従業員——がしばしば国外移転に自由には同意できないことです。データの国内保存も負うかは役割とデータ量によります。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxはNAVEXの設定を中国で法令適合にできますか？
はい。当社の中国チームが、貴社の法人とデータ量についてPIPLの越境・国内保存・センシティブ個人情報のエクスポージャーを可視化し、本土にとどまらねばならないレコードのために、同意済み・ICP備案済みの中国国内の置き場所——NAVEXが自己管理デプロイをサポートする場合はそれを含む——を立ち上げます。一方で、適法に越境してよいすべてについてはNAVEXを残します。お問い合わせいただければ、個別のケースを一緒に整理します。
