Northpassは中国本土で使えるか：ICP、PIPL、学習者データの置き場所
Northpass——現在はGainsightのCustomer Education（顧客教育）プラットフォーム——は、学習者のデータを米国のデータセンターに保存し、中国本土のリージョンはありません。そのため中国向けのアカデミーはオフショアから配信されます。学習者の個人データはPIPLの下での越境移転となり、公開アカデミーにはICP備案を紐づける先がありません。「二つの扉」をコンプライアンス起点で読み解きます。
Northpassは中国本土で使えるか
読み込まれます——しかしそれは小さいほうの問いです。Northpass（現在はGainsightのCustomer Educationプラットフォーム）は、学習者の氏名・メール・コース記録を米国のデータセンターに保存し、中国本土のリージョンはありません。そのため中国の学習者に提供することは、速度の問題である前に、コンプライアンス上のリスクです。
Gainsightは自社のプライバシー通知で「当社は主要なデータセンターを米国に保有している」と述べ、そのサブプロセッサー一覧はCustomer Education（CE）サービス——Northpassプラットフォーム——を「Amazon Web Services, Inc.」上の「米国」で動かしていて、中国本土の内側に拠点はありません。中国本土の学習者からそのアカデミーへ個人データを収集すると、それは国を出ます——PIPLが規律する個人情報の越境移転（通知、個別の同意、移転メカニズム、第38〜43条）であり、しかもICP備案できないインフラ上でのことです。さらにGainsightは、このデータを「サービスプロバイダーとしての役割で」扱い、貴社の事業が「管理者である」と述べています——ですからPIPLの下では、義務はベンダーではなく貴社のものです。下の表は、Gainsight自身の言葉と、各行が引き起こすルールです。
これは判定ではなくリスクの見取り図です——どの義務が効くかは、法人、データ量、学習者が誰かによって変わります。当社の中国チームが貴社のリスクを一緒に整理します →
コンプライアンス・スナップショット
- ! Northpassは学習者のデータを米国のデータセンターに保存する——中国本土から見ればオフショア
- ! 中国本土の学習者の個人データは国境を越えて米国へ渡る——PIPLが適用
- ✕ オフショアから配信される公開アカデミーには、ICP備案の経路がない
- ✕ Gainsightは中国本土のリージョンを持たない。移転の保護措置はEU/UK向けで、PIPL向けではない
- ! Gainsightはサービスプロバイダーにすぎない——PIPLの取扱者義務は貴社に課される
Northpassの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Northpassは現在Gainsightの顧客教育プラットフォーム——学習者の記録を保持するクラウドLMS——である。Gainsightは2023年7月11日に“it has signed a definitive agreement to acquire Northpass,”（Northpassを買収する確定契約を締結した）と発表し、顧客が“power their digital customer academies”（デジタル顧客アカデミーを動かす）ために選ぶ“market-leading digital customer education platform”（市場をリードするデジタル顧客教育プラットフォーム）と呼んだ。それらのアカデミーは、貴社のコースコンテンツと、その背後にある個人データ——学習者の氏名、メール、進捗、Gainsightの言葉で“course completion rates”（コース修了率）——をホストする。これこそが、中国でこれをデータ国内保存の問いに変えるものだ。 | Gainsight — 「Gainsight Acquires Leading Customer Education Platform Northpass」プレスリリース（2026-10-07 取得） |
| 学習者の個人データは中国本土ではなく米国にある。Gainsightのプライバシー通知——“www.northpass.com”をカバーすると同社が述べる——は、“We maintain primary data centers in the USA”（当社は主要なデータセンターを米国に保有している）と述べ、データが“countries other than the country in which you are located, including the USA”（米国を含む、利用者の所在国以外の国）で処理され得るとする。そのサブプロセッサー一覧は、Customer Education（CE）サービスを“Amazon Web Services, Inc.”上の“United States”（米国）で動かし、DatadogやSnowflakeも米国に拠点がある。どちらのページの拠点も、中国本土の内側にはない。 | Gainsight プライバシーポリシー（2026年4月）および Gainsight サブプロセッサー一覧（2026年9月）（2026-10-07 取得） |
| これにより中国本土の学習者データは越境移転となる——そして義務はGainsightではなく貴社のものだ。中国本土の学習者から収集してオフショアに保存した個人情報は、PIPLの下での越境移転である。取扱者は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（第38〜43条）をクリアしなければならず、CIIOや大量取扱者はそれを中国国内に保たなければならない（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））。Gainsightの通知は、このデータを“in our role as a service provider”（サービスプロバイダーとしての役割で）処理し、貴社の事業が“is the controller”（管理者である）と述べている。したがってPIPLの下では、プラットフォームではなく貴社が、それらの義務を負う個人情報の取扱者だ。 | Gainsight プライバシーポリシー（2026年4月、2026-10-07 取得）；PIPL 第38〜43条・第40条；サイバーセキュリティ法 第39条（旧第37条） |
| Gainsightの越境の保護措置は、中国ではなく欧州向けに作られている。プライバシー通知は、“the European Commission's Standard Contractual Clauses as issued on 4 June 2021,”（2021年6月4日に発行された欧州委員会の標準契約条項）、“UK Addendum,”（英国アデンダム）、“EU-U.S. Data Privacy Framework”（EU・米国データプライバシーフレームワーク）で移転を保護する。これらはGDPRおよび英国GDPRの枠組みであり——どれも承認されたPIPLの移転メカニズムではなく、どれも中国のデータ国内保存のルールを満たさない。EUと英国に対して整っていることは、中国本土のアカデミーをクリアにしない。 | Gainsight プライバシーポリシー（2026年4月、2026-10-07 取得）；PIPL 第38〜43条 |
| コースを中国本土の学習者に提供する公開アカデミーにはICP備案が必要——そしてオフショアのサイトはそれを保有できない。中国本土の訪問者に見せる顧客アカデミーは公開ウェブサイトであり、中国本土に提供される公開サイトは、国務院令第292号および工業・情報化部令第33号の下でICP備案を発動させ、それは中国本土に物理的に所在するホスティングリソースに紐づかなければならない。Northpassは中国本土のリージョンを持たず——Gainsightのサブプロセッサー一覧に中国本土の拠点は示されていない——ため、備案を登録する対象がない。 | 国務院令第292号；工業・情報化部令第33号；Gainsight サブプロセッサー一覧（2026年9月、中国本土の拠点なし）（2026-10-07 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、Northpass——Gainsightが2023年に買収し、現在はCustomer Education（CE、顧客教育）のラインとして運用するプラットフォーム——をめぐる決め手の問いは、コースのページがどれだけ速く描画されるかではありません。学習者の個人データをどこに置くことが許されるか、そして学習者に提供するアカデミーがそもそも中国で運営する許可を得ているか、です。Gainsightは最初の点を自社の文書で答えています——Northpassはデータを米国のデータセンターに保存し、中国本土の内側にリージョンはありません。したがってNorthpass上の中国向けアカデミーは到達はできても完全にオフショアから配信され、中国本土の学習者の氏名・メール・修了記録のすべてを、中国の法が規律する越境移転に変えてしまい、公開アカデミーにはICP備案の足場がありません。コンテンツは読み込まれます。リスクはライセンスとデータの国内保存のほうです。
中国でのNorthpass：ひと目で
| 決め手 | Gainsight自身の言葉では |
|---|---|
| どこで動くか | Gainsightのプライバシー通知は“We maintain primary data centers in the USA,”（当社は主要なデータセンターを米国に保有している）と述べ、そのサブプロセッサー一覧はCustomer Education（CE）サービス——Northpass——を“Amazon Web Services, Inc.”上の“United States”（米国）で動かしています。中国本土の内側にリージョンはありません。 |
| 学習者データを保持するのは誰か | クラウドのLMSです。Northpassは貴社の“digital customer academies”（デジタル顧客アカデミー）と、その背後にある学習者の記録——氏名、メール、進捗、“course completion rates”（コース修了率）——をホストします。その個人データは、上記の米国のデータセンターに着地します。 |
| 義務を負うのは誰か | Gainsightはこのデータを“in our role as a service provider”（サービスプロバイダーとしての役割で）処理し、貴社の事業を“the controller”（管理者）と位置づけています。PIPLの下では、これにより、Gainsightではなく貴社が個人情報の取扱者になります。 |
| 公開して提供すること | 中国本土の訪問者に見せる顧客アカデミーは公開ウェブサイトであり、公開サイトには中国本土のホストに紐づいたICP備案が必要です。中国本土のリージョンを持たないNorthpassには、自前のICP備案の経路がありません。 |
| 移転の保護措置 | Gainsightの越境の保護措置は、EUの“Standard Contractual Clauses,”（標準契約条項）、“UK Addendum”（英国アデンダム）、“EU-U.S. Data Privacy Framework”（EU・米国データプライバシーフレームワーク）です——いずれもGDPRの枠組みであり、どれもPIPLの移転メカニズムではありません。 |
学習者データは実際にどこにあるか
Gainsightは地理について明確です。“www.northpass.com”に適用されると同社が述べるプライバシー通知は、“We maintain primary data centers in the USA,”（当社は主要なデータセンターを米国に保有している）とはっきり述べ、個人データが“countries other than the country in which you are located, including the USA”（米国を含む、利用者の所在国以外の国）で処理され得ると注意しています。そのサブプロセッサー一覧も、ベンダー単位まで同じ話を伝えています——Customer Education（CE）サービスは“Amazon Web Services, Inc.”上の“United States”（米国）で動き、DatadogやSnowflakeなどもすべて米国に拠点があります。中国本土の内側にある項目は一つもありません。学習者のアイデンティティと研修記録を保持することが全業務であるプラットフォームにとって、その一つの事実——データがどこに置かれるか——こそが、誰かが読み込み時間を測るよりずっと前に、中国の分析を始める起点です。
中国本土の学習者のデータは国境を越える——そして義務は貴社のもの
中国本土の学習者から個人データを収集して米国でホストされるアカデミーに入れると、それは国を出ます。中国の個人情報保護法（PIPL）の下では、それは越境移転であり、取扱者は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません（第38〜43条）。重要情報インフラ運営者（CIIO）または大量取扱者は、中国で収集した個人情報を中国本土内に保たなければなりません（PIPL第40条、サイバーセキュリティ法第39条（旧第37条））——米国のデータセンターには満たせないデータ国内保存の義務です。そしてその義務はGainsightが負うものではありません——同社の通知は、このデータを“in our role as a service provider”（サービスプロバイダーとしての役割で）扱い、貴社の事業が“is the controller”（管理者である）と述べており、PIPLの下では、これにより貴社が個人情報の取扱者になります。「研修をNorthpassで動かしている」ことは、その義務をベンダーへ移しません。
欧州向けの保護措置は、中国向けの保護措置ではない
Gainsightは越境移転に対処してはいます——ただし別の国境に対してです。そのプライバシー通知は、“the European Commission’s Standard Contractual Clauses as issued on 4 June 2021,”（2021年6月4日に発行された欧州委員会の標準契約条項）、“UK Addendum,”（英国アデンダム）、“EU-U.S. Data Privacy Framework”（EU・米国データプライバシーフレームワーク）に依拠しています。これらはGDPRおよび英国GDPRの枠組みであり、どれも承認されたPIPLの移転メカニズムではなく、どれも中国のデータ国内保存のルールを満たしません。フランクフルトやロンドンに対して完璧に整っているベンダーでも、中国本土のアカデミーをリスクにさらしたままにし得ます。中国の学習者のデータを規律する法体系は、その書類が一度も名指ししないものだからです。
公開アカデミーには依然としてICP備案が必要
データの問いとは別に、アカデミーそのものが中国本土の訪問者に提供される公開ウェブサイトであり、それは国務院令第292号および工業・情報化部令第33号の下でICP備案（备案）を発動させます。ICP備案は、中国本土に物理的に所在するホスティングリソースに紐づかなければなりません。Northpassは中国本土のリージョンを持たないため、備案を登録する対象がありません——データをオフショアに留める同じ欠落が、アカデミーを届け出不能にします。到達性は、別の、より小さな問題です——ページが速く描画されるかは問いの配信側の半分であって、アカデミーをそもそも中国で運営してよいかを決める法の側の半分ではありません。
これはいずれも判定ではありません——リスクがどこにあるかの見取り図です。ICP備案、中国国内での保存、あるいはその両方が貴社のアカデミーに適用されるかは、何を教え、どれだけの学習者データを保持し、学習者がどこにいるかによって変わります——中国本土で受講登録を開く前に、専門家と整理すべき種類の判断です。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
ここには、Gainsightを離れるよう求めるものは何もありません。NorthpassはそのままLMSであり、コースと学習者記録はその中に残り、チームは今日と同じやり方で働き続けます。当社が加えるのは、米国でホストされるアカデミーが単独では構造的に供給できないレイヤーです——中国本土内から運用されるICP備案済みの配信を、既存のNorthpassアカデミーの前段に置き、中国本土の学習者が法令に適合した中国国内の経路でそこに到達できるようにします——作り直しも、二つ目のコードベースも、コンテンツの分岐もありません。まず当社の中国チームが、貴社の法人と学習者の量に照らして、実際に貴社に適用される義務——PIPLの越境の立ち位置、データ国内保存の義務、公開アカデミーに必要なICP備案——を整理します。そのうえで、適法な中国本土での拠点に必要な中国国内からの配信と保存を立ち上げます。その間、すでに信頼しているプラットフォームはその仕事を続けます。
関連する読み物：
よくあるご質問
研修をNorthpassで運用する場合、中国のデータコンプライアンスはGainsightの問題ですか、それとも当社の問題ですか？
貴社の問題です。Gainsightのプライバシー通知は、貴社のアカデミー内の学習者データを“in our role as a service provider”（サービスプロバイダーとしての役割で）処理し、貴社の事業が“is the controller”（管理者である）と述べ、さらに“not responsible for the privacy or data security practices of our business customers”（事業顧客のプライバシーやデータセキュリティの実務には責任を負わない）と加えています。中国のPIPLの下では、管理者が個人情報の取扱者ですから、中国本土の学習者に関する義務——通知、個別の同意、そしてデータが国を出る前の適法な移転メカニズム——は貴社にあります。Northpassは、コンプライアンスの盾ではなく、貴社が説明責任を負うインフラとして扱ってください。
Northpassで中国向けのアカデミーを運営するのは違法ですか？
イエス・ノーで割り切るのではなく、専門家と評価すべきリスクとして扱ってください。オフショアでホストすることから二つのことが生じます——中国本土の学習者の個人情報が国を出ること（PIPLが規律する越境移転）、そして中国本土の外から配信される公開アカデミーは、公開サイトに必要なICP備案を保有できないこと、です。データ国内保存の義務も適用されるかは、貴社の役割（たとえば重要情報インフラ運営者か）と、保持する個人データの量によります。事実はGainsight自身のものです。それが貴社のケースにどう当てはまるかは、弁護士に確認する価値のある部分です。
21YunBoxはNorthpassのアカデミーを中国で使えるようにする手助けができますか？
はい。当社の中国チームが、実際にどの義務が効くかを整理し——貴社の法人・データ量・学習者に照らしてPIPLの越境とデータの国内保存のリスクを評価し——法令に適合した中国本土での拠点に必要なICP備案済みの中国国内からの配信を、すでに運用しているNorthpassのアカデミーの前段に立ち上げます。GainsightはそのままLMSとして使い続け、Gainsightには供給できない法令適合の中国レイヤーを当社が加えます。個別のケースはお問い合わせから一緒に詰めましょう。
