OneSpanは中国本土で使えるか：データの国内保存、PIPL、電子署名の有効性
OneSpan Signは、署名済みの契約書、署名者のアイデンティティ、監査証跡を、オフショアのリージョン——米国、カナダ、EU（アイルランド、ドイツ）、またはオーストラリア——に保存し、中国本土リージョンはありません。そのため中国から署名することはPIPLの下での個人データの越境移転になり、海外の電子署名の有効性は、中国の電子署名法の下で別の問いになります。その2つの扉を、コンプライアンス起点で読み解きます。
OneSpanは中国本土で使えるか
OneSpanを中国で使えるかは、まず署名済みの契約書と署名者のアイデンティティデータがどこに保存されるかで決まります——これはデータ国内保存の問いであって、署名者が最初に気づくかもしれない読み込み時間ではありません。ある日の署名ページの挙動がどうであれ、到達性は貴社の法的リスクを定めるテストではありません。
OneSpan自身のデータレジデンシーのページは、OneSpan Signが動くリージョンを列挙しています——"United States," "Canada," "Ireland," "Germany" と "Australia"（"Other countries - on request"）——"by leveraging the global data center networks of our technology partners Amazon Web Services and Microsoft Azure"（技術パートナーのAmazon Web ServicesとMicrosoft Azureのグローバルなデータセンターネットワークを活用して）。そのいずれも中国本土にはありません。したがって中国の誰かが署名すると、締結された文書、そのアイデンティティの証跡、監査証跡はオフショアに置かれます——これはPIPLが規律する個人情報の越境移転であり、通知、個別の同意、適法な移転メカニズムが求められます。その上に、電子署名固有の第二の問いが乗ります——その署名が「信頼できる電子署名」か、そして文書類型がそもそも対象となるか、中国の電子署名法の下で、です。下の表はOneSpan自身の記述と、各ポイントが引き起こすルール——そしてそれらが示す、法令に沿ったICP備案済みの国内経路——を並べたものです。
これは判定ではなくリスクの見取り図です——義務はデータ量・署名者の所在・役割で変わります。当社の中国チームがOneSpanのリスクを一緒に可視化します →
コンプライアンス・スナップショット
- ! 署名済みの契約書、署名者のアイデンティティの証跡、監査証跡はオフショア（米国、カナダ、EU、またはオーストラリア）に保存——中国本土ではない
- ! 中国からの一つひとつの署名が、署名者の個人データを国境の向こうへ送る——PIPLが適用
- ✕ 中国本土のデータ国内保存リージョンは提供されない——「その他の国」もリクエスト時のみで、本土にはない
- ! その電子署名が中国の電子署名法の下で「信頼できる」ものか、文書が対象となるかは、専門家に委ねる問い
- ✓ 法令に沿った経路は存在する——ICP備案済みの国内配信と保存、作り直し不要
Onespanの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| OneSpan自身の言葉：OneSpanのデータレジデンシーのページは、OneSpan Signが動くリージョンを列挙している——"United States," "United States - FedRAMP," "Canada," "Ireland," "Germany" と "Australia,"、"Other countries - on request"（その他の国はリクエストに応じて）——"by leveraging the global data center networks of our technology partners Amazon Web Services and Microsoft Azure"（技術パートナーのAmazon Web ServicesとMicrosoft Azureのグローバルなデータセンターネットワークを活用して）。列挙されたリージョンのいずれも中国本土にはない——最も近いオーストラリアも依然としてオフショア——したがって中国の誰かが署名したときに生成される署名済み契約書、署名者のアイデンティティの証跡、監査証跡は、これらのオフショアのリージョンのいずれかに置かれ、中国の地には置かれない。 | OneSpan — Data Residency (Data Protection in the Cloud)（2026-10-07 取得） |
| そのデータは中国で作成されながら海外に保存されるため、PIPLは一つひとつの署名を個人情報の越境移転として扱う。個人情報の取扱者——OneSpanの顧客であって、OneSpanではない——は、通知し、海外移転について個別の同意を取得し、適法なメカニズムのいずれか一つ（CACの安全評価、CAC標準契約、認証、またはその他の許容される根拠）をクリアしなければならない。 | PIPL 第3章 第38〜43条 |
| その義務がどれほど重いかは、署名を有効にするだけで決まるのではなく、量とデータ種別で決まる。CACの2024年3月の越境規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証は免除される。しかし電子署名——とりわけOneSpanのアイデンティティ検証と組み合わさる場合——は、署名や署名者の連絡先とともにIDドキュメント画像のようなセンシティブな個人情報を日常的に取得し、センシティブデータ・より大きな量・CIIOのステータスはいずれも、より重いメカニズムを再び引き込む。 | CAC — データ越境移転の促進と規範化に関する規定（2024年3月） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければならない（CSL 第39条（旧第37条）、PIPL 第40条）。OneSpanは中国本土リージョンを挙げていないため、中国の署名者の文書とアイデンティティ記録を中国の地に保つには、その保存と配信を本土の内側から運用するほかなく——それはICP備案を発動する行為だ。 | OneSpan — Data Residency（2026-10-07 取得）；CSL 第39条（旧第37条）；PIPL 第40条 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土のユーザーと文書に署名するチームにとって、OneSpanをめぐる決め手は、署名ページがどれだけ速く描画されるかではありません——署名済みの契約書と署名者の個人データがどこに置かれることが許されるか、そして結果として生じる署名が中国法の下で通用するか、です。OneSpan Signは最初の部分を自身のドキュメントで答えています。固定されたオフショアのリージョン群で動いており、そのいずれも中国本土内にはありません。それにより中国向けの署名ワークフローは、到達はできても完全にオフショアでホストされることになり、中国からの一つひとつの署名を、PIPLが規律する個人データの越境移転に変えます——そして、海外の電子署名がそもそも法的に「信頼できる」ものかどうかという、第二の別個の問いを残します。署名は完了するかもしれません。データの国内保存と執行可能性こそがリスクです。
中国でのOneSpan：ひと目で
| 決め手 | OneSpan自身の言葉では |
|---|---|
| どこで動くか | OneSpanはOneSpan Signのリージョンを、米国、米国 – FedRAMP、カナダ、アイルランド、ドイツ、オーストラリアと列挙し、“Other countries - on request”（その他の国はリクエストに応じて）とし、“the global data center networks of our technology partners Amazon Web Services and Microsoft Azure”（技術パートナーのAmazon Web ServicesとMicrosoft Azureのグローバルなデータセンターネットワーク）でホストしています。中国本土内のリージョンはなく、最も近いオーストラリアも依然としてオフショアです。 |
| 何が保存されるか | 署名済みの契約書、署名のセレモニーが取得する署名者のアイデンティティの証跡、そして監査証跡——いずれもそのアカウントのオフショアのリージョン、本土の外に保持されます。 |
| 中国の署名者のデータ | 中国から署名する人々の個人情報は海外に置かれます——PIPLが規律する越境移転であり、通知、個別の同意、適法な移転メカニズムが、OneSpanではなく貴社に求められます。 |
| 署名は有効か | 別個の問いです。中国の電子署名法は、署名が「信頼できる電子署名」である場合にのみ手書きと同等に扱い、特定の文書類型を除外しています——データ層が答える問いではなく、専門家と確定すべき点です。 |
| 国内での提供＆保存 | 署名ワークフローとその記録を中国の地に保つことは、本土の内側から配信することを意味します——それはICP備案で決まります。OneSpanには、備案を紐づける本土リージョンがありません。 |
本土リージョンがないため、署名者のデータはオフショアに着地する
OneSpanは、OneSpan Signがどこに置かれるかを明示しています。そのデータレジデンシーのページは、サービスが”United States,” “United States - FedRAMP,” “Canada,” “Ireland,” “Germany” と “Australia,” で動き、“Other countries - on request,“（その他の国はリクエストに応じて）、“by leveraging the global data center networks of our technology partners Amazon Web Services and Microsoft Azure”（技術パートナーのAmazon Web ServicesとMicrosoft Azureのグローバルなデータセンターネットワークを活用して）と列挙しています。そのいずれも中国本土の外にあり、最も近いオーストラリアも例外ではありません。したがって、締結された文書、署名時に収集されるアイデンティティの詳細、そして誰がいつ署名したかを証明する監査証跡は、すべて本土を越えたリージョンに置かれます。
その地理こそが、これをネットワークの問いではなく法的な問いにするものです。中国の個人情報保護法（PIPL）の下では、中国で収集され海外に保持される個人情報は越境移転であり、義務は個人情報の取扱者——OneSpanではなく、OneSpanの顧客である貴社——に課されます。貴社は、通知し、データを海外へ送ることについて個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません。OneSpanのプラットフォームはアイデンティティの検証も行うため、署名のセレモニーはしばしば センシティブな 個人情報——政府発行IDの画像や署名そのもの——を取得し、それはハードルを下げるどころか上げます。
「信頼できる」署名は、データとは別の問いだ
データの問いが処理されたあとでも、海外の電子署名は中国で自動的に執行可能になるわけではありません。電子署名法は、電子署名が 信頼できる 電子署名の要件を満たす場合にのみ——大まかには、その作成データが署名者の単独の管理下にあり、後の変更が検出可能である場合——手書きの署名と同じ法的効力を与え、婚姻・養子縁組・相続のような個人的な事項を一般に含む文書類型を除外しています。貴社の具体的な文書がそのハードルをクリアするか、そしてオフショアのプラットフォームで生成された署名がそれらについて認められるかは、専門家に委ねるべき問いです。これをデータの国内保存の分析から切り離しておく価値があります。ワークフローは完全に到達可能でありながら、なお法的地位を確認していない署名を生むことがありうるからです。
到達できることは、運用を認められることと同じではない
OneSpanが中国から到達できること自体は、何も解決しません。本土の署名者はメールのリンクを開いてセレモニーを完了するかもしれません。サービスに到達することはテストではありません。到達しても、中国国内のデータ国内保存も、運用のための備案も得られないからです。貴社が重要情報インフラ運営者または大量取扱者である場合、中国で収集した個人情報は本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）——OneSpanのどのオフショアのリージョンも満たせない義務です。そして署名ワークフローを本土の内側から提供または保存すること自体が、国務院令第292号とMIIT令第33号の下でICP備案を発動する行為です。これらはコンプライアンス上の事実であり、どれだけネットワークを調整しても閉じられません。
これは判定ではなくリスクの見取り図です。個別の同意と移転メカニズム、国内保存、ICP備案、あるいはそのすべてが必要かどうかは、何に署名し、どれだけの個人データを保持し、署名者が誰で、そもそも貴社の文書が対象となりうるかによって変わります——いずれも構築の前に専門家と確定させる価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
OneSpanで署名し続けます。当社が加えるのは、オフショアの電子署名プラットフォームには提供できないピースです——法令に沿った、本土の内側からのICP備案済みの配信と保存を、既存のOneSpanワークフローの前段に置きます。作り直しも、2つ目のコードベースも、OneSpanからの移行も要りません。当社の中国チームが、PIPLの越境とデータ国内保存の義務を貴社の法人と取得するデータに照らして整理し、電子署名の執行可能性について専門家の判断が要る箇所を指摘し、合法的な中国拠点に必要な国内配信と保存を立ち上げます。その間、貴社の署名ワークフローはすでに動いているその場所にとどまります。
関連する読み物：
よくあるご質問
OneSpanは中国の署名者のデータを中国に保存しますか？
いいえ。OneSpan自身のデータレジデンシーのページは、OneSpan Signのリージョンを、米国（FedRAMPインスタンスを含む）、カナダ、アイルランド、ドイツ、オーストラリアと列挙し、Amazon Web ServicesとMicrosoft Azureでホストし、その他の国は「リクエストに応じて」のみとしています。列挙されたリージョンのいずれも中国本土にはないため、中国から署名する人々の署名済み文書、アイデンティティの証跡、監査証跡はオフショアに保持されます——これが一つひとつの署名をPIPLの下での越境移転にします。
中国でOneSpanを使うのは違法ですか？
本質的に違法ではありませんが、2つの別々の問いが貴社のリスクを決めます。第一にデータです。署名者の個人情報——そしてアイデンティティ検証を使う場合はIDドキュメント画像のようなセンシティブデータ——を本土外のサーバーへ送ることは、PIPLが通知・個別の同意・適法な移転メカニズムがある場合にのみ認める越境移転であり、データ国内保存は役割（たとえばCIIOかどうか）と取り扱う個人情報の量に応じて当てはまりえます。第二に執行可能性です。海外プラットフォームの署名が「信頼できる電子署名」か、そして文書類型が対象かは、中国の電子署名法が規律し、専門家と確認する価値があります。一律の禁止ではなく、評価すべきリスクとして扱ってください。
21YunBoxはOneSpanを中国で法令適合かつ使えるようにする手助けができますか？
はい。当社の中国チームが、貴社の署名量と取得するデータに照らして越境とデータ国内保存のリスクを評価し、OneSpanが本土で提供しない、法令に沿ったICP備案済みの国内配信と保存を提供します——OneSpanを置き換えるのではなく、使い続けられます。個別のケースを整理するにはお問い合わせください。
