PocketBaseは中国本土で使えるか：データの国内保存、ICP、越境のルール
PocketBaseは自分で動かすオープンソースのバックエンド——単一の実行ファイルで、マネージドクラウドはありません。そのため中国本土で決め手となる問いは速度ではなく、どこにデプロイするかです。オフショアでホストすれば中国ユーザーのSQLiteデータベース・認証レコード・アップロードされたファイルはPIPLの下で国外に置かれ、中国国内でデプロイすればデータは中国の地に留まります。
PocketBaseは中国本土で使えるか
PocketBaseを中国で使えるかはデータの国内保存の問いであって、速度の問いではありません。PocketBaseは自分で動かすオープンソースのバックエンド——マネージドクラウドのない単一の実行ファイル——なので、法令適合かは、どれだけ速く読み込まれるかではなく、どこにデプロイするかで決まります。
プロジェクト自身のドキュメントによればPocketBaseは「self-hosted only」（セルフホストのみ）で、「実行ファイルをサーバーにアップロードするだけでデプロイできる」。保持するものはすべて——組み込みのSQLiteデータベース、ユーザーの認証レコード、アップロードされたファイル、保存されたS3／SMTPの認証情報——貴社が選んだホスト上のpb_dataディレクトリに置かれます。そのホストをオフショアで動かせば、中国ユーザーの個人情報は国外に置かれます。PIPLが規律する越境移転（通知、個別の同意、移転メカニズム）であり、CIIOや大量取扱者には中国で収集したデータを本土に留める義務があります（CSL 第39条（旧第37条）（英語））。バイナリを中国国内でデプロイすれば、そのデータ——そしてシークレット——は中国の地に留まります。
これは判定ではなくリスクの見取り図です——義務はデータ量と役割で変わります。当社の中国チームがPocketBaseのデプロイを一緒に整理します →
コンプライアンス・スナップショット
- ! PocketBaseのクラウドはない——セルフホストの単一バイナリなので、どこにデプロイするかが決める
- ! アプリのSQLiteデータベース・認証レコード・アップロードされたファイルはすべてpb_dataに置かれる
- ! オフショアでホストすれば中国ユーザーのデータは国外に——PIPLの越境移転
- ! CIIO／大量取扱者は中国の個人データを国内に留めなければならない（CSL 第39条）
- ✓ レバー：バイナリを中国国内でデプロイし、中国向けアプリをICP備案する
PocketBaseの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| PocketBase自身の言葉：それは「completely portable」（完全にポータブル）であり、「外部依存を必要とせず、実行ファイルをサーバーにアップロードするだけでデプロイできる」。PocketBaseが管理するクラウドはなく——FAQは「PocketBase is self-hosted only」（セルフホストのみ）と述べる——そのため選ぶベンダーのリージョンはなく、データがどこに置かれるかは完全に運営者の選択だ。単一の実行ファイルをデプロイしたホストに置かれる。 | PocketBase Docs — Going to production、および FAQ、2026-10-13 取得 |
PocketBaseはアプリケーションのデータを組み込みのSQLiteデータベースに保存し、あわせてユーザーの認証／アカウントのレコードとアップロードされるファイルを、バイナリを動かすサーバー上のpb_dataディレクトリの中にすべて保持する。本番ガイドによれば、保存される設定には「SMTP password and S3 storage credentials」（SMTPパスワードとS3ストレージの認証情報）さえ含まれる。そのバイナリをオフショアのホスティングにデプロイすれば中国ユーザーの個人情報——およびそれらのシークレット——は国外に、中国国内にデプロイすれば中国に落ち着く。 | PocketBase Docs — Going to production（Backup and Restore；Enable settings encryption）、2026-10-13 取得 |
| 貴社のPocketBaseインスタンスは中国のユーザーから収集したアカウント・レコード・ファイル——個人情報——を保持するため、それをオフショアでホストすることはそのデータを国外へ移すこと。PIPLがその越境移転を規律する（第38〜40条）。個人情報の取扱者——PocketBaseではなく運営者である貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければならない。 | PIPL — 個人情報の越境移転（第38〜40条） |
| 重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければならない（PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）——2026年1月1日施行の2025年改正で、データ国内保存の条文が第37条から第39条に繰り下がったが、内容は変わっていない）。オフショアのPocketBaseのデプロイではこの義務を満たせないが、バイナリを中国国内のインフラで動かせば満たせる——そして公開される本土の面を合法に立ち上げることがICP備案を視野に入れさせる。 | サイバーセキュリティ法 第39条（旧第37条）；PIPL 第40条 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
中国本土の利用者にとって、PocketBaseについての本当の問いは「読み込めるか」や「どれだけ速く応答するか」ではありません——PocketBaseは自分で動かすバックエンドなので、それは完全に貴社の手中にあります——保持するデータがどこに落ち着くことを許されるか、です。PocketBaseは単一の実行ファイルとして配布されるオープンソースのバックエンドです。アプリケーションのデータベース、ユーザーが作成するアカウントと認証レコード、ユーザーがアップロードするファイルを保持します。PocketBaseが管理するクラウドはありません。プロジェクト自身のFAQによれば“self-hosted only”（セルフホストのみ）です。それがコンプライアンスのレバーであると同時にリスクでもあります——サーバーを貴社が選ぶため、中国ユーザーのデータを中国の地に留めることもできれば、オフショアのホスティングにデプロイすれば国外に残すことにもなります。エンドポイントが応答することは易しい半分で、データがどこに保存されるかが、法が懸かる半分です。
中国でのPocketBase：ひと目で
| 決め手 | PocketBase自身の言葉で——そして中国の法では |
|---|---|
| データが物理的に落ち着く場所 | PocketBaseはすべてを、単一の実行ファイルをデプロイしたサーバー上のpb_dataディレクトリに保持します——ベンダーのリージョンメニューではありません。バイナリをオフショアで動かせばデータは国外に、中国国内のインフラで動かせば中国に落ち着きます。PocketBaseでは、それは貴社が下す決定です。 |
| 何を保持し、なぜ個人情報か | 組み込みのSQLiteデータベース、ユーザーの認証とアカウントのレコード、ユーザーがアップロードするファイル——そのため中国にいる人の個人情報が、物理的に貴社のPocketBaseインスタンスの中に落ち着きます。 |
| マネージドクラウドはあるか | いいえ。PocketBase自身のFAQで「ホスティングは提供していますか」という問いへの答えは“No. PocketBase is self-hosted only.”（いいえ。PocketBaseはセルフホストのみ）です。ファーストパーティのSaaSも選ぶリージョンもありません——だからこそデータの国内保存は完全に運営者の手中にあります。 |
| オフショアに置かれる中国ユーザーのレコード | オフショアのホスティングにデプロイすると、中国ユーザーの個人情報はPIPLが規律する越境移転（第38〜40条）になります——通知、個別の同意、移転メカニズムのいずれか一つ。 |
| 中国国内の保存義務 | 重要情報インフラ運営者または大量取扱者は、中国で収集した個人情報を中国本土内に保存しなければなりません（PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）（英語））。オフショアのデプロイでは満たせず、中国国内のデプロイなら満たせます。 |
PocketBaseをどこで動かすかを貴社が選ぶ——だからデータを中国に留められる
PocketBaseをマネージドのバックエンドと違うものにしている特長は、そのままコンプライアンス対応を可能にするものでもあります——自分でインストールして動かすのです。自社の本番ガイドによれば、“one of the best PocketBase features is that it’s completely portable”（PocketBaseの最良の特長の一つは完全にポータブルなこと）であり、“doesn’t require any external dependency and could be deployed by just uploading the executable on your server.”（外部依存を必要とせず、実行ファイルをサーバーにアップロードするだけでデプロイできる）。FAQは同じことを反対側から述べます。PocketBaseは“to assist building self-contained applications that can run on a single server”（単一のサーバーで動く自己完結型アプリケーションの構築を支援するため）に作られ、ホスティングを提供するか問われて率直に“PocketBase is self-hosted only”（PocketBaseはセルフホストのみ）と答えます。言い換えれば、貴社のバックエンドは、バイナリを置いた一台のマシンに落ち着きます。そのマシンを中国国内のインフラに向ければ、データベース——そしてその中の個人情報——は構造上、中国の地に留まります。したがってPocketBaseにとってのデータの国内保存の問いは「中国リージョンはあるか」ではなく「中国にデプロイしたか」です。
PocketBaseが保持するのは個人情報だ
PocketBaseは、データの前に置かれるキャッシュやエッジではありません——それ 自体 が貴社のデータです。アプリケーションのレコードを組み込みのSQLiteデータベースに保存し、あわせてユーザーが作成する認証・アカウントのレコードとアップロードするファイルを、動いているサーバー上の単一のpb_dataディレクトリの中にすべて保持します。中国向けの製品にとって、それは本土にいる人の個人情報が物理的にそこに置かれることを意味します。そのインスタンスをオフショアのホスティングに保てば、中国の個人情報保護法（PIPL）の下で貴社は越境移転を行っていることになります。取扱者——PocketBaseではなく運営者である貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません（PIPL 第38〜40条）。「ただ自分でホストするバックエンドだ」はそのいずれも解決しません。インスタンスに到達することと、中国ユーザーのデータをそこに保存する許可を得ていることは、別の問いです。
シークレットも同じホストに置かれる
到達性チェックでは決して見えない第二のリスクがあります。PocketBaseの本番ガイダンスによれば、保存されるアプリケーション設定には“the SMTP password and S3 storage credentials”（SMTPパスワードとS3ストレージの認証情報）が含まれます——だからこそそれらのための任意の暗号化キーを提供しています——さらに有効にしたOAuth2プロバイダー経由のサインインを仲介でき、そのクライアントシークレットも保持します。つまり貴社が選ぶホストは、ユーザーのレコードだけでなく、PocketBaseがメールやオブジェクトストレージのプロバイダーに到達するために使う認証情報も抱えます。まさにここで、セルフホストのエンジンは負債ではなくレバーになります——通常の運用で中国のデータを国境の向こうへ引き、シークレットを国外に集中させてしまうオフショアのプラットフォームと違い、PocketBaseは規制対象のデータ と それらのシークレットを、貴社が管理する一つの場所にまとめて保持します。バイナリをオフショアにデプロイすれば両方が国外に、中国国内にデプロイすれば両方が中国の地に留まります。
どれだけのリスクかは、量と役割で変わる
これらの義務の重さは一律ではありません。CACの2024年3月の「データ越境移転の促進と規範化に関する規定」の下では、重要情報インフラ運営者でなく、暦年で10万人未満の非センシティブ個人情報を移転する取扱者は、安全評価・標準契約・認証のいずれも免除されます——小規模なアプリにとっては確かに軽い経路です。反対の端では、CIIOまたは大量取扱者はデータの国内保存義務を負います。中国で収集した個人情報は中国本土内に保存しなければなりません（PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条）（英語）——2026年1月1日施行の2025年改正で、データ国内保存の条文が第37条から第39条に繰り下がりましたが、内容は変わっていません）。オフショアのホストはこれを満たせません——そしてPocketBaseはセルフホストなので、抜け道は組み込みです。バイナリを中国本土内のインフラで動かすのです。そのデプロイを公開面の背後で合法に立ち上げることが、ICP備案を視野に入れさせます。
なぜ到達性チェックは本当の問いを見落とすのか
本土のユーザーは、オフショアでホストされたPocketBaseインスタンスを開いて使えるため、到達性やレイテンシのテストは「使える」と報告します。しかし到達性は配信側の半分であって、法的な半分ではありません。接続テストが決して見られない違反は、規制対象のデータが オフショアに保存されている ことです。SQLiteデータベース、認証レコード、アップロードされたファイル、保存されたS3／SMTPの認証情報がすべて国外に置かれ、オフショアのインスタンスは、国内保存の義務が求める中国国内のデータのコピーも、公開される本土の面が必要とするICP備案済みの足場（国務院令第292号；MIIT令第33号）も、どちらも保持できません。インスタンスを単に到達可能にすることは問いに答えません。データとシークレットを中国国内に保存することが答えます。
これは判定ではなくリスクの見取り図です。移転メカニズム、中国国内の保存、またはその両方を負うかは、保持するデータ、量、それが誰のものかによって変わります——構築の前に法務と確定させる価値があります。
合法的な経路——マッピング・ローカライズ・配信
PocketBaseはバックエンドとしてそのまま使い続けます。21YunBoxが加えるのは、PocketBase単独では提供するように作られていないコンプライアンス層を、すでに運用中のスタックの周りに配することです——作り直しも、二つ目のコードベースも、PocketBaseからの移行もなしに。
- マッピング。 当社の中国チームが、PocketBaseインスタンスが何を保持するか（SQLiteデータベース、認証・アカウントのレコード、アップロードされたファイル、保存されたS3／SMTP／OAuthのシークレット）と、バイナリがどこで動くかを棚卸しし、貴社のPIPLの越境・データの国内保存・データローカライゼーション（CII）の義務と、あらゆるICPの義務に照らして読み解きます。
- ローカライズ。 法が中国ユーザーのデータを本土に留めることを求める場合、PocketBaseのバイナリを中国国内のインフラで動かす支援を行い、
pb_dataディレクトリ——そしてそれとともにシークレット——を中国に置きます。第13条／第23条の通知と個別の同意を伴い、国境を越えるものを可能な限り少なくします。ローカライズとは中国国内でのデプロイであって、オフショアのエンドポイントへ戻る経路ではありません。 - 配信。 バックエンドの前段にあるあらゆる中国向けの面——アプリ、APIエッジ、本土のユーザーが到達する管理ダッシュボード——を、中国国内のPocketBaseの前段で、ICP備案済みの中国国内からの配信（21YunBox Optimizer）で動かします。
その結果、中国のユーザーに対して合法的かつ法令に沿って動きます。21YunBoxはいかなる種類の迂回手段も使わず、勧めもしません。当社は、貴社がすでに築いている流儀への、法令適合のオーバーレイでありパートナーであって、競合でも移行でもありません。
関連する読み物：
よくあるご質問
PocketBaseは中国ユーザーのデータを中国に保存しますか？
どこにデプロイするかで完全に決まります。PocketBaseにはマネージドクラウドがなく——セルフホストの単一バイナリで、FAQは「セルフホストのみ」とします——そのためデータは実行ファイルを動かす場所に置かれます。オフショアのホスティングにデプロイすればSQLiteデータベース・認証レコード・アップロードされたファイルは国外に、中国国内のインフラにデプロイすれば中国の地に留まります。
中国でPocketBaseを使うのは違法ですか？
本質的に違法ではありません。PocketBaseはセルフホストなので、ソフトウェア自体に違法なところはなく——問いはどこでホストし、どんなデータを保持するかです。中国向けのインスタンスをオフショアでホストすることは個人情報の越境移転になり、通知し、個別の同意を取得し、移転メカニズムのいずれか一つを満たせばPIPLはこれを認めます。さらに中国国内の保存を負うかは、役割（例えばCIIOか否か）とデータ量によります。一律の禁止ではなく、法務と評価すべきリスクとして扱ってください。
21YunBoxはPocketBaseのスタックを中国で法令適合にする手助けができますか？
はい。当社の中国チームが、貴社のデータ量と役割について越境とデータの国内保存のリスクを整理し、PocketBaseを中国国内のインフラで動かしてデータとその保存されたシークレットを本土に留める支援を行い、公開される中国の面に必要なICP備案済みの中国国内からの配信を立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
