Postmanは中国本土で使えるか：データの国内保存、ICP、越境のルール
PostmanはクラウドのAPIプラットフォームです。APIコレクション、環境、その中のシークレットと変数は、PostmanのAWSサーバー（EUと米国）に置かれ、中国本土のリージョンはありません。中国のユーザーにとってそれはPIPLの下でオフショアの個人データであり、同時に貴社のAPIキーを国外に集中させます。
Postmanは中国本土で使えるか
Postmanを中国本土で使えるかは、データの国内保存とシークレットの問いであって、速度の問いではありません。Postmanは中国から到達できますが、クラウドのプラットフォームです。APIコレクション、環境、その中の変数とシークレットは、Postman自身のサーバーに保存されます。
Postman自身のセキュリティのドキュメントによれば、その製品データとバックアップはEUと米国のAWSにホストされ——中国本土のリージョンはなく——「環境変数・シークレット・アクセストークン」をPostman Cloudに保持します。中国でAPIが触れる人々にとって、それらのコレクションに取り込まれた個人データはオフショアに保持されます——PIPLが規律する個人情報の越境移転で、通知・個別の同意・移転メカニズムを要し、CIIOや大量取扱者には中国国内の保存を要します。コレクションは日常的に認証情報とサンプルレコードを埋め込むため、Postmanは貴社のキーとサンプルのPIIも国外に集中させます。
これは判定ではなくリスクの見取り図です——義務はデータ量と役割で変わります。当社の中国チームがPostmanのデータとシークレットのリスクを整理します →
コンプライアンス・スナップショット
- ✕ SaaSのみ——中国本土のリージョンなし；コレクション・環境・シークレットはオフショアに置かれる
- ! Postmanは製品データをEUと米国のAWSにのみホスト——中国のリージョンなし
- ! コレクション／変数内の中国ユーザーのPIIをオフショアで保持＝PIPLの越境移転
- ! Postman Cloudに保存される環境変数・シークレット・APIキーが認証情報を国外に集中させる
- ! 到達性チェック（上海でアプリが開くか）は、データの国内保存もシークレットも決して見ない
- ✓ 合法的な経路：規制対象のアプリデータ＋シークレットを中国国内に保ち、中国向けアプリをICP備案する
Postmanの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Postmanは製品データをオフショアにホストし、中国本土のリージョンはない。セキュリティのページはPostmanが「has no in-house data centers and uses AWS to manage its data centers' physical and environmental security,」とし、「Our company's product data and backups are hosted on AWS servers in the EU and the U.S.」と述べる。公表されているデータレジデンシーの選択肢は「hosted in eu-central-1 (Frankfurt)」のEUインスタンスだけで、Echoサービスは「based in the US region.」。いずれも中国本土にはない。 | Postman — Security ページおよび EU Data Residency ドキュメント、2026-10-13 取得 |
| Postmanはシークレットを自社のクラウドに集中させる。Postmanは「environment variables, secrets, and access tokens」を保持しアプリケーション層で暗号化する。シークレットを自社サーバーから外す道として挙げるのはLocal Vaultだけ——「Encrypted on-device only with no secrets synced to Postman Cloud」——だ。それ以外のもの（環境内のAPIキー・データベース認証情報・OAuthトークン）はオフショアのPostman Cloudに保持される。「Postman Private Cloud」は「that Postman manages on your behalf」のシングルテナントのデプロイで、中国本土の所在は明記されておらず、検証済みの中国国内のデータレジデンシーの経路ではない。 | Postman — Security ページ（Secret Security、Private Cloud、FAQ）、2026-10-13 取得 |
| オフショアで保持される中国ユーザーの個人データはPIPLの下での越境移転。コレクションと環境の中の個人情報を国外へ送ることは、通知、個別の同意、移転メカニズム（PIPL 第13条／第23条および第38〜40条）を要する。重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければならない（PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条））。 | PIPL 第13条・第23条・第38〜40条・第40条；サイバーセキュリティ法 第39条（旧第37条） |
| 中国向けのアプリやポータルは自身のICP備案が必要。本土の訪問者へ提供するあらゆるアプリ・開発者ポータル・APIコンソールはインターネット情報サービスであり、中国本土のホスティングに紐づいたICP備案（国務院令第292号；MIIT令第33号）が必要だ——オフショアのプラットフォームを単に到達可能にしてもこれを満たさず、APIデータとシークレットがどこに置かれるかも解決しない。 | 国務院令第292号；MIIT令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月13日に確認しました。
Postmanが中国本土で「使える」かを問うと、正直な答えは、上海からアプリがどれだけ速く開くかではなく、API作業がどこに保存されるかから始まります。PostmanはクラウドのAPIプラットフォームです。構築するコレクション、共有する環境、その中の変数とシークレットは、Postman自身のサーバーに保持されます。Postman自身のセキュリティのドキュメントによれば、その製品データとそのバックアップはAWS（EUと米国）に置かれ、提供されるデータレジデンシーの選択肢はEU（フランクフルト）のインスタンスだけで——中国本土のリージョンはありません。ですから中国でAPIが触れる人々にとって、コレクションに取り込まれたあらゆる個人データは、保存された瞬間にオフショアに置かれ、同時に貴社のAPIキー・データベース認証情報・OAuthトークンが国外に集中します。アプリが到達できることは現実ですが、それは貴社が決めていることの中で最も小さなものです。
中国でのPostman：ひと目で
| 決め手 | Postman自身の言葉では |
|---|---|
| どこで動くか | Postmanのセキュリティのページ：“Our company's product data and backups are hosted on AWS servers in the EU and the U.S.”（当社の製品データとバックアップはEUと米国のAWSサーバーにホストされる）。ドキュメントが提供するデータレジデンシーの選択肢は“hosted in eu-central-1 (Frankfurt)”のEUインスタンス一つだけで、Echoサービスは“based in the US region.”（米国リージョン）。中国本土内にはリージョンがありません。 |
| 何を保持するか | APIコレクションと環境、加えて——Postman自身の言葉で——“environment variables, secrets, and access tokens”（環境変数・シークレット・アクセストークン）を、暗号化してPostman Cloudに保持します。コレクションは日常的に認証情報とサンプルのリクエスト／レスポンスのデータを埋め込むため、その中に個人情報が載ります。 |
| そのデータが置かれる場所 | オフショア。製品データとバックアップがEUと米国のAWSにあるため、コレクションが中国のユーザーから取り込むあらゆる個人データは国外へ移転されます——PIPLが規律する越境移転であり、オフショアのみのプラットフォームでは満たせない国内保存の義務を伴います。 |
| シークレット＋貴社システムへの到達 | 環境は、開発者が貴社自身のシステム——中国国内のシステムを含む——に到達するために使うAPIキー・データベース認証情報・OAuthトークンを保持します。“Encrypted on-device only with no secrets synced to Postman Cloud”（端末上でのみ暗号化され、シークレットはPostman Cloudに同期されない）のはLocal Vaultだけなので、デフォルトではそれらのシークレット、そしてクラウド実行のモニターや保存されたレスポンスが、貴社のキーと貴社システムのデータをオフショアのクラウドへ運びます。 |
| セルフホストの選択肢は？ | Postmanはクラウドベースです。“Postman Private Cloud”は“that Postman manages on your behalf”（Postmanが貴社に代わって管理する）シングルテナントのデプロイで、中国本土の所在は明記されていません——ですから検証済みの中国国内のデータレジデンシーの経路ではありません。現行の選択肢はPostmanに確認してください。 |
| 到達できるか | Postmanのアプリが本土のユーザーにきれいに開くかは配信の問いです——このAPIデータとこれらのシークレットをそもそもオフショアに保持してよいかとは別の、そしてより小さな問いです。 |
Postmanがどこで動くか——そしてそれが最初の問いを決める
Postmanはホスト型のソフトウェアであり、自社のセキュリティのドキュメントでどこかを挙げています。セキュリティのページは”Postman has no in-house data centers and uses AWS to manage its data centers’ physical and environmental security,“（Postmanは自前のデータセンターを持たず、AWSを使う）、そして”Our company’s product data and backups are hosted on AWS servers in the EU and the U.S.”と述べます。公表されているデータレジデンシーの選択肢はEUのものだけで——“If you select the EU Data Residency, your data is stored in EU data centers,“（EUデータレジデンシーを選ぶとデータはEUのデータセンターに保存される）、それは”An instance of Postman hosted in eu-central-1 (Frankfurt),“として提供され、一方”The Postman Echo service … is based in the US region.”です。中国本土のリージョンはありません。ですからチームのワークスペースがどこにあろうと、Postmanが貴社のために保持するコレクション・環境・シークレットはオフショア——EUまたは米国——に置かれます。その一点が、到達性が測られる前にコンプライアンスの問いを決めます。これはビルダーが上海で描画するかではなく、PostmanがそれらをストアするやいなやAPIデータと認証情報が国を出ることについてです。
プロングその一——それらのコレクション内の中国ユーザーのデータは越境移転だ
Postmanの仕事は、貴社のAPI作業を保持することです。コレクション・環境・保存されたサンプルのレスポンス・変数が、ワークスペースに蓄積し、Postmanはそのすべてを”hosted on AWS servers in the EU and the U.S.”の製品データとして保持します。それらのコレクションが中国にいる人々の個人情報——アカウントレコード、連絡先、サンプルのリクエストやレスポンスの中の識別子——を取り込む、あるいは通過させるとき、それを中国の外へ移すことは個人情報保護法（PIPL）に触れます。貴社は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければなりません（PIPL 第13条／第23条および第38〜40条）。重要情報インフラ運営者または大量取扱者であれば、中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法（英語） 第39条（旧第37条）；PIPL 第40条）——オフショアのみのPostmanが満たせないデータの国内保存の要件です。これはアプリケーションとユーザーのデータであって、「アプリがストリーミングできるか」ではなく、この問いの背骨です。
プロングその二——Postmanはシークレットをオフショアに集中させ、貴社システムに手を伸ばす
Postmanはリクエストを保存するだけでなく、貴社システムへの鍵を保存します。自社の言葉で”environment variables, secrets, and access tokens”を保持し——シークレットを自社サーバーから外す道として挙げるのは、“Encrypted on-device only with no secrets synced to Postman Cloud”のLocal Vaultだけです。その選択肢の外にあるものはすべて、設計上、Postman Cloudにあります。それらの環境は、開発者が貴社自身のバックエンド——中国国内のシステムを含む——に到達するために使うAPIキー・データベース認証情報・OAuthトークンを保持します。クラウド実行のモニターが実行されるとき、あるいは保存されたサンプルがライブのレスポンスを取り込むとき、プラットフォームはそれらのシステムからデータをオフショアのクラウドへ引き込みます。ツールの通常の運用そのものが越境の移動であり、貴社の認証情報の国外への集中です。Postmanはコレクションに紛れ込む認証情報を捕まえるためのクラウドのシークレット検知さえ出荷しています——実際にそれらが日常的に紛れ込むことの裏返しです。エディタが開くかだけを確認する探針は、これらを何一つ見ません。
なぜ到達性チェックはこのすべてを見落とすのか
「Postmanは上海から読み込めるか」だけを問うテストは、間違ったものを測っています。コレクション・環境・シークレットが本土外のAWSに保持されていることも、それらのコレクション内の中国の個人データに付く通知・同意・メカニズムの義務も、貴社のAPIキーと貴社システムのデータがオフショアに集中していることも、見えません。プラットフォームを単に到達可能にしても、規制対象のデータやシークレットが中国国内へ移るわけではなく、PIPLが求める移転の根拠も生まれません。中国のオーディエンスに到達することと、彼らのデータを保持し運ぶ許可を得ていることは、別々のテストであり——レイテンシのチャートに現れるのはその一方だけです。
21YunBoxの位置づけ——マッピング・ローカライズ・配信
Postmanを手放すようお願いはしません。ホスト型でオフショアのAPIプラットフォームには提供できないレイヤーを加えます。マッピング： ワークスペースが保持するもの——コレクション・環境・保存されたレスポンス・変数、そしてその中のAPIキー・データベース認証情報・OAuthトークン——、Postmanが到達する貴社自身のどのシステムか、どこでホストされるか、その中の中国のデータの同意と国内保存の根拠を棚卸しします。ローカライズとガバナンス： 規制対象のアプリケーション・ユーザーのデータ——そしてそれらのシークレット——を中国国内に保つ支援を行い、必要な場所では中国国内のバックエンドやボルトを用い、第13条／第23条の通知と個別の同意の根拠を設定し、国境を越えるものを最小化します。配信： あらゆる中国向けのアプリやポータルをICP備案し、すでに運用しているものの前段に21YunBox Optimizerで法令適合の中国国内からの配信を立ち上げます——作り直しも、二つ目のコードベースもなしに。21YunBoxはいかなる種類の迂回手段も使わず、勧めもしません。
これは判定ではなくリスクの見取り図です。通知と同意、移転メカニズム、中国国内の保存、ICP備案、あるいはそれらの組み合わせのどれを負うかは、貴社の法人、データ量、コレクションが運ぶものによって変わります——Postmanを中国向けの作業に展開する前に、法務と確定させる価値があります。
関連する読み物：
よくあるご質問
Postmanは中国ユーザーのデータを中国に保存しますか？
いいえ。Postman自身のセキュリティのドキュメントによれば、その製品データとバックアップはEUと米国のAWSサーバーにホストされ、提供されるデータレジデンシーの選択肢はEU（フランクフルト）のインスタンスだけです。中国本土のリージョンはないため、Postmanが保持するコレクション・環境・シークレット——そしてその中のあらゆる中国の個人データ——はオフショアに置かれます。
中国でPostmanを使うのは違法ですか？
本質的に違法ではありません。問題は、コレクションの中に運ばれる個人情報の越境移転と、APIキーや認証情報の国外への集中です。通知し、個別の同意を取得し、移転メカニズムのいずれかを満たせばPIPLは移転を認めます。さらにデータローカライゼーションの義務を負うかは、役割（例えばCIIOか否か）と取り扱う個人情報の量によります。一律の禁止ではなく、法務と評価すべきリスクとして扱ってください。
21YunBoxはPostmanのスタックを中国で法令適合にする手助けができますか？
はい。当社の中国チームが、貴社のデータ量と役割について越境・データの国内保存・シークレットのリスクを整理し、必要な場所では規制対象のアプリケーション・ユーザーのデータ——およびそれらの認証情報——を中国国内に保ち、すでに運用しているものの前段に法令適合のICP備案済みの中国国内からの配信を立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
