PrestaShopは中国本土で使えるか：PIPLの越境、ICP備案、データの国内保存

PrestaShopはオープンソースで自分でホストするPHPのストアで、そのMySQLデータベースは顧客のPII・注文・行動を保持します。オフショアのホスティングで動かせば、中国のストアフロントを提供することはPIPLの越境移転になり、ストアフロントには依然としてICP備案が必要で、中国の決済はライセンスを持つ国内経路を通ります。データの国内保存・ICP・決済のリスクと、中国国内でのセルフホストというレバーを、コンプライアンス起点で読み解きます。

文責：21YunBox コンプライアンスチーム · 公開 2024年3月12日

中国本土の顧客向けにPrestaShopを——法令適合に運用していますか？

PrestaShopのストアのMySQLデータベースは、中国の買い物客の氏名・住所・注文・行動を保持し、オフショアのホスティングで動かせばそのデータはPIPLの下で国境を越え、一方で公開のストアフロントには依然としてICP備案が必要です。PrestaShopはオープンソースでセルフホストできるため、当社の中国コンプライアンスチームはそのリスクを整理し、顧客のPIIと注文が本土に留まる中国国内のデプロイを立ち上げ、ストアフロントをICP備案済みのインフラで配信します。21YunBoxは決済のライセンスについて助言的な立場で、中国の決済をライセンスを持つ国内経路へ振り向けます。

コンプライアンス評価を依頼する

ストアがどんな顧客データと決済を運び、PrestaShopがどこで動くかをお知らせください。リスクと合法的な中国国内の経路を整理します。

中国本土の利用者にとって、PrestaShopが「使える」かは、誰かがストアフロントの速さを計る前に片付いています。それは、買い物客のデータがどこに置かれることを許されるか、公開のストアフロントがICP備案を帯びられるか、そして中国の決済がどう完結するかに懸かります。オンラインストアは貴社が保持する最も規制されたデータです——顧客の氏名、配送先住所、電話番号、メール、注文履歴の全体、閲覧行動——そしてPrestaShopではそのすべてが、ショップの背後のMySQLデータベースに置かれます。好都合なことに、PrestaShopはOSL-3.0ライセンスの下でオープンソースであり、PHPアプリケーションを貴社が選ぶホスティングで動かすため、これは到達性の問題ではなく、真のデータの国内保存のレバーになります。残りは四つのプロングが決めます。顧客の個人情報の越境移転、公開ストアフロントのICP備案、ライセンスを持つ国内経路を通る中国の決済、そして大量取扱者になった時点での中国国内の保存です。

PrestaShopのGitHubリポジトリ。PHPで書かれたオープンソースのeコマースのWebアプリケーションであり、OSL-3.0ライセンスの下で自分の中国国内のホスティングで動かせると示している — "PrestaShop is an Open Source e-commerce web application"（PrestaShopはオープンソースのeコマースのWebアプリケーション）——PrestaShop自身のリポジトリは、このプラットフォームをOSL-3.0ライセンスの下でセルフホスト可能なPHPアプリケーションとして公開しています。顧客データを本土に留めるために中国国内で動かせるエンジンです。出典：PrestaShop on GitHub

中国でのPrestaShop：ひと目で

決め手	PrestaShop自身の言葉で——そして中国の法では
何を保持するか	PrestaShopのストアは、顧客アカウント、氏名、配送・請求先住所、電話番号、メール、注文履歴の全体、閲覧行動を、そのMySQLデータベースに保持します。中国向けのショップにとって、それは中国にいる人を記述します——キャッシュではなく、個人情報です。
どこで動くか	PrestaShopはセルフホストです。PHPアプリケーションを貴社が選ぶホスティングにインストールします。多くの外国マーチャントがすでに使うオフショアのホスティングで動かせば、中国の買い物客のデータは国外に置かれます——PIPL第38〜40条の越境移転（数据出境）。同じオープンソースのコアを、代わりに中国国内で動かせます。
ストアフロントは公開サイト	中国で公衆に向くストアフロントは、ライセンスを持つ中国本土のホストに紐づいたICP備案（备案）が必要なインターネット情報サービスです。外国ドメインでオフショアのホスティングから提供されるストアフロントは、そのままでは備案できません。
決済とデータの国内保存	中国の主要なモバイルウォレットは、外国のプラットフォームが直接提供できない規制された活動——ライセンスを持つ国内決済——を通ります。PrestaShopの公式チェックアウトモジュールは国際的な決済代行事業者の上に構築されています。重要情報インフラ運営者または大量取扱者は、中国で収集したデータを本土に保存しなければなりません——サイバーセキュリティ法第39条（旧第37条）。
軸——そしてレバー	到達性は問いではありません。PrestaShopはOSL-3.0のオープンソースでセルフホストできるため、合法的なレバーは、ストアを中国国内のホスティングで動かして顧客のPIIと注文を本土に留め、ストアフロントをICP備案し、中国の決済をライセンスを持つ国内経路へ振り向けることです。21YunBoxは決済のライセンスについて助言的な立場です。

実際に何を保持するのか——顧客のPII・注文・行動

ストアはパイプではありません。貴社の記録のシステムです。PrestaShopはショップの状態を、貴社がプロビジョニングするMySQL（またはMariaDB）のデータベースに保持し、そのデータベースこそ顧客が住む場所です。氏名・配送と請求先住所・電話番号・メールを持つ登録アカウント、注文と請求の履歴の全体、ゲートウェイが返す決済の識別子とトークン、ウィッシュリスト・カート・ショップが記録する閲覧行動、顧客がそこから送るメッセージ。中国向けのストアにとって、それらのフィールドのどれもが中国本土にいる人を記述するため、データベースは個人情報の保管庫です——一時的なキャッシュではありません。その個人情報がどこに置かれるかは、ただ一つのことで決まります——PHPアプリケーションとそのデータベースをどこで動かすか、です。PrestaShopをオフショアのホスティングにインストールすれば国外に置かれ、同じオープンソースのエンジンを中国国内のホスティングにインストールすれば本土に置かれます。その場所——ストアフロントがどれだけ速く描画されるかではなく——が、中国の法が読むものです。

三つの扉：越境する顧客データ、ICP備案済みのストアフロント、ライセンスを持つ決済

データベースが顧客の個人情報だと受け入れれば、三つの扉が順に開きます。

越境の扉。 中国のストアを本土外のホスティングで動かせば、買い物客の個人情報を国境の向こうへ運んだことになります——中国の個人情報保護法（PIPL）の下での越境移転（数据出境）です。取扱者——PrestaShopではなく貴社——は、通知し、移転のための個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を満たさなければならず（第38〜40条）、そもそも適法な取扱いの根拠（第13条と第23条）の上でです。貴社が重要情報インフラ運営者または大量取扱者——活動中のオンラインストアが容易に超えるしきい値——であれば、中国で収集した個人情報はさらに、サイバーセキュリティ法第39条（旧第37条）（2026年1月1日施行の2025年サイバーセキュリティ法改正で、データ国内保存の条文が第37条から第39条に繰り下がったが、内容は変わっていない）の下で本土に保存しなければならず、オフショアのどのリージョンも満たせない国内保存の義務です。

ストアフロントの扉。 中国で公衆に向くストアフロントはインターネット情報サービスであり、中国の公開サイトは、ライセンスを持つ中国本土のホスティングリソースに紐づいたICP備案（备案）の義務を帯びます。外国ドメインでオフショアのホスティングから提供されるストアフロントは、そのままでは備案できません——法令適合の中国のストアには、中国国内のICP備案済みの配信経路が必要です。ストアは取引を行うため、備案は基本の記録ではなく商用のトラックを指します——貴社の法人について正確な経路を確認してください。

決済の扉。 中国の主要なモバイルウォレットを受け付けることは、外国のプラットフォームが直接提供できない規制された非銀行決済の活動——ライセンスを持つ国内決済——を通ります。PrestaShopの公式チェックアウトモジュールは、中国の国内ウォレットの経路ではなく、国際的な決済代行事業者の上に構築されています。中国の電子商取引法とその消費者PIIのルールが、さらにプラットフォームの義務を上に重ねます。21YunBozはここでは助言的な立場です——ライセンスを持つ国内決済の経路へ振り向け、中国の決済ライセンス自体は保有していません。

ストアフロントに到達することは問いではない——法令適合の中国国内のストアがそれだ

PrestaShopはどのLAMPホストにもインストールでき、ストアフロントは到達できます。接続性は障害ではありませんでした。障害はデータの国内保存とライセンスであり、正直な解決は、オフショアのストアを到達可能にすることではなく、顧客のデータを本土に保つことです。PrestaShopはOSL-3.0ライセンスの下でオープンソースで、どこで動かすかを貴社が選べるため、まったく同じエンジンを中国国内のホスティングに立ち上げられ、顧客アカウント・注文・行動が中国を離れることはありません。ついでにストアが集めるものを最小化・仮名化しましょう——保存しないフィールドは、移転する必要のないフィールドだからです。これがそうでないのは、データベースをオフショアのストアへ送って「ローカル」と呼び直すことです。ローカライズとは、ストアのデータが本当に中国国内の経路に置かれ、ICP備案済みのストアフロントの背後にあり、中国の決済がライセンスを持つ国内経路で完結することを意味します。

これは判定ではなくリスクの見取り図です。データローカライゼーションの義務が適用されるか、どの越境メカニズムが合うか、ストアにどのICPトラックが必要か、中国の決済をどうライセンスするのが最善かは、貴社の法人、データ量、それが誰のデータかによって変わります——構築の前に具体を法務と確定させてください。

合法的な経路——マッピング・ローカライズ・配信

マッピング。 PrestaShopのストアが保持する顧客のPII・注文・行動データ・決済フロー、アプリケーションとそのデータベースが今どこで動くか、ストアフロントがICP備案済みか、中国の決済がどう扱われるか、そしてそのすべての背後の同意の根拠を棚卸しします。

ローカライズ。 中国の顧客のPIIと注文を中国国内に保ちます——オープンソースのPrestaShopエンジンのセルフホストのデプロイを本土のインフラに立ち上げ、データベースを本土に留め——そのうえでストアが集めるものを最小化・仮名化し、第13条／第23条の同意を取得し、中国の決済をライセンスを持つ国内経路へ振り向けます（21YunBoxは決済のライセンスについて助言的な立場）。21YunBoxはいかなる種類の迂回手段も使わず、勧めもしません。

配信。 ストアフロントは依然として中国で公衆に向くため、ICP備案の義務を帯び、法令適合の中国国内からの配信が必要です——21YunBox Optimizerを、すでに運用中のスタックの前段に、作り直しも移行もなしに。PrestaShopは貴社のストアのまま、当社がその周りに合法的な中国の境界を加え、中国のユーザーに対して合法的かつ法令に沿って動くようにします。

コンプライアンス評価を依頼する（英語） →

関連する読み物：

PrestaShopに関する記事

ウェブサイト

https://www.prestashop.com/

カテゴリー

eCommerce