Prismicは中国本土で使えるか：オフショアのコンテンツ配信、ICP、PIPLの線引き
Prismicは、中国本土に拠点を持たない単一の米国AWSリージョン（us-east-1）から編集コンテンツを配信します。そのため中国本土内からライブで取得することは配信上のリスクです——一方、適法性を決めるICP備案とPIPLの義務は、CMSではなく、Prismicを組み込むサイトの側にあります。誠実に、コンプライアンス起点で読み解きます。
お使いのPrismicで構築したサイトは中国本土向けに法令適合していますか？
Prismicは、中国本土に拠点を持たないオフショアのAWSリージョンから貴社のコンテンツを配信します。そのため中国本土内からライブで取得することは到達性のリスクです——一方、適法性を決めるICP備案とPIPLの義務は、Prismicを組み込むサイトの側にあります。当社の中国コンプライアンスチームが、配信とICP／PIPLのリスクを整理し、Prismicのワークフローはそのままに、オリジンの前段にICP備案済み・中国国内からの配信を立ち上げます。
コンプライアンス評価を依頼するサイトのホスティング方法と、何を収集しているかをお知らせください。Prismicのワークフローをそのままに、到達性・ICP・越境の経路を整理します。
中国本土の利用者にとって、Prismicについての有益な問いは、「使えるか」のどちらの半分を実際に尋ねているか、です。PrismicはヘッドレスCMSです。編集コンテンツを保存し、自前のCDNエッジから提供されるコンテンツAPIを通じて、貴社のサイトに渡します。そのエッジは、中国本土の内側に拠点を持たない単一の米国リージョンにあります。したがってPrismicレベルでの率直なリスクは到達性です——リクエスト時にPrismicからコンテンツを取得するサイトは、グレート・ファイアウォールの向こうからは遅くなったり不安定になったりしえます。Prismicがそれ自体では しない のは、貴社のプロジェクトをデータの国内保存の問題に変えることです。Prismicが運ぶペイロードは通常、訪問者の個人情報ではなく、貴社自身の文章と画像だからです。中国向けのサイトが適法かどうかを実際に決める備案とプライバシーの義務は、Prismicを組み込むサイトの側にあります——そしてそれらは、配信の問いからきれいに切り分ける価値があります。
中国でのPrismic：ひと目で
| 決め手 | Prismic自身の言葉で |
|---|---|
| どこで稼働するか | “Services and customer data are hosted on Amazon Web Services (AWS) infrastructure in the us-east-1 region (Northern Virginia, USA)”（サービスと顧客データは、us-east-1リージョン〔米国バージニア州北部〕のAWSインフラ上にホストされる）とし、単一のAWSリージョン内の3つのアベイラビリティゾーンにまたがります。中国本土の内側のリージョンはありません。 |
| サイトはどうコンテンツを取得するか | 貴社のフロントエンドは、リクエスト時にcdn.prismic.ioホスト上のPrismicのコンテンツAPIに問い合わせます。そのエッジはオフショアにあり、本土にPoPがないため、取得のたびに国境を越えます。 |
| ペイロードの中身 | 公開表示のために作成された貴社自身の編集コンテンツ——文章、画像、ドキュメント——であり、エンドユーザーの個人情報ではありません。それ自体では、通常、PIPLのユーザーデータの越境移転には当たりません。 |
| 一般への提供 | Prismicを組み込み、本土の訪問者に表示される公開サイトは、中国国内のホスティング上でのICP備案を必要とします。その義務は、CMSではなく、サイトとそのホストに属します。 |
| 例外的なケース | 個人データをPrismicの中でコンテンツとしてモデリングすると、そのデータは取得のたびに本土を離れ——PIPLの越境ルールが、他のペイロードと同様にそれに適用されます。 |
Prismicレベルで本当の問いは到達性
Prismicは、自身がどこで稼働するかを示しています。そのセキュリティ文書には、 「サービスと顧客データは、us-east-1リージョン（米国バージニア州北部）のAWSインフラ上にホストされる」 、 「単一のAWSリージョン内の3つのアベイラビリティゾーンに冗長に展開される」 とあります。貴社のフロントエンドは、ページがビルドまたはレンダリングされるときに問い合わせるcdn.prismic.ioホスト上のPrismicのコンテンツAPIを通じて、そのコンテンツに到達します。それらのアベイラビリティゾーンはいずれも一つの米国リージョンの内側にあり、本土の内側には一つもないため、中国本土内からのリクエストはPrismicのエッジに届くために国境を越えなければなりません。遅さや、ときおりの読み込み失敗はそこから生じます——Prismicを狙ったブロックからではなく、ただの距離と、その間にあるフィルタリングからです。これは本物の配信リスクであり、ネットワーク設計で対処できる半分でもあります。適法性ではなく、到達性として扱ってください。
コンテンツCMSをデータ国内保存の問題と取り違えない
「うちのCMSは米国でホストされている」を越境データの問題として読みたくなりますが、コンテンツCMSにとって、それはたいてい誤った枠組みです。Prismicが保持し配信するのは、貴社のチームが公開表示のために作成した編集コンテンツ——マーケティングの文章、画像、ドキュメント——です。それはエンドユーザーの個人情報ではないため、Prismicの米国インフラを通じてそれを動かすこと自体は、PIPLの下でのユーザーデータの越境移転を生じさせません。これを正直に扱うことが大切です。誇張すれば、Prismicが引き起こしもしない義務をでっち上げ、本当にある義務から注意をそらすことになります。
注意すべき例外が一つあります。Prismicは、コンテンツとしてモデリングしたものなら何でも保存します。したがって個人データ——ユーザープロフィール、フォームの送信内容、実在の人物を特定しうるもの——をPrismicのフィールドに入れると、そのコンテンツは他のペイロードとまったく同様に本土を離れ、PIPLの越境ルール（第38〜43条）がそれに適用されます。経験則は単純です。Prismicはコンテンツのために使い、個人データはそこに入れない——そうすればデータ国内保存の問いは、Prismicの側の線の外にとどまります。
コンプライアンスの扉はCMSではなく、貴社のサイトにある
中国向けのサイトが適法かどうかを決める義務は、Prismicにはまったくかかりません——それを組み込むウェブサイトにかかります。本土の訪問者に表示される公開向けのサイトは、国務院令第292号と工業・情報化部令第33号の下でICP備案を必要とし、その備案は中国本土内に物理的にあるホスティングに紐づかなければなりません。これを決めるのは、CMSがどこにあるかではなく、貴社のHTMLとオリジンがどこから配信されるかです。Prismicを背後に持つヘッドレスのフロントエンドも、中国ユーザーにきれいに稼働するには、それ自身の中国国内・ICP備案済みのホスティングを必要とします。これとは別に、サイト自身がそれらのユーザーから収集するあらゆる個人情報——アカウント、チェックアウトの詳細、サポートチケット——は、取扱者としての貴社のPIPL上の責任です。すなわち、通知、個別の同意、そしてそのデータが本土を離れる場合には移転メカニズム（第38〜43条）、重要情報インフラ運営者または大量取扱者であれば中国国内での保存（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））です。これらはいずれもPrismicが担うものではなく、コンテンツ配信を速くすることで解決するものでもありません。
これは判定ではなくリスクの見取り図です。貴社のサイトがICP備案を要するのか、中国国内での保存を要するのか、それともPrismicへより安定して到達する手立てだけでよいのかは、どうホストするか、どんな個人データを収集するか、そしてユーザーが誰かによって変わります——構築の前に専門家と整理する価値があります。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社は今とまったく同じように、Prismicで執筆を続けます。当社が加えるのは、米国でホストされるコンテンツAPIにはできない部分——既存のオリジンの前段に置く、法令に沿ったICP備案済み・中国本土内からの配信です。これにより、貴社のページは、Prismicのエッジへの越境ラウンドトリップを待つ代わりに、中国ユーザーへ確実に届きます——作り直しも、二つ目のコードベースも、Prismicのワークフローの変更も要りません。当社の中国チームは、二つの半分を別々に整理します。コンテンツの到達性と、組み込み先のサイトにかかるICP・PIPLの義務を、貴社の法人、ホスティング、そしてサイトが実際に収集する個人データに照らして評価します。PrismicはCMSのまま、法令適合の中国拠点はその周りに置かれます。
関連する読み物：
