Rampは中国本土で使えるか：データの国内保存、ICP、越境ルール

中国法人の背後に置かれる法人カード兼経費管理のプラットフォームにとって、Rampについての最初の問いは、ダッシュボードが上海から速く開くかではありません。開きます——ここで決まるのは配信ではありません。Rampは、企業がどう支出するかの記録システムです：カード番号とそれに紐付くあらゆる決済、カード保有者の身元と各カードの背後にいる従業員、立替払いの銀行情報、そして——支払い・会計の側面を通じて——取引先マスターデータ、銀行口座番号、税務上の識別情報。そのほとんどが個人情報であり、カード番号と金融口座番号は中国法の下での機微な個人情報です。Rampはそのデータを米国のクラウドインフラ上で動かし、中国本土のリージョンもセルフホストの選択肢もなく、カードは米国の銀行が発行します。したがって真の軸は二つの扉です：それらの記録がどこに落ち着くことを許されるか、そしてカードを発行し中国国内で資金を動かすこと自体がライセンスを要する活動であるという事実です。いずれもミリ秒で測られるものではありません。

中国でのRamp：ひと目で

本土リージョンがないため、カードと取引先の記録は国外へ出る

データがどこに落ち着くかから始めましょう。決定が実際に決まるのはそこだからです。RampのTrust Centerはインフラ提供者を“Amazon Web Services”と挙げ、サブプロセッサーをそれぞれ“United States”（米国）に所在するとします。いずれも中国本土にはなく、Rampはセルフホストやソブリンリージョンの選択肢を公表していません——自社で運用するクラウド専用のサービスです。これはRampのセキュリティ体制への批判ではありません。同社はSOCの保証報告を保有し、保存時と転送時にデータを暗号化しています。中国にとって重要なのは、ただ一つの事実です：記録は国外に落ち着きます。

そのため、貴社の中国法人が本土の従業員にカードを発行する、あるいは本土の取引先を登録し、Rampがその人物のカード番号・身元・銀行口座・納税者番号を取り込んだ瞬間、中国にいる誰かに関する個人情報は国外のインフラへ移っています。中国の個人情報保護法（PIPL）の下では、それは越境移転であり、PIPLは義務を取扱者——プラットフォームと並んで、貴社——に課します。第38〜40条は、通知、雇用契約や取引先契約とは区別された個別の同意、そして合法的な移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求めます。国が定めるしきい値を超える場合、またはそのデータセットが「重要データ」に該当する場合、そのエクスポートはさらに、何かが出る前に中国のデータ越境安全評価を要することがあります。そしてデータ国内保存の義務が上乗せされることがあります：重要情報インフラ運営者または大量取扱者の場合、中国で収集した個人情報は中国に保存しなければなりません（PIPL 第40条）。同じ論理がサイバーセキュリティ法にも貫かれており、その国内保存の義務は現在、第39条（旧第37条——2025年のサイバーセキュリティ法改正により繰り下げられ、2026年1月1日施行、実質は変わらない）にあります。米国のクラウドストレージは、データ国内保存の義務を満たせません。

カード番号・銀行情報・カード保有者の身元は機微な個人情報である

Rampが何を保持するかを正確にしておく価値があります。それはまさに、中国法が最も慎重に扱うカテゴリだからです。法人カードのプラットフォームが存在する理由は、カード番号、決済ごとの取引の軌跡、そして各支払いの両側にいる人々と取引先の身元——カード保有者の氏名と従業員の記録、立替払いの銀行口座、そして支払いの側では取引先の銀行口座番号と税務上の識別情報——を保持することです。まとめれば、それは実在の人々と彼らが代表する事業体の、詳細な金融プロファイルです。

PIPL 第28条の下では、機微な個人情報とは、漏えいまたは不正利用された場合に人の尊厳や安全を容易に害しうる情報であり——金融口座を名指しで挙げています。カード番号、銀行口座と送金の情報、そしてその背後の身元の記録は、まさにその中に収まります。機微な個人情報の取扱いには、具体的な目的、厳格な必要性、そして——越境の部分については——通常のデータより高い水準で、上述の個別の同意と移転メカニズムが求められます。実務上の帰結はこうです：経費プラットフォームが行う最も有用なこと、すなわち支払いと照合に必要な正確な情報を保持すること、それ自体が、中国向けの利用を利便性ではなく機微データの問いにします。

二つ目の扉：カードの発行と中国への支払いはライセンスを要する活動

データ国内保存は最初の扉にすぎません。Rampはカードを発行し資金を動かすため、二つ目の扉が上乗せされます。Ramp自身の免責記載は、カードが米国の銀行によって発行されることを明言します——“The Ramp Visa Commercial Card is issued by Sutton Bank, Member FDIC,” Corporate Cardは“issued in the U.S. by Celtic Bank,” Business Cardは“Lead Bank, Member FDIC”——そして米国外の新しいプログラムは英国・EEA・カナダのパートナーが発行します。それらの発行体のいずれも中国本土にはありません。本土国内取引のためのカード発行・アクワイアリング・清算は、非銀行決済機関監督管理条例（非银行支付机构监督管理条例、国務院令第768号、2024年5月1日施行）の下でライセンスを要する活動です：国内取引のための決済サービスの提供には国内のライセンスを受けた経路が必要で、国内取引の取引処理・清算・データ保存は中国国内で完結させなければなりません。米銀発行のカードプログラムは中国の決済ライセンスではなく、外国の提供者が自己の勘定でオフショアから本土国内のカード発行や決済を運用することはありません。

これは当社が通り抜ける扉ではなく、整理をお手伝いする扉です。21YunBoxはライセンスを受けた決済機関ではなく、中国の決済ライセンスを保有していないため、ライセンスとレールは、ライセンスを受けた国内の提供者と貴社の専門家にあります。この部分で当社が加えるのは顧問の役割です：貴社の個別のフロー——どの法人が支出するか、その一部でも本土のユーザーへの国内決済やカードサービスの提供に当たるか、どのレールとパートナーに触れるか——が国務院令第768号に照らしてどこに位置するかを見極め、専門家とライセンスを受けたパートナーが確認すべきものを正確に把握できるようにします。これはいずれも、Rampが中国で「遮断されている」という意味ではありません。カードと決済の部分が、データ国内保存とは別に、それ自体のコンプライアンス上の面を持つという意味です。

越えるものを絞っても、扉は閉じない

合理的な本能は、ツールの内側でリスクを減らすこと——Rampのカードを発行する法人を限定する、登録する本土の取引先を絞る、あるいは一部の記録を自社管理のシステムに保つ——です。それらのレバーは引く価値があります：国境を越える個人情報の内容を縮小し、重い方のしきい値を発動させる量を下げられます。しかしそれらは規模を変えるのであって、性質を変えはしません。本土のカード保有者のカード情報や本土の取引先の銀行口座が米国で保存または処理される限り、越境移転はなお起きており、データ国内保存の問いはなお開いたままです。ペイロードを削っても、米国のストレージが国内のものに変わるわけではなく、中国向けの面の備案がなされるわけでもありません。到達性も同様に的外れです——瞬時に開くダッシュボードでも、記録を誤った場所に置いたままにし、カードと決済の部分をライセンスのないままにしておけます。

これらのうち実際に貴社の運用に効くものは、貴社の法人、取扱データ量、中国法の下での役割、そしてカード保有者と支払先が誰かによって変わります——そしてこのページは、そのリスクの見取り図であって、判定ではありません。それぞれの扉を、貴社の中国でのフローがそれに依存する前に、実際に収集・保存・支払うものに照らして適格な専門家と固めるべきリスクとして扱ってください。

合法的な経路——map・localize・deliver

中国の運用の背後でRampを動かす合法的な形があり、それはRampを引き剥がしません。まず、map（整理）。当社の中国コンプライアンスチームが、貴社の実際の構成に照らして、PIPL・データ国内保存・決済ライセンスの義務を読み解きます——どの本土のカード保有者・従業員・取引先の記録を収集するか、取扱データ量、貴社のシステムや役割が重要情報インフラや大量取扱のしきい値に入るか、そして通知と個別の同意のフローが何を伝えるべきか。法的な結論は貴社の専門家と確定し、当社はその判断に供する技術とアーキテクチャの全体像を組み立てます。

次に、localize（国内化）。中国の部分が国内に留まらなければならないところでは、中国居住者のカード保有者・取引先の記録——本土の人々に紐付くカード・身元・銀行・税務の情報——を、同意に基づく国内の足場に保ち、法が求めるところでは本土内で保存・処理します。その間もRampは、貴社の残りの支出について今している仕事を続けます。狙いはカードプラットフォームの置き換えではなく、中国居住者の記録をあるべき場所に置くことです。

次に、deliver（配信）。フローが必要とする中国向けのあらゆる面——カード保有者のオンボーディングポータル、取引先の受付フォーム、本土の利用者が読み込むステータスページ——は本土の公開インターネットサービスなので、ICP備案と法令適合な国内からの配信が必要です。21YunBoxがそれを国内から——21YunBox Optimizer——すでに運用中のスタックの前段に、作り直しも再プラットフォーム化もなく配信します。二つの境界を率直に述べます：決済ライセンスについて当社の役割は顧問です——21YunBoxはライセンスを受けた決済機関ではないため、ライセンスとカード・決済のレールは、当社ではなく、ライセンスを受けた国内の提供者と貴社の専門家にあります。そしてそれ以外のすべてについて、当社はRampと競合するのではなく、法令適合のオーバーレイでありパートナーです。当社が決してせず——誰も合法的にできないのは——中国のデータ越境ルールやネットワーク上の制限を出し抜く手立てを渡すことです：当社は経路を整理し、留まるべき記録を国内化し、面を国内から配信します。21YunBoxはいかなる種類の不正な手段も用いず、また推奨しません。その結果は、中国の利用者に対して合法的かつ法令適合に稼働する、中国向けの運用です。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• 中国の非銀行決済機関監督管理条例（国務院令第768号）（英語）
• PIPLの下での越境データ移転
• 中国のデータ越境安全評価弁法
• 中国のサイバーセキュリティ法——データ国内保存（第39条、旧第37条）（英語）
• 中国のICP備案の取得方法