RSA Archerは中国本土で使えるか：リスク・監査・コンプライアンスの記録、PIPL、データの国内保存
Archer（旧RSA Archer）は、統合リスク＆コンプライアンスのSaaSを米国・欧州・オーストラリア・アジア太平洋——のちにUAE・インド・カナダ——のAWS上で動かし、中国本土リージョンはありません。それが、中国のユーザーのために保持するリスク登録簿、監査証拠、倫理ケースの記録を、PIPLの越境移転にします。データの国内保存の露出を、コンプライアンス起点で読み解きます。
RSA Archerは中国本土で使えるか
Archer（旧RSA Archer）を中国本土向けに運用できるかは、到達性ではなくデータの国内保存の問いです——コンソールは開きますが、それが保持するリスク・監査・ケースの記録はオフショアに落ち着きます。
Archer SaaSは米国・欧州・オーストラリア・アジア太平洋リージョンにわたるAmazon Web Services上で動き——のちにUAE・インド・カナダに拡張されましたが——中国本土リージョンはありません。したがって、中国のユーザーと従業員のために保持するリスク登録簿、統制と監査の証拠、サードパーティ契約の記録、倫理・調査のケースファイルは、PIPLの下での個人情報の越境移転であり——その一部（識別可能な人についての申し立て）はPIPL第28条のセンシティブ個人情報になり得て——加えてオフショアのリージョンが満たせない、CIIOや大量取扱者のための国内保存の義務があります。これは判定ではなくリスクの見取り図です：具体論は専門家と確定してください。
コンプライアンス・スナップショット
- ! リスク・監査・契約の記録はオフショアのAWS（米国／EU／APAC）に落ち着く
- ! それらは中国のユーザーと従業員のPIが国境を越えるもの——PIPLが適用
- ! 倫理・調査のケースの記録はPIPL第28条のセンシティブ個人データになり得る
- ✕ 選べる中国本土のArcher SaaSリージョンは存在しない
- ! CIIO／大量取扱者は、Archer SaaSが提供できない国内保存の義務を負う
- ✓ 合法的な経路：移転を整理し、留まるべきものを国内化し、ICP備案済みインフラで配信
Archerの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Archer自身の説明は、そのSaaSのフットプリントを中国本土の外に置く。SaaSインフラの拡張に関するプレスリリースで、Archerは「Archer SaaSは現在、米国・欧州・オーストラリア・アジア太平洋リージョン全域で利用可能」で、「Amazon Web Services（AWS）と連携して」構築されていると述べる。以来UAE・インド・カナダのリージョンを加えたが——中国本土リージョンを名乗らないため、リスク・監査・ケースの記録が置かれる国内のArcherのリソースがない。 | Archer — 「Archer Announces Plans to Extend SaaS Infrastructure」、2022年5月25日 |
| ArcherはオフショアのSaaSだけでなく、オンプレミスまたは自己管理でも運用できる。Archerの製品ページは、それを「コストのかかる移行や再構築なしに、オンプレミスまたはSaaSで」デプロイすると記述する。そのオンプレミスまたは自己管理の選択肢こそが本当の国内保存のレバーである：本土の土地に留まらなければならない記録を国内に保持させる——Archerのオフショアのリージョンが単独では提供できない選択。 | Archer — SaaS IRM product page（2026-10-10 取得） |
| それらの記録を国外へエクスポートすることはPIPLの下での越境移転。中国で収集し、Archerのオフショアのリージョンに保存される個人情報は越境移転である：個人情報の取扱者——Archerではなく、その顧客である貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をPIPL第38〜40条の下で満たさなければならない。 | 中華人民共和国個人情報保護法 第38〜40条 |
| CIIOと大量取扱者にとって、データは中国に留まらなければならない。重要情報インフラ運営者が収集する個人情報と重要データは本土内に保存しなければならず（サイバーセキュリティ法第39条（旧第37条）（英語）；PIPL第40条）、そのエクスポートは必須のCACのデータ越境セキュリティ評価（英語）を発動させ得る——オフショアのSaaSリージョンが満たせない義務。 | 中華人民共和国サイバーセキュリティ法 第39条（旧第37条）；PIPL第40条 |
情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。
中国本土の読者にとって、Archer——かつてRSA Archerとして販売された統合リスク＆コンプライアンスのプラットフォーム——についての問いは、コンソールが開くかではありません。開きます。問いは、それが保持する記録がどこに落ち着くことを許されるかです。Archerは、エンタープライズのリスク登録簿、統制ライブラリとポリシー例外、監査証拠とワークペーパー、インシデントと課題のケースファイル、サードパーティとベンダーリスクの評価、そして追跡する契約の中の相手方と署名者の詳細の記録のシステムです——そして倫理・調査の機能がオンになっている場合は、識別可能な人を名指すレポートとケースノートも。そのすべてが個人情報であり、その一部はセンシティブです。Archer自身の説明によれば、そのSaaSは米国・欧州・オーストラリア・アジア太平洋リージョンにわたるAmazon Web Services上で動き——のちにUAE・インド・カナダに拡張され——中国本土リージョンはありません。したがってそれらの記録はオフショアに置かれ、それはパフォーマンスの問いである前に、ずっと中国の法の下でのデータの国内保存と越境の問いです。
中国でのArcher：ひと目で
| 決め手 | Archer自身の言葉では——そして中国の法では |
|---|---|
| 記録がどこに置かれるか | Archerは「Archer SaaSは現在、米国・欧州・オーストラリア・アジア太平洋リージョン全域で利用可能」で、「Amazon Web Services（AWS）と連携して」構築され、のちにUAE・インド・カナダのリージョンがあるとします。1つも中国本土になく、したがって保持するリスク登録簿、監査証拠、ケースファイルはオフショアに置かれます。 |
| 何を保持するか、そしてそれがなぜ個人情報か | リスクと統制のオーナー、監査人、インシデントと課題の当事者、追跡する契約の中の相手方と署名者の詳細は、すべて個人情報です。倫理・調査の機能が動く場合、ケースの記録は識別可能な人についての申し立てを運びます——PIPL第28条のセンシティブ個人情報になり得ます。 |
| 中国のユーザーと従業員のデータ | 中国で収集し、Archerのオフショアのリージョンに保持される個人情報は越境移転です。取扱者——Archerではなく、その顧客である貴社——は、通知、個別の同意、移転メカニズムのいずれか一つを負います（PIPL第38〜40条）。 |
| 国内保存の義務 | 重要情報インフラ運営者（CIIO）または大量取扱者は、中国で収集した個人情報を本土内に保存しなければならず（PIPL第40条；サイバーセキュリティ法第39条（旧第37条））、エクスポートは必須のCAC安全評価を発動させ得ます——オフショアのリージョンが満たせない義務です。 |
| 到達性は軸ではない | ダッシュボードは中国の内側から読み込まれますが、それは配信の半分であって法律の半分ではありません。本土から実際に提供される中国向けのArcherの画面——リスクポータル、アテステーションのキャンペーン、サードパーティ受付フォーム、倫理ホットライン——は、Archerが提供しない本土のホスティングリソースに紐づくICP備案が必要です。 |
本土リージョンがない、だからリスクと監査の記録が国を出る
Archerの地理は、パフォーマンスが問われる前に、2つの別個の問いを決めます。自社のプレスリリースで同社は「Archer SaaSは現在、米国・欧州・オーストラリア・アジア太平洋リージョン全域で利用可能」で、Amazon Web Services上に構築されていると述べ、以来そのフットプリントをUAE・インド・カナダに拡張し、具体的には「国内に留まらなければならないデータを保存する」ためにそうしました。それが手がかりです：Archerは、ある市場の主権ルールが求める場所に国内リージョンを立ち上げます——そして中国本土には1つも立ち上げていません。
第一に、国内保存です。重要情報インフラ運営者（CIIO）または大量取扱者である場合、中国で収集した個人情報は、PIPL第40条とサイバーセキュリティ法第39条（旧第37条）（英語）の下で本土内に保存しなければなりません——2025年のサイバーセキュリティ法改正、2026年1月1日施行が、データ国内保存の条文を第37条から第39条に再採番、実質は不変です。オフショアのArcherのリージョンは、どの地域を選んでもその義務を満たせず、重要データを国外へ動かすことは、そもそも許される前にCACのデータ越境セキュリティ評価（英語）を要し得ます。
第二に、エクスポートのメカニズムです。リスク・監査・ケースの記録をオフショアのリージョンに保持することは、PIPLの下での個人情報の越境移転です：取扱者は、通知し、個別の同意を取得し、経路のいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません（第38〜40条）。良いガバナンスを文書化するためにデプロイしたプラットフォームは、その自身の記録が置かれる場所に付随する義務を免除しません。
リスク登録簿、監査証拠、ケースファイルは個人情報である——その一部はセンシティブ
露出は偶発的ではなく構造的です。Archerの仕事は、組織がリスクとコンプライアンスをどう管理するかの単一の真実の源であることです——つまり、設計上、個人情報を蓄積します：リスクと統制のオーナー、監査人、アテステーションの回答者の氏名・役割・連絡先、インシデントと課題で名指される人のアイデンティティ、そして追跡するサードパーティ契約の中に運ばれる相手方と署名者の詳細。
Archerの倫理、課題管理、調査の機能も動かす場合、センシティブさは一段上がります。それらのケースの記録は、識別可能な個人についての申し立てを保持し、財務上の行為や健康に触れ得ます——PIPL第28条がセンシティブ個人情報として扱う区分であり、独自の個別の同意、実証された必要性、個人情報保護影響評価を要し、国境を越えるときは高められた注意を要します。したがって、組織がコンプライアンスを運用するために採用するツールが、それ自体のPIPLの露出を静かに生み得ます：保持する最もセンシティブな記録こそが、まさにオフショアに落ち着くものです。ある特定のデプロイがその基準に達するかは、どのArcherの機能をオンにし、それが何を取得するかで変わります。
露出を狭めても扉は閉じない
本物のレバーがあり、使う価値があります——しかしそれらは、何が越えるか、どこに置かれるかを変えるのであって、移転が起きることを変えません。フィールドレベルの秘匿とマスキングは、どれだけの個人情報がオフショアのリージョンに落ちるかを縮めます。ケースデータの仮名化は、出るものののセンシティブさを下げます。最寄りのArcherのリージョンを選ぶことはレイテンシを削ります。Archerはまた「コストのかかる移行や再構築なしに、オンプレミスまたはSaaSで」デプロイでき、そのオンプレミスまたは自己管理の選択肢こそが、国内保存を本当に動かすただ一つのレバーです——本土の土地に留まらなければならない記録を、オフショアのペアではなく国内に保持させるからです。
これらのいずれもしないのは、オフショアのSaaSリージョンから本土の存在を作り出すことです：海外の地域間のリージョン選択は依然として海外であり、フィールドをマスクしても記録が置かれる国は変わりません。国内保存と、本土で提供されるあらゆる画面のためのICP備案の足場は、どれだけ秘匿しても影響を受けません。これは判定ではなくリスクの見取り図です——個別の同意、移転メカニズム、国内保存、CAC安全評価、ICP備案、またはそれらの組み合わせのどれが必要かは、法人、データ量、取扱者としての役割、ユーザーが誰かで変わり、依拠する前に専門家と詰める価値があります。
合法的な経路——map・localize・deliver
Archerはそのまま運用し続けます。21YunBoxは、オフショアのSaaSプラットフォームが構造上できない部分を、今お使いのスタックの前段に置くコンプライアンスのオーバーレイとして加えます——Archerからの移行ではなく、エンタープライズのGRCプラットフォームにとっては競合ではなくパートナーとして。
- Map（棚卸し）。 当社の中国コンプライアンスチームが、PIPLの越境、データの国内保存、センシティブPIの義務——そしてあらゆるCIIとICPの義務——を、法人、データ量、ユーザーと従業員が誰かに照らして読み解き、どのArcherの記録が露出し、なぜかを正確に把握します。
- Localize（国内化）。 本土の土地に留まらなければならない記録のために、同意を得た国内の処理と保存を立ち上げます——そう運用する場合はセルフホストまたは自己管理のArcherのデプロイを含めて——国内保存を、前提で済ませるのではなく、源で満たします。
- Deliver（配信）。 あらゆる中国向けのArcherの画面——リスクポータル、アテステーションやポリシー承認のキャンペーン、サードパーティ受付フォーム、倫理ホットライン——は、今お使いのシステムの前段で、ICP備案済みの国内配信（21YunBox Optimizer）の上で提供されます。作り直しも、2つ目のコードベースもありません。
21YunBoxはいかなる種類の不正な手段も用いず、また勧めることもしません。その結果が、中国のユーザーに向けて合法的に、法令に適合して動くArcherの構成です。
関連する読み物：
よくあるご質問
Archer（RSA Archer）は私たちの中国のデータを中国本土に保存しますか？
いいえ。Archer自身の説明によれば、そのSaaSは米国・欧州・オーストラリア・アジア太平洋リージョン——のちにUAE・インド・カナダ——にわたるAWS上で動き、中国本土リージョンを名乗りません。したがって中国のユーザーと従業員のために保持するリスク登録簿、監査証拠、契約記録、ケースファイルはオフショアに置かれ、それがそれらをPIPLの下での個人情報の越境移転にします：取扱者（Archerではなく貴社）が、通知、個別の同意、移転メカニズムを負います。
Archerはコンプライアンスのツールなのに、どうして中国でコンプライアンスのリスクになり得るのですか？
中国のルールは、ツールが何のためかではなく、データがどこに置かれるかで反応するからです。リスクとコンプライアンスを管理するためにデプロイするまさにそのプラットフォームが、リスク登録簿、監査のワークペーパー、そして——倫理・調査の機能がオンのとき——識別可能な人を名指すレポートを保持し、その一部はPIPL第28条のセンシティブ個人情報になり得ます。オフショアのリージョンに保存されると、それらの記録はPIPLが規律するまさにその越境移転です。専門家と精査すべき露出として扱ってください。GRCツールを運用することは、それが収集する個人情報を中国の移転・国内保存のルールから免除しません。
Archerを使い続けつつ、中国で法令適合でいられますか？
はい。21YunBoxは移行ではなくコンプライアンスのオーバーレイです：Archerはそのまま運用し続けます。当社の中国チームが、PIPLの越境、データの国内保存、センシティブPIの義務を、法人・データ量・ユーザーに照らして整理し、本土の土地に留まらなければならない記録を国内化し（そう運用する場合はセルフホストまたは自己管理のArcherを含めて）、あらゆる中国向けのArcherの画面をICP備案済みの国内インフラ上から、今お使いのスタックの前段で配信します。
