Shippoは中国本土で使えるか：データの国内保存・ICP・越境規則
Shippoはオフショアの米国ホスト型配送ソフトウェアです。自社のプライバシー通知によれば個人データを米国内で処理し、中国の外へ移転します——中国本土のリージョンはありません。中国の受取人すべての氏名・住所・電話番号は国外に置かれ、オフショアの配送業者へ放射状に渡されます。PIPLの越境・国内保存・ICPを、コンプライアンス起点で読み解きます。
Shippoは中国本土で使えるか
Shippoを中国で使えるかは、データの国内保存の問いであって、速度の問いではありません。Shippoはマルチキャリア配送ソフトウェアで、ラベルを購入し荷物を追跡するために、中国の小包の受取人すべての氏名・住所・電話番号をまとめて取り込みます。
Shippo自身のプライバシー通知によれば、同社は「個人データを米国内で処理」し、それを「中国の外へ」移転します——中国本土のリージョンはありません。特徴的なエクスポージャーは放射です：その大量の消費者個人情報が「配送業者、Shippoと連携するマーチャントプラットフォーム、サービスプロバイダー」に、いずれもオフショアで開示されます——これはPIPLが規律する越境移転であり、小包規模ではサイバーセキュリティ法 第39条（旧第37条）（英語）の下での大量取扱者の国内保存義務を働かせます。公開する中国向けの追跡ページはICP備案が必要なインターネット情報サービスです。
これは判定ではなくリスクの見取り図です——義務は配送量と役割で変わります。当社の中国チームが貴社のShippoのデータエクスポージャーを一緒に整理します →
コンプライアンス・スナップショット
- ! 中国の受取人すべての氏名・住所・電話番号を保持——大量の消費者PII
- ✕ 中国本土のリージョンなし。データを米国で処理し、中国の外へ移転
- ! 個人情報の越境移転——PIPL第38〜40条が適用
- ! そのPIIを多数のオフショアの配送業者と追跡サブプロセッサーへ放射
- ! 中国向けの追跡ページはICP備案が必要なインターネットサービス
- ✓ 合法的な経路は存在：受取人PIIを国内に保ち、ポータルをICP備案する
Shippoの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Shippo自身の言葉で、その中国プライバシー補遺はこう述べる：“Shippo processes your Personal Data within the United States, so we and our Partners will transfer Personal Data outside of China.”（個人データを米国内で処理するため、当社とパートナーは個人データを中国の外へ移転する）。一般の国際ユーザー向けの節は、データを“in locations around the world (including the United States)”で保存・処理し得ると付け加える。中国本土のリージョンは提供されないため、中国向け発送が生む受取人の個人情報はオフショアに保持される。 | Shippo (Popout, Inc.) — Privacy Notice, 中国補遺、2025年12月17日発効、2026-10-12 取得 |
| Shippoの通知は、発送のために収集するデータ——氏名、メール、電話番号、請求先住所、配送先住所——を“facilitating shipping ... creating labels, tracking shipments, address validation”のために挙げ、“may disclose data to carriers, merchant platforms integrated with Shippo, and service providers”と述べる。つまり各中国受取人の連絡先と住所のデータは、米国に保持されると同時に複数のオフショアの当事者へ放射される（通知はUSPSとFedExの配送業者プライバシー声明を転載）。 | Shippo (Popout, Inc.) — Privacy Notice, 収集データと共有、2026-10-12 取得 |
| Shippoは中国向け発送が生む受取人の氏名・住所・電話番号——個人情報——を保持し、それを米国に保存するため、これはPIPLが規律する越境移転である。個人情報の取扱者（Shippoではなく、その顧客である貴社）は通知と個別の同意（第13条・第23条）を行い、第38〜40条の下で移転メカニズム——CACの安全評価、CAC標準契約、または認証——を満たさなければならない。配送先住所＋電話番号は所在に関わるデータで、第28〜29条の下でハードルが上がる。 | 中国PIPL — 第13・23・28〜29・38〜40条（21YunBox gov-doc）、2026-10-12 取得 |
| 配送プラットフォームは大量の消費者個人情報——すべての小包受取人——を扱い、それを複数のオフショアの配送業者へ複製するため、国内保存義務が働く：サイバーセキュリティ法 第39条（旧第37条）（2025年改正、2026年1月1日施行。37→39へ付番変更、実質は不変）は、重要情報インフラ運営者や大量取扱者が中国で生成した個人情報を本土に保存することを求め——米国専用のプラットフォームには満たせない。 | 中国サイバーセキュリティ法 — 第39条（旧第37条）（21YunBox gov-doc）、2026-10-12 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月12日に確認しました。
Shippoで中国本土に発送する企業にとって、決め手は「上海からラベルがどれだけ速く印刷され、追跡ページがどれだけ速く描画されるか」ではありません。決め手は、データがどこに置かれることを許されるか、です——Shippoはマルチキャリアの配送・ラベルプラットフォームで、中国の法が最も気にするもの、すなわちすべての荷受人の個人情報を小包規模で取り込むからです。ラベルを購入し小包を追跡するために、Shippoは中国の受取人それぞれの氏名・配送先住所・電話番号を取り、そのデータを、実際に配送し追跡する配送業者・マーケットプレイス連携・サービスプロバイダーへ放射状に渡します。Shippo自身のプライバシー通知によれば、同社はその個人データを米国内で処理し、中国の外へ移転し、中国本土のリージョンは提供しません。これがまずコンプライアンスリスクの問いであって、パフォーマンスの問いではない理由です。
中国でのShippo：ひと目で
| 決め手 | Shippo自身の言葉で——そして中国の法で |
|---|---|
| 何を保持するか | 荷受人の個人情報を規模で：すべての中国の小包について、受取人の氏名・配送先住所・電話番号、加えてメール、請求・取引の詳細、連携した配送業者・マーケットプレイスのアカウント認証情報——Shippoの言葉では“facilitating shipping ... creating labels, tracking shipments, address validation”（配送の円滑化…ラベル作成、荷物追跡、住所検証）のために収集されます。 |
| どこで動くか | ShippoはオフショアのクラウドSaaSです。プライバシー通知は、個人データを“processes your Personal Data within the United States”（米国内で処理）し、“in locations around the world (including the United States)”で保存・処理し得るとし、中国補遺は“transfer Personal Data outside of China”（個人データを中国の外へ移転）すると確認します。中国本土のリージョンもデータ国内保存の選択肢もありません。 |
| 受取人PIIの国内保存 | 中国向け発送が生む受取人の詳細のすべてが米国に置かれます——PIPL第38〜40条の下での越境移転であり、第13条／第23条の通知と同意に加わります。自宅住所＋電話は所在に関わる高リスクなデータで、PIPL第28〜29条の下でハードルが上がります。 |
| 大量・多者への放射 | これは到達性チェックが決して見ない半分です。Shippoはデータを保持するだけでなく、“may disclose data to carriers, merchant platforms integrated with Shippo, and service providers”（配送業者、Shippoと連携するマーチャントプラットフォーム、サービスプロバイダーに開示し得る）とします（通知はUSPSとFedExのプライバシー声明を転載）。中国の大量の消費者PIIが多数のオフショアの当事者へ放射される——まさに国内保存義務（サイバーセキュリティ法 第39条（旧第37条））が働く場面です。 |
| 消費者向け追跡ページ | 中国本土の受取人に提供するブランド追跡ページやセルフサービスページは公開のインターネット情報サービスであり、本土のホスティングリソースに結びついたICP備案（备案）の義務を負います。Shippoがホストするページはオフショアで動くため、それ自体にICP備案の経路はありません。 |
| 到達性は軸ではない | ラベルAPIや追跡ページが本土から速く応答するかは運用上の問題で、コンプライアンスの問いではありません。決め手は、受取人PIIがどこに置かれ、誰に渡されるか、です。21YunBoxは規制対象のデータを国内に保ち、公開の追跡ページをICP備案し、適合的に配信することを支援します——21YunBox Optimizer——すでに運用中のShippoの前段に。 |
実際に何を保持するか——中国の荷受人を、まとめて
Shippoはフォントやスクリプトのような静的なアセットではありません。中国へ送るすべての小包を取り巻くデータレイヤーで、たいていアカウント保有者ですらない人々——貴社の顧客の顧客——の個人情報を集中させます。配送ラベルを作成し配送を追跡するために、Shippoは各受取人の氏名・配送先住所・電話番号を、メール・請求・取引情報、そして接続した配送業者・マーケットプレイスのアカウント認証情報とともに収集・保存します。自社の通知は、これらのサービスを提供する際に同社が“a data processor of consumer personal data”（消費者個人データのデータ処理者）として行動すると明言します。現実的な配送量では、これは安定した大量の消費者個人情報の流れであり——Shippoがそれを米国内で処理するため、その流れは既定で国境を越えます。
3つの扉：受取人PIIの国内保存、大量の放射、そしてICP
第一の扉は個人情報の国内保存です。中国向け発送が生む受取人の氏名・住所・電話番号は中国の個人情報保護法の下で個人情報であり、米国のリージョンに保持することは越境移転（数据出境）です。義務は、Shippoではなく、個人情報の取扱者である貴社に課されます：第13条と第23条は収集のための通知と根拠を求め、第38〜40条は国外へ送るための移転メカニズム——CACの安全評価、CAC標準契約、または認証——を求めます。配送先住所と電話番号の組み合わせは所在に関わる高リスクなデータであり、PIPL第28〜29条が特定目的・必要性・個別の同意のテストでハードルを上げます。
第二の扉は、配送プラットフォームを通常のオフショアアプリと分けるもので、速度テストが盲目な半分です：大量と放射です。Shippoはすべての小包の荷受人PIIを取り込み、そして自社の説明によれば、それを“carriers, merchant platforms integrated with Shippo, and service providers”（配送業者、Shippoと連携するマーチャントプラットフォーム、サービスプロバイダー）へ開示します——オフショアのサブプロセッサーの網で、通知はデータがどこまで旅するかの証としてUSPSとFedExの配送業者プライバシー声明を転載します。中国で生成された大量の消費者個人情報が、国外の複数の当事者へ複製される——これこそ国内保存義務を引き起こすパターンです：サイバーセキュリティ法（英語）第39条（旧第37条——2026年1月1日施行の2025年サイバーセキュリティ法改正がデータ国内保存の条文を第37条から第39条へ付番変更。実質は不変）は、重要情報インフラ運営者や大量取扱者が中国で生成した個人情報を本土に保存することを求め、米国専用のプラットフォームには満たせません。その義務が貴社のケースに効くかは量と役割で変わります——確定したラベルではなく、専門家と確認すべきリスクとして扱ってください。
第三の扉はICP備案です。中国向けのブランド追跡ページや受取人のセルフサービスページを本土のユーザーに公開するなら、それは公開のインターネット情報サービスを運用していることになり、本土内に物理的に置かれたホスティングリソースに結びついたICP備案（ICP备案）の義務が生じます。Shippoがホストする追跡ページはオフショアで動くため、備案の対象になるものがそこにはありません——スタックを調整しても、備案に必要な本土の土台は生まれません。
到達性チェックはこれを見ない
Shippoは中国で単に読み込みを拒むたぐいのサービスではありません——エクスポージャーは遅い描画よりも静かで、より持続的です。たとえラベルAPIと追跡ページが本土から瞬時に応答しても、それらを使うことは、中国の受取人の氏名・住所・電話番号を国外に置き、オフショアの配送業者とサブプロセッサーの連鎖に手渡すことに変わりありません。到達性テストは「リクエストは返ってきたか？」に答えます。荷受人データがどこに置かれ、いくつの当事者に届き、公開の追跡ページが合法的に備案されているかには盲目です。データがどこに置かれ誰が保持するかであって、どれだけ速く届くかではないことが、中国の法が反応する対象です。
これは判定ではなく、Shippoが中国で「ブロックされている」「違法だ」というものでもありません。どの義務が貴社に適用されるかは、法人、配送量、中国の法の下での役割、誰の個人情報を発送しているかで変わります——中国のフルフィルメントがそれに依存する前に、具体を専門家と詰める価値があります。
合法的な経路——map, localize, deliver
中国の事業向けにマルチキャリア配送を運用する適合的な方法があり、それはチームがすでに使うShippoの前段に置かれます——作り直しも、二つ目のツールも、移行もなく。
まずmap（把握）：当社の中国チームが、Shippoアカウントが何を保持するか——各発送の受取人の氏名・住所・電話番号、追跡データ、そして中国向けの追跡・セルフサービスページ——を棚卸しし、どこにホストされているか（オフショアの米国リージョン）、どの配送業者とサブプロセッサーに開示されるか、公開ページのICPステータス、各フローが依拠する同意と国内保存の根拠を明らかにします。技術的な見取り図は当社が描き、法的な結論は専門家と詰めます。
次にlocalize／govern（国内化・統制）：規制対象のデータ——荷受人PII——を合法的な中国国内の経路に保ち、第13条／第23条の通知と同意を取得し、すべての受取人の住所と電話番号が既定で各配送業者へ国外に複製されるに任せるのではなく、大量取扱者の国内保存の期待に応えることを支援します。国内化とは、データを国内の経路に保つことであって——いずれにせよオフショアへ送る経路では決してありません。
そしてdeliver（配信）：中国向けの公開の追跡・セルフサービスページはインターネット情報サービスであり、本土のホスティングに結びついたICP備案の義務を負い、法令に適合した中国国内からの配信を要します。21YunBoxはそれを立ち上げます——21YunBox Optimizer——すでに運用中のものの前段に、中国の受取人に合法かつ適合的に提供されるように。21YunBoxは、いかなる回避的手段も用いず、推奨もしません——法が留めるべきとするものは国内に保ち、残りは本土内から適合的に配信し、個人情報を人目を忍んで国境の向こうへ移すことは決してしません。オフショアのプラットフォームを単に到達可能にすることは答えではなく、受取人データを国内に保ち、追跡ページをICP備案し、適合的に配信することが答えです。21YunBoxはすでに運用中の配送プラットフォームへのコンプライアンスのオーバーレイでありパートナーで、その競合ではありません。
関連する読み物：
よくあるご質問
Shippoは中国の受取人のデータを中国に保存しますか？
いいえ。Shippo自身のプライバシー通知によれば、同社は個人データを米国内で処理し、中国の外へ移転し、中国本土のリージョンは提供しません。ですから中国向け発送が生むすべての受取人の氏名・住所・電話番号はオフショアに保持されます。
中国でShippoを使うのは違法ですか？
本質的に違法ではありません。問題は受取人の個人情報の越境移転であり、PIPLは、通知し、個別の同意を取得し、移転メカニズムを満たせば（第38〜40条）これを認めます。配送プラットフォームは大量の消費者PIIを扱い、それを複数のオフショアの配送業者へ放射するため、役割と量に応じて国内保存義務（サイバーセキュリティ法 第39条、旧第37条）にも直面し得て、消費者向けの中国の追跡ページにはICP備案が必要です。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxはShippo構成を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、Shippoアカウントが何を保持しどこに置かれるかを整理し、規制対象の受取人データを必要な通知と同意とともに合法的な中国国内の経路に保つことを支援し、公開する中国向けの追跡ページの前段にICP備案済みの中国国内からの配信を立ち上げます——作り直しも、Shippoからの移行もなく。お問い合わせいただければ、個別のケースを一緒に整理します。
