Spring Bootは中国本土で使えるか：データの国内保存、ICP、越境ルール
Spring Bootは自社サーバーで動かすオープンソースのJavaであり、保存地に中立で、中国でも問題なく動きます。本当の問いは、どこに配置し、データベースをどこに置くかです——本土向けのホストはICP備案とMLPSを負い、保存する中国の個人データはPIPLと越境ルールに規律されます。
Spring Bootは中国本土で使えるか
Spring Bootを中国で使えるかは、速度ではなく配置とデータの問いです。Spring Bootは、自社のアプリケーションにコンパイルして自社サーバーで動かすオープンソースのJavaです——本土内でも問題なく動くので、リスクは性能ではなく法です。
Spring自身のプロジェクトページによれば、Spring Bootは"stand-alone, production-grade Spring based Applications"（そのまま実行できる自己完結・本番品質のSpringベースのアプリケーション）を簡単に作れるようにします。ホスト型のSpring Bootサービスも、選ぶべき中国リージョンもなく——フレームワークは保存地に中立です。中立でないのは、アプリとそのデータベースをどこに置くかです：本土のユーザーにオフショアのホストから提供するアプリは、保有しないかもしれないICP備案とMLPSの義務を負い、オフショアのデータベースに書き込まれる中国ユーザーの一件一件の記録は、PIPLが規律する個人情報の越境移転です——通知、個別の同意、移転メカニズム、そしてCIIOまたは大量取扱者には国内保存。そのMaven／Gradleの依存関係も、ビルドのたびにオフショアで解決されます。
これは判定ではなくリスクの絵です——義務は、どこに配置するか、データ量、役割で変わります。当社の中国チームがSpring Bootの配置とデータの露出を一緒に整理します →
コンプライアンス・スナップショット
- ! オープンソースのJavaフレームワーク——中国で問題なく動く。データの国内保存の問題はこれではない
- ! どこに配置するかが露出を決める：本土向けのホストはICP備案＋MLPSを負う
- ! アプリのデータベースが中国ユーザーの個人データを保持する——それがPIPLの問い
- ! Maven／Gradleはビルド時にオフショアのレジストリから依存関係を解決する
- ✓ 法令に沿った経路：ICP備案済み・MLPSのインフラで、中国データを国内に置いて国内運用する
Spring Bootの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Spring自身の言葉：Spring Bootは"makes it easy to create stand-alone, production-grade Spring based Applications that you can 'just run'."（そのまま実行できる自己完結・本番品質のSpringベースのアプリケーションを簡単に作れるようにする）。自社のアプリケーションアーティファクトにコンパイルして選んだサーバーで動かすオープンソースのコードであり——ホスト型のSpring Bootサービスも、選ぶべきリージョンもないため、アプリとそのデータベースがどこに座るかは、フレームワークの性質ではなく貴社の配置の決定である。 | Spring — Spring Boot プロジェクトページ、2026-10-14 取得 |
| Spring Bootはオープンに開発され、Apache License 2.0の下で配布される。そのビルドが宣言する依存関係は、Maven CentralとGradleのプラグインポータル——本土の外で運用されるリポジトリ——から解決される。したがってフレームワークは制約なく国内でセルフホストできる一方、ビルド時のサプライチェーンはクリーンビルドのたびに国境を越える——動くアプリもそのパイプラインも、貴社が制御する配置の選択である。 | Spring Boot ソースリポジトリ（Apache-2.0）；Maven Central、2026-10-14 取得 |
| Spring Bootアプリのデータベースは、中国のユーザーから集めるアカウント・プロフィール・記録——個人情報——を保持するため、本土に提供しながらそのデータベースをオフショアに保存することは越境移転である。PIPLがそれを規律する：取扱者（Springでもホスティングベンダーでもなく、アプリの運営者である貴社）は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければならない（第38〜40条）。 | 個人情報保護法 第38〜40条および第28条、2026-10-14 取得 |
| CIIOまたは大量取扱者にとって、国内で収集した個人情報と重要データは中国本土内に保存し、国外へ出す前に安全評価を経なければならない（サイバーセキュリティ法 第39条（旧第37条。2026年1月1日施行の2025年改正で繰り下げ、内容は不変））。別途、本土向けの配置はシステム運営者としてICP備案（备案）とMLPS（等级保护）の義務を負う。 | サイバーセキュリティ法 第39条（旧第37条）、2026-10-14 取得 |
情報源は21YunBox コンプライアンスチームが2026年10月14日に確認しました。
中国本土の利用者にとって、Spring Bootについてまず決着をつけるべきは、問いが「動くか」ではなく、そもそもSpring Boot自体の話でもない、という点です。Spring BootはオープンソースのJavaフレームワークです——自社のコードベースに加え、自己完結したアプリケーションにコンパイルし、そのアプリケーションを選んだサーバーで動かします。それ自体は保存地に中立です——自分のデータを持たず、北京のデータセンターでもフランクフルトのデータセンターでも同じように動きます。データを保持するのは、それで構築するアプリケーション——とりわけ、そのアプリケーションが読み書きするデータベース——です。したがって「Spring Bootは中国で使えるか」は三つの別々の問いに解けます——アプリはどこで動くか、そのデータベースと収集する個人情報はどこに置かれるか、そしてビルド時の依存関係はどこから解決されるか。これらは配置とデータの問いであり——フレームワークではなくそれらが——貴社のコンプライアンス姿勢を決めます。
中国でのSpring Boot：ひと目で
| 決め手 | Spring Boot自身の言葉では——そして中国の法では |
|---|---|
| 実際にどこで動くか | Spring Bootは、自社のアプリにコンパイルして配置先で動かすオープンソースのJavaです。ホスト型の「Spring Boot」サービスも、選ぶべきリージョンもないため、フレームワーク自体は保存地に中立です。中立でないのは、配置先のホストです——本土のユーザーにオフショアのサーバーから提供するアプリが本当の露出で、本土向けの配置はシステム運営者としてICP備案（备案）を負い、MLPS（等級保護、等级保护）の義務を背負います。 |
| 個人データがどこに住むか | データはフレームワークではなく、アプリのデータベースにあります。Spring Bootアプリが中国のユーザーから集めるアカウント・プロフィール・注文・記録は個人情報です。そのデータベースがオフショアにあれば、データは国外へ持ち出されています。政府発行ID・金融・医療・生体のデータが現れるところでは、PIPL第28条がセンシティブ個人情報に高められた義務を加えます。 |
| 国境を越えるデータ | 本土のユーザーに提供するアプリが、その記録を中国外にホストされたデータベースへ書き込むとき、それはPIPLの下での越境移転です（第38〜40条）——通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）。CIIOまたは大量取扱者には、中国の個人情報は国内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条））。 |
| 依存関係がどこから解決されるか | Spring BootのビルドはライブラリをMaven Central（およびGradleのプラグインポータル）から解決し、これらはオフショアで運用されるため、CIはビルドのたびにそれらのアーティファクトを国境越しに引き寄せます。これはフレームワークに同乗するサプライチェーンとデータの国内保存の懸念で——動くアプリとそのデータがどこに座るかとは別であり、サイトがロードするかだけを問うチェックには見えません。 |
| 到達性は軸ではない | pingすべきSpring Bootサーバーはないので、これは遮断ではなく、速度も決定要因ではありません。決定はデータの国内保存に懸かります——アプリをどこに配置し、そのデータベースと保持する中国の個人情報をどこに置き、どの法的根拠によるか。このページは一次のレイテンシ値を公表しません——速度は誤った軸です。 |
フレームワークは動かす場所で動く——だから配置がデータの国内保存を決める
Spring Bootがどこで動くかから始めましょう。問い全体がそこに懸かるからです。Spring Bootは自社プロジェクトに加えるフレームワークです——そのプロジェクトページは、“stand-alone, production-grade Spring based Applications that you can ‘just run’“（そのまま実行できる自己完結・本番品質のSpringベースのアプリケーション）を簡単に作れるようにすると説明し、プロジェクトはApache License 2.0の下でオープンソースのコードとして配布されます。ビルドは選んだサーバーに配置する自己完結したアーティファクトを生み——接続すべきホスト型のSpring Bootも、選ぶべき国内リージョンもありません。その意味で、Spring Bootは遮断された消費者向けサービスとは違って中国から到達でき、使え、そして完全に国内で動かせます。
それはまた、Spring Bootが貴社のデータの国内保存の姿勢を決して設定しない——配置が決める——ことを意味します。同じアプリケーションを、本土のユーザーが叩くオフショアの仮想マシンに置けば、露出を作ったことになります——ICP備案（备案）のないホストから本土の公衆に提供し、満たしていないMLPS（等級保護）の義務を負うシステム運営者として動くアプリです。本土内の、備案され、等級付けされたインフラに置けば、同じコードが合法的な地にあります。フレームワークはどちらでも同一です。したがってコンプライアンスの問いは、Spring Bootを見ても答えは出ません。どこに配置したか、そのホストが何を提供してよいかを見て、答えが出ます。
データはフレームワークではなくデータベースに住む
Spring Bootアプリケーションは、ユーザーのデータが置かれる場所であり、フレームワークはその周りの配管にすぎません。Spring Dataと永続化レイヤーを通じて、アプリはデータベースを読み書きし——そのデータベースが、製品が中国のユーザーから集めるアカウント・プロフィール・取引・記録を保持します。それは個人情報であり、本土のユーザーの記録が中国外にホストされたデータベースへ書き込まれた瞬間、それは国境を越えています。中国の個人情報保護法は、その義務を取扱者——フレームワークでもホスティングベンダーでもなく、貴社——に課します。第38〜40条は、通知、個別の同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求め、第28条は、記録がセンシティブ——政府発行ID・金融・医療・生体、または実在のアプリがしばしば保存する未成年者のデータ——であるところに高められた義務を加えます。
そしてそのデータのいずれかが「重要データ」であったり、組織が重要情報インフラを運営していたりする場合、サイバーセキュリティ法（英語）がデータの国内保存義務を加えます——第39条（旧第37条。2026年1月1日施行の2025年改正で繰り下げ、内容は不変）は、そうした運営者が国内で収集・生成した個人情報と重要データを国内に保存し、国外へ出す前に安全評価を経ることを求めます。以上のいずれも、Spring Bootの性質ではありません。すべては、それを配線したデータベースと、提供するユーザーの性質です。
ビルド時の依存関係はオフショアで解決される
動くアプリは一つのこと、それをビルドするパイプラインは別のことで、そこは率直に言う価値があります。Spring Bootプロジェクトは、ライブラリをMavenまたはGradleで宣言し、それらの依存関係はMaven CentralとGradleのプラグインポータル——本土の外で運用されるリポジトリ——から解決されます。クリーンビルドのたび、CI実行のたびに、それらのアーティファクトを国境越しに引き寄せます。これはPIPLの意味での個人情報の移転ではありませんが、フレームワークに同乗するサプライチェーンとデータの国内保存の懸念です——オフショアのレジストリへの到達に暗黙に依存するビルドは、中国の内側からは脆く、出荷するものの来歴が国外で決まります。ここでのレバーは、ビルドが制御する国内のアーティファクトリポジトリから依存関係を解決することで、中国配置のサプライチェーンが、ビルドのたびの国境越えに依存するのではなく、本土の地に置かれるようにすることです。
到達性チェックがこれを見落とす理由
到達性やレイテンシのテストは、エンドポイントにpingして、応答するか、どれだけ速いかを報告します。Spring Bootにとって、そのテストは二重に誤った問いに答えます。第一に、pingすべきSpring Bootエンドポイントはありません——フレームワークは自社のアプリケーションにコンパイルされるので、サイトの青信号は、データベースとその中国ユーザー記録が実際にどこに座るかを何も教えません。第二に、コンプライアンスを決めるものはプローブには見えません——アプリがどのホストで動きICP備案を保有するか、本土ユーザーの個人情報を保持するデータベースがオフショアに座るか、そのデータがセンシティブか「重要」か、そしてビルドがオフショアのレジストリに静かに依存するか。これらは配置・データ・法の事実であって、ネットワークの事実ではありません。それが、純粋な速度や到達性の見方では供給できない半分であり——私たちが先頭に置く半分です。
法令に沿った経路——マッピング、ローカライズ、配信
オープンソースのフレームワークについて、21YunBoxの役割は的を絞ったもので、率直に言います——売りつけるべき「国内版Spring Boot」はありません。フレームワークはすでに貴社のもので、国内でも動かせます。当社の価値は三つの動きにあります。
まず、露出をマッピングします——アプリが実際にどこに配置され、そのホストがICP備案を保有しMLPSの義務を満たすか、データベースがどこに座り、中国ユーザーからどんな個人・センシティブ・「重要」データを集めるか、それがPIPLの越境ルール・第28条・サイバーセキュリティ法の国内保存義務にどう当たるか、そしてビルドがどこで依存関係を解決するか——を整理し、貴社と法務がガードレールを設定できるようにします。次に、合法的にオフショアに留まれないもののローカライズを助けます——本土内のICP備案済み・MLPS適合のインフラに、留まるべきアプリとデータベースを立ち上げ、ビルドのための国内アーティファクトリポジトリを用意し、中国ユーザーデータが中国の地に置かれるようにします。これは中国法上の足場であって、ルールを回り道する経路では決してありません。第三に、ユーザーが叩く中国向けの画面——本土ユーザーが到達するアプリやAPIのエッジ——を、ICP備案済み・中国国内のインフラ（21YunBox Optimizer）で、すでに運用しているSpring Bootアプリの前段から配信します——作り直しも、二つ目のコードベースも不要です。
21YunBoxは移行ではなく法令適合のオーバーレイであり、使うツールの競合ではなくパートナーです。21YunBoxはいかなる種類の制限かいくぐりも用いず、示唆もしません。 その結果が、中国のユーザーに向けて合法的に、法令に沿って動く構成です。
関連する読み物：
よくあるご質問
Spring Bootは中国で遮断されていますか？
いいえ。Spring Bootは、自社のアプリケーションにコンパイルして自社サーバーで動かすオープンソースのJavaであり、本土内のインフラで問題なく動きます——遮断すべきホスト型サービスはありません。本当の問いは到達性ではなく、アプリをどこに配置し、そのデータベースと収集する個人情報をどこに置くか、です。
Spring Bootアプリの個人データは実際にどこに住むのですか？
アプリのデータベースと、配置先のホストの中——どちらもフレームワークではなく貴社の選択です。それらがオフショアにあり、アプリが中国のユーザーに提供しているなら、それらのユーザーから集めた記録は国境を越えており、PIPLの越境ルールが適用されます。本土向けのホストは、ICP備案とMLPSの義務も負います。データがセンシティブであったり、組織がCIIOまたは大量取扱者であったりする場合、国内保存が求められ得ます。
21YunBoxはSpring Bootアプリを中国で法令適合にできますか？
はい。当社の中国チームが、貴社のデータ量と役割に照らして配置・越境・データの国内保存の露出を整理し、留まるべきアプリとデータベースを本土内のICP備案済み・MLPS適合のインフラに保ち、中国向けの画面を、すでに運用しているアプリの前段で、中国国内のインフラから配信します——作り直し不要です。お問い合わせいただければ、個別のケースを一緒に整理します。
