Supabaseは中国本土で使えるか：データの国内保存、PIPL、そしてオフショアのリージョン
Supabaseは中国本土からでも到達でき、問題なく読み込まれます——決め手は速度ではなくデータの国内保存です。各プロジェクトのデータベース・認証・ストレージは選んだ一つのリージョンに置かれ、そのいずれも中国本土にはありません。そのため中国のユーザーから収集した個人情報はオフショアに保存され、PIPLが規律する越境移転になります。データの扉をコンプライアンス起点で読み解きます。
Supabaseは中国本土で使えるか
Supabaseを中国で使えるかどうかは、速度ではなくデータの国内保存の問いです。Supabaseは中国本土からでも到達でき、問題なく読み込まれます——リスクはパフォーマンスではなく法令にあります。
Supabase自身のドキュメントによれば、各プロジェクトの「Postgresデータベース・認証サービス・ストレージオブジェクトは」選んだ一つのリージョンにホストされ、「選んだリージョンがプライマリのプロジェクトデータの保存場所も決める」とされています。選択可能なリージョンのいずれも中国本土にはなく、最も近いのは北東アジアです。したがって、アプリが中国のユーザーから収集するアカウント・プロフィール・レコードは海外に保存されます：PIPLが規律する個人情報の越境移転であり、通知、個別の同意、移転メカニズム、そしてCIIOまたは大量取扱者には国内保存が求められます。下の表はSupabase自身の記述と、それが引き起こすルール、そして自身のドキュメントが指し示すICP備案済みの中国国内からの経路です。
これは判定ではなくリスクの見取り図です——義務は取扱データ量と役割で変わります。当社の中国チームがSupabaseのデータリスクを一緒に整理します →
コンプライアンス・スナップショット
- ✓ 中国本土からでも到達でき、問題なく読み込まれる——速度は問題ではない
- ! ユーザーのデータを一つのオフショアのAWSリージョンに保存（米国／EU／シンガポール／東京）
- ! 個人情報の越境移転——PIPLが適用
- ✕ 中国本土のリージョンもデータ国内保存の選択肢もない
- ✓ 法令に沿った経路は存在——中国国内での自己ホスト＋ICP備案
Supabaseの公式ドキュメントの記載と、当社が中国本土内から実測した結果
| 事実 | 一次情報源 |
|---|---|
| Supabase自身の言葉：「各Supabaseプロジェクトは単一のプライマリリージョンにデプロイされ、プロジェクトのプライマリPostgresデータベース・認証サービス・ストレージオブジェクトはそのリージョンにホストされる」、そして「選んだリージョンがプライマリのプロジェクトデータの保存場所も決める」。選択可能なAWSリージョンは米国・カナダ・欧州・ムンバイ・シンガポール・東京・ソウル・シドニー・サンパウロに及び、いずれも中国本土にはなく、最も近いのは北東アジア（東京／ソウル）。 | Supabase Docs — Available regions / GDPR compliance（2026-10-07 取得） |
| Supabaseはアプリケーションが収集するアカウント・プロフィール・レコード——個人情報——を保持し、それをその一つのオフショアのリージョンに保存するため、中国のユーザーから集めたデータは国外へ移転されます。PIPLはこの越境移転を規律します：個人情報の取扱者（Supabaseではなく、その顧客である貴社）は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ——CACの安全評価、CAC標準契約、または認証——を満たさなければなりません。 | PIPL 第3章 第38〜43条 |
| リスクは、ツールを使うこと自体ではなく量と役割に応じて大きくなります：CACの2024年3月の越境規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除されます。 | CAC — データ越境移転の促進と規範化に関する規定（2024年3月） |
| CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。Supabaseは中国のリージョンを提供していないため、この場合の自身の答えは自己ホストです——ドキュメントは「マネージドサービスを使えないコンプライアンス要件を抱える」チームに自己ホストを推奨しています。そのデータを中国の地に留めるには、中国本土内のインフラ上でSupabaseを自ら運用するほかなく、その中国国内のデプロイを合法的に立ち上げることがICP備案を引き込みます。 | Supabase Docs — Self-Hosting；PIPL 第40条；サイバーセキュリティ法 第39条（旧第37条） |
| Supabaseは中国本土内（阿里雲 cn-zhangjiakou）の探針から要求した3回のページ読み込みをすべて完了しました（2026-08-27、TTFB中央値393ms、LCP 2,200ms）。読み込めます——だからこそ本当の問いはパフォーマンスではなく法令なのです。 | 21YunBox — 中国配信計測、中国本土内から実測 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、Supabaseをめぐる決め手は「読み込めるか」ではなく——読み込めます——「保持するデータをどこに置くことが許されるか」です。SupabaseはホスティングされたPostgresのバックエンドであり、アプリケーションが収集するアカウント・プロフィール・レコードを保持します。自身のドキュメントによれば、各プロジェクトは作成時に選んだ一つのリージョンに置かれ、そのリージョンのいずれも中国本土にはありません。したがってSupabase上の中国向けアプリは到達はできても、保存するユーザーデータのあらゆるレコードがオフショアに置かれます——これはパフォーマンスの問題ではなく、中国のデータ関連法が規律する越境移転です。問題は到達できるかではなく、ユーザーのデータをどこに保持しているかです。
中国でのSupabase：ひと目で
| 決め手 | Supabase自身の言葉では |
|---|---|
| データがどこに置かれるか | 各プロジェクトは作成時に選ぶ一つのプライマリリージョンで動き、その"primary Postgres database, Auth service, and Storage objects are hosted in that region"（プライマリのPostgresデータベース・認証サービス・ストレージオブジェクトがそのリージョンにホストされる）とされます。選択可能なAWSリージョンは米国・カナダ・欧州・ムンバイ・シンガポール・東京・ソウル・シドニー・サンパウロに及びますが、中国本土には一つもなく、最も近いのは北東アジア（東京／ソウル）です。 |
| 越境移転 | アプリが中国のユーザーから収集するデータは、そのオフショアのリージョンに置かれます。これはPIPLが規律する個人情報の越境移転であり、取扱者はSupabaseではなく、Supabaseの顧客である貴社です。 |
| 規律が強まる条件 | リスクは量と役割に応じて大きくなります。CACの2024年3月の越境規則の下では、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合、安全評価・標準契約・認証のいずれも免除されます。 |
| データの国内保存 | CIIOまたは大量取扱者の場合、中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）——どのSupabaseのリージョンも満たせない義務です。 |
| 到達できるか | はい——張家口の阿里雲（Alibaba Cloud）の探針から要求した3回のページ読み込みをすべて完了しました（2026-08-27、TTFB中央値393ms、LCP 2,200ms）。速度は問題ではありません。 |
Supabaseのデータが実際に置かれる場所
Supabaseはマネージドなバックエンド——データベース、認証、オブジェクトストレージ——であり、その三つは一つのリージョンにまとめて置かれます。自身のデータ国内保存とRegionsのドキュメントでは、*「各Supabaseプロジェクトは単一のプライマリリージョンにデプロイされ、プロジェクトのプライマリPostgresデータベース・認証サービス・ストレージオブジェクトはそのリージョンにホストされる」とされ、「選んだリージョンがプライマリのプロジェクトデータの保存場所も決める」*とされています。そのリージョン選択はデータの所在地のコントロールであり、Supabaseのマネージドプラットフォームが渡してくれるのはそれだけです。
中国にとっての落とし穴は、その選べるメニューです。Supabaseの選択可能なAWSリージョンは米国・カナダ・欧州・ムンバイ・シンガポール・東京・ソウル・シドニー・サンパウロに及び、本土に最も近いのは北東アジアですが、一つも中国本土にはありません。したがって、アプリが中国のユーザーを配信した瞬間に、書き込まれるアカウント・プロフィール・レコードは海外に保持されます——そしてそれが、遅延ではなく、中国のデータ関連法が反応する対象です。このメニューはこのカテゴリーで典型的です。当社が中国コンプライアンスを確認した82のホスティングサービス——2026年10月に各社自身のドキュメントに照らして確認——のうち、63件はコアサービスにセルフサーブの中国国内経路を持っていませんでした。
SupabaseでChinaを配信すると、ユーザーのデータは国境を越える
アプリが中国の人々から集める個人情報——氏名、メールアドレス、ログインID、本人を特定し得るあらゆるもの——は、その一つのオフショアのリージョンに書き込まれます。中国の個人情報保護法（PIPL）の下では、それを本土の外に保存することは越境移転に当たり、義務は個人情報の取扱者、すなわちプラットフォームとしてのSupabaseではなく、Supabaseの顧客である貴社に課されます。PIPLはその取扱者に対し、対象となるユーザーへの通知、当該移転についての個別の同意の取得、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）のクリアを求めます。「すでにSupabaseで動かしている」ことは、そのいずれも満たしません。中国に到達することと、中国ユーザーのデータを国外へ移すことが認められることは、別の問いです。
どれだけのリスクかは、量と役割で変わる
これらの義務の重さは一律ではありません。CACの2024年3月の「データ越境移転の促進と規範化に関する規定」の下では、重要情報インフラ運営者（CIIO）でなく、暦年で10万人未満の非センシティブ個人情報を移転する取扱者は、安全評価・標準契約・認証のいずれも免除されます——小規模なアプリにとっては、確かに軽い経路です。
反対の端では、CIIOまたは大量取扱者はデータの国内保存義務を負います。中国で収集した個人情報は中国本土内に保存しなければなりません（サイバーセキュリティ法 第39条（旧第37条）、PIPL 第40条）。どのSupabaseのリージョンもこれを満たせません。中国にリージョンがないからです——そしてここでSupabase自身のドキュメントが出口を指し示します。Supabaseは、*「マネージドサービスを使えないコンプライアンス要件を抱える」*チームには自己ホストを推奨しています。中国のユーザーのデータを中国の地に留めるには、中国本土内のインフラ上でSupabaseを自ら運用するほかなく、そのデプロイを合法的に立ち上げることがICP備案を視野に入れます。
到達できる、遮断されていない——だからこそこれはデータの問いだ
Supabaseは中国から締め出されてはいません。21YunBoxが中国本土内から行った計測——2026-08-27、張家口の阿里雲（Alibaba Cloud）の探針——では、Supabaseは要求した3回のページ読み込みをすべて完了し、TTFBの中央値は393ms、LCPは2,200msでした。読み込めますし、使える速度で読み込めます。だからこそ、中国向けのSupabaseアプリの本当のリスクは、人々が到達できるかではなく、到達してもユーザーの個人データがオフショアに残り、中国本土でのデータ国内保存の選択肢がないことなのです。これらはコンプライアンス上の事実であり、どれだけネットワークを調整してもデータの保存場所は変わりません。
これは判定ではなくリスクの見取り図です。通知と同意だけで足りるのか、完全な移転メカニズムが必要なのか、あるいはデータそのものの国内保存が必要なのかは、保持する個人情報の量と、貴社の役割がCIIOや大量取扱者の区分に入るかどうかで変わります——構築の前に、専門家と整理すべき問いです。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はSupabase上で構築を続けます。何も動かしません。当社が加えるのは、中国本土にリージョンを持たないマネージドバックエンドが単独では提供できないレイヤー——既存オリジンの前段に中国本土内で立つ、法令に沿ったICP備案済みの配信です。再アーキテクチャも、二つ目のコードベースも要りません。まず当社の中国チームが、貴社の法人と取扱データ量に照らして越境とデータ国内保存の義務を整理します。そのうえで、法が最も厳しく扱う場合——中国ユーザーのデータが本土に留まらなければならない場合——には、中国本土内で自己ホスト型のSupabaseデプロイを運用できるよう支援し、レコードは中国の地に置かれ、その他のすべては今の場所に残ります。
ご相談は英語で承ります。
関連する読み物：
よくあるご質問
Supabaseは中国ユーザーのデータを中国に保存しますか？
いいえ。Supabase自身のドキュメントによれば、各プロジェクトのPostgresデータベース・認証サービス・ストレージオブジェクトは選んだ一つのAWSリージョンにホストされ、そのリージョンのいずれも中国本土にはありません。したがって中国のユーザーから収集したアカウント・プロフィール・レコードはオフショアに保存されます。
中国でSupabaseを使うのは違法ですか？
本質的に違法ではありません。問題は個人情報の越境移転であり、PIPLは、通知し、個別の同意を取得し、移転メカニズムのいずれかを満たせばこれを認めます。さらにデータ国内保存の義務を負うかどうかは、役割（例えばCIIOか否か）と取り扱う個人情報の量によります。そしてSupabase自身の言葉でも、リージョンの選択は「データの所在地のコントロールであって、それだけでアプリケーションをGDPR適合にはしない」とされ、バックアップ・ログ・サブプロセッサも移転の分析に影響します。一律の禁止ではなく、専門家と評価すべきリスクとして扱ってください。
21YunBoxはSupabaseスタックを中国で法令適合にする手助けができますか？
はい。当社の中国チームが、取扱データ量と役割に応じて越境とデータ国内保存のリスクを評価し、法令に沿ったICP備案済みの中国国内からの配信を——そして中国ユーザーのデータを本土に留める必要がある場合は、中国本土内の自己ホスト型Supabaseデプロイも——立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。
