VWOは中国本土で使えるか：A/Bテスト、セッション録画、PIPL、データの国内保存

VWOの公式ドキュメントが中国について述べていること

事実	一次情報源
VWO自身の言葉で、各訪問者が何をするかと誰かの両方を記録する。VWOのドキュメントは、顧客のウェブサイトの訪問者から収集するデータを"Events — The actions performed by the visitor during the campaigns"——例は"purchasing a product, navigating to a specific page, clicking on a CTA, etc."——と、"Attributes — The properties of the visitor collected as part of the campaigns,"（"device OS, IP address, geographic location, etc."）に分類する。それらからVWOは"Session recordings," "Survey data," "Heatmap data," "Test campaign data," "Forms"と"Goals and funnels"の"performance for"を"furnishes"すると言う。実在の人がサイトで何をしたかの、そのIPアドレスと位置に結び付いた瞬間ごとの記録は、中国の法の下での行動の個人情報だ。	Wingify (VWO) Help Center — Where Does Wingify Store Visitor Data?（2026-10-08 取得）
それらの録画はオフショア——米国・EU・インド——に保存される。VWOは"stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,"とし、"assigns a default data center during account signup based on the account location,"、そしてこれらの"data centers process their own visitor data independently and are not connected to each other"とする。三つのいずれも中国本土の内側になく、データセンターは訪問者ではなくアカウントのリージョンに従う——したがってどのリージョンにいても、本土の訪問者の録画と実験データは中国の外に保持される。	Wingify (VWO) Help Center — Where Does Wingify Store Visitor Data?（2026-10-08 取得）
VWOは既定で入力された秘密を匿名化する——が、残りは貴社に委ねる。そのセッション録画のコンプライアンスガイドは"by default, Wingify anonymizes all key presses to avoid storing or transmitting any personal or sensitive data to Wingify servers,"とし、パスワードや電話・カード・社会保障・CVVの番号の桁をマスクし、保存の注記は"categorizes all sensitive data and personally identifiable information, such as email addresses and passwords, and anonymizes them"と加える。しかしVWOは、画面上の入力でないコンテンツ——"order summary, Checkout page, and others"——のマスキングは貴社が"you can provide"ものだと明言する。画面上の個人データと行動の記録そのものは、なお捉えられ輸出され得る——そしてPIPLは、位置と財務のデータに及ぶカテゴリであるセンシティブ個人情報に、それがどこに同乗していようと加重された義務を課す。	Wingify (VWO) — Data Privacy Compliance Guide: Session Recordings；Where Does Wingify Store Visitor Data?（2026-10-08 取得）
VWOはプライバシーの義務を貴社に課す——録画の同意を含めて。そのコンプライアンスガイドは顧客に"recognize your role as the Data Controller while Wingify acts as the Data Processor,"と告げ、セッションリプレイについて"consent is the legitimate ground in this case and it is mandatory for all data controllers to show all data subjects cookie notice, privacy notice and get consent,"とし、"showing privacy notice and taking user consent is the responsibility of"顧客だと確認する。ガイドはチェックリストを"data protection laws such as GDPR, CCPA, PIPEDA, and more"に沿って進める——中国のPIPLは取扱者である貴社に委ねている。	Wingify (VWO) — Data Privacy Compliance Guide: Session Recordings（2026-10-08 取得）
PIPLの下でその輸出は規制された越境移転であり、一部の取扱者にはデータが中国に留まらねばならない。本土の訪問者から捉えたセッション録画と実験データは個人情報であり、それらをVWOのオフショアのデータセンターへ輸出することは、通知・個別の同意・移転メカニズムを要するPIPLの下での越境移転だ（第38〜43条）。CACの2024年3月の越境規則以降、非CIIOが暦年で10万人未満の非センシティブ個人情報を移転する場合は安全評価・標準契約・認証が免除される——が、センシティブデータとより大きな量はより厳格な義務を負い、CIIOまたは大量取扱者は中国で収集した個人情報を中国本土内に保存しなければならない（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））——VWOの米国・EU・インドのリージョンにはできない。	CAC — データ越境移転の促進と規範化に関する規定（2024年3月）；PIPL 第38〜43条・第40条；サイバーセキュリティ法 第39条（旧第37条）

情報源は21YunBox コンプライアンスチームが2026年10月8日に確認しました。

中国本土のオーディエンスにとって、VWOをめぐる決め手の問いは、そのテストと録画がどれだけ速く描画されるかではありません——それらが動くために、誰の行動が国を離れねばならないか、です。VWOは、Wingifyが作る実験と行動分析のプラットフォームで、訪問者を観察することで機能します：彼らが取る行動と帯びる属性を記録し、そのデータを自社のデータセンターから保存・再生します。本土の訪問者に向ければ、彼らのセッション録画・ヒートマップ・実験データを国境の向こうへ輸出していることになります——中国のプライバシー法が直接規律するものです。VWOのスクリプトがある本土の回線で読み込まれるかは配信の細部であって、データがどこに保存され、何を捉えるかがリスクです。

中国でのVWO：ひと目で

訪問者が何をするか——そして誰かを記録するテストスクリプト

VWOは、別途何かを集めるのを待ちません——テストを走らせること自体がデータ収集です。VWO自身のドキュメントでは、顧客のウェブサイトの訪問者から収集するデータは二つのバケツに分かれます。“Events”は”the actions performed by the visitor during the campaigns”——VWOの例は”purchasing a product, navigating to a specific page, clicking on a CTA, etc.”です。“Attributes”は”the properties of the visitor collected as part of the campaigns,“、例えば”device OS, IP address, geographic location, etc.”です。それらからVWOは、**“Session recordings,” “Survey data,” “Heatmap data,” “Test campaign data,” “Forms”と”Goals and funnels”**の”performance for”を”furnishes”すると言います。実在の人がサイトで何をしたかの、そのIPアドレスと位置に結び付いた瞬間ごとの再構成は、中国の法の下での行動の個人情報です——したがってVWOが本土の訪問者向けに走った瞬間、貴社はその訪問者の個人データを扱っており、それをVWOへ送ることで扱っているのです。

匿名化は捕捉を狭める——国内へ移しはしない

VWOは本物のプライバシー制御を組み込んでおり、それはここで重要です。そのセッション録画のコンプライアンスガイドは、“by default, Wingify anonymizes all key presses to avoid storing or transmitting any personal or sensitive data to Wingify servers,“とし、パスワードや電話・カード・社会保障・CVVの番号の桁といった入力フィールドをマスクし、その保存のドキュメントは、収集時に”categorizes all sensitive data and personally identifiable information, such as email addresses and passwords, and anonymizes them”と加えます。それは録画が運ぶセンシティブなテキストの量を本当に下げ、明言する価値があります。しかしVWOは同じガイドで線を引きます：画面上の、入力ではないコンテンツ——“order summary, Checkout page, and others”——のマスキングは、貴社自身が”you can provide”ものであり、“showing privacy notice and taking user consent is the responsibility of”顧客です。したがって、ページに単に現れる個人データと、行動の記録そのものは、貴社がマスクしない限りなお捉えられ得ます——そしてPIPLは、位置と財務のデータに及ぶカテゴリであるセンシティブ個人情報に、それがどこに同乗していようと加重された義務を課します。

データは米国・EU・インドに置かれる——決して本土ではない

これをどこに保つかを端的に問われると、VWOは自社のドキュメントで答えます：“stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India.” それは”assigns a default data center during account signup based on the account location,“とし、それらの”data centers process their own visitor data independently and are not connected to each other.”です。リージョンは訪問者ではなくアカウントに従い——その三つのいずれも中国本土の内側にありません。VWOは役割も枠づけ、顧客に”recognize your role as the Data Controller while Wingify acts as the Data Processor”と告げます——これは中国の個人情報保護法の下で、VWOではなく貴社を個人情報の取扱者にします。したがって本土の訪問者の録画と実験データを輸出することは越境移転であり、取扱者は通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）をクリアしなければなりません（第38〜43条）。重要情報インフラ運営者または大量取扱者には、中国で収集した個人情報は中国本土に保存しなければなりません（PIPL 第40条、サイバーセキュリティ法 第39条（旧第37条））——三つのオフショアのデータセンターでは満たせず、VWO内のどのアカウント設定も変えないデータの国内保存義務です。VWO自身のガイドは、示唆的に、そのチェックリストを”data protection laws such as GDPR, CCPA, PIPEDA, and more”に沿って進めます。中国のPIPLは貴社に委ねています。

到達できようとできまいと、データはなお本土を離れる

VWOは、VWOが運営するエンドポイントから読み込まれ、記録したものをそれらのデータセンターの一つへストリーミングするスクリプトを埋め込んで動きます。そのスクリプトがある本土の回線できれいに読み込まれるかは配信の問いであって、VWOを使ってよいかを決めるものではありません。完璧に読み込まれるセッションでさえ、それは訪問者の録画・ヒートマップ・実験データをオフショアへ運ぶために読み込まれます。より安定した経路は、そのデータをより効率的に輸出するだけで、移転を適法にはしません。VWOが中国向けに使えるかを決める半分は法的なもの——録画が何を捉えるか、どこに保存されるか、誰の法の下で国境を越えるか——であって、ネットワークのものではありません。

これは判定ではなくリスクの見取り図です：個別の同意、移転メカニズム、中国国内保存、センシティブデータのより厳格な取り扱い、あるいはそのすべてを負うかは、実験と録画が何を捉えるか、どれだけマスクせずに残すか、データ量、そしてユーザーが誰かによります——頼りにする前に弁護士と整理する価値があります。

21YunBoxがはまる場所——法令適合のオーバーレイであって移行ではない

VWOはそのままの場所に留められます。当社が加えるのは、VWOが貴社に委ねる部分です：中国本土の内側で、既存のオリジンの前段に置くICP備案済みの中国国内からの配信——作り直しも、二つ目のコードベースも、現在の実験スタックからの移行もありません。当社の中国チームが、貴社の訪問者の録画と実験データが今どこを移動するかを追い、貴社の法人とデータ量に照らしてPIPLの越境とデータの国内保存の義務を量り——法が中国ユーザーの行動データの本土滞留を求める場合は——VWOの米国・EU・インドのリージョンが提供できない、適法な中国国内での取得と保存を立ち上げます。その間、VWOと残りのスタックはすでにある場所で動き続けます。

コンプライアンス評価を依頼する（英語） →

---

関連する読み物：

• 中国のICP備案の取得方法
• PIPLの下での越境データ移転

よくあるご質問

VWOは中国ユーザーのセッション録画とテストデータを中国国内に保存しますか？

いいえ。VWO自身のドキュメントによれば、"stores visitor data in three main data centers, positioned in the US, the European Union (EU), and India,"で、アカウントの所在で割り当てられ、中国本土のリージョンはありません。したがってVWOが本土の訪問者から捉えるセッション録画・ヒートマップ・調査・実験データはオフショアに保持されます。

VWOはパスワードとキー入力を匿名化します——それで中国でも安全ではないですか？

助けにはなりますが、決着はしません。VWOは既定でキー入力を匿名化し（パスワード、電話・カード・社会保障・CVVの番号の桁）、メールのようなPIIをフラグし、入力でないフィールドは貴社自身でマスクできます。しかし録画そのもの——クリック・ページ遷移・画面上のコンテンツを、訪問者のIPアドレスと位置に結び付けたもの——はなお行動の個人情報であり、VWOは通知と訪問者の同意を貴社の責任とし、そのデータを米国・EU・インドのデータセンターへ送ることはなおPIPLの下での越境移転です。クリアランスではなく、弁護士と評価すべきリスクとして扱ってください。

21YunBoxはVWOの構成を中国で法令適合にする手助けができますか？

はい。当社の中国チームが、録画と実験が何を捉えるか、データ量、役割に即してPIPLの越境とデータの国内保存のリスクを評価し、法令適合でICP備案済みの中国国内からの配信を——そして法が中国ユーザーの行動データの本土滞留を求める場合は中国国内での取得と保存を——貴社がすでに動かしているVWOスタックのまわりに立ち上げます。お問い合わせいただければ、個別のケースを一緒に整理します。