Workatoは中国本土で使えるか：データの国内保存、越境する自動化データ、PIPL
WorkatoはAWS中国（寧夏）上に、ICP備案を持つ現地法人が運用する専用の中国国内データセンターを備えており、中国の自動化データを国内に留められます。ただしEnterprise限定かつグローバルテナントから隔離されており、資産全体のレコードを動かすiPaaSである以上、本当の試金石はデータの国内保存とPIPLの越境移転です。Workato・データの国内保存・PIPLをコンプライアンス起点で読み解きます。
Workatoは中国本土で使えるか
Workatoが中国で使えるかは、接続性ではなくデータの国内保存の問いです——そして答えは、各レシピがどのWorkatoリージョンで走るかで決まります。
WorkatoはiPaaSであり、その仕事はアプリ間でレコードを動かすことに尽きます。したがって一つのレシピが、氏名、アカウントや注文の記録、人事・決済・本人確認のフィールドを、中国のシステムから外へ運び得ます。Workato自身のドキュメントによれば、ICP備案の下で専用の中国国内データセンターを 「AWS中国（寧夏）リージョン上にホストし、Workato（北京）Technology Co., Ltd.が運用」 しており、そこでの自動化データは「当該リージョンに隔離され、他リージョンへは移転されない」——そこで走らせれば中国データは国内に留まります。しかしそのリージョンはEnterprise限定で、グローバルテナントから切り離されています。中国データに触れるレシピを代わりに米国やEUのワークスペースで走らせるなら、その移動はPIPLが規律する越境移転（通知、個別の同意、移転メカニズム）に当たり、CIIOや大量取扱者にはさらに国内保存の義務が重なります。
これは判定ではなくリスクの見取り図です——義務は、貴社の法人、取扱データ量、ユーザーが誰かで変わります。当社の中国チームがWorkatoのエクスポージャーを整理します →
コンプライアンス・スナップショット
- ! WorkatoはICP備案済みの中国リージョン（AWS中国・寧夏）を運用——ただしEnterprise限定
- ! iPaaSとして資産全体を動かす——一つのレシピが第28条のセンシティブ個人情報を運び得る
- ✕ セルフサービス（Free／Pro／Sandbox）はリージョンを選べず、データは米国に置かれる
- ! 中国データを取り込むグローバルな米国／EUテナント＝PIPLの越境移転
- ! 中国リージョンは別個の機能制限アカウント。中国向けアプリは依然ICPが必要
- ✓ 合法的な道筋：エクスポージャーを把握し、国内リージョンでローカライズし、ICP備案で配信
Workatoの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Workatoは専用の中国国内データセンターを運用している。 ドキュメントは、Chinaデータセンターが「AWS中国（寧夏）リージョン上にホストされ、Workato（北京）Technology Co., Ltd.が運用」し、北京のICP備案（京ICP备2026009801号）の下で「現地の規制要件に適合している」と記す——オフショアではなく、本物のオンショア・ICP備案済みリージョンである。 | Workato Docs — China data center（2026-10-10 取得） |
| 中国リージョンはEnterprise限定・隔離・機能制限付き。 Workatoは、セルフサービスのプランが「リージョンを選べず」「Workatoの米国データセンターのいずれかに置かれる」こと、「Workatoはリージョンをまたいで顧客データを共有・移転しない」こと、そして中国リージョンがすべてのAI・エージェント系機能に加え28のコネクター（Gmail、Google Drive、Slack、OpenAIなど）を欠くことを記している。つまりグローバルテナントは中国国内居住のデータを吸収できず、機能のギャップがチームをオフショアのワークスペースへ押し戻し得る。 | Workato Docs — Supported cloud regions & China data center（2026-10-10 取得） |
| 中国の個人情報をオフショアのWorkatoリージョンへ動かすことは、PIPLの下の越境移転である。 PIPL第38〜40条は、通知、個別の同意、そして移転メカニズム——CACの安全評価、CAC標準契約、または認証——を求める。規制された閾値を超える場合は、まずデータ越境安全評価をクリアしなければならないことがある。 | PIPL 第38〜40条；データ越境の安全評価弁法（2026-10-10 取得） |
| CIIOと大量取扱者は、中国の個人情報を中国国内に保存しなければならない。 サイバーセキュリティ法 第39条（旧第37条）——2025年改正は2026年1月1日施行で、データ国内保存条項を第37条から第39条へ条番号変更、内容は不変——とPIPL第40条が、オフショアのリージョンでは満たせない国内保存義務を定める。Workatoの中国国内リージョンはこれを満たせる。Workato上に構築された中国向けの面は、さらにICP備案を負う。 | サイバーセキュリティ法 第39条（旧第37条）；PIPL 第40条；ICP 国務院令292号／MIIT令33号（2026-10-10 取得） |
情報源は21YunBox コンプライアンスチームが2026年10月10日に確認しました。
中国本土でWorkatoが「使える」かどうかは、接続性の前に、まずデータの国内保存の問いです。Workatoは統合・自動化のプラットフォーム（iPaaS）であり、その仕事はシステム間でレコードを動かすことに尽きます——一つのレシピが、氏名、連絡先、アカウントや注文の記録、人事・給与のフィールド、決済や本人確認のデータを、CRM・ERP・財務アプリから別のアプリへ運びます。問われているのは、上海からWorkatoのダッシュボードを開けるかどうかではありません。レシピが動かすレコードと、プラットフォームが保持するジョブ履歴が、どこに置かれることを許されるかです。ここでWorkatoは珍しい立ち位置にあります。自身のドキュメントによれば、AWS中国（寧夏）上にホストされ、ICP備案を持つ中国法人が運用する専用の中国国内データセンターを備えているのです。これは状況を変えます——しかしそれ自体で、グローバルなWorkatoテナントが法令適合になるわけではありません。
中国でのWorkato：ひと目で
| 決め手 | Workato自身の言葉では——そして中国の法では |
|---|---|
| レコードの置き場所 | WorkatoはiPaaSです。レシピを流れるレコードと、プラットフォームが保持するジョブ履歴こそが、中国でのコンプライアンス対象面です。WorkatoはAWS中国（寧夏）上にホストされ、ICP備案の下でWorkato（北京）Technology Co., Ltd.が運用する専用の中国国内リージョンを運用しており、そこでは自動化データが"remains isolated in that specific region and can't be transferred to other regions"（当該リージョンに隔離され、他リージョンへは移転されない）とされています。それ以外のすべてのリージョン（米国デフォルト、EU、日本、シンガポール、豪州、イスラエル、韓国、英国）はオフショアであり、セルフサービスのプランは"sit in one of Workato's US data centers"（Workatoの米国データセンターのいずれかに置かれる）とされています。 |
| 何を保持し、なぜ個人情報なのか | レシピはCRM・ERP・人事・財務・サポート・メッセージングの各システム間でレコードを動かします——氏名、連絡先、アカウントや注文の記録、従業員・給与データ、決済や本人確認のフィールド。これはPIPLの下の個人情報であり、Workatoが資産全体に及ぶため、一つのパイプラインが第28条のセンシティブ個人情報（金融口座、政府発行ID、位置情報、健康）を運び得ます。ジョブ履歴は、何が動いたかの痕跡を保持します。 |
| 中国データの越境 | 中国由来の個人情報に触れるレシピが、オフショアのテナント（米国デフォルト、EU、その他）やセルフサービスのプランで走るなら、そのデータを国外へ動かすことはPIPLの下の越境移転に当たります（第38〜40条）——通知、個別の同意、そして移転メカニズムのいずれか一つ。閾値を超える場合はデータ越境安全評価が適用され得ます。 |
| 国内保存の義務 | 重要情報インフラ運営者（CIIO）または大量取扱者の場合、中国で生成された個人情報は中国本土内に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条）——2025年改正は2026年1月1日施行で、データ国内保存条項を第37条から第39条へ条番号変更、内容は不変）。Workatoの中国国内リージョンはこれを満たせますが、オフショアのリージョンでは満たせません。 |
| 到達性は軸ではない | 本土からWorkatoを開けます——それは問いではありません。これらの自動化が中国向けに露出する面（APIエンドポイント、ポータル、受付フォーム）は、中国でのインターネットサービスであり、ICP備案の義務に加え中国国内からの配信を伴います。Workato自身のドキュメントも、中国リージョンではAPIプラットフォームのカスタムドメインがサポートされないと記しています。 |
Workatoは中国国内リージョンを運用している——ただし貴社のグローバルテナントはそれではない
まず意外な点から。WorkatoのChinaデータセンターは、それ自体の条件では本物であり合法です。ドキュメントは当該リージョンを 「AWS中国（寧夏）リージョン上にホストされ、Workato（北京）Technology Co., Ltd.（京ICP备2026009801号）が現地の規制要件に適合して運用している」 と記しています。これは本物の中国国内フットプリントです——オンショアのクラウドリージョン、中国の運用法人、そしてICP備案。しかもプラットフォームはデータをそこに留めます。Workatoは、自動化データが 「当該リージョンに隔離され、他リージョンへは移転されない」、「Workatoはリージョンをまたいで顧客データを共有・移転しない」 としています。中国の自動化が触れるレコードがそのリージョンに置かれるなら、国内保存の問いは貴社に有利に答えられます。
落とし穴は、既存のWorkatoがすでにそれを享受していると思い込むことです。そうではありません。リージョン選択はEnterpriseの機能であり、セルフサービスのプラン（Free、Pro、Developer Sandbox）は 「リージョンを選べず」、「Workatoの米国データセンターのいずれかに置かれる」 とされています。そして各アカウントは単一リージョンです。「各Workatoアカウントは単一のリージョンデータセンターにホストされる」 とされ、リージョンをまたぐコラボレーションも、レシピやコネクターの共有もありません。つまり貴社のグローバルな米国またはEUのWorkatoテナントは、中国リージョンとは別個のサイロであり、中国国内に置かれたデータを吸収することも、後から国内居住に変えることもできません。そのグローバルテナント上のレシピが中国システムから個人情報を取り込んだ瞬間、その国外への移動は——Workatoの資産のどこか別の場所に国内リージョンが存在しようとも——PIPLの下の越境移転に当たります。
iPaaSは資産全体を動かす——その多くが個人情報、一部はセンシティブ
ここは多くのチームが過小評価する部分です。自動化プラットフォームは、システム間でレコードを動かすために存在し、資産全体——CRM、ERP、人事・給与システム、財務・決済スタック、サポートデスク、メッセージングツール——にまたがって位置します。レシピを通るものの多くは個人情報です。氏名、連絡先、アカウントや注文の記録、従業員データ、デバイスやユーザーの識別子。そしてWorkatoがそのすべてに到達するため、一つのパイプラインが第28条のセンシティブ個人情報——金融口座番号、政府発行ID、位置情報、健康フィールド——を運び得ます。PIPLはこれをより高い基準で扱います。個別の同意、必要性の立証、そして個人情報保護影響評価です。プラットフォームが保持するジョブ履歴は、各レシピが何を動かしたかの痕跡を留めます。
したがって、ここでのエクスポージャーは例外的に広くなります。越境し得るのは一つのアプリのデータではなく、自動化が触れるものすべてです。だからこそ、その自動化を走らせるアカウントがどこに置かれているかが、あらゆるフローを規律する決定になります。オフショアのテナントの場合、中国の個人情報を国外へ動かすことは、それが国を出た瞬間に越境移転となり、中国個人情報保護法（PIPL）の下では、その義務は処理者としてのWorkatoではなく、個人情報の取扱者である貴社に課されます——第38〜40条は、通知、国外移転のための 個別の 同意、そして移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を求めます。規制された閾値を超える場合、またはデータが「重要データ」に当たる場合、何かが国を出る前に、中国のデータ越境安全評価（英語）（数据出境安全评估）をクリアしなければならないことがあります。
国内リージョンは越境するものを狭める——義務を決めるものではない
中国リージョンを運用する、データが置かれる場所を選ぶ、レシピが走る前にフィールドをフィルタリングまたは秘匿する——これらは越境する もの と、越境する かどうか を変えます。しかし、貴社がなお負う法的分析を変えるものではなく、落とし穴も伴います。Workatoの中国リージョンは意図的に機能制限されています。自身のドキュメントによれば、AI・エージェント系の機能（Model Context Protocol、Copilots、Agent Studio、AIROを含む）は 「Chinaデータセンターでは利用できず」、コミュニティライブラリは 「アクセスできず」、APIプラットフォームのカスタムドメインは 「サポートされず」、そして自社のリストはそこで利用できない28のコネクター——Gmail、Google Drive、Slack、OpenAIなど——を挙げています。チームはこうしたギャップに突き当たり、中国のワークロードをより機能の揃ったオフショアのテナントで走らせたくなります——が、それは国内リージョンが避けようとした、まさにその越境移転を再び作り出します。ワークロードを「別のリージョン」へ動かすことは、データの置き場所を移すだけで、それ自体では移転を解消しません。
そもそも中国リージョンが必要か、移転にCACの安全評価・標準契約・認証が必要か、サイバーセキュリティ法（英語）の第39条（旧第37条）の国内保存義務が重要情報インフラ運営者として課されるか、そして中国向けの面がICP備案を負うか——そのすべては、貴社の法人、取扱データ量、ユーザーが誰かで変わります。これは判定ではなくリスクの見取り図です。実際に動かし保存するものに照らしてエクスポージャーを整理し、具体は——自動化がその答えに依存する前に——専門家と確定してください。
法令に沿った進め方——map・localize・deliver
中国向けのビジネスでWorkatoを走らせる合法的な方法には、形があります。まず、map（把握）：当社の中国コンプライアンスチームが、レシピ単位でPIPLのエクスポージャーを洗い出します——どの自動化が個人情報を中国の外へ運ぶか、合法的に出せるものは何か、どこでデータ越境安全評価や第39条の保存義務が生じるか、国内リージョンが必要か、通知と同意が何をカバーすべきか。技術的な全体像は当社が描き、法的結論は貴社の顧問と確定します。
次に、localize（国内化）：本土に留めなければならないレコードのために、同意を得た中国国内での処理と保存を立ち上げます——Workato自身の中国国内リージョン（またはツールが対応する場合はセルフホストのランタイム）上で中国国内居住の自動化を走らせて中国データを国内に留め、合法的に出せるものだけを流し続け、他のすべての市場についてはグローバルなWorkatoテナントを今あるそのままに残します。
そして、deliver（配信）：これらの自動化が本土のユーザーに露出する公開の面——ダッシュボード、ポータル、受付フォーム、API——は、中国でのインターネットサービスであり、ICP備案の義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxはそれを中国国内から配信します——21YunBox Optimizer——既存のものの前段に置き、作り直しも二つ目のコードベースも要りません。21YunBoxは移行ではなく法令適合のオーバーレイであり、Workatoの競合ではなくパートナーです。21YunBoxはいかなる不正な手段も用いず、またお勧めすることもありません。結果として、中国のユーザーに向けて合法かつ法令適合に動くWorkatoの資産が手に入ります。
関連する読み物：
よくあるご質問
Workatoは中国本土にデータセンターを持っていますか？
はい。Workato自身のドキュメントによれば、AWS中国（寧夏）リージョン上にホストされ、Workato（北京）Technology Co., Ltd.が北京のICP備案の下で運用する専用のChinaデータセンターを運用しています。当該リージョンの自動化データは隔離され、他リージョンへは移転されないため、中国データはそこに国内居住で留められます——ただしこのリージョンはEnterprise限定で、グローバルなWorkatoテナントとは別個です。
グローバルなWorkatoテナントが中国のデータを自動化する場合、それは越境移転ですか？
概ねそうです。各Workatoアカウントは単一リージョンに置かれ、Workatoはリージョンをまたいでデータを共有しません。したがって中国由来の個人情報に触れるレシピが米国やEUのワークスペースで走るなら、そのデータを中国の外へ動かすことはPIPL第38〜40条の下の越境移転であり、通知、個別の同意、移転メカニズム、そして閾値を超える場合はデータ越境安全評価を要します。中国国内リージョンはそれを避けるために存在しますが、グローバルテナントを遡って国内居住にするものではありません。
Workatoの中国リージョンを使えば法令適合になりますか？
それ自体では、なりません。国内リージョンを運用すれば中国の自動化データは国内に留まり、保存義務の助けにはなります——が、そもそもそれが必要か、移転にCACのメカニズムが必要か、貴社がCIIOか、中国向けの面がICP備案を負うかは、すべて貴社の法人、取扱データ量、ユーザーで変わります。このリージョンは機能制限付き（AI機能なし、28のコネクターが利用不可）でもあり、チームをオフショアのワークスペースへ押し戻し得ます。リスクの見取り図として扱い、具体は専門家と確定してください。
