Xataは中国本土で使えるか：データの国内保存、PIPL、データの置き場所
Xataは貴社のデータベースです——そしてそのマネージドクラウド上では、レコードは中国本土の選択肢がないオフショアのリージョンに置かれるため、中国ユーザーの個人データをそこに保存することはPIPLの下の越境移転に当たります。BYOCとセルフホストの経路はデータを国内に留められますが、コンプライアンスの負担は丸ごと貴社に渡されます。コンプライアンス起点で読み解きます。
Xataは中国本土で使えるか
Xataは貴社のデータベースなので、問いは中国で読み込めるかではなく、保持するレコードがどこに置かれることを許されるかです。マネージドのXata Cloud上では、中国本土の選択肢がないオフショアのクラウドリージョンに置かれ、それが中国ユーザーの個人情報の保存をPIPLの下の越境移転にします。唯一の正直な例外：XataのBYOCとセルフホストのオプションは、自分のアカウントやオンプレミスにデータを留められます——ですから一律の「いいえ」ではありませんが、運用の負担が丸ごと貴社のものになります。
XataはPostgresを走らせる三つの場所を記しています——「当社のクラウド、あるいは貴社のクラウドアカウント、さらにはオンプレミス（BYOC）にPostgreSQLインスタンスをデプロイできる」。選んだ場所にデータを留めるのはBYOCだけで、そこでは「データを含む実際のPostgresインスタンスは、貴社自身のAWS・GCP・Azure・Hetznerアカウント内に直接起動される」「データが貴社の環境内に留まることが保証される」とされます——一方で「Xataのコントロールプレーン……は〔Xataの〕AWSアカウント内で動き続ける」のはどの場合もオフショアです。本土ユーザーの個人情報をオフショアのマネージドクラウドに保存すれば、PIPLはそれを越境移転として扱い（通知、個別の同意、移転メカニズム、第38〜43条）、CIIOや大量取扱者には国内保存が求められます（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））。なおICP備案は、データベースではなく、その前に立つ公開アプリに紐づきます。下の表はXata自身の言葉と、各経路が発動させるルールです。
これは判定ではなくリスクの見取り図です——どの経路が合うかは、貴社の法人、取扱データ量、ユーザーが誰かで変わります。当社の中国チームが一緒にエクスポージャーを整理します →
コンプライアンス・スナップショット
- ! Xataは貴社のデータ——マネージドのXata Cloud上ではオフショアのクラウドリージョンに置かれる
- ✕ Xataのマネージドクラウドに中国本土リージョンはない
- ! オフショアに保存される中国ユーザーの個人データはPIPLの越境移転
- ✓ BYOCとセルフホストはデータプレーンを自分のクラウドやオンプレミスに留められる
- ! BYOCでも、Xataのコントロールプレーンは自社のAWSアカウント内でオフショアに動く
Xataの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Xataは貴社のデータであり、それがどこに置かれるかはデプロイ時の選択で決まる。 Xataは三つのデプロイ先を記す——自身の言葉で「当社のクラウド、あるいは貴社のクラウドアカウント、さらにはオンプレミス（BYOC）にPostgreSQLインスタンスをデプロイできる」。BYOCの下では「データを含む実際のPostgresインスタンスは、貴社自身のAWS・GCP・Azure・Hetznerアカウント内に直接起動され」、Xataは「データが貴社の環境内に留まることを保証する」と約束する。マネージドクラウドでは選んだ場所に留まらず、Xataのオフショアのリージョンに置かれる。 | Xata — Bring Your Own Cloud（xata.io/byoc）& Deployment docs（2026-10-07 取得） |
| データがローカルに留まる場合でも、Xataのコントロールプレーンはそうではない。 Xataのデプロイのドキュメントは「Xataのコントロールプレーン……は当社のAWSアカウント内で動き続ける」こと、「コントロールプレーンとデータプレーン間のレイテンシは重要ではない。制御メッセージのみを伴うため」と記す。したがってBYOCやセルフホストの構成は、レコードを貴社自身の環境に保持しつつ、組織・ユーザー・インスタンスのメタデータは依然XataのオフショアのAWSアカウントから管理される——PIPLの下の越境データ移転の義務に照らして評価すべき境界。 | Xata — Deployment（xata.io/docs/core-concepts/deployment、2026-10-07 取得）；PIPL 第38〜43条 |
| データを国内に留めることは、Xataがデフォルトではなく貴社に手配を求めるもの。 XataのBYOCの売り文句そのものが「自分のクラウド環境内でホストして、データを法令適合かつローカルに保つ」——これが、そのマネージドクラウドが中国国内の選択肢ではないという証左。本土ユーザーから収集してオフショアのXataリージョンに保存する個人情報はPIPLの下の越境移転（通知、個別の同意、移転メカニズム、第38〜43条）であり、CIIOや大量取扱者はそのデータを中国に保存しなければならない（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））。 | Xata — Bring Your Own Cloud（xata.io/byoc、2026-10-07 取得）；PIPL 第38〜43条・第40条；サイバーセキュリティ法 第39条（旧第37条） |
| 本物の中国国内の経路は存在する——そしてそれはコンプライアンスの負担を丸ごと貴社のものにする。 マネージドホスティングを超えて、Xataは「主要なクラウドプロバイダーはすべてサポートされる」「ベアメタルおよびセルフホストのオプションもサポートする」とし、「Xataのデータプレーン部分全体を、貴社が管理するKubernetesの構成に」インストールでき、それは「貴社自身のクラウドアカウント（AWS、Azure、GCP、Hetznerなど）またはオンプレミス」にできるとする。そのデータプレーンを本土のクラウド内で走らせればレコードは国内に留められる——が、その場合、法令適合のリージョンの選定、中国法人の保有、そしてデータベースの前に立つ公開アプリのICP備案（国務院令第292号；MIIT令第33号）は貴社が負う。備案されるのは決してデータベースではなく、露出するサービスである。 | Xata — Deployment & Bring Your Own Cloud docs（xata.io、2026-10-07 取得）；国務院令第292号；MIIT令第33号 |
情報源は21YunBox コンプライアンスチームが2026年10月7日に確認しました。
中国本土の利用者にとって、Xataをめぐる鋭い問いは、クエリにどれだけ速く応答するかではありません——それが保持するレコードが、どこに置かれることを許されるかです。Xataは貴社のデータベースです。アプリケーションのデータを保存し、中国ユーザーの個人情報はその中に置かれます。Xataのマネージドクラウド上では、そのデータはオフショアのリージョンに置かれ、それを保存することを中国の法が規律する越境移転にします。データベースは到達できますが、到達性はそもそもエクスポージャーではありませんでした。Xataは出口を提供する点で珍しく——自分のアカウントやオンプレミスにデータを留められる、bring-your-own-cloud（BYOC）とセルフホストの経路です——ですから答えは一律の「いいえ」ではありません。法令適合の選択肢は存在し、それを運用する作業が丸ごと貴社のものになる、ということです。
中国でのXata：ひと目で
| 決め手 | Xata自身の言葉では |
|---|---|
| データはどこで動くか | マネージドサービスでは、PostgresはXata自身のクラウド上で動きます。選んだ場所にデータを留めるのはBYOCの経路で、そこでは「データを含む実際のPostgresインスタンスは、貴社自身のAWS・GCP・Azure・Hetznerアカウント内に直接起動される」とされます。 |
| 中国本土リージョンはあるか | マネージドクラウドにはありません。Xataは「当社のクラウド、あるいは貴社のクラウドアカウント、さらにはオンプレミス（BYOC）」でのデプロイを記しており、中国国内の本土ロケーションはBYOCまたはセルフホストの経路からのみ得られ、それは貴社自身が運用します。 |
| コントロールプレーン | どの構成でもオフショアです。「Xataのコントロールプレーン……は当社のAWSアカウント内で動き続け」、データプレーンとは「制御メッセージのみ」をやり取りします。 |
| 公開への提供 | ICP備案されるのはデータベースではありません。その前に立つ公開のアプリやAPIです。オフショアから配信されれば、そのフロントエンドにはICP備案のための本土の足場がありません。 |
| PIPLの下のデータ | オフショアのXataリージョンに保存される本土ユーザーの個人情報は、PIPLが規律する越境移転であり、CIIOと大量取扱者には国内保存が求められます。 |
門その一——マネージドクラウドでは、データはオフショアに置かれる
Xataのマネージドサービスを選べば、Postgresは中国本土の外にあるXata自身のクラウド上で動きます。デプロイのモデルは、「当社のクラウド、あるいは貴社のクラウドアカウント、さらにはオンプレミス（BYOC）にPostgreSQLインスタンスをデプロイできる」 ことを明示しており——そのうち二つ目と三つ目だけが、データを貴社の決めた場所に置きます。マネージドクラウドでは、レコードはXataのオフショアのリージョンに置かれ、しかもその場合でも 「Xataのコントロールプレーン……は〔Xataの〕AWSアカウント内で動き続け」 ます。
中国向けのアプリケーションにとって、それはパフォーマンスが入ってくる前にデータの国内保存の問いを決めます。本土ユーザーから収集してオフショアのリージョンに保存する個人情報は、中国の個人情報保護法（PIPL）の下では越境移転であり、取扱者——Xataではなく貴社——は、通知し、個別の同意を取得し、移転メカニズムのいずれか一つ（CACの安全評価、CAC標準契約、または認証）を第38〜43条の下でクリアしなければなりません。重要情報インフラ運営者または大量取扱者の場合、そのデータは本土に保存しなければなりません（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））——オフショアのリージョンでは満たせない義務です。
門その二——BYOCとセルフホストはデータを国内に留められる、そして負担を渡す
ここでXataは、代替のない単なるオフショアのホストとは異なります。bring-your-own-cloudとセルフホストのオプションは、データプレーンを貴社が管理するインフラ上へ動かします。Xataは 「主要なクラウドプロバイダーはすべてサポートされる」 とし、「ベアメタルおよびセルフホストのオプションもサポートする」、「Xataのデータプレーン部分全体を、貴社が管理するKubernetesの構成にインストールする」、それは 「貴社自身のクラウドアカウント（AWS、Azure、GCP、Hetznerなど）またはオンプレミスにできる」 としています。そのデータプレーンを中国本土のクラウド内で走らせれば、レコードは国内に留められます——XataはBYOCの下で 「データが貴社の環境内に留まることを保証する」 とさえ約束しています。
ですから答えは一律の「いいえ」ではありません。しかし、その中国国内の経路は貴社が運用するものです。法令適合の本土リージョンを選んでライセンスし、本土のクラウドアカウントとICP備案が必要とする中国法人を保有し、動かない一つのピース——「〔Xataの〕AWSアカウント内で動き続ける」 オフショアのコントロールプレーンと、そこへ渡るメタデータ——を評価するのは貴社です。法令適合の選択肢は本物です。ターンキーではなく、Xataが貴社に代わって中国国内に立ち上げてくれるものでもありません。
ICP備案は、データベースではなく前段のアプリに属する
データベースはインターネット情報サービスではないので、Xataそのものが備案される対象ではありません。要件は、本土の利用者に露出する公開のウェブサイトまたはAPIに課されます。そのフロントエンドには、国務院令第292号とMIIT令第33号の下、本土のホスティングリソースに紐づくICP備案が必要です。そのアプリをオフショアから配信すれば備案を紐づける本土の足場がなく、Xataのデータプレーンを国内へ動かしても、その前に立つアプリケーションを依然として立ち上げ、備案しなければなりません。いずれにせよ、「当社のデータベースはXata上にある」ことは、公開を行う許可を与えるものではありません。
これのどれも判定ではありません——リスクがどこにあるかの見取り図です。義務が国内保存か、Xataの前段のサービスのICP備案か、その両方かは、取扱データ量、法上の役割、提供相手が誰かで変わります。設計をコミットする前に、専門家と確認してください。
21YunBoxの位置づけ——移行ではなく、法令適合のオーバーレイ
貴社はXata上で構築し続けます。当社は、Xataが貴社に委ねる一つのピースを供給します。Xataのデータベース上で走るアプリケーションの前段に置く、法令に沿ったICP備案済みの中国国内からの配信です——作り直しも、二つ目のコードベースも、Xataからの移行も要りません。当社の中国チームが、貴社のPIPLの越境・データ国内保存の義務を、法人と取扱データ量に照らして整理し、データベースとアプリケーションを今あるそのままに残しながら、合法的な中国プレゼンスに必要な中国国内からの配信と備案を立ち上げます。
関連する読み物：
よくあるご質問
XataのデータベースをEUや米国に置けば、中国ユーザーについて法令適合になりますか？
いいえ——それは解決策ではなくエクスポージャーそのものです。本土ユーザーから個人情報を収集してオフショアのXataリージョンに保存するなら、PIPLはそれを越境移転として扱います：貴社（Xataではなく取扱者）が、通知し、個別の同意を取得し、CACの安全評価・CAC標準契約・認証などの移転メカニズムを満たさなければなりません（第38〜43条）。重要情報インフラ運営者または大量取扱者の場合、その個人情報は中国に保存しなければならず（PIPL第40条、サイバーセキュリティ法 第39条（旧第37条））、EUや米国のリージョンではできません。Xata内でリージョンを選ぶことは、どのオフショア国がデータを持つかを変えるだけで、それが中国を出たかどうかを変えません。
XataのBYOCやセルフホストのオプションで、データを中国本土内に留められますか？
技術的にはできます。そしてそれが、代替のない単なるオフショアのホストとの正直な違いです。Xataはデータプレーンが「貴社自身のクラウドアカウント（AWS、Azure、GCP、Hetznerなど）またはオンプレミス」にでき、BYOCの下で「データが貴社の環境内に留まることが保証される」としており、本土の中国クラウド内でのKubernetesインストールはレコードを国内に留められます。ただし二つのことが導かれます。Xataのコントロールプレーンは依然オフショアで「〔自社の〕AWSアカウント内で動き続ける」ので、その境界を越えるメタデータはPIPLに照らして評価する価値があり、そして貴社は運用とライセンスの負担を丸ごと負います——中国法人、法令適合のリージョン、そしてデータベースの前に立つ公開アプリのICP備案です。中国国内の経路は存在しますが、ターンキーではなく、Xataが中国国内で貴社に代わって運用するものでもありません。
21YunBoxはXataの設定を中国で動くようにする手助けができますか？
はい。当社の中国チームが、貴社のエクスポージャーを整理し——PIPLの越境・データ国内保存の立ち位置を、法人・取扱データ量・ユーザーに照らして評価し——Xataの前に立つ公開アプリに必要なICP備案済みの中国国内からの配信を、すでに走らせているスタックの上に立ち上げます。移行ではなく法令適合のオーバーレイとして動きます：Xataのデータベースとアプリケーションは今ある場所に残り、当社が中国本土のピースを加えます。具体的なケースはお問い合わせください。
