Zuoraは中国本土で使えるか：データの国内保存、ICP、越境ルール
ZuoraはオフショアのクラウドSaaSです。中国顧客のアイデンティティ、サブスクリプションの記録、請求書、決済手段のデータは、北米・ドイツ・日本のZuoraデータセンターに置かれ、中国本土には一つもありません。速度テストでは決して見えない、PIPL・決済ライセンス・ICPの門を、コンプライアンス起点で読み解きます。
Zuoraは中国本土で使えるか
中国向けにZuoraを運用できるかは、データの国内保存と決済ライセンスの問いであって、速度ではありません。Zuoraは本土から到達できます。エクスポージャーはパフォーマンスではなく、法律です。
Zuora自身の下請処理者のExhibitによれば、顧客テナントのデータはAWS上のドイツ・日本・米国にホストされ——中国本土には一つもありません——したがって中国顧客のアイデンティティ、サブスクリプションと契約の記録、請求書、決済手段の参照情報は国外に置かれます：PIPLが規律する個人情報の越境移転です。特徴的な二つ目の門は決済です。外国のサブスクリプションプラットフォームは中国の決済ライセンスを持つ機関ではないため、中国顧客からの実際の送金は、Zuoraがその上で請求をオーケストレーションしつつ、ライセンスを持つ国内の決済経路の上で走らせなければならず、中国向けの請求やセルフサービスのポータルはICP備案を必要とします。
これは判定ではなくリスクの全体像です——義務は、取扱データ量、役割、どう決済を集めるかで変わります。当社の中国チームが一緒にZuoraのエクスポージャーを整理します →
コンプライアンス・スナップショット
- ! 中国から到達できる——が、問題は速度ではない。データと送金の経路だ
- ! 中国顧客の請求アイデンティティとサブスクリプションの記録がオフショアに置かれる
- ! 決済手段と個人データがオフショア＝PIPL第38〜40条の越境移転
- ✕ 中国本土のデータセンターはない——北米・ドイツ・日本のみ
- ! 中国の決済ライセンスを持つ機関ではない——送金には国内の経路が必要
- ✓ 法令適合の道筋：国内のデータ＋ライセンスを持つ決済経路＋ICP備案
Zuoraの公式ドキュメントが中国について述べていること
| 事実 | 一次情報源 |
|---|---|
| Zuora自身のドキュメントで：そのサービスは4つのデータセンターから走る——「US Cloud Data Center 1」と「US Cloud Data Center 2」（ともに「北米に所在」）、「EU Cloud Data Center」（ドイツ）、そしてデータが「日本に所在する最新のデータセンター」にホストされる「APAC Cloud Data Center」。中国本土には一つもなく、中国顧客の請求データはオフショアのリージョンに割り当てられる。 | Zuora Product Documentation — Zuora Data Centers（2026-10-12 取得） |
| Zuora自身の下請処理者のExhibitは、Amazon Web Servicesを「顧客テナント（Zuora・Zephrのサービス利用時に顧客が収集した個人データを含む）」のホストとして挙げ、ホスティングロケーションをドイツ・日本・米国とする——中国本土のロケーションはない。したがって中国顧客のテナントデータは、決済関連の個人情報を含め、オフショアに置かれる。 | Zuora — List of Data Center Location(s) and Subprocessors（下請処理者のExhibit、2026-10-12 取得） |
| 中国の非銀行決済機関の監督管理条例（国務院令第768号、2024年5月1日施行）は、中国で決済サービスを提供するために決済業務許可証を求める。第2条は、中国のユーザーへ越境決済サービスを提供しようとするオフショアの機関に中国国内で非銀行決済機関を設立することを求め、第19条は国内での取引処理・資金清算・データ保存を求める。外国のサブスクリプションプラットフォームはそのライセンスを持つ機関ではないため、送金はライセンスを持つ国内の経路の上で走らせなければならない。 | 国務院令第768号 — 非銀行決済機関の監督管理条例、第2条・第19条 |
| 中国顧客のアイデンティティと決済手段の個人情報をオフショアに保持することは、PIPL第38〜40条の下の越境移転であり、第13条／第23条の通知と個別の同意の義務の上に重なる。決済とアイデンティティの詳細はセンシティブ個人情報になり得る（第28〜29条）。重要情報インフラ運営者または大量取扱者の場合、サイバーセキュリティ法の第39条（旧第37条）が、中国で収集した個人情報を本土に保存することを求め——オフショアのテナントでは満たせない。 | PIPL 第13・23・28〜29・38〜40条；サイバーセキュリティ法 第39条（旧第37条） |
情報源は21YunBox コンプライアンスチームが2026年10月12日に確認しました。
中国事業の請求にZuoraを使う企業にとって、決め手は、上海から請求UIや顧客のセルフサービスポータルがどれだけ速く描画されるかではありません。それは、データがどこに置かれることを許されるか——そして誰が送金を行うライセンスを持つか——です。Zuoraは貴社の中国サブスクリプション収益のシステム・オブ・レコードだからです。請求するすべての中国顧客のアイデンティティ、サブスクリプションと契約の記録、請求書と利用状況、ファイルに保持される決済手段の参照情報、そしてそれらの関係が表す継続収益を保持します。ZuoraはオフショアのクラウドSaaSで、北米・ドイツ・日本のデータセンターにホストされ、中国本土の内側にはリージョンがありません——ですからそのすべてが国外で保持・処理されます。そしてこれは請求なので、二つ目の特徴的な門が開きます。外国のサブスクリプションプラットフォームは中国の決済ライセンスを持つ機関ではないため、中国顧客からの実際の送金は、ライセンスを持つ国内の決済経路の上で走らせなければなりません。これは、まずコンプライアンスリスクの問いであって、パフォーマンスの問いではありません。
中国でのZuora：ひと目で
| 決め手 | Zuora自身の言葉では——そして中国の法では |
|---|---|
| 何を保持するか | 貴社の中国サブスクリプション収益を端から端まで：中国顧客のアイデンティティと請求連絡先、サブスクリプションと契約の記録、請求書・利用状況・ファイルに保持される決済手段の参照情報（トークンとゲートウェイの参照）、そしてそれらの関係が表す継続収益。 |
| どこで動くか | ZuoraはオフショアのクラウドSaaSです。自身のドキュメントによればデータセンターはUS Cloud Data Center 1・2（「北米に所在」）、EU Cloud Data Center（ドイツ）、APAC Cloud Data Center（日本）。自身の下請処理者のExhibitによれば、顧客テナントのデータはAWS上のドイツ・日本・米国にホストされます。中国本土の内側には一つもなく、選べる中国リージョンもありません。 |
| 顧客と決済のPII | 中国顧客のアイデンティティと決済手段の詳細は、テナントが割り当てられたオフショアのリージョンに置かれます——PIPL第38〜40条の下の越境移転であり、第13条／第23条の通知と同意の上に重なり、決済とアイデンティティの詳細はセンシティブ個人情報になり得ます（第28〜29条）。重要情報インフラ運営者または大量取扱者の場合、サイバーセキュリティ法 第39条（旧第37条）が、中国で収集した個人情報を本土に保存することを求めます。 |
| 送金——特徴的な二つ目の半分 | これは速度テストが決して見ない半分です。中国顧客からの継続決済の収受はライセンスを要する活動です。非銀行決済機関の制度（国務院令第768号）の下、第2条は、中国ユーザーへ越境決済サービスを提供するオフショアの事業者に中国国内で非銀行決済機関を設立することを求め、第19条は国内での処理・清算・データ保存を求めます。Zuoraはそのライセンスを持つ機関ではありません——レーティング、請求書発行、収受のオーケストレーションは行いますが、実際の送金はライセンスを持つ国内の経路の上で、Zuoraをその上に乗せて走らせなければなりません。専門家と確認すべきリスクとして位置づけてください。 |
| 中国向けのポータル | 本土の利用者に配信される公開の請求・チェックアウト・顧客セルフサービスのポータルはインターネット情報サービスなので、本土のホスティングリソースに紐づくICP備案の義務を負います。Zuoraホストのポータルはオフショアのインフラ上で走るため、自前のICP備案の道筋を提供しません。 |
| 到達性は軸ではない | 請求コンソールが本土から速く読み込まれるかは運用の事柄で、コンプライアンスの問いではありません。決めるのは、顧客と決済のデータがどこに置かれ、誰が送金のライセンスを持つかです。21YunBoxは、規制対象のデータを国内に保ち、送金をライセンスを持つ国内の経路で通し、公開ポータルをICP備案し、それを法令に沿って配信する支援を行います——21YunBox Optimizer——すでに走らせているZuoraの前段で。 |
実際に何を保持するか——貴社の中国サブスクリプション収益、そして送金の経路
Zuoraはフォントやスクリプトのような静的なアセットではありません。貴社の中国サブスクリプションビジネスの商業的な中核であり、中国の法が気にかけるまさにその種類のデータと活動を集中させます。データの側では個人・商業の情報を保持します。中国顧客のアイデンティティと請求連絡先、サブスクリプションと契約の記録、請求書、利用状況、ファイルに保持される決済手段の参照情報（トークンとゲートウェイの参照）、そしてそれらの関係が表す継続収益です。活動の側では——到達性チェックが決して見ない半分——送金にまたがって位置します。Zuoraは利用をレーティングし、請求書を起こし、中国顧客からの収受をオーケストレーションします。ZuoraはオフショアのクラウドSaaSで北米・ドイツ・日本のデータセンターにホストされるため、顧客と決済のデータはデフォルトで国外に置かれます。そしてZuoraは中国の決済ライセンスを持つ機関ではないため、それがオーケストレーションする資金は、ライセンスを持つ国内のチャネルの上で清算されなければなりません。どちらの半分もコンプライアンスの問いであり、アプリが速く読み込まれることでは答えられません。
門：レジデンシー、決済ライセンス、ICP
一つ目の門は個人情報のレジデンシーです。Zuoraテナントが中国の人々・事業者から収集する顧客のアイデンティティと決済手段の詳細は、中国の個人情報保護法（PIPL）の下の個人情報であり、それをオフショアのデータセンターに保持することは越境移転（数据出境）に当たります。義務はZuoraではなく取扱者である貴社に着地します。第13条と第23条は収集のための通知と根拠を求め、第38〜40条は国外へ送るための移転メカニズム——CACの安全評価、CAC標準契約、または認証——を求めます。決済手段とアイデンティティの詳細はセンシティブ個人情報に高まり得て、そこではPIPL第28〜29条が特定目的・必要性・個別の同意のテストを加えます。そして重要情報インフラ運営者または大量取扱者の場合、サイバーセキュリティ法（英語）の第39条（旧第37条——2025年のサイバーセキュリティ法改正は2026年1月1日施行で、データ国内保存条項を第37条から第39条へ条番号変更、内容は不変）は、中国で生成された個人情報を本土に保存することを求め、これはオフショアのテナントでは満たせません。
二つ目の門は、請求プラットフォームを通常のSaaSと異ならせるものであり、到達性チェックが最も盲目になる場所です。中国の顧客からの継続決済の収受はライセンスを要する活動です。中国の非銀行決済機関の監督管理条例（英語）（国務院令第768号、2024年5月1日施行）の下、中国で決済サービスを提供するには決済業務許可証（支付业务许可）が必要です。第2条は、中国のユーザーへ越境決済サービスを提供しようとするオフショアの機関に、中国国内で非銀行決済機関を設立することを求め、第19条は国内での取引処理・資金清算・データ保存を中国国内で行うことを求めます。外国のサブスクリプションプラットフォームはそのライセンスを持つ機関ではありません——Zuoraはレーティング、請求書発行、収受のオーケストレーションを行いますが、中国顧客のための実際の送金は、ライセンスを持つ国内の決済経路の上で、Zuoraをその上に乗せて走らせなければなりません。ここでのコンプライアンスの問いは二つです。顧客と決済のデータがどこに置かれるか、そして誰が送金のライセンスを持つか。具体は、確定した分類ではなく、資格ある専門家への問いとして扱ってください——が、速度テストはそのどちらの半分にも答えないことに留意してください。
三つ目の門はICP備案です。中国向けの請求・チェックアウト・顧客セルフサービスのポータルを本土の利用者に公開するなら、貴社は公開のインターネット情報サービスを運用しており、それは中国本土内に物理的に所在するホスティングリソースに紐づくICP備案（ICP 備案）の義務に懸かります。Zuoraホストのポータルはオフショアのインフラ上で走るため、自前のICP備案の道筋を提供しません——スタックをチューニングしても、備案が必要とする本土の足場は生まれません。
到達性チェックはこれを見ない
Zuoraは、中国で単に読み込まれないという種類のサービスではありません——エクスポージャーは、遅い描画よりも静かで、より耐久的です。請求コンソールと顧客ポータルが瞬時に開いたとしても、それらを使うことは依然として中国顧客のアイデンティティと決済関連の個人情報を国外に置き、依然として送金を、オフショアでは中国で行うライセンスを持たないチャネルに委ねることになります。到達性テストは「ページは返ってきたか」に答えます。サブスクリプションの記録と決済手段のデータがどこに置かれるか、そして誰が合法的に送金を行えるかには盲目です。データがどこに置かれ、誰がライセンスを持つか——ページがどれだけ速く届くかではなく——が、中国の法が反応する対象です。
これは判定ではなく、Zuoraが中国で「遮断されている」「違法である」というリスクの見取り図でもありません。どの義務が貴社のケースを縛るかは、法人、テナントが実際に保持するもの、中国法上の役割、取扱データ量、そして中国顧客からどう決済を集めるかで変わります——中国収益がそれに依存する前に、具体を専門家と確定する価値があります。
法令に沿った進め方——map・localize・deliver
中国事業のためにサブスクリプション請求を走らせる合法的な方法があり、それはすでにチームが使っているZuoraの前段に位置します——作り直しも、二つ目のシステムも、Zuoraからの移行もありません。
まず、map（把握）：当社の中国チームが、Zuoraテナントが保持するもの——顧客のアイデンティティ、サブスクリプションと契約の記録、請求書、利用状況、決済手段の参照情報、そして中国向けのポータル——を棚卸しし、それがどこにホストされているか（オフショアのZuora/AWSのリージョン）、公開ポータルのICPの状況、そして各フローが依拠する同意・レジデンシー・決済ライセンスの根拠を確定します。技術的な全体像は当社が描き、法的結論は専門家と確定します。
次に、localize／govern（国内化・ガバナンス）：規制対象のデータ——顧客と決済関連の個人情報——を合法的な中国国内の経路に保ち、第13条／第23条の通知と同意を取得し、実際の送金を、オフショアのチャネルではなく、ライセンスを持つ国内の決済経路と清算を通す支援を行います。ローカライズとは、データと送金の経路を国内に保つことを意味します——そのいずれかをひそかに越境させる経路では決してありません。
そして、deliver（配信）：公開の中国向け請求やセルフサービスのポータルはインターネット情報サービスなので、本土のホスティングに紐づくICP備案の義務を負い、法令に沿った中国国内からの配信を必要とします。21YunBoxはそれを立ち上げます——21YunBox Optimizer——すでに走らせているものの前段で、中国のユーザーに向けて合法かつ法令適合に提供します。21YunBoxはいかなる不正な手段も用いず、またお勧めしません——法が留まるべきと定めるものは国内に保ち、残りは中国国内から法令に沿って配信し、個人情報をひそかに越境させることは決してありません。オフショアのテナントを単に 到達可能 にすることは答えではありません。規制対象のデータを国内に保ち、ライセンスを持つ国内の決済経路を使い、ポータルをICP備案し、それを法令に沿って配信することが答えです。21YunBoxは、すでに走らせている請求プラットフォームの、競合ではなく、法令適合のオーバーレイでありパートナーです。
関連する読み物：
よくあるご質問
Zuoraは中国顧客のデータを中国に保存しますか？
いいえ。Zuora自身のドキュメントによればデータセンターは北米・ドイツ（EU）・日本（APAC）にあり、下請処理者のExhibitは顧客テナントのデータをAWS上のドイツ・日本・米国にホストするとします——中国本土には一つもありません。したがって中国顧客から収集するアイデンティティ、サブスクリプションの記録、請求書、決済手段の参照情報はオフショアに保存され、PIPLはそれを個人情報の越境移転として扱います。
Zuoraを中国で速く読み込ませれば十分ではないですか？
いいえ。到達性と速度は運用の事柄で、コンプライアンスの問いではありません。請求UIと顧客ポータルが瞬時に読み込まれたとしても、中国顧客の個人・決済関連のデータは依然として国外に置かれ、送金は依然としてライセンスを持つ国内の決済経路を必要とします。中国の法が反応するのは、データがどこに置かれ、誰が送金のライセンスを持つかであり——そのどちらも速度テストには見えません。一律の禁止ではなく、専門家と確認すべきリスクとして扱ってください。
21YunBoxは当社のZuora設定を中国で法令適合にする手助けができますか？
はい。当社の中国チームが、Zuoraテナントが何を保持しどこに置かれるかを整理し、規制対象の顧客・決済データを、実際の送金のためのライセンスを持つ国内の決済チャネルと並んで合法的な中国国内の経路に保つ支援を行い、中国向けの請求やセルフサービスのポータルの前段にICP備案済みの中国国内からの配信を立ち上げます——作り直しも、Zuoraからの移行もありません。具体的なケースはお問い合わせください。
