Ramp는 중국에서 작동하나요? 데이터 레지던시, ICP, 국경 간 규칙

중국 법인 뒤에 앉은 법인카드·지출 관리 플랫폼에게, Ramp에 관한 첫 질문은 그 대시보드가 상하이에서 빨리 열리느냐가 아닙니다. 열립니다 — 전송은 이것이 결정되는 곳이 아닙니다. Ramp는 회사가 어떻게 지출하는지의 기록 시스템입니다: 카드번호와 그에 결부된 모든 결제, 카드소지자 신원과 각 카드 뒤의 직원, 환급 은행 정보, 그리고 — 그 청구 지급·회계 측면을 통해 — 협력사 마스터 데이터, 은행 계좌번호, 세무 신원. 그 거의 전부가 개인정보이고, 카드와 금융 계좌번호는 중국 법상 민감 개인정보입니다. Ramp는 그 데이터를 중국 본토 리전도 자체 호스팅 옵션도 없이 미국 클라우드 인프라에서 돌리고, 그 카드는 미국 은행이 발급합니다. 그러니 진짜 축은 두 개의 문입니다: 그 기록이 어디에 자리 잡도록 허용되는지, 그리고 중국 안에서 카드를 발급하고 돈을 옮기는 것 자체가 라이선스받은 활동이라는 사실. 어느 것도 밀리초로 측정되지 않습니다.

한눈에 보는 중국에서의 Ramp

본토 리전이 없으니, 카드·협력사 기록이 나라를 떠난다

데이터가 어디에 자리 잡는지에서 시작하세요, 그것이 결정이 실제로 도는 곳이기 때문입니다. Ramp Trust Center는 그 인프라 제공자를 “Amazon Web Services”로 명시하고 각 서브프로세서를 “United States” 소재로 열거합니다. 그중 어느 것도 중국 본토에 앉지 않고, Ramp는 자체 호스팅이나 소버린 리전 옵션을 게시하지 않습니다 — 그것은 스스로 운영하는 클라우드 전용 서비스입니다. 그것은 Ramp의 보안 자세에 대한 비판이 아닙니다; 그것은 SOC 증명을 보유하고 저장·전송 시 데이터를 암호화합니다. 그것은 그저 중국에 중요한 사실입니다: 기록이 해외에 자리 잡습니다.

그러니 귀사 중국 법인이 본토 직원에게 카드를 발급하거나 본토 협력사를 온보딩하고 Ramp가 그 사람의 카드번호·신원·은행 계좌·세무 ID를 수집하는 순간, 중국의 누군가에 관한 개인정보가 나라 밖 인프라로 이동한 것입니다. 중국 개인정보 보호법상 그것은 국경 간 이전이고, PIPL은 의무를 처리자 — 플랫폼과 나란히 귀사 — 에 둡니다. 제38~40조는 고지, 모든 고용·협력사 계약과 구별되는 별도 동의, 하나의 합법적 이전 메커니즘(CAC 안전성 평가, CAC 표준계약, 또는 인증)을 요구합니다. 국가 임계치 이상이거나 데이터 집합이 “중요 데이터”로 집계되는 곳에서는, 그 국외 이전이 무엇이든 떠나기 전에 중국의 데이터 국외 이전 안전성 평가도 요구할 수 있습니다. 그리고 레지던시 의무가 위에 앉을 수 있습니다: 핵심정보인프라 운영자나 대량 취급자에게는 중국에서 수집된 개인정보가 중국에 저장되어야 합니다(PIPL 제40조). 같은 논리가 사이버보안법을 관통하는데, 그 국내 저장 의무는 이제 제39조(구 제37조 — 2026년 1월 1일 발효한 2025년 사이버보안법 개정으로 재번호, 실질 내용은 불변)에 앉습니다. 미국 클라우드 저장소는 국내 저장 의무를 충족할 수 없습니다.

카드번호·은행 정보·카드소지자 신원은 민감 개인정보다

Ramp가 무엇을 보유하는지 정확한 것이 가치 있습니다, 그것이 바로 중국 법이 가장 조심스럽게 다루는 범주이기 때문입니다. 법인카드 플랫폼의 존재 이유는 카드번호, 결제별 거래 흔적, 그리고 각 결제 양측의 사람과 협력사 신원 — 카드소지자 이름과 직원 기록, 환급 은행 계좌, 그리고 청구 지급 측면에서는 협력사 은행 계좌번호와 세무 신원 — 을 보유하는 것입니다. 종합하면 그것은 실제 사람과 그들이 대표하는 법인의 상세한 금융 프로필입니다.

PIPL 제28조상, 민감 개인정보는 누출되거나 오용되면 사람의 존엄이나 안전을 쉽게 해칠 수 있는 정보이고 — 그것은 금융 계좌를 구체적으로 명명합니다. 카드번호, 은행 계좌·라우팅 정보, 그리고 그 뒤의 신원 기록은 정확히 그 안에 있습니다. 민감 개인정보 처리는 특정 목적, 엄격한 필요성, 그리고 — 국경 간 레그에는 — 위의 별도 동의와 이전 메커니즘을, 일반 데이터보다 높은 기준으로 요구합니다. 실무적 귀결: 지출 플랫폼이 하는 가장 유용한 일 하나, 지급·대사(對査)에 필요한 정확한 정보를 보유하는 것이, 또한 그 중국을 향한 사용을 편의 질문이 아니라 민감 데이터 질문으로 만드는 것입니다.

두 번째 문: 카드 발급과 중국으로의 지급은 라이선스받은 활동이다

레지던시는 첫 번째 문일 뿐입니다. Ramp가 카드를 발급하고 돈을 옮기므로, 두 번째 문이 위에 적용됩니다. Ramp 자체 면책은 그 카드가 미국 은행 발급임을 명시합니다 — “The Ramp Visa Commercial Card is issued by Sutton Bank, Member FDIC”, Corporate Card는 “issued in the U.S. by Celtic Bank”, Business Card는 “Lead Bank, Member FDIC” — 더 새로운 비미국 프로그램은 영국·EEA·캐나다 파트너가 발급합니다. 그 발급사 중 어느 것도 중국 본토에 없습니다. 본토 역내 거래의 카드 발급·매입·정산은 비은행 지급결제기관 감독관리 조례(국무원령 제768호, 2024년 5월 1일 발효)상 라이선스받은 활동입니다: 역내 거래에 지급결제 서비스를 제공하려면 국내 라이선스 경로가 필요하고, 역내 거래의 거래 처리·정산·데이터 저장이 중국 안에서 완료되어야 합니다. 미국 은행 발급 카드 프로그램은 중국 지급결제 라이선스가 아니고, 외국 제공자는 본토 역내 카드 발급이나 지급결제를 자기 계정으로 해외에서 돌리지 않습니다.

그것은 저희가 귀사를 위해 걸어 들어가는 문이 아니라 지도화하도록 돕는 문입니다. 21YunBox는 라이선스받은 지급결제기관이 아니고 중국 지급결제 라이선스를 보유하지 않으므로, 라이선스와 레일은 라이선스받은 국내 제공자와 귀사 법률 자문과 함께합니다. 이 레그에서 저희가 더하는 것은 자문입니다: 귀사의 특정 흐름 — 어느 법인이 지출하는지, 그 일부가 본토 사용자에게 역내 지급결제나 카드 서비스를 제공하는 것에 해당하는지, 어느 레일과 파트너를 건드리는지 — 이 국무원령 제768호에 비추어 어디에 앉는지 보도록 도와, 법률 자문과 라이선스받은 파트너가 무엇을 확인해야 하는지 정확히 알게 하는 것. 이 중 어느 것도 Ramp가 중국에서 “차단”되었다는 뜻이 아닙니다; 그것은 카드·지급결제 레그가 레지던시와 별개의 자체 컴플라이언스 표면을 가진다는 뜻입니다.

넘어가는 것을 좁혀도 문은 닫히지 않는다

합리적 직관은 도구 안에서 노출을 줄이는 것입니다 — 어느 법인이 Ramp 카드를 발급하는지 제한하거나, 어느 본토 협력사를 온보딩하는지 제약하거나, 일부 기록을 자체 관리 시스템에 두는 것. 그 레버는 당길 가치가 있습니다: 그것은 국경을 넘는 개인정보가 무엇인지를 줄이고 더 무거운 임계치를 촉발하는 규모를 낮출 수 있습니다. 그러나 그것은 크기를 바꿀 뿐 성질을 바꾸지 않습니다. 본토 카드소지자의 카드 정보나 본토 협력사의 은행 계좌가 미국에서 저장·처리되는 한, 국경 간 이전은 여전히 일어나고 레지던시 질문은 여전히 열려 있습니다; 페이로드를 다듬는 것이 미국 저장소를 국내 저장소로 바꾸지 않고, 중국을 향한 표면을 비안하지 않습니다. 도달 가능성도 마찬가지로 요점을 벗어납니다 — 즉각 열리는 대시보드도 여전히 기록을 잘못된 자리에 두고 카드·지급결제 레그를 라이선스 없이 남길 수 있습니다.

이 중 어느 것이 실제로 귀사 운영을 무는지는 귀사 법인, 데이터 규모, 중국 법상 귀사 역할, 그리고 카드소지자와 수취인이 누구인지에 따라 달라집니다 — 그리고 이 페이지는 그 노출의 지도이지 그에 대한 판정이 아닙니다. 각 문을 귀사가 진정으로 수집·저장·지급하는 것에 비추어 자격 있는 법률 자문과 정할 리스크로 다루세요, 귀사 중국 흐름이 그것에 의존하기 전에.

합법적 경로 — 진단, 현지화, 전송

중국 운영 뒤에서 Ramp를 돌리는 합법적 형태가 있고, 그것은 Ramp를 뜯어내지 않습니다. 먼저, 진단(map). 저희 중국 컴플라이언스 팀은 귀사의 PIPL·데이터 레지던시·지급결제 라이선스 의무를 귀사의 실제 설정에 비추어 읽습니다 — 어느 본토 카드소지자·직원·협력사 기록을 수집하는지, 귀사 데이터 규모, 귀사 시스템이나 역할이 핵심정보인프라나 대량 취급자 임계치에 드는지, 그리고 귀사 고지·별도 동의 흐름이 무엇을 포괄해야 하는지. 법적 결론은 귀사 법률 자문과 정하고; 저희는 그 결정에 투입되는 기술·아키텍처 그림을 세웁니다.

그다음 현지화(localize). 중국 레그가 국내에 머물러야 하는 곳에서, 저희는 중국 거주형 카드소지자·협력사 기록 — 본토 사람에 결부된 카드·신원·은행·세무 정보 — 을 동의된 국내 기반에, 법이 요구하는 본토 안에서 저장·처리되도록 두고, 한편 Ramp는 나머지 지출에 대해 하던 일을 계속합니다. 요점은 귀사 카드 플랫폼을 대체하는 것이 아니라 중국 거주형 기록을 그것이 속한 자리에 두는 것입니다.

그다음 전송(deliver). 그 흐름이 필요로 하는 모든 중국을 향한 표면 — 카드소지자 온보딩 포털, 협력사 접수 양식, 본토 사용자가 로드하는 상태 페이지 — 은 공개 본토 인터넷 서비스이므로 ICP 비안과 규정에 맞는 국내 전송이 필요합니다. 21YunBox는 그것을 국내에서 전송합니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 스택 앞단에, 재구축도 리플랫폼도 없이. 평이하게 밝힌 두 경계: 지급결제 라이선스 레그에서 저희 역할은 자문입니다 — 21YunBox는 라이선스받은 지급결제기관이 아니므로, 라이선스와 카드·지급결제 레일은 저희가 아니라 라이선스받은 국내 제공자와 귀사 법률 자문과 함께합니다; 그 밖의 모든 것에서 저희는 규정에 맞는 오버레이이자 Ramp의 파트너이지 경쟁자가 아닙니다. 저희가 결코 하지 않는 것 — 누구도 합법적으로 할 수 없는 것 — 은 귀사를 중국의 데이터 국외 이전 규칙이나 어떤 네트워크 제한 주위로 라우팅하는 것입니다: 저희는 경로를 지도화하고, 머물러야 하는 기록을 현지화하며, 표면을 국내에서 전송합니다. 21YunBox는 어떤 형태의 우회도 쓰거나 권하지 않습니다. 그 결과는 중국 사용자에게 합법적이고 규정에 맞게 돌아가는 중국을 향한 운영입니다.

컴플라이언스 진단 받기 →

함께 읽기:

• 중국 비은행 지급결제기관 감독관리 조례(국무원령 제768호)
• PIPL상의 국경 간 데이터 이전
• 중국의 데이터 국외 이전 안전성 평가 방법
• 중국 사이버보안법 — 데이터 국내화(제39조, 구 제37조)
• 중국 ICP 비안 받는 법

관련 기술

Anaplan

Anaplan

BILL

BILL

BlackLine

BlackLine

Expensify

Expensify

OneStream

OneStream

Oracle EPM Cloud

Oracle EPM Cloud

Tipalti

Tipalti

Workiva

Workiva