Sumsub은 중국에서 작동하나요? KYC 생체·신원 데이터 레지던시, PIPL 국경 간, ICP

중국 본토를 위해 고객 온보딩을 세우는 핀테크·거래소·마켓플레이스·은행에게, Sumsub에 대한 첫 본능은 그 확인 흐름이 나라 안에서 로드될지 묻는 것입니다. 대체로 로드됩니다 — Sumsub의 KYC 엔드포인트는 중국이 국경에서 차단하는 것이 아니므로, 도달 가능성은 중국 결정이 정해지는 곳이 아닙니다. 그것을 정하는 것은 데이터 레지던시와 민감 개인정보의 국경 간 이전입니다: Sumsub이 귀사 사용자에 대해 포착하는 정부 신원증 이미지·얼굴 생체·라이브니스 비디오·AML 스크리닝 결과가 어디 와서 멈추고, 그 데이터를 중국 밖으로 옮길 합법적 근거가 애초에 있었느냐입니다. 그것들은 중국 법의 질문이고, 지연의 상류에 앉습니다. Sumsub은 레지던시 절반을 자체 문서에서 답합니다.

Sumsub은 중국 본토 안에 확인 클라우드를 돌리지 않습니다. 자체 문서로 그 호스팅은 독일을 기본값으로 하고, 그것이 고르게 하는 데이터 레지던시 리전은 모두 해외입니다 — 그러니 중국의 사람에게서 수집된 신원증 스캔·셀피 생체·라이브니스 녹화가 그중 하나에 안착하는 순간, 귀사는 민감 개인정보의 국경 간 이전(数据出境)을 만든 것이고, 더 엄격한 법 체계가 그것이 허용되었는지를 결정합니다.

Sumsub을 중국에서 한눈에

가용성: 닿을 수 있음 — 그러나 신원 데이터는 어디 사나?

Sumsub의 입장은 로드 시간 테스트가 아니라 자체 문서에 설정됩니다. 그 Local Data Processing 페이지는 Sumsub이 “lets you determine the physical location where data is stored and processed”(데이터가 저장·처리되는 물리적 위치를 귀하가 정하게 한다), “Applicant data, images, videos, and other binary files will be stored locally in a particular region”(신청자 데이터·이미지·비디오 및 기타 바이너리 파일은 특정 리전에 로컬로 저장된다), 그리고 — “Supported regions” 제목 아래 — “For the v2 processing level, we currently support the following regions:”(v2 처리 수준에 대해, 우리는 현재 다음 리전을 지원한다:) 곧 미국·UAE·싱가포르라 밝힙니다. 그 처리자 문서는 기본값에 대해 똑같이 분명합니다: AWS 호스팅은 “Germany – by default, other countries and regions – by request and if available”(독일 – 기본값, 기타 국가·지역 – 요청 시 그리고 이용 가능하면). 그중 어느 것도 본토 안이 아닙니다.

그러니 “온보딩 화면이 상하이에서 Sumsub에 닿을 수 있나?”는 틀린 테스트입니다. 그것은 닿습니다. 진짜 질문은 귀사 중국에서 수집된 신원과 생체 데이터가 어디 앉고, 그것이 애초에 나라를 떠나도 되었느냐입니다 — 그것이 이 페이지가 Sumsub에 대한 1차 중국 지연이나 도달 가능성 수치를 발표하지 않는 이유입니다: 속도는 레지던시와 동의에 달린 결정의 축이 아닙니다. 거명할 가치가 있는 한 운영 노트: 본토에서 해외 서비스로의 국경 간 확인 호출은 들쭉날쭉할 수 있고, 유혹은 그것들을 네트워크 임시방편으로 강제하는 것입니다. 21YunBox는 그러한 어떤 우회도 쓰지도 제안하지도 않습니다 — 그것은 컴플라이언스 리스크이자 요점을 벗어난 것입니다. 생산적인 질문은 중국 확인 데이터를 어떻게 합법적인 발판에 유지하느냐입니다.

데이터 레지던시 질문: 해외 확인 저장소는 민감 PI의 국경 간 이전입니다

여기 대부분의 온보딩 팀이 놓치는 관문이 있습니다. Sumsub의 어느 리전에든 호스팅된 신청자 데이터는, 정의상, 본토 밖입니다. 그것이 귀사 중국 사용자를 위해 지니는 신원 문서 이미지·얼굴 생체·라이브니스 녹화·AML 결과는 개인정보이고, 그것들을 해외 리전에 로드하는 것은 중국 개인정보 보호법상 개인정보의 국경 간 이전입니다. PIPL은 의무를 취급자 — 처리자 Sumsub이 아니라 온보딩 흐름을 운영하는 조직인 귀사 — 에 둡니다: 제38~40조는 고지, 귀사 서비스를 쓰겠다는 어떤 일반 합의와도 구별되는 별도 동의, 그리고 하나의 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 을 요구합니다.

두 가지가 KYC 플랫폼에 특유하게 이것을 날카롭게 합니다. 첫째, 그것이 포착하는 대부분이 민감 개인정보이므로, 이전 동의는 해외 이전에 특유해야 하고 민감 처리가 이미 요구하는 별도 동의 위에 앉아야 합니다. 둘째, 특정 문턱 이상, 또는 데이터가 “중요 데이터”인 곳에서, 이전은 무엇이든 떠나기 전에 중국의 데이터 국외 이전 안전성 평가(数据出境安全评估)를 요구할 수 있습니다. 그리고 귀사 조직이 핵심정보인프라 운영자이면, 사이버보안법의 제39조(구 제37조 — 데이터 국내화 조항이 2026년 1월 1일 발효한 2025년 개정으로 재번호, 실질 불변)는 중국에서 생성된 개인정보가 중국에 저장될 것을 요구하는데, 독일·미국·UAE·싱가포르의 AWS 리전이 단순히 충족할 수 없는 국내 저장 의무입니다. 이 중 무엇도 확인이 얼마나 빨리 클리어되느냐에 달려 있지 않습니다; 그것은 데이터가 거기 있을 합법적 근거가 있었느냐에 달려 있습니다. 이 중 무엇이 귀사 특정 배치를 무느냐는 귀사 확인 흐름이 실제로 무엇을 수집하느냐에 대해 법무와 확인할 리스크입니다.

신원 문서·얼굴 생체·AML 결과는 민감 개인정보입니다 — 동의와 DPIA가 그 위에 앉습니다

레지던시는 그 절반일 뿐입니다. KYC 플랫폼은 사람이 가진 가장 식별적인 속성 — 정부 신원증 문서, 그것에 매치된 얼굴 사진, 그들이 실제임을 증명할 라이브니스 녹화, 그리고 워치리스트에 대한 스크리닝 히트의 흔적 — 을 수집함으로써 작동합니다. PIPL상, 얼굴 생체와 정부 신원 문서는 민감 개인정보로, 보통 PI보다 엄격한 기준을 집니다: 구체적 목적과 입증된 필요성, 수집 전 별도이고 구체적인 동의, 그리고 사전에 완료된 개인정보 보호 영향 평가(PIPIA, 제55~56조). 해외 리전으로의 국경 간 이전은 그 모든 것 위에 추가 동의가 필요합니다. Sumsub은 도움이 될 수 있는 컨트롤 — 리전 데이터 레지던시, 보존 설정, 그리고 각 환경이 지니는 것을 최소화할 능력 — 을 귀사에 주지만, 그것들은 노출을 줄입니다; 그것들은 취급자인 귀사에 있는 동의·고지·영향 평가 의무를 면제하지 않습니다. 주어진 속성이 민감으로 치이는지, 그리고 귀사 동의 흐름과 PIPIA가 정확히 무엇을 다뤄야 하는지는 법무와 정할 질문입니다.

비안할 본토 리전 없음 — 그리고 “다른 리전을 고르기”가 왜 수선이 아닌가

중국 안에서 본토 방문자에게 실제로 서비스되는 중국 지향 온보딩 페이지·확인 화면·고객 포털은 국무원령 제292호와 공업정보화부령 제33호상 ICP 비안(ICP 备案)을 켜고, 그 비안은 본토에 물리적으로 있는 호스팅 리소스에 붙어야 합니다. Sumsub은 하나도 제공하지 않으므로, 비안할 Sumsub 위의 아무것도 없습니다 — 레지던시 의무가 노출하는 같은 구조적 격차를, 라이선스 쪽에서 본 것.

명백한 움직임은 Local Data Processing 리전을 중국에 더 가까운 것으로 바꾸고 그것을 국내라 부르는 것 — 그러나 Sumsub이 제공하는 리전은 미국·UAE·싱가포르이고, 기본값이 독일이며, 어느 것도 본토 안이 아닙니다. 신청자 데이터를, 예컨대, 싱가포르에서 UAE로 옮기는 것은 단지 국경 간 이전을 재배치할 뿐; 그것을 끝내지 않습니다. Sumsub 자체 문서는 그것이 “working to expand support to include non-AWS data centers such as Huawei Cloud and AliCloud”(Huawei Cloud와 AliCloud 같은 비AWS 데이터센터를 포함하도록 지원 확대를 작업 중)이라 주목합니다 — 그러나 그것은 오늘 켤 수 있는 중국 본토 레지던시 옵션이 아니라 밝혀진 미래 계획이고, 국내 리전조차 저장 절반만 해결할 것입니다: 별도 동의, 영향 평가, ICP 비안은 여전히 귀사에 앉을 것입니다. 중국에서 수집된 확인 데이터를 국내에 유지하는 것은 귀사 중국 법인이 돌리는 신원 확인을 위한 동의된, 중국 상주 경로를 세운다는 뜻입니다 — 신원·생체·AML 기록을 위한 국내 처리와 저장 — 한편 귀사는 그것이 이미 서비스하는 시장을 위해서는 Sumsub을 유지합니다. 그 분할 — 무엇이 머물러야 하고, 무엇이 가도 되는지 — 이 작업의 핵심이고, 그것은 기술 질문이기 전에 법적 질문입니다.

이것은 판정이 아니라 리스크 지도입니다: 귀사가 별도 동의, 이전 메커니즘, 데이터 국외 이전 평가, 영향 평가, 국내 저장, ICP 비안, 또는 그 어떤 조합을 빚지느냐는 귀사 법인, 귀사가 지니는 신원 데이터, 취급자로서의 귀사 역할, 그리고 귀사 사용자가 누구냐에 달려 있습니다 — 그것에 의존하기 전에 법무와 정할 가치가 있습니다.

합법적인 경로 — 지도화, 현지화, 전송

중국 지향 존재를 위해 신원 확인을 돌리는 합법적인 방법이 있고, 그것은 한 모양을 가집니다. 먼저, 지도화(map): 저희 중국 팀은 귀사 PIPL 노출을 두 전선에서 작업합니다 — 민감 PI 처리와 이전 — 중국에서 수집된 어느 확인 기록(신원 이미지·얼굴 생체·라이브니스·AML 결과)이 나라 안에 머물러야 하는지, 무엇이 합법적으로 떠나도 되는지, 데이터 국외 이전 안전성 평가나 제39조 저장 의무가 어디서 무는지, 그리고 귀사 동의 흐름과 영향 평가가 무엇을 다뤄야 하는지를 식별합니다. 법적 결론은 법무와 정해집니다; 저희는 그것을 먹이는 기술 그림을 짓습니다.

그 다음 현지화(localize): 저희는 중국 확인 데이터를 위한 동의된, 중국 상주 발판을 세워 통합합니다 — 중국 법인을 위한 중국 법상 신원 확인 경로에서의 국내 처리와 저장 — 그래서 온보딩이 계속 작동하는 한편 그 민감 기록이 기본값으로 나라를 떠나기를 멈추고, 귀사는 이미 귀사를 서비스하는 시장을 위해서는 Sumsub을 유지합니다.

그 다음 전송(deliver): 귀사 사용자가 실제로 닿는 중국 지향 온보딩 흐름·포털·앱은 그 자체로 본토의 공개 서비스이므로, ICP 비안(备案) 의무를 지니고 규정에 맞는, 국내 전송이 필요합니다. 21YunBox는 그것을 국내 전송합니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에 놓여, 재구축도 리플랫폼도 없이. 결과는 중국의 귀사 사용자를 위해 합법적으로, 규정에 맞게 도는 고객 온보딩입니다. 저희가 결코 하지 않는 것 — 그리고 아무도 합법적으로 할 수 없는 것 — 은 중국의 데이터 국외 이전 규칙을 돌아가거나 어떤 네트워크 제한을 돌아가는 경로를 귀사에 건네는 것입니다: 저희는 머물러야 하는 것을 현지화하고 국내 전송하며, 결코 개인정보를 몰래 중국 밖으로 옮기지 않습니다.

컴플라이언스 진단 받기 →

함께 읽기:

• PIPL 아래 국경 간 데이터 이전
• 중국의 데이터 국외 이전 안전성 평가
• 중국 사이버보안법(데이터 국내화, 제39조)
• 중국 ICP 비안 받는 법

관련 기술

Jumio

Jumio

Onfido

Onfido

Persona

Persona

Plaid

Plaid

Stripe Identity

Stripe Identity

Veriff

Veriff