Veriff는 중국에서 작동하나요? 생체 & ID 문서 데이터 레지던시, PIPL 민감 개인정보 & 국경 간

본토 중국에서 사용자를 온보딩하거나 KYC 검증하는 회사에, Veriff에 대한 첫 본능은 검증 흐름이 나라 안에서 로드되는지 묻는 것입니다. 그것이 잘못된 첫 질문입니다. Veriff는 사람의 정부 신분 문서 이미지와 그 얼굴 스캔을 포착한 다음 둘을 매칭해 사람을 검증합니다 — 그리고 중국에는 결정이 그 흐름이 도달 가능한지가 아니라, 그것이 수집하는 민감 데이터가 애초에 나라를 떠나도록 허락되었는지, 그리고 그것이 그 다음 어디 와서 쉬는지입니다. 그것들은 중국 법의 질문이고, 지연보다 상류에 앉습니다. Veriff는 레지던시 절반을 자사 문서에서 해결합니다.

Veriff는 에스토니아 기반 신원 검증 제공자이고, 중국 본토 안에 어떤 검증 인프라도 돌리지 않습니다. 자사 Data Processing Addendum은 유럽경제지역을 그것이 다루는 개인 데이터의 경계로 정하고, 그 보안 페이지는 AWS와 EEA·글로벌 인증만 가리킵니다 — 고를 본토 사이트 없이. 중국 사용자의 ID 문서 이미지, 사진, 안면 스캔이 그 해외 환경에서 처리되는 순간, 귀사는 Veriff 자신의 말로 *“biometric data and/or sensitive Personal Data,“*인 것의 국경 간 이전(数据出境)을 한 것이고, 중국 법의 더 엄격한 부분이 그것이 허용되었는지 결정합니다.

한눈에 보는 중국에서의 Veriff

이용 가능성: 도달 가능하든 아니든, 레지던시가 결정이다

Veriff의 중국 위치는 로드 타임 테스트가 아니라 자사 문서에서 정해집니다. 그 Data Processing Addendum은 선을 유럽경제지역에 긋고, 그 Security & Compliance 페이지는 AWS와 EEA/글로벌 프레임워크만 이름합니다 — “Veriff has obtained and maintains ISO/IEC 27001:2022 Certification,” 그리고 “Veriff is compliant with SOC 2 Type II, GDPR and has obtained Cyber Essentials certification.” 그 중 아무것도 중국 본토 호스팅 발자국이 아닙니다.

그러니 “검증 위젯이 상하이에서 Veriff에 닿을 수 있나?”는 잘못된 테스트입니다. 진짜 질문은 그것이 귀사 중국 사용자에게서 포착하는 ID·얼굴 데이터가 어디 앉는지, 그리고 그것이 애초에 나라를 떠나도록 허락되었는지입니다 — 그것이 이 페이지가 Veriff에 어떤 일차 중국 지연이나 도달 가능성 수치도 발행하지 않는 이유입니다: 속도는 레지던시, 민감도, 동의에 달린 결정의 축이 아닙니다. 이름할 가치가 있는 유혹 하나: 본토에서의 국경 간 검증 호출이 들쭉날쭉할 때, 본능은 그것을 네트워크 편법을 통해 밀어붙이는 것입니다. 21YunBox는 그런 어떤 편법도 쓰지도 권하지도 않습니다 — 그것은 컴플라이언스 리스크이자 요점을 벗어난 것입니다. 생산적인 질문은 애초에 중국 신원 데이터를 어떻게 합법적 발판에 유지하는가입니다.

Veriff가 보유하는 것은 민감 개인정보다 — 동의가 위에 앉는다

여기가 신원 검증 벤더가 평범한 SaaS 도구와 다른 곳입니다. Veriff의 전체 기능은 사람이 가진 가장 식별하는 데이터를 수집하는 것입니다: “photographs taken from you and your document,” 그리고 *“compare the End-User’s face to identity document photos”*하려 그것에서 도출된 “face scans and other measurements.” Veriff 자체가 이 추출된 데이터가 *“may be considered biometric data and/or sensitive Personal Data,“*라 말하고, 중국 개인정보 보호법상 그 분류는 무게를 집니다. 생체 특성과 정부 ID 데이터는 민감 개인정보이고(PIPL 제28조), 민감 개인정보 처리는 귀사 약관에 대한 일반 동의 이상을 요구합니다: 구체적, 별도 동의, 입증된 목적의 필요성과 충분성, 그리고 수집이 시작되기 전 개인정보 보호 영향 평가(제29조와 제55조).

그 의무는 처리자 Veriff가 아니라, 온보딩 흐름을 운영하는 취급자인 귀사에 앉습니다. Veriff는 귀사에게 도울 수 있는 통제를 주고, 그것이 공개하는 것을 제한하지만, 그것들은 노출을 줄입니다; 그것들은 중국 법이 귀사에 두는 동의, 필요성, 평가 의무를 면제하지 않습니다. 주어진 속성이 귀사 흐름에서 민감으로 쳐지는지, 그리고 귀사 동의 화면이 무엇을 말해야 하는지는 귀사가 검증 단계에 기대기 전에 자문과 해소할 질문입니다.

EEA 신원 스토어는 중국 데이터의 국경 간 이전이다

여기 대부분의 팀이 놓치는 관문이 있습니다. 그 DPA가 규율하는 Veriff 환경은, 자신의 약관으로, EEA 안 — 본토 밖 — 입니다. 그것이 중국의 사람을 위해 처리하는 ID 이미지, 사진, 안면 스캔은 개인정보이므로, 그것을 그 환경으로 보내는 것은 PIPL상 개인정보의 국경 간 이전입니다. 법은 그 의무를 처리자 Veriff가 아니라 취급자 — 검증을 돌리는 조직인 귀사 — 에 둡니다: 제38~40조는 고지, 어떤 일반 동의와 구별되는 별도 동의, 그리고 한 이전 메커니즘 — CAC 안전성 평가, CAC 표준계약, 또는 인증 — 을 요구합니다.

데이터가 민감하고 생체이므로, 바는 평범한 기록보다 높습니다. 규제 문턱 위에서 — 또는 데이터가 중요 데이터(重要数据)로 분류되는 곳에서 — 그 이전은 무엇이든 나라를 떠나기 전에 중국의 데이터 수출 안전성 평가(数据出境安全评估)를 요구할 수 있고, 생체·신원 데이터의 대규모 흐름이 바로 그것을 부르는 종류의 이전입니다. 그리고 귀 조직이 핵심정보인프라 운영자이면, 사이버보안법의 제39조(구 제37조 — 데이터 국내화 조항은 2025년 사이버보안법 개정이 2026년 1월 1일 발효될 때 재번호되었고, 실질은 불변)는 중국에서 생성된 개인정보가 중국에 저장되기를 요구합니다 — EEA 테넌트가 그저 충족할 수 없는 국내 저장 의무. 이 중 아무것도 점검이 얼마나 빨리 완료되는지에 달려 있지 않습니다; 그것은 데이터가 해외에 있을 합법적 근거를 가졌는지에 달려 있습니다. 이 중 어느 것이 귀사 구체적 배치를 무는지는 귀사 검증 흐름이 실제로 포착하는 것에 비추어 자문과 확인할 리스크입니다.

비안할 본토 리전 없음 — 그리고 왜 “리전을 고르기”가 해결책이 아닌가

중국 안에서 본토 방문자에게 실제로 제공되는 공개 온보딩 화면, 가입 흐름, 또는 검증 페이지는 국무원령 제292호와 정보산업부령 제33호상 ICP 비안(ICP 备案)에 달려 있고, 그 비안은 본토에 물리적으로 있는 호스팅 리소스에 붙어야 합니다. Veriff는 어떤 것도 제공하지 않으니, Veriff에 비안할 대상이 없습니다 — 레지던시 의무가 드러내는 같은 구조적 틈을, 라이선싱 측에서 본 것.

명백한 수는 Veriff의 데이터 리전을 중국에 더 가깝게 뒤집어 그것을 로컬이라 부르는 것입니다 — 그러나 Veriff의 경계는 EEA이고, 어느 EEA 리전도 본토에 없으니, 테넌트를 한 유럽 지역에서 다른 지역으로 옮기는 것은 국경 간 이전을 재배치할 뿐; 그것을 끝내지 않습니다. 중국 신원 데이터를 국내에 유지한다는 것은 검증 자체를 위한 중국 거주 경로를 세우는 것을 뜻합니다. 그리고 여기서 제품의 본질이 길을 가리킵니다: 본토 거주자의 신분 문서를 검증하는 것은 궁극적으로 중국 자체의 거주자 신원 시스템에 대조해 돌고, 그것은 라이선스된 국내 채널을 통해서만 도달 가능합니다 — 그러니 중국 사용자에 규정에 맞는 패턴은 생체·ID 데이터를 본토에서 처리·저장하는 동의된, 국내 검증 단계이고, 그 한편 Veriff는 이미 귀사를 서비스하는 시장에서 사용자를 계속 검증합니다. 그 갈라치기 — 무엇이 중국에 머물러야 하고, 무엇이 해외에서 돌 수 있는지 — 가 작업의 심장이고, 그것은 기술 질문이기 전에 법적 질문입니다.

이는 판정이 아니라 리스크 그림입니다: 귀사가 별도 동의, 이전 메커니즘, 데이터 수출 안전성 평가, 국내 저장, ICP 비안, 또는 그 어떤 조합을 지는지는 귀사 법인, 귀사가 포착하는 신원 데이터, 취급자로서의 역할, 사용자가 누구인지에 달렸습니다 — 그것에 기대기 전에 자문과 해소할 가치가 있습니다.

합법적 경로 — 매핑, 로컬라이즈, 전달

중국향 존재를 위해 신원을 검증하는 규정에 맞는 방법이 있고, 그것은 형태를 지닙니다. 먼저 매핑: 저희 중국 팀이 귀사 PIPL 노출을 양 전선에서 — 민감 생체·ID 데이터의 처리, 그리고 그것의 나라 밖 이전 — 짚어 나가며, 중국에서 수집된 어느 기록이 본토에 머물러야 하는지, 무엇이 합법적으로 떠날 수 있는지, 데이터 수출 안전성 평가나 제39조 저장 의무가 어디 적용되는지, 그리고 귀사 별도 동의·영향 평가 단계가 무엇을 커버해야 하는지 고정합니다. 법적 결론은 자문과 정해집니다; 저희는 그것을 먹이는 기술 그림을 짓습니다.

그 다음 로컬라이즈: 저희는 귀사가 귀사 본토 사용자를 위한 중국 거주 검증 경로 — 라이선스된 국내 경로를 통해 중국 거주자의 문서를 검증하고 안면 스캔·ID 데이터 처리와 저장을 나라 안에 유지하는 동의된, 국내 KYC 옵션 — 를 채택·통합하도록 돕습니다 — 그래서 온보딩이 계속 작동하는 한편 그 민감 데이터가 기본으로 중국을 떠나기를 멈추고, 귀사는 Veriff가 이미 커버하는 시장에는 그것을 유지합니다.

그 다음 전달: 귀사 사용자가 실제로 닿는 중국향 온보딩이나 검증 표면은 그 자체로 본토의 공개 서비스이므로, ICP 비안(备案) 의무를 지고 규정에 맞는 국내 전달이 필요합니다. 21YunBox가 그것을 국내로 전달합니다 — 21YunBox Optimizer — 귀사가 이미 돌리는 것 앞단에, 재구축도 리플랫폼도 없이. 결과는 중국의 귀사 사용자를 위해 합법적으로 그리고 규정에 맞게 도는 신원 검증입니다. 저희가 결코 하지 않는 것 — 그리고 누구도 합법적으로 할 수 없는 것 — 은 귀사에게 중국의 데이터 수출 규칙을 돌아가거나 어떤 네트워크 제한을 돌아가는 경로를 건네는 것입니다: 저희는 머물러야 하는 것을 로컬라이즈하고 국내로 전달하며, 개인정보를 결코 몰래 중국 밖으로 옮기지 않습니다.

컴플라이언스 진단 받기 →

함께 읽기:

• PIPL상의 국경 간 데이터 이전
• 중국 데이터 수출 안전성 평가
• 중국 사이버보안법(데이터 국내화, 제39조)
• 중국 ICP 비안 받는 법

관련 기술

Jumio

Jumio

Onfido

Onfido

Persona

Persona

Plaid

Plaid

Stripe Identity

Stripe Identity

Sumsub

Sumsub