自社の顧客データは、どこの国に保存されますか

4社を調べたところ、日本国内に置けるのはAsanaだけでした。しかも Enterprise では有料アドオン、Enterprise+ では標準搭載という条件つきで、認証まわりのデータは日本に来ません。monday.comは日本からの申込みを全部アメリカに置き、HubSpotは日本にデータセンターを持たず、Shopifyは利用者が保存先を選ぶ仕組みを公式に確認できませんでした。中小企業が普通に契約すると、顧客データはほぼ確実に日本国外にあります。

（Semrush と Squarespace は、保存先を選ぶ仕組みを公式に確認できなかったため、この記事では扱いません。）

なぜ保存場所が問題になるのですか

ひとつは取引先の情報管理チェックシートです。100〜200問の質問票に「個人データを外国で取り扱いますか」「国名を記載してください」といった設問が並び、1問でも空欄があると差し戻されて取引開始が2〜4週間遅れます。答えられさえすれば、内容が「米国」でも取引が止まることはほとんどありません。止まるのは、答えられないときです。

もうひとつは日本の個人情報保護法です。個人データを外国にある第三者へ渡すときは、本人の同意か、提供先が国内と同等の体制を整えていることの確保か、提供先が同等の水準と認められた国（現在はEUと英国のみ）にあることが求められます。米国はこの3番目に含まれません。法令上の要件と、聞かれたときに出す書類は、別記事「取引先に情報管理を聞かれたら、何を出せばいいですか」で扱っています。

用語を2つだけ

SOC 2 / SOC 3 — 外部の会計監査人による検査報告書と、その要約版です。取引先が求めるのはほぼ SOC 2 の Type 2（半年〜1年その仕組みが回っていたかの検査）で、秘密保持契約つきで渡されます。4社とも Type 2 を出せるため、この項目で製品選定は動きません。

リージョン／データレジデンシー — リージョンはデータを置く地域の単位、データレジデンシーは利用者側がその地域を指定できる機能の呼び名です。

4社の保存先は、選べるものと選べないものに分かれます

※ 横にスクロールすると全項目を確認できます

2026年8月時点・各社公式ページで確認。SOC 2 Type 2 と SOC 3 は4社とも入手できます。出典は記事末尾。

ISO 27001の列だけ補足します。monday.com と Asana は自社で ISO 27001:2022 を取得していますが、HubSpot と Shopify は自社認証の記載がありません。HubSpot の公式ページにあるのは「HubSpot products are hosted with cloud infrastructure providers with SOC 2 Type 2 and ISO 27001 certifications, among others.」（日本語訳：HubSpot製品は、SOC 2 Type 2やISO 27001をはじめとする認証を持つクラウド基盤事業者上でホストされています）で、これは基盤を貸すAWSの認証です。ISO 27001の提出を求められている会社は、この2社では「基盤事業者の認証」としか回答できません。

なお、EU・英国から個人データを持ち出す根拠としては4社とも標準契約条項と英国向け追補を用意しており、この項目で優劣はつきません。

「日本にデータセンターがある」の実際の中身

Asanaの日本保存には、公式ヘルプに明記された除外があります。

東京に置かれるのはチーム、プロジェクト、タスク、エクスポート、添付ファイル。米国に残るのは、メールアドレス・パスワード・ワンタイムキー・IPアドレス・内部識別子といった認証まわりのデータ、席数や利用量・売上の計測データ、AI機能で外部パートナーに渡るデータ（EUの顧客を除く）です。業務データは日本、アカウント情報は米国という切り分けなので、チェックシートに「すべて国内」とは書けません。

monday.comは「All accounts from Japan are hosted in the US Data Region.」（日本語訳：日本からのアカウントはすべて米国データリージョンでホストされます）と明記し、APACリージョンは豪州なので日本からの申込みはそこにも入りません。さらに次の記載があります。

つまり作り直す以外に選択肢がありません。新規アカウントを作り、既存のボードをエクスポートして取り込み直す作業になります。コメント・更新履歴・自動化設定・連携アプリが引き継げるかは公式に確認できませんでした。EUリージョンが必要になる可能性が少しでもあるなら、最初のアカウントを作る前に営業へ申し出るのが唯一の低コストな手段です。

この4社を選ぶべきでない読者像

Asana — 「例外なく国内保存」を求められている会社。認証情報が米国に残るため要件を満たせません。Enterprise・Enterprise+ の価格もデータレジデンシーアドオンの価格も公式に掲載がなく（営業への問い合わせのみ）、10名以下の会社が保存先だけのために上げる構成ではありません。国内保存が要件なら、見積もりの段階から「東京リージョンを含む構成で」と伝えてください。含めずに見積もりが出ることがあります。

monday.com — 保存先が要件になる可能性が少しでもある会社。日本からの申込みは全件米国に固定され、一度データを保存すると移せません。契約時点で退路がなくなる唯一の製品です。

HubSpot — ISO 27001の提出を求められている会社。公式にあるのは基盤事業者の認証です。無料版から使い始める会社も注意が必要で、無料の間は申込元に関係なく米国に置かれます。

Shopify — 保存先を指定する必要がある会社。利用者が選ぶ仕組みを公式に確認できず、アジア・豪州・NZの利用者の個人データはシンガポール法人が受領します。

自社はどれに当てはまりますか

扱う個人データが自社の従業員名簿と取引先の名刺だけで、他社から預かったデータがなく、官公庁・金融・医療の案件に関わる予定もないなら、保存先を動かすために上位プランへ上げるのは費用に見合わないはずです。DPA（データ処理契約）は4社とも利用規約に自動で組み込まれているため、何もしなくても最低限の契約関係は成立しています。書類の出し方と、聞かれる前にやっておくことは、別記事「取引先に情報管理を聞かれたら、何を出せばいいですか」にまとめました。

出典（2026年8月確認）

• 個人情報保護委員会：外国にある第三者への提供に関するガイドライン（同意時の情報提供義務、基準適合体制、同等水準国）／Q12-3（クラウド事業者が個人データを取り扱わない場合の整理）／Q10-25（外国の名称の公表）
• HubSpot：データセンター一覧（EU・カナダ・豪州・米国東西／IPで自動割当／無料利用者は米国／有料は無償で移行）／クラウド基盤とデータホスティングFAQ（AWS・所在都市）／セキュリティプログラム（SOC 2 Type 2・SOC 3・基盤事業者の認証）／DPA（自動組込み・SCC・UK Addendum・スイス追補・DPF）／Trust Center
• monday.com：データレジデンシー（US/EU/APAC・日本は米国・保存開始後は移動不可・EUのプラン条件）／Trust Center（ISO 27001:2022ほか）／Compliance Hub／DPA（SCC・IDTA B.1.0・EU-US DPF・スイス追補）
• Asana：データレジデンシー（4地域・Enterpriseアドオン／Enterprise+標準・米国に残るデータの範囲）／日本データセンター（東京・大阪）／Trust（SOC 2・ISO 27001:2022ほか）／DPA（DPF→SCCの優先順位・UK Addendum）
• Shopify：DPA（2021年版SCC・UK IDTA・BCR）／セキュリティ（PCI DSS レベル1・SOC 2 Type II・SOC 3）／コンプライアンス報告書の閲覧方法（SOC 1 Type 2を含む）／プライバシーポリシー（地域別の契約主体）

本記事は法的助言ではありません。 個人情報保護法上の取扱いや、取引先との契約で求められる水準の判断は、弁護士など専門家にご確認ください。Shopify の保存先の選択可否、Asana の SOC 2 Type 2 の受け取り方法と Enterprise 系の価格、monday.com でアカウントを作り直した場合に引き継げるデータの範囲、HubSpot と Shopify の自社 ISO 27001 認証は、公式ページで記載を確認できませんでした。各社の提供条件・認証・データセンターの構成は変更されます。契約前に必ず各公式ページで最新の内容をご確認ください。

← ランキング一覧に戻る