Conectar à ChinaConformidade
Guia de conformidade na China
As regras sobre a conectividade transfronteiriça para a China continental, e as etapas de registro e de dados que as empresas definem com seu assessor jurídico. Não é aconselhamento jurídico.
A regra: Circular [2017] n.º 32 do MIIT
Em seu aviso sobre a limpeza e a regulamentação do mercado de serviços de acesso à internet, a Circular [2017] n.º 32, o Ministério da Indústria e da Tecnologia da Informação (MIIT) estabelece, conforme o texto publicado, que as empresas não podem, sem aprovação, montar nem alugar linhas dedicadas para realizar atividades comerciais transfronteiriças. Na nossa leitura, o aviso é dirigido à operação comercial sem as aprovações exigidas, não a toda conexão internacional que uma empresa usa. Ele também abrange o licenciamento de IDC, ISP e CDN, a revenda de recursos de acesso e as linhas que conectam data centers ou plataformas de negócios domésticos e no exterior para realizar atividades de telecomunicações.
Segundo o aviso, as operadoras de telecomunicações básicas que alugam linhas privadas internacionais são obrigadas a manter registros de seus usuários e informá-los de que as linhas são apenas para uso interno de escritório. Na prática, a linha costuma ter um usuário nomeado, uma finalidade interna declarada e um registro do lado da operadora. Na nossa leitura, não é um serviço de internet de uso geral que o cliente possa revender ou usar para atender terceiros.
Lemos o aviso como um limite de conformidade, não como uma proibição de produto. As perguntas que ele levanta são quem detém a linha, para que a linha é usada e se o tráfego é interno. Uma avaliação de rota deve responder a essas perguntas antes de comparar largura de banda, porque uma linha que não passa no teste de uso não será corrigida por um handoff melhor. Consulte a entrada MIIT para saber o papel do regulador.
Nossa leitura do aviso: ele não cria uma autorização geral para uma linha privada. Ele estabelece uma condição: a linha deve ser aprovada onde a aprovação é exigida, e seu uso deve corresponder à declaração de uso interno. O registro da operadora é o que torna essa condição visível, por isso a descrição do cliente e o registro da operadora precisam coincidir.
O aviso, publicado pela Administração do Ciberespaço da China
A declaração pública do MIIT
O MIIT afirmou publicamente, em declaração posterior ao aviso, que a limpeza visa operadoras sem licença e que empresas multinacionais podem alugar linhas de operadoras de telecomunicações básicas para uso interno próprio. Confira o texto atual do MIIT com seu assessor jurídico. Na nossa leitura, a declaração separa dois casos que o aviso pode confundir: uma operadora sem aprovação vendendo acesso transfronteiriço como negócio, e uma empresa conectando seus próprios escritórios. O primeiro é o alvo; o segundo é o caso de uso interno que a operadora registra.
Na nossa leitura, o limite é o uso, não o nome do produto. Uma linha usada para e-mail interno, ERP, compartilhamento de arquivos ou acesso de gestão é diferente de uma linha usada para atender clientes ou revender conectividade. Documente a finalidade, mantenha-a coerente com o contrato e informe a operadora quando o uso mudar.
Esta página enuncia a regra em termos gerais. Não é um parecer jurídico sobre a sua implantação, não é aconselhamento jurídico e não declara nenhum status de conformidade para uma rota específica.
Mantenha as evidências simples e atuais: o contrato, o pedido da linha, o uso declarado, a lista de usuários e o diagrama da rota. Se um auditor perguntar por que a linha existe, esses documentos respondem antes que alguém precise reconstruir a história a partir de e-mails.
Como trabalhamos
A conectividade transfronteiriça é prestada para uso interno da sua empresa. Ajudamos você a definir com seu assessor jurídico as etapas de registro ICP e de transferência de dados; isto não é aconselhamento jurídico.
Etapas que os clientes definem com seu assessor jurídico
Registro ICP
- Sites hospedados dentro da China continental precisam de um registro ICP para cada domínio, feito por meio do provedor de hospedagem ou CDN. O registro está vinculado ao domínio e à entidade, e o provedor normalmente o protocola; um registro para um domínio não cobre outro. A entrada registro ICP explica o termo.
- Servindo de fora da China continental, nenhum registro se aplica; considere o registro se você mover a hospedagem para dentro. Mover a hospedagem depois pode mudar tanto a situação do registro quanto a latência que seus usuários veem, então planeje a migração antes do lançamento do conteúdo.
- Um registro ICP não é uma licença de negócio de telecomunicações. Uma empresa que quer operar um serviço na China pode precisar de outras aprovações; o registro é apenas a etapa do site.
- Mantenha juntas as informações do registro, a lista de domínios e o contrato de hospedagem. São os primeiros documentos que um provedor ou um assessor jurídico vai pedir, e eles tornam muito mais fácil explicar uma mudança posterior de host ou de entidade.
MLPS 2.0
- O Esquema de Proteção Multinível classifica os sistemas operados na China e define os controles de segurança que cada nível exige. A classificação considera o papel do sistema, os dados que ele trata e o dano de uma falha; o nível então determina o registro, a avaliação e os controles da GB/T 22239-2019.
- O MLPS não é o mesmo que a ISO/IEC 27001 ou um relatório SOC 2. É um esquema chinês de classificação e avaliação, e um sistema no escopo pode precisar de uma avaliação local mesmo que tenha outra certificação.
- Decida cedo quais sistemas estão no escopo. Um site, um sistema de pedidos e uma rede de fábrica podem ter níveis diferentes, e o nível muda o projeto e as evidências que você mantém.
Informações pessoais
- Informações pessoais que saem da China seguem a Lei de Proteção de Informações Pessoais e as regras de exportação de dados: uma avaliação de segurança, um contrato padrão ou uma certificação, conforme os dados. A lei também exige um consentimento separado para o fornecimento transfronteiriço e uma avaliação de impacto de informações pessoais para a exportação.
- O acesso remoto conta. Se funcionários fora da China podem consultar um banco de dados dentro da China, ou se uma equipe de suporte pode ver registros de usuários, os dados podem estar saindo mesmo quando nenhum arquivo é copiado.
- Mapeie o fluxo de dados antes de escolher um mecanismo: quais dados, de quem, onde são armazenados, quem pode acessá-los e qual entidade os recebe. A resposta define se o caminho da avaliação, do contrato padrão ou da certificação se aplica. Residência de dados cobre a questão do armazenamento.
- Os termos do contrato importam: o mecanismo de exportação precisa corresponder ao papel de cada parte, e o aditamento padrão de processamento de dados de um fornecedor pode não ser o instrumento chinês exigido. Pergunte ao seu assessor jurídico qual acordo deve constar do dossiê.
Não é aconselhamento jurídico. As regras mudam; confira os textos oficiais com seu assessor jurídico. Esta é informação geral, não aconselhamento jurídico.
Perguntas frequentes
Uma linha privada transfronteiriça para a China está em conformidade?
Vocês cuidam do registro ICP?
Isto é aconselhamento jurídico?
O aviso do MIIT proíbe toda a conectividade transfronteiriça?
O registro ICP é o mesmo que uma licença de negócio?
Um site hospedado no exterior precisa de registro ICP?
O que conta como exportação de informações pessoais?
O MLPS é o mesmo que a ISO 27001?
Ferramentas relacionadas
Qual rota se encaixa?
Responda algumas perguntas para comparar IP transit, CloudBond, DIA/SD-WAN e IEPL/IPLC.
Abrir a ferramentaScanner de prontidão para a China
Informe uma URL para listar os recursos de terceiros da página que podem carregar devagar ou falhar na China continental, com uma lista de correções.
Abrir a ferramentaLatência mínima na fibra
O tempo mínimo físico de ida e volta entre duas cidades pela fibra. Só a física, não a nossa rede.
Abrir a ferramenta
Defina sua rota para a China conosco
Os circuitos para a China são cotados após uma avaliação de rota.