Temu美国运营与得州和解对中国企业赴美经营的启示

对于得州总检察长提出的违法指控，PDD 在2026年4月提交的2025年报中表示不认可相关指控，并将积极抗辩。根据公开和解文本，PDD 及Whaleco仍否认相关违法行为及法律责任，双方为避免持续诉讼产生的费用、延误及不确定性，在未经实体审判的情况下达成和解。因此，本案和解并不代表Temu承认相关违法行为，也不意味着法院已对州方指控作出实体认定。[2][3]

从本案涉及的App及数据处理争议来看，需要区分App技术能力与实际数据处理行为，以及集团跨境运营安排与具体数据访问行为。州方援引的第三方技术报告主要针对2023年的旧版App，其所识别的代码及权限能力，并不当然证明相关功能在现行版本中仍然存在或已被实际调用。同时，Temu公开隐私政策声明美国用户数据存储于美国境内，但亦披露可能向境外主体共享个人信息；集团在中国开展业务，也不能直接证明消费者数据已被违法传输或向中国政府提供。因此，对于App权限、数据披露及跨境数据处理相关指控，仍需结合具体版本的技术检测结果、实际数据处理情况及相关信息披露等证据进行判断。

双方约定PDD及Whaleco连带支付300万美元，涵盖民事罚款、律师费、调查费及费用，未区分各项金额，款项应于《和解判决》生效日起30日内支付；主要履行和监督安排原则上持续四年。其中数据条款主要保护得州消费者，具体而言根据交易时通常可得的业务记录，IP地址定位于得州或账户默认配送地址位于得州的交易或互动，按得州消费者处理，无须额外收集数据核实居住地。[2]具体安排如下：

其一，数据安排的核心是美国存储及受控访问。得州消费者个人数据须存于美国境内、由美国公司拥有和控制的商业服务器。原则上，依中国法律设立或主要营业地在中国的实体，以及主要居住在中国的个人，不得以明文或可解密形式访问可识别个人的数据。[1][2]

访问限制保留两类例外：其一，消费者针对商业合理目的下的每次具体访问作出特定同意；其二，对既非《得州数据隐私与安全法》项下的敏感数据，亦非联邦DSP项下敏感个人数据的个人数据，允许履约、反欺诈、平台排障维护改进，以及遵守联邦或得州法律、美国法院或政府机关强制法律程序等合理必要且相称的访问。因此，和解仍为特定跨境业务协作留有空间；该等例外不能免除美国存储义务或其他适用法律要求。[2]

其二，Temu还须指定美国境内合规负责人，并在美国隐私政策中披露可能向境外共享的数据类别。完善留存及删除机制，并聘请独立机构开展年度App安全检测，以及针对敏感数据存储和访问的合规评估。两类审计的最终报告如认定重大违规，分别约定每次失败的年度审计罚款800万美元，并须在60日内整改；非重大违规在60日内补救可免于该段罚款。[1][2]

其三，产品方面，Temu须持续监测产品召回与安全警示，及时下架相关产品；并每年委托独立机构开展产品安全抽检，对于不符合适用安全标准的产品，须下架、终止相关卖家及关联店铺销售资格，通知受影响得州买家并全额退款；特定进口产品还须取得上架证明。[1][2]

其四，平台治理方面，Temu须向得州消费者公示本次和解通知，为得州企业及知识产权权利人提供专门的投诉对接团队及邮箱；PDD与Whaleco须分别由具有实际知情能力的管理人员签署年度合规证明，说明履行情况、违规事项及整改措施。企业所有权或组织形式变更不影响和解义务；转让Temu平台或受约束的重大业务前，受让方须书面承诺承继相应义务，并于交割前向得州总检察长办公室提交该协议。[2]

第一，将美国存储与境外访问分别治理。法务、隐私及IT团队应在上线或新增访问前，盘点主库、备份、日志、客服及分析数据，明确中国团队、关联方和供应商的权限，避免总部不必要的海外远程访问；对高风险访问实行最小授权、按需审批、脱敏及日志留存，并核实解密能力。

第二，逐项核对联邦与州法。DSP应按数据类型、适用的数量门槛、交易结构、访问方及例外具体判断；州隐私法和消费者保护法还可能分别约束采集、披露和营销。本案约定的美国存储及逐次同意安排，不能当作所有企业普遍适用的美国法要求，也不能作为联邦DSP的通用合规方案。[10]

第三，将对外承诺转化为产品验证要求。上线及版本变更时，应核对隐私政策、App权限、SDK、后台访问和实际数据流；“仅存美国”“不向境外共享”等承诺，须有技术证据支撑。操作系统授权也不能当然替代适用法律要求的告知、同意及必要性判断。

第四，落实实体与供应链责任。美国实体应具有与其对外责任相匹配的人员、决策和事件响应能力；集团服务协议应明确处理目的、访问边界及责任。平台还应同步审查促销、评论、知识产权投诉、产品检测、召回和卖家退出机制，避免将数据治理与消费者保护割裂。涉及平台或主要业务转让时，还应核查既有监管和解的义务承继安排。

第五，提前准备可复核的证据。建议由法务统筹，在监管问询前形成数据流图、权限与密钥清单、版本测试、供应商合同和整改记录。面对技术报告或投诉，应针对具体版本、数据和行为回应。跨州和解还应整体评估保护同等化条款，避免单州承诺在其他州持续放大成本。