2026 年 10 月 16 日，德州总检察长 Ken Paxton 办公室公布了与拼多多控股（PDD Holdings Inc.）及 Whaleco Inc.（Temu 运营主体）的和解文件：State of Texas v. PDD Holdings Inc. and Whaleco Inc. d/b/a Temu，Cause No. 471-01114-2026，Collin County 第 471 司法地区法院。双方于 10 月 15 日签署，Temu 支付 300 万美元，并承诺把德州用户数据存放在美国公司拥有和控制的美国服务器上，限制中国境内人员接触可识别数据。这是德州一系列“反 CCP”诉讼中首个公布的和解，对所有向美国用户提供 App、跨境电商或广告服务的中资企业，都是一份可以直接对照的“合规样本”。
一、案件背景
该案由德州总检察长于 2026 年 2 月 19 日提起，诉称 Temu 违反德州《欺骗性贸易行为法》（DTPA），涉及 App 的数据收集与使用、促销与定价宣传、产品质量与安全表述、数据保护措施不足，以及未披露数据可能被中国政府获取。按德州总检察长办公室公布的系列新闻稿，同一时期被起诉的还有 TP-Link、Anzu Robotics、Lorex 和 Shein 等中国关联企业。其中 Shein 一案的新闻稿显示，州方依据 DTPA 请求每项违法最高 1 万美元的民事罚款，涉及 65 岁以上消费者的，每项最高 25 万美元。
需要特别注意：这不是依据隐私专门法（如德州《数据隐私与安全法》）提起的诉讼，而是以“欺骗性”为切入点。换言之，只要隐私政策、App 权限说明或对外宣传与实际的数据流向不一致，州检察官就可能以消费者保护法起诉，不必证明违反任何一部隐私法的具体条文。
二、和解的数据条款
根据公开报道对和解文件的梳理，数据方面的主要义务包括：
数据存放。德州用户的个人信息和敏感信息，须在判决生效日起 180 天内存放于美国公司拥有并控制的美国服务器。
访问限制。不得向“禁止人员”（中国境内组织的实体、位于中国的实体，以及主要居住在中国的个人）开放可读、可识别的数据；在用户同意，或属于非敏感数据且出于特定业务目的（如改进平台功能）时设有例外。
披露与留存。美国版隐私政策须列明向美国境外第三方共享的数据类别；每季度识别 24 个月内无登录、下单或其他互动的德州不活跃账户，并原则上删除其数据；隐私政策中须增加登录用户可直达账户删除的一键链接；指定位于美国的合规负责人。
德州用户的认定标准相对务实：以 IP 地理位置或默认收货地址为准，无需进一步推断。
三、年度审计与“每次 800 万美元”
和解把合规落到了“可检验”的审计机制上：每年由合格的独立机构对 Apple App Store 和 Google Play 上德州用户可下载的 Temu 版本进行测试，查验是否含有恶意软件、间谍软件或未经授权的数据收集代码；另有一项针对敏感数据的年度合规审计。审计若认定“重大不合规”，每次可触发 800 万美元的民事罚款，较轻的问题则有 60 天整改期。第一份报告最早于判决生效后的首个 9 月 1 日（至少满六个月之后）提交。
也要看到文件的另一面：审计机构由 Temu 自行选聘并付费，总检察长不参与批准；Temu 可在 30 日内提出异议，并最终向 Collin County 法院寻求司法审查；报告原则上按《公共信息法》保密。同时，和解文件载明被告否认全部指控，不构成自认，判决期限为四年，并设有三年的“最惠州”条款。另据公开分析，已发布的文本中法院签署日期仍为空白，生效日（所有期限的起算点）以法院签署为准，因此“已生效”的说法目前不应想当然。
四、对中资企业的合规要点
Temu 的和解并不约束其他公司，但它清楚地展示了德州检察官接受的“整改标准”。建议在美国有 App、平台或广告业务的中资企业，至少做好以下五项：
1. 绘制真实的数据流向图。弄清德州（及其他州）用户的数据存放在哪个云、哪个国家、由谁运维，哪些中国境内团队能够读取可识别数据，以及读取的业务理由。
2. 让隐私政策与实际一致。列明向境外共享的数据类别，核对 App 权限、SDK 与对外宣传，避免“声明如此、实际不然”，这正是 DTPA 理论的核心。
3. 做一次“代码级”自查。委托第三方审查 iOS 与 Android 版本中的 SDK、权限调用和数据上传行为，保留测试记录，便于应对 CID 或审计。
4. 梳理数据保留与删除机制。设定不活跃账户的识别与删除周期，并确保用户端有可直达的删除入口。
5. 提前设计“美国存放、境内受限访问”的架构。评估美国本地化存储与访问控制的成本和可行性，并同步对照美国司法部《数据安全计划》（28 C.F.R. Part 202）以及中国的法律义务。在中国境内的企业需特别留意，向境外司法或执法机构提供境内存储数据，受《数据安全法》第 36 条的限制，响应美国调查前须先评估。上述中国法律条文引用请以最新条文为准。
五、格知律所如何协助
格知律师事务所在芝加哥执业，长期协助中资企业应对美国州级数据合规与监管调查。针对本文所述风险，我们可以提供：（1）数据流向与访问权限的差距评估，对照德州此类和解条款形成整改路线图；（2）隐私政策、App 权限说明与对外宣传的一致性审查，降低 DTPA 项下“欺骗性”主张的风险；（3）州总检察长民事调查令（CID）的接收、响应与沟通策略，包括与中国法下数据出境义务的衔接；（4）供应商、云服务与 SDK 合同审查，约定数据存放地、访问限制与审计权；（5）独立审计与内部合规制度的准备，包括整改期应对预案。
结语
德州的这份和解，把“数据放在哪里、谁能看到”从抽象的合规话题变成了有期限、有审计、有罚款的具体义务。它并非法律本身，但很可能成为其他州检察官与企业谈判时的参照。对中资企业而言，最稳妥的做法不是等被起诉，而是现在就把数据架构、对外声明与实际行为对齐，并保留可以证明这一点的记录。后续值得关注法院何时签署判决、其他几起德州诉讼的走向，以及其他州是否跟进类似条款。
本文依据公开资料整理，仅供一般信息参考，不构成法律意见。