Temu与美国300万美元和解，给中国出海平台立了新规

先把案件本身说清楚。

2026年2月19日，得州总检察长Paxton起诉PDD和Whaleco，诉状五项指控，核心两条，一是虚假陈述App的权限范围和数据用途，二是未披露得州消费者的个人数据可能提供给中国政府。后一条是美方单方指控，Temu始终否认，判决书也明确写了本案未经庭审、不构成任何责任认定。

八个月后，双方和解。判决书条款密集，但结构其实只有三层。

第一层是钱，300万美元，30天内付清，覆盖民事罚款、律师费和调查费。对一家去年GMV数百亿美元的公司，这个数字接近于零，市场也是这么读的，10月16日PDD美股只跌了1.76%，收报80.97美元，成交甚至低于均量。

第二层是行为义务，数据本地化、访问限制、休眠账户删除、年度审计，这是判决书的骨架，下一节逐条拆。

第三层最容易被忽略，是判决书给全行业立了一个可审计的追踪链。有市场分析直接点破，300万美元无关紧要，美国服务器加审计追踪才是给每一家中国跨境电商定出的新成本科目。罚款进新闻，制度进账本，后者的量级远大于前者。

这里要回看我们8月写Shein时的判断。当时得州已经用同款指控起诉Shein，我们在《Shein如何在中美两套规则之间求生》里，审查对象从技术下沉到数据，中国企业被盯，不再因为买了先进技术，而是因为个人数据。Temu这份判决书，等于把那句话从预测变成了条文。Shein案的后续跟踪，本文一并兑现。

判决书27页，数字链如下，全部对应原文段号。

四个细节值得单独说。

其一，800万不是每次违规，是每次审计失败。判决书设了两类年度独立审计，App安全审计和敏感数据保护审计，各自独立计罚，理论上一年最多罚1600万。审计材料默认保密，发现重大不合规后，不利结论在整改完成前持续有效。

其二，60万是隐藏罚则。检出有害商品后5个工作日内必须终止涉事卖家及其同一实控人的关联店铺，逾期是独立违规。一条供应链罚一次，假货和有毒物质治理被拆成了可执行的时限。

其三，数据条款没有即日生效，给了180天改造期。30天内先任命美国本土合规官，90天内完成上架前合规认证和一键删除入口，180天完成数据架构迁移。这说明判决书起草者清楚，数据本地化不是态度问题，是工程问题。

其四，限制的对象被精确定义为未加密或可解密形态的个人数据，Prohibited Person定义为依中国法律注册、主要营业地在中国或主要居住于中国的实体和个人。订单履约、反欺诈、平台维护、法律合规、用户单次同意，五类例外都写死了。而敏感数据的定义，直接援引了美国司法部数据安全计划28 C.F.R. §202.249。一份州法院判决，主动对接联邦数据出境规则，州级执法和联邦基建完成了拼接。

把镜头拉远，看这份判决在全球监管谱系里的位置。

最直接的参照系是TikTok的项目 Texas。

为了化解CFIUS的国家安全审查，TikTok把美国用户数据迁入甲骨文云，接受源代码审查，由美国实体独立运营，外聘第三方审计，建设成本约15亿美元，年运营成本约7.5亿美元。智库ITIF早把这套架构总结为处理中国App安全风险的蓝本。

得州对Temu做的事实上同一件事。

本地存储、代码审计、第三方验证，三要素一个不少，只不过执行主体从CFIUS换成了州总检察长，强制工具从协商换成了判决书。TikTok自建花了15亿，Temu用一份和解拿到了同款架构，外加每年两项审计。对中资平台来说，这不再是逐案谈判的特例，是可以被任何一州复制的标准件。

再看执法谱系。

2025年9月，FTC刚因未按INFORM消费者法提供举报机制和卖家信息，对Whaleco开出200万美元罚单，那也是该法生效以来的首例执法。2026年3月，联邦法官驳回针对Temu的6500多件仲裁请求。5月，欧盟以DSA对Temu开出2亿欧元罚单，认定其风险评估是形式主义合规，那笔罚单的四点违规逻辑我们在《欧盟罚Temu2亿欧元》里拆过，此处不展开。

8月，TikTok与司法部就儿童隐私达成4亿美元和解，和解结案、不认责、留后手，当时我们写过，这正在成为美国政府与中资平台纠纷的标准模板。Temu这份判决，模板沿用，条款加码。

欧美两套体系，执法逻辑罕见地一致

还有一个数字说明产品安全条款为什么跟着数据条款一起出现。美国消费者联合会统计，截至2025年9月，联邦召回和安全警告涉及的中国制造商品，约92%集中在Temu、Shein、亚马逊、沃尔玛这几个大平台上。平台成了执法的抓手，产品安全和数据安全被装进同一份判决。

得州和解之后，另外六州怎么走，才是判断这件事终局的关键。

先看时间线。

阿肯色2024年6月第一个起诉，内布拉斯加、肯塔基、亚利桑那、俄克拉何马、爱奥瓦陆续跟进，犹他8月放风。密苏里在和解宣布前三天，10月13日，提交了最新一份起诉书，超过100页，被告名单里第一次出现支付实体Temu Payments。

密苏里的指控烈度完全不是一个级别。

州聘法证团队对App做了多年取证，指控包括实时定位精度达10英尺、读取已装应用清单和周边Wi-Fi、调用麦克风和摄像头、App下载后可自我改写代码以规避审查、沿用2023年3月被谷歌应用商店下架的拼多多版本代码。州总检察长哈纳威的公开建议是，密苏里人应该删掉这个App。

各州的路线已经分流。

阿肯色总检察长格里芬明确表态，不打算和任何一家和解，直接走向审判，并称已赢下全部动议驳回。密苏里指控这么重，照抄得州条款反而轻于其主张，大概率要么继续打，要么索要更多。市场分析普遍认为，其他州会把得州条款当地板价而不是天花板，在此基础上加码金额或追加救济。

这就回到判决书第47条，全文最精妙的一处。

三年平价期内，Temu与任何其他州达成的和解，若净付款超出本判决5%以上，得州60天内自动补齐差额。若禁令条款整体更有利，自动并入得州判决，除非得州在90天内反对。翻译一下，Temu对任何一州的任何让步，都会自动回流到得州，州际条款竞赛的传导机制被写进了判决书本身。

对Temu，这意味着谈判空间锁死，第一个和解就是最低成本的一枪，后面每一步都在抬价。对其他中资平台，这意味着观望策略失效，得州条款不会停在得州。ITIF已经点名，Temu和Shein在国会下一步的关注名单上。

至于得州官员自称的first of its kind，经查证，此前确实没有州级政府经诉讼强制中资平台数据本地化的先例。2025年得州与谷歌的13.75亿美元和解是纯金钱交易，没有行为救济。

Temu自己的应对，本身就是一份参考答案。

声明只有一句英文，达成协议解决此事，同时继续专注于服务得州消费者、支持得州企业。不认责、不申诉、不拉扯，快速出清，把资源留给经营。业务侧的动作早就开始了，据行业数据，半托管模式在美国区占比已约75%，一年前这个比例是反过来的，广告投放从买量转向留存，据第三方监测，美国月活同比仍增长约21%，据公开报道，管理层在二季度电话会里的口径是美国市场进入结构性调整期。截至发稿，中国商务部与Temu总部均未发布中文回应。

这件事对中国出海平台的具体含义，落在一张时间表上。判决书的合规日程是公开的，所有在美运营平台都可以对照自查。

第一步，30天内，指定美国本土合规官，隐私政策披露可能出境共享的数据类别。这不是得州一州的要求，是接下来每一份和解的标配开场。

第二步，90天内，上架前合规证书流程，受监管商品要有CPSC认可或ISO/IEC 17025认可机构出具的检测信息，用户端提供一键删除入口。

第三步，180天内，评估数据存储架构。美国企业拥有并控制的服务器，加上对特定国家人员的访问隔离，是这份判决的核心义务，也是大概率会被复制到其他州的义务。

第四步，按年预算，两类独立审计必须常备，每次审计失败800万美元，外加产品安全年度抽检，铅、PFAS、邻苯二甲酸酯、甲醛、重金属。

第五步，按多州叠加设计，而不是按单州最低合规设计。七州在诉，密苏里在打审判，最惠条款让任何一州的让步自动扩散。数据架构方案只按最严标准做一次，成本低于按州逐个谈判十次。

海关那条线也别忘了，小额免税2027年7月永久废除、平台被CBP要求作为供应链节点识别，我们在《美国海关要中国出口商交出本国报关单》里写过。关税抽掉利润，判决书抬高架构，中国电商在美国的合规成本，正在从两端同时收紧。国内这边，携程因数据出境被罚的案例说明，出境两端的同时收紧不是美国单方面的动作，是两个监管体系的同向运动。