Temu以300万美元和解德州数据隐私诉讼：首次同意美国用户数据留在美国服务器并每年做商品安全检测

先说清这条消息的性质，避免读者把它当成平台官方公告。据外电报道（路透社报道 + 中文行业媒体编译），德州总检察长肯·帕克斯顿（Ken Paxton）办公室 2026 年 10 月 16 日（周五）宣布，Temu 已同意就德州提出的数据隐私索赔达成和解，文件于当日公布。 这是一份经法院批准的和解判决（agreement judgment），主体是德州总检察长办公室，不是 Temu 的官方发布。同时要分清另一件事：Temu 在美国面临多个州的类似诉讼，德州是第一个解决的州——「首次」的准确含义是「该公司首次同意把个人数据保存在美国服务器并限制何时可发送到中国」，不是首次面临此类指控。

诉讼的另一主体是 PDD Holdings（拼多多母公司）。德州于 2026 年 2 月 19 日对 PDD Holdings Inc. 与运营 Temu 的 Whaleco Inc. 提起诉讼。指控内容包括：以欺骗性贸易手段、不当收集数据、误导性的促销与定价、对消费者信息如何被使用或共享披露不足。德州方面称，平台使用的代码允许对用户设备进行不当层级的访问。Temu 与母公司否认了这些指控。

用户规模上，帕克斯顿办公室称，截至 2023 年 9 月，Temu 在美国有超过 8,240 万活跃用户。

数据条款：留在美国，且由中国境内人员难以访问

判决要求 Temu 做的不只是「服务器在美国」，而是三个叠加的要求。

第一，数据存储。 得州消费者的个人数据必须存放在位于美国境内、且由美国公司拥有并控制的商业服务器上。这里是「美国拥有并控制」，不是「租用的美国机房」。

第二，访问限制。 必须限制中国境内的个人与实体对**未加密或可解密形式的个人身份信息（PII）**的访问。判决为若干例外开了口子：用户同意、订单履行、欺诈防范、平台安全、法律合规。

第三，只发必要数据。 按和解协议条款，Temu 同意仅向中国发送完成交易所必需的数据，例如收货地址。

另有两项常被忽略但对企业合规直接相关的义务：必须指定一名美国合规官；必须披露可能与美国境外共享的得州消费者数据类别。

还有一条与账户治理直接相关：必须至少每季度识别一次不活跃的得州消费者账户；账户连续 24 个月无活动的，其数据原则上必须删除，除非保留仍属法律或业务上合理必要的特定情形。不活跃的定义是期间内没有登录、下单或任何其他与 Temu 的主动交互。同时 Temu 必须在美国的隐私政策中，为已登录用户提供一个「一键」（one-click）链接直达账户删除流程。

⚠️ 判断一家供应商是否满足类似要求时，要看控制权而不只是机房位置。「美国拥有并控制的服务器」与「租用的美国机房」是两件事。

商品安全：年检、2 个工作日下架、5 个工作日终止卖家

这一部分是本次和解中与商品合规直接绑定的部分，对做美区的卖家有直接影响。

年度独立商品安全检测。 Temu 必须聘请独立机构，每年对得州消费者常购商品的一个横截面进行检测，检测对象包括铅、PFAS 化合物、邻苯二甲酸酯（phthalates）、甲醛与重金属。判定标准写得很具体：只有当最终审计报告发现某种有害物质超过适用的联邦安全标准时，该商品才构成判决定义的「确认有害商品」（Confirmed Harmful Product）。

触发后的四个动作，各有独立时限：

• 2 个工作日内下架该商品
• 5 个工作日内终止该卖家以及同一底层商户拥有的关联店铺——⚠️ 未按时终止卖家是一项独立违规，民事罚则为 60 万美元（除非能证明是识别错误）
• 通知购买过该商品的得州消费者
• 全额退款

另有一条前置义务同样带时限：Temu 必须监测美国与得州的召回和安全警示，在警示发布后 2 个工作日内移除被召回、禁售或不合规的商品。还有一条上架前的资料义务：某些受管制商品在向得州消费者销售前，卖家须提交产品合规证书、制造商或自有品牌方标识、检测信息与发货信息。

罚则与法律性质：三条必须写清

罚则一，年度审计不合格 800 万美元。 若独立年度 App 安全审计发现判决定义的「重大不合规」（Material Noncompliance），Temu 必须为该次未通过的审计支付 800 万美元，并在 60 天内改正。针对敏感数据保护的另一项独立年度审计，重大不合规适用同样的 800 万美元罚则。另一项独立罚则是未在 5 个工作日内终止卖家的 60 万美元。

罚则二，每年独立 App 测试。 Temu 必须聘请独立机构，每年对当时版本的移动应用进行检测，查找与恶意软件、间谍软件或未授权数据收集代码相符的行为，范围限于通过 Apple App Store 与 Google Play Store 向得州消费者提供的版本。这正是德州 2 月起诉的原因之一。

法律性质——这一条不能含糊： Temu 与母公司 PDD Holdings 否认不当行为、否认违反任何法律。判决写明，双方是在未经审判或对指控作出裁决的情况下解决此案，该和解不构成对责任的承认。禁令原则上有效期四年，由科林县（Collin County）第 471 司法区法院持续管辖执行。

Temu 当时的立场： 路透社报道称，Temu 未立即回应置评请求（did not immediately respond to a request for comment）。所以「Temu 尚未回应」是报道时点的状态，不是公司拒评。

据外电报道另需注意两条背景：帕克斯顿在宣布中称这是「同类协议中的首例」（first-of-its-kind）；该和解之前，德州信息资源部已把 PDD Holdings（含 Temu 与拼多多）列入禁止软件、应用与开发商名单，德州州长阿博特于 1 月扩大了该名单。

和解的范围只覆盖得州消费者

这一点容易被忽略。判决的禁令适用于得州消费者，并由科林县第 471 司法区法院享有持续管辖执行权——这不是覆盖全美用户的全国性安排。德州是多州诉讼中第一个解决的州，其余各州（以及联邦层面的相关主张）并未因这一份判决而终结。

因此把它读成「Temu 已就数据隐私问题与美国和解」是不准确的，准确表述是「Temu 已与德州就数据隐私索赔达成和解」。

注意事项

第一，别把「和解」读成「认错」。判决原文明确不构成责任承认且未经审判裁决。这是法律程序的正常形态，不是对指控的确认。

第二，别把主体写成 TikTok。本案主体是 Temu 与 PDD Holdings，与 TikTok 无关，与站内此前报道的德州法院涉 TikTok 儿童内容案是两个不同的案子，诉由、主体、法院都不相同，不要混为一谈。

第三，PFAS 与重金属是这次年检的明确对象。判决把铅、PFAS 化合物、邻苯二甲酸酯、甲醛、重金属逐一点名，且判定线是「超过适用的联邦安全标准」。做美区的卖家，检测报告与合规证书要能对应到这几类物质，上架前的资料义务是针对卖家的，不是只针对平台。

第四，下架与终止是两个独立的时限和独立的罚则。2 个工作日下架、5 个工作日终止卖家，漏掉后者是 60 万美元的独立违规，不会因为已经下架而免除。

第五，数据条款的方向是「美国拥有并控制」。判断一家供应商是否满足类似要求时，要看控制权而不只是机房位置。判决还额外要求披露可能出境的数据类别、指定美国合规官、季度识别不活跃账户并对 24 个月不活跃账户删除数据——这些是持续性义务，不是一次性整改。

FAQ

Q：和解金额是多少？ A：300 万美元支付给得州州。这笔款项涵盖民事罚款、律师费、调查费与成本，须在判决生效后 30 天内支付。

Q：这是 Temu 官方公告吗？ A：不是。据外电报道，消息源为德州总检察长办公室 2026 年 10 月 16 日的宣布与当日公布的判决文件，路透社等媒体进行了报道，中文行业媒体编译转载。⛔ 不可写成平台官方公告。

Q：Temu 承认不当行为了吗？ A：没有。Temu 与母公司 PDD Holdings 在和解文件中否认不当行为、否认违反任何法律；判决写明双方未经审判或裁决即解决此案，和解不构成对责任的承认。

Q：「首次」指什么？ A：德州是多个州诉讼中第一个达成解决的。「首次」指的是该公司首次同意将个人数据保存在美国服务器并限制何时可发送到中国（得州官员表述），不是首次面临此类指控。

Q：800 万美元是怎么罚的？ A：针对每次未通过的年度独立审计（App 安全审计与数据保护审计各一次），重大不合规即罚 800 万美元，并须在 60 天内改正。另有一项独立的 60 万美元罚则针对未在 5 个工作日内终止卖家。

Q：商品被检出有害物质后会怎样？ A：独立机构每年检测得州消费者常购商品的一个横截面，对象包括铅、PFAS 化合物、邻苯二甲酸酯、甲醛与重金属。最终审计报告发现某有害物质超过适用的联邦安全标准即构成「确认有害商品」，随后须 2 个工作日内下架、5 个工作日内终止卖家及其关联店铺、通知得州消费者、全额退款。

Q：和解有效期多久？ A：禁令原则上有效期四年，由科林县第 471 司法区法院持续管辖执行。

Q：这和 TikTok 的案子有关吗？ A：无关。本案主体是 Temu 与 PDD Holdings，诉由是数据隐私与商品安全；站内此前报道的德州法院涉 TikTok 儿童内容案在诉由、主体、法院上均不同，不要混为一谈。

参考来源

• 德州总检察长办公室官方新闻稿：《Attorney General Paxton Secures First-of-Its-Kind Settlement with Temu to Protect Texans' Data from the CCP and to Protect Consumers from Toxic Products from China》（帕克斯顿宣布和解、2026 年 2 月对 PDD Holdings Inc. 与 Whaleco Inc. 起诉、数据须存于美国拥有并控制的服务器、限制中国境内人员访问、每年独立商品安全检测、下架与终止卖家与通知退款、800 万美元罚则、300 万美元赔付、截至 2023 年 9 月美国超 8240 万活跃用户、帕克斯顿「historic victory」原话）
• 法院判决文件（agreement judgment，德州总检察长办公室官网 PDF — 科林县第 471 司法区法院、禁令四年、美国拥有并控制的商业服务器、中国境内人员访问未加密或可解密 PII 的限制与例外、指定美国合规官、披露可能出境数据类别、季度识别不活跃账户与连续 24 个月数据删除、美国隐私政策一键删除链接、年度 App 检测恶意软件与间谍软件、2 个工作日下架与 5 个工作日终止卖家、铅与 PFAS 化合物与邻苯二甲酸酯与甲醛与重金属年检、60 万美元终止卖家罚则、60 天整改期、以及和解不构成责任承认与未经审判裁决的表述）
• 路透社报道经行业媒体转载：《Chinese online retailer Temu agrees to data privacy restrictions to settle Texas lawsuit, documents say》（2026 年 10 月 16 日电，Jody Godoy 与 David Shepardson 报道 — 文件周五公布、德州为首个解决的州、首次同意数据留在美国服务器并限制发往中国、仅发送完成交易所必需数据如收货地址、Temu 未立即回应置评请求、和解文件中否认不当行为、聘请第三方网络安全审计员检查应用代码、截至 2023 年 9 月超 8240 万活跃用户、每次违规每年最高 800 万美元罚则）
• 德州信息资源部（Texas Department of Information Resources）禁止软件、应用与开发商名单及德州州长 1 月扩大该名单的公开记录（经媒体转述，用于说明和解之前的监管背景）