一个得州用户点下“下单”，履约系统随后把地址送到仓配服务商，风控系统检查异常支付，客服可能需要查订单，推荐模型还要读取浏览行为。数据看起来只住在美国机房，真正影响隐私风险的却是随后发生的读取、解密、导出和删除。10月16日得克萨斯州检察长办公室披露与Temu达成和解安排，公开的拟议《双方同意的最终判决与永久禁令》把这些环节拆成了具体义务。[1][2]
我的判断是，这类争议的工程重点已经从“服务器放在哪里”推进到“谁能在什么情形下看到可识别数据、哪条路径留下可审计证据”。对出海平台以及服务美国客户的工业软件公司，这是一份值得细读的架构检查样本；它针对Temu与得州争议，并非全国电商适用的统一数据本地化法。
和解写了什么：位置、身份、例外与证据
得州检察长10月16日新闻稿称，Temu同意将得州消费者个人数据存储于位于美国、由美国公司拥有和控制的商业服务器，并限制中国境内个人或实体访问。公开文件第29段把要求写得更细：对与个人可识别信息关联、处于未加密或可解密状态的数据，原则上禁止“受禁人员”访问；个人针对单次访问的特定同意，或者针对非敏感个人数据、为合理商业目的确有必要且比例适当的履约、反欺诈、排错维护等活动，构成文本列出的例外。[2] 因此“限制跨境传输”在设计上至少需要同时处理驻留、访问权限、数据状态与用途，不能只凭云区域名称完成验收。
州方宣布向其支付300万美元；文件第10—11段表明该金额覆盖和解中的金钱安排，包括民事罚款、律师费和调查成本，不能将它全部简单记作隐私罚款。文件第5—6段明确被告否认不当行为，双方以和解结束争议，未通过庭审裁断具体事实。[2] 这些法律边界对做技术复盘很重要：原先的指控与和解后的承诺是不同类型的信息。
还有一个必须记在核查表里的程序细节：州方公开的PDF是双方请求法院批准并录入的拟议判决文本，当前版本法院签署的日期和法官签名栏空白。[2] 州检察长新闻稿表述为“已取得和解”，本文依据的是其公开披露的安排；执行起算日、最终是否有更新的法院签署版本，需要以案卷后续记录为准。草案第20段把部分义务设为生效后30天、90天或180天完成，不能当作10月16日当天全部技术改造已完成。
一张数据流图，比一百页政策声明更有用
跨境电商通常把订单、支付标识、地址、设备指纹、客服对话与埋点放在不同系统。先定义“得州消费者”的识别规则、数据字段和敏感级别，再逐系统标注主存储、缓存、备份、日志、分析仓库、模型训练副本和第三方处理商；每条数据边标出发起方、接收方、处理目的、是否可重识别及密钥归属。否则生产数据库留在美国，海外客服工具或报错日志却携带明文地址，所谓驻留只覆盖了最显眼的一层。
接下来设计访问网关：身份认证应落在真实操作者而非共用服务账号，授权同时限定工单、角色、字段和时长；敏感数据优先在美国区域生成脱敏视图，海外运维只看聚合指标。紧急排障要预留受控的“破玻璃”流程——提交原因、审批人、最小权限、会话录屏或命令记录、自动过期与事后复核。是否允许例外，必须由适用法域与具体承诺共同判断，技术团队不能把一个泛泛的用户同意框当作无限期跨境访问许可。
这种分层正好解释文件为何要求独立第三方每年测试面向得州消费者的手机App，检查恶意软件、间谍软件及未经授权的数据收集代码；另有针对敏感数据驻留和受禁人员访问限制的年度评估。[2] App静态或动态测试并不能自动证明云端的权限隔离，云端访问日志也不能说明移动端没有超范围采集。两套审核对象、证据链和整改责任应分开安排。文件规定，一次年度审计的最终报告若认定特定“重大不合规”，对应800万美元的民事罚款与60天补救期；其他不合规先要求60天内纠正，不能概括成“每年固定缴纳800万美元”。
删除权是数据库外的工程题
得州《数据隐私与安全法》（TDPSA）自2024年7月1日生效。检察长的消费者指南列出知情、改正、删除、部分处理的退出选择等权利，也要求控制者明确披露共享对象、限制收集范围、落实处理者合同及特定活动的风险评估；经验证的消费者请求原则上应在45天内回复，符合条件时可再延长45天。[3] 这是一部州级法律。Temu公开和解文本中的某些更细节条件属于个案安排，适用范围不能直接扩大为TDPSA对全部公司的一般义务。
文件第29段另要求，至少每季度识别连续24个月无登录、下单或其他主动互动的得州用户账户，并删除关联个人数据；为税务、反欺诈、法律保全等合理用途需要继续保存的部分可依条款处理。文件还约定在美国隐私政策中给已登录用户提供指向账户删除说明的一键链接。[2] 对产品经理来说，按钮只是起点：删除任务必须追到搜索索引、客服附件、BI快照、消息队列和可恢复备份。对依法保留的数据，应封存、限制用途并记录保留期限，而不是把“删除”直接改成数据库软删除后长期可查。
建议把账户注销做成状态机：用户发起→完成身份核验→冻结新增画像写入→逐系统派发删除或保全工单→收集执行回执→向用户反馈。备份无法立即逐条改写时，至少明确备份留存期、恢复后重放删除请求的机制和审核证据。不同数据类型的删除时点可在系统设计说明中分别写清，避免运营承诺“一键立即清除一切”而基础设施做不到。
商品安全也被写进同一套治理体系
这次争议同时涉及产品安全。州方新闻稿提到年度独立产品检测、发现有害物质后的下架、终止涉事卖家及关联店铺、通知得州消费者和全额退款。[1] 技术团队容易把这一部分交给法务或平台招商部门，实际落地却离不开商品主数据：同一SKU在不同店铺的关联关系、批次和检测证书、受影响订单以及通知送达情况，都要能被追溯。
设计一张商品事件表，至少关联检测报告、供应商、批次、销售时间窗与订单集合；当某一批次命中风险时，先阻断继续销售，再定位购买者与退款对象。跨境平台上的商品标题、店铺名称经常变化，若只拿页面URL识别涉事商品，召回会漏掉换链接、换店铺的同款。这里的数据治理与隐私治理并不矛盾：召回需要在限定目的下精准找到受影响用户，同时要避免无关部门为营销重新调用这些敏感资料。
最棘手的往往是“不在数据地图里”的访问
数据地图画出主业务系统后，逐一去找工单附件、崩溃日志、SDK埋点和沙盒环境。工程师为查一个订单异常，可能把数据库行贴进外部协作工具；研发测试为复现故障，可能把生产数据同步到远端预发环境；BI团队为月报保存的原始用户明细，可能比订单系统本身留得更久。表面看这些都是临时副本，一旦关联身份，它们和主库里的信息一样需要管理。出海企业可选取一条从注册、购买到退款的真实测试链路，沿着trace ID查齐涉及的微服务和第三方处理商，再与供应商清单比对。这比仅让各部门填写“是否传输数据”的问卷更容易发现漏项。
加密也要问清楚威胁模型。传输层加密保护链路，静态加密保护磁盘丢失场景；如果海外运维账号仍持有应用解密权限，两个绿勾都不能证明该账号看不到用户资料。更实用的做法是在主业务区域内把必要字段变成短期令牌或聚合结果，再向跨境服务传递不可直接识别的数据；令牌映射表由独立服务控制，按目的和期限发放调用权限。对客服处理退货这类确实需要查看地址的工作，可把地址显示限定在经批准的订单工单、限定可见时长，并监控批量读取。这里每一项都是工程实现建议，具体可否传递仍须核对当地法律和合同文本。
独立审计开始前，证据也应每天生成。审计员要能抽到一个用户请求，从移动端埋点版本和隐私告知到后端接收事件，从访问授权工单到审计日志，再到数据删除回执。如果采集日志写的是英文缩写，权限表只记录服务账号，审批流程停留在聊天截图，结果难以复核。可以为每个高风险字段指定数据负责人，要求系统自动输出区域、目的、保留期限和访问例外，按月抽样检查；涉及供应商的访问还应从合同、最小权限账户和证据留存期限三处同时约束。
出海企业可立即安排的四项工作
第一，冻结一版可复核的数据地图，特别标出在美国的主库之外所有可解密副本与第三方工具；凡是拿不出字段级去向的业务线，先暂停增加新的跨境调用。第二，给客服、供应商与远程运维建立分级权限及单次工单授权，令真实操作者、访问原因和导出的字段能够追溯。第三，按移动端采集、云端驻留、消费者请求和商品追溯分别准备测试样本，不要让一个综合“安全报告”掩盖四种失效模式。第四，把审计发现、补救期限、责任人与证据归档写进董事会或管理层定期可见的看板。
美国司法部的数据安全计划于2025年4月8日生效，针对某些美国政府相关数据和大规模敏感个人数据交易设置禁止或限制，并非禁止所有个人数据跨境流动。[4] 得州个案文本提及该计划及州隐私法；企业不能拿这一案件直接推导自己适用同样的门槛，应先确认数据类型、规模、交易和人员身份。就工程实践而言，最稳健的起点很朴素：位置能证明，访问有边界，例外可复核，删除真走完。
参考资料
- Texas Attorney General，《Attorney General Paxton Secures First-of-Its-Kind Settlement with Temu…》，2026-10-16，核验州方和解公告、金额、商品安全安排。https://www.texasattorneygeneral.gov/news/releases/attorney-general-paxton-secures-first-its-kind-settlement-temu-protect-texans-data-ccp-and-protect
- 得州第471区法院案号471-01114-2026，《Agreed Final Judgment and Permanent Injunction》，双方签署请求录入版，2026-10-15署名、州检察长2026-10-16公开；第5—6、10—11、20—29段，核验否认指控、付款口径、技术义务和分阶段起算；公开PDF法官签名及日期栏空白。https://www.texasattorneygeneral.gov/sites/default/files/images/press/Temu AFJ.pdf
- Texas Attorney General，《Texas Data Privacy And Security Act》，法规自2024-07-01生效，州方消费者权利与企业义务指南。https://www.texasattorneygeneral.gov/consumer-protection/file-consumer-complaint/consumer-privacy-rights/texas-data-privacy-and-security-act
- 美国司法部国家安全司，《Data Security》，数据安全计划2025-04-08生效与敏感数据交易适用范围。https://www.justice.gov/nsd/data-security
两张配图均为原创概念示意。