美国
美国业务先建立经营实体、资金活动、经营州和数据主体的清单，再分别核对联邦、州及行业要求。本页提供定位路径，不声称覆盖全部州法或为具体业务完成许可分析。
先填写适用问卷
| 问题 | 需要的事实 |
|---|---|
| 谁提供服务 | 签约、经营和持牌实体；关联公司与供应商分别列明 |
| 实际资金活动是什么 | 谁收取、持有、控制或转移资金，代理关系是什么 |
| 与哪些州相关 | 经营、许可、服务对象及数据主体所在州 |
| 处理什么数据 | 客户金融信息、其他个人信息及特定类别数据 |
| 谁能访问或接收 | 承包商、云、集团共享和跨境支持 |
| 发生什么事件 | 信息获取、服务中断、个人风险、发现与确认时间 |
同一事故涉及多州居民时，不能只按总部所在州判断全部通知义务；同一品牌下多个实体也不能直接共享一个适用结论。
从四类官方入口定位
| 规则或机构 | 适用判断重点 | 官方入口 |
|---|---|---|
| FTC Safeguards Rule | 是否属于该规则和FTC管辖的金融机构；部分豁免是否仅免部分条款 | FTC合规指南 |
| 纽约金融网络安全 | 是否属于23 NYCRR Part 500的Covered Entity，完整或有限豁免及持续义务 | NYDFS网络安全资源中心 |
| 州隐私与数据泄露规则 | 对各州居民、企业与活动分别判断；隐私法与泄露通知法不混同 | 加州CCPA官方说明，其他州按主管机关另核 |
| MSB与反洗钱登记 | 先判断实际活动及例外，再核对联邦登记和持续义务 | FinCEN MSB登记 |
FTC规则的“金融机构”判断基于活动及管辖，不能推导所有美国企业、所有银行都统一适用FTC规则。NYDFS的适用也不能只看是否有纽约用户。FinCEN的MSB登记与州级资金传输等业务许可属于不同问题，取得登记不应被包装成全美业务准入。
其他涉及制裁的适用性与交易控制，另从OFAC官方入口核对，不以反洗钱登记替代。本文不提供绕过许可或制裁的路径。
报告义务需要独立计时
例如FTC指南针对满足条件的notification event规定相应通知要求，其触发包括至少500名消费者的相关未加密信息被未授权获取，并要求尽早、不晚于发现后30日通知。加密密钥也遭未授权访问时，不能仅因数据加密就排除该判断。
这个条件和时限只用于其适用范围，不能当作全美统一规则。NYDFS、州数据泄露通知、其他主管机关和合同可能另有触发与时限，应分别记录数据对象、主体、起算点、接收方及例外。
上线前形成可复核结论
建议最终保留：实体与服务事实、州范围、规则版本、适用或不适用理由、控制与证据、通知矩阵、变更触发条件。使用一笔交易、一项客户数据和一次合成事件验证，不能只依赖律师意见标题或供应商“美国合规”声明。
新增经营州、资金功能、数据类别或第三方访问后重新判断。具体许可和州法分析应结合业务事实与相应正式文本确认。