（一）主要组织形式

中国公司出海到美国常用的公司形式包括C-Corporation（C-Corp.）和Limited Liability Company（LLC）。[1] C-Corp.的公司治理规则较为完备，常用做融资和上市主体。LLC的内部治理自由度高，股东结构简单且业务规模不大的情况下比较常见。以特拉华州为例，我们将C-Corp.和LLC的基本要求和特征对比总结如下[2]：

（二）最低注册资本和出资要求

在美国设立C-Corp.与LLC均没有最低注册资本要求，提交申请材料通过后即可成立公司，没有实缴注册资本要求。

1. 如果您选择在特拉华州设立公司：

在特拉华州，您可以通过特拉华州公司处官网的新公司设立网站https://corp.delaware.gov/howtoform/，根据指引进行公司注册，提交注册材料。[3]

设立C-Corp.，您需在提交Certificate of Incorporation时填写授权发行股份总数及每股价值（par value）[4]。

设立LLC，则无需填写授权发行股份总数。

2. 如果您选择在加州设立公司：

在加州，您可以通过加州国务卿线上注册网站bizfileonline.sos.ca.gov注册账号，进入Forms页面选择拟设立的公司形式。

设立C-Corp.，您需在设立C-Corp.时填写公司授权发行股份总数“the total number of shares the corporation is authorized to issue”。[5]请留意普通股的授权股份数应足以涵盖所有已发行的普通股。[6]

设立LLC，则无需填写授权发行股份总数。

提示：对于计划在美国市场拓展业务的科技类中国公司而言，一般因法律制度选择在特拉华州设立公司，并因为市场和人才在加州经营业务。需注意的是，在美国各州设立公司所需的注册时间和注册费用不一致。对于特定行业、业务类型相似的公司，存在市场惯例，请听取专业顾问的意见。

（三）本地股东和董事要求

1. 如果您选择在特拉华州设立公司：

设立C-Corp.至少要求有1名股东，1名董事，对股东和董事的居住地没有要求。

设立LLC至少要求有1名成员，对成员的居住地没有要求。

2. 如果您选择在加州设立公司：

设立C-Corp.要求至少有3名董事。以下情况为例外：

（1）在股份尚未发行之前，董事可以为1名或2名；

（2）公司只有1名股东，董事可以为1名或2名；

（3）公司有2名股东，董事可以为2名。[7]

加州对C-Corp.的股东和董事的居住地没有要求，即不要求为本地股东或董事。

设立LLC至少要求有1名成员（member），对成员的居住地没有要求。

（四）实际经营地址

在特拉华州，设立公司时没有填写实际经营地址的要求，只需填写公司注册代理人的姓名/名称和地址。[8]

在加州，设立公司时必须填写在加利福尼亚州的公司地址（business address），不能使用邮政信箱（PO BOX）。但该公司地址并不一定要求是公司的实际经营地址，您可以选择填写注册代理人的姓名和地址，以接受公司的重要法律文件。[9]

（五）外汇管制

美国无外汇管制，资金可以自由出入。美国对非公民的利润、红利、利息、版税和费用的汇出没有限制。[10]美国对于部分列入特别指定国民名单（Specially Designated Nationals List）的国家和个人团体实施贸易制裁和禁运，包括冻结资产、贸易限制等限制措施，由外国资产控制办公室（Office of Foreign Assets Control）进行管控。[11]

美国对其居民就全球范围内的收入（worldwide income）征收个人所得税或企业所得税（但对于非美国公司的收入的某些例外情况予以豁免）。[23]在美国，税收制度分为联邦和州两个层面。联邦所得税根据美国财政部（the US Department of Treasury）根据1986年修订的《国内税收法》（the Internal Revenue Code of 1986, as amended，IRC）及其他所得税相关法规征收。[24]美国大多数州对在该州居住或开展业务的个人或公司征收企业和个人所得税。

下面介绍联邦及加州的基本税负。

（一）个人所得税

美国的个人纳税人通常需缴纳联邦所得税，税率最高为37%。[25]纳税基础为全球总收入减去某些允许的扣除金额和抵免金额。[26]

2023年，联邦层面个人纳税人缴纳个人所得税的税率如下表所示：[27]

个人纳税人也可能根据其居住地或获得收入的地方缴纳州和地方所得税。加州的个人所得税税率具体请见https://www.ftb.ca.gov/file/personal/tax-calculator-tables-rates.asp。

（二）企业所得税

联邦企业所得税目前为21%。各州企业所得税税率差异很大。[28]纳税企业应在每一纳税年度结束后第4个月的第15天之前提交企业所得税申报表（Form 1120），并在提交申报表的截至日期之前全额缴纳应交税款。[29]

加州征收的企业所得税根据企业的行业类型不同有所区分，对于银行和金融业以外的公司，企业所得税税率为8.84%。[30]

（三）预提税

预提税（Withholding Tax）并不是一种独立的税种，而是《国内税收法》对从来源于美国的股息、利息、租金、特许权使用费或某些其他形式的收入向非居民征收的预提税制度。非美国居民获得的大多数来源于美国的收入均需缴纳30%的预提税，此类金额通常从支付给非美国居民的款项中预扣，但美国与非美国居民所在国家签订税收协定另有约定的除外。[31]

以美国与中国签订的《中华人民共和国政府和美利坚合众国政府关于对所得避免双重征税和防止偷漏税的协定》（1984年4月30日签署）为例，对中国居民就来源于美国的股息、利息、特许权使用费所征的税率不应超过10%。

（四）消费税

美国联邦对公司和个人纳税人不征收统一的联邦销售税或财产税。但是，对美国境内某些产品的生产、分销和/或销售征收各种有针对性的联邦消费税（Excise Tax）。例如，《国内税收法》对酒精饮料和枪支的制造、分销和/或销售征收消费税。截至2023年10月，联邦征收特定消费税的案例包括香烟（1.01美元/包20支），烟草（2.83美元/磅）、啤酒（3.5美元/首批60,000桶）、游轮乘客（3美元/乘客）[32]。对于酒精等商品通常会在联邦、州层面双重征税，使得这些商品的成本更高。[33]关于消费税的指南请见美国国税局发布的Publication 510（https://www.irs.gov/forms-pubs/about-publication-510）。

就加州而言，对销售和使用商品设置了销售与使用税（Sales and Use Tax），自2018年1月1日起，加州销售与使用税的标准税率为7.25%，且各区域在一定条件下会在7.25%的基础上额外加收0%至3.0%的税负，具体取决于销售地点。[34]

（五）税收优惠

对于雇佣在特定区域[35]生活和工作的员工的企业，联邦将给予雇主一定的税收优惠，即支付给在Empowerment Zones（EZs）区域生活和工作的每位符合条件的员工（现有和新员工）的工资，最高可抵免3,000美元的联邦税；支付给在Renewal Communities（RCs）区域生活和工作的每位符合条件的员工（现有和新员工）的工资的联邦税抵免额最高为1,500美元。[36]

另外，美国对于可再生能源的投资提供税收抵免。[37]具体而言，对购买太阳能系统的企业提供两种税收抵免：（1）投资税收抵免（the Investment Tax Credit，ITC），可减少纳税年度内安装的太阳能系统成本的一定百分比的联邦所得税义务；（2）生产税收抵免（the Production Tax Credit，PTC），根据太阳能和其他合格技术在系统运行的前10年产生的电力的每千瓦时（kWh）税收抵免。

（一）立法情况及适用范围

1. 联邦法律层面

目前，在联邦法律层面，美国尚未颁布一部综合且全面的个人信息或数据隐私保护法；根据目前美国国会的立法进程观察，未来2年内在联邦层面通过统一立法可能性比较低。联邦层面主要通过各部门的部门法调整不同领域的数据保护问题，例如：

在医疗领域，《健康保险携带和责任法案》（Health Insurance Portability and Accountability Act of 1996，以下简称“HIPAA”）适用于提供医疗服务的实体、保护“受保护的健康信息”（Protected health information, “PHI”），医疗服务提供者在未经隐私规则允许或未获得个人信息主体授权的情况下不得披露“受保护的健康信息”[44]。

在金融领域，《格雷姆-里奇-比利雷法》（Gramm-Leach-Bliley Act，以下简称“GLBA”）通过对金融机构义务的规制以保护“消费者非公开个人信息”，个人金融数据的共享应向消费者提供选择退出（opt-out）机制[45]；《公平信用报告法》（The Fair Credit Reporting Act，以下简称“FCRA”）要求消费者相关的金融机构采取合理的措施，维护信用信息的机密性、准确性和相关性，并赋予消费者查阅和更正权[46]。

在通信领域，美国1986年的《电子通信隐私法》（Electronic Communications Privacy Act of 1986，以下简称“ECPA”）旨在保护通信产生、传输以及存储于计算机过程中的电报、口头以及电子的通信内容。ECPA适用于电子邮件、电话沟通、电子存储的数据，同时也对触犯规定将造成的刑事以及民事责任作出了规定[47]。

在未成年人保护领域，美国非常重视13岁以下的儿童个人信息的保护，制定了《儿童在线隐私保护法》（Children’s Online Privacy Protection Act，以下简称“COPPA”），从联邦层面确立了儿童个人信息保护的基本原则与要求，为各州立法提供了明确的导向与基础[48]。

2. 州法律层面

在州法律层面，美国50个州全都提出了相关的法案，但是大部分尚未通过。目前，已有5个州（加利福尼亚州、科罗拉多州、弗吉尼亚州、犹他州和康涅狄格州）制定了综合性的数据隐私法案，7个州（爱荷华州、印第安纳州、蒙大拿州、田纳西州、德克萨斯州、俄勒冈州和特拉华州）的隐私保护综合性法律将于未来3年内逐步生效[49]。各州法律的规定不一，需要根据实际情况进行具体确认。

其中，具有标志性意义的《加州消费者隐私法案》（California Consumer Privacy Act，以下简称“CCPA”）于2020年1月1日正式生效，被普遍认为是美国目前最为综合的数据和隐私保护立法。为了配合落实CCPA的规定，加州行政法官办公室发布了《加州消费者隐私条例》（California Consumer Privacy Act Regulations，以下简称“CCPAR”），确定相应的合规流程以及行使权利的流程，同时也明确了针对法律规范的商业公司的重要透明度和可问责性机制。2023年1月1月，《加州隐私权法案》（California Privacy Rights Act，以下简称“CPRA”）正式生效。CPRA对CCPA[50]的规定进行了修正和补充，增加了新的消费者隐私权利和义务，完善了加州的隐私法律体系。

3. 监管机构

在联邦层面，美国尚未设置专门负责数据保护的监管机构。消费者保护机构有权制裁侵犯消费者隐私的行为并要求公司采取补救措施。例如，根据《联邦贸易委员会法》（Federal Trade Commission Act）第5部分，公司不遵循隐私政策或相关立法的行为构成欺骗性行为[51]，联邦贸易委员会（Federal Trade Commission，以下简称“FTC”）据此享有这一领域内的执法权力。另外，FTC也是与数据保护相关的各部门法的主要执法机构，包括但不限于GLBA，FCRA和COPPA。此外，其他的消费者保护机构（例如联邦通信委员会、卫生与公共服务部）也有针对数据保护执法的权利。

在州法律层面，各州的总检察长（Attorney General）可能作为监管和执法机构行使执法权利。根据CCPA规定，加州隐私保护局 （the California Privacy Protection Agency, CPPA）负责行使执法权利。

4. 适用范围

在联邦法律层面，由于统一隐私保护法尚未出台，目前暂未对数据处理活动的适用范围作出统一规定；与隐私保护相关的各个部门法的适用范围不一，需要根据实际情况具体确认。

在州法律层面，以CCPA为例，满足以下条件之一的企业将受到法律监管[52]：

（1）在加州运营年总收入超过2,500万美元；

（2）购买、接收、出售[53]和共享[54]10万及以上加州消费者、家庭或设备的个人信息；

（3）年收入的50%或以上来自于出售或共享消费者个人信息。

可以看出CCPA的适用范围相对GDPR较窄，明显将中小企业排除出监管范围，鼓励和推动其发展。

鉴于美国联邦层面的统一隐私保护法尚未出台、各州法律规定存在一定的差异，目前已生效的隐私法律中CCPA的规定最为完善，以下部分将以其作为范例展开介绍，以资参考。

（二）数据处理的一般原则

1. 目的限制原则

处理个人数据应当具有明确、合法、有针对性的目的，不得超出原本告知并获得授权同意的目的处理个人数据[55]。

2. 最小必要原则

处理个人数据应当仅限于与完成相关业务的目的直接相关并且为所需之最小必要，不得处理与业务不相关或不必要的数据[56]。

3. 信息准确原则

处理个人数据应当保证个人数据的质量，确保信息的准确性和完整性。若发现有错误、虚假的数据，应当及时更新、修改或删除[57]。

4. 安全保密原则

处理个人数据应当保证个人数据的安全，采取与个人信息性质相适应的合理安全程序和做法以保护个人信息不被未经授权或非法获取、破坏、使用、修改或披露[58]。

5. 可追责原则

企业应当能够向监管机关证明已落实相关合规义务，如：制定并实施公司内部数据保护政策、按要求完成个人数据保护影响评估（DPIA）、实施隐私设计与规划（PbD）、留存获取数据主体同意的证明、留存与外部第三方签订的合同和管理文件、留存日志或记录等[59]。

（三）数据主体的权利

数据主体权利存在于特定的法案语境下，本部分将主要讨论CCPA赋予消费者的权利。

1. 知情权[60]

消费者有权知道企业收集哪些个人信息、个人信息的类别、收集来源类别、收集目的、是否将个人信息出售或披露以及数据接收者的身份。在收到用户提出请求，企业应当经过身份验证后，向其发送所出售的个人数据的类型（如有）以及购买该个人数据的第三方的类别。企业可以随时向消费者提供个人信息，但消费者不应在12个月内两次以上向企业要求提供个人信息。

2. 访问权[61]

消费者有权要求企业免费提供其收集、处理过的个人信息。

3. 更正权[62]

消费者有权要求企业更正不准确的个人信息。企业在收到消费者请求、经过身份验证后，应尽商业上合理的努力更正相关个人信息。

4. 选择退出的权利[63]

消费者有权拒绝企业出售或共享自己的个人信息。消费者提出退出的请求时无需验证其身份，企业应当在收到请求后特定时限内通知下游数据接收方，并至少等待12个月才能要求用户重新同意其个人数据的销售。

5. 限制处理、披露敏感个人信息的权利[64]

企业涉及使用或披露数据主体敏感个人数据的，应当告知用户有权对于敏感个人数据的使用和披露进行限制。企业在收到用户拒绝出售或共享的请求后，应当禁止以任何目的使用或披露该用户的敏感个人数据，并告知相应服务提供商或承包商。

6. 免受歧视的权利[65]

行使CCPA所规定的隐私权利后，消费者仍有权以平等的价格享受平等的服务。

7. 删除权[66]

消费者有权要求企业删除已经收集的个人信息。收到消费者删除其个人信息请求后，企业应当对消费者进行身份验证，从记录中删除该消费者的个人信息，并要求服务提供商或承包商从他们的记录中删除该消费者的个人信息。值得注意的是，CCPA建议企业同时提供“全部删除”和“部分删除”的选项，并确保“全部删除”的选项更为突出。

（四）数据处理者的义务

1. 制定并及时更新隐私政策

根据CCPA的规定，企业必须在其在线隐私政策中披露以下信息，并至少每12个月更新一次隐私政策[67]：

（1）关于CCPA项下消费者权利的说明；

（2）过去12个月中收集的有关消费者的个人信息类别清单；

（3）企业应在其网站主页提供显著的“请勿出售我的个人信息”（Do Not Sell My Personal Information）的单独链接，并在隐私政策中告知用户其选择退出的权利。

2. 及时响应消费者的行权请求

（1）向消费者提供可行的请求方式

根据CCPA的规定，企业有法定义务向用户提供至少两种指定方法，帮助消费者行使其权利。可接受的提交请求方法包括[68]：（i）电子邮件地址；（ii）互联网网页；（iii）互联网门户网站；（iv）免费拨打的电话号码。

（2）验证方式

在收到消费者的请求后，企业需要根据请求具体内容的不同判断是否需要对消费者的身份进行验证。

根据CCPAR的规定，企业收到数据访问和删除个人数据两类请求时，可使用两种验证方法[69]：（i）首先，如果企业运营了受密码保护的账户，在符合CCPA其他要求的前提下，可通过企业验证现有消费者账户身份的方法来验证消费者的身份。（ii）其次，如果消费者没有受密码保护的账户，则身份验证会较为复杂，需要根据请求的性质和待解决请求所涉的个人信息类型具体确定验证标准。

（3）响应时间

根据CCPA规定，在收到消费者请求起的45日内，企业应免费满足消费者披露或提供个人数据等请求；在合理必要的情形下，处理期限可延长45日[70]。

（4）请求范围

根据CCPA的规定，一般情况下消费者仅可请求其提交请求前12个月的消费者数据，但消费者也可要求企业披露超过12个月的信息，除非企业可证明此做法不可行或工作量过大[71]。

（五）数据跨境传输合规要求

与我国的《个人信息保护法》和欧盟的GDPR不同，美国联邦层面的隐私保护相关部门法和CCPA等州法律对数据跨境传输作出的限制较少。此前，美国以鼓励和推动数据的自由流动为主要目标。

值得注意的是，近年来美国对于数据跨境传输的态度存在转向的趋势。2023年6月14日，美国国会议员向参议院提交了2023年《保护美国人数据免受外国监视法案》草案。该草案虽未通过，但其数据跨境传输作出了实质性的全面限制。2024年2月28日，拜登政府依据《国际紧急经济权力法》（IEEPA）发布了一项行政命令，旨在保护美国人的个人敏感数据免遭“受关注国家”利用[72]。该行政命令授权美国司法部和相关部门，采取行动限制从美国向“受关注国家”[73]传输敏感个人数据的行为，包括基因组数据、生物识别数据、个人健康数据、地理位置数据、财务数据和某些类型的个人标识符等。

尽管美国联邦层面的隐私保护立法进程缓慢，但上述草案和行政命令的出台无疑反映了数据政策和法律的重大转向，需要密切关注法律法规和政策的更新、落地情况。

（六）法律责任

在联邦法律层面，FTC的执法手段包括罚款、强制执行完善隐私和安全制度、禁止使用个人信息、要求企业赔偿消费者损失、删除非法获取的消费者信息等[74]。

在州法律层面，根据CCPA的规定，如果企业违反CCPA项下的义务，未能采取适当的措施保护个人数据，从而导致未经授权的访问和泄露、盗窃或披露，消费者可提起民事诉讼[75]。消费者可就每次数据泄露事故请求100-750美元的损害赔偿，同时还可申请禁止令等其他法律救济行为。但是，该权利的行使较为严苛，需要同时满足以下3个条件：

1. 仅限于特定的信息泄露；
   

2. 企业未尽到保护义务；
   

3. 已对消费者造成实际损害。

行政监管和措施相较而言适用范围更为广泛。根据CCPA的规定，监管机构有权对每一次违法行为处以最高2,500美元的行政罚款，对每一次故意的违法行为和每一次涉及不满16周岁的未成年消费者个人信息的违法行为处以最高7,500美元的行政罚款[76]。

与我国的《个人信息保护法》和欧盟的GDPR不同，CCPA所规定的罚款是按照次数累计的，尽管单笔罚款数额不高，但由于未规定罚款数额的上限，无限累加的罚款总额也可能十分惊人。

1. 商务部对外投资和经济合作司等三部门联合出具的《对外投资合作国别（地区）指南 美国 2022年版》

2. 国家税务总局：中国居民赴美国投资税收指南

3. 加州州务卿线上服务网站：https://bizfileonline.sos.ca.gov/

4. 特拉华州公司处官网：https://corp.delaware.gov

5. 美国劳工部官网：https://www.dol.gov/

6. 美国平等就业机会委员会官网：https://www.eeoc.gov/

7. 美国国家税务局：https://www.irs.gov/

8. 美国商务局：https://www.commerce.gov/

9. 美国国际贸易管理局：https://www.trade.gov

10. 美国移民局：https://www.uscis.gov/

11. 联邦贸易委员会：https://www.ftc.gov/