个人信息保护影响评估报告
报告版本 V1.0 · 2026 年 10 月 20 日 · 适用于 APRSlocus 2.1.25 及之后版本 · 本报告以中文撰写
一、评估目的与依据
本报告评估 APRSlocus 在用户设备上处理个人信息的行为，以及软件主动发起的对外传输。
依据《中华人民共和国个人信息保护法》第五十五条与第五十六条，处理敏感个人信息、向境外提供个人信息之前，应当开展个人信息保护影响评估，并记录处理情况。
本项目属于上述情形。位置信标构成行踪轨迹，属于敏感个人信息。心率属于健康信息，也在敏感个人信息范围内。使用公共 APRS-IS 服务器时，数据大多落在境外主机。
评估方法参照《信息安全技术 个人信息安全影响评估指南》（GB/T 39335-2020），按处理活动的合法性、必要性、对个人权益的影响逐项分析。
二、评估范围与角色划分
评估对象是 APRSlocus 客户端 2.1.25 与官方站点 aprslocus.theez.top。软件以 GPL-3.0 开源发布，本报告描述的每一项处理都能在源码里核对。
APRSlocus 是纯客户端。它不运营 APRS 服务器，也不提供上传、中转或存储服务。角色需要分开看。
- 开发团队看不到你的信标。你发出的 APRS 数据直接到你填写的服务器。
- 你是发起人。连哪台服务器、什么时候发射，由你自己决定。
- 服务器运营者是独立一方。你选择的 APRS-IS 服务器、APRSNETCN 服务器、射频网络，本报告不评估它们如何处理数据。
- 开发团队直接处理的信息只有三类。访问官方站点时的 IP 地址，由 GitHub Pages 与 CDN 记录。你通过举报表单主动提交的内容。GitHub 仓库上的交互记录。
三、处理的个人信息
下列信息都在设备本地处理。标注「对外」的会离开设备。
- 呼号与 SSID。对外。由你填写，作为台站标识。
- 位置。对外。经纬度、精度、速度、航向、海拔。来源为手机定位、网络定位或外接 GPS 模块。
- 时间。信标与消息的时间戳。
- 台站符号、备注、状态报文。对外。备注与状态报文都是你自己写的文字。
- 心率。来自蓝牙心率带或佳明设备。开关默认打开，没有读数时不发。接上设备并读到数值时，以 HR= 附在信标备注里。
- 电量、步数、卫星数、里程。电量默认随信标发送。步数、卫星数、里程默认关闭。
- APRS 消息。对外。收件人与沿途服务器都能看到。
- 通讯录与台站备注。本地。呼号与你自己写的备注。
- 连接配置。本地。服务器地址与端口、Passcode、账号与口令、已配对设备的名称或地址。
- 智能体配置与对话。本地。接口地址、密钥、模型、对话历史、长期记忆、定时任务。使用智能体时，对话内容与工具取到的数据会发给你自己填写的模型服务商。
- 紧急联系电话。本地。默认 120，可改成家人号码。只在心率告警或摔倒提醒时用于拨号，拨号由你按下。
- 同意日志。本地。同意时间、同意的功能项、告知文本的版本。单独存放，清除业务数据不会带走它。
- 轨迹历史与 GPX。本地。导出之后以文件形式离开软件。
四、处理目的与必要性
- 位置是 APRS 的功能本体。把位置发到公开网络，才有 APRS 的意义。不存在不上传就得到同等功能的办法。
- 呼号是台站标识。没有呼号的信标在协议层没有意义。
- 心率、步数、电量、里程属于附加字段。它们不参与 APRS 协议的核心功能，全部可以关闭。
- 账号与口令只用于登录你自己填写的服务器。软件不预置任何服务器地址。
- 软件不做用户画像，不做推荐，不投放广告，没有分析 SDK，没有崩溃上报 SDK。
五、对外传输与公开范围
下面每一项都只在对应功能被使用时发生。
- APRS-IS 或 APRSNETCN 服务器。发送呼号、位置、速度与航向、备注、消息。开关默认关闭，首次开启要单独同意。
- 地图瓦片。打开地图时向所选地图服务商请求瓦片，对方会看到 IP 与请求范围。
- 更新检查。启动时向 GitHub 与镜像站查询最新版本，只带当前版本号。
- 官方站点静态文件。公告、黑名单、成员名单、荣誉名单从 aprslocus.theez.top 下载。只读，请求里不带呼号与位置。
- TOCALL 设备库。安装包自带一份。你手动刷新时从 GitHub 与 jsDelivr 取最新表。
- IP 定位。你选择网络定位且系统没有可用定位时，依次尝试 ipwho.is、ipapi.co 等免费接口取城市级坐标，对方会看到 IP。
- 天气。开启天气后把位置发给和风天气。
- 翻译。你点翻译时把待译文本发给所选翻译接口。
- 佳明 LiveTrack。你添加分享链接后才拉取或分享位置。
- 智能体。你发消息时把对话内容与工具取到的数据发给你填写的模型服务商。
APRS 的公开性需要单独说。数据以明文发送，任何人可以接收。APRS-IS 上的第三方存档可能保留 180 天以上。发出去的数据无法撤回，也无法删除。
六、对个人权益的影响与风险
风险等级由影响程度与发生可能性合成。
| 风险 | 影响 | 可能性 | 等级 |
|---|---|---|---|
| 位置被长期聚合，推断住址与作息 | 高 | 中高 | 高 |
| 心率被公开，推断健康状态 | 高 | 低 | 中 |
| 数据落到境外服务器 | 中 | 高 | 中 |
| 手机丢失或他人共用，本机轨迹与口令被读 | 中 | 中 | 中 |
| 智能体把位置与对话发给模型服务商 | 中 | 中 | 中 |
| 未成年人误用，或未取得监护人同意 | 中 | 低 | 中 |
| IP 地址被上述第三方记录 | 低 | 高 | 低 |
第一条风险最高。它来自 APRS 的公开设计，不是软件的缺陷。软件能做的是让你知情，并让发射可控。不能接受位置公开的人，不应使用 APRS。
影响的性质有三类。隐私与人身安全，来自位置与健康信息。财产，来自本机保存的口令。被骚扰的可能，来自呼号与轨迹的长期可见。
七、安全保障措施
- 上传与发射默认关闭。首次开启时弹出单独告知，写明信息性质、必要性、对个人权益的影响，勾选后才生效。
- 同意记录可查可清。撤回与授权在同一层设置里。
- 数据只存本机。软件不运营服务器，位置与消息不会因为使用软件而汇集到开发团队。
- 开源。GPL-3.0，信标格式与位置解析都有回归测试，行为可以复核。
- 隐私开关。速度与航向、电量、心率、步数、卫星数、里程各自可关。默认只记录本人轨迹。台站保留天数可设。清除数据可一次清掉。
- 无埋点。软件不上报使用行为。
残余风险也要写明。本机数据库没有额外加密，依赖系统对存储的保护。已经发出的数据无法撤回。第三方服务器的留存时长不由本软件决定。网络定位由第三方接口给出，精度低，本软件不核实。
八、个人权利与实现路径
- 知情。用户协议、首次启动的数据与网络使用告知、本报告。
- 决定与撤回。设置里的上传与发射开关，单独同意卡。
- 查阅与复制。轨迹历史页、GPX 导出、备份。
- 删除。清除数据、卸载软件、删除自己导出的文件。
- 针对开发团队自身处理的信息。IP 地址与举报内容，可以通过 GitHub issues 或举报表单提出。
九、评估结论
在上传与发射默认关闭、开启前单独同意、随时可撤回、数据只存本机这四项前提下，处理目的明确，范围限于功能所需，对个人权益的影响可控。评估结论为通过。
结论依赖三个条件。条件变化时，本报告随之失效。
- 上传与发射保持默认关闭，开启前取得单独同意。
- 隐私开关保持在同一设置层级，随时可关。
- 新增对外传输或新增信息类型时，先更新本报告再发布。
十、复核与更新
出现下列情形时重新评估。新增敏感个人信息类型。新增第三方传输。采集方式或默认值变化。相关法规变化。距上次评估满一年。
本报告为 V1.0，2026 年 10 月 20 日。报告与软件版本一起公开。
意见与异议可以提到 GitHub issues，也可以走 举报表单。