Pravilnik o zasebnosti — Terenska beležnica

Aplikacija: Terenska beležnica (Android applicationId: si.terenska.beleznica)
Izdajatelj v Trgovini Google Play: Alittis
Kontakt razvijalca: admin@alittis.com
Upravljavec osebnih podatkov: Agencija Republike Slovenije za okolje (ARSO)
Kontakt ARSO za NarcIS: narcis.arso@gov.si
Strežnik terenske beležnice: upravlja ga Alittis za ARSO; podatkovni center v Frankfurtu (Nemčija, EU)
Začetek veljavnosti: 28. april 2026
Zadnja sprememba: 15. oktober 2026

Terenska beležnica je mobilna aplikacija za zaposlene in pooblaščene zunanje sodelavce naravovarstvenih nadzornih služb. Omogoča zajem opažanj na terenu (motnje, posegi, opazovanja) in beleženje obhodov — tj. neprekinjenih GPS-sledi terenskih obhodov — ter njihovo pošiljanje na strežnik terenske beležnice, ki ga za ARSO upravlja Alittis, s kopijo v sistemu NarcIS. Aplikacija ni namenjena javni uporabi: do nje dostopajo samo uporabniki, ki jim je v sistemu NarcIS dodeljena pravica TERENSKA-BELEZNICA. Ta dokument opisuje, katere osebne podatke aplikacija obdeluje, zakaj in komu se posredujejo.

1. Povzetek

• Upravljavec vseh osebnih podatkov, ki jih uporabnik vnese in pošlje preko aplikacije, je Agencija Republike Slovenije za okolje (ARSO). Od 15. oktobra 2026 jih hrani strežnik terenske beležnice, ki ga za ARSO upravlja Alittis v podatkovnem centru v Frankfurtu (Nemčija, EU). Kopija vsake spremembe in varnostne kopije se hranijo v sistemu NarcIS (§ 2.9).
• Aplikacija prenaša naslednje vrste podatkov na strežnik terenske beležnice: e-poštni naslov uporabnika, lokacijo (GPS-koordinate) opažanj in obhodov, fotografije brez metapodatkov EXIF (§ 2.3), prosta besedila (opis, imena opazovalcev, ukrepanje, pravna podlaga, status obravnave, predlagana vrsta motnje, naziv in zapiski obhoda) ter čase opazovanj.
• Zapise o motnjah, obhode in fotografije vidijo uporabniki iz iste organizacije v sistemu NarcIS, ki imajo pravico TERENSKA-BELEZNICA — v aplikaciji in v spletnem pregledu zapisov (§ 2.8) — skupaj z e-poštnim naslovom avtorja.
• Geslo se pošlje samo ob prijavi, preko šifrirane povezave HTTPS, in ga preveri sistem NarcIS. Nato aplikacija uporablja žeton seje. Geslo ni nikoli shranjeno v jasnem besedilu, ne v napravi ne na strežniku.
• Aplikacija nima oglasov, analitičnih SDK-jev, beleženja zrušitev preko zunanjih storitev, niti ne uporablja oglaševalskih identifikatorjev.

2. Vrste podatkov, ki jih aplikacija obdeluje

2.1 Prijava: e-poštni naslov, geslo in žeton seje

• Namen: avtentikacija proti sistemu NarcIS in preverjanje, ali ima uporabnik dodeljeno pravico TERENSKA-BELEZNICA.
• Prijava: ob spletni prijavi se par e-pošta:geslo kodira (Base64) in pošlje v glavi Authorization: Basic preko šifriranega protokola HTTPS na strežnik terenske beležnice (https://narcis.alittis.com/api/beleznica/app/v1/prijava). Strežnik ga posreduje sistemu NarcIS, ki preveri geslo; strežnik terenske beležnice nato preveri pravico. Geslo se na strežniku terenske beležnice ne shrani.
• Žeton seje: sistem NarcIS ob uspešni prijavi izda naključen žeton seje — enak žeton, kot ga uporablja prijava v spletni vmesnik. Vsi nadaljnji klici zalednih storitev (sinhronizacija zapisov, obhodov in fotografij) pošiljajo samo žeton, v glavi Authorization: Bearer; geslo se po prijavi ne pošilja več. Strežnik terenske beležnice žeton pri vsakem klicu preveri v sistemu NarcIS. Žeton velja 30 dni od zadnje uporabe (ob uporabi se podaljša, največ enkrat na dan). Sistem NarcIS žetona ne hrani v jasnem besedilu, temveč le njegov kriptografski izvleček, skupaj s časom izdaje, poteka in zadnje uporabe ter z identifikatorjem User-Agent zahtevka za prijavo (ime in različica HTTP-knjižnice aplikacije; ne vsebuje podatkov o napravi). Ob odjavi aplikacija žeton prekliče.
• Hramba na strežniku: uporabniški račun ostane v sistemu NarcIS. Strežnik terenske beležnice zabeleži uporabnikov e-poštni naslov kot avtorja vsakega ustvarjenega zapisa (motnje, obhoda, fotografije).
• Hramba v napravi: po uspešni spletni prijavi aplikacija v varnem ključavnik-pomnilniku operacijskega sistema (iOS Keychain, Android Keystore preko flutter_secure_storage) shrani:
  • e-poštni naslov (jasno besedilo);
  • kriptografski izvleček gesla (PBKDF2-HMAC-SHA256, 100.000 iteracij, 32-bajtna naključna sol) — jasnega gesla aplikacija nikoli ne shrani na disk;
  • časovni žig zadnje uspešne spletne prijave;
  • žeton seje.
  Izvleček omogoča prijavo brez omrežja v obdobju do 14 dni od zadnje spletne prijave (poznejši poskus prijave brez omrežja je zavrnjen, dokler se uporabnik ponovno ne prijavi spletno).
• Brisanje: ob odjavi ali ko strežnik žeton zavrne (odgovor HTTP 401) aplikacija žeton in izvleček gesla izbriše iz naprave.
• Avtomatsko izpolnjevanje gesla: aplikacija ob uspešni prijavi pokliče sistemski mehanizem za izpolnjevanje gesel (Google Password Manager v Androidu, iCloud Keychain v sistemu iOS) in ponudi shranjevanje gesla. To je sistemska funkcionalnost, ki je neodvisna od aplikacije; uporabnik lahko ponudbo zavrne ali shrani.

2.2 Lokacija naprave (GPS)

• Uporabljena dovoljenja Android: ACCESS_FINE_LOCATION, ACCESS_COARSE_LOCATION, FOREGROUND_SERVICE, FOREGROUND_SERVICE_LOCATION, WAKE_LOCK.
• Aplikacija NE deklarira dovoljenja ACCESS_BACKGROUND_LOCATION. Lokacijska sled v ozadju se zajema samo v okviru ospredne storitve (foreground service) tipa location, ki teče med aktivnim obhodom; ko obhod ni aktiven, aplikacija ne dostopa do lokacije v ozadju.
• Namen: geokodiranje opažanj (zemljepisna širina/dolžina ob trenutku opazovanja), neprekinjeno beleženje sledi obhoda, prikaz uporabnikovega položaja na zemljevidu in usredinjenje karte.
• Pošiljanje: koordinate so sestavni del podatkov o motnji oz. obhodu, ki se pošljejo na strežnik terenske beležnice pri sinhronizaciji. Pri zapisih o motnjah se pošljejo: zemljepisna širina, dolžina, oznaka natančnosti (Natančna ali Približna) in čas opazovanja. Pri obhodih se pošlje celotna sled točk (zemljepisna širina, dolžina, čas zajema, ocena natančnosti v metrih) skupaj z začetnim in končnim časom obhoda.
• Beleženje obhoda v ospredni storitvi: ko uporabnik začne obhod, aplikacija zažene ospredno storitev tipa location z vidnim sistemskim obvestilom (kanal «Beleženje obhoda»). Storitev neprekinjeno bere lokacijo (filter razdalje 5 m) in jo shranjuje v lokalni datoteki, dokler uporabnik obhoda ne zaključi ali zavrže. Točke s slabo natančnostjo (> 50 m), meritve, starejše od 30 sekund, in nerealistični skoki (hitrost nad pribl. 130 km/h) se zavrnejo.
• Hramba v napravi: trenutni aktivni obhod se sproti zapisuje v datoteko active_walk.json v zaprtem prostoru aplikacije, da se podatki ohranijo, če operacijski sistem zruši aplikacijo. Da aplikacija deluje tudi brez omrežja, v napravi hrani kopijo zapisov o motnjah in obhodov svoje organizacije (motenj_store.json, walks_store.json), vključno z že sinhroniziranimi zapisi in zapisi sodelavcev. Ta kopija se izbriše ob odjavi.
• Nastavitve zemljevida: aplikacija lokalno hrani zadnji prikazani center karte in stopnjo povečave (map_view.json) ter izbrane sloje zemljevida (map_layers.json). Ti podatki ne zapustijo naprave.

2.3 Fotografije in kamera

• Uporabljena dovoljenja Android: CAMERA, READ_MEDIA_IMAGES (Android 13+), READ_EXTERNAL_STORAGE (Android 12 in starejši).
• Namen: uporabnik lahko k zapisu o motnji pripne fotografijo, ki jo posname s kamero ali izbere med obstoječimi fotografijami v napravi, obakrat preko sistemskega izbirnika. Aplikacija dobi dostop samo do izbrane fotografije.
• Stiskanje: pred shranjevanjem aplikacija fotografijo zmanjša (širina največ 1600 px, kakovost JPEG 85), kar zniža velikost na pribl. 200–500 KB.
• Metapodatki EXIF: metapodatke, ki jih v fotografijo zapiše aplikacija kamere — npr. čas posnetka, znamko in model telefona ter, če je v kameri vklopljeno označevanje lokacije, GPS-koordinate kraja posnetka — aplikacija pred shranjevanjem odstrani (ohrani le usmerjenost slike), zato se ne pošljejo na strežnik. Fotografije, ki so jih shranile različice pred 1.12.0, jih lahko še vsebujejo, tudi na strežniku.
• Hramba v napravi: fotografija je shranjena v zaprtem prostoru aplikacije (disturbance_photos/<motnja_id>/<foto_id>.jpg), da preživi morebitno prekinitev sinhronizacije, in ostane tam tudi po uspešnem prenosu. Fotografije k zapisom sodelavcev se prenesejo v napravo, ko uporabnik odpre podrobnosti zapisa. Ob izbrisu zapisa se izbrišejo tudi njegove fotografije. Ob odjavi se izbrišejo vse fotografije v napravi, lastne in fotografije sodelavcev.
• Pošiljanje: pri sinhronizaciji se binarno telo fotografije naloži na strežnik terenske beležnice in pripne k zapisu o motnji. Strežnik fotografijo hrani v podatkovni bazi PostgreSQL; varnostne kopije s fotografijami se hranijo v sistemu NarcIS (§ 2.9). Fotografija je vidna samo uporabnikom, ki pripadajo isti organizaciji v sistemu NarcIS kot avtor zapisa.
• Najvišja velikost in vrste: sprejete vrste so image/jpeg, image/png, image/webp, image/heic; največja velikost ene fotografije je 10 MB.

2.4 Prosto besedilo, ki ga vnese uporabnik

Pri zapisu motnje uporabnik prostovoljno vnese: opis dogodka, ime ali imena opazovalcev (prosto besedilo), morebitno predlagano vrsto motnje, oznako ukrepanja, pravno podlago za ukrepanje in status obravnave (privzeto Odprto). Pri obhodu lahko vnese naziv in zapiske. Vsi ti vnosi se v okviru sinhronizacije pošljejo na strežnik terenske beležnice in tam hranijo skupaj z e-poštnim naslovom uporabnika kot avtorja zapisa.

• Imena opazovalcev: aplikacija polje obravnava kot prosto besedilo, ki ga vnese uporabnik. Prosimo uporabnike, naj v polje opazovalcev vnašajo le imena oseb, ki so seznanjene z namenom obdelave (terensko poročanje za potrebe nadzora) in se s tem strinjajo.

2.5 Sistemska obvestila in izjema iz optimizacije baterije

• Uporabljeno dovoljenje Android: POST_NOTIFICATIONS.
• Namen: prikaz obveznega sistemskega obvestila ospredne storitve med beleženjem obhoda. Vsebina obvestila je generirana v napravi; aplikacija ne uporablja tujih storitev za pošiljanje potisnih obvestil.
• Uporabljeno dovoljenje Android: REQUEST_IGNORE_BATTERY_OPTIMIZATIONS. Ob začetku obhoda lahko aplikacija odpre sistemsko pogovorno okno za izvzetje aplikacije iz agresivne optimizacije baterije. Brez izvzetja nekateri proizvajalci telefonov (npr. Samsung One UI, «Freecess») izklopijo ospredno storitev, kar prekine beleženje sledi. Uporabnik lahko izvzetje zavrne; aplikacija deluje, vendar storitev v ozadju lahko ustavi operacijski sistem.

2.6 Zemljevid: sloji, iskanje krajev in prepoznava območij

• Osnovni zemljevid: privzeto ploščice OpenStreetMap (tile.openstreetmap.org). Uporabnik lahko preklopi na satelitski sloj Esri ArcGIS Online (services.arcgisonline.com, sloja World_Imagery in World_Boundaries_and_Places).
• Sloj Parcele: zemljiškokatastrske parcele iz spletne storitve WMS Geodetske uprave Republike Slovenije (ipi.eprostor.gov.si).
• Sloj Območja: zavarovana območja, območja Natura 2000 in drugi naravovarstveni sloji iz storitve WMS sistema NarcIS (ARSO, narcis.gov.si/ows). Ko uporabnik tapne na zemljevid, da prepozna območje, aplikacija tej storitvi pošlje koordinate tapnjene točke na zemljevidu.
• Iskanje krajev: besedilo, ki ga uporabnik vpiše v iskalnik krajev, se pošlje storitvi Nominatim fundacije OpenStreetMap (nominatim.openstreetmap.org).
• Pri vsakem od teh zahtevkov ponudnik prejme naslov IP naprave, čas zahteve, identifikator User-Agent aplikacije in vsebino zahtevka: koordinate zahtevanih ploščic oz. območja (iz njih je razvidno, katero območje si uporabnik ogleduje), tapnjeno točko ali iskalno besedilo. Aplikacija v teh zahtevkih ne pošilja uporabnikove GPS-sledi, e-poštnega naslova ali vsebine zapisov.
• Za podrobnosti glede obdelave teh metapodatkov veljajo politike posameznega ponudnika.

2.7 Brisanje zapisov v aplikaciji

• Uporabnik lahko v aplikaciji izbriše svoj zapis o motnji, dokler ta ni obravnavan (dokler ni zabeležena odločitev o obravnavi in je status Odprto).
• Zahteva za izbris se pošlje na strežnik terenske beležnice; brez omrežja se pošlje ob naslednji sinhronizaciji. Strežnik izbriše zapis skupaj z vrstami motnje, opazovalci in fotografijami; aplikacija izbriše njegovo lokalno kopijo in fotografije. Kopije, ki so že v sistemu NarcIS (dnevnik sprememb in varnostne kopije, § 2.9), se hranijo v skladu s politiko hrambe ARSO.

2.8 Spletni pregled zapisov

• Zapise, ki jih pošljete, lahko v spletnem vmesniku Terenska beležnica na naslovu https://narcis.alittis.com pregledujejo uporabniki iz iste organizacije s pravico TERENSKA-BELEZNICA; seznam zapisov lahko tudi izvozijo v datoteko Excel.
• Avtor zapisa (in nadzornik s posebno pravico) lahko zapis tam ureja. Pooblaščeni uporabniki tam vnesejo odločitev o obravnavi: status, kdo in kdaj je odločil, ter uradno opombo. Status ter kdo in kdaj je odločil, aplikacija prikaže pri zapisu.
• Vsaka sprememba v spletnem vmesniku se zabeleži v dnevnik sprememb (kdo, kdaj in prejšnje vrednosti zapisa); dnevnik se ohrani tudi po izbrisu zapisa.
• Spletni vmesnik razvija in upravlja Alittis. Podatke bere iz baze strežnika terenske beležnice in jih vanjo zapisuje (§ 2.9).

2.9 Kje se podatki hranijo

• Strežnik terenske beležnice: zapisi o motnjah, obhodi in fotografije se hranijo v podatkovni bazi PostgreSQL na strežniku, ki ga za ARSO upravlja Alittis. Strežnik gostuje pri ponudniku Hostinger v podatkovnem centru v Frankfurtu (Nemčija, EU). Aplikacija in spletni vmesnik do njega dostopata na naslovu https://narcis.alittis.com.
• Kopija v sistemu NarcIS: vsaka sprememba zapisov in obhodov (brez fotografij) se praviloma v 15 minutah prepiše v dnevnik v sistemu NarcIS, ki ga upravlja ARSO.
• Varnostne kopije: vsake tri ure se izdela varnostna kopija zapisov in obhodov, vsaka nova fotografija pa se ob prvi naslednji varnostni kopiji enkrat kopira v sistem NarcIS. Varnostne kopije se hranijo v sistemu NarcIS.
• Zapisi, obhodi in fotografije, poslani pred 15. oktobrom 2026: so bili preneseni na strežnik terenske beležnice; izvirniki, vključno s fotografijami, ostanejo v sistemu NarcIS (Oraclova baza), samo za branje.
• Uporabniški računi in pravice ostanejo v sistemu NarcIS (§ 2.1).

3. Komu se podatki posredujejo

• Agencija Republike Slovenije za okolje (ARSO) — upravljavec vseh podatkov, ki jih uporabnik pošlje preko aplikacije. V sistemu NarcIS se hranijo uporabniški račun, kopija vsake spremembe in varnostne kopije (§ 2.9).
• Alittis — razvijalec aplikacije, ki za ARSO upravlja strežnik terenske beležnice in spletni pregled zapisov; na tem strežniku se hranijo vsi podatki, ki jih uporabnik pošlje preko aplikacije (§ 2.9).
• Hostinger — ponudnik gostovanja strežnika terenske beležnice (podatkovni center v Frankfurtu, Nemčija, EU).
• Uporabniki iz iste organizacije s pravico TERENSKA-BELEZNICA — vidijo zapise, obhode in fotografije skupaj z e-poštnim naslovom avtorja, v aplikaciji in v spletnem pregledu (§ 2.8).
• OpenStreetMap Foundation (ploščice in iskanje krajev), Esri (satelitski sloj) in Geodetska uprava Republike Slovenije (sloj parcel) — prejmejo naslov IP in podatke o zahtevku (glej § 2.6).
• Drugi naslovniki: aplikacija ne posreduje podatkov drugim tretjim osebam. V aplikaciji ni vgrajenih analitičnih SDK-jev, oglasov, beleženja zrušitev preko zunanjih storitev niti potisnih obvestil preko tretje storitve.

4. Pravna podlaga obdelave

Obdelava poteka v okviru zakonske naloge ARSO za vodenje sistema NarcIS in podporo terenskemu nadzoru. Podrobnejši opis pravne podlage in obsega obdelave je del pravilnika o zasebnosti, ki ga vodi ARSO; za vsa vprašanja o obdelavi in uveljavljanju pravic v zvezi s podatki terenske beležnice prosimo, da pišete na narcis.arso@gov.si.

5. Pravice posameznikov (GDPR)

V skladu s Splošno uredbo o varstvu podatkov (GDPR) ima uporabnik kot posameznik, na katerega se nanašajo osebni podatki, naslednje pravice glede podatkov, shranjenih na strežniku terenske beležnice in v sistemu NarcIS:

• pravico do dostopa do podatkov;
• pravico do popravka netočnih podatkov;
• pravico do izbrisa («pravica do pozabe») v okviru, ki ga dopušča zakonodaja;
• pravico do omejitve obdelave;
• pravico do ugovora obdelavi;
• pravico do prenosljivosti podatkov;
• pravico do pritožbe pri Informacijskem pooblaščencu Republike Slovenije.

Zahteve naslovite na upravljavca: narcis.arso@gov.si. Svoje še neobravnavane zapise lahko izbrišete tudi sami v aplikaciji (§ 2.7). Z odjavo iz aplikacije izbrišete lokalno kopijo zapisov in obhodov, fotografije, žeton seje in izvleček gesla; z odstranitvijo aplikacije izbrišete vse lokalne podatke.

6. Otroci

Aplikacija ni namenjena javnosti in ni namenjena otrokom. Dostop je omejen na osebe, ki jih ARSO v sistemu NarcIS pooblasti za uporabo terenske beležnice.

7. Varnost

• Vsi klici med aplikacijo in strežnikom terenske beležnice ter med tem strežnikom in sistemom NarcIS potekajo preko šifrirane povezave HTTPS.
• Geslo se pošlje samo ob prijavi. Za sinhronizacijo aplikacija uporablja žeton seje, ki ga lahko sistem NarcIS kadar koli prekliče in ki brez uporabe poteče po 30 dneh; sistem NarcIS hrani le njegov kriptografski izvleček.
• Geslo se v napravi shrani izključno v obliki kriptografskega izvlečka (PBKDF2-HMAC-SHA256, 100.000 iteracij), in to v sistemskem varnem ključavnik-pomnilniku (flutter_secure_storage → iOS Keychain oz. Android EncryptedSharedPreferences/Keystore).
• Aplikacija po pretečenem 14-dnevnem oknu brez spletne prijave zavrne ponovno odprtje seje brez omrežja in zahteva spletno avtentikacijo.
• Strežnik terenske beležnice upravlja Alittis; sistem NarcIS upravlja ARSO in je predmet varnostnih ukrepov agencije.
• Aplikacija ne pošilja telemetrije, beleženja zrušitev ali drugih diagnostičnih podatkov tretjim osebam.

8. Hramba podatkov

• Strežnik terenske beležnice in sistem NarcIS: obdobje hrambe določa upravljavec ARSO v skladu s svojo politiko in veljavnimi predpisi. Žeton seje poteče po 30 dneh brez uporabe.
• Naprava: žeton seje, izvleček gesla, lokalna kopija zapisov ter obhodov in fotografije obstajajo, dokler se uporabnik ne odjavi ali odstrani aplikacije; fotografije posameznega zapisa se izbrišejo že ob izbrisu zapisa (§ 2.3). Nastavitve zemljevida ostanejo do odstranitve aplikacije.

9. Spremembe pravilnika

Ta pravilnik lahko posodobimo, če se spremeni vedenje aplikacije ali predpisi. Datum «Zadnja sprememba» na vrhu strani označuje različico, ki velja. Bistvene spremembe bomo navedli v opisu različice v Trgovini Google Play.

10. Kontakt

• Vprašanja o tem pravilniku ali o aplikaciji: admin@alittis.com
• Vprašanja o obdelavi osebnih podatkov: narcis.arso@gov.si