Commander Flow — Informativa sulla privacy

Versione 1.7 — 17 agosto 2026

Il presente documento descrive come Commander Flow («il Software») e il suo editore trattano i Suoi dati personali. Principio guida: la Sua voce e il Suo testo restano sul Suo dispositivo. Tutto ciò che comunque lascia il dispositivo è elencato di seguito in linguaggio chiaro, con la base giuridica del trattamento.

Questa versione italiana è fornita per comodità. In caso di divergenza prevalgono le versioni inglese e polacca.

1. Titolare del trattamento

Titolare del trattamento descritto nella presente Informativa è:

Peter's Engineering JDG (Piotr Bahdasaran, imprenditore individuale — przedsiębiorca jednoosobowy) NIP: 9512534689 ul. KEN 19, 02-797 Varsavia, Polonia Contatto privacy: inbox@commander-flow.pro

Il Software è al di sotto della soglia oltre la quale l'articolo 37 del GDPR richiede la nomina di un Responsabile della protezione dei dati; il titolare gestisce le richieste sulla privacy direttamente tramite l'e-mail sopra indicata.

2. Cosa copre la presente Informativa

L'Informativa copre: (a) i dati trattati localmente sul Suo dispositivo dal Software; (b) i dati inviati dal Software in rete (download dei modelli, attivazione della licenza, telemetria anonima del ciclo di vita, diagnostica opzionale, pagamento); (c) i dati che riceviamo su di Lei come cliente del livello Pro (chiave di licenza, e-mail di fatturazione, metadati di pagamento); e (d) i dati trattati durante la navigazione del sito di marketing commander-flow.pro (cookie, analitica — v. §10).

3. Quali dati trattiamo — e quali NO

3.1 NON trattiamo

Il Suo testo dettato
Le Sue registrazioni audio
Il segnale del Suo microfono
Il contenuto dei Suoi appunti
Il contenuto dei file che apre o modifica
Telemetria contenente i Suoi contenuti — l'unica telemetria sono i ping anonimi del ciclo di vita descritti al §3.2 (e); non contengono nulla di ciò che Lei digita o dice, e può disattivarli

La pipeline voce-testo gira interamente sul dispositivo. L'audio è acquisito, elaborato da modelli di apprendimento automatico locali, convertito in testo e scartato. Nulla esce dal Suo computer.

3.2 Trattiamo i seguenti dati — per finalità

(a) Attivazione della licenza e servizio Pro. All'acquisto o all'attivazione di una licenza Pro, il Software invia al nostro server licenze (license.ptrs.ltd):

la Sua chiave di licenza (emessa da noi all'acquisto);
la Sua e-mail (utilizzata per attivare la licenza);
un'impronta hardware (hash di identificatori hardware stabili del Suo dispositivo — utilizzata per legare la licenza a una macchina e rilevare condivisioni);
la versione del Software.

In risposta emettiamo un artefatto di fiducia JWT firmato, conservato localmente sul Suo dispositivo (cifrato tramite DPAPI) e periodicamente riconvalidato.

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) — necessaria per fornire il servizio Pro acquistato.

(b) Pagamenti. Gli acquisti del livello Pro sono gestiti da Stripe Payments Europe, Ltd. («Stripe»). All'atto dell'acquisto Stripe raccoglie i dati necessari per ricevere il pagamento (dati della carta, indirizzo di fatturazione, Paese di residenza per il calcolo dell'IVA). In base ai ruoli pubblicati da Stripe, Stripe opera come titolare autonomo ai fini della prevenzione frodi, AML e segnalazioni regolatorie, e come contitolare o in modalità responsabile rispetto alle istruzioni di pagamento da Lei fornite a noi. Il Licenziante riceve solo i metadati di pagamento necessari per emettere fattura e licenza: e-mail del cliente, Paese di residenza, importo pagato, ID cliente Stripe e ID fattura. L'informativa privacy di Stripe è disponibile all'indirizzo https://stripe.com/privacy e costituisce un'ulteriore informativa per il trattamento operato da Stripe.

Non riceviamo né conserviamo numeri completi delle carte.

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) e adempimento di obblighi fiscali (art. 6, par. 1, lett. c GDPR — VAT-OSS polacco).

(c) Segnalazioni diagnostiche (con consenso). In caso di problemi può scegliere di inviare una segnalazione diagnostica dalla finestra «Segnala un problema» dell'app. Nulla viene inviato finché non preme «Invia». La segnalazione contiene: un ID generato, versione dell'app, versione del runtime .NET, versione di Windows, modello di CPU/GPU, impostazioni attive, le ultime ~200 righe del registro eventi con percorsi oscurati e Suo eventuale commento. La segnalazione non include testo dettato, audio, comandi vocali, testo selezionato, contenuto degli appunti, contenuto dei file, e-mail, login, chiave di licenza o altre credenziali.

Base giuridica: il Suo consenso esplicito (art. 6, par. 1, lett. a GDPR), prestato premendo «Invia». Può revocare il consenso in qualsiasi momento semplicemente non inviando ulteriori segnalazioni.

(d) Download dei modelli. Al primo avvio i file dei modelli ML vengono scaricati via HTTPS da commander-flow.pro (endpoint pubblico in stile CDN). A livello server viene registrata solo la richiesta stessa (indirizzo IP, timestamp, URL); nessuna informazione di account viene associata a tali richieste.

Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) — fornire il Software che ha installato.

(e) Telemetria anonima del ciclo di vita. Il Software invia un piccolo insieme di ping del ciclo di vita al nostro server licenze (license.ptrs.ltd) per permetterci di contare le installazioni e vedere in quale punto il periodo di prova perde utenti:

Eventi del ciclo di vita — un ping install, un ping update_applied quando la versione installata cambia, al massimo un ping startup ogni 24 ore e un ping uninstall. Contengono: un identificatore di installazione casuale (generato localmente sul Suo dispositivo — non derivato dal Suo hardware, dalla Sua e-mail né da alcun account), la versione del Software (più la versione precedente, per gli aggiornamenti), il numero di build di Windows, la lingua dell'interfaccia dell'app e — solo mentre sulla macchina è attiva una licenza Pro valida — il numero di serie del Suo token di licenza, per distinguere le installazioni con licenza da quelle in prova (per gli utenti Pro ciò rende il ping pseudonimo anziché del tutto anonimo). Il ping di disinstallazione contiene solo l'identificatore di installazione, la versione e il numero di build di Windows.
Eventi di funnel — trial_started, trial_expired, nag_shown (è stato mostrato un promemoria di acquisto; al massimo un ping ogni 24 ore) e pricing_opened_from_app (Lei ha aperto una schermata prezzi/acquisto dall'app). Contengono solo l'identificatore di installazione e la versione del Software — nient'altro.

Questi ping non contengono audio di dettatura, né testo, né contenuti di chat, né nomi di file — nulla di ciò che Lei digita o dice lascia mai il Suo dispositivo. Può disattivare l'intero canale in qualsiasi momento con l'interruttore telemetria anonima nelle impostazioni del Software; finché è disattivato, non viene inviato alcun evento.

Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) — misurare installazioni e conversione del periodo di prova per poter mantenere, migliorare e prezzare in modo sostenibile il Software. Può opporsi (art. 21) in qualsiasi momento disattivando l'interruttore — senza necessità di alcuna e-mail.

(f) Segnalazioni automatiche di crash (tutti gli utenti, opt-out). Quando il Software subisce un crash o incontra un errore interno fatale, invia automaticamente una segnalazione diagnostica. Ciò vale per ogni installazione — gratuita e con licenza allo stesso modo — ed è attivo per impostazione predefinita; può disattivarlo in qualsiasi momento (v. sotto). Tale segnalazione ha la stessa struttura di contenuto e le stesse esclusioni della segnalazione con consenso «Segnala un problema» descritta nel §3.2(c) — contiene l'ID della segnalazione, la versione dell'app, il runtime .NET, la versione di Windows, il modello CPU/GPU, le impostazioni attive, le righe oscurate del registro eventi e lo stack trace dell'eccezione. Prima dell'invio, il livello di oscuramento rimuove i percorsi con nomi utente Windows e i percorsi noti delle cartelle del profilo utente (sostituendoli con segnaposto neutri come %LOCALAPPDATA%), sostituisce gli indirizzi e-mail con <email> e i GUID con <guid>, ed elimina qualsiasi riga di log che il Software abbia contrassegnato come contenuto utente. Le righe che contengono testo dettato, contenuti degli appunti o messaggi di chat non vengono mai raccolte.

Localmente viene calcolato un hash stabile dei frame superiori dello stack affinché il server possa deduplicare segnalazioni ripetute dello stesso crash, e il Software ricorda quali firme ha già inviato in modo che un singolo guasto ricorrente non sia segnalato due volte. Il Software limita inoltre le segnalazioni automatiche a 5 per dispositivo al giorno per difendersi da ondate da loop di crash.

Se possiede una licenza attiva, alleghiamo il relativo identificatore JWT (un valore opaco di 32 caratteri — non la chiave di licenza stessa) a ogni segnalazione automatica, affinché lo sviluppatore possa correlare gruppi di crash a versioni specifiche o clienti interessati e contattarLa per follow-up. Le segnalazioni provenienti da installazioni prive di licenza non recano alcun identificatore di licenza né altro identificatore di account.

Può disattivare le segnalazioni automatiche di crash in qualsiasi momento tramite la stessa casella di spunta «Condividi diagnostica anonima e segnalazioni di crash» nella finestra «Informazioni» citata nel §3.2(e) — quell'unico comando regola anche questo canale. La casella è attiva per impostazione predefinita perché il feedback rapido sui crash di produzione è ciò che consente a un piccolo team di individuare e correggere rapidamente i guasti per tutti; disattivarlo La riporta al flusso manuale «Segnala un problema».

Conserviamo le segnalazioni automatiche di crash per 30 giorni per il debug attivo, dopo di che il payload completo viene eliminato. I conteggi aggregati (numero di occorrenze di una determinata firma di stack, in quali versioni) sono conservati per 12 mesi per finalità di tracciamento delle regressioni; i dati aggregati non contengono informazioni identificative.

Base giuridica: legittimo interesse (art. 6, par. 1, lett. f GDPR) — qualità, sicurezza e stabilità del software. L'interruttore opt-out, l'oscuramento rigoroso, la breve conservazione e l'assenza di contenuto utente mantengono nel complesso il trattamento entro il test di bilanciamento del legittimo interesse.

4. Dati locali sul Suo dispositivo

Il Software memorizza sul Suo dispositivo, in %LOCALAPPDATA%\CommanderFlowApp\ (e nella sottocartella di dati utente %LOCALAPPDATA%\CommanderFlow\):

settings.json — Sue preferenze (lingua dell'interfaccia, scorciatoia, dispositivo audio, ecc.);
models/ — modelli di IA scaricati (~2 GB);
logs/ — file di registro Serilog con rotazione (conservazione 7 giorni; non contengono contenuti utente — solo eventi diagnostici ed errori);
license.dat — artefatto di fiducia di licenza cifrato DPAPI (solo in caso di licenza Pro).

La disinstallazione di Commander Flow rimuove i binari; può anche eliminare le cartelle dati di cui sopra per cancellare impostazioni, modelli e artefatto di licenza.

5. Subincaricati e destinatari dei dati

I seguenti soggetti trattano dati personali per nostro conto o in relazione al Software e al sito di marketing:

Subincaricato	Ruolo	Paese	Dati
Stripe Payments Europe, Ltd.	Elaborazione pagamenti e fiscalità (Stripe + Stripe Tax)	Irlanda (UE)	Dati carta, indirizzo di fatturazione, Paese di residenza — solo per acquisti
Time4VPS	Hosting VPS (`license.ptrs.ltd`, CDN modelli `commander-flow.pro`, mail server)	Lituania (UE)	Chiave di licenza, e-mail, impronta hardware, log dei download dei modelli, traffico mail
Google Ireland Ltd. (Google Analytics 4)	Analitica anonima del traffico del sito, solo con consenso ai cookie	Irlanda (UE) con possibile trasferimento ulteriore negli USA in base alla decisione di adeguatezza «EU-US Data Privacy Framework»	Identificatore client pseudonimo, URL della pagina, referrer, geolocalizzazione approssimata, metadati del browser
Google Ireland Ltd. (Google Ads)	Misurazione delle conversioni di acquisto («enhanced conversions» e reporting delle conversioni lato server), solo con consenso ai cookie di marketing	Irlanda (UE) con possibile trasferimento ulteriore negli USA in base alla decisione di adeguatezza «EU-US Data Privacy Framework»	E-mail dell'acquirente con hash SHA-256, identificatore del clic sull'annuncio, ID ordine, importo e valuta — solo per acquisti con consenso
Google Ireland Ltd. (Google Fonts)	Erogazione dei web font per il sito di marketing	Irlanda (UE) con possibile trasferimento negli USA	Indirizzo IP fornito dal browser (non conservato né collegato ad alcun account)

Le e-mail di attivazione e le altre e-mail transazionali sono inviate da un mail server self-hosted sul dominio commander-flow.pro, gestito sullo stesso VPS del backend licenze. Non viene utilizzato alcun fornitore esterno di e-mail marketing; nessuna terza parte riceve da noi il Suo indirizzo e-mail per tale finalità.

6. Termini di conservazione

Dati di licenza (chiave, e-mail, impronta, metadati di acquisto): conservati per la durata della Sua licenza più 24 mesi dalla scadenza, quindi cancellati salvo obbligo di conservazione fiscale (la legge fiscale polacca richiede di norma la conservazione delle fatture per 5 anni).
Log di accesso del server (CDN modelli, server licenze): conservati 30 giorni per sicurezza e debugging, poi cancellati.
Segnalazioni diagnostiche da Lei inviate: conservate 180 giorni per debugging, poi cancellate.
Eventi diagnostici anonimi (install/startup/update/uninstall, §3.2(e)): conservati 90 giorni.
Segnalazioni automatiche di crash (tutti gli utenti, §3.2(f)): payload completo conservato 30 giorni; conteggi aggregati per firma di stack conservati 12 mesi senza dati identificativi.
Log dell'applicazione sul Suo dispositivo: rotazione 7 giorni, interamente sotto il Suo controllo.

7. I Suoi diritti

Se è un interessato UE/SEE, dispone dei seguenti diritti ai sensi del GDPR:

Diritto di accesso (art. 15) — ottenere copia dei dati personali che La riguardano;
Diritto di rettifica (art. 16) — correggere dati inesatti;
Diritto alla cancellazione (art. 17) — «diritto all'oblio»;
Diritto di limitazione (art. 18);
Diritto alla portabilità (art. 20) — ricevere i Suoi dati in un formato strutturato e leggibile da macchina;
Diritto di opposizione (art. 21) — anche al trattamento basato sul legittimo interesse;
Diritto di revoca del consenso (art. 7) — per le segnalazioni diagnostiche basate sul consenso;
Diritto a non essere sottoposto a decisioni automatizzate (art. 22) — non effettuiamo tale trattamento.

Per esercitare uno di questi diritti scriva a inbox@commander-flow.pro. Risponderemo entro 30 giorni.

Ha inoltre diritto di proporre reclamo all'autorità polacca di controllo:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Varsavia, Polonia https://uodo.gov.pl +48 22 531 03 00

Se risiede in un altro Paese UE/SEE, può rivolgersi anche all'autorità locale.

8. Trasferimenti internazionali

L'intero trattamento connesso alle licenze avviene all'interno dell'Unione europea (VPS in Lituania, Stripe in Irlanda), e la telemetria anonima del ciclo di vita descritta al §3.2 (e) è ricevuta e conservata sullo stesso VPS lituano. Il sito di marketing integra Google Analytics 4, la misurazione delle conversioni Google Ads e Google Fonts; con il Suo consenso ai cookie analitici, i Suoi dati pseudonimi di interazione — e, con il Suo consenso ai cookie di marketing e il completamento di un acquisto, i dati di conversione con hash descritti al §10 — possono essere trasferiti da Google dall'Irlanda agli Stati Uniti. Il trasferimento si fonda sulla decisione di adeguatezza EU-US Data Privacy Framework adottata dalla Commissione europea il 10 luglio 2023, alla quale Google LLC è certificata. Non avvengono altri trasferimenti al di fuori del SEE.

9. Sicurezza

Il traffico verso il server licenze è cifrato in TLS;
Gli artefatti di fiducia sul Suo dispositivo sono protetti da Windows DPAPI legato al Suo account utente;
Il server licenze opera su VPS rinforzato con accesso SSH ristretto;
Stripe è conforme a PCI-DSS per tutto il trattamento delle carte;
Le segnalazioni diagnostiche sono firmate (HMAC) prima dell'invio per evitare manomissioni in transito.

10. Cookie e analitica del sito

Il sito di marketing commander-flow.pro utilizza cookie e il localStorage del Suo browser come segue:

Strettamente necessari (sempre attivi, nessun consenso richiesto, esenzione «strictly necessary» dell'art. 5(3) della Direttiva ePrivacy): memorizzazione della lingua scelta, archiviazione della Sua decisione sui cookie, chiusura del banner informativo. Nessun terzo li legge.
Analitica — Google Analytics 4 (solo con il Suo consenso): statistiche di traffico pseudonime. Stato predefinito «denied» tramite Google Consent Mode v2; fino al consenso, GA riceve solo ping anonimi senza cookie.
Marketing — misurazione delle conversioni Google Ads (solo con il Suo consenso): utilizzato esclusivamente per la misurazione degli acquisti descritta più avanti. Se Lei non acconsente, questa categoria resta disattivata e nessun dato viene inviato a Google a fini pubblicitari.

Misurazione degli acquisti («enhanced conversions»). Quando un acquisto si completa sul nostro sito e Lei ha acconsentito ai cookie di marketing, comunichiamo quella singola conversione a Google per poter misurare la nostra pubblicità:

l'indirizzo e-mail da Lei indicato al pagamento viene passato all'interfaccia dati utente gtag di Google, che ne calcola l'hash (SHA-256) prima dell'invio — Google riceve l'hash, mai l'indirizzo in chiaro;
possiamo inoltre comunicare l'acquisto a Google Ads lato server: l'identificatore del clic dell'annuncio che L'ha portata sul sito, l'ID ordine e l'importo pagato (con la valuta). Questa comunicazione lato server rispetta la stessa scelta di consenso ai cookie da Lei espressa nel banner.

Senza il Suo consenso marketing, nessun dato di acquisto viene inviato a Google.

Base giuridica: il Suo consenso (art. 6, par. 1, lett. a GDPR), prestato nel banner di consenso e revocabile in qualsiasi momento tramite il link «Impostazioni cookie» nel piè di pagina.

Può rivedere e modificare queste scelte in qualsiasi momento dal link «Impostazioni cookie» nel piè di pagina del sito, che riapre il banner di consenso. La revoca del consenso è semplice quanto la sua concessione.

11. Bambini

Commander Flow è uno strumento di produttività per adulti attivi e non è rivolto ai bambini. Non raccogliamo consapevolmente dati personali di minori al di sotto dell'età di consenso digitale applicabile nella loro giurisdizione (16 anni come soglia di base GDPR; alcuni Stati membri UE/SEE l'hanno abbassata a 13 anni). Se ritiene che un minore al di sotto di tale età ci abbia fornito dati personali, scriva a inbox@commander-flow.pro ed elimineremo i dati senza ingiustificato ritardo.

12. Modifiche alla presente Informativa

Se la presente Informativa cambia in modo sostanziale, la versione successiva del Software mostrerà il testo aggiornato e richiederà la Sua accettazione prima dell'esecuzione. Indichiamo versione e data in testa al documento ad ogni aggiornamento.

13. Contatti

E-mail: inbox@commander-flow.pro
Indirizzo postale: Peter's Engineering JDG, ul. KEN 19, 02-797 Varsavia, Polonia
Sito web: https://commander-flow.pro