Commander Flow — Polityka prywatności

Wersja 1.7 — 17 sierpnia 2026

Niniejszy dokument opisuje, w jaki sposób Commander Flow („Oprogramowanie") oraz jego wydawca przetwarzają Twoje dane osobowe. Zasada przewodnia: Twój głos i Twój tekst pozostają na Twoim urządzeniu. Wszystko, co mimo to opuszcza urządzenie, zostało wymienione poniżej prostym językiem, wraz ze wskazaniem podstawy prawnej przetwarzania.

1. Administrator danych

Administratorem danych osobowych w zakresie przetwarzania opisanego w niniejszej Polityce jest:

Peter's Engineering JDG (Piotr Bahdasaran, jednoosobowa działalność gospodarcza — przedsiębiorca jednoosobowy) NIP: 9512534689 ul. KEN 19, 02-797 Warszawa, Polska Kontakt w sprawach prywatności: inbox@commander-flow.pro

Oprogramowanie znajduje się poniżej progu, przy którym art. 37 RODO wymaga powołania Inspektora Ochrony Danych; administrator obsługuje zapytania dotyczące prywatności bezpośrednio przez powyższy adres e-mail.

2. Co obejmuje niniejsza Polityka

Polityka obejmuje (a) dane przetwarzane lokalnie na Twoim urządzeniu przez Oprogramowanie; (b) dane przesyłane przez Oprogramowanie przez sieć (pobieranie modeli, aktywacja licencji, anonimowa telemetria cyklu życia, dobrowolna diagnostyka, płatność); (c) dane, które otrzymujemy o Tobie jako kliencie poziomu Pro (klucz licencyjny, e-mail rozliczeniowy, metadane płatności); oraz (d) dane przetwarzane podczas przeglądania marketingowej strony internetowej commander-flow.pro (cookies, analityka — patrz §10).

3. Jakie dane przetwarzamy — i jakich NIE przetwarzamy

3.1 NIE przetwarzamy

Twojego dyktowanego tekstu
Twoich nagrań audio
Sygnału z Twojego mikrofonu
Zawartości Twojego schowka
Zawartości jakichkolwiek plików, które otwierasz lub edytujesz
Telemetrii zawierającej Twoje treści — jedyną telemetrią są anonimowe pingi cyklu życia opisane w §3.2 (e); nie zawierają one niczego, co wpisujesz lub mówisz, i możesz je wyłączyć

Pipeline przetwarzania głosu na tekst działa w pełni na urządzeniu. Audio jest przechwytywane, przetwarzane przez lokalne modele uczenia maszynowego, konwertowane na tekst i usuwane. Nic z tego nie opuszcza Twojego komputera.

3.2 Przetwarzamy następujące dane — według celów

(a) Aktywacja licencji i obsługa Pro. Przy zakupie lub aktywacji licencji Pro Oprogramowanie wysyła do naszego serwera licencji (license.ptrs.ltd):

Twój klucz licencyjny (wydany przez nas przy zakupie);
Twój adres e-mail (używany do aktywacji licencji);
Odcisk sprzętowy (skrót stabilnych identyfikatorów sprzętowych Twojego urządzenia — używany do powiązania licencji z jedną maszyną i wykrywania udostępniania licencji);
Wersję Oprogramowania.

W odpowiedzi wydajemy podpisany artefakt zaufania JWT, który jest przechowywany lokalnie na Twoim urządzeniu (zaszyfrowany przez DPAPI) i okresowo ponownie weryfikowany.

Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO) — niezbędne do świadczenia usługi Pro, którą zakupiłeś.

(b) Płatności. Zakupy poziomu Pro obsługuje Stripe Payments Europe, Ltd. („Stripe"). Przy zakupie Stripe zbiera dane niezbędne do przyjęcia płatności (dane karty, adres rozliczeniowy, kraj zamieszkania do naliczenia VAT). Zgodnie z opublikowanymi rolami Stripe występuje jako niezależny administrator danych dla celów zapobiegania oszustwom, AML i raportowania regulacyjnego, oraz jako administrator współny lub w roli procesora w odniesieniu do instrukcji płatniczych, które przekazujesz nam. Licencjodawca otrzymuje wyłącznie metadane płatności niezbędne do wystawienia faktury i wydania licencji: e-mail klienta, kraj zamieszkania, kwotę zapłaty, identyfikator klienta Stripe oraz identyfikator faktury. Polityka prywatności Stripe jest dostępna pod adresem https://stripe.com/privacy i stanowi uzupełniające ujawnienie w odniesieniu do przetwarzania po stronie Stripe.

Nie otrzymujemy ani nie przechowujemy pełnych numerów kart.

Podstawa prawna: wykonanie umowy (art. 6 ust. 1 lit. b RODO) oraz spełnianie obowiązków podatkowych (art. 6 ust. 1 lit. c RODO — polska procedura VAT-OSS).

(c) Raporty diagnostyczne (za zgodą). W przypadku wystąpienia problemu możesz wybrać wysłanie raportu diagnostycznego za pośrednictwem okna „Zgłoś problem" w aplikacji. Nic nie jest wysyłane, dopóki nie naciśniesz przycisku „Wyślij". Raport zawiera: wygenerowany identyfikator raportu, wersję aplikacji, wersję .NET runtime, wersję Windows, model CPU/GPU, aktywne ustawienia, ostatnie ~200 wpisów dziennika zdarzeń ze zredagowanymi ścieżkami oraz Twój opcjonalny komentarz. Raport nie zawiera dyktowanego tekstu, audio, poleceń głosowych, zaznaczonego tekstu, zawartości schowka, treści plików, e-maila, loginu, klucza licencyjnego ani innych danych uwierzytelniających.

Podstawa prawna: Twoja wyraźna zgoda (art. 6 ust. 1 lit. a RODO), wyrażona kliknięciem przycisku „Wyślij". Zgodę można w każdej chwili wycofać, po prostu nie wysyłając kolejnych raportów.

(d) Pobieranie modeli. Przy pierwszym uruchomieniu pliki modeli ML są pobierane przez HTTPS z commander-flow.pro (publiczny endpoint typu CDN). Na poziomie serwera logowane jest jedynie samo żądanie (adres IP, znacznik czasu, URL); żadne informacje konta nie są wiązane z tymi żądaniami.

Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — dostarczanie zainstalowanego przez Ciebie Oprogramowania.

(e) Anonimowa telemetria cyklu życia. Oprogramowanie wysyła do naszego serwera licencji (license.ptrs.ltd) niewielki zestaw pingów cyklu życia, abyśmy mogli policzyć instalacje i zobaczyć, na którym etapie okres próbny traci użytkowników:

Zdarzenia cyklu życia — jeden ping install, jeden ping update_applied przy zmianie zainstalowanej wersji, najwyżej jeden ping startup na 24 godziny oraz jeden ping uninstall. Zawierają one: losowy identyfikator instalacji (generowany lokalnie na Twoim urządzeniu — niewyprowadzany z Twojego sprzętu, e-maila ani żadnego konta), wersję Oprogramowania (plus poprzednią wersję przy aktualizacjach), numer kompilacji Windows, język interfejsu aplikacji oraz — wyłącznie dopóki na maszynie aktywna jest ważna licencja Pro — numer seryjny Twojego tokenu licencji, aby można było odróżnić instalacje licencjonowane od próbnych (dla użytkowników Pro ping staje się przez to pseudonimowy, a nie w pełni anonimowy). Ping deinstalacji zawiera wyłącznie identyfikator instalacji, wersję i numer kompilacji Windows.
Zdarzenia lejka — trial_started, trial_expired, nag_shown (wyświetlono przypomnienie o zakupie; najwyżej jeden ping na 24 godziny) oraz pricing_opened_from_app (otworzyłeś ekran cennika/zakupu z aplikacji). Zawierają one wyłącznie identyfikator instalacji i wersję Oprogramowania — nic więcej.

Pingi te nie zawierają żadnego audio dyktowania, żadnego tekstu, żadnej treści rozmów ani nazw plików — nic z tego, co wpisujesz lub mówisz, nigdy nie opuszcza Twojego urządzenia. Cały kanał możesz w każdej chwili wyłączyć przełącznikiem anonimowa telemetria w ustawieniach Oprogramowania; dopóki jest wyłączony, żadne zdarzenia nie są wysyłane.

Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — mierzenie instalacji i konwersji okresu próbnego, abyśmy mogli utrzymywać, ulepszać i rozsądnie wyceniać Oprogramowanie. W każdej chwili możesz wnieść sprzeciw (art. 21), wyłączając przełącznik — bez konieczności wysyłania e-maila.

(f) Automatyczne raporty o awariach (wszyscy użytkownicy, opt-out). Gdy Oprogramowanie ulega awarii lub napotyka wewnętrzny błąd krytyczny, automatycznie przesyła raport diagnostyczny. Dotyczy to każdej instalacji — zarówno bezpłatnej, jak i licencjonowanej — i jest domyślnie włączone; możesz to wyłączyć w dowolnej chwili (patrz niżej). Raport ma taki sam kształt zawartości i takie same wyłączenia jak opt-in raport „Zgłoś problem" opisany w §3.2(c) — zawiera identyfikator raportu, wersję aplikacji, .NET runtime, wersję Windows, model CPU/GPU, aktywne ustawienia, zredagowane wpisy dziennika zdarzeń oraz ślad stosu wyjątku. Przed przesłaniem warstwa redakcji usuwa ścieżki z nazwami użytkowników Windows oraz znane ścieżki folderów profilu użytkownika (zastępując je neutralnymi symbolami zastępczymi, takimi jak %LOCALAPPDATA%), zastępuje adresy e-mail wartością <email>, a identyfikatory GUID wartością <guid>, oraz odrzuca każdy wiersz dziennika oznaczony przez Oprogramowanie jako treść użytkownika. Wiersze zawierające podyktowany tekst, zawartość schowka lub wiadomości czatu nigdy nie są gromadzone.

Stabilny skrót górnych ramek stosu jest obliczany lokalnie, aby serwer mógł deduplikować powtarzające się raporty o tej samej awarii, a Oprogramowanie zapamiętuje, które sygnatury już wysłało, tak aby pojedyncza powtarzająca się usterka nie została zgłoszona dwukrotnie. Oprogramowanie ogranicza ponadto automatyczne raporty do 5 na urządzenie dziennie, aby zabezpieczyć się przed lawiną w pętlach awarii.

Jeśli posiadasz aktywną licencję, do każdego automatycznego raportu dołączamy jej identyfikator JWT (32-znakowa nieprzezroczysta wartość — nie sam klucz licencyjny), aby deweloper mógł powiązać klastry awarii z konkretnymi wersjami lub poszkodowanymi klientami i skontaktować się w celu dalszej obsługi. Raporty z instalacji bez licencji nie zawierają żadnego identyfikatora licencji ani żadnego innego uchwytu konta.

Automatyczne raporty o awariach możesz wyłączyć w dowolnej chwili za pomocą tego samego pola wyboru „Udostępniaj anonimową diagnostykę i raporty o awariach" w oknie „O programie", o którym mowa w §3.2(e) — ten jeden element sterujący obejmuje również ten kanał. Pole wyboru jest domyślnie włączone, ponieważ szybka informacja zwrotna o awariach produkcyjnych jest tym, co pozwala niewielkiemu zespołowi szybko znajdować i naprawiać usterki dla wszystkich; wyłączenie przywraca Cię do ręcznego przepływu „Zgłoś problem".

Automatyczne raporty o awariach przechowujemy przez 30 dni do aktywnego debugowania, po czym pełna treść jest usuwana. Zagregowane liczniki (liczba wystąpień danej sygnatury stosu, w których wersjach) są przechowywane przez 12 miesięcy do celów śledzenia regresji; dane zagregowane nie zawierają informacji identyfikujących.

Podstawa prawna: prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) — jakość oprogramowania, bezpieczeństwo i stabilność. Przełącznik opt-out, ścisła redakcja, krótkie okresy przechowywania i brak treści użytkownika razem utrzymują przetwarzanie w granicach testu wyważania prawnie uzasadnionego interesu.

4. Dane lokalne na Twoim urządzeniu

Oprogramowanie przechowuje na Twoim urządzeniu, w katalogu %LOCALAPPDATA%\CommanderFlowApp\ (a dane użytkownika w %LOCALAPPDATA%\CommanderFlow\):

settings.json — Twoje preferencje (język interfejsu, skrót klawiszowy, urządzenie audio itp.);
models/ — pobrane modele AI (~2 GB);
logs/ — pliki dziennika Serilog z rotacją (przechowywane 7 dni; nie zawierają treści użytkownika — tylko zdarzenia diagnostyczne i błędy);
license.dat — zaszyfrowany przez DPAPI artefakt zaufania licencji (tylko gdy posiadasz licencję Pro).

Odinstalowanie Commander Flow usuwa pliki binarne aplikacji; możesz także usunąć powyższe katalogi danych, aby usunąć ustawienia, modele i artefakt licencji.

5. Subprocesorzy i odbiorcy danych

Następujące podmioty przetwarzają dane osobowe w naszym imieniu lub w związku z Oprogramowaniem i marketingową stroną internetową:

Subprocesor	Rola	Kraj	Dane
Stripe Payments Europe, Ltd.	Obsługa płatności i podatków (Stripe + Stripe Tax)	Irlandia (UE)	Dane karty, adres rozliczeniowy, kraj zamieszkania — tylko przy zakupie
Time4VPS	Hosting VPS (`license.ptrs.ltd`, CDN modeli `commander-flow.pro`, serwer pocztowy)	Litwa (UE)	Klucz licencyjny, e-mail, odcisk sprzętowy, logi żądań pobierania modeli, ruch pocztowy
Google Ireland Ltd. (Google Analytics 4)	Anonimowa analityka ruchu na stronie, wyłącznie po zgodzie cookies	Irlandia (UE) z możliwym dalszym przekazaniem do USA na podstawie decyzji o adekwatności „EU-US Data Privacy Framework"	Pseudonimowy identyfikator klienta, URL strony, źródło wejścia, przybliżona lokalizacja, metadane przeglądarki
Google Ireland Ltd. (Google Ads)	Pomiar konwersji zakupowych („enhanced conversions" oraz raportowanie konwersji po stronie serwera), wyłącznie po zgodzie na cookies marketingowe	Irlandia (UE) z możliwym dalszym przekazaniem do USA na podstawie decyzji o adekwatności „EU-US Data Privacy Framework"	E-mail kupującego zahaszowany SHA-256, identyfikator kliknięcia reklamy, identyfikator zamówienia, kwota i waluta — wyłącznie dla zakupów objętych zgodą
Google Ireland Ltd. (Google Fonts)	Dostarczanie fontów internetowych dla strony marketingowej	Irlandia (UE) z możliwym dalszym przekazaniem do USA	Adres IP przeglądarki (nie jest przechowywany ani powiązany z żadnym kontem)

Wiadomości aktywacyjne i inne wiadomości transakcyjne wysyłane są z własnego serwera pocztowego w domenie commander-flow.pro, zlokalizowanego na tym samym VPS co backend licencyjny. Nie korzystamy z zewnętrznego dostawcy e-mail marketingu; żadna osoba trzecia nie otrzymuje od nas Twojego adresu e-mail w tym celu.

6. Okresy przechowywania

Dane licencyjne (klucz licencyjny, e-mail, odcisk sprzętowy, metadane zakupu): przechowywane przez okres trwania licencji plus 24 miesiące po jej wygaśnięciu, po czym są usuwane, chyba że przechowywanie jest wymagane przez prawo podatkowe (polskie prawo podatkowe zwykle wymaga przechowywania faktur przez 5 lat).
Logi dostępu serwera (CDN modeli, serwer licencyjny): przechowywane 30 dni dla bezpieczeństwa i debugowania, następnie usuwane.
Wysłane przez Ciebie raporty diagnostyczne: przechowywane 180 dni dla celów debugowania, następnie usuwane.
Anonimowe zdarzenia diagnostyczne (install/startup/update/uninstall, §3.2(e)): przechowywane 90 dni.
Automatyczne raporty o awariach (wszyscy użytkownicy, §3.2(f)): pełna treść przechowywana 30 dni; zagregowane liczniki sygnatur stosu przechowywane 12 miesięcy bez danych identyfikujących.
Logi aplikacji na Twoim urządzeniu: rotacja 7 dni, w pełni pod Twoją kontrolą.

7. Twoje prawa

Jeżeli jesteś podmiotem danych z UE/EOG, przysługują Ci następujące prawa zgodnie z RODO:

Prawo dostępu (art. 15) — uzyskania kopii Twoich danych osobowych, które przechowujemy;
Prawo do sprostowania (art. 16) — poprawienia nieprawidłowych danych;
Prawo do usunięcia (art. 17) — „prawo do bycia zapomnianym";
Prawo do ograniczenia przetwarzania (art. 18);
Prawo do przenoszenia danych (art. 20) — otrzymania Twoich danych w ustrukturyzowanym, nadającym się do odczytu maszynowego formacie;
Prawo do sprzeciwu (art. 21) — w tym sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu;
Prawo do wycofania zgody (art. 7) — w odniesieniu do raportów diagnostycznych wysyłanych za zgodą;
Prawo do niepodlegania zautomatyzowanemu podejmowaniu decyzji (art. 22) — nie prowadzimy takiego przetwarzania.

Aby skorzystać z któregokolwiek z tych praw, skontaktuj się pod adresem inbox@commander-flow.pro. Odpowiemy w terminie 30 dni.

Masz również prawo wniesienia skargi do polskiego organu nadzorczego ds. ochrony danych:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Warszawa https://uodo.gov.pl +48 22 531 03 00

Jeżeli mieszkasz w innym państwie UE/EOG, możesz również wnieść skargę do swojego lokalnego organu nadzorczego.

8. Przekazywanie międzynarodowe

Całe przetwarzanie związane z licencjami odbywa się w obrębie Unii Europejskiej (VPS na Litwie, Stripe w Irlandii), a anonimowa telemetria cyklu życia opisana w §3.2 (e) jest odbierana i przechowywana na tym samym litewskim VPS. Marketingowa strona internetowa integruje Google Analytics 4, pomiar konwersji Google Ads oraz Google Fonts; w przypadku Twojej zgody na cookies analityczne pseudonimowe dane interakcji — a w przypadku Twojej zgody na cookies marketingowe i dokonania zakupu także zahaszowane dane konwersji opisane w §10 — mogą zostać dalej przekazane przez Google z Irlandii do Stanów Zjednoczonych. To przekazanie odbywa się na podstawie EU-US Data Privacy Framework — decyzji o adekwatności przyjętej przez Komisję Europejską w dniu 10 lipca 2023 roku, w ramach której Google LLC posiada certyfikat. Inne przekazania poza EOG nie mają miejsca.

9. Bezpieczeństwo

Ruch do serwera licencji jest szyfrowany TLS;
Artefakty zaufania licencji na Twoim urządzeniu są chronione przez Windows DPAPI powiązany z Twoim kontem użytkownika;
Serwer licencji działa na utwardzonym VPS z ograniczonym dostępem SSH;
Stripe spełnia wymagania PCI-DSS w zakresie obsługi danych kartowych;
Raporty diagnostyczne są podpisywane HMAC przed przesłaniem, aby zapobiec modyfikacjom w trasie.

10. Cookies i analityka strony

Marketingowa strona commander-flow.pro wykorzystuje cookies oraz localStorage Twojej przeglądarki w następujący sposób:

Niezbędne (zawsze włączone, brak wymogu zgody, wyłączenie zgodne z art. 5 ust. 3 dyrektywy ePrivacy „strictly necessary"): zapamiętanie wybranego przez Ciebie języka, zapisanie Twojej decyzji dotyczącej zgody na cookies, ukrycie banera ogłoszeniowego. Strony trzecie ich nie odczytują.
Analityczne — Google Analytics 4 (wyłącznie za Twoją zgodą): pseudonimowa statystyka ruchu. Domyślny stan to „denied" za pośrednictwem Google Consent Mode v2; do momentu wyrażenia przez Ciebie zgody GA otrzymuje wyłącznie anonimowe pingi bez cookies.
Marketing — pomiar konwersji Google Ads (wyłącznie za Twoją zgodą): wykorzystywany wyłącznie do opisanego poniżej pomiaru zakupów. Jeżeli nie wyrazisz zgody, ta kategoria pozostaje wyłączona i żadne dane nie są wysyłane do Google w celach reklamowych.

Pomiar zakupów („enhanced conversions"). Gdy na naszej stronie zostanie sfinalizowany zakup i wyraziłeś zgodę na cookies marketingowe, zgłaszamy tę pojedynczą konwersję do Google, aby można było zmierzyć skuteczność naszych reklam:

Twój adres e-mail z płatności jest przekazywany do interfejsu danych użytkownika gtag Google, który haszuje go (SHA-256) przed wysłaniem — Google otrzymuje skrót, nigdy jawny adres;
możemy dodatkowo zgłosić zakup do Google Ads po stronie serwera: identyfikator kliknięcia reklamy, która przyprowadziła Cię na stronę, identyfikator zamówienia oraz zapłaconą kwotę (wraz z walutą). To zgłoszenie po stronie serwera respektuje ten sam wybór zgody cookies, którego dokonałeś w banerze.

Bez Twojej zgody marketingowej żadne dane o zakupie nie są wysyłane do Google.

Podstawa prawna: Twoja zgoda (art. 6 ust. 1 lit. a RODO), wyrażona w banerze zgody i możliwa do wycofania w każdej chwili poprzez link „Ustawienia cookies" w stopce strony.

W każdej chwili możesz przejrzeć i zmienić te wybory poprzez link „Ustawienia cookies" w stopce strony, który ponownie otwiera baner zgody. Wycofanie zgody jest tak proste, jak jej wyrażenie.

11. Dzieci

Commander Flow jest narzędziem produktywności dla dorosłych użytkowników zawodowych i nie jest skierowane do dzieci. Świadomie nie zbieramy danych osobowych dzieci poniżej wieku cyfrowej zgody obowiązującego w ich jurysdykcji (16 lat w wartości bazowej RODO; niektóre państwa członkowskie UE/EOG obniżyły go do 13 lat). Jeżeli sądzisz, że dziecko poniżej tego wieku przekazało nam dane osobowe, skontaktuj się pod adresem inbox@commander-flow.pro, a my usuniemy te dane bez nieuzasadnionej zwłoki.

12. Zmiany niniejszej Polityki

Jeżeli niniejsza Polityka prywatności ulegnie istotnej zmianie, kolejna wersja Oprogramowania wyświetli zaktualizowany tekst i będzie wymagała Twojej akceptacji przed uruchomieniem. Wersję i datę dokumentu wskazano w jego nagłówku i są one aktualizowane przy każdej zmianie.

13. Kontakt

E-mail: inbox@commander-flow.pro
Adres pocztowy: Peter's Engineering JDG, ul. KEN 19, 02-797 Warszawa, Polska
Strona: https://commander-flow.pro