Commander Flow — Política de Privacidade

Versão 1.7 — 17 de agosto de 2026

O presente documento descreve o modo como o Commander Flow («o Software») e o seu editor procedem ao tratamento dos dados pessoais de V. Exa. Princípio orientador: a sua voz e o seu texto permanecem no seu dispositivo. Tudo o que efetivamente sai do dispositivo encontra-se enumerado infra, em linguagem clara e com indicação da base jurídica do tratamento.

Esta versão em português é facultada por mera conveniência. Em caso de divergência, prevalecem as versões inglesa e polaca.

1. Responsável pelo tratamento

O responsável pelo tratamento descrito na presente Política é:

Peter's Engineering JDG (Piotr Bahdasaran, empresário em nome individual — przedsiębiorca jednoosobowy) NIP: 9512534689 ul. KEN 19, 02-797 Varsóvia, Polónia Contacto para privacidade: inbox@commander-flow.pro

O Software situa-se abaixo do limiar a partir do qual o artigo 37.º do RGPD impõe a designação de um Encarregado da Proteção de Dados; o responsável pelo tratamento atende diretamente as solicitações em matéria de privacidade através do correio eletrónico indicado supra.

2. Âmbito da presente Política

A presente Política abrange: (a) os dados tratados localmente no dispositivo de V. Exa. pelo Software; (b) os dados enviados pelo Software através da rede (descarregamento de modelos, ativação de licença, telemetria anónima de ciclo de vida, diagnósticos por opção, pagamento); (c) os dados que recebemos sobre V. Exa. enquanto cliente do nível Pro (chave de licença, correio eletrónico de faturação, metadados de pagamento); e (d) os dados tratados ao navegar no sítio promocional commander-flow.pro (cookies, analítica — ver §10).

3. Dados que tratamos — e dados que não tratamos

3.1 Não tratamos

O texto que V. Exa. dita
As suas gravações áudio
O sinal do seu microfone
O conteúdo da sua área de transferência
O conteúdo dos ficheiros que V. Exa. abre ou edita
Telemetria que contenha o conteúdo de V. Exa. — a única telemetria são os pings anónimos de ciclo de vida descritos na alínea (e) do §3.2; não contêm nada do que V. Exa. escreve ou dita, e V. Exa. pode desativá-los

O fluxo de voz para texto é executado integralmente no dispositivo. O áudio é captado, processado por modelos de aprendizagem automática locais, convertido em texto e descartado. Nada sai do computador de V. Exa. neste fluxo.

3.2 Tratamos os seguintes dados — categorizados por finalidade

(a) Ativação de licença e serviço Pro. Quando V. Exa. adquire ou ativa uma licença Pro, o Software envia para o nosso servidor de licenças (license.ptrs.ltd):

a sua chave de licença (emitida por nós no momento da compra);
o seu endereço de correio eletrónico (utilizado para ativar a licença);
uma impressão digital de hardware (uma resumo criptográfico de identificadores estáveis de hardware do seu dispositivo — utilizada para vincular a licença a uma máquina e para detetar a partilha de licenças);
a versão do Software.

Em contrapartida, emitimos um artefacto de confiança JWT assinado, que é armazenado localmente no dispositivo de V. Exa. (cifrado com DPAPI) e revalidado periodicamente.

Base jurídica: execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD) — necessário para prestar o serviço Pro adquirido por V. Exa.

(b) Processamento de pagamentos. As compras do nível Pro são geridas pela Stripe Payments Europe, Ltd. («Stripe»). No momento da compra, a Stripe recolhe os dados necessários para receber o pagamento (dados do cartão, endereço de faturação, país de residência para cálculo do IVA). Nos termos dos papéis publicados pela Stripe, esta atua como responsável independente pelo tratamento para efeitos de prevenção de fraude, combate ao branqueamento de capitais e comunicação regulamentar, e como co-responsável ou subcontratante de facto quanto às instruções de pagamento que V. Exa. nos transmite. O Licenciante recebe apenas os metadados de pagamento necessários para emitir a fatura e a licença: correio eletrónico do cliente, país de residência, montante pago, identificador de cliente Stripe e identificador da fatura. A política de privacidade da Stripe está disponível em https://stripe.com/privacy e constitui uma divulgação complementar para o tratamento efetuado pela Stripe.

Não recebemos nem armazenamos números de cartão completos.

Base jurídica: execução do contrato (artigo 6.º, n.º 1, alínea b), do RGPD) e cumprimento de obrigações fiscais (artigo 6.º, n.º 1, alínea c), do RGPD — VAT-OSS polaco).

(c) Relatórios de diagnóstico (por opção). Caso ocorra um problema, V. Exa. pode optar por enviar um relatório de diagnóstico através da caixa de diálogo «Comunicar um problema» da aplicação. Nada é enviado enquanto V. Exa. não pressionar o botão Enviar. O relatório contém: um identificador de relatório gerado, a versão da aplicação, a versão do runtime .NET, a versão do Windows, o modelo de CPU/GPU, as definições ativas, as últimas ~200 linhas redigidas do registo de eventos e a sua nota de texto livre, opcional. O relatório exclui texto ditado, áudio, comandos de voz, texto selecionado, conteúdo da área de transferência, conteúdo de ficheiros, correio eletrónico, credenciais, chave de licença e quaisquer credenciais de conta.

Base jurídica: o seu consentimento expresso (artigo 6.º, n.º 1, alínea a), do RGPD), prestado ao premir Enviar. V. Exa. pode retirar o consentimento a qualquer momento simplesmente não enviando mais relatórios.

(d) Descarregamento de modelos. No primeiro arranque, os ficheiros dos modelos de IA são descarregados via HTTPS a partir de commander-flow.pro (ponto de distribuição público de tipo CDN). É registado a nível do servidor apenas o próprio pedido (endereço IP, carimbo temporal, URL); nenhuma informação de conta é associada a estes pedidos.

Base jurídica: interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) — entrega do Software que V. Exa. instalou.

(e) Telemetria anónima de ciclo de vida. O Software envia um pequeno conjunto de pings de ciclo de vida para o nosso servidor de licenças (license.ptrs.ltd), para que possamos contar as instalações e perceber em que ponto o período de avaliação perde utilizadores:

Eventos de ciclo de vida — um ping install, um ping update_applied quando a versão instalada muda, no máximo um ping startup por cada 24 horas e um ping uninstall. Estes pings transportam: um identificador de instalação aleatório (gerado localmente no dispositivo de V. Exa. — não derivado do seu hardware, do seu correio eletrónico nem de qualquer conta), a versão do Software (acrescida da versão anterior, no caso das atualizações), o número de compilação do Windows, o idioma da interface da aplicação e — apenas enquanto estiver ativa na máquina uma licença Pro válida — o número de série do token de licença de V. Exa., de modo a distinguir as instalações licenciadas das instalações em avaliação (para os utilizadores Pro, isto torna o ping pseudonimizado, e não totalmente anónimo). O ping de desinstalação transporta apenas o identificador de instalação, a versão e o número de compilação do Windows.
Eventos de funil — trial_started, trial_expired, nag_shown (foi apresentado um lembrete de compra; no máximo um ping por cada 24 horas) e pricing_opened_from_app (V. Exa. abriu um ecrã de preços/compra a partir da aplicação). Estes pings transportam apenas o identificador de instalação e a versão do Software — nada mais.

Estes pings não contêm áudio de ditado, texto, conteúdo de conversas nem nomes de ficheiros — nada do que V. Exa. escreve ou dita sai alguma vez do seu dispositivo. V. Exa. pode desativar todo o canal a qualquer momento através do interruptor telemetria anónima nas definições do Software; enquanto estiver desativado, não é enviado qualquer evento.

Base jurídica: interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) — medição das instalações e da conversão do período de avaliação, para podermos manter, melhorar e fixar preços sustentáveis para o Software. V. Exa. pode opor-se (artigo 21.º) a qualquer momento, desativando o interruptor — sem necessidade de qualquer correio eletrónico.

(f) Relatórios automáticos de falhas (todos os utilizadores, opt-out). Quando o Software sofre uma falha ou encontra um erro interno fatal, submete automaticamente um relatório de diagnóstico. Isto aplica-se a todas as instalações — gratuitas e licenciadas por igual — e encontra-se ativado por defeito; V. Exa. pode desativá-lo a qualquer momento (ver infra). Este relatório tem a mesma estrutura de conteúdo e as mesmas exclusões que o relatório por opção «Comunicar um problema» descrito no §3.2(c) — contém o identificador do relatório, a versão da aplicação, o runtime .NET, a versão do Windows, o modelo de CPU/GPU, as definições ativas, as linhas redigidas do registo de eventos e o rastreio de pilha da exceção. Antes da submissão, a camada de redação remove caminhos com nomes de utilizador do Windows e caminhos conhecidos de pastas do perfil do utilizador (substituindo-os por marcadores neutros como %LOCALAPPDATA%), substitui endereços de correio eletrónico por <email> e os GUIDs por <guid>, e descarta qualquer linha de registo que o Software tenha marcado como conteúdo do utilizador. As linhas que contêm texto ditado, conteúdo da área de transferência ou mensagens de conversa nunca são recolhidas.

É calculado localmente um resumo criptográfico estável dos quadros superiores da pilha para que o servidor possa deduplicar relatórios repetidos da mesma falha, e o Software recorda quais assinaturas já enviou, de modo que uma única falha recorrente não seja comunicada duas vezes. O Software limita ainda os relatórios automáticos a 5 por dispositivo por dia para se defender de inundações provocadas por ciclos de falhas.

Caso V. Exa. seja titular de uma licença ativa, associamos o respetivo identificador JWT (um valor opaco com 32 caracteres — não a chave de licença em si) a cada relatório automático, para que o programador possa correlacionar agrupamentos de falhas com versões específicas ou clientes afetados e estabelecer contacto de acompanhamento. Os relatórios provenientes de instalações sem licença não contêm qualquer identificador de licença nem outro identificador de conta.

V. Exa. pode desativar os relatórios automáticos de falhas a qualquer momento através da mesma caixa de seleção «Partilhar diagnósticos anónimos e relatórios de falhas» na janela «Acerca» referida no §3.2(e) — esse único controlo rege também este canal. A caixa de seleção encontra-se ativada por defeito porque o retorno rápido sobre falhas em produção é o que permite a uma equipa pequena encontrar e corrigir falhas com rapidez para todos; desativá-lo conduz V. Exa. de novo ao fluxo manual «Comunicar um problema».

Conservamos os relatórios automáticos de falhas durante 30 dias para depuração ativa, sendo depois eliminada a carga útil completa. As contagens agregadas (número de vezes em que uma dada assinatura de pilha ocorreu, em que versões) são conservadas durante 12 meses para fins de acompanhamento de regressões; os dados agregados não contêm informação identificadora.

Base jurídica: interesse legítimo (artigo 6.º, n.º 1, alínea f), do RGPD) — qualidade, segurança e estabilidade do software. O interruptor de opt-out, a redação rigorosa, a conservação curta e a inexistência de conteúdo do utilizador mantêm, em conjunto, o tratamento dentro do teste de ponderação do interesse legítimo.

4. Dados locais no seu dispositivo

O Software armazena os seguintes dados localmente, em %LOCALAPPDATA%\CommanderFlowApp\ (e na subpasta de dados de utilizador %LOCALAPPDATA%\CommanderFlow\):

settings.json — as suas preferências (idioma da interface, atalho, dispositivo de áudio, etc.);
models/ — modelos de IA descarregados (~2 GB);
logs/ — ficheiros de registo Serilog rotativos (retenção de 7 dias; não é registado qualquer conteúdo do utilizador — apenas eventos de diagnóstico e erros);
license.dat — artefacto de confiança da licença cifrado por DPAPI (apenas se V. Exa. for titular de uma licença Pro).

A desinstalação do Commander Flow remove os binários da aplicação; V. Exa. pode também eliminar as pastas de dados acima indicadas para remover as suas definições, modelos e artefacto de licença.

5. Subcontratantes e destinatários dos dados

As seguintes partes procedem ao tratamento de dados pessoais por nossa conta ou em conexão com o Software e o sítio promocional:

Subcontratante	Função	País	Dados
Stripe Payments Europe, Ltd.	Processamento de pagamentos e impostos (Stripe + Stripe Tax)	Irlanda (UE)	Dados de cartão, endereço de faturação, país de residência — apenas para compras
Time4VPS	Alojamento VPS (`license.ptrs.ltd`, CDN de modelos `commander-flow.pro`, servidor de correio)	Lituânia (UE)	Chave de licença, correio eletrónico, impressão digital de hardware, registos de pedidos de descarregamento de modelos, tráfego de correio
Google Ireland Ltd. (Google Analytics 4)	Analítica anónima de tráfego do sítio, apenas com consentimento de cookies	Irlanda (UE) com transferência subsequente para os Estados Unidos da América ao abrigo da decisão de adequação do Quadro UE-EUA de Privacidade dos Dados	Identificador pseudonimizado de cliente, URL da página, referenciador, geolocalização aproximada, metadados do navegador
Google Ireland Ltd. (Google Ads)	Medição de conversões de compra («enhanced conversions» e comunicação de conversões do lado do servidor), apenas com consentimento de cookies de marketing	Irlanda (UE) com transferência subsequente para os Estados Unidos da América ao abrigo da decisão de adequação do Quadro UE-EUA de Privacidade dos Dados	Correio eletrónico do comprador com resumo criptográfico SHA-256, identificador de clique no anúncio, identificador de encomenda, montante e moeda — apenas para compras com consentimento
Google Ireland Ltd. (Google Fonts)	Distribuição de tipos de letra para o sítio promocional	Irlanda (UE) com possível transferência subsequente para os Estados Unidos da América	Endereço IP fornecido pelo navegador (não armazenado nem correlacionado com qualquer conta)

Os correios eletrónicos de ativação e outros correios eletrónicos transacionais são expedidos a partir de um servidor de correio auto-alojado no domínio commander-flow.pro, operado no mesmo VPS que o backend de licenças. Não é utilizado qualquer fornecedor externo de marketing por correio eletrónico; nenhum terceiro recebe da nossa parte o seu endereço de correio eletrónico para essa finalidade.

6. Conservação dos dados

Registos de licença (chave de licença, correio eletrónico, impressão digital, metadados de compra): conservados durante o período de vida da licença acrescido de 24 meses após a sua caducidade, sendo posteriormente eliminados, salvo se a sua conservação for exigida por lei fiscal (a lei fiscal polaca exige habitualmente a conservação de faturas durante 5 anos).
Registos de acesso ao servidor (CDN de modelos, servidor de licenças): conservados durante 30 dias para fins de segurança e depuração e, em seguida, eliminados.
Relatórios de diagnóstico que V. Exa. tenha optado por enviar: conservados durante 180 dias para fins de depuração e, em seguida, eliminados.
Eventos anónimos de diagnóstico (install/startup/update/uninstall, §3.2(e)): conservados durante 90 dias.
Relatórios automáticos de falhas (todos os utilizadores, §3.2(f)): carga útil completa conservada durante 30 dias; contagens agregadas por assinatura de pilha conservadas durante 12 meses, sem dados identificadores.
Registos da aplicação no seu dispositivo: retenção rotativa de 7 dias, integralmente sob o seu controlo.

7. Os seus direitos

Caso V. Exa. seja titular de dados na UE/EEE, dispõe dos seguintes direitos ao abrigo do RGPD:

Direito de acesso (artigo 15.º) — obter cópia dos dados pessoais que detemos sobre si;
Direito de retificação (artigo 16.º) — corrigir dados inexatos;
Direito ao apagamento (artigo 17.º) — «direito a ser esquecido»;
Direito à limitação do tratamento (artigo 18.º);
Direito de portabilidade dos dados (artigo 20.º) — receber os seus dados num formato estruturado e legível por máquina;
Direito de oposição (artigo 21.º) — incluindo a oposição ao tratamento fundado em interesses legítimos;
Direito de retirada do consentimento (artigo 7.º) — para os relatórios de diagnóstico por opção;
Direito a não ficar sujeito a decisões automatizadas (artigo 22.º) — não realizamos esse tipo de tratamento.

Para exercer qualquer destes direitos, contacte inbox@commander-flow.pro. Responderemos no prazo de 30 dias.

V. Exa. tem ainda o direito de apresentar reclamação à autoridade polaca de controlo da proteção de dados:

Prezes Urzędu Ochrony Danych Osobowych (UODO) ul. Stawki 2, 00-193 Varsóvia, Polónia https://uodo.gov.pl +48 22 531 03 00

Caso resida noutro país da UE/EEE, pode também apresentar reclamação junto da sua autoridade de controlo local. Em Portugal, a autoridade competente é a Comissão Nacional de Proteção de Dados (CNPD) (https://www.cnpd.pt).

8. Transferências internacionais

Todo o tratamento relacionado com licenças é realizado dentro da União Europeia (VPS na Lituânia, Stripe na Irlanda), e a telemetria anónima de ciclo de vida descrita na alínea (e) do §3.2 é recebida e armazenada no mesmo VPS lituano. O sítio promocional integra o Google Analytics 4, a medição de conversões do Google Ads e o Google Fonts; quando V. Exa. consente em cookies de analítica, os seus dados de interação pseudonimizados — e, quando V. Exa. consente em cookies de marketing e conclui uma compra, os dados de conversão com resumo criptográfico descritos no §10 — podem ser objeto de transferência subsequente pela Google da Irlanda para os Estados Unidos da América. Esta transferência assenta na decisão de adequação do Quadro UE-EUA de Privacidade dos Dados adotada pela Comissão Europeia em 10 de julho de 2023, ao abrigo da qual a Google LLC se encontra certificada. Não ocorrem outras transferências para fora do EEE.

9. Segurança

O tráfego com o servidor de licenças é cifrado através de TLS;
Os artefactos de confiança da licença no seu dispositivo estão protegidos pelo Windows DPAPI vinculado à sua conta de utilizador;
O servidor de licenças funciona num VPS endurecido, com acesso SSH restrito;
A Stripe é compatível com PCI-DSS para todo o tratamento de dados de cartão;
Os relatórios de diagnóstico são assinados (HMAC) antes da submissão para impedir adulterações em trânsito.

10. Cookies e analítica do sítio web

O sítio promocional commander-flow.pro utiliza cookies e o localStorage do seu navegador do seguinte modo:

Estritamente necessários (sempre ativos, sem consentimento exigido, isenção «estritamente necessários» do artigo 5.º, n.º 3, da Diretiva Privacidade Eletrónica): memorizam o idioma escolhido, guardam a sua decisão sobre cookies, descartam o aviso de novidades. Nenhum terceiro lê estes cookies.
Analítica — Google Analytics 4 (apenas com o seu consentimento): estatísticas de tráfego pseudonimizadas. O estado por defeito é «recusado» através do Google Consent Mode v2; o GA recebe apenas pings anónimos e sem cookies enquanto V. Exa. não consentir.
Marketing — medição de conversões do Google Ads (apenas com o seu consentimento): utilizado exclusivamente para a medição de compras descrita infra. Se V. Exa. não consentir, esta categoria permanece desativada e não é enviado qualquer dado à Google para fins publicitários.

Medição de compras («enhanced conversions»). Quando uma compra é concluída no nosso sítio web e V. Exa. consentiu em cookies de marketing, comunicamos essa única conversão à Google, para que a nossa publicidade possa ser medida:

o endereço de correio eletrónico indicado por V. Exa. no pagamento é passado à interface de dados de utilizador gtag da Google, que lhe aplica um resumo criptográfico (SHA-256) antes do envio — a Google recebe o resumo criptográfico, nunca o endereço em claro;
podemos adicionalmente comunicar a compra ao Google Ads do lado do servidor: o identificador de clique do anúncio que trouxe V. Exa. ao sítio, o identificador de encomenda e o montante pago (com a moeda). Esta comunicação do lado do servidor respeita a mesma escolha de consentimento de cookies que V. Exa. fez no aviso de cookies.

Sem o consentimento de marketing de V. Exa., não é enviado à Google qualquer dado de compra.

Base jurídica: o consentimento de V. Exa. (artigo 6.º, n.º 1, alínea a), do RGPD), prestado no aviso de consentimento e que pode ser retirado a qualquer momento através da hiperligação «Definições de cookies» no rodapé do sítio.

V. Exa. pode rever e alterar estas escolhas a qualquer momento através da hiperligação «Definições de cookies» no rodapé do sítio, que volta a abrir o aviso de consentimento. Retirar o consentimento é tão simples como prestá-lo.

11. Crianças

O Commander Flow é uma ferramenta de produtividade para adultos em atividade e não se dirige a crianças. Não recolhemos conscientemente dados pessoais de crianças com idade inferior à idade de consentimento digital aplicável na sua jurisdição (16 anos, na linha de base do RGPD; alguns Estados-Membros da UE/EEE reduziram-na a 13 anos). Se V. Exa. considerar que uma criança abaixo dessa idade nos forneceu dados pessoais, contacte inbox@commander-flow.pro e eliminaremos os dados sem demora injustificada.

12. Alterações à presente Política

Caso a presente Política de Privacidade sofra alterações substanciais, a versão seguinte do Software apresentará o texto atualizado e exigirá a sua aceitação antes da execução. Indicaremos a versão e a data no topo do documento em cada atualização.

13. Contacto

Correio eletrónico: inbox@commander-flow.pro
Endereço postal: Peter's Engineering JDG, ul. KEN 19, 02-797 Varsóvia, Polónia
Sítio web: https://commander-flow.pro