@cr0n0s gracias a tu comentario me picó la curiosidad y por lo que veo funciona de forma muy similar a docker encapsulado la aplicación y todas sus dependencias para que no tengan acceso al sistema o a lo que tú le digas.
Por lo que he visto, hasta en el Discover de kde aparecen paquetes flatpak (nunca lo uso, soy de la vieja escuela y uso la terminal para todo lo que puedo) y los paquetes flatpak ya están instalados sin que yo conscientemente los haya instalado.
Lo voy a probar a ver qué tal
Muchas gracias 👍