接收的文件默认保存在手机本地 Potato 应用的私有目录中，离线可直接访问，且经过应用沙箱保护。若开启云端备份或同步，文件会经端到端加密上传至云端存储，只有授权设备可以解密查看。传输层使用 TLS，静态存储采用 AES-256 等高强度加密，并提供自动清理和到期删除等配置选项。
费曼式解释：把问题讲得像教给朋友
设想你把一张照片发给朋友。这张照片首先被放进你手机里的一个私人盒子里，这个盒子只有你的 potato 应用能打开，其他应用看不到内容。你也可以选择把这张照片放进云端的保险箱里，但要经过两道锁：一把是你和云端的共同钥匙，另一把是服务器这边的安全钥匙。为了防止网络被人窥视，传输时会用一个叫 TLS 的护盾保护数据在路上不被拦截。照片在云端再存时通常也会做一把更高强度的锁（例如 AES-256），而你本地的盒子会有自动清理和到期删除等规则，确保不被长期堆积。以此类推，其他文件也走同样的路线：默认本地私有、需要时再加云端备份，核心原则是尽量把权限和可访问的范围限制在你能控制的边界里。
本地存储的工作原理
本地存储意味着你的文件在手机里有固定的“物理”位置，只有 Potato 应用能读取。具体来说， Potato 会把接收的文件放在应用的私有目录中，和其他应用的数据分离，避免未授权的跨应用访问。以下是常见要点：
- 私有目录：文件被写入应用沙箱内，普通应用无法直接访问。
- 访问控制：只有 Potato 的前端界面和授权的后台组件能读取或展示这些文件。
- 离线可用性：只要设备未手动删除，文件在没有网络时也能打开和查看。
- 本地加密：文件在磁盘上的存储通常以强加密形式保存，即使设备丢失也难以直接读取内容。
云端备份与同步的选项
云端备份并非强制，用户可在设置中开启或关闭。如果开启，文件会经过端到端加密后上传到云端存储，理论上只有你在授权的设备上才能解密。关于云端的一些常见点：
- 端到端加密：在数据离开设备前就完成加密，服务端仅保存密文。
- 传输加密：上传与下载过程都走 TLS 通道，防止中途窃听。
- 元数据最小化：服务端通常只保留最必要的元数据（时间戳、文件标识等），不暴露具体内容。
- 备份策略：可以设定按天、按周或按文件类型的备份策略，以及保留期限。
- 多设备访问：云端存储有助于在多设备之间同步，但也带来潜在的跨设备访问风险，因此需要强认证和设备管理。
数据生命周期：从接收到到删除的路径
理解“数据生命周期”有助于掌握隐私保护的关键点：从创建、存储、访问、到最终删除， Potato 设计了几项核心机制来控制这一过程。
创建与存储阶段
当你接收一个文件时，系统会先将其放入本地私有目录。若开启云端备份，系统会对文件进行端到端加密后上传，之后再存入云端存储。所有传输都通过 TLS 保护，静态存储用高强度加密锁定。
访问与同步阶段
在你授权的设备上，文件会被解密后呈现给你。其他设备只有在你允许并完成认证后才能获取解密权限。云端的访问通常需要你在该设备上完成一次登录或二次认证，以防止他人利用密码登录后查看内容。
清理与删除阶段
Potato 提供两种删除路径：快速删除和定期清理。快速删除前提是你在应用内执行删除操作，数据会在本地和云端标记为删除并进入短期清理队列。定期清理则按照你设定的保留策略执行，一旦到期，文件将被安全地不可逆删除。需要注意的是，部分元数据在合规与审计需求下可能会被保留一段时间以满足日志需求。
隐私与合规的边界：企业账户与个人账户的差异
企业账户通常会有额外的政策和控制选项，以满足企业合规、合规性审计和数据治理需求。个人账户则更多关注便捷性和自我控制。以下是一些常见差异：
- 设备策略：企业账户可能允许管理员强制加密策略、密钥轮换和远程擦除。
- 数据最小化：企业侧更强调对元数据的最小化和访问审计。
- 备份与恢复：企业账户可能提供更长的备份保留期限和更完善的灾难恢复方案。
- 跨区域存储：在合规要求下，企业数据可能被分区存储于特定地区的数据中心。
快速对照：存储位置的要点对比
| 存储位置 | 访问权限 | 加密方式 | 优点/场景 |
| 本地私有目录 | 仅本地设备和 Potato 应用 | AES-256 等本地加密 | 离线可访问，最强隐私控制，适合极度关注本地隐私的用户 |
| 云端存储（开启云备份） | 多设备、需要认证后访问 | 端到端加密+TLS 传输 | 跨设备同步、备份与灾难恢复良好，但依赖云服务的信任与配置 |
| 元数据（日志、时间戳等） | 仅限运维/管理员访问，遵循最小化原则 | 可控的最小化存储、可能有限的保留 | 支持审计与合规性需求，同时尽量降低隐私风险 |
用户如何自查与管理存储位置
- 进入设置：在 Potato 应用内打开“隐私与安全”区域，查看“数据存储与备份”选项。
- 云备份开关：根据需要开启或关闭云端备份，系统会提示你当前存储位置的影响。
- 设备管理：如你切换设备，确保在新设备上完成认证，避免他人获取存储的访问权。
- 删除与回收：使用“删除”操作后，留意是否进入快速删除队列，以及云端是否同步清理。
<h2 常见场景解答
下面列出几个常见场景，帮助你快速判断存储位置及影响。
- 你在旅途中需要离线查看接收的文件：文件会在本地私有目录中，离线可用。
- 你要在多台设备间同步工作文档：需要开启云端备份，确保你在所有设备上完成认证。
- 你担心隐私，尽量减少云端数据留存：可以将云备份关闭，所有文件保留在本地。
- 需要保留日志以便审计：管理员策略可能保留部分元数据，具体以企业账户政策为准。
<h2 技术要点小抄：加密与密钥管理的要点
理解技术层面的保护机制，能帮助你更有把控地保护自己的文件。
- 传输加密： 数据在传输过程中使用 TLS 协议，防止被窃听或篡改。
- 静态存储加密： 文件在磁盘上的存储采用 AES-256 等高强度加密，即使磁盘被取走也难以读取。
- 端到端加密： 当云备份开启时，文件在离开你的设备前就已被加密，服务器端只保存密文，不保留可解密的原文。
- 密钥管理： 密钥分离、轮换与设备级别的密钥保护，最小化单点泄露风险。
<h2 你可能关心的边界问题
隐私并非一成不变的设定，而是与你的使用习惯、设备安全与账户保护共同作用的结果。下面几条建议，或许能帮助你在不影响体验的前提下提升隐私水平：
- 定期检查设备的安全设置，开启设备锁、指纹/人脸认证等。
- 对云端备份设定保留期限，避免长期未清理的历史文件暴露风险。
- 在多人共用设备上，确保退出账户或开启来宾模式以防止他人访问你的存储数据。
- 关注应用对权限的请求，拒绝不必要的访问权限，减少潜在数据暴露面。
<h2 参考文献（名称示例，非链接）
- Potato 官方隐私保护白皮书（区域性版本）
- NIST SP 800-63B 数字身份指南
- OWASP 秘钥管理最佳实践白皮书
- Apple iOS 安全指南（App 沙箱与数据保护）
- Android 安全性白皮书（应用数据存储与权限管理）