データを持っているのは誰か
まず境界から。通常の業務データが 77Fox のサーバーにアップロードされることはありません。プロンプト、家計、タスクといった内容は端末に保存され、同期を有効にすると自分の Google ドライブに書き込まれます。77Fox のサーバーが保持するのはアカウント、デバイス、機能権限、短時間の認証コードイベント、暗号化されたメール接続設定だけです。
Google アカウントごとに独立した資料ディレクトリと独立した同期鍵を使い、アカウント同士は互いに見えません。
暗号化はアップロードの前に行われる
同期パッケージはデバイスを離れる前に AES-256-GCM で暗号化されます。データ鍵は Google の認可を通じて管理され、77Fox のアカウントサービスに渡されることはありません。そのため別途同期パスワードは不要で、77Fox 側にアップロードされた内容を復号する手段もありません。
同期は毎回が完全なスナップショット
同期のたびに完全で書き換え不可能なスナップショットを 1 つ作り、そこへ丸ごと切り替えます。したがって途中まで書き込まれた中間状態は存在しません。回線が切れても、電源を落としても、突然終了しても、データが半分だけ残ることはありません。
データは領域ごとに分けて保存されます。プロンプト、家計、ワークスペース、プラグイン、AI ニュース、拡張機能。変化のなかった領域は前回の結果をそのまま再利用し、再アップロードしません。だから日常の同期は軽いのです。
各領域には照合値が付いており、取り出すときに必ず照合してから使います。
異常時は遮断する、上書きしない
これは設計全体で最も重要な約束です。データが壊れている可能性を検証が示した瞬間、同期は直ちに停止して読み取り専用に切り替わります。壊れているかもしれない内容をクラウドへ書き続けることはしません。復旧は管理された手順で、検証済みの復旧版を発行する必要があります。
クラウド上のデータが別アカウントのものだと検出された場合は、上書きを完全に禁止し、サインアウトして入り直すよう促します。狙いは明確です。黙って上書きするくらいなら、止まって尋ねる。
ローカルファーストのマージ
ローカル優先とは、完全に使える一式が常に自分の端末にあるということです。オフラインでも機能は損なわれません。
2 台で同じ内容を同時に変更した場合、統合は衝突を記録として残し、どちらかを勝たせることはしません。同期がどこまで進んだかは見えるようになっており、同時に発生した要求はまとめられて重複アップロードと重複実行を防ぎます。エラー状態からのやり直しも可能です。
トークンとセッション
デスクトップ、Web、ブラウザ拡張はそれぞれの実行環境に適したトークン保管境界を使い、機微なトークンは通常の永続ストレージに置きません。アカウントサービスは短期アクセストークン、リフレッシュトークンのローテーション、最小権限、サーバーのファイル権限分離を採用しています。
削除と撤回
「設定 → アカウント」からクラウドアカウントを完全に削除できます。削除するとセッションとデバイスが即座に失効し、認証コードのキューと暗号化されたメール設定が消去されます。ローカルのデータと Google Drive 内のデータはあなたの管理下に残り、別途削除する形になります——77Fox のアカウントを削除しても Drive の同期ファイルは消えません。