数据存在谁那里
先说边界。普通业务数据不上传到 77Fox 自有服务器——提示词、财务、待办这类内容保存在本机，开启同步后写入你自己的 Google Drive。77Fox 的服务器只保存账号、设备、功能权限、短时验证码事件和加密的邮箱连接配置。
每个 Google 账号使用独立的资料目录和独立的同步密钥，账号之间互不可见。
加密发生在上传之前
同步包在离开你的设备之前就已经用 AES-256-GCM 加密。数据密钥由你的 Google 账号授权管理，不交给 77Fox 账号服务。
结果是两件事：你不需要额外记一个同步密码；77Fox 也没有能力解开你上传的内容。
每次同步都是一次完整快照
每次同步生成一份完整、不可改写的快照，再整体切换到这一份，因此不存在写到一半的中间状态。断网、关机、突然退出，都不会留下半份数据。
数据按领域分开存放——提示词、财务、工作区、插件、AI 新闻、扩展各占一块。没有发生变化的领域直接复用上一次的结果，不重复上传，所以日常同步很轻。
每一块都带内容校验值，取回来时会先核对再使用。
出错时停下来，而不是覆盖
这是整套设计里最重要的一条行为约定。一旦校验发现数据可能已经损坏，同步会立即停下并转为只读，而不是继续把可能坏掉的内容写上云端。恢复过程是受控的，需要发布一份经过验证的恢复版本。
如果检测到云端数据属于另一个账号，应用会直接禁止覆盖并提示你退出重新登录。这类保护的目的很明确：宁可停下来问你，也不静默覆盖。
本地优先的合并
本地优先意味着你的设备上始终有一份完整可用的数据，离线时功能不受影响。
两台设备同时改同一份内容时，合并会把冲突保留成记录，而不是替你选一边静默覆盖。同步进行到哪一步是可见的，同时发起的请求会自动合并，避免重复上传和重复执行；出错的状态也可以恢复重试。
令牌与会话
桌面端、网页端和浏览器扩展各自使用适合其运行环境的安全存储边界，敏感令牌不写入普通持久化存储。
账号服务采用短期访问令牌、刷新令牌轮换、最小权限授予与服务器端文件权限隔离——授权范围只覆盖同步真正需要的部分。
删除与撤回
你可以在「设置 → 账户」永久删除云端账号。删除会立即撤销会话与设备，并清除验证码队列和加密的邮箱配置。
本机资料以及你 Google Drive 中的数据仍然由你控制，可以分别删除——删除 77Fox 账号不会自动删掉你 Drive 里的同步文件，那份数据的去留始终是你的决定。
画布
画笔、橡皮、文字、箭头和可以连线的节点，加上拖入或粘贴的图片与视频，把想法、分镜和参考素材摊在同一块画布上。撤销重做记录 200 步，历史面板能跳回任意一步；截图一键复制或存为 PNG；整块画布可导出为 .77foxcanvas 文件再导入；左上角小地图显示整板与当前视口。画布可以随时新建、复制、改名，私人画布留在本机，也可以按块开启同步到你自己的 Google Drive。
创建者登录后共享单张画布。可设置编辑密码，一键复制带密码的链接；访客打开后自动填入密码，填写昵称即可编辑。也可发送无密码只读链接，随时撤销访问。私人画布默认保存在本机，可选同步到自己的 Google Drive；共享画布保存在 77Fox 云端，媒体占用创建者套餐空间。
消息与多人通话
Windows 桌面版可以在消息里用邮箱或工作区发起语音通话，最多 6 人，通话中随时加人；网页版只收发消息，不能通话。
来电权限和更多通话说明，见工作区页的语音通话。
数据备份与恢复
可以做完整备份，也可以只选要备份的数据，相关依赖会一起带上。恢复前先预览哪些会加进来、哪些有冲突、覆盖时会移除哪些，再选合并或覆盖：合并保留双方数据，冲突以本机为准；覆盖只替换你选中的那部分。恢复前会先留一个恢复点，失败就还原到操作前的状态。
完整备份包含业务内容、全部录音和媒体，提示词的正文、全部版本、分类标签和媒体一起备份、一起恢复。桌面端能备份全部业务数据；网页端只备份浏览器里有的那部分，单个备份不超过 128 MB。账号和 MCP 凭据不在备份里，新设备需要重新配置；本地模型和缓存单独管理。
API Key 也不随备份转移。换电脑时请用API Key 保管库的加密导出，在新电脑上再导入。