Коды TOTP хранит данные только в браузере пользователя.
Что сохраняется: название сервиса, логин, секрет TOTP, заметка, цвет карточки, адреса сайтов и настройки. Секрет и остальные поля лежат в хранилище браузера без шифрования. Автор дополнения их не получает и никому не продаёт.
Синхронизация с учётной записью браузера выключена. Если пользователь сам её включит, браузер передаст эти данные в его учётную запись. Файл резервной копии шифруется паролем, который задаёт пользователь, и остаётся у него.
Доступ к сайту запрашивается только для адреса, который пользователь указал у записи. Скрипт предлагает код в поле одноразового кода и вставляет его только после нажатия. Текст страницы никуда не отправляется.
Код копируется в буфер только по нажатию пользователя.
Удаление записи в дополнении или удаление самого дополнения стирает эти данные из браузера.