Die privaten Schlüssel sind per default in
~/.gnupg/secring.gpg (unter Linux) c:\programme\gnu\gnupg\secring.gpg (Windows)
gespeichert. Und wären sie das nicht -also zB nur in deinem Tresor- wärst du auch nicht in der Lage, irgendeine mit deinem öffentlichen Schlüssel verschlüsselte Mail/Datei zu entschlüsseln. Dein privater Schlüssel ist im Prinzip nichts anderes als eine Textdatei, die das eigentliche Passwort zur Entschlüsselung enthält. Diese Datei ist symmetrisch per CAST5 verschlüsselt. Das Mantra dafür hast du beim Erstellen selbst gewählt (hoffentlich sicher genug), in der Regel ist das auch das schwächste Glied in der ganzen Kette.