Речь собственно идет о том может ли злонамеренный клауд провайдер (или спецслужбы и т.п.) получить доступ к данным или нет

Речь шла: "Насколько я понимаю это включает все ключи.". Мы уже договорились, что это не так?
Хорошо, поговорим о бекапе. Бекап, с необходимостью, включает данные. Это свойство бекапа. Если нечто не включает данных - то это нечто не может называться бекапом. Однако ничто не заставляет апликации, в которых есть ценные данные, класть их в бекап, не шифруя - это они определяют сами. В случае микрософта, сам никто не определяет - ключи просто уезжают на сервер, и всё.

Если это какие-либо ценные данные, то аппликация их будет бэкапить - потому что иначе при ресете данные сгорят.

Сгорят, и что? Для того и ресет.