Dúvidas do Java Web Start

Pessoal,

Tenho algumas dúvidas sobre o JWS que não achei em lugar algum.
Quando o cliente acessa e abre o arquivo jnlp, toda a aplicação vai para a máquina dele, mas onde é salvo? Por que temo que o cliente (usuário) possa abrir os arqivos fontes para recuperar usuário/senha de banco de dados por exemplo…
Outra coisa, o JWS faz download toda a vez que o parâmetro versão for alterado ou quando o pacote jar é alterado?

Obrigado!!