rclone sync espelha a origem: some um arquivo lá, some no destino. Encadeado depois de um rsync --delete local, um erro em qualquer ponto propaga a destruição até a nuvem, irreversível.

--backup-dir move o que seria deletado ou sobrescrito para uma pasta datada:

rclone sync ./backup/library remote:library \
  --backup-dir remote:_deleted/2026-07-11/library

Agora nada é apagado de fato — só realocado para _deleted/. Uma restauração é copiar de volta.

Pegadinha: o --backup-dir não pode ficar dentro do destino. Se você sincroniza para a raiz do remote, sincronize subdiretório a subdiretório (library, database, …), cada um com seu _deleted/…/<sub>.