I dati contenuti nelle sessioni risiedono sul server, in un file od altro "deposito" (a seconda della configurazione/implementazione):

http://www.php.net/session