Я чёт в oauth2 не нашел инфы о приватных аксес токенах.
Максимально похожее, что нашёл это authorization code flow, но сходство довольно условное
Там есть access token и refresh token
refresh token выдаётся на долго (например, 3 месяца), и по нему обновляется access token. access token живёт недолго (например минуту или сутки)
Если речь идёт про пользователя и веб приложение, которое должно иметь доступ к стороннему апи, токены обычно хранят в приложении, привязываются к пользовательской сессии, а получаются через как раз authorization flow через код авторизации