--- title: "Splňuje Supabase GDPR? Kde vaše data skutečně leží" description: "Supabase drží databázi, Auth a Storage v regionu, který zvolíte. CDN Storage, Edge Functions, logy a podpora fungují jinde. Lovable Cloud také." url: "https://madsalt.tech/cs/blog/is-supabase-gdpr-compliant/" author: "Denys Zaichenko" author_url: "https://madsalt.tech/cs/about/" language: "cs" published: 2026-11-04 --- # Splňuje Supabase GDPR? Kde vaše data skutečně leží TL;DR Supabase podporuje aplikace v souladu s GDPR a nabízí smlouvu o zpracování osobních údajů (DPA), ale vaši aplikaci v souladu neudělá. Region, který zvolíte, drží databázi Postgres, Auth, soubory Storage a zálohy. Čtyři věci fungují mimo něj: cache CDN pro Storage, Edge Functions, pokud je nepřipnete, platformní logy a přístup podpory. Pokud potřebujete EU, zvolte Irsko, Paříž, Frankfurt nebo Stockholm, ne obecnou možnost „Europe“, která může skončit i v Londýně nebo Curychu. Region nelze později změnit: přesun znamená nový projekt a migraci. Lovable Cloud funguje stejně a vybere region nejblíže vám, pokud nezvolíte sami. Jsem Denys, full-stack a AI inženýr, a většina aplikací, které stavím nebo opravuji, běží na Supabase. Evropští klienti se ptají na dvě věci dřív než na cokoli jiného: splňuje Supabase GDPR a kde data leží? Tento článek odpovídá na obojí z dokumentů samotného Supabase a Lovable, čteno 29. října 2026, plus příkazy, jimiž projekt kontroluji. ## Splňuje Supabase GDPR? [Průvodce GDPR](https://supabase.com/docs/guides/security/gdpr-compliance) Supabase to popisuje jako sdílenou odpovědnost: Supabase zabezpečuje infrastrukturu a vy odpovídáte za zpracování dat ve své aplikaci, souhlasy a řízení přístupu. Podle GDPR je Supabase vaším zpracovatelem pro data, která ukládáte, a jeho [dodatek o zpracování údajů (DPA)](https://supabase.com/legal/customer-resources/data-processing-addendum) je smlouva, která to říká. Tentýž dokument označuje Supabase za správce pro jednu kategorii, údaje o používání, které sbírá k provozu platformy. V praxi jsou důležité dvě části tohoto DPA: - **Region.** Když Supabase řeknete, ve kterém regionu má data zpracovávat, ukládá je a primárně zpracovává tam, pokud něco jiného nevyžaduje zákon, vaše vlastní pokyny nebo služba, o kterou jste požádali. - **Subzpracovatelé.** Seznam [subzpracovatelů](https://supabase.com/legal/customer-resources/subprocessor-list) Supabase předem schvalujete a Supabase před jeho změnou dává 30 dní předem na vědomí. Odběr těchto změn si můžete zapnout na téže stránce. V seznamu je AWS a Cloudflare pro hosting a poskytovatelé služeb pro podporu, sledování chyb a zprávy uživatelům účtů. ## Kde Supabase ukládá vaše data? [FAQ o umístění dat](https://supabase.com/legal/privacy-resources/data-residency-and-transfers-faq) a [stránka regionů](https://supabase.com/regions) to dělí takto: | Část vašeho projektu | Kde se zpracovává | | ------------------------------- | -------------------------------------------------------------------------------------- | | Databáze Postgres a její zálohy | Region AWS, který jste zvolili | | Auth (uživatelé, relace) | Region, který jste zvolili | | Soubory Storage v originálu | Region, který jste zvolili | | Cache CDN pro Storage | Globálně, cachováno na Cloudflare | | Edge Functions | Na edge nejblíže volajícímu, pokud je nepřipnete k regionu | | Platformní logy a telemetrie | Mimo váš region; logy jsou uloženy v datových centrech v EU | | Přístup podpory | Globální tým podpory, když požádáte o pomoc nebo při bezpečnostním incidentu, logováno | | Váš účet a fakturační údaje | Centrální systémy Supabase; Supabase je zde správcem | ![Kde se zpracovává každá část projektu Supabase. Region = region AWS, který zvolíte při vytvoření projektu. Databáze, Auth, zálohy: Postgres, Auth → váš region; Soubory Storage: soubor → váš region → CDN cache, globálně; Edge Functions, nepřipnuté: volání funkce → edge nejblíže volajícímu; Platformní logy: logy, telemetrie → datacentra EU.](https://madsalt.tech/charts/cs/is-supabase-gdpr-compliant.svg) *Obrázek 1. FAQ Supabase o umístění dat a stránka regionů, čteno 29. října 2026.* FAQ odpovídá na přímou otázku přímo: Supabase nezaručuje, že vaše data region nikdy neopustí. Databáze a zálohy zůstávají; čtyři kategorie na konci tabulky ho opustit mohou. ## Které regiony Supabase jsou v EU? Uvnitř EU jsou čtyři konkrétní regiony: West EU (Ireland) `eu-west-1`, West EU (Paris) `eu-west-3`, Central EU (Frankfurt) `eu-central-1` a North EU (Stockholm) `eu-north-1`. London `eu-west-2` a Zurich `eu-central-2` jsou v Evropě a mají rozhodnutí o odpovídající ochraně podle GDPR, ale nejsou členskými státy EU. Na tom rozdílu záleží při zakládání projektu. Obecná možnost „Europe“ nechá Supabase vybrat dostupný evropský region podle kapacity a [průvodce regiony](https://supabase.com/docs/guides/platform/regions) varuje, že to může být London nebo Zurich. Pokud vaše smlouva nebo zákazník říká „data zůstanou v EU“, zvolte konkrétní region EU. Ještě jeden detail, pokud se spoléháte na regionální Edge Functions: stránka regionů uvádí, že připnutí funkce k regionu není dostupné v Ohiu ani ve Stockholmu. ## Jak zkontrolovat region svého projektu? V dashboardu se region zobrazuje v nastavení projektu. Z terminálu vypíše Supabase CLI všechny projekty, ke kterým máte přístup, i s jejich regionem: ```bash supabase projects list supabase projects list -o json # each project has a "region" field, e.g. "eu-west-1" ``` Spustil jsem to na vlastním účtu s CLI 2.109.1: každý projekt se vrátil s kódem regionu AWS, takže rychlý přehled ukáže, zda některý projekt neleží mimo EU. **Dá se to změnit?** Ne. [Poznámka v troubleshootingu](https://supabase.com/docs/guides/troubleshooting/change-project-region-eWJo5Z) Supabase říká, že projekt je k regionu vázán na úrovni infrastruktury. Přesun znamená vytvořit nový projekt v cílovém regionu a migrovat do něj, pak v aplikaci aktualizovat API URL a klíče a ručně zkopírovat secrety přihlášení třetích stran. Převod projektu do jiné organizace region také nemění. ## Splňuje Lovable Cloud GDPR? Aplikace na Lovable Cloud má backend na stejném modelu, takže platí stejné otázky, jen s nastaveními Lovable před nimi. Z [dokumentace backendu](https://docs.lovable.dev/features/cloud), [dokumentace databáze](https://docs.lovable.dev/features/database) a [stránky DPA](https://lovable.dev/data-processing-agreement) Lovable: - **Region je jeden z Americas, Europe nebo Asia Pacific**, volí se při zapnutí backendu. Výchozí hodnota workspace nastavená správcem má přednost (tarify Business a Enterprise). Jinak Lovable použije vaše vlastní nastavení „where project data is stored“ a bez něj region nejblíže vám. - **Možná ho nikdy neuvidíte.** Když je Enable Cloud nastaveno na „Always allow“, Lovable backend v tomto regionu vytvoří, aniž by se ptal. Region ukáže předem jen „Ask each time“. - **Nelze ho změnit.** Lovable jasně říká, že region projektu nelze změnit a existující projekt nelze přesunout. - **Zkontrolujte ho** v More → Database → Manage → Settings, v řádku Database location, například „Europe (Frankfurt)“. - **Web samotný se servíruje globálně**, bez ohledu na region; region se týká jen backendu. - **Požadavky AI jsou zvlášť.** Udržení požadavků na AI modely v EU je nastavení zvané EU inference, ve workspace Enterprise. - **DPA je součástí tarifů Business a Enterprise.** Pokud jste tedy backend zapnuli při práci mimo Evropu a bez vlastního nastavení, může backend ležet v jiném regionu, a se zapnutým „Always allow“ se Lovable neptá. Zkontrolujte řádek Database location dřív, než se zaregistruje první skutečný uživatel. ## Co region nevyřeší Průvodce Supabase to říká sám: volba regionu je kontrola umístění dat a sama o sobě aplikaci v souladu s GDPR neudělá. Mezery, které nacházím nejčastěji, jsou v aplikaci, ne na platformě: 1. **Osobní údaje čitelné komukoli.** Tabulka s vypnutým RLS nebo politikou, která povoluje všechny řádky, vydává jména a e-maily každému, kdo má veřejný klíč. Bezplatná [Kontrola zabezpečení Supabase](https://madsalt.tech/cs/tools/supabase-security-check/) označí tabulky bez RLS, politiky povolující všechny řádky a citlivě vypadající sloupce čitelné anonymním návštěvníkům. 2. **Účty vytvořené s cizí adresou.** S vypnutým potvrzením e-mailu se může kdokoli zaregistrovat s adresou, kterou nevlastní. 3. **Soubory ve veřejných bucketech.** [Veřejný bucket](https://madsalt.tech/cs/notes/supabase-public-bucket/) servíruje každý soubor komukoli s jeho URL a CDN ho cachuje po celém světě. 4. **Zpracovatelé, které jste přidali sami.** Každá e-mailová, SMS, AI nebo analytická služba, kterou volají vaše Edge Functions, je váš zpracovatel, ne Supabase, a potřebuje vlastní smlouvu. 5. **Mazání a uchovávání.** Žádost o výmaz selže, pokud cizí klíče brání smazání uživatele, který vytvořil obsah, a logy, které uchovávají adresy navždy, jsou problém uchovávání. Posledními dvěma a dalšími čtyřmi se zabývám v sekci o GDPR v mém [checklistu zabezpečení Lovable aplikace](https://madsalt.tech/cs/blog/lovable-app-security-checklist/). K tomu, co Supabase certifikuje nad rámec GDPR, viz [je Supabase bezpečný?](https://madsalt.tech/cs/blog/is-supabase-secure/). Tento článek není právní poradenství; co vaše zpracování potřebuje, rozhoduje váš pověřenec pro ochranu osobních údajů nebo právník. Nevíte, kde data vaší aplikace leží? Rád s vámi zkontroluji region i pravidla přístupu. Bez nabídky. [Ozvěte se](https://madsalt.tech/cs/#contact)