Splňuje Supabase GDPR? Kde vaše data skutečně leží

Jsem Denys, full-stack a AI inženýr, a většina aplikací, které stavím nebo opravuji, běží na Supabase. Evropští klienti se ptají na dvě věci dřív než na cokoli jiného: splňuje Supabase GDPR a kde data leží? Tento článek odpovídá na obojí z dokumentů samotného Supabase a Lovable, čteno 29. října 2026, plus příkazy, jimiž projekt kontroluji.

Splňuje Supabase GDPR?

Průvodce GDPR Supabase to popisuje jako sdílenou odpovědnost: Supabase zabezpečuje infrastrukturu a vy odpovídáte za zpracování dat ve své aplikaci, souhlasy a řízení přístupu. Podle GDPR je Supabase vaším zpracovatelem pro data, která ukládáte, a jeho dodatek o zpracování údajů (DPA) je smlouva, která to říká. Tentýž dokument označuje Supabase za správce pro jednu kategorii, údaje o používání, které sbírá k provozu platformy.

V praxi jsou důležité dvě části tohoto DPA:

• Region. Když Supabase řeknete, ve kterém regionu má data zpracovávat, ukládá je a primárně zpracovává tam, pokud něco jiného nevyžaduje zákon, vaše vlastní pokyny nebo služba, o kterou jste požádali.
• Subzpracovatelé. Seznam subzpracovatelů Supabase předem schvalujete a Supabase před jeho změnou dává 30 dní předem na vědomí. Odběr těchto změn si můžete zapnout na téže stránce. V seznamu je AWS a Cloudflare pro hosting a poskytovatelé služeb pro podporu, sledování chyb a zprávy uživatelům účtů.

Kde Supabase ukládá vaše data?

FAQ o umístění dat a stránka regionů to dělí takto:

Část vašeho projektu	Kde se zpracovává
Databáze Postgres a její zálohy	Region AWS, který jste zvolili
Auth (uživatelé, relace)	Region, který jste zvolili
Soubory Storage v originálu	Region, který jste zvolili
Cache CDN pro Storage	Globálně, cachováno na Cloudflare
Edge Functions	Na edge nejblíže volajícímu, pokud je nepřipnete k regionu
Platformní logy a telemetrie	Mimo váš region; logy jsou uloženy v datových centrech v EU
Přístup podpory	Globální tým podpory, když požádáte o pomoc nebo při bezpečnostním incidentu, logováno
Váš účet a fakturační údaje	Centrální systémy Supabase; Supabase je zde správcem

FAQ odpovídá na přímou otázku přímo: Supabase nezaručuje, že vaše data region nikdy neopustí. Databáze a zálohy zůstávají; čtyři kategorie na konci tabulky ho opustit mohou.

Které regiony Supabase jsou v EU?

Uvnitř EU jsou čtyři konkrétní regiony: West EU (Ireland) eu-west-1, West EU (Paris) eu-west-3, Central EU (Frankfurt) eu-central-1 a North EU (Stockholm) eu-north-1. London eu-west-2 a Zurich eu-central-2 jsou v Evropě a mají rozhodnutí o odpovídající ochraně podle GDPR, ale nejsou členskými státy EU.

Na tom rozdílu záleží při zakládání projektu. Obecná možnost „Europe“ nechá Supabase vybrat dostupný evropský region podle kapacity a průvodce regiony varuje, že to může být London nebo Zurich. Pokud vaše smlouva nebo zákazník říká „data zůstanou v EU“, zvolte konkrétní region EU. Ještě jeden detail, pokud se spoléháte na regionální Edge Functions: stránka regionů uvádí, že připnutí funkce k regionu není dostupné v Ohiu ani ve Stockholmu.

Jak zkontrolovat region svého projektu?

V dashboardu se region zobrazuje v nastavení projektu. Z terminálu vypíše Supabase CLI všechny projekty, ke kterým máte přístup, i s jejich regionem:

supabase projects list
supabase projects list -o json   # each project has a "region" field, e.g. "eu-west-1"

Spustil jsem to na vlastním účtu s CLI 2.109.1: každý projekt se vrátil s kódem regionu AWS, takže rychlý přehled ukáže, zda některý projekt neleží mimo EU.

Dá se to změnit? Ne. Poznámka v troubleshootingu Supabase říká, že projekt je k regionu vázán na úrovni infrastruktury. Přesun znamená vytvořit nový projekt v cílovém regionu a migrovat do něj, pak v aplikaci aktualizovat API URL a klíče a ručně zkopírovat secrety přihlášení třetích stran. Převod projektu do jiné organizace region také nemění.

Splňuje Lovable Cloud GDPR?

Aplikace na Lovable Cloud má backend na stejném modelu, takže platí stejné otázky, jen s nastaveními Lovable před nimi. Z dokumentace backendu, dokumentace databáze a stránky DPA Lovable:

• Region je jeden z Americas, Europe nebo Asia Pacific, volí se při zapnutí backendu. Výchozí hodnota workspace nastavená správcem má přednost (tarify Business a Enterprise). Jinak Lovable použije vaše vlastní nastavení „where project data is stored“ a bez něj region nejblíže vám.
• Možná ho nikdy neuvidíte. Když je Enable Cloud nastaveno na „Always allow“, Lovable backend v tomto regionu vytvoří, aniž by se ptal. Region ukáže předem jen „Ask each time“.
• Nelze ho změnit. Lovable jasně říká, že region projektu nelze změnit a existující projekt nelze přesunout.
• Zkontrolujte ho v More → Database → Manage → Settings, v řádku Database location, například „Europe (Frankfurt)“.
• Web samotný se servíruje globálně, bez ohledu na region; region se týká jen backendu.
• Požadavky AI jsou zvlášť. Udržení požadavků na AI modely v EU je nastavení zvané EU inference, ve workspace Enterprise.
• DPA je součástí tarifů Business a Enterprise.

Pokud jste tedy backend zapnuli při práci mimo Evropu a bez vlastního nastavení, může backend ležet v jiném regionu, a se zapnutým „Always allow“ se Lovable neptá. Zkontrolujte řádek Database location dřív, než se zaregistruje první skutečný uživatel.

Co region nevyřeší

Průvodce Supabase to říká sám: volba regionu je kontrola umístění dat a sama o sobě aplikaci v souladu s GDPR neudělá. Mezery, které nacházím nejčastěji, jsou v aplikaci, ne na platformě:

1. Osobní údaje čitelné komukoli. Tabulka s vypnutým RLS nebo politikou, která povoluje všechny řádky, vydává jména a e-maily každému, kdo má veřejný klíč. Bezplatná Kontrola zabezpečení Supabase označí tabulky bez RLS, politiky povolující všechny řádky a citlivě vypadající sloupce čitelné anonymním návštěvníkům.
2. Účty vytvořené s cizí adresou. S vypnutým potvrzením e-mailu se může kdokoli zaregistrovat s adresou, kterou nevlastní.
3. Soubory ve veřejných bucketech. Veřejný bucket servíruje každý soubor komukoli s jeho URL a CDN ho cachuje po celém světě.
4. Zpracovatelé, které jste přidali sami. Každá e-mailová, SMS, AI nebo analytická služba, kterou volají vaše Edge Functions, je váš zpracovatel, ne Supabase, a potřebuje vlastní smlouvu.
5. Mazání a uchovávání. Žádost o výmaz selže, pokud cizí klíče brání smazání uživatele, který vytvořil obsah, a logy, které uchovávají adresy navždy, jsou problém uchovávání.

Posledními dvěma a dalšími čtyřmi se zabývám v sekci o GDPR v mém checklistu zabezpečení Lovable aplikace. K tomu, co Supabase certifikuje nad rámec GDPR, viz je Supabase bezpečný?. Tento článek není právní poradenství; co vaše zpracování potřebuje, rozhoduje váš pověřenec pro ochranu osobních údajů nebo právník.