Kas Supabase vastab GDPR-ile? Kus andmed tegelikult asuvad

Lühidalt

Supabase toetab GDPR-ile vastavaid rakendusi ja pakub Data Processing Agreementi, kuid see ei tee teie rakendust vastavaks. Teie valitud regioonis asuvad Postgresi andmebaas, Auth, Storage’i failid ja varukoopiad. Neli asja töötab väljaspool seda: Storage CDN-i vahemälu, Edge Functions, kui te neid ei kinnita, platvormi logid ja toe ligipääs. Kui vajate ELi, valige Iirimaa, Pariis, Frankfurt või Stockholm, mitte üldine “Europe” valik, mis võib sattuda ka Londonisse või Zürichisse. Regiooni hiljem muuta ei saa: kolimine tähendab uut projekti ja migratsiooni. Lovable Cloud töötab samamoodi ja valib teile lähima regiooni, kui te ise ei vali.

Olen Denys, full-stack- ja AI-insener, ja enamik rakendusi, mida ehitan või parandan, töötab Supabase’i peal. Euroopa kliendid esitavad kõigepealt kaks küsimust: kas Supabase vastab GDPR-ile ja kus andmed asuvad? See artikkel vastab mõlemale Supabase’i ja Lovable’i enda dokumentide põhjal, mida lugesin 29. oktoobril 2026, ning näitab käske, millega projekti kontrollin.

Supabase’i GDPR guide esitab selle jagatud vastutusena: Supabase kaitseb infrastruktuuri ja teie vastutate oma rakenduse andmetöötluse, nõusolekuvoogude ja ligipääsukontrolli eest. GDPR-i mõttes on Supabase teie salvestatud andmete volitatud töötleja (processor) ja selle Data Processing Addendum on leping, mis seda ütleb. Sama dokument nimetab Supabase’i vastutavaks töötlejaks (controller) ühe kategooria osas: kasutusandmed, mida see platvormi käitamiseks kogub.

Kaks selle DPA osa on praktikas olulised:

Regioon. Kui käsite Supabase’il andmeid regioonis töödelda, salvestab ja töötleb see neid peamiselt seal, välja arvatud juhul, kui seadus, teie enda juhised või tellitud teenus nõuavad muud.
Alltöötlejad. Volitate Supabase’i alltöötlejate nimekirja ette ja Supabase teatab muudatustest 30 päeva ette. Neid muudatusi saab samal lehel tellida. Nimekirjas on AWS ja Cloudflare hostimiseks ning teenusepakkujad toe, veajälgimise ja kontokasutajatele saadetavate teadete jaoks.

Kus Supabase teie andmeid hoiab?

Data residency FAQ ja regioonide leht jagavad selle nii:

Teie projekti osa	Kus seda töödeldakse
Postgresi andmebaas ja varukoopiad	Teie valitud AWS-i regioon
Auth (kasutajad, sessioonid)	Teie valitud regioon
Storage’i failid algallikas	Teie valitud regioon
Storage CDN-i vahemälu	Üle maailma, vahemällu Cloudflare’is
Edge Functions	Kutsujale lähimas servas, kui te neid regiooni külge ei kinnita
Platvormi logid ja telemeetria	Väljaspool teie regiooni; logid hoitakse ELi andmekeskustes
Toe ligipääs	Globaalne tugitiim, kui küsite abi või turvaintsidendi ajal, logitakse
Teie konto- ja arveldusandmed	Supabase’i kesksüsteemides; siin on Supabase vastutav töötleja

Joonis 1. Supabase'i data residency FAQ ja regioonide leht, loetud 29. oktoobril 2026.

KKK vastab otsesele küsimusele selgelt: Supabase ei garanteeri, et teie andmed regioonist kunagi ei lahku. Teie andmebaas ja varukoopiad jäävad; neli tabeli lõpus olevat kategooriat võivad lahkuda.

Millised Supabase’i regioonid on ELis?

ELis on neli konkreetset regiooni: West EU (Ireland) eu-west-1, West EU (Paris) eu-west-3, Central EU (Frankfurt) eu-central-1 ja North EU (Stockholm) eu-north-1. London eu-west-2 ja Zurich eu-central-2 asuvad Euroopas ja neil on GDPR-i piisavusotsused, kuid need ei ole ELi liikmesriigid.

See vahe loeb projekti loomisel. Üldine “Europe” valik laseb Supabase’il valida vaba Euroopa regiooni mahu järgi ja regions guide hoiatab, et see võib olla London või Zurich. Kui teie leping või klient ütleb “andmed jäävad ELi”, valige konkreetne ELi regioon. Veel üks detail, kui toetute regionaalsetele Edge Functionsitele: regioonide leht ütleb, et funktsiooni kinnitamine regiooni külge ei ole Ohios ja Stockholmis saadaval.

Kuidas oma projekti regiooni kontrollida?

Dashboardis on regioon näha projekti seadetes. Terminalist loetleb Supabase CLI iga projekti, millele teil on ligipääs, koos selle regiooniga:

supabase projects list
supabase projects list -o json   # each project has a "region" field, e.g. "eu-west-1"

Käivitasin selle oma kontol CLI-ga 2.109.1: iga projekt tuli tagasi oma AWS-i regiooni koodiga, nii et kiire pilk näitab, kas mõni projekt asub väljaspool ELi.

Kas seda saab muuta? Ei. Supabase’i troubleshooting märkus ütleb, et projekt on infrastruktuuri tasemel regiooni külge seotud. Kolimine tähendab uue projekti loomist sihtregioonis ja migreerimist sinna, seejärel API URL-i ja võtmete uuendamist rakenduses ning kolmandate osapoolte sisselogimise saladuste käsitsi kopeerimist. Projekti üleandmine teisele organisatsioonile regiooni samuti ei muuda.

Lovable Cloudi rakenduse taustasüsteem töötab sama mudeli peal, seega kehtivad samad küsimused, ainult Lovable’i seaded ees. Lovable’i backend docs, database docs ja DPA lehe järgi:

Regioon on üks järgmistest: Americas, Europe või Asia Pacific, valitakse taustasüsteemi sisselülitamisel. Administraatori seatud tööruumi vaikimisi väärtus võidab (Business ja Enterprise plaanid). Muidu kasutab Lovable teie enda seadet “where project data is stored” ja selle puudumisel teile lähimat regiooni.
Te ei pruugi seda kunagi näha. Kui Enable Cloud on seatud “Always allow”, loob Lovable taustasüsteemi selles regioonis küsimata. Ainult “Ask each time” näitab regiooni enne.
Seda ei saa muuta. Lovable ütleb selgelt, et projekti regiooni muuta ei saa ja olemasolevat projekti liigutada ei saa.
Kontrollige asukohas More → Database → Manage → Settings, reas Database location, näiteks “Europe (Frankfurt)”.
Saiti ennast serveeritakse globaalselt, olenemata regioonist; regioon hõlmab ainult taustasüsteemi.
AI päringud on eraldi. AI mudelipäringute hoidmine ELis on seade nimega EU inference, Enterprise’i tööruumidele.
DPA on Business ja Enterprise plaanides kaasas.

Seega, kui lülitasite taustasüsteemi sisse Euroopast väljas töötades ja ilma oma seadeta, võib taustasüsteem asuda mõnes teises regioonis ja “Always allow” korral Lovable ei küsi. Kontrollige rida Database location enne, kui teie esimene päris kasutaja registreerub.

Mida regioon ei lahenda

Supabase’i enda juhend ütleb seda: regiooni valik on andmete asukoha kontroll ja ei tee rakendust iseenesest GDPR-ile vastavaks. Lüngad, mida kõige sagedamini leian, on rakenduses, mitte platvormis:

Isikuandmed, mida igaüks saab lugeda. Tabel, kus RLS on väljas, või poliitika, mis lubab kõik read, serveerib nimesid ja e-posti aadresse igaühele, kellel on avalik võti. Tasuta Supabase’i turvakontroll märgib tabelid ilma RLS-ita, poliitikad, mis lubavad kõik read, ja tundlikuna näivad veerud, mis on anonüümsetele külastajatele loetavad.
Kontod, mis on loodud kellegi teise aadressiga. Kui e-posti kinnitus on väljas, saab igaüks registreeruda aadressiga, mis talle ei kuulu.
Failid avalikes bucketites. Avalik bucket serveerib iga faili igaühele, kellel on selle URL, ja CDN salvestab selle üle maailma vahemällu.
Töötlejad, mille lisasite ise. Iga e-posti-, SMS-, AI- või analüütikateenus, mida teie Edge Functions kutsuvad, on teie töötleja, mitte Supabase’i, ja vajab oma lepingut.
Kustutamine ja säilitamine. Kustutamistaotlus ebaõnnestub, kui võõrvõtmed takistavad sisu kirjutanud kasutaja kustutamist, ja logid, mis hoiavad aadresse igavesti, on säilitusprobleem.

Kaks viimast ja veel neli käin läbi oma Lovable’i rakenduse turvanimekirja GDPR-i jaotises. Selle kohta, mida Supabase peale GDPR-i sertifitseerib, vaadake kas Supabase on turvaline?. See artikkel ei ole õigusnõu; teie andmekaitsespetsialist või jurist otsustab, mida teie töötlus vajab.

Pole kindel, kus teie rakenduse andmed asuvad?

Kontrollin hea meelega teiega koos regiooni ja ligipääsureegleid. Müügijututa.

Võtke ühendust