--- title: "Supabase è conforme al GDPR? Dove sono davvero i dati" description: "Supabase tiene database, Auth e Storage nella regione scelta. CDN di Storage, Edge Function, log e supporto lavorano altrove. Anche Lovable Cloud." url: "https://madsalt.tech/it/blog/is-supabase-gdpr-compliant/" author: "Denys Zaichenko" author_url: "https://madsalt.tech/it/about/" language: "it" published: 2026-11-04 --- # Supabase è conforme al GDPR? Dove sono davvero i dati In breve Supabase supporta app conformi al GDPR e offre un accordo sul trattamento dei dati (Data Processing Agreement, DPA), ma non rende conforme la sua app. La regione che sceglie ospita il database Postgres, Auth, i file di Storage e i backup. Quattro cose funzionano fuori da essa: la cache del CDN di Storage, le Edge Function se non le fissa, i log della piattaforma e l'accesso del supporto. Se le serve l'UE, scelga Irlanda, Parigi, Francoforte o Stoccolma, non l'opzione generica "Europe", che può finire anche a Londra o a Zurigo. Una regione non si cambia dopo: spostarsi significa un nuovo progetto e una migrazione. Lovable Cloud funziona allo stesso modo e sceglie la regione più vicina a Lei se non ne sceglie una. Sono Denys, ingegnere full-stack e di IA, e la maggior parte delle app che costruisco o riparo gira su Supabase. I clienti europei fanno due domande prima di ogni altra: Supabase è conforme al GDPR, e dove stanno i dati? Questo articolo risponde a entrambe dai documenti di Supabase e di Lovable, letti il 29 ottobre 2026, più i comandi che uso per controllare un progetto. ## Supabase è conforme al GDPR? La [guida al GDPR](https://supabase.com/docs/guides/security/gdpr-compliance) di Supabase lo presenta come una responsabilità condivisa: Supabase protegge l'infrastruttura, e Lei è responsabile del trattamento dei dati della sua applicazione, dei flussi di consenso e dei controlli di accesso. In termini GDPR, Supabase è il suo responsabile del trattamento per i dati che archivia, e il suo [Data Processing Addendum](https://supabase.com/legal/customer-resources/data-processing-addendum) è il contratto che lo stabilisce. Lo stesso documento indica Supabase come titolare del trattamento per una categoria: i dati di utilizzo che raccoglie per far funzionare la piattaforma. Due parti di quel DPA contano nella pratica: - **Regione.** Quando indica a Supabase di trattare i dati in una regione, li archivia e li tratta principalmente lì, salvo che la legge, le sue istruzioni o il servizio richiesto necessitino altro. - **Sub-responsabili.** Lei autorizza in anticipo l'[elenco dei sub-responsabili](https://supabase.com/legal/customer-resources/subprocessor-list) di Supabase, che dà 30 giorni di preavviso prima di modificarlo. Può iscriversi a queste modifiche sulla stessa pagina. L'elenco comprende AWS e Cloudflare per l'hosting, e fornitori di servizi per supporto, monitoraggio degli errori e messaggi agli utenti dell'account. ## Dove archivia Supabase i suoi dati? La [FAQ sulla residenza dei dati](https://supabase.com/legal/privacy-resources/data-residency-and-transfers-faq) e la [pagina delle regioni](https://supabase.com/regions) lo dividono così: | Parte del suo progetto | Dove viene trattata | | ------------------------------------- | --------------------------------------------------------------------------------------------- | | Database Postgres e relativi backup | La regione AWS che ha scelto | | Auth (utenti, sessioni) | La regione che ha scelto | | File di Storage all'origine | La regione che ha scelto | | Cache del CDN di Storage | In tutto il mondo, in cache su Cloudflare | | Edge Function | All'edge più vicino a chi chiama, salvo che le fissi a una regione | | Log e telemetria della piattaforma | Fuori dalla sua regione; i log sono archiviati in data center dell'UE | | Accesso del supporto | Un team di supporto globale, su sua richiesta o durante un incidente di sicurezza, registrato | | I suoi dati di account e fatturazione | I sistemi centrali di Supabase; qui Supabase è il titolare del trattamento | ![Dove viene trattata ogni parte di un progetto Supabase. Regione = la regione AWS scelta alla creazione del progetto. Database, Auth, backup: Postgres, Auth → la sua regione; File di Storage: file → la sua regione → cache CDN, globale; Edge Function, non fissate: chiamata funzione → edge più vicino; Log della piattaforma: log, telemetria → data center UE.](https://madsalt.tech/charts/it/is-supabase-gdpr-compliant.svg) *Figura 1. FAQ di Supabase sulla residenza dei dati e pagina delle regioni, lette il 29 ottobre 2026.* La FAQ risponde direttamente alla domanda secca: Supabase non garantisce che i suoi dati non lascino mai la regione. Database e backup restano; le quattro categorie in fondo alla tabella possono lasciarla. ## Quali regioni Supabase sono nell'UE? Quattro regioni specifiche sono dentro l'UE: West EU (Ireland) `eu-west-1`, West EU (Paris) `eu-west-3`, Central EU (Frankfurt) `eu-central-1` e North EU (Stockholm) `eu-north-1`. Londra `eu-west-2` e Zurigo `eu-central-2` sono in Europa e hanno decisioni di adeguatezza GDPR, ma non sono Stati membri dell'UE. Questa distinzione conta quando crea il progetto. L'opzione generica "Europe" lascia che Supabase scelga una regione europea disponibile in base alla capacità, e la [guida alle regioni](https://supabase.com/docs/guides/platform/regions) avverte che può essere Londra o Zurigo. Se il suo contratto o il suo cliente dice "i dati restano nell'UE", scelga una regione UE specifica. Un dettaglio in più se si affida a Edge Function regionali: la pagina delle regioni dice che fissare una funzione a una regione non è disponibile in Ohio né a Stoccolma. ## Come controlla la regione del suo progetto? Nella dashboard, la regione compare nelle impostazioni del progetto. Da un terminale, la CLI di Supabase elenca ogni progetto a cui ha accesso con la sua regione: ```bash supabase projects list supabase projects list -o json # each project has a "region" field, e.g. "eu-west-1" ``` L'ho eseguito sul mio account con la CLI 2.109.1: ogni progetto è tornato con il proprio codice di regione AWS, quindi una scorsa rapida mostra se qualche progetto sta fuori dall'UE. **Si può cambiare?** No. La [nota di troubleshooting](https://supabase.com/docs/guides/troubleshooting/change-project-region-eWJo5Z) di Supabase dice che un progetto è legato alla sua regione a livello di infrastruttura. Spostarsi significa creare un nuovo progetto nella regione di destinazione e migrarvi, poi aggiornare URL dell'API e chiavi nell'app e copiare a mano i secret degli accessi di terze parti. Nemmeno il trasferimento del progetto a un'altra organizzazione cambia la regione. ## Lovable Cloud è conforme al GDPR? Un'app Lovable Cloud esegue il backend con lo stesso modello, quindi valgono le stesse domande, con le impostazioni di Lovable davanti. Dalla [documentazione del backend](https://docs.lovable.dev/features/cloud), dalla [documentazione del database](https://docs.lovable.dev/features/database) e dalla [pagina del DPA](https://lovable.dev/data-processing-agreement) di Lovable: - **La regione è Americas, Europe o Asia Pacific**, scelta quando si attiva il backend. Prevale un default del workspace impostato da un admin (piani Business ed Enterprise). Altrimenti Lovable usa la sua impostazione "where project data is stored" e, in assenza, la regione più vicina a Lei. - **Potrebbe non vederla mai.** Con Enable Cloud su "Always allow", Lovable crea il backend in quella regione senza chiedere. Solo "Ask each time" mostra prima la regione. - **Non si può cambiare.** Lovable dice chiaramente che la regione di un progetto non può essere cambiata e che un progetto esistente non può essere spostato. - **La controlli** in More → Database → Manage → Settings, nella riga Database location, per esempio "Europe (Frankfurt)". - **Il sito stesso è servito in tutto il mondo**, qualunque sia la regione; la regione riguarda solo il backend. - **Le richieste di IA sono separate.** Tenere nell'UE le richieste ai modelli di IA è un'impostazione chiamata EU inference, sui workspace Enterprise. - **Il DPA è incluso nei piani Business ed Enterprise.** Quindi, se ha attivato il backend lavorando da fuori Europa, senza un'impostazione sua, il backend può trovarsi in un'altra regione, e con "Always allow" Lovable non chiede. Controlli la riga Database location prima che si registri il suo primo utente reale. ## Cosa la regione non risolve La guida di Supabase lo dice da sé: scegliere una regione è un controllo sulla posizione dei dati e da sola non rende un'applicazione conforme al GDPR. Le lacune che trovo più spesso sono nell'app, non nella piattaforma: 1. **Dati personali leggibili da chiunque.** Una tabella con la RLS disattivata, o con una policy che consente ogni riga, serve nomi ed email a chiunque abbia la chiave pubblica. Il [controllo di sicurezza Supabase](https://madsalt.tech/it/tools/supabase-security-check/) gratuito segnala tabelle senza RLS, policy che consentono ogni riga e colonne dall'aspetto sensibile leggibili da visitatori anonimi. 2. **Account creati con l'indirizzo di qualcun altro.** Con la conferma via email disattivata, chiunque può registrarsi con un indirizzo che non possiede. 3. **File in bucket pubblici.** Un [bucket pubblico](https://madsalt.tech/it/notes/supabase-public-bucket/) serve ogni file a chiunque ne conosca l'URL, e il CDN lo mette in cache in tutto il mondo. 4. **Fornitori che ha aggiunto Lei.** Ogni servizio di email, SMS, IA o analytics che le sue Edge Function chiamano è un suo responsabile del trattamento, non di Supabase, e richiede un accordo proprio. 5. **Cancellazione e conservazione.** Una richiesta di cancellazione fallisce se le chiavi esterne impediscono di eliminare un utente che ha scritto contenuti, e i log che conservano indirizzi per sempre sono un problema di conservazione. Le ultime due, e altre quattro, le tratto nella sezione GDPR della mia [checklist di sicurezza per app Lovable](https://madsalt.tech/it/blog/lovable-app-security-checklist/). Per ciò che Supabase certifica oltre il GDPR, veda [Supabase è sicuro?](https://madsalt.tech/it/blog/is-supabase-secure/). Questo articolo non è consulenza legale; il suo responsabile della protezione dei dati o il suo avvocato decide di cosa ha bisogno il suo trattamento. Non sa dove stanno i dati della sua app? Controllo volentieri con Lei la regione e le regole di accesso. Nessuna vendita. [Mi contatti](https://madsalt.tech/it/#contact)