Ar Supabase atitinka GDPR? Kur iš tikrųjų yra duomenys

Trumpai

Supabase palaiko su GDPR (lietuviškai BDAR) suderinamas programas ir siūlo duomenų tvarkymo sutartį (DPA), bet pati jūsų programa dėl to neatitiks. Jūsų pasirinktas regionas laiko Postgres duomenų bazę, Auth, Storage failus ir atsargines kopijas. Keturi dalykai veikia už jo ribų: Storage CDN talpykla, Edge Functions, jei jų neprisegate, platformos žurnalai ir palaikymo prieiga. Jei reikia ES, rinkitės Airiją, Paryžių, Frankfurtą ar Stokholmą, o ne bendrą „Europe“ pasirinkimą, kuris gali patekti ir į Londoną ar Ciurichą. Regiono vėliau pakeisti negalima: perkėlimas reiškia naują projektą ir migraciją. Lovable Cloud veikia taip pat ir, jei nepasirinksite, parenka jums artimiausią regioną.

Esu Denys, full-stack ir AI inžinierius, ir dauguma programų, kurias kuriu ar taisau, veikia ant Supabase. Europos klientai pirmiausia klausia dviejų dalykų: ar Supabase atitinka GDPR ir kur yra duomenys? Šis straipsnis atsako į abu remdamasis paties Supabase ir Lovable dokumentais, perskaitytais 2026 m. spalio 29 d., ir komandomis, kuriomis tikrinu projektą.

Supabase GDPR vadovas tai pateikia kaip bendrą atsakomybę: Supabase saugo infrastruktūrą, o jūs atsakote už savo programos duomenų tvarkymą, sutikimų eigas ir prieigos kontrolę. GDPR terminais Supabase yra jūsų duomenų tvarkytojas (processor) dėl duomenų, kuriuos saugote, o jo duomenų tvarkymo priedas (DPA) yra tai patvirtinanti sutartis. Tas pats dokumentas Supabase įvardija duomenų valdytoju (controller) vienai kategorijai: naudojimo duomenims, kuriuos jis renka platformai valdyti.

Praktikoje svarbios dvi to DPA dalys:

Regionas. Kai Supabase nurodote regioną, kuriame tvarkyti duomenis, jis saugo ir pirmiausia tvarko juos ten, nebent kitaip reikalautų įstatymas, jūsų pačių nurodymai ar paslauga, kurios paprašėte.
Subtvarkytojai. Iš anksto įgaliojate Supabase subtvarkytojų sąrašą, o prieš jį keisdamas Supabase įspėja likus 30 dienų. Tų pokyčių prenumeratą galite įjungti tame pačiame puslapyje. Sąraše yra AWS ir Cloudflare talpinimui bei paslaugų teikėjai palaikymui, klaidų stebėsenai ir žinutėms paskyrų naudotojams.

Kur Supabase saugo jūsų duomenis?

Duomenų vietos DUK ir regionų puslapis skirsto taip:

Jūsų projekto dalis	Kur tvarkoma
Postgres duomenų bazė ir kopijos	Jūsų pasirinktas AWS regionas
Auth (naudotojai, sesijos)	Jūsų pasirinktas regionas
Storage failai šaltinyje	Jūsų pasirinktas regionas
Storage CDN talpykla	Visame pasaulyje, talpinama Cloudflare
Edge Functions	Skambinančiajam artimiausiame edge, nebent prisegtos prie regiono
Platformos žurnalai ir telemetrija	Už jūsų regiono ribų; žurnalai saugomi ES duomenų centruose
Palaikymo prieiga	Pasaulinė palaikymo komanda, kai prašote pagalbos ar saugumo incidento metu, registruojama
Jūsų paskyra ir atsiskaitymo duomenys	Centrinės Supabase sistemos; čia Supabase yra duomenų valdytojas

1 pav. Supabase duomenų vietos DUK ir regionų puslapis, perskaityta 2026 m. spalio 29 d.

DUK tiesiai atsako į tiesų klausimą: Supabase negarantuoja, kad jūsų duomenys niekada neišeis iš regiono. Duomenų bazė ir kopijos lieka; keturios lentelės pabaigos kategorijos gali išeiti.

Kurie Supabase regionai yra ES?

ES viduje yra keturi konkretūs regionai: West EU (Ireland) eu-west-1, West EU (Paris) eu-west-3, Central EU (Frankfurt) eu-central-1 ir North EU (Stockholm) eu-north-1. London eu-west-2 ir Zurich eu-central-2 yra Europoje ir turi GDPR tinkamumo sprendimus, bet nėra ES valstybės narės.

Šis skirtumas svarbus kuriant projektą. Bendras „Europe“ pasirinkimas leidžia Supabase pagal talpą parinkti prieinamą Europos regioną, o regionų vadovas įspėja, kad tai gali būti London ar Zurich. Jei jūsų sutartyje ar kliento reikalavime rašoma „duomenys lieka ES“, rinkitės konkretų ES regioną. Dar viena detalė, jei remiatės regioninėmis Edge Functions: regionų puslapis nurodo, kad funkcijos prisegimas prie regiono nepasiekiamas Ohajuje ir Stokholme.

Kaip patikrinti projekto regioną?

Dashboard regionas rodomas projekto nustatymuose. Iš terminalo Supabase CLI išvardija visus jums prieinamus projektus su jų regionu:

supabase projects list
supabase projects list -o json   # each project has a "region" field, e.g. "eu-west-1"

Paleidau tai savo paskyroje su CLI 2.109.1: kiekvienas projektas grįžo su AWS regiono kodu, todėl greita peržiūra parodo, ar kuris nors projektas yra ne ES.

Ar galima pakeisti? Ne. Supabase troubleshooting pastaba teigia, kad projektas prie regiono susietas infrastruktūros lygiu. Perkelti reiškia sukurti naują projektą tiksliniame regione ir migruoti į jį, tada programoje atnaujinti API URL ir raktus bei rankiniu būdu nukopijuoti trečiųjų šalių prisijungimo secrets. Projekto perdavimas kitai organizacijai regiono taip pat nekeičia.

Lovable Cloud programos backend veikia pagal tą patį modelį, todėl galioja tie patys klausimai, tik prieš juos stovi Lovable nustatymai. Iš Lovable backend dokumentacijos, duomenų bazės dokumentacijos ir DPA puslapio:

Regionas yra vienas iš Americas, Europe ar Asia Pacific, renkamas įjungiant backend. Administratoriaus nustatytas workspace numatytasis variantas turi pirmenybę (Business ir Enterprise planai). Kitaip Lovable naudoja jūsų pačių nustatymą „where project data is stored“, o jei jo nėra, jums artimiausią regioną.
Galite jo niekada nepamatyti. Kai Enable Cloud nustatytas į „Always allow“, Lovable sukuria backend tame regione neklausdamas. Regioną iš anksto parodo tik „Ask each time“.
Jo pakeisti negalima. Lovable aiškiai sako, kad projekto regiono pakeisti negalima ir esamo projekto perkelti negalima.
Patikrinkite jį More → Database → Manage → Settings, eilutėje Database location, pavyzdžiui, „Europe (Frankfurt)“.
Pati svetainė aptarnaujama visame pasaulyje, nepriklausomai nuo regiono; regionas apima tik backend.
AI užklausos atskirai. AI modelių užklausų laikymas ES yra nustatymas, vadinamas EU inference, Enterprise workspace.
DPA įtrauktas į Business ir Enterprise planus.

Taigi, jei backend įjungėte dirbdami ne iš Europos ir neturėdami savo nustatymo, backend gali būti kitame regione, o su įjungtu „Always allow“ Lovable neklausia. Patikrinkite eilutę Database location, kol neprisiregistravo pirmas tikras naudotojas.

Ko regionas neišsprendžia

Pats Supabase vadovas tai sako: regiono pasirinkimas yra duomenų vietos kontrolė ir pati savaime nepadaro programos atitinkančios GDPR. Spragos, kurias randu dažniausiai, yra programoje, o ne platformoje:

Asmens duomenys, kuriuos gali skaityti bet kas. Lentelė su išjungtu RLS arba politika, leidžiančia visas eilutes, atiduoda vardus ir el. pašto adresus kiekvienam, turinčiam viešąjį raktą. Nemokamas Supabase saugos tikrintuvas pažymi lenteles be RLS, politikas, leidžiančias visas eilutes, ir jautriai atrodančius stulpelius, kuriuos gali skaityti anoniminiai lankytojai.
Paskyros, sukurtos su svetimu adresu. Su išjungtu el. pašto patvirtinimu kiekvienas gali užsiregistruoti su adresu, kurio neturi.
Failai viešuose bucket. Viešas bucket atiduoda kiekvieną failą bet kam, turinčiam jo URL, o CDN jį talpina visame pasaulyje.
Tvarkytojai, kuriuos pridėjote patys. Kiekviena el. pašto, SMS, AI ar analitikos paslauga, kurią kviečia jūsų Edge Functions, yra jūsų tvarkytojas, o ne Supabase, ir jai reikia savo sutarties.
Ištrynimas ir saugojimas. Ištrynimo prašymas nepavyksta, jei užsienio raktai neleidžia ištrinti naudotojo, sukūrusio turinį, o žurnalai, amžinai saugantys adresus, yra saugojimo problema.

Paskutinius du ir dar keturis aprašau GDPR skyriuje savo Lovable programos saugos sąraše. Ką Supabase sertifikuoja be GDPR, žr. ar Supabase saugus?. Šis straipsnis nėra teisinė konsultacija; ko reikia jūsų duomenų tvarkymui, sprendžia jūsų duomenų apsaugos pareigūnas ar teisininkas.

Nežinote, kur yra jūsų programos duomenys?

Mielai kartu patikrinsiu regioną ir prieigos taisykles. Be pardavimų kalbų.

Susisiekti