Īsumā
Supabase atbalsta GDPR atbilstošas lietotnes un piedāvā Data Processing Agreement, taču tas nepadara jūsu lietotni atbilstošu. Jūsu izvēlētajā reģionā atrodas Postgres datubāze, Auth, Storage faili un rezerves kopijas. Četras lietas darbojas ārpus tā: Storage CDN kešatmiņa, Edge Functions, ja tās nenofiksējat, platformas žurnāli un atbalsta piekļuve. Ja vajag ES, izvēlieties Īriju, Parīzi, Frankfurti vai Stokholmu, nevis vispārējo “Europe” opciju, kas var nonākt arī Londonā vai Cīrihē. Reģionu vēlāk nevar mainīt: pārcelšana nozīmē jaunu projektu un migrāciju. Lovable Cloud darbojas tāpat un izvēlas jums tuvāko reģionu, ja neizvēlaties paši.
Esmu Denys, full-stack un AI inženieris, un lielākā daļa lietotņu, ko veidoju vai labāju, darbojas uz Supabase. Eiropas klienti vispirms uzdod divus jautājumus: vai Supabase atbilst GDPR un kur dati atrodas? Šis raksts atbild uz abiem pēc Supabase un Lovable paša dokumentiem, lasītiem 2026. gada 29. oktobrī, kā arī parāda komandas, ar kurām pārbaudu projektu.
Vai Supabase atbilst GDPR?
Supabase GDPR guide to formulē kā kopīgu atbildību: Supabase nodrošina infrastruktūru, bet jūs atbildat par savas lietotnes datu apstrādi, piekrišanas plūsmām un piekļuves kontroli. GDPR izpratnē Supabase ir jūsu apstrādātājs (processor) datiem, ko glabājat, un tā Data Processing Addendum ir līgums, kas to nosaka. Tas pats dokuments nosauc Supabase par pārzini (controller) vienai kategorijai: lietojuma datiem, ko tas vāc platformas darbināšanai.
Divas šī DPA daļas praksē ir svarīgas:
- Reģions. Kad liekat Supabase apstrādāt datus reģionā, tas tos glabā un galvenokārt apstrādā tur, ja vien likums, jūsu paša norādījumi vai pieprasītais pakalpojums neprasa citādi.
- Apakšapstrādātāji. Jūs iepriekš pilnvarojat Supabase apakšapstrādātāju sarakstu, un Supabase 30 dienas iepriekš paziņo par izmaiņām. Uz šīm izmaiņām var abonēt tajā pašā lapā. Sarakstā ir AWS un Cloudflare hostingam, kā arī pakalpojumu sniedzēji atbalstam, kļūdu uzraudzībai un ziņojumiem konta lietotājiem.
Kur Supabase glabā jūsu datus?
Data residency FAQ un reģionu lapa to sadala šādi:
| Jūsu projekta daļa | Kur tā tiek apstrādāta |
|---|---|
| Postgres datubāze un tās rezerves kopijas | Jūsu izvēlētais AWS reģions |
| Auth (lietotāji, sesijas) | Jūsu izvēlētais reģions |
| Storage faili avotā | Jūsu izvēlētais reģions |
| Storage CDN kešatmiņa | Visā pasaulē, kešota Cloudflare |
| Edge Functions | Malā, kas ir tuvāk izsaucējam, ja vien nenofiksējat tās reģionā |
| Platformas žurnāli un telemetrija | Ārpus jūsu reģiona; žurnāli tiek glabāti ES datu centros |
| Atbalsta piekļuve | Globāla atbalsta komanda, kad lūdzat palīdzību vai drošības incidenta laikā, tiek reģistrēta |
| Jūsu konta un norēķinu dati | Supabase centrālajās sistēmās; šeit Supabase ir pārzinis |
FAQ uz tiešo jautājumu atbild skaidri: Supabase negarantē, ka jūsu dati nekad neatstās reģionu. Jūsu datubāze un rezerves kopijas paliek; četras kategorijas tabulas apakšā var to atstāt.
Kuri Supabase reģioni ir ES?
ES robežās ir četri konkrēti reģioni: West EU (Ireland) eu-west-1, West EU (Paris) eu-west-3, Central EU (Frankfurt) eu-central-1 un North EU (Stockholm) eu-north-1. London eu-west-2 un Zurich eu-central-2 atrodas Eiropā un tiem ir GDPR adekvātuma lēmumi, taču tās nav ES dalībvalstis.
Šī atšķirība ir svarīga, veidojot projektu. Vispārējā “Europe” opcija ļauj Supabase izvēlēties pieejamu Eiropas reģionu pēc kapacitātes, un regions guide brīdina, ka tas var būt London vai Zurich. Ja jūsu līgumā vai pie klienta teikts “dati paliek ES”, izvēlieties konkrētu ES reģionu. Vēl viena detaļa, ja paļaujaties uz reģionālām Edge Functions: reģionu lapa saka, ka funkcijas nofiksēšana reģionā nav pieejama Ohio un Stockholm.
Kā pārbaudīt sava projekta reģionu?
Dashboard reģions redzams projekta iestatījumos. No termināļa Supabase CLI parāda katru projektu, kam jums ir piekļuve, ar tā reģionu:
supabase projects list
supabase projects list -o json # each project has a "region" field, e.g. "eu-west-1"
Es to palaidu savā kontā ar CLI 2.109.1: katrs projekts atgrieza savu AWS reģiona kodu, tāpēc ātri pārskatot redzams, vai kāds projekts atrodas ārpus ES.
Vai to var mainīt? Nē. Supabase troubleshooting piezīme saka, ka projekts ir piesaistīts reģionam infrastruktūras līmenī. Pārcelšana nozīmē jauna projekta izveidi mērķa reģionā un migrāciju uz to, pēc tam API URL un atslēgu atjaunināšanu lietotnē un trešo pušu pieteikšanās noslēpumu kopēšanu ar roku. Projekta pārvietošana uz citu organizāciju reģionu arī nemaina.
Vai Lovable Cloud atbilst GDPR?
Lovable Cloud lietotnes aizmugure darbojas pēc tā paša modeļa, tāpēc ir tie paši jautājumi, tikai ar Lovable iestatījumiem priekšā. No Lovable backend docs, database docs un DPA lapas:
- Reģions ir viens no: Americas, Europe vai Asia Pacific, ko izvēlas, kad aizmugure tiek ieslēgta. Administratora iestatītais darbvietas noklusējums ir noteicošais (Business un Enterprise plāni). Citādi Lovable izmanto jūsu pašu iestatījumu “where project data is stored”, bet, ja tā nav, jums tuvāko reģionu.
- Jūs to varat nekad neieraudzīt. Ja Enable Cloud ir iestatīts uz “Always allow”, Lovable izveido aizmuguri šajā reģionā, nejautājot. Tikai “Ask each time” vispirms parāda reģionu.
- To nevar mainīt. Lovable skaidri saka, ka projekta reģionu nevar mainīt un esošu projektu nevar pārvietot.
- Pārbaudiet sadaļā More → Database → Manage → Settings, rindā Database location, piemēram, “Europe (Frankfurt)”.
- Pati vietne tiek pasniegta globāli, neatkarīgi no reģiona; reģions attiecas tikai uz aizmuguri.
- AI pieprasījumi ir atsevišķi. AI modeļu pieprasījumu paturēšana ES ir iestatījums, ko sauc EU inference, Enterprise darbvietām.
- DPA ir iekļauts Business un Enterprise plānos.
Tātad, ja aizmuguri ieslēdzāt, strādājot ārpus Eiropas, bez sava iestatījuma, aizmugure var atrasties citā reģionā, un ar ieslēgtu “Always allow” Lovable nejautā. Pārbaudiet rindu Database location, pirms reģistrējas jūsu pirmais īstais lietotājs.
Ko reģions neatrisina
Paša Supabase ceļvedis to saka: reģiona izvēle ir datu atrašanās vietas kontrole un pati par sevi nepadara lietotni GDPR atbilstošu. Biežākie robi, ko atrodu, ir lietotnē, nevis platformā:
- Personas dati, ko var nolasīt ikviens. Tabula ar izslēgtu RLS vai politika, kas ļauj visas rindas, atdod vārdus un e-pastus ikvienam, kam ir publiskā atslēga. Bezmaksas Supabase drošības pārbaude atzīmē tabulas bez RLS, politikas, kas ļauj visas rindas, un jutīgi izskatošās kolonnas, kas nolasāmas anonīmiem apmeklētājiem.
- Konti, kas izveidoti ar kāda cita adresi. Ja e-pasta apstiprināšana ir izslēgta, ikviens var reģistrēties ar adresi, kas viņam nepieder.
- Faili publiskos buckets. Publisks bucket pasniedz katru failu ikvienam, kam ir tā URL, un CDN to kešo visā pasaulē.
- Apstrādātāji, ko pievienojāt paši. Katrs e-pasta, SMS, AI vai analītikas pakalpojums, ko izsauc jūsu Edge Functions, ir jūsu apstrādātājs, nevis Supabase, un tam vajag savu līgumu.
- Dzēšana un glabāšana. Dzēšanas pieprasījums neizdodas, ja ārējās atslēgas liedz dzēst lietotāju, kurš rakstījis saturu, un žurnāli, kas glabā adreses mūžīgi, ir glabāšanas termiņa problēma.
Pēdējos divus un vēl četrus apskatu savā Lovable lietotnes drošības kontrolsaraksta GDPR sadaļā. Par to, ko Supabase sertificē ārpus GDPR, skatiet vai Supabase ir drošs?. Šis raksts nav juridisks padoms; jūsu datu aizsardzības speciālists vai jurists izlemj, ko prasa jūsu apstrāde.
Neesat drošs, kur atrodas jūsu lietotnes dati?
Labprāt kopā ar jums pārbaudīšu reģionu un piekļuves noteikumus. Bez pārdošanas.
Sazināties