Supabase peut être utilisé de façon conforme au RGPD, à condition de le configurer et de le contractualiser correctement : la plateforme n'est pas « conforme » par défaut. Il faut choisir une région européenne à la création du projet (Paris eu-west-3, Francfort ou Irlande), signer le DPA (accord de traitement) proposé par Supabase et documenter le projet dans votre registre des traitements. La région ne se change pas après coup : un projet créé aux États-Unis devra être migré.
Les points que l'on oublie
- Tout ne reste pas dans la région : base, authentification et stockage y restent, mais les Edge Functions s'exécutent par défaut au plus près de l'utilisateur, et les réplicas de lecture peuvent être placés hors UE.
- Société américaine : Supabase Inc. reste soumise au droit américain (Cloud Act). Pour des données sensibles ou des marchés publics exigeant SecNumCloud, le service géré ne suffit pas.
- Sécurité applicative : la majorité des fuites constatées sur des projets Supabase viennent de règles RLS absentes ou trop permissives, pas de l'hébergeur.
Alternative souvent retenue : Supabase étant open source (Apache 2.0), il s'auto-héberge chez un hébergeur français, ce qui supprime la question du transfert au prix d'une exploitation à assurer. Le plan Pro géré démarre autour de 25 $ par mois et par organisation, hors dépassements. Pulsar Forge audite et sécurise ces socles avant mise en production : parlons de votre projet.