Supabase

Qué es Supabase y dónde encaja en una arquitectura web

Supabase es una alternativa de código abierto a Firebase que combina una base de datos Postgres gestionada, un servicio de autenticación, almacenamiento de ficheros, websockets en tiempo real y funciones edge en un único backend. Los desarrolladores crean un proyecto, eligen una región de AWS y consumen la plataforma mediante el SDK supabase-js, la API REST generada automáticamente a partir de Postgres, el endpoint GraphQL o conexiones SQL directas. Supabase se utiliza ampliamente como backend de aplicaciones Next.js, SvelteKit, Nuxt y Expo en las que la capa de datos, la autenticación y la subida de archivos se delegan completamente en Supabase.

Qué datos trata Supabase

Supabase trata los datos de aplicación que el cliente envía al proyecto: cuentas de usuario en la tabla auth.users, datos de perfil y de negocio en tablas personalizadas, ficheros en buckets de Storage, payloads emitidos en tiempo real mediante replicación de Postgres y registros de auditoría. Supabase Auth emite un JSON Web Token, una cookie de acceso (sb-access-token), una cookie de actualización (sb-refresh-token) y almacena la sesión en el localStorage del navegador cuando se utiliza el SDK de JavaScript. La plataforma también recoge metadatos estándar (dirección IP, User Agent) por motivos de seguridad y limitación de tasa.

Implicaciones RGPD y ePrivacy

Supabase Inc. actúa como encargado del tratamiento para los datos de aplicación del cliente y como responsable para fines limitados de cuenta, facturación y seguridad. Las cookies de Supabase Auth son estrictamente necesarias para mantener al usuario autenticado y se acogen a la excepción de ePrivacy, por lo que no se requiere consentimiento. Los datos personales almacenados en la base, en Storage o en los canales Realtime heredan la base jurídica elegida por el cliente (normalmente ejecución de un contrato según el artículo 6.1.b) del RGPD para un SaaS autenticado, o consentimiento según el artículo 6.1.a) para datos de marketing).

Transferencias internacionales de datos

Los proyectos de Supabase pueden desplegarse en eu-central-1 (Frankfurt), eu-west-1 (Irlanda), eu-west-2 (Londres) o eu-west-3 (París). Aunque se elija una región europea, el panel de control, el soporte, la observabilidad y la facturación se operan desde Estados Unidos. Las transferencias se apoyan en el Anexo de Tratamiento de Supabase, las Cláusulas Contractuales Tipo de la UE conforme al artículo 46.2.c) del RGPD y el Marco de Privacidad de Datos UE EE. UU., con TLS 1.3, cifrado en reposo, SOC 2 Tipo II, HIPAA para el plan empresarial y un acceso de soporte muy restringido. Las copias de seguridad a largo plazo permanecen en la misma región de AWS que el proyecto.

Pasos prácticos de cumplimiento

Firme el Anexo de Tratamiento de Supabase, elija una región europea para producción, restrinja las políticas RLS permisivas, habilite registros de auditoría y defina reglas de retención para auth.users, los metadatos de usuario y los buckets de Storage. Documente Supabase como encargado del tratamiento en su registro de actividades, mencione a Supabase Inc., el destino estadounidense y las garantías CCT y DPF en la política de privacidad, y asegúrese de que las integraciones analíticas o de marketing conectadas a Supabase (Segment, PostHog, Hotjar, Meta Pixel) respetan el estado de consentimiento del visitante.