Supabase

Lorsque l'application utilise Supabase Auth côté navigateur, Supabase pose des cookies strictement nécessaires : sb-access-token (JWT d'accès), sb-refresh-token (jeton de rafraîchissement) et un cookie auxiliaire sb- pour le SSR. Ces cookies sont posés sur le domaine de l'application (first party). Supabase Auth stocke également la session dans le localStorage lorsque le SDK JavaScript est configuré pour cela.

Les cookies posés par Supabase Auth sont strictement nécessaires au maintien d'une session authentifiée et bénéficient de l'exemption ePrivacy ; aucun consentement n'est requis. Un consentement est requis si l'application stocke via Supabase des données marketing ou analytiques qui vont au delà du compte utilisateur, ou si le frontend embarque des trackers non essentiels à côté de Supabase.

La création de compte, la connexion et le SaaS lui même reposent sur l'exécution d'un contrat au sens de l'article 6, paragraphe 1, point b) du RGPD. Les journaux de sécurité et la limitation de débit s'appuient sur l'intérêt légitime (article 6, paragraphe 1, point f). Les données marketing, les opt in newsletter et les analytics stockés dans Supabase s'appuient sur le consentement (article 6, paragraphe 1, point a).

Supabase signe les Clauses Contractuelles Types européennes au sens de l'article 46, paragraphe 2, point c) du RGPD via son Addendum au traitement et confirme son adhésion au Data Privacy Framework UE États Unis. Les données de production résident dans la région AWS choisie par le client (eu-central-1, eu-west-1, eu-west-2, eu-west-3). Les mesures complémentaires comprennent TLS 1.3, le chiffrement au repos, SOC 2 Type II, HIPAA pour les clients entreprise et un accès support strictement encadré.

Une AIPD est recommandée lorsque Supabase stocke des volumes importants de données personnelles (comptes utilisateurs, profils, données de santé, données financières, données de localisation), lorsque l'application profile systématiquement les utilisateurs européens ou lorsque Realtime diffuse en direct des données personnelles. Pour une petite waiting list, un formulaire de contact ou un outil interne, une AIPD n'est en général pas nécessaire.

Signez l'Addendum Supabase, choisissez une région européenne pour la production, activez des politiques RLS strictes, n'utilisez les clés service role qu'en environnement serveur sécurisé, activez les journaux d'audit, définissez des règles de rétention pour les utilisateurs et Storage et inscrivez Supabase comme sous traitant dans le registre des activités de traitement. Mentionnez Supabase Inc., la région UE et les garanties CCT et DPF dans la politique de confidentialité.

Les alternatives européennes ou auto hébergées incluent Supabase auto hébergé (le projet est open source sous Apache 2.0), Nhost (Allemagne), Hasura (US et UE), Appwrite (Pays Bas, auto hébergé ou cloud), Pocketbase (open source, auto hébergé), Directus (open source, auto hébergé) et OVHcloud Postgres managé combiné à une authentification maison.

Listez Supabase Inc. comme sous traitant du backend, mentionnez les cookies strictement nécessaires de Supabase Auth (sb-access-token, sb-refresh-token) et expliquez qu'ils maintiennent la session de l'utilisateur, précisez que les données sont stockées dans une région AWS européenne choisie par l'éditeur et renvoyez vers la Politique de confidentialité de Supabase. Aucune entrée de consentement n'est requise pour ces cookies qui relèvent de l'exemption stricte nécessité.