n8n własny serwer czy chmura: co trafia na serwery n8n.cloud i jak to wpływa na RODO w Twojej firmie?

n8n możesz uruchomić na dwa sposoby: jako abonamentową usługę n8n.cloud albo jako oprogramowanie zainstalowane na własnym serwerze. Dla RODO różnica jest konkretna: w trybie cloud dane z każdego wykonanego przepływu, czyli nazwiska klientów, treści maili, numery faktur, trafiają na serwery n8n i są tam przetwarzane przez ich infrastrukturę. Na własnym serwerze te same dane nigdy nie opuszczają Twojej maszyny. To jest pełna odpowiedź. Reszta artykułu tłumaczy, co z tego wynika w praktyce, gdy musisz podjąć decyzję.

Co dokładnie "przepływa" przez n8n i gdzie to ląduje?

Wiele firm wyobraża sobie n8n jak tablicę połączeń: klikam, łączę systemy, dane idą "bezpośrednio" z A do B. To nie do końca tak działa. Kiedy n8n wykonuje przepływ, każdy węzeł przetwarza dane na serwerze, na którym działa instancja. Jeśli tą instancją jest n8n.cloud, ich serwer czyta, przetwarza i loguje te dane.

Konkretnie na serwery n8n.cloud trafiają:

• Payloady wykonań: faktyczne dane przesyłane między węzłami. Jeśli przepływ pobiera faktury z ERP i przekazuje je dalej, pełna treść tych faktur przez chwilę siedzi na serwerach n8n.
• Dane logowania do integracji: klucze API, tokeny OAuth, hasła połączeń. n8n szyfruje je w bazie, ale przechowuje u siebie.
• Logi wykonań: historia uruchomień przepływu z danymi wejściowymi i wyjściowymi węzłów. Czas przechowywania zależy od planu.

Typowo wygląda to tak, że firma automatyzuje obsługę reklamacji: przepływ pobiera wiadomość od klienta, wyciąga numer zamówienia, sprawdza status w systemie i odsyła odpowiedź. W każdym takim wykonaniu imię klienta, treść wiadomości i numer zamówienia przelatują przez serwer n8n obsługujący instancję cloud.

n8n.cloud a RODO: kto jest procesorem i co z tego wynika dla Ciebie?

Kiedy dane osobowe Twoich klientów lub pracowników trafiają na serwery n8n, n8n staje się podmiotem przetwarzającym w rozumieniu RODO. To oznacza kilka obowiązków po Twojej stronie.

Musisz podpisać umowę powierzenia przetwarzania danych. n8n ją oferuje i samo jej podpisanie jest możliwe, ale fakt, że musisz ją mieć, oznacza, że dane faktycznie opuszczają Twoją infrastrukturę. To pojawi się w Rejestrze Czynności Przetwarzania jako nowy procesor, który Twój IOD powinien zatwierdzić.

Poza tym n8n korzysta z podprocesorów: dostawców chmury, na której stoi ich platforma. Tych podprocesorów nie wybierasz. Jeśli n8n kiedykolwiek zmieni podprocesorów, powinno Cię powiadomić, ale Twój dział prawny musi to śledzić.

Serwery n8n.cloud są w UE, więc problem transferu do krajów trzecich nie pojawia się automatycznie. Ale dla firm z branży medycznej, kancelarii prawnych czy podmiotów przetwarzających dane pracownicze sama kwestia przetwarzania przez zewnętrzny podmiot bywa warunkiem blokującym. Klientom albo radzie nadzorczej nie wystarczy odpowiedź "mamy podpisaną umowę powierzenia". Pytają: czy dane wychodzą poza naszą infrastrukturę. I przy n8n.cloud odpowiedź brzmi: tak.

Co zmienia własny serwer: konkretne konsekwencje dla RODO

Przy n8n self-hosted n8n jako firma nie jest procesorem Twoich danych osobowych. Nie przetwarza ich. Dostarcza oprogramowanie, które sam uruchamiasz. Relacja wygląda tak samo jak z dostawcą programu zainstalowanego na Twoim komputerze: producent nie widzi tego, co w nim piszesz.

To przekłada się na kilka praktycznych konsekwencji:

• Brak wpisu do RCP jako procesora: n8n nie pojawia się w Rejestrze Czynności Przetwarzania, bo nie przetwarza danych. Umowy powierzenia podpisujesz tylko z firmami, do których faktycznie dane wysyłasz przez przepływy.
• Kontrola retencji logów: sam decydujesz, jak długo n8n trzyma logi wykonań. Możesz wyczyścić je po 24 godzinach albo trzymać rok. To Twoja baza danych, Twoje ustawienie.
• Brak podprocesorów po stronie n8n: jeśli serwer stoi w centrum danych w Polsce albo w Niemczech, które sam wybrałeś, wiesz dokładnie, gdzie leżą dane. Nie ma warstwy firm, z których każda dorzuca własnych podprocesorów.
• Dane logowania do integracji: klucze API do Twojego CRM, ERP czy skrzynki mailowej siedzą w Twojej bazie na Twoim serwerze.

U jednego z klientów z branży finansowej audyt RODO pokazał, że ich przepływy n8n.cloud przetwarzały dane z umów kredytowych, bo łączyły CRM z systemem obiegu dokumentów. Po przejściu na self-hosted ten wpis zniknął z rejestru czynności przetwarzania, bo dane przestały wychodzić poza infrastrukturę firmy.

Wzorzec architektoniczny: n8n na serwerze plus lokalny model AI

Firmy, które chcą budować automatyzacje wspierane przez AI bez wyprowadzania danych, coraz częściej składają to w jeden schemat. n8n self-hosted na wydzielonym serwerze lub VPS, a obok niego lokalny model językowy dostępny przez wewnętrzne API.

Jak to wygląda w praktyce: serwer obsługuje instancję n8n. Na tym samym serwerze lub w tej samej sieci prywatnej działa Ollama z wybranym modelem. n8n wysyła zapytania do modelu pod adres wewnętrzny. Sprawdza treść maila od klienta i klasyfikuje go jako reklamację lub pytanie handlowe. Cały przepływ: pobranie maila, analiza przez AI, zapis do systemu ticketowego, odbywa się bez jednego bajtu danych opuszczającego Twoją infrastrukturę.

n8n ma gotowe węzły do integracji z lokalnym modelem AI. Nie potrzebujesz do tego pisać kodu.

Ten schemat stosują szczególnie:

• kancelarie i biura rachunkowe automatyzujące obieg dokumentów z treścią objętą tajemnicą zawodową
• firmy produkcyjne integrujące dane z hal z systemami ERP
• podmioty medyczne, gdzie dane pacjenta podlegają art. 9 RODO jako dane szczególnej kategorii
• działy HR automatyzujące procesy rekrutacyjne i kadrowe
• firmy z kontraktami enterprise, w których klient wprost zakazuje przetwarzania swoich danych przez podmioty trzecie

Kiedy wybór własnego serwera jest nie tyle wygodny, co konieczny?

n8n.cloud wystarczy, gdy automatyzujesz procesy bez danych osobowych albo gdy dane i tak już trafiają do zewnętrznych systemów SaaS z własnymi umowami powierzenia. Jeśli korzystasz z Google Workspace i Salesforce, to kwestia, czy n8n.cloud widzi dane, jest drugorzędna: te dane już przetwarzają Google i Salesforce.

Własny serwer przestaje być opcją, a staje się wymogiem, kiedy:

• umowy z klientami zawierają klauzule zabraniające przetwarzania danych przez podmioty zewnętrzne bez ich zgody
• przetwarzasz dane szczególnej kategorii: medyczne, dotyczące wyroków skazujących, biometryczne
• Twój audytor lub inspektor ochrony danych postawił twardy wymóg co do lokalizacji i kontroli nad przetwarzaniem
• działasz w sektorze, gdzie regulacje branżowe nakładają dodatkowe wymagania na miejsce przetwarzania danych
• chcesz, żeby automatyzacje korzystały z modelu AI i by żadne dane nie trafiały do zewnętrznych API

Pytanie, które warto zadać przed wyborem: czy dane, które będą przepływać przez n8n, to dane osobowe? Jeśli tak: czy masz już powód, żeby przekazywać je poza własną infrastrukturę? Jeśli nie, własny serwer jest prostszym wyborem z perspektywy dokumentacyjnej i odpowiedzialności.

Od czego zacząć, zanim padnie pytanie o konfigurację?

Decyzja architektoniczna jest tu ważniejsza niż sam setup. Zanim ustalisz, gdzie postawić serwer i jak go skonfigurować, warto odpowiedzieć na kilka pytań, które określą skalę infrastruktury:

• Jakie dane będą przepływać przez automatyzacje i czy są to dane osobowe lub szczególnej kategorii?
• Czy planowane przepływy będą wywoływać modele AI i czy te modele też mają być lokalne?
• Kto będzie odpowiadał za aktualizacje n8n i backup bazy danych z przepływami?
• Czy firma ma już infrastrukturę serwerową, którą można rozbudować, czy zaczynamy od zera?

Odpowiedzi na te pytania rozstrzygają, czy wystarczy mały VPS z n8n, czy potrzebujesz wydzielonego serwera z zasobami na modele AI. Różnica w wymaganiach sprzętowych między prostym n8n a n8n z lokalnym modelem językowym jest duża, a warto to ustalić przed zakupem infrastruktury.

Jeśli chcesz sprawdzić, jak konkretne procesy w Twojej firmie można zautomatyzować bez wyprowadzania danych do chmury, zajrzyj na realne wdrożenia albo umów się na bezpłatny audyt, podczas którego zmapujemy przepływy danych i dobierzemy architekturę do Twoich wymagań RODO.