Shopware

Shopware AG est l'entité opérationnelle, immatriculée à l'Amtsgericht Coesfeld sous HRB 11471, avec le numéro de TVA allemand DE261679493 et le siège social Ebbinghoff 10, 48624 Schöppingen, Rhénanie-du-Nord-Westphalie, Allemagne. Le directoire est composé de deux membres, les fondateurs Stefan Hamann et Sebastian Hamann ; le conseil de surveillance est présidé par Christoph Hertz. La société mère de Shopware AG est la holding allemande Shopware Holding GmbH (Amtsgericht Coesfeld HRB 20410, même adresse à Schöppingen), au sein de laquelle les frères Hamann détiennent la majorité et PayPal Holdings, Inc. détient environ 41 %. Les clients de l'UE et d'Allemagne contractent avec Shopware AG ; le contact du service juridique pour le contrat de sous-traitance est [email protected]. Une entité américaine distincte, Shopware US Inc., gère les ventes et le marketing aux États-Unis mais n'héberge pas l'infrastructure SaaS.

Le lieu de stockage de Shopware Cloud SaaS est inscrit mot pour mot à l'annexe IV du DPA : UE, région eu-central-1 à Francfort, Allemagne, sur l'infrastructure d'AWS EMEA SARL. Le sous-traitant d'observabilité Datadog Inc. traite les données dans la région Datadog Germany. Shopware sur Upsun PaaS permet au client de choisir entre AWS Europe (UE, Royaume-Uni, États-Unis, Canada, Australie), Microsoft Azure France (UE uniquement), Google Cloud France (UE, Royaume-Uni, États-Unis), OVHcloud (UE uniquement) et Platform.sh / Upsun lui-même (UE uniquement). Les clients qui auto-hébergent l'édition Community sous licence MIT ou une édition payante exécutent Shopware entièrement sur leur propre infrastructure et choisissent leur propre résidence des données. L'annexe II du DPA déclare que le sous-traitant ne collecte ni ne traite de données relevant des catégories particulières au titre de l'article 9 du RGPD.

Shopware AG est elle-même une société privée allemande contrôlée par son directoire allemand, et le plan de données client de Shopware Cloud SaaS réside sur AWS Francfort. L'exposition au CLOUD Act passe par deux canaux indirects. Premièrement, la chaîne de sous-traitance SaaS : AWS EMEA SARL est une entité luxembourgeoise mais reste in fine une filiale d'Amazon.com, Inc., et Datadog Inc. est une entité new-yorkaise qui traite les données dans la région UE ; toutes deux sont accessibles au titre du 18 U.S.C. § 2713 pour les données qui se trouvent en leur possession, sous leur garde ou sous leur contrôle. Deuxièmement, depuis le 21 octobre 2025, PayPal Holdings, Inc. (Nasdaq : PYPL, cotée aux États-Unis) détient une minorité stratégique d'environ 41 % de Shopware Holding GmbH après avoir repris la participation de Carlyle Group ; les frères Hamann conservent la majorité et le contrôle opérationnel, mais PayPal est un actionnaire coté aux États-Unis avec un siège au conseil. Les clients qui auto-hébergent sur des hébergeurs souverains européens (tels que Hetzner, IONOS, OVHcloud ou Scaleway) ou qui choisissent la région OVHcloud ou Upsun PaaS évitent tout sous-traitant domicilié aux États-Unis dans le chemin de données de production.

Shopware 6 publie l'intégralité de son cœur e-commerce sous licence MIT sur github.com/shopware/shopware (Copyright 2019 shopware AG) ; le composer.json identifie le paquet comme shopware/platform, de type library et de licence MIT. Le cœur n'est ni bridé, ni soumis à une double licence, ni cloisonné par des fonctionnalités par rapport aux éditions payantes : les utilisateurs de la Community Edition obtiennent le même cœur sous licence MIT que les éditions par abonnement Rise, Evolve et Beyond étendent avec des services managés, des plugins premium (B2B Components, Advanced Search, Dynamic Access, Digital Sales Rooms, Multi-Inventory, Subscriptions) et un hébergement cloud managé. Le portail Shopware Account et la place de marché d'extensions Shopware Store sont exploités par Shopware comme services commerciaux et limitent l'accès au-delà d'un GMV annuel de 1 million EUR au titre de la Fair Usage Policy, mais le logiciel lui-même est libre d'exécution. Environ 3 100 extensions communautaires sont publiées sur le Shopware Store, et Shopware a été classé n° 1 des logiciels e-commerce open source dans l'Emerce 100 2026.

Shopware publie sa liste de sous-traitants directement à l'annexe IV du Data Processing Agreement sur shopware.com/en/privacy/dpa/ plutôt que sur une page séparée. Les sous-traitants SaaS sont AWS EMEA SARL (IaaS, Francfort eu-central-1) et Datadog Inc. (supervision, région Germany). Les sous-traitants PaaS sont AWS EMEA SARL, Microsoft Azure France, Google Cloud France, OVHcloud et Platform.sh SAS exploitant la marque Upsun. Le site shopware.com lui-même utilise un ensemble distinct de sous-traitants marketing et analytics, divulgués dans la politique de confidentialité du site sur shopware.com/de/datenschutz/website/, comprenant Usercentrics (gestion du consentement), HubSpot, Amplitude, Sentry, Dreamdata, des produits Google, Meta, LinkedIn, Microsoft Advertising, PayPal Luxembourg et Unzer ; ceux-ci ne voient jamais les données client de Shopware Cloud. Shopware s'engage à un préavis d'au moins trois mois pour tout nouveau sous-traitant au titre de la clause 7.7(a) du DPA.

Chaque palier payant de Shopware (Rise, Evolve, Beyond) est disponible en SaaS sur AWS Francfort, en PaaS sur Upsun au-dessus d'une région cloud européenne sélectionnable par le client, ou en installation auto-hébergée sur une infrastructure contrôlée par le client. La Community Edition gratuite n'est disponible qu'en auto-hébergement. Le chemin de souveraineté le plus solide consiste à auto-héberger le cœur sous licence MIT sur un hébergeur européen tel que Hetzner, IONOS, OVHcloud ou Scaleway, ce qui retire entièrement Shopware AG de la chaîne de sous-traitance. Le deuxième plus solide est Shopware sur Upsun PaaS au-dessus de la région OVHcloud, qui maintient tous les sous-traitants du chemin de données de production dans l'Union européenne et évite les fournisseurs IaaS dont la société mère est américaine. Shopware Cloud SaaS sur AWS Francfort offre une résidence UE mais conserve la chaîne de sous-traitance AWS et Datadog, avec une exposition au capital américain.