OXID eShop Community Edition

Qu'est-ce qu'OXID eShop Community Édition

OXID eShop est une plateforme e-commerce allemande développée par OXID eSales AG, dont le siège est à Fribourg-en-Brisgau. La Community Édition est la variante libre et open source sous licence OSL 3.0. Elle est largement utilisée par les PME d'Allemagne, d'Autriche et de Suisse pour des scénarios B2B, B2C'et B2B2C. OXID eShop CE est une application PHP/MySQL installée sur l'infrastructure du marchand, ce qui lui donne un fort contrôle sur la région d'hébergement, les flux de données et les mesures de sécurité.

Données et cookies collectés

Une installation OXID eShop CE par défaut dépose un cookie de session PHP (souvent nommé sid ou sid_key), un cookie d'authentification une fois l'utilisateur connecté, et un cookie de panier persistant qui conserve les articles entre les visites. Ces cookies sont premiers et strictement nécessaires. La plateforme traité par ailleurs les données de commande, d'adresse, de paiement, les comptes clients, les tickets de support et l'historique de navigation produit. Les modules optionnels de l'OXID Exchange ajoutent leurs propres cookies pour l'analytique, la recommandation, la marketing automation et le chat.

Implications RGPD et ePrivacy

Les cookies de session, de panier et de login relèvent de l'exemption de l'article 5(3) ePrivacy et ne nécessitent pas de consentement. Les données de commande et de compte sont traitées au titre de l'exécution du contrat (article 6(1)(b) RGPD), sans consentement, mais sous les obligations de transparence des articles 13 et 14 RGPD. Les modules analytiques (Google Analytics, Matomo, Econda) et marketing (Google Ads, Meta Pixel, Criteo) introduisent des cookies non strictement nécessaires qui requièrent un consentement préalable au titre de l'article 82 de la loi Informatique et Libertés en France ou des règles équivalentes.

Consentement et base légale

Les cookies de session, panier et authentification s'appuient sur l'exécution du contrat et l'exemption ePrivacy. Les modules marketing, personnalisation et analytique reposent sur le consentement (article 6(1)(a) RGPD). Les fonctions antifraude (scoring de risque PSP, validation d'adresse) s'appuient généralement sur l'intérêt légitime (article 6(1)(f) RGPD) avec un test de mise en balance. Le marchand est toujours responsable de traitement; OXID eSales AG n'est pas sous-traitant par défaut car la plateforme est auto-hébergée, mais des contrats de support commercial peuvent le rendre sous-traitant pour certaines opérations.

Transferts de données et hébergement

Comme OXID eShop CE est auto-hébergé, tous les transferts vers les pays tiers proviennent de choix faits par le marchand: hébergeur (souvent un hébergeur allemand ou autrichien avec data centres UE), prestataire de paiement, transporteur, module d'analytique et outil de marketing automation. Un marchand qui choisit un hébergement UE et des modules de paiement, d'analytique et de CRM UE peut exploiter une boutique OXID sans aucun transfert hors UE, ce qui simplifie considérablement la politique de confidentialité.

Mise en conformité pratique

Recenser les modules installés au-dessus d'OXID eShop CE et classer chaque jeu de cookies en strictement nécessaires, fonctionnels, analytiques et marketing. Garder les cookies panier, login et basket toujours actifs, et bloquer tous les modules non essentiels jusqu'au consentement via la CMP. Mapper les prestataires tiers (PSP, transporteurs, outils marketing) dans le registre des traitements, signer un contrat de sous-traitance avec chacun et documenter la région d'hébergement. Réaliser une AIPD lorsque la boutique combine profilage et catégories sensibles.