Medusa est une plateforme de commerce open source lancée à Copenhague en 2021 par Sebastian Rindom, Nicklas Gellner et Oliver Juhl. Le cœur est un framework Node.js / TypeScript composé de modules de commerce combinables (produits, paniers, commandes, tarification, promotions, stock, expédition), accompagné d'un tableau de bord d'administration React, publié sous licence MIT sur GitHub avec environ 35 700 étoiles. L'éditeur cite publiquement parmi ses clients Heineken, Mitsubishi Motors Pays-Bas, Eight Sleep et Redington ; la boutique néerlandaise de Mitsubishi est auto-hébergée et a été réalisée par un partenaire d'intégration.
Deux modes de déploiement coexistent, et le verdict de souveraineté diffère nettement entre les deux.
Medusa Cloud est l'offre gérée, à partir de 29 USD par mois (environ €25) pour le plan Develop, puis 99 et 299 USD, sans commission sur le chiffre d'affaires. La région se choisit à la création du projet et ne peut plus être modifiée ensuite : US East (us-east-1), Europe Central (eu-central-1) ou Asia Southeast (ap-southeast-1). Une région européenne existe donc, mais elle n'est pas la valeur par défaut, et Medusa ne nomme pas publiquement le fournisseur d'infrastructure sous-jacent, même si les codes de région et le bucket S3 privé fourni par environnement correspondent à la nomenclature d'AWS. Le fait déterminant pour un acheteur est structurel et non géographique : les conditions d'utilisation et le DPA de Cloud sont conclus avec MedusaJS, Inc., société du Delaware, sous le droit de Californie, et le registre danois désigne cette même société américaine comme unique propriétaire de la société d'exploitation danoise. L'exposition au CLOUD Act du service géré est donc Directe. Le DPA est public et consultable sans compte, mais aucune liste de sous-traitants n'est publiée et Medusa ne revendique aucune certification propre, se contentant d'invoquer les contrôles et certifications de son fournisseur d'infrastructure.
L'auto-hébergement est l'autre voie, réellement sans contrainte : la licence MIT n'impose ni plafond de chiffre d'affaires ni palier commercial payant, et Medusa indique qu'il n'y a aucun verrouillage et que les données sont exportables à tout moment. Déployé sur Hetzner, OVHcloud ou Scaleway, aucun cocontractant américain ne touche les données.
Convient surtout aux équipes de développeurs et aux agences qui construisent du commerce sur mesure en Node.js. Les acheteurs européens qui exigent une souveraineté nette devraient retenir l'auto-hébergement plutôt que Cloud.