Соблюдение FERPA
Документы об образовании учащихся защищены Законом о правах семьи на образование и неприкосновенность частной жизни (FERPA). FERPA является основным федеральным законом о конфиденциальности учащихся, который защищает документы об их образовании и содержащиеся в них PII учащихся от несанкционированного раскрытия (20 U.S.C. § 1232g; 34 C.F.R. § 99). FERPA применяется к образовательным учреждениям, получающим федеральное финансирование. Поскольку US Department of Education (DoE) распределяет федеральные средства среди подавляющего большинства образовательных учреждений, FERPA применяется к широкому кругу поставщиков образовательных услуг.
tawk.to стремится защищать конфиденциальность и безопасность данных клиентов. Это включает наши практики конфиденциальности и технические меры безопасности, помогающие клиентам — образовательным учреждениям обеспечивать соблюдение FERPA. Хотя FERPA не требует и не признает аудиты или иные сертификации, каждое учебное заведение, подпадающее под действие FERPA, должно самостоятельно оценить, влияет ли и каким образом использование облачного сервиса на его способность выполнять требования FERPA. FERPA классифицирует защищаемую информацию по трем взаимосвязанным, но различным категориям: документы об образовании, PII (PII по FERPA) и справочная информация, являющаяся подмножеством PII по FERPA. Требования и меры защиты FERPA различаются для каждой категории информации. При этом FERPA, как правило, требует от подпадающих под его действие образовательных учреждений:
- Предоставлять родителям и учащимся старше 18 лет либо учащимся любого возраста, зачисленным в высшее учебное заведение (имеющим право учащимся), определенные права в отношении их документов об образовании.
- Запрещать определенное раскрытие документов об образовании, PII по FERPA и справочной информации, если не выполнены конкретные условия или не применяются исключения.
- Устанавливать требования к хранению и ограничения на повторное раскрытие для третьих лиц, получающих документы об образовании учащихся или PII по FERPA.
tawk.to применяет следующие протоколы, помогающие клиентам — образовательным учреждениям соблюдать FERPA:
- наше облачное программное обеспечение и все соединения используют протокол HTTPS.
- все соединения между серверами приложения и аутентификации осуществляются по защищенным каналам.
- мы используем меры безопасности наших партнеров по хостингу, таких как Google Cloud Services, AWS и Digital Ocean, которые обеспечивают как физические, так и технологические гарантии
- все передаваемые данные шифруются с помощью TLS 1.2, а хранящиеся данные — с помощью 256-битного Advanced Encryption Standard (AES-256)
- никто не получит доступа к документам об образовании учащегося, и мы не раскроем содержащуюся в них информацию без предварительного письменного согласия учащегося.
Исключения из правила FERPA о предварительном письменном согласии
FERPA предусматривает несколько установленных законом исключений из правила, требующего письменного согласия до раскрытия документов об образовании учащегося или PII по FERPA. К числу исключений, наиболее значимых для поставщиков образовательных услуг, относятся:
- Переданные на аутсорсинг образовательные функции или услуги. FERPA допускает раскрытие информации другим должностным лицам учебного заведения, например преподавателям или иным сотрудникам, имеющим законный образовательный интерес.
- Финансовая помощь учащимся. FERPA допускает раскрытие информации, непосредственно связанной с заявлением учащегося на финансовую помощь или ее назначением (20 U.S.C. § 1232g(b)(1)(D); 34 C.F.R. § 99.31(a)(6)).
- Исследования в сфере образования. FERPA допускает раскрытие информации организациям, проводящим определенные исследования для образовательных учреждений на установленных условиях (20 U.S.C. § 1232g(b)(1)(F); 34 C.F.R. § 99.31(a)(6)).
- Аккредитация. FERPA допускает требуемое раскрытие информации аккредитационным организациям (20 U.S.C. §1232g(b)(1)(G); 34 C.F.R. § 99.31(a)(7)).
- Здоровье или безопасность. При определенных условиях FERPA допускает раскрытие информации для:
чрезвычайных ситуаций, угрожающих здоровью или безопасности (20 U.S.C. §1232g(b)(1)(I); 34 C.F.R. §§ 99.31(a)(10), 99.36); либо целей лечения при условии, что раскрытие соответствует Правилу конфиденциальности HIPAA, если информация раскрывается лицу, на которое распространяется HIPAA (20 U.S.C. § 1232g(a)(4)(B)(iv); 34 CFR § 99.3).
- Справочная информация. FERPA допускает раскрытие надлежащим образом обозначенной справочной информации, о котором было направлено уведомление (20 U.S.C. § 1232g(a)(5); 34 C.F.R. §§ 99.31(a)(11), 99.37).