家庭教育の権利とプライバシーに関する法律(FERPA、20 U.S.C. § 1232g および 34 CFR Part 99)は、生徒の教育記録のプライバシーを保護する米国連邦法です。米国教育省から資金提供を受けている学校、学区、カレッジ、大学が対象となります。
学校では、成績証明書、入学手続き書類、奨学金関連書類、個別教育プログラム(IEP)など、生徒の情報を含む書類を送信したり署名したりする機会が少なくありません。Fax.PlusとSign.Plusは、こうした書類を安全に取り扱えるよう貴校・貴団体をサポートします。
ご参考: FERPAは教育機関に適用される法律であり、ソフトウェアプロバイダーに直接適用されるものではありません。ベンダー向けの公式なFERPA認証もありません。学校がFax.PlusやSign.Plusのようなサービスを生徒の記録に利用する場合、学校のFERPA上の義務は、学校とプロバイダーとの間の契約を通じて対応します。Alohiの場合、この契約がFERPA Addendumです。
FERPAが保護するもの
FERPAは教育記録を保護します。教育記録とは、生徒に直接関連する記録で、教育機関またはその代理として行動する第三者が保管しているものを指します。
学校は、例外が適用される場合を除き、教育記録に含まれる個人を特定できる情報(PII)を開示する前に、保護者または資格のある生徒本人から書面による同意を得る必要があります。
FERPAがサービスプロバイダーに適用される仕組み
cloudサービスに最も関係の深い例外は、学校関係者の例外(34 CFR § 99.31(a)(1)(i)(B))です。この例外により、プロバイダーが次の条件を満たす限り、学校は同意なしに外部のプロバイダーと教育記録を共有できます。
- 学校が本来は自校の職員に任せるサービスや機能を提供している
- 記録の使用および維持管理に関して、学校の直接的な管理下にある
- 記録を、共有された目的のためだけに使用する
実際には、学校はプロバイダーとの書面による契約を通じてこれらの条件を満たします。Alohiの場合、この契約がFERPA Addendumです。
Alohiが生徒の記録の保護をサポートする方法
転送中の暗号化
当社のアプリ(Web、モバイル、API)とサーバー間で送受信されるデータは、TLS 1.2以上で保護されます。なお、faxの最終区間、つまり受信者のfax番号への発信は、Alohiのシステムではなく通信事業者のネットワークを経由します。
保存時の暗号化
保存されるすべての書類は256ビットAESで暗号化され、暗号化キーはユーザーごとに固有です。
アクセス制御
2要素認証でアカウントを保護し、ロールベースの権限を使用することで、生徒の情報を含む書類に承認されたスタッフだけがアクセスできるようにします。Enterpriseチームでは、全メンバーに2FAを必須にしたり、SAML SSOでサインインしたりすることもできます。
監査証跡
書類の送信、受信、署名の記録を、タイムスタンプと配信確認とともに保管でき、社内レビューや監査に役立ちます。
保持期間の管理
Fax.Plusでは、書類の保持期間を設定でき、指定した日数が経過するとfaxが完全に削除されます。これにより、生徒の記録を必要な期間だけ保管できます。
FERPAの適用対象となるための要件
Fax.PlusまたはSign.Plusを生徒の記録に使用するには、貴校・貴団体に次のものが必要です。
- 署名済みのAlohi FERPA Addendum。当社のサービスで生徒の記録を送信する前に、Addendumに署名しておく必要があります。
- Advanced Security Controlsが有効なEnterpriseプラン。FERPA AddendumはEnterpriseプランでのみ利用でき、FERPAの適用は、対象アカウントでAdvanced Security Controlsがオンになっている間に限られます。
ご参考: FERPA Addendumに記載されていないアカウントや、Advanced Security Controlsが有効になっていないアカウントは対象外です。これらのアカウントを生徒の記録に使用しないでください。
FERPA Addendumのリクエスト方法
FERPA Addendumは、Enterpriseアカウントの管理者がリクエストできます。リクエストするには、サポートチームに連絡し、次の情報をお知らせください。
- 貴校・貴団体の名称
- 貴校・貴団体が所在する州
- 対象にしたい製品(Fax.Plus、Sign.Plus)
- 対象にしたいアカウント(アカウントのメールアドレスで記載)
当社のチームがAddendumを作成し、署名用にお送りします。
チームのためのベストプラクティス
- 生徒の記録には、FERPA Addendum の対象となっているアカウントのみを使用してください。
- 対象となるすべてのアカウントで Advanced Security Controls を有効にしたままにしてください。
- すべてのユーザーに対して2要素認証を有効にしてください。
- 生徒の記録へのアクセスは、役割上必要なスタッフのみに制限してください。
- 送信前に、受信者の fax 番号またはメールアドレスをもう一度確認してください。
- 保持期間の設定を見直し、不要になった書類を削除してください。
- 貴校・貴団体の FERPA ポリシーに沿って生徒の情報を取り扱えるよう、スタッフに研修を実施してください。
関連記事
この記事は一般的な情報提供のみを目的としており、法的助言を構成するものではありません。FERPA および適用される州の生徒データのプライバシー法に基づく義務については、貴校・貴団体の法務またはコンプライアンスの専門家にご相談ください。