FERPA

保护教育记录既需要安全控制措施，也需要处理学生信息的明确规则。我们的方法既涵盖 Fax.Plus 和 Sign.Plus 中可用的技术保障措施，也涵盖教育机构在共享受 FERPA 保护的记录之前应解决的各项要求。

‍

机构控制与授权使用

根据 FERPA 的学校官员例外规定，外包服务提供商在教育记录的使用和维护方面必须保持在教育机构的直接控制之下。教育机构还必须确保服务提供商满足该例外规定的其他条件，包括其对具有合法教育利益的学校官员的认定标准。

‍

学生数据协议

Alohi 为教育客户提供 FERPA 附加协议，作为合同层面的解决方案。该协议应明确所涵盖的服务、允许的用途、机构控制权以及数据保护责任。在共享教育记录之前，请联系我们的团队，确认适用的条款和接入要求。

‍

数据加密与安全连接

已存储的传真文件和已签署文件均使用 AES-256 加密。TLS 保护 Alohi 的应用程序或 API 与我们服务器之间的连接。在评估学生文件的完整传输路径时，教育机构还应审查接收方系统、电子邮件投递和外部集成。

‍

身份验证与访问管理

账户身份验证和可用的管理控制功能可帮助教育机构管理谁可以使用该服务。Fax.Plus 和 Sign.Plus 的 Enterprise 控制功能包括账户访问日志和用户封禁。教育机构应将访问权限限制在获授权的员工范围内，并在职责变更时及时更新权限。

‍

文件活动与责任追溯

Fax.Plus 会保留传真传输记录，Sign.Plus 则提供与签名工作流程相关的文件活动记录。这些记录可用于支持运营审查和调查。教育机构应确认现有记录、导出选项和保留设置是否满足其具体的监督要求。

‍

目的限制与第三方

FERPA 限制根据学校官员例外规定披露的学生信息的使用和再披露。教育类协议应对允许的处理活动以及下游服务提供商的义务作出规定。Alohi 的公开隐私政策声明，客户数据不会用于训练通用 AI 或机器学习模型；任何其他针对教育领域的限制，应在适用的协议中予以约定。

‍

保留、返还与删除

教育机构和服务提供商应约定教育记录的保留期限、返还方式以及删除请求的处理方式。Alohi 的 FERPA 附加协议涵盖这些条款，包括服务关系终止时的安排。

‍

事件响应与机构协作

Alohi 的安全实践包括监控、安全评估和事件响应。教育类协议应明确如何向教育机构报告疑似或已确认的未经授权访问，以及如何协助开展调查。适用的通知时限和协作要求应在协议中予以确认，并对照相关州法律进行评估。

‍

在将 Fax.Plus 或 Sign.Plus 用于受 FERPA 保护的记录之前：

‍