FERPA

La loi fédérale américaine FERPA (Family Educational Rights and Privacy Act) régit l’accès aux dossiers scolaires des étudiants ainsi que leur gestion. La FERPA accorde certains droits aux étudiants et à leurs parents en ce qui concerne la confidentialité de ces dossiers, notamment le droit d’inspecter et d’examiner les dossiers scolaires de l’étudiant, le droit de demander la modification des dossiers que le parent ou l’étudiant éligible estime inexacts, et le droit d’exercer un certain contrôle sur la divulgation des données à caractère personnel provenant des dossiers scolaires.

Les produits et services ArcGIS d’Esri sont utilisés par les établissements d’enseignement à des fins diverses, notamment la recherche, l’enseignement et l’administration. La plupart du temps, ArcGIS n’est pas utilisé par les établissements d’enseignement pour traiter les dossiers scolaires et peut être configuré pour minimiser les exigences de conformité à la FERPA. Toutefois, lorsque ces produits et services sont utilisés pour stocker, traiter ou transmettre des dossiers scolaires, ils peuvent relever de la FERPA. Il appartient donc au client de déterminer si son processus est conforme ou non aux exigences de la FERPA.

Esri s’engage à protéger la sécurité et la confidentialité des données de ses clients :

• en soumettant ses pratiques en matière de protection de la confidentialité à une évaluation et à une certification indépendantes,
• en subissant un audit FedRAMP annuel réalisé par une tierce partie indépendante qualifiée,
• en effectuant des analyses de vulnérabilité au moins tous les 30 jours et en réalisant des tests afin d’évaluer sa position en matière de sécurité et d’identifier les nouvelles menaces,
• en protégeant la confidentialité des élèves de la maternelle à la terminale via la désactivation des cookies de ciblage.

FAQ sur la loi FERPA

Existe-t-il des programmes de certification FERPA ?

• Non. Il n’existe actuellement aucun programme spécifique de certification FERPA permettant d’évaluer la conformité des éléments tiers. L’établissement universitaire doit procéder à sa propre évaluation pour déterminer si un produit ou un service affecte sa capacité à se conformer à cette loi.

Quelles sont les mesures de sécurité et de confidentialité d’ArcGIS Online qui permettent de respecter la FERPA ?

• Fournir diverses fonctions de sécurité du produit ArcGIS Online, telles que le contrôle d’accès basé sur les rôles.
• Protéger les données en transit par TLS 1.2 et au repos par Advanced Encryption Standard 256 bits (AES-256).
• Tirer parti de la protection physique et environnementale des fournisseurs de services Cloud : les installations d’hébergement d’Esri disposent d’un personnel de sécurité et de surveillance 24 heures sur 24, 7 jours sur 7, grâce à plusieurs niveaux de contrôles de sécurité physique, notamment des clôtures périphériques, des halls d’entrée surveillés par des agents, des caméras de surveillance (CCTV), des pièges, des cages verrouillées, des détecteurs de mouvement et des contrôles d’accès biométriques.
• Ne pas consulter le contenu non public d’ArcGIS Online des clients, sauf dans le cadre d’une réponse à un incident de sécurité ou à un cas de support, avec l’accord du client.
• Ne pas partager les données des clients avec des parties tierces.
• « Geler » les données des clients (accès en lecture seule) dans le cadre de l’obligation de conservation, sur demande auprès du support technique.
• Ne pas stocker les données des clients autres que les informations relatives au compte, à savoir l’adresse électronique et le nom d’utilisateur.
• Ne conserver les comptes que jusqu’à 60 jours après la résiliation afin de faciliter la réactivation du produit (sur demande du client) : le compte est définitivement supprimé à l’issue de cette période.

Comment configurer une organisation ArcGIS Online pour réduire la collecte des données à caractère personnel ?

• Les administrateurs d’organisation peuvent bloquer le remplissage des champs facultatifs du profil de l’utilisateur (tels que le prénom et le nom, le nom de l’entreprise, le numéro de téléphone et la photo de profil) afin de réduire au maximum le transfert de données à caractère personnel.
• Pour obtenir des conseils plus détaillés en matière de confidentialité concernant l’utilisation de nos produits au sein des établissements d’enseignement, consultez le guide relatif à ArcGIS Online destiné aux établissements scolaires et le document ArcGIS Location Sharing Privacy Best Practices dans la section des ressources ci-dessous.

Quelles sont les implications de la loi COPPA pour ArcGIS Online en termes de conformité ?

• La COPPA (Children’s Online Privacy Protection Act) est une loi supplémentaire destinée à protéger la vie privée des enfants ; toutefois, elle n’est pas directement applicable à ArcGIS Online. La loi fédérale américaine COPPA (Children’s Online Privacy Protection Act) vise à protéger la vie privée des enfants de moins de 13 ans. Elle est gérée par la FTC (Federal Trade Commission).
• La loi COPPA s’applique aux sites Web et aux services en ligne destinés aux enfants et stipule que ces sites et services doivent exiger le consentement des parents pour la collecte et l’utilisation de toute information personnelle appartenant à des enfants.
• Les clients sont responsables de l’obtention du consentement parental pour l’utilisation d’ArcGIS Online par l’utilisateur final, le cas échéant.
• ArcGIS Online ne cible pas spécifiquement les enfants de moins de 13 ans, mais il peut être utilisé par ces enfants, notamment dans le cadre d’un programme scolaire. En suivant les conseils relatifs à ArcGIS Online destinés aux établissements scolaires ci-dessous, les établissements d’enseignement peuvent améliorer leur conformité par rapport aux réglementations courantes en matière de confidentialité des élèves, telles que les lois COPPA et FERPA, et même le RGPD.

Comment Esri protège-t-elle la confidentialité des élèves concernant les cookies ?

• Pour garantir la confidentialité des mineurs, Esri désactive automatiquement les cookies de ciblage pour les élèves qui utilisent des comptes ArcGIS for Schools Bundle.

Ressources

• Conseils relatifs à ArcGIS Online destinés aux établissements scolaires (public)
• HECVAT Lite (document public du Trust Center)
• Outil de validation ArcGIS Security Advisor (page publique du Trust Center)
• Liste de contrôle des bonnes pratiques ArcGIS Online et Enterprise (public)
• Supplément de la déclaration de confidentialité pour les produits et les services Esri (public)
• ArcGIS Location Sharing Privacy Best Practices (document public du Trust Center)