FERPA Compliance Statement

1. FERPA ve imzala.org İlişkisi

FERPA, ABD federal eğitim fonu alan eğitim kurumlarının (K-12 okulları, kolejler, üniversiteler) "education records" olarak adlandırılan öğrenci kayıtlarını korumalarını gerektirir. Bu kayıtlar yalnızca öğrencinin (veya 18 yaş altı ise velinin) açık rızası olmadan paylaşılamaz.

imzala.org, FERPA kapsamında "School Official" statusu ile bir eğitim kurumu adına hareket edebilir — okul resmi görevlisi gibi davranan bir 3rd party servis sağlayıcısıdır.

2. School Official Olma Koşulları (34 CFR §99.31(a)(1)(i)(B))

imzala.org aşağıdaki dört koşulun tümünü karşılar:

1. Performs an institutional service or function — eğitim kurumunun normalde kendi yapacağı bir işlevi (sözleşme yönetimi, dijital imza) sağlarız.
2. Under direct control — eğitim kurumu, imzala.org'un education record'lara erişimini ve kullanımını sözleşme ile direkt olarak kontrol eder.
3. Subject to FERPA requirements — bu beyanla FERPA'ya uymayı taahhüt ederiz.
4. Limited use — education records yalnızca kurumun belirlediği amaçlarla kullanılır, başka amaçla kullanılmaz veya re-disclose edilmez.

3. Education Records Nedir?

FERPA tanımına göre education records (34 CFR §99.3):

• Akademik kayıtlar (notlar, transkriptler, sınav skorları)
• Disiplin kayıtları
• Öğrenci sağlık kayıtları (FERPA scope'unda; HIPAA değil)
• Okul kayıtları, kütüphane kayıtları
• Mali yardım bilgileri
• Öğrenci kimlik bilgileri (ad, adres, doğum tarihi, telefon, e-posta)

Directory information (öğrenci adı, ders programı, derece) FERPA'da ayrı kategori olarak izinli paylaşıma açıktır.

4. imzala.org Uygulaması — Eğitim Kurumu Müşterileri

4.1 Education Mode (Müşteri Talebine Göre)

ABD eğitim kurumu müşterilerimiz için organization seviyesinde "Education Mode" aktive edilebilir. Bu modda:

• Tüm öğrenci PII alanları için enhanced encryption
• Audit log 5 yıl saklama (FERPA tipik retention)
• Marketing/analytics tracking devre dışı
• Re-disclosure kontrolü — eğitim verisi 3rd party'ye aktarılmaz
• Öğrenci mezun olduktan 5 yıl sonra anonimleştirme

4.2 İzin Verilen Kullanım

Education records yalnızca şu amaçlarla işlenir:

• Sözleşme oluşturma (öğrenci kaydı, finansal yardım, vize danışmanlığı vb.)
• İmza akışı yönetimi (öğrenci, veli, okul yetkilisi imzaları)
• Belge arşivleme (TÜBİTAK zaman damgası ile)
• Audit trail (FERPA §99.32 access record gereksinimi)

4.3 Yasaklı Kullanım

• Re-disclosure'a açık şekilde 3rd party'ye paylaşım
• Pazarlama / reklam amaçlı kullanım (SaaS pazarlama dahil)
• Eğitim kurumu sözleşmesinin dışındaki amaçlar için işleme
• Öğrenci profilleme veya otomatik karar verme

5. FERPA Annual Notification (Eğitim Kurumu Sorumluluğu)

Eğitim kurumu, FERPA gereği yıllık olarak öğrencileri ve velileri aşağıdakiler hakkında bilgilendirmelidir (kurum sorumluluğu, imzala.org sorumluluğu değil):

• Education records inceleme hakkı
• Düzeltme hakkı
• Açıklama izni gereken durumlar
• FERPA şikayet prosedürü (US Dept of Education, FPCO)

imzala.org bu bilgilendirme metni için referans şablon sağlayabilir, ancak yıllık bildirim yapmak eğitim kurumunun sorumluluğundadır.

6. Veli Hakları (18 Yaş Altı Öğrenciler)

FERPA hakları:

• 18 yaş altı öğrenciler için velilere aittir
• 18 yaş ve üzeri öğrenciler için "eligible students"e geçer
• Yükseköğretim kurumlarında öğrencilik durumunda haklar otomatik öğrenciye geçer

7. Subprocessor Yönetimi (Re-disclosure)

Education records'a potansiyel erişimi olan subprocessor'lar:

• Hetzner — depolama altyapısı (ISO 27001 + GDPR DPA)
• Cloudflare — CDN/WAF (SCC + DPA)
• Mailgun — bildirim e-postaları (FERPA-compliant tier)

Education Mode aktif olan organizasyonlar için pazarlama subprocessor'ları (Google Analytics, Meta Pixel, vb.) devre dışı bırakılır.

8. Veri Saklama (Education Mode)

• Aktif öğrenci kayıtları: kurum sözleşmesi süresince + 5 yıl
• Mezun öğrenci: mezuniyet sonrası 5 yıl, ardından anonimleştirme
• İmzalı sözleşmeler: 10 yıl (TTK m.82)
• Audit log (access records): 5 yıl (FERPA §99.32 gereksinimleri)
• Biyometrik veri: 1 yıl (KVKK m.6 minimum saklama)

9. Limitations / Sınırlamalar

imzala.org FERPA-certified DEĞİLDİR (zaten FERPA'da resmi sertifika mekanizması yoktur). Eğitim kurumu müşterilerimiz, kendi due diligence süreçleri kapsamında imzala.org'un FERPA uyumunu değerlendirir ve School Official olarak atayabilir.

FERPA uyumu tek başına COPPA (13 yaş altı), Section 504, IDEA gibi diğer eğitim yasaları ile uyumu garanti etmez. Spesifik kurumsal ihtiyaçlar için müşteri kendi yasal danışmanına başvurmalıdır.

10. İletişim