Trust Center
Last reviewed: July 2026
Hubity est conçu avec une sécurité de niveau entreprise à son cœur. Cette page documente la façon dont nous protégeons vos données, qui en est responsable et quels sont vos droits.
Active
Encryption at Rest
Active
Encryption in Transit
Available
Multi-Factor Auth
Active
Audit Logging
Active
Privacy Rights
In Progress
SOC 2 (En cours)
Our Commitment
CoreLa sécurité n'est pas une réflexion après coup chez Hubity. Elle est intégrée à chaque couche de notre architecture, du stockage chiffré des champs à l'accès authentifié aux fichiers en passant par les permissions granulaires basées sur les rôles. Nous nous imposons les mêmes normes que celles que nous aidons les équipes HR à appliquer pour leurs propres données.
Data Encryption
Active Encryption at rest: Toutes les données sont chiffrées au repos selon la norme AES-256
Field-level encryption: Les champs sensibles (salaire, données personnelles) bénéficient d'une couche de chiffrement supplémentaire au moyen d'une clé distincte, avec un vecteur d'initialisation unique par enregistrement et une authentification renforcée requise pour l'accès
Encryption in transit: Toutes les connexions utilisent les dernières normes de chiffrement des transports. Les connexions non sécurisées sont rejetées
Key management: Les clés de chiffrement sont dérivées à l'aide d'une dérivation de clé conforme aux standards du secteur et stockées séparément des données chiffrées. La rotation des clés est prise en charge sans rechiffrement des données
Email privacy: Les adresses e-mail sont chiffrées au repos avec des protections supplémentaires pour prévenir toute exposition en cas d'accès non autorisé
File access: Les fichiers téléchargés sont servis via un proxy authentifié. Les URL de stockage brutes ne sont jamais exposées aux clients
Authentication
Active Passwordless login: Codes e-mail par lien magique avec expiration de 15 minutes, sans mot de passe à hameçonner ni à compromettre
Passkeys: Authentification par clé de sécurité matérielle et biométrie (empreinte digitale, visage) entièrement prise en charge
Two-factor authentication: Double authentification par application d'authentification avec stockage chiffré des secrets et codes de récupération hachés
OAuth SSO: Connexion avec Google ou Microsoft (Entra ID) pour l'authentification unique d'entreprise
Session management: Tokens de session chiffrés et sécurisés avec protection inter-sites et expiration automatique
Step-up authentication: Les données sensibles (salaire, données personnelles) nécessitent une ré-authentification récente avant que l'accès ne soit accordé
Infrastructure
Active Hosting: Hébergeur certifié de niveau entreprise avec basculement automatique, réseau de périphérie mondial et déploiements sans interruption de service
Database: Base de données de niveau entreprise avec chiffrement au repos, sauvegardes continues et récupération à un instant précis
Network Protection: Protection DDoS, gestion des bots et mise en cache en périphérie de niveau entreprise
Data isolation: Les données de chaque entreprise sont isolées logiquement. Une isolation stricte des locataires empêche tout accès aux données entre organisations
File storage: Les documents sont stockés dans un stockage cloud chiffré avec accès authentifié côté serveur uniquement
Access Control
Active Contrôle d'accès basé sur les rôles: Des rôles granulaires, à moindre privilège, régissent chaque action. Les responsabilités sont séparées : un rôle dédié d'administrateur informatique et sécurité gère l'authentification, les intégrations et l'audit sans accès aux données HR, financières ou de rémunération, et un rôle finance est limité aux données financières sans pouvoirs d'administration de l'entreprise
Audit logging: Toutes les actions importantes sont enregistrées dans un journal d'audit inviolable sécurisé par une chaîne de hachage cryptographique, capturant l'IP source, l'appareil et le contexte de l'action. Les enregistrements sont conservés pendant au moins six ans
Rate limiting: Toutes les authentifications et opérations sensibles sont soumises à une limitation de débit pour prévenir les abus
Input validation: Validation côté serveur de toutes les entrées, y compris la vérification du type de fichier pour les téléchargements et la validation du format des données
Application Security
Active Content Security Policy: Des politiques de sécurité navigateur strictes empêchent l'injection de code et le chargement de ressources non autorisées
Sensitive data detection: Détection automatique des numéros de sécurité sociale, des numéros de carte de crédit, des mots de passe et des clés API dans les entrées de la base de connaissances. Les identifiants actifs sont bloqués, et les autres données sensibles sont mises en quarantaine et exclues de la récupération par l'IA
Dependency management: Les dépendances sont suivies et mises à jour régulièrement. Les avis de sécurité sont examinés et traités rapidement
Error handling: Les détails d'erreur internes ne sont jamais exposés aux clients. Les erreurs sont enregistrées de manière sécurisée pour une révision interne
Data Handling
Active Data residency: Les données sont principalement traitées et stockées aux États-Unis. La résidence des données EU est disponible avec les forfaits Enterprise
Data minimization: Nous ne collectons que les données nécessaires à la fourniture du service. Aucun suivi comportemental au-delà des analyses produit
Processing: Les requêtes envoyées à nos prestataires de traitement ne sont pas conservées au-delà du cycle de vie de la requête et ne sont jamais utilisées pour entraîner des modèles
Deletion: Les données clients sont supprimées après la résiliation du compte, conformément à notre accord de traitement des données, et les sauvegardes expirent ensuite selon un calendrier glissant
Compliance
In Progress European Privacy RightsActive
Droits d'accès, de correction, de suppression et d'export des données pris en charge
California Privacy RightsActive
Droits à la vie privée des consommateurs respectés, notamment le droit de savoir, de supprimer et de refuser
Sensitive Data ProtectionActive
Field-level encryption, authenticated access, long-term audit retention
SOC 2 Type IIIn Progress
Fournisseurs d'infrastructure certifiés. Auto-évaluation en cours
Accessibility
Hubity s'engage à respecter les normes d'accessibilité reconnues sur toutes les surfaces destinées aux utilisateurs.
Keyboard navigation: Tous les éléments interactifs sont accessibles au clavier avec des indicateurs de focus visibles
Screen reader support: Étiquettes, rôles et régions actives pour la compatibilité avec les technologies d'assistance
Semantic HTML: Hiérarchie de titres adéquate, régions de repère et étiquettes de formulaire tout au long de l'interface
Color contrast: Le texte et les éléments d'interface respectent les ratios de contraste WCAG AA en modes clair et sombre
Skip navigation: Lien d'accès rapide au contenu fourni pour les utilisateurs de clavier souhaitant contourner la navigation répétitive
Responsive design: Entièrement utilisable sur mobile, tablette et ordinateur de bureau avec prise en charge des entrées tactiles et de pointeur
Pour signaler un obstacle d'accessibilité, contactez [email protected].
Vulnerability Disclosure
Nous encourageons la recherche en sécurité responsable. Si vous découvrez une vulnérabilité, veuillez la signaler à [email protected].
Response time: Nous accusons réception de tous les rapports dans les 48 heures
Safe harbor: Nous n'engageons pas de poursuites judiciaires contre les chercheurs de bonne foi
Recognition: Les rapporteurs de vulnérabilités valides sont reconnus avec leur accord
In scope: hubity.io et ses services associés
Out of scope: Services tiers, ingénierie sociale, déni de service
Notre politique de sécurité complète est publiée à /.well-known/security.txt
Connector Security Compliance
ActiveMapping against the OWASP MCP Top 10 cadre pour la sécurité des connecteurs et des agents.
MCP01 Token Mismanagement & Secret ExposureMitigated
Tokens stockés sous forme de hachages unidirectionnels. Identifiants chiffrés avec des vecteurs d'initialisation uniques par enregistrement. Texte en clair affiché une seule fois lors de la génération, jamais récupérable. Secrets jamais enregistrés ni inclus dans les réponses d'erreur.
MCP02 Privilege Escalation via Scope CreepMitigated
Tokens à portée limitée avec permissions explicites en lecture seule. Les manifestes de capacités par client restreignent les outils disponibles. Les opérations d'écriture nécessitent des workflows d'approbation à plusieurs niveaux avec double contrôle pour les actions sensibles.
MCP03 Tool PoisoningMitigated
Tous les résultats des outils de connecteur sont analysés pour détecter les patterns d'injection, l'exécution de commandes et l'exfiltration de données avant stockage ou retour. Les capacités des connecteurs nécessitent une approbation explicite de l'administrateur.
MCP04 Supply Chain & Dependency TamperingMitigated
Suivi de la provenance avec signatures cryptographiques sur toutes les données ingérées. Intégrité du contenu vérifiée via des chaînes de hachage. Santé des connecteurs surveillée en continu avec mise en quarantaine automatique en cas de défaillance.
MCP05 Command Injection & ExecutionMitigated
Toutes les entrées des outils sont validées côté serveur. Les requêtes de base de données sont paramétrées. Aucune exécution de shell depuis les données de connecteur. L'analyse du contenu détecte les menaces dans les charges utiles encodées avant traitement.
MCP06 Prompt Injection via Contextual PayloadsMitigated
Détection d'injection de prompt sur tout le contenu provenant des connecteurs. Contenu sensible et classifié exclu des réponses des outils. Des limites de longueur de contenu sont appliquées aux réponses des outils.
MCP07 Insufficient Authentication & AuthorizationMitigated
OAuth 2.1 avec PKCE. Liaison de token par preuve de possession. SSO d'entreprise via fédération de fournisseur d'identité. Point de terminaison d'introspection de token pour validation en temps réel. Isolation multi-tenant à chaque couche.
MCP08 Absence d'audit et de télémétrieMitigated
Chaque appel d'outil, opération sur les tokens et décision d'accès est enregistré. Piste d'audit inviolable avec chaîne de hachage cryptographique. Bundles d'export d'audit signés pour les audits de conformité externes.
MCP09 Shadow ServersMitigated
L'enregistrement des connecteurs nécessite une autorisation de niveau responsable. Tous les connecteurs sont suivis dans l'inventaire de l'entreprise avec surveillance de la santé. Les connecteurs inutilisés sont automatiquement signalés. Aucun identifiant par défaut ou partagé.
MCP10 Context Injection & Over-SharingMitigated
L'isolation stricte des tenants empêche l'accès aux données inter-entreprises. Le contenu sensible, confidentiel et classifié santé est exclu de toutes les réponses. Analyse des données personnelles avec rédaction automatique.
Security Contact
Pour les demandes de sécurité, les questions de conformité ou pour signaler un problème :
Hubity
[email protected]
Évaluation de sécurité pour les entreprises ? Demandez notre dossier de sécurité (notre rapport SOC 2 lorsqu'il sera disponible, l'accord de traitement des données et les questionnaires de sécurité complétés) sous NDA à l'adresse ci-dessus.