Trust Center
Last reviewed: July 2026
Hubity è costruito con la sicurezza di livello enterprise al suo centro. Questa pagina documenta come proteggiamo i tuoi dati, chi ne è responsabile e quali sono i tuoi diritti.
Active
Encryption at Rest
Active
Encryption in Transit
Available
Multi-Factor Auth
Active
Audit Logging
Active
Privacy Rights
In Progress
SOC 2 (In corso)
Our Commitment
CoreLa sicurezza non è un ripensamento in Hubity. È incorporata in ogni livello della nostra architettura: dall'archiviazione crittografata dei campi all'accesso autenticato ai file fino alle autorizzazioni granulari basate sui ruoli. Ci teniamo agli stessi standard che aiutiamo i team HR ad applicare per i propri dati.
Data Encryption
Active Encryption at rest: Tutti i dati sono crittografati a riposo utilizzando lo standard AES-256
Field-level encryption: I campi sensibili (stipendio, dati personali) ricevono un ulteriore livello di crittografia tramite una chiave separata, con un vettore di inizializzazione univoco per record e autenticazione step-up richiesta per l'accesso
Encryption in transit: Tutte le connessioni utilizzano gli standard di crittografia del trasporto più recenti. Le connessioni non sicure vengono rifiutate
Key management: Le chiavi di crittografia vengono derivate tramite derivazione di chiave standard del settore e archiviate separatamente dai dati crittografati. La rotazione delle chiavi è supportata senza ricifratura dei dati
Email privacy: Gli indirizzi email sono crittografati a riposo con protezioni aggiuntive per prevenire l'esposizione in caso di accesso non autorizzato
File access: I file caricati vengono serviti tramite un proxy autenticato. Gli URL di archiviazione raw non vengono mai esposti ai client
Authentication
Active Passwordless login: Codici email magic link con scadenza di 15 minuti, senza password da phishing o violare
Passkeys: Chiave di sicurezza hardware e autenticazione biometrica (impronta digitale, viso) completamente supportate
Two-factor authentication: 2FA tramite app di autenticazione con archiviazione crittografata del segreto e codici di recupero con hash
OAuth SSO: Accesso con Google o Microsoft (Entra ID) per il single sign-on enterprise
Session management: Token di sessione crittografati e sicuri con protezione cross-site e scadenza automatica
Step-up authentication: I dati sensibili (stipendio, dati personali) richiedono una nuova autenticazione recente prima di concedere l'accesso
Infrastructure
Active Hosting: Provider di hosting certificato enterprise con failover automatico, rete edge globale e deployment senza downtime
Database: Database di livello enterprise con crittografia a riposo, backup continui e recupero point-in-time
Network Protection: Protezione DDoS, gestione dei bot e caching edge di livello enterprise
Data isolation: I dati di ogni azienda sono isolati logicamente. Il rigoroso isolamento tra tenant impedisce qualsiasi accesso ai dati tra organizzazioni
File storage: I documenti sono archiviati in cloud storage crittografato con accesso autenticato lato server esclusivamente
Access Control
Active Controllo degli accessi basato sui ruoli: Ruoli granulari a privilegio minimo regolano ogni azione. Le mansioni sono separate: un ruolo dedicato di amministratore IT e sicurezza gestisce autenticazione, integrazioni e audit senza accesso ai dati HR, finanziari o retributivi, mentre un ruolo finance è circoscritto ai dati finanziari senza poteri di amministrazione aziendale
Audit logging: Tutte le azioni significative vengono registrate in un log di audit a prova di manomissione protetto da una catena di hash crittografica, acquisendo IP di origine, dispositivo e contesto dell'azione. I record vengono conservati per almeno sei anni
Rate limiting: Tutte le operazioni di autenticazione e quelle sensibili sono soggette a rate limiting per prevenire gli abusi
Input validation: Validazione lato server su tutti gli input, inclusa la verifica del tipo di file per i caricamenti e la validazione del formato dei dati
Application Security
Active Content Security Policy: Rigide policy di sicurezza del browser prevengono l'injection di codice e il caricamento non autorizzato di risorse
Sensitive data detection: Rilevamento automatico di SSN, numeri di carta di credito, password e chiavi API negli input della knowledge base. Le credenziali attive vengono bloccate e gli altri dati sensibili vengono messi in quarantena ed esclusi dal recupero da parte dell'IA
Dependency management: Le dipendenze vengono tracciate e aggiornate regolarmente. Gli avvisi di sicurezza vengono esaminati e gestiti tempestivamente
Error handling: I dettagli degli errori interni non vengono mai esposti ai client. Gli errori vengono registrati in modo sicuro per la revisione interna
Data Handling
Active Data residency: I dati vengono elaborati e archiviati principalmente negli Stati Uniti. La residenza dei dati nell'EU è disponibile nei piani Enterprise
Data minimization: Raccogliamo solo i dati necessari per fornire il servizio. Nessun tracciamento comportamentale al di là delle analisi del prodotto
Processing: Le query inviate ai nostri provider di elaborazione non vengono conservate oltre il ciclo di vita della richiesta e non vengono mai utilizzate per addestrare modelli
Deletion: I dati dei clienti vengono eliminati dopo la cancellazione dell'account in conformità con il nostro Accordo sul trattamento dei dati e, successivamente, i backup vengono progressivamente eliminati secondo una pianificazione a rotazione
Compliance
In Progress European Privacy RightsActive
Supportati i diritti di accesso, correzione, cancellazione ed esportazione dei dati
California Privacy RightsActive
Rispettati i diritti sulla privacy dei consumatori, incluso il diritto di sapere, cancellare e fare opt-out
Sensitive Data ProtectionActive
Field-level encryption, authenticated access, long-term audit retention
SOC 2 Type IIIn Progress
Provider di infrastrutture certificati. Autovalutazione in corso
Accessibility
Hubity si impegna a rispettare gli standard di accessibilità riconosciuti su tutte le superfici rivolte agli utenti.
Keyboard navigation: Tutti gli elementi interattivi sono raggiungibili tramite tastiera con indicatori di focus visibili
Screen reader support: Etichette, ruoli e regioni live per la compatibilità con le tecnologie assistive
Semantic HTML: Gerarchia appropriata dei titoli, regioni landmark ed etichette dei moduli in tutta l'interfaccia
Color contrast: Testo ed elementi UI rispettano i rapporti di contrasto WCAG AA sia in modalità chiara che scura
Skip navigation: Link skip-to-content fornito agli utenti da tastiera per bypassare la navigazione ripetitiva
Responsive design: Completamente utilizzabile su mobile, tablet e desktop con supporto per input touch e puntatore
Per segnalare una barriera all'accessibilità, contatta [email protected].
Vulnerability Disclosure
Accogliamo la ricerca di sicurezza responsabile. Se scopri una vulnerabilità, segnalala a [email protected].
Response time: Confermiamo la ricezione di tutti i report entro 48 ore
Safe harbor: Non intraprendiamo azioni legali contro i ricercatori in buona fede
Recognition: I segnalatori di vulnerabilità valide vengono riconosciuti pubblicamente previo consenso
In scope: hubity.io e i suoi servizi associati
Out of scope: Servizi di terze parti, social engineering, denial-of-service
La nostra policy di sicurezza completa è pubblicata su /.well-known/security.txt
Connector Security Compliance
ActiveMapping against the OWASP MCP Top 10 framework per la sicurezza di connettori e agenti.
MCP01 Token Mismanagement & Secret ExposureMitigated
Token archiviati come hash unidirezionali. Credenziali crittografate con vettori di inizializzazione unici per record. Testo in chiaro mostrato una sola volta alla generazione, mai recuperabile. I segreti non vengono mai registrati nei log né inclusi nelle risposte di errore.
MCP02 Privilege Escalation via Scope CreepMitigated
Token con scope limitato e permessi di sola lettura espliciti. Manifesti delle capacità per client limitano gli strumenti disponibili. Le operazioni di scrittura richiedono flussi di approvazione multilivello con doppio controllo per le azioni sensibili.
MCP03 Tool PoisoningMitigated
Tutti i risultati degli strumenti del connettore vengono scansionati alla ricerca di pattern di injection, esecuzione di comandi ed esfiltrazione di dati prima dell'archiviazione o della restituzione. Le capacità del connettore richiedono l'approvazione esplicita dell'amministratore.
MCP04 Supply Chain & Dependency TamperingMitigated
Tracciamento della provenienza con firme crittografiche su tutti i dati acquisiti. Integrità del contenuto verificata tramite hash chain. Salute del connettore monitorata continuamente con quarantena automatica in caso di errore.
MCP05 Command Injection & ExecutionMitigated
Tutti gli input degli strumenti sono validati lato server. Le query al database sono parametrizzate. Nessuna esecuzione di shell dai dati del connettore. La scansione dei contenuti rileva le minacce nei payload codificati prima dell'elaborazione.
MCP06 Prompt Injection via Contextual PayloadsMitigated
Rilevamento di prompt injection su tutti i contenuti provenienti dai connettori. Contenuti sensibili e classificati esclusi dalle risposte degli strumenti. Limiti di lunghezza dei contenuti applicati alle risposte degli strumenti.
MCP07 Insufficient Authentication & AuthorizationMitigated
OAuth 2.1 con PKCE. Proof-of-possession token binding. SSO enterprise tramite federazione identity provider. Endpoint di token introspection per la validazione in tempo reale. Isolamento multi-tenant a ogni livello.
MCP08 Mancanza di audit e telemetriaMitigated
Ogni chiamata agli strumenti, operazione sui token e decisione di accesso viene registrata. Audit trail a prova di manomissione con hash chain crittografico. Bundle di esportazione dell'audit firmati per revisioni di conformità esterne.
MCP09 Shadow ServersMitigated
La registrazione del connettore richiede l'autorizzazione a livello di manager. Tutti i connettori vengono tracciati nell'inventario aziendale con monitoraggio dello stato. I connettori inutilizzati vengono contrassegnati automaticamente. Nessuna credenziale predefinita o condivisa.
MCP10 Context Injection & Over-SharingMitigated
Un isolamento rigoroso dei tenant impedisce l'accesso ai dati tra aziende diverse. Contenuti sensibili, riservati e classificati per la salute esclusi da tutte le risposte. Scansione dei dati personali con redazione automatica.
Security Contact
Per richieste di sicurezza, domande sulla conformità o per segnalare un problema:
Hubity
[email protected]
Valutazione di sicurezza aziendale? Richiedi il nostro pacchetto di sicurezza (il nostro report SOC 2 quando disponibile, l'Accordo sul trattamento dei dati e i questionari di sicurezza compilati) sotto NDA all'indirizzo sopra indicato.