Trust Center
Last reviewed: July 2026
Hubityはエンタープライズグレードのセキュリティをコアに組み込んで構築されています。このページでは、お客様のデータをどのように保護し、誰が責任を持ち、お客様の権利が何かを説明しています。
Active
Encryption at Rest
Active
Encryption in Transit
Available
Multi-Factor Auth
Active
Audit Logging
Active
Privacy Rights
In Progress
SOC 2（取得中）
Our Commitment
CoreHubityにおいてセキュリティは後付けではありません。暗号化されたフィールドストレージから認証済みファイルアクセス、きめ細かなロールベースの権限に至るまで、アーキテクチャのあらゆる層に組み込まれています。私たちは、HRチームが自社データに対して適用するのと同じ基準を自らにも課しています。
Data Encryption
Active Encryption at rest: すべてのデータは、AES-256標準を使用して保存時に暗号化されます
Field-level encryption: 機密フィールド（給与、個人データ）は、別のキーを使用した追加の暗号化レイヤーで保護され、レコードごとに固有の初期化ベクトルを使用し、アクセスにはステップアップ認証が必要です
Encryption in transit: すべての接続は最新のトランスポート暗号化規格を使用しています。安全でない接続は拒否されます
Key management: 暗号化キーは業界標準の鍵導出を使用して生成され、暗号化データとは別に保存されます。データの再暗号化なしにキーのローテーションが可能です
Email privacy: メールアドレスは不正アクセス時の漏洩を防ぐ追加保護とともに、保存時に暗号化されています
File access: アップロードされたファイルは認証済みプロキシ経由で提供されます。生のストレージURLはクライアントに公開されません
Authentication
Active Passwordless login: 有効期限15分のマジックリンクメールコード。フィッシングや漏洩の対象となるパスワードは不要
Passkeys: ハードウェアセキュリティキーと生体認証（指紋、顔認証）を完全サポート
Two-factor authentication: 暗号化されたシークレット保存とハッシュ化された回復コードを使用する認証アプリベースの2FA
OAuth SSO: エンタープライズシングルサインオン向けにGoogleまたはMicrosoft（Entra ID）でサインイン
Session management: クロスサイト保護と自動有効期限付きの暗号化されたセキュアセッショントークン
Step-up authentication: 機密データ（給与、個人データ）へのアクセスには、最近の再認証が必要です
Infrastructure
Active Hosting: 自動フェイルオーバー、グローバルエッジネットワーク、ゼロダウンタイムデプロイを備えたエンタープライズ認定ホスティングプロバイダー
Database: 保存時の暗号化、継続的バックアップ、ポイントインタイムリカバリを備えたエンタープライズグレードデータベース
Network Protection: エンタープライズグレードのDDoS保護、ボット管理、エッジキャッシング
Data isolation: 各社のデータは論理的に分離されています。厳格なテナント分離により、組織間のデータアクセスを一切防止します
File storage: ドキュメントはサーバー側の認証済みアクセスのみを持つ暗号化クラウドストレージに保存されています
Access Control
Active Role-based access control: きめ細かい最小権限のロールがすべてのアクションを制御します。職務は分離されており、専用のIT・セキュリティ管理者ロールは、HR・財務・報酬データにアクセスすることなく認証、統合、監査を管理し、財務ロールは会社管理権限を持たず財務データに限定されます
Audit logging: 重要なアクションはすべて、暗号学的ハッシュチェーンで保護された改ざん検知可能な監査ログに記録され、送信元IP、デバイス、アクションコンテキストが取得されます。記録は最低6年間保持されます
Rate limiting: すべての認証および機密操作はレート制限により悪用を防止しています
Input validation: アップロードファイルのファイル形式検証やデータ形式検証を含む、すべての入力のサーバー側検証を実施
Application Security
Active Content Security Policy: 厳格なブラウザセキュリティポリシーにより、コードインジェクションと不正なリソース読み込みを防止
Sensitive data detection: ナレッジベース入力におけるSSN、クレジットカード番号、パスワード、APIキーを自動検出します。有効な認証情報はブロックされ、その他の機密データは隔離されてAI検索から除外されます
Dependency management: 依存関係は定期的に追跡・更新されます。セキュリティアドバイザリーを確認し、迅速に対応しています
Error handling: 内部エラーの詳細はクライアントに公開されません。エラーは内部レビューのために安全にログに記録されます
Data Handling
Active Data residency: データは主に米国内で処理および保存されます。EUデータレジデンシーはエンタープライズプランで利用可能です
Data minimization: サービス提供に必要なデータのみを収集します。製品分析を超える行動追跡は行いません
Processing: 処理プロバイダーに送信されたクエリはリクエストのライフサイクルを超えて保持されず、モデルのトレーニングに使用されることもありません
Deletion: 顧客データは、当社のデータ処理契約に従い、アカウント解約後に削除されます。その後、バックアップはローリングスケジュールに従って順次削除されます
Compliance
In Progress European Privacy RightsActive
アクセス、訂正、削除、データエクスポートの権利をサポート
California Privacy RightsActive
知る権利、削除権、オプトアウトを含む消費者プライバシーの権利を尊重
Sensitive Data ProtectionActive
Field-level encryption, authenticated access, long-term audit retention
SOC 2 Type IIIn Progress
インフラプロバイダーが認定済み。自己評価を進行中
Accessibility
Hubityは、すべてのユーザー向け画面で認定されたアクセシビリティ基準を満たすことに取り組んでいます。
Keyboard navigation: すべてのインタラクティブ要素は、視覚的なフォーカスインジケーター付きでキーボードから操作できます
Screen reader support: 支援技術との互換性のためのラベル、ロール、ライブリージョン
Semantic HTML: 全体を通じて適切な見出し階層、ランドマークリージョン、フォームラベルを使用
Color contrast: テキストとUI要素は、ライトとダークの両テーマでWCAG AAのコントラスト比を満たしています
Skip navigation: キーボードユーザーが繰り返しのナビゲーションをスキップできるコンテンツへのスキップリンクを提供
Responsive design: タッチとポインター入力のサポートにより、モバイル、タブレット、デスクトップで完全に使用可能
アクセシビリティの障壁を報告するには、こちらにお問い合わせください。 [email protected].
Vulnerability Disclosure
責任ある脆弱性研究を歓迎します。脆弱性を発見した場合は、こちらに報告してください。 [email protected].
Response time: すべての報告に48時間以内に対応します
Safe harbor: 善意の研究者に対して法的措置を取りません
Recognition: 有効な脆弱性の報告者は、許可を得た上でクレジットに掲載されます
In scope: hubity.io およびその関連サービス
Out of scope: サードパーティサービス、ソーシャルエンジニアリング、サービス拒否攻撃
完全なセキュリティポリシーはこちらで公開されています。 /.well-known/security.txt
Connector Security Compliance
ActiveMapping against the OWASP MCP Top 10 コネクターとエージェントのセキュリティのフレームワーク。
MCP01 Token Mismanagement & Secret ExposureMitigated
トークンは一方向ハッシュとして保存されます。認証情報はレコードごとに固有の初期化ベクトルで暗号化されます。平文は生成時に一度だけ表示され、その後は取得できません。シークレットはログに記録されず、エラー応答にも含まれません。
MCP02 Privilege Escalation via Scope CreepMitigated
明示的な読み取り専用権限を持つスコープ付きトークン。クライアントごとの機能マニフェストが利用可能なツールを制限します。書き込み操作には、機密性の高いアクションに対するデュアルコントロールを含む多段階承認ワークフローが必要です。
MCP03 Tool PoisoningMitigated
すべてのコネクターツールの結果は、保存または返却前にインジェクションパターン、コマンド実行、データ持ち出しをスキャンします。コネクターの機能には管理者の明示的な承認が必要です。
MCP04 Supply Chain & Dependency TamperingMitigated
取り込まれたすべてのデータに暗号署名による出典追跡。ハッシュチェーンによるコンテンツの完全性検証。コネクターの健全性を継続的に監視し、障害発生時は自動的に隔離します。
MCP05 Command Injection & ExecutionMitigated
すべてのツール入力はサーバー側で検証されます。データベースクエリはパラメータ化されています。コネクターデータからのシェル実行はありません。コンテンツスキャンにより、処理前にエンコードされたペイロード内の脅威を検出します。
MCP06 Prompt Injection via Contextual PayloadsMitigated
コネクターが提供するすべてのコンテンツにプロンプトインジェクション検出を適用。機密・機密指定コンテンツはツール応答から除外。ツール応答にコンテンツ長の上限を適用。
MCP07 Insufficient Authentication & AuthorizationMitigated
PKCEを使用したOAuth 2.1。所有証明トークンバインディング。IDプロバイダーフェデレーションによるエンタープライズSSO。リアルタイム検証のためのトークンイントロスペクションエンドポイント。すべてのレイヤーでのマルチテナント分離。
MCP08 監査とテレメトリーの欠如Mitigated
すべてのツール呼び出し、トークン操作、アクセス決定がログに記録されます。暗号ハッシュチェーンによる改ざん防止型監査証跡。外部コンプライアンスレビュー用の署名済み監査エクスポートバンドル。
MCP09 Shadow ServersMitigated
コネクターの登録にはマネージャーレベルの承認が必要です。すべてのコネクターは、健全性監視付きの会社インベントリで追跡されます。未使用のコネクターは自動的にフラグが立てられます。デフォルトまたは共有の認証情報はありません。
MCP10 Context Injection & Over-SharingMitigated
厳格なテナント分離により、会社をまたいだデータアクセスを防止します。機密、秘密、健康関連に分類されたコンテンツはすべての応答から除外されます。個人データのスキャンと自動マスキングを実施します。
Security Contact
セキュリティに関するお問い合わせ、コンプライアンスの質問、または懸念事項の報告は:
Hubity
[email protected]
エンタープライズのセキュリティ審査をご希望ですか？上記の連絡先まで、NDA のもとでセキュリティパッケージ（提供可能になり次第の SOC 2 レポート、データ処理契約、記入済みのセキュリティ質問票）をご請求ください。