How does Hubity encrypt my data?

All data is encrypted at rest using the AES-256 standard. Sensitive fields like salary and personal data receive an additional layer of encryption (AES-256-GCM) with a separate key, a unique initialization vector per record, and step-up authentication. All connections use TLS 1.3 with HSTS preloading.

How does authentication work in Hubity?

Hubity uses passwordless login with magic link email codes (15-minute expiration). We also support passkeys (WebAuthn/FIDO2), TOTP-based two-factor authentication, and OAuth SSO with Google or Microsoft.

Where is Hubity hosted and how is data isolated?

Hubity runs on enterprise-grade cloud infrastructure with automatic failover and a global edge network. Data is primarily processed and stored in the United States, with EU data residency available on Enterprise plans. Each company's data is logically isolated, with strict tenant isolation to prevent any cross-company data access.

Does Hubity use my data to train AI models?

No. Queries sent to our AI providers are not retained beyond the request lifecycle and are never used to train models. Hubity only collects data required to provide the service with no behavioral tracking beyond product analytics.

What happens to my data if I cancel my account?

Customer data is deleted after account cancellation in line with our Data Processing Agreement, and backups age out on a rolling schedule thereafter.

How do I report a security vulnerability?

Email security@hubity.io with details. Hubity acknowledges all reports within 48 hours, does not pursue legal action against good-faith researchers, and recognizes valid vulnerability reporters with permission.

Trust Center

Last reviewed: July 2026

Hubity is gebouwd met enterprise-beveiliging als kern. Deze pagina documenteert hoe we uw gegevens beschermen, wie verantwoordelijk is en wat uw rechten zijn.

Active

Encryption at Rest

Active

Encryption in Transit

Available

Multi-Factor Auth

Active

Audit Logging

Active

Privacy Rights

In Progress

SOC 2 (In uitvoering)

Our Commitment

Core

Beveiliging is geen bijzaak bij Hubity. Het is ingebed in elke laag van onze architectuur: van versleutelde veldopslag tot geverifieerde bestandstoegang tot gedetailleerde rolgebaseerde machtigingen. We houden onszelf aan dezelfde normen die we HR-teams helpen handhaven voor hun eigen gegevens.

Data Encryption

Active

Encryption at rest: Alle gegevens worden in rust versleuteld met de AES-256-standaard

Field-level encryption: Gevoelige velden (salaris, persoonsgegevens) krijgen een extra versleutelingslaag met een aparte sleutel, met een unieke initialisatievector per record en step-up-authenticatie vereist voor toegang

Encryption in transit: Alle verbindingen gebruiken de nieuwste transportversleutelingsstandaarden. Onveilige verbindingen worden geweigerd

Key management: Versleutelingssleutels worden afgeleid met behulp van industriestandaard sleutelafleiding en apart van versleutelde gegevens opgeslagen. Sleutelrotatie wordt ondersteund zonder herversleuteling van gegevens

Email privacy: E-mailadressen worden in rust versleuteld met extra bescherming om blootstelling bij onbevoegde toegang te voorkomen

File access: Geüploade bestanden worden geleverd via een geverifieerde proxy. Onbewerkte opslag-URL's worden nooit aan clients getoond

Authentication

Active

Passwordless login: E-mailcodes via magische links met een vervaltijd van 15 minuten: geen wachtwoorden om te phishen of te lekken

Passkeys: Hardware-beveiligingssleutel en biometrische authenticatie (vingerafdruk, gezicht) volledig ondersteund

Two-factor authentication: Op authenticator-app gebaseerde 2FA met versleutelde geheimopslag en gehashte herstelcodes

OAuth SSO: Aanmelden met Google of Microsoft (Entra ID) voor enterprise eenmalig aanmelden

Session management: Versleutelde, beveiligde sessietokens met cross-sitebeveiliging en automatisch verlopen

Step-up authentication: Voor gevoelige gegevens (salaris, persoonsgegevens) is een recente herauthenticatie vereist voordat toegang wordt verleend

Infrastructure

Active

Hosting: Enterprise-gecertificeerde hostingprovider met automatische failover, wereldwijd edge-netwerk en implementaties zonder downtime

Database: Enterprise-database met versleuteling in rust, continue back-ups en herstel naar een bepaald tijdstip

Network Protection: Enterprise DDoS-beveiliging, botbeheer en edge-caching

Data isolation: De gegevens van elk bedrijf zijn logisch geïsoleerd. Strikte tenantisolatie voorkomt elke gegevenstoegang tussen organisaties

File storage: Documenten worden opgeslagen in versleutelde cloudopslag met uitsluitend server-side geverifieerde toegang

Access Control

Active

Op rollen gebaseerde toegangscontrole: Granulaire rollen volgens het principe van minimale rechten bepalen elke actie. De taken zijn gescheiden: een specifieke IT- en beveiligingsbeheerdersrol beheert authenticatie, integraties en audit zonder toegang tot HR-, financiële of beloningsgegevens, en een financiële rol is beperkt tot financiële gegevens zonder bevoegdheden voor bedrijfsbeheer

Audit logging: Alle significante acties worden vastgelegd in een manipulatiebestendig auditlogboek dat is beveiligd met een cryptografische hashketen, met vastlegging van bron-IP, apparaat en actiecontext. Registraties worden minimaal zes jaar bewaard

Rate limiting: Alle authenticatie- en gevoelige bewerkingen zijn snelheidsbeperkt om misbruik te voorkomen

Input validation: Server-side validatie op alle invoer, inclusief verificatie van bestandstype bij uploads en validatie van gegevensindeling

Application Security

Active

Content Security Policy: Strikt browsersbeveiligingsbeleid voorkomt code-injectie en ongeautoriseerd laden van bronnen

Sensitive data detection: Automatische detectie van BSN's, creditcardnummers, wachtwoorden en API-sleutels in kennisbankinvoer. Actieve inloggegevens worden geblokkeerd en andere gevoelige gegevens worden in quarantaine geplaatst en uitgesloten van ophaling door AI

Dependency management: Afhankelijkheden worden bijgehouden en regelmatig bijgewerkt. Beveiligingsadviezen worden snel beoordeeld en opgevolgd

Error handling: Interne foutdetails worden nooit aan clients getoond. Fouten worden veilig geregistreerd voor interne beoordeling

Data Handling

Active

Data residency: Gegevens worden voornamelijk verwerkt en opgeslagen in de Verenigde Staten. EU-dataresidentie is beschikbaar in Enterprise-abonnementen

Data minimization: We verzamelen alleen gegevens die nodig zijn om de dienst te leveren. Geen gedragsregistratie buiten productanalyse

Processing: Query's die naar onze verwerkingsproviders worden verzonden, worden niet langer bewaard dan de levenscyclus van het verzoek en worden nooit gebruikt om modellen te trainen

Deletion: Klantgegevens worden na annulering van het account verwijderd conform onze Verwerkersovereenkomst, en back-ups verlopen daarna volgens een doorlopend schema

Compliance

In Progress

European Privacy RightsActive

Recht op inzage, correctie, verwijdering en gegevensexport ondersteund

California Privacy RightsActive

Consumentenprivacyrechten gerespecteerd, waaronder het recht op inzage, verwijdering en opt-out

Sensitive Data ProtectionActive

Field-level encryption, authenticated access, long-term audit retention

SOC 2 Type IIIn Progress

Infrastructuurproviders gecertificeerd. Zelfevaluatie in uitvoering

Accessibility

Hubity streeft ernaar erkende toegankelijkheidsnormen te halen op alle gebruikersgerichte oppervlakken.

Keyboard navigation: Alle interactieve elementen zijn bereikbaar via toetsenbord met zichtbare focusindicatoren

Screen reader support: Labels, rollen en live-regio's voor compatibiliteit met ondersteunende technologie

Semantic HTML: Correcte koppenstructuur, landmarkregio's en formulierlabels door de hele toepassing

Color contrast: Tekst- en UI-elementen voldoen aan WCAG AA-contrastverhouding in zowel lichte als donkere thema's

Skip navigation: Sla-naar-inhoud-link beschikbaar voor toetsenbordgebruikers om repetitieve navigatie over te slaan

Responsive design: Volledig bruikbaar op mobiel, tablet en desktop met ondersteuning voor aanraak- en aanwijzerinvoer

Meld een toegankelijkheidsbarrière door contact op te nemen met [email protected].

Vulnerability Disclosure

We verwelkomen verantwoordelijk beveiligingsonderzoek. Als u een kwetsbaarheid ontdekt, meld dit dan aan [email protected].

Response time: We bevestigen alle meldingen binnen 48 uur

Safe harbor: We ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw handelen

Recognition: Geldige kwetsbaarheidsmelders worden erkend met toestemming

In scope: hubity.io en de bijbehorende services

Out of scope: Diensten van derden, social engineering, denial-of-service

Ons volledige beveiligingsbeleid is gepubliceerd op /.well-known/security.txt

Connector Security Compliance

Active

Mapping against the OWASP MCP Top 10 kader voor connector- en agentbeveiliging.

MCP01 Token Mismanagement & Secret ExposureMitigated

Tokens worden opgeslagen als eenrichtingshashes. Referenties worden versleuteld met unieke initialisatievectoren per record. Leesbare tekst wordt eenmalig getoond bij aanmaak en is nooit opvraagbaar. Geheimen worden nooit geregistreerd of opgenomen in foutmeldingen.

MCP02 Privilege Escalation via Scope CreepMitigated

Tokens met beperkte scope en expliciete alleen-lezenmachtigingen. Per-client capability manifests beperken beschikbare tools. Schrijfbewerkingen vereisen goedkeuringsworkflows op meerdere niveaus met dubbele controle voor gevoelige acties.

MCP03 Tool PoisoningMitigated

Alle resultaten van connectortool worden gescand op injectiepatronen, opdrachtuitvoering en gegevensexfiltratie vóór opslag of retournering. Connectorcapaciteiten vereisen expliciete goedkeuring van een beheerder.

MCP04 Supply Chain & Dependency TamperingMitigated

Provenance-tracking met cryptografische handtekeningen op alle opgenomen gegevens. Inhoudsintegriteit geverifieerd via hashketens. Connectorgezondheid wordt continu bewaakt met automatische quarantaine bij storing.

MCP05 Command Injection & ExecutionMitigated

Alle toolinputs worden server-side gevalideerd. Databasequery's zijn geparametriseerd. Geen shell-uitvoering vanuit connectorgegevens. Inhoudsscanning detecteert bedreigingen in gecodeerde payloads vóór verwerking.

MCP06 Prompt Injection via Contextual PayloadsMitigated

Promptinjectiedetectie op alle inhoud afkomstig van connectoren. Gevoelige en vertrouwelijke inhoud uitgesloten van toolreacties. Limieten voor inhoudslengte toegepast op toolreacties.

MCP07 Insufficient Authentication & AuthorizationMitigated

OAuth 2.1 met PKCE. Proof-of-possession tokenbinding. Enterprise SSO via identiteitsprovidersfederatie. Token-introspectie-eindpunt voor realtime validatie. Multi-tenant isolatie op elke laag.

MCP08 Ontbreken van audit en telemetrieMitigated

Elke toolaanroep, tokenoperatie en toegangsbeslissing wordt geregistreerd. Fraudebestendig auditlogboek met cryptografische hashketen. Ondertekende auditexportpakketten voor externe compliancebeoordeling.

MCP09 Shadow ServersMitigated

Connectorregistratie vereist goedkeuring op managerniveau. Alle connectoren worden bijgehouden in de bedrijfsinventaris met gezondheidsmonitoring. Ongebruikte connectoren worden automatisch gemarkeerd. Geen standaard- of gedeelde referenties.

MCP10 Context Injection & Over-SharingMitigated

Strikte tenant-isolatie voorkomt gegevenstoegang tussen bedrijven. Gevoelige, vertrouwelijke en als gezondheidsdata geclassificeerde inhoud wordt uitgesloten van alle antwoorden. Persoonsgegevens worden gescand en automatisch geredigeerd.

Security Contact

Voor beveiligingsvragen, compliancekwesties of om een probleem te melden:

Hubity
[email protected]

Beveiligingsbeoordeling voor ondernemingen? Vraag ons beveiligingspakket aan (ons SOC 2-rapport zodra beschikbaar, de verwerkersovereenkomst en ingevulde beveiligingsvragenlijsten) onder NDA op het bovenstaande adres.