Trust Center
Last reviewed: July 2026
O Hubity é construído com segurança de nível empresarial no seu núcleo. Esta página documenta como protegemos os teus dados, quem é responsável e quais são os teus direitos.
Active
Encriptado quando guardado
Active
Encriptado quando enviado
Available
Início de sessão em dois passos
Active
Registo de atividade
Active
Privacy Rights
In Progress
SOC 2 (Em Curso)
Our Commitment
CoreA segurança não é um pensamento posterior no Hubity. Atravessa todo o produto: encriptação adicional em informação sensível, ficheiros que só abrem para quem tem autorização para os ver, e permissões definidas função a função. Aplicamos a nós próprios a mesma norma que ajudamos os nossos clientes a aplicar aos seus próprios dados.
Data Encryption
Active Encriptado quando guardado: Todos os seus dados são encriptados enquanto estão guardados, com AES-256, o padrão usado pela maioria dos bancos e governos
Proteção adicional para informação sensível: A informação sensível, como o salário e os dados pessoais, recebe uma segunda camada de encriptação com uma chave própria e separada, e tem de confirmar novamente que é você antes de qualquer parte dela abrir
Encriptado quando enviado: Tudo o que viaja entre si e o Hubity é encriptado com TLS 1.3, a norma atual, e qualquer ligação que não seja encriptada é recusada
Chaves de encriptação: As chaves que desbloqueiam os seus dados são guardadas separadamente dos próprios dados e podem ser substituídas sem alterar nada do que está guardado
Email privacy: Os endereços de e-mail são encriptados enquanto estão guardados, com proteção adicional para que se mantenham ilegíveis mesmo que alguém chegasse aos ficheiros guardados
File access: Um ficheiro só abre para quem tem sessão iniciada e autorização para o ver. Não existe nenhuma ligação direta que permita a mais alguém chegar até ele
Authentication
Active Passwordless login: Enviamos-lhe por e-mail um código de início de sessão que expira em 15 minutos. Não há palavra-passe para roubar ou adivinhar
Passkeys: Inicie sessão com a impressão digital, o rosto ou uma chave de segurança física
Início de sessão em dois passos: Use uma aplicação autenticadora para um segundo passo no início de sessão. O segredo de configuração é guardado encriptado e os seus códigos de recuperação são guardados numa forma que não pode ser lida de volta
Iniciar sessão com a conta da sua empresa: Inicie sessão com a conta de trabalho Google ou Microsoft que a sua equipa já tem, incluindo o Microsoft Entra ID, para haver um único início de sessão da empresa a gerir
Manter a sessão iniciada: O seu início de sessão é guardado encriptado, não pode ser usado por outro site para agir em seu nome e expira por si só
Confirmar novamente que é você: A informação sensível, como o salário e os dados pessoais, só abre depois de confirmar novamente que é você, mesmo já com sessão iniciada
Alojamento e armazenamento
Active Hosting: Alojamento de nível empresarial que comuta automaticamente se algo falhar, serve as pessoas rapidamente onde quer que estejam e atualiza sem tirar o Hubity do ar
Registos guardados: Os seus registos são guardados encriptados, com cópias de segurança contínuas, e podem ser restaurados para qualquer momento no tempo
Proteção contra ataques: Bloqueio de nível empresarial de ataques que tentam inundar o Hubity de tráfego, filtragem de bots automáticos e páginas servidas a partir de um local próximo de si
Data isolation: Os dados de cada empresa são mantidos separados, e nada do que guarda pode ser alcançado a partir da conta de outra empresa
File storage: Os documentos são guardados encriptados e só abrem para quem tem sessão iniciada e autorização para os ver
Access Control
Active Controlo de acesso baseado em funções: Funções granulares de privilégio mínimo regem todas as ações. As responsabilidades estão separadas: uma função dedicada de administrador de IT e segurança gere a autenticação, as integrações e a auditoria sem acesso a dados de HR, financeiros ou salariais, e uma função financeira está limitada aos dados financeiros, sem poderes de administração da empresa
Registo de atividade: Todas as ações significativas ficam registadas num registo de atividade, juntamente com o dispositivo e o endereço de rede de onde vieram, de forma que qualquer alteração posterior a um registo seja detetável. Os registos são guardados durante pelo menos seis anos
Limites a tentativas repetidas: As tentativas de início de sessão e as ações sensíveis têm um número limitado, para que não possam ser usadas para adivinhação repetida ou abuso
Verificações a tudo o que é enviado: Tudo o que é enviado ao Hubity é verificado nos nossos próprios sistemas, e não apenas no browser, incluindo o tipo e o formato de cada ficheiro carregado
Application Security
Active Proteções do browser: Regras rígidas do browser impedem que código externo corra dentro do Hubity ou que seja carregado o que quer que não tenhamos aprovado
Sensitive data detection: O Hubity deteta números da Segurança Social, números de cartão de crédito, palavras-passe e códigos de acesso no que acrescenta à sua base de conhecimento. Os dados de início de sessão ativos são bloqueados de imediato, e a restante informação sensível é posta de parte para que a IA nunca a leia
Software externo de que dependemos: O software externo em que o Hubity assenta é acompanhado e atualizado regularmente. Os avisos de segurança são revistos e tratados prontamente
Error handling: Nunca vê detalhes de erros internos. Os problemas são registados de forma segura para a nossa própria revisão
Data Handling
Active Data residency: Os dados são armazenados nos Estados Unidos.
Data minimization: Recolhemos apenas os dados necessários para prestar o serviço. Sem rastreamento comportamental para além das análises de produto
Empresas de IA que usamos: As perguntas enviadas às empresas de IA com que trabalhamos não são guardadas depois de a resposta chegar, e nunca são usadas para treinar qualquer modelo
Deletion: Os dados do cliente são eliminados após o cancelamento da conta, em conformidade com o nosso Acordo de Processamento de Dados, e, a partir daí, as cópias de segurança expiram progressivamente segundo um calendário contínuo
Compliance
In Progress European Privacy RightsActive
Direitos de acesso, correção, eliminação e exportação de dados suportados
California Privacy RightsActive
Direitos de privacidade do consumidor respeitados, incluindo o direito de saber, eliminar e excluir
Sensitive Data ProtectionActive
Encriptação adicional em informação sensível, acesso apenas a quem tem sessão iniciada e registos de atividade guardados durante anos
SOC 2 Type IIIn Progress
As empresas que alojam o Hubity são certificadas. A nossa própria avaliação está em curso
Accessibility
O Hubity compromete-se a cumprir as normas de acessibilidade reconhecidas em todas as superfícies voltadas para o utilizador.
Keyboard navigation: Todos os elementos interativos são acessíveis via teclado com indicadores de foco visíveis
Screen reader support: Tudo está etiquetado para que um leitor de ecrã o possa anunciar, incluindo conteúdo que se atualiza enquanto está na página
Estrutura de página correta: Títulos por ordem, regiões da página claramente marcadas e uma etiqueta em cada campo
Color contrast: O texto e os elementos no ecrã cumprem os níveis de contraste WCAG AA nos temas claro e escuro
Skip navigation: Ligação de saltar para o conteúdo fornecida para utilizadores de teclado evitarem a navegação repetitiva
Responsive design: Totalmente utilizável em telemóvel, tablet e computador com suporte de entrada tátil e por apontador
Para comunicar uma barreira de acessibilidade, contacta [email protected].
Vulnerability Disclosure
Damos as boas-vindas à investigação de segurança responsável. Se descobrires uma vulnerabilidade, comunica-a a [email protected].
Response time: Confirmamos todos os relatórios em 48 horas
Safe harbor: Não intentamos ações legais contra investigadores de boa-fé
Recognition: Os relatores de vulnerabilidades válidas são reconhecidos com autorização
In scope: hubity.io e os seus serviços associados
Out of scope: Serviços de terceiros, engenharia social, negação de serviço
A nossa política de segurança completa está publicada em /.well-known/security.txt
Segurança das aplicações ligadas
ActiveVerificamos os nossos controlos face ao enquadramento público OWASP MCP Top 10 para a segurança de aplicações ligadas e agentes.
1 Fuga de códigos de acessoMitigated
Os códigos de acesso são guardados numa forma que não pode ser convertida de volta no original. Os dados de início de sessão guardados são encriptados, separadamente para cada registo. Um código é mostrado uma única vez quando é criado e nunca mais pode ser recuperado. Os códigos nunca aparecem em nenhum registo de atividade nem em qualquer mensagem de erro.
2 Uma ligação a ganhar mais acesso do que deviaMitigated
Cada ligação está limitada ao que precisa e é de só leitura, salvo indicação em contrário. Cada aplicação ligada está restringida a uma lista de ações identificadas. Tudo o que escreve ou altera dados precisa de aprovação, e as ações sensíveis precisam de duas pessoas.
3 Uma aplicação ligada a devolver algo nocivoMitigated
Tudo o que uma aplicação ligada devolve é analisado à procura de instruções ocultas, tentativas de executar comandos e tentativas de extrair dados, antes de ser armazenado ou mostrado. O que cada aplicação ligada pode fazer tem de ser aprovado por um administrador.
4 Adulteração do software ou dos dados de que dependemosMitigated
Tudo o que entra é assinado, para podermos provar de onde veio e saber se mudou pelo caminho. As aplicações ligadas são monitorizadas continuamente e cortadas automaticamente se começarem a falhar.
5 Execução de comandos ocultosMitigated
Tudo o que é enviado é verificado nos nossos próprios sistemas antes de ser usado. As consultas à base de dados não podem ser reescritas pelo que uma aplicação ligada envia. Nada do que uma aplicação ligada envia pode executar comandos nos nossos sistemas. O conteúdo é analisado à procura de ameaças mesmo quando chega disfarçado.
6 Instruções ocultas dirigidas à IAMitigated
O conteúdo de uma aplicação ligada é analisado à procura de instruções ocultas antes de a IA o ler. O conteúdo sensível e restrito fica de fora do que uma aplicação ligada pode ver, e há um limite para o que cada resposta pode devolver.
7 Alguém a ligar-se sem o poder fazerMitigated
As ligações são autorizadas através de um fluxo de início de sessão que é o padrão atual do setor, e um código de acesso só funciona a partir da ligação para a qual foi emitido. A sua empresa pode iniciar sessão com a sua própria conta empresarial. Cada código é verificado nos nossos registos no momento em que é usado, e os dados de cada empresa mantêm-se separados a todos os níveis.
8 Sem registo do que aconteceuMitigated
Cada ação, cada código de acesso usado e cada decisão de acesso fica registada, de forma que qualquer alteração posterior ao registo de atividade seja detetável. Estão disponíveis conjuntos de exportação assinados para uma revisão de conformidade externa.
9 Ligações que ninguém aprovouMitigated
Adicionar uma aplicação ligada exige aprovação ao nível de gestor. Todas as aplicações ligadas constam do inventário da sua empresa e são monitorizadas. As não utilizadas são sinalizadas automaticamente. Nenhuma ligação usa uma palavra-passe predefinida ou partilhada.
10 A IA a ver mais do que deviaMitigated
Os dados de uma empresa nunca podem ser alcançados a partir da conta de outra empresa. A informação sensível, confidencial e de saúde fica de fora de todas as respostas, e os dados pessoais são encontrados e ocultados automaticamente.
Security Contact
Para pedidos de segurança, questões de conformidade ou para comunicar uma preocupação:
Hubity
[email protected]
Está a fazer uma avaliação de segurança empresarial? Peça o nosso pacote de segurança (o nosso relatório SOC 2 quando estiver disponível, o Contrato de Processamento de Dados e os questionários de segurança preenchidos) ao abrigo de um acordo de confidencialidade, no endereço acima.