Trust Center
Last reviewed: July 2026
O Hubity é construído com segurança de nível empresarial no seu núcleo. Esta página documenta como protegemos os teus dados, quem é responsável e quais são os teus direitos.
Active
Encryption at Rest
Active
Encryption in Transit
Available
Multi-Factor Auth
Active
Audit Logging
Active
Privacy Rights
In Progress
SOC 2 (Em Curso)
Our Commitment
CoreA segurança não é um pensamento posterior no Hubity. Está incorporada em todas as camadas da nossa arquitetura, desde o armazenamento encriptado de campos até ao acesso autenticado a ficheiros e às permissões granulares baseadas em funções. Aplicamos a nós próprios as mesmas normas que ajudamos as equipas de HR a impor para os seus próprios dados.
Data Encryption
Active Encryption at rest: Todos os dados são encriptados em repouso utilizando o padrão AES-256
Field-level encryption: Os campos sensíveis (salário, dados pessoais) recebem uma camada adicional de encriptação utilizando uma chave separada, com um vetor de inicialização único por registo e autenticação step-up exigida para o acesso
Encryption in transit: Todas as ligações utilizam as normas de encriptação de transporte mais recentes. As ligações inseguras são rejeitadas
Key management: As chaves de encriptação são derivadas usando derivação de chave padrão do setor e armazenadas separadamente dos dados encriptados. A rotação de chaves é suportada sem reencritar os dados
Email privacy: Os endereços de e-mail são encriptados em repouso com proteções adicionais para evitar exposição em caso de acesso não autorizado
File access: Os ficheiros carregados são servidos através de um proxy autenticado. Os URLs de armazenamento brutos nunca são expostos aos clientes
Authentication
Active Passwordless login: Códigos de e-mail por link mágico com expiração de 15 minutos, sem palavras-passe para roubar ou comprometer
Passkeys: Chave de segurança de hardware e autenticação biométrica (impressão digital, rosto) totalmente suportadas
Two-factor authentication: Autenticação de dois fatores baseada em aplicação autenticadora com armazenamento encriptado de segredos e códigos de recuperação com hash
OAuth SSO: Início de sessão com Google ou Microsoft (Entra ID) para início de sessão único empresarial
Session management: Tokens de sessão encriptados e seguros com proteção entre sites e expiração automática
Step-up authentication: Os dados sensíveis (salário, dados pessoais) requerem reautenticação recente antes de o acesso ser concedido
Infrastructure
Active Hosting: Fornecedor de alojamento certificado para empresas com failover automático, rede de borda global e implementações sem tempo de inatividade
Database: Base de dados de nível empresarial com encriptação em repouso, cópias de segurança contínuas e recuperação para um ponto anterior no tempo
Network Protection: Proteção DDoS, gestão de bots e cache de borda de nível empresarial
Data isolation: Os dados de cada empresa estão logicamente isolados. O isolamento rigoroso entre inquilinos impede qualquer acesso a dados entre organizações
File storage: Os documentos são armazenados em armazenamento em nuvem encriptado com acesso autenticado apenas no servidor
Access Control
Active Controlo de acesso baseado em funções: Funções granulares de privilégio mínimo regem todas as ações. As responsabilidades estão separadas: uma função dedicada de administrador de IT e segurança gere a autenticação, as integrações e a auditoria sem acesso a dados de HR, financeiros ou de remuneração, e uma função financeira está limitada aos dados financeiros, sem poderes de administração da empresa
Audit logging: Todas as ações significativas são registadas num registo de auditoria à prova de adulteração, protegido por uma cadeia de hash criptográfica, capturando o IP de origem, o dispositivo e o contexto da ação. Os registos são retidos durante pelo menos seis anos
Rate limiting: Todas as operações de autenticação e sensíveis têm limitação de taxa para evitar abusos
Input validation: Validação no servidor de todas as entradas, incluindo verificação do tipo de ficheiro para carregamentos e validação do formato de dados
Application Security
Active Content Security Policy: Políticas de segurança rígidas do browser impedem a injeção de código e o carregamento de recursos não autorizados
Sensitive data detection: Deteção automática de NIF, números de cartão de crédito, palavras-passe e API keys nas entradas da base de conhecimento. As credenciais ativas são bloqueadas e os restantes dados sensíveis são colocados em quarentena e excluídos da recuperação pela IA
Dependency management: As dependências são rastreadas e atualizadas regularmente. Os avisos de segurança são revistos e tratados prontamente
Error handling: Os detalhes de erros internos nunca são expostos aos clientes. Os erros são registados de forma segura para revisão interna
Data Handling
Active Data residency: Os dados são processados e armazenados principalmente nos Estados Unidos. A residência de dados na EU está disponível nos planos Enterprise
Data minimization: Recolhemos apenas os dados necessários para prestar o serviço. Sem rastreamento comportamental para além das análises de produto
Processing: As consultas enviadas aos nossos fornecedores de processamento não são retidas para além do ciclo de vida do pedido e nunca são usadas para treinar modelos
Deletion: Os dados do cliente são eliminados após o cancelamento da conta, em conformidade com o nosso Acordo de Processamento de Dados, e, a partir daí, as cópias de segurança expiram progressivamente segundo um calendário contínuo
Compliance
In Progress European Privacy RightsActive
Direitos de acesso, correção, eliminação e exportação de dados suportados
California Privacy RightsActive
Direitos de privacidade do consumidor respeitados, incluindo o direito de saber, eliminar e excluir
Sensitive Data ProtectionActive
Field-level encryption, authenticated access, long-term audit retention
SOC 2 Type IIIn Progress
Fornecedores de infraestrutura certificados. Autoavaliação em curso
Accessibility
O Hubity compromete-se a cumprir as normas de acessibilidade reconhecidas em todas as superfícies voltadas para o utilizador.
Keyboard navigation: Todos os elementos interativos são acessíveis via teclado com indicadores de foco visíveis
Screen reader support: Etiquetas, funções e regiões ativas para compatibilidade com tecnologia de apoio
Semantic HTML: Hierarquia de títulos adequada, regiões de referência e etiquetas de formulário ao longo de toda a interface
Color contrast: O texto e os elementos da interface cumprem os rácios de contraste WCAG AA nos temas claro e escuro
Skip navigation: Ligação de saltar para o conteúdo fornecida para utilizadores de teclado evitarem a navegação repetitiva
Responsive design: Totalmente utilizável em telemóvel, tablet e computador com suporte de entrada tátil e por apontador
Para comunicar uma barreira de acessibilidade, contacta [email protected].
Vulnerability Disclosure
Damos as boas-vindas à investigação de segurança responsável. Se descobrires uma vulnerabilidade, comunica-a a [email protected].
Response time: Confirmamos todos os relatórios em 48 horas
Safe harbor: Não intentamos ações legais contra investigadores de boa-fé
Recognition: Os relatores de vulnerabilidades válidas são reconhecidos com autorização
In scope: hubity.io e os seus serviços associados
Out of scope: Serviços de terceiros, engenharia social, negação de serviço
A nossa política de segurança completa está publicada em /.well-known/security.txt
Connector Security Compliance
ActiveMapping against the OWASP MCP Top 10 enquadramento para a segurança de conectores e agentes.
MCP01 Token Mismanagement & Secret ExposureMitigated
Tokens armazenados como hashes unidirecionais. Credenciais encriptadas com vetores de inicialização exclusivos por registo. Texto simples mostrado uma única vez na geração, nunca recuperável. Segredos nunca registados nem incluídos em respostas de erro.
MCP02 Privilege Escalation via Scope CreepMitigated
Tokens com âmbito definido e permissões explícitas de só leitura. Manifestos de capacidade por cliente restringem as ferramentas disponíveis. As operações de escrita requerem fluxos de aprovação multinível com controlo duplo para ações sensíveis.
MCP03 Tool PoisoningMitigated
Todos os resultados de ferramentas de conectores são analisados para detetar padrões de injeção, execução de comandos e exfiltração de dados antes do armazenamento ou devolução. As capacidades dos conectores requerem aprovação explícita do administrador.
MCP04 Supply Chain & Dependency TamperingMitigated
Rastreamento de proveniência com assinaturas criptográficas em todos os dados ingeridos. Integridade do conteúdo verificada através de cadeias de hash. Saúde dos conectores monitorizada continuamente com quarentena automática em caso de falha.
MCP05 Command Injection & ExecutionMitigated
Todas as entradas de ferramentas são validadas no servidor. As consultas à base de dados são parametrizadas. Sem execução de shell a partir de dados de conectores. A análise de conteúdo deteta ameaças em cargas úteis codificadas antes do processamento.
MCP06 Prompt Injection via Contextual PayloadsMitigated
Deteção de injeção de prompts em todo o conteúdo proveniente de conectores. Conteúdo sensível e classificado excluído das respostas das ferramentas. Limites de comprimento de conteúdo aplicados às respostas das ferramentas.
MCP07 Insufficient Authentication & AuthorizationMitigated
OAuth 2.1 com PKCE. Vinculação de tokens por prova de posse. SSO empresarial via federação de fornecedor de identidade. Ponto de introspeção de token para validação em tempo real. Isolamento multi-tenant em todas as camadas.
MCP08 Falta de Auditoria e TelemetriaMitigated
Cada chamada de ferramenta, operação de token e decisão de acesso é registada. Trilha de auditoria inviolável com cadeia de hash criptográfica. Conjuntos de exportação de auditoria assinados para revisão de conformidade externa.
MCP09 Shadow ServersMitigated
O registo de conectores requer autorização ao nível de gestor. Todos os conectores são rastreados no inventário da empresa com monitorização de saúde. Conectores não utilizados sinalizados automaticamente. Sem credenciais partilhadas ou predefinidas.
MCP10 Context Injection & Over-SharingMitigated
O isolamento estrito de tenant impede o acesso a dados entre empresas. Conteúdo sensível, confidencial e classificado como saúde excluído de todas as respostas. Análise de dados pessoais com redação automática.
Security Contact
Para pedidos de segurança, questões de conformidade ou para comunicar uma preocupação:
Hubity
[email protected]
Avaliação de segurança empresarial? Solicite o nosso pacote de segurança (o nosso relatório SOC 2 quando disponível, o Acordo de Tratamento de Dados e os questionários de segurança preenchidos) sob NDA no endereço acima.