Trust Center
Last reviewed: July 2026
Hubity, kurumsal düzeyde güvenlik temel alınarak inşa edilmiştir. Bu sayfa verilerinizi nasıl koruduğumuzu, kimin sorumlu olduğunu ve haklarınızın neler olduğunu belgelemektedir.
Active
Encryption at Rest
Active
Encryption in Transit
Available
Multi-Factor Auth
Active
Audit Logging
Active
Privacy Rights
In Progress
SOC 2 (Devam Ediyor)
Our Commitment
CoreHubity'de güvenlik sonradan düşünülen bir şey değildir. Şifreli alan depolamasından kimliği doğrulanmış dosya erişimine, ayrıntılı rol tabanlı izinlere kadar mimarimizin her katmanına gömülüdür. Kendimizi, İK ekiplerine kendi verileri için uygulamaya yardımcı olduğumuz standartlarla değerlendiriyoruz.
Data Encryption
Active Encryption at rest: Tüm veriler, AES-256 standardı kullanılarak şifreli olarak saklanır
Field-level encryption: Hassas alanlar (maaş, kişisel veriler), ayrı bir anahtar kullanılarak ek bir şifreleme katmanıyla korunur; kayıt başına benzersiz bir başlatma vektörü uygulanır ve erişim için adım yükseltme kimlik doğrulaması gerekir
Encryption in transit: Tüm bağlantılar en güncel aktarım şifreleme standartlarını kullanır. Güvensiz bağlantılar reddedilir
Key management: Şifreleme anahtarları, endüstri standardı anahtar türetme kullanılarak oluşturulur ve şifreli verilerden ayrı olarak saklanır. Veriyi yeniden şifrelemeye gerek kalmadan anahtar rotasyonu desteklenir
Email privacy: E-posta adresleri, yetkisiz erişim durumunda ifşayı önlemek amacıyla ek korumalarla birlikte şifreli olarak saklanır
File access: Yüklenen dosyalar kimliği doğrulanmış bir proxy üzerinden sunulur. Ham depolama URL'leri hiçbir zaman istemcilere ifşa edilmez
Authentication
Active Passwordless login: 15 dakika geçerlilik süreli sihirli bağlantı e-posta kodları: kimlik avı veya ihlale açık parola yok
Passkeys: Donanım güvenlik anahtarı ve biyometrik kimlik doğrulama (parmak izi, yüz) tam olarak desteklenir
Two-factor authentication: Şifreli gizli depolama ve hash'lenmiş kurtarma kodlarıyla kimlik doğrulayıcı uygulama tabanlı 2FA
OAuth SSO: Kurumsal tek oturum açma için Google veya Microsoft (Entra ID) ile oturum aç
Session management: Çapraz site koruması ve otomatik geçerlilik süresi dolumu olan şifreli, güvenli oturum tokenları
Step-up authentication: Hassas veriler (maaş, kişisel veriler), erişim verilmeden önce yakın zamanlı yeniden kimlik doğrulama gerektirir
Infrastructure
Active Hosting: Otomatik yük devretme, küresel uç ağı ve sıfır kesinti süreli dağıtımlara sahip kurumsal sertifikalı barındırma sağlayıcısı
Database: Şifreli depolama, sürekli yedekler ve belirli bir noktaya geri dönme özelliğine sahip kurumsal düzeyde veritabanı
Network Protection: Kurumsal düzeyde DDoS koruması, bot yönetimi ve uç önbellekleme
Data isolation: Her şirketin verileri mantıksal olarak izole edilir. Katı kiracı izolasyonu, kuruluşlar arası her türlü veri erişimini engeller
File storage: Belgeler, yalnızca sunucu tarafı kimlik doğrulamalı erişimle şifreli bulut depolamada saklanır
Access Control
Active Rol tabanlı erişim kontrolü: Ayrıntılı, en az ayrıcalık ilkesine dayanan roller her eylemi yönetir. Görevler ayrılmıştır: özel bir BT ve güvenlik yöneticisi rolü, HR, finans veya ücret verilerine erişim olmadan kimlik doğrulama, entegrasyonlar ve denetimi yönetir; bir finans rolü ise şirket yönetimi yetkileri olmaksızın finansal verilerle sınırlandırılır
Audit logging: Tüm önemli eylemler, kriptografik bir karma zinciriyle güvence altına alınmış, kurcalamaya karşı korumalı bir denetim günlüğüne kaydedilir; kaynak IP, cihaz ve eylem bağlamı yakalanır. Kayıtlar en az altı yıl saklanır
Rate limiting: Tüm kimlik doğrulama ve hassas işlemler, kötüye kullanımı önlemek için hız sınırlamasına tabidir
Input validation: Yüklemeler için dosya türü doğrulama ve veri biçimi doğrulama dahil tüm girdilerde sunucu tarafı doğrulama
Application Security
Active Content Security Policy: Katı tarayıcı güvenlik politikaları, kod enjeksiyonunu ve yetkisiz kaynak yüklenmesini engeller
Sensitive data detection: Bilgi tabanı girdilerinde SSN, kredi kartı numarası, parola ve API anahtarlarının otomatik tespiti. Etkin kimlik bilgileri engellenir; diğer hassas veriler karantinaya alınır ve yapay zeka erişiminden çıkarılır
Dependency management: Bağımlılıklar düzenli olarak izlenir ve güncellenir. Güvenlik tavsiyeleri incelenir ve zamanında uygulanır
Error handling: Dahili hata ayrıntıları hiçbir zaman istemcilere ifşa edilmez. Hatalar dahili inceleme için güvenli şekilde günlüklenir
Data Handling
Active Data residency: Veriler öncelikli olarak Amerika Birleşik Devletleri'nde işlenir ve depolanır. EU veri ikametgahı, Enterprise planlarında kullanılabilir
Data minimization: Yalnızca hizmeti sunmak için gerekli verileri toplarız. Ürün analitiğinin ötesinde davranışsal takip yapılmaz
Processing: İşleme sağlayıcılarımıza gönderilen sorgular, istek yaşam döngüsünün ötesinde saklanmaz ve hiçbir zaman model eğitmek için kullanılmaz
Deletion: Müşteri verileri, Veri İşleme Sözleşmemiz uyarınca hesap iptalinin ardından silinir ve yedekler bunun ardından döngüsel bir programa göre zamanla temizlenir
Compliance
In Progress European Privacy RightsActive
Erişim, düzeltme, silme ve veri dışa aktarma hakları desteklenmektedir
California Privacy RightsActive
Bilme, silme ve ret hakkı dahil tüketici gizlilik hakları tanınmaktadır
Sensitive Data ProtectionActive
Field-level encryption, authenticated access, long-term audit retention
SOC 2 Type IIIn Progress
Altyapı sağlayıcıları sertifikalıdır. Öz değerlendirme devam etmektedir
Accessibility
Hubity, tüm kullanıcıya yönelik yüzeylerde tanınan erişilebilirlik standartlarını karşılamaya kararlıdır.
Keyboard navigation: Tüm etkileşimli öğelere, görünür odak göstergeleriyle klavyeyle ulaşılabilir
Screen reader support: Yardımcı teknoloji uyumluluğu için etiketler, roller ve canlı bölgeler
Semantic HTML: Her yerde uygun başlık hiyerarşisi, işaret bölgeleri ve form etiketleri
Color contrast: Metin ve arayüz öğeleri, hem açık hem de koyu temalarda WCAG AA kontrast oranlarını karşılar
Skip navigation: Klavye kullanıcılarının tekrar eden gezinmeyi atlaması için içeriğe geç bağlantısı sağlanmıştır
Responsive design: Dokunmatik ve işaretçi girişi desteğiyle mobil, tablet ve masaüstünde tam kullanılabilir
Bir erişilebilirlik engelini bildirmek için iletişime geçin: [email protected].
Vulnerability Disclosure
Sorumlu güvenlik araştırmasını memnuniyetle karşılıyoruz. Bir güvenlik açığı keşfederseniz lütfen şu adrese bildirin: [email protected].
Response time: Tüm raporları 48 saat içinde onaylıyoruz
Safe harbor: İyi niyetli araştırmacılara karşı hukuki işlem başlatmıyoruz
Recognition: Geçerli güvenlik açığı raporları, izin dahilinde ilgili araştırmacı kabul edilerek belirtilir
In scope: hubity.io ve ilişkili hizmetleri
Out of scope: Üçüncü taraf hizmetler, sosyal mühendislik, hizmet reddi
Tam güvenlik politikamız şu adreste yayımlanmaktadır: /.well-known/security.txt
Connector Security Compliance
ActiveMapping against the OWASP MCP Top 10 bağlayıcı ve ajan güvenliği çerçevesi.
MCP01 Token Mismanagement & Secret ExposureMitigated
Tokenlar tek yönlü hash olarak saklanır. Kimlik bilgileri, kayıt başına benzersiz başlatma vektörleriyle şifrelenir. Düz metin yalnızca oluşturulduğunda gösterilir, bir daha alınamaz. Sırlar hiçbir zaman günlüklenmez veya hata yanıtlarına dahil edilmez.
MCP02 Privilege Escalation via Scope CreepMitigated
Açık salt okunur izinlere sahip kapsamlı tokenlar. Müşteri başına yetenek bildirimleri, kullanılabilir araçları kısıtlar. Yazma işlemleri, hassas eylemler için çift kontrollü çok seviyeli onay iş akışları gerektirir.
MCP03 Tool PoisoningMitigated
Tüm bağlayıcı araç sonuçları, depolama veya döndürmeden önce enjeksiyon kalıpları, komut çalıştırma ve veri sızdırma açısından taranır. Bağlayıcı yetenekleri açık yönetici onayı gerektirir.
MCP04 Supply Chain & Dependency TamperingMitigated
İçe aktarılan tüm verilerde kriptografik imzalarla köken takibi. İçerik bütünlüğü hash zincirleriyle doğrulanır. Bağlayıcı sağlığı sürekli izlenir; arıza durumunda otomatik karantina uygulanır.
MCP05 Command Injection & ExecutionMitigated
Tüm araç girdileri sunucu tarafında doğrulanır. Veritabanı sorguları parametrelidir. Bağlayıcı verilerinden kabuk çalıştırma yapılmaz. İçerik taraması, işlemeden önce kodlanmış yüklerdeki tehditleri tespit eder.
MCP06 Prompt Injection via Contextual PayloadsMitigated
Bağlayıcı kaynaklı tüm içeriklerde prompt enjeksiyon tespiti. Hassas ve gizli içerik araç yanıtlarından çıkarılır. Araç yanıtlarına içerik uzunluğu sınırları uygulanır.
MCP07 Insufficient Authentication & AuthorizationMitigated
PKCE ile OAuth 2.1. Sahiplik kanıtı token bağlaması. Kimlik sağlayıcı federasyonu üzerinden kurumsal SSO. Gerçek zamanlı doğrulama için token introspection uç noktası. Her katmanda çok kiracılı izolasyon.
MCP08 Denetim ve Telemetri EksikliğiMitigated
Her araç çağrısı, token işlemi ve erişim kararı günlüğe kaydedilir. Kriptografik hash zinciriyle değiştirilemez denetim izi. Harici uyumluluk incelemesi için imzalı denetim dışa aktarma paketleri.
MCP09 Shadow ServersMitigated
Bağlayıcı kaydı, yönetici düzeyinde yetkilendirme gerektirir. Tüm bağlayıcılar sağlık izlemeyle birlikte şirket envanterinde takip edilir. Kullanılmayan bağlayıcılar otomatik olarak işaretlenir. Varsayılan veya paylaşılan kimlik bilgisi kullanılmaz.
MCP10 Context Injection & Over-SharingMitigated
Katı kiracı izolasyonu, şirketler arası veri erişimini engeller. Hassas, gizli ve sağlıkla ilgili sınıflandırılmış içerik tüm yanıtlardan çıkarılır. Kişisel veri taraması otomatik düzenlemeyle gerçekleştirilir.
Security Contact
Güvenlik sorguları, uyumluluk soruları veya bir endişeyi bildirmek için:
Hubity
[email protected]
Kurumsal güvenlik incelemesi mi? Yukarıdaki adresten NDA kapsamında güvenlik paketimizi (uygun olduğunda SOC 2 raporumuz, Veri İşleme Sözleşmesi ve doldurulmuş güvenlik anketleri) talep edin.