Ważne informacje

Aktualizacja na dzień 30.12.2025 

Szanowni Państwo,

realizując swoje obowiązki jako administratora danych osobowych PKL Horeca Sp. z o.o. z siedzibą w Zakopanem (34-500), ul. Bachledy 7D (dalej: „Spółka”), dbając o najwyższy standard ochrony danych osobowych, przekazujemy informację dotyczącą naruszenia ochrony danych, na skutek którego osoby nieuprawnione (osoby trzecie) uzyskały dostęp do Pani/Pana danych osobowych.

Wstępną informację, żeby jak najszybciej przekazać informację o tym zdarzeniu, w bardzo uproszczonej formie, Spółka przekazywała Państwu w dniach pomiędzy 27.12.2025 r. a 29.12.2025 r., w formie wiadomości e-mail. Niniejsza informacja realizację obowiązków Spółki wynikających z przepisów.

Z uwagi na trwającą analizę okoliczności zdarzenia, nie wykluczamy aktualizacji niniejszego zawiadomienia.

Spółka wyjaśnia, że obowiązek zawiadomienia ciąży na podmiocie będącym administratorem danych osobowych w rozumieniu RODO, Spółka na etapie zawiadomienia działa jak / jako administrator danych osobowych, ponieważ priorytetowo traktuje bezpieczeństwo Państwa danych osobowych i jak najszybsze poinformowanie Państwa o zagrożeniach. Przy czym z uwagi na charakter naruszenia i sposób działania podmiotu, który odpowiedzialny był za prowadzenie platformy do rezerwacji pobytów w naszych hotelach – Spółka nie wyklucza, że ostatecznym administratorem danych osobowych Państwa danych może być podmiot trzeci, odpowiedzialny za prowadzenie ww. platformy. Spółka będzie Państwa informowała o ewentualnych dalszych ustaleniach w tym zakresie – do tego czasu uprzejmie prosimy o traktowanie niniejszej informacji od Spółki jako aktualnej i wiążącej.

Poniżej wyjaśniamy szczegóły zdarzenia. Prosimy o zapoznanie się z tymi informacjami.

Co się stało?

W dniu 11.12.2025 r. podmiot odpowiedzialny za prowadzenie platformy rezerwacji pobytów – tj. Kajware sp. z o.o. (dalej: „Kajware) zawiadomił nas, że prawdopodobnie doszło do włamania na jeden z serwerów, na którym znajdowała się baza z danymi naszych Klientów. W bazie tej znajdowały się także Pani/Pana dane z przyjętych rezerwacji. Dotychczasowa weryfikacja zdarzenia nie potwierdziła jednoznacznie, aby atakujący uzyskali bezpośredni dostęp do bazy danych (naruszenie poufności danych osobowych), na ten moment nie można jednak wykluczyć takiej ewentualności.

Zakres kategorii danych osobowych jakie mogły zostać objęte naruszeniem to:

• daty rezerwacji i kwoty rezerwacji,
• dane naszych gości hotelowych (podane bezpośrednio w rezerwacji, np. imię, nazwisko, adres email, numer telefonu lub inne, które wprowadziliście Państwo w rezerwacji) lub przekazane nam w innym sposób w celu dokonania rezerwacji;
• wystawione dokumenty księgowe (faktury, paragony).

Na chwilę obecną nie potwierdzamy, że do Pani/Pana danych osobowych uzyskali dostęp przestępcy, jednakże w celu dochowania należytej staranności oraz przeciwdziałania ewentualnym skutkom stwierdzonego incydentu bezpieczeństwa informujemy o podjętych działaniach, a także możliwych negatywnych dla Pani/Pana skutkach incydentu.

Powyższą informację, mimo jeszcze niepotwierdzonego zakresu i skali naruszenia Państwa danych osobowych prosimy potraktować poważnie z uwagi na zidentyfikowane przez Spółkę próby wyłudzenia danych osobowych, o czym Spółka została poinformowana w dniu 25.12.2025 r.

Spółka niezwłocznie wezwała podmiot odpowiedzialny za zaistniałą sytuację tj. Kajware do złożenia wyjaśnień, ustalenie szczegółów naruszenia w związku z atakiem na zasoby tego podmiotu, do których Spółka nie ma dostępu i przekazanie wszelkich informacji mogących mieć znaczenie dla sprawy. Spółka wezwała Kajware do umożliwienia jej przeprowadzenia audytu w tym podmiocie w związku z zaistniałymi prawdopodobnymi nieprawidłowościami.

Niezależnie Spółka informuje, że w dniu 31 stycznia 2026 r. kończy współpracę z Kajware, co nie wyklucza działań podejmowanych przez Spółkę wobec Kajware w celu ochrony Państwa danych osobowych. Na ten moment, żadne nowe dane osobowe nie są przekazywane Kajware przez Spółkę, zakończenie współpracy z datą 31 stycznia 2026 r. wynika wyłącznie z trwających procesów dezaktywacji kont.

Jakie mogą być konsekwencje zdarzenia?

Kierując się daleko idącą ostrożnością informujemy o potencjalnych następstwach w sytuacji, gdyby stwierdzono, że doszło do naruszenia Pani\Pana danych osobowych przez przestępców.

Powyższe wynika zwłaszcza z faktu, że Spółka ma już pierwsze sygnały otrzymane w dniu 25.12.2025 r., że zdarzają się działania zmierzające do próby wyłudzenia płatności lub danych finansowych (phishing).

O dalszych okolicznościach będziemy informować Państwa w odrębnym komunikacie.

Następstwem naruszenia ochrony Pani/Pan danych osobowych może być wykorzystanie przez osoby trzecie Pani/Pana danych m.in. w celu uzyskania korzyści majątkowej Pani/Pana kosztem.

Wykorzystane dane osobowe mogą także służyć nakłonieniu Pani/Pana do zapłaty nieistniejących płatności, dokonania ponownych płatności, podania danych związanych z możliwością wykonania wbrew Państwa woli płatności (np. wykorzystanie danych z karty kredytowej) lub służyć do wyłudzenia dodatkowych Pani/Pana danych, które pierwotnie nie były objęte naruszeniem, co w konsekwencji mogłoby skutkować zaciągnięciem innych zobowiązań, np. dokonywanie zakupów w sieci internet lub wyłudzanie kredytów czy też pożyczek w instytucjach pozabankowych. Innymi słowy – w konsekwencji uzyskanie przez osobę trzecią, na Pani/Pana szkodę, kredytów w instytucjach bankowych lub zaciągnięcie innych zobowiązań finansowych, w tym np. pożyczek w instytucjach pozabankowych przez Internet lub telefonicznie, bez konieczności okazywania dokumentu tożsamości.

Potencjalnie ujawnione dane mogą także posłużyć w celu założenia na Pani/Pana dane osobowe konta internetowego (np. w serwisach społecznościowych, poczty elektronicznej), wypożyczania na Pani/Pana dane określonych przedmiotów, a następnie ich kradzieży przez osoby trzecie.

Zaistniałe zdarzenie może, aczkolwiek nie musi, wiązać się dla Pani/Pana także z innymi z negatywnymi konsekwencjami, takimi jak:

1. Pani/Pana dane osobowe mogą zostać wykorzystane np. do oddania głosu w głosowaniu nad środkami budżetu obywatelskiego i tym samym osoby te mogą skorzystać z Pani/Pana praw obywatelskich;
2. możliwość posłużenia się przez osoby trzecie Pani/Pana danymi osobowymi w celu ustalenia Pani/ Pana statusu majątkowego;
3. Pani/Pana dane osobowe mogą zostać wykorzystane przez osoby trzecie do ukrycia swojej tożsamości, np. w sytuacji popełnienia przez te osoby czynu zabronionego lub w inny sposób wykorzystane w celu sfałszowania lub kradzieży tożsamości;
4. osoby trzecie mogą podjąć próbę uzyskania dostępu do systemów obsługujących udzielanie świadczeń medycznych i uzyskać wgląd do danych o Pani/Pana stanie zdrowia, w sytuacjach gdy dostęp do systemów rejestracji pacjenta można uzyskać, potwierdzając swoją tożsamość jedynie za pomocą numeru PESEL;
5. Pani/Pana dane osobowe mogą zostać wykorzystane przez osobę trzecią do próby zawarcia na Pani/Pana rzecz umów cywilnoprawnych, np. najmu lub ubezpieczenia;
6. podszycie się pod inną osobę lub instytucję w celu wyłudzenia od Pani/Pana dodatkowych, określonych informacji (np. danych do logowania, szczegółów karty kredytowej);
7. poczucie utraty kontroli nad własnymi danymi osobowym.

Co może Pani/Pan zrobić, aby zaradzić zdarzeniu?

Poniżej proponujemy środki, które mogą Pani/Panu pomóc w uniknięciu negatywnych następstw zdarzenia:

1. rozważenie zastrzeżenia numeru PESEL (usługa dostępna bezpłatnie np. poprzez aplikację mObywatel lub w urzędzie gminy);
2. zachowanie szczególnej ostrożności w obszarze Pani/Pana danych osobowych (np. dodatkowa weryfikacja przed otwieraniem wiadomości e-mail pochodzących od nieznanych adresatów oraz wypełnianiem formularzy na stronach internetowych);
3. w przypadku podejrzenia, że Pani/Pana dane osobowe są wykorzystywane przez osoby nieuprawnione, prosimy o jak najszybsze przekazanie tej informacji Spółce oraz odpowiednim organom (np. policji);
4. zgłaszanie do Spółki wszelkich innych przypadków negatywnych konsekwencji wynikających z zaistniałego zdarzenia (dane kontaktowe wskazane na końcu tej wiadomości);
5. jednocześnie, ma Pani/Pan możliwość skorzystania ze środków ochrony dóbr osobistych, na zasadach określonych w obowiązujących przepisach.

Biorąc pod uwagę charakter naruszenia prosimy również o podjęcie następujących działań:

1. imy zwracać uwagę na wszelką korespondencję kierowaną do Pani/Pana (z wykorzystaniem Pani/Pana danych osobowych) przez osoby, które podają się za przedstawicieli naszego hotelu – prosimy tego typu sytuacje wyjaśniać z nami na bieżąco kontaktując się pod adresem wskazanym na końcu niniejszego pisma. W szczególności prosimy zwracać szczególną uwagę na ewentualne próby wyłudzeń poprzez podszywanie się pod naszą tożsamość oraz powoływanie na dane  z rezerwacji, wysyłane drogą e-mail lub komunikatorami internetowymi (np. WhatsApp) – gdzie jesteście Państwo proszeni o uregulowanie należności za pobyt w naszym hotelu lub podanie danych osobowych klikając w linki znajdujące się w treści wiadomości. Nie należy odpowiadać na tego typu wiadomości ani klikać w linki.

2. Prosimy również zwracać uwagę na ewentualną korespondencję przekazywaną drogą papierową i dokładnie zapoznawać się z ich treścią, ponieważ mogą to być na przykład potwierdzenia zawarcia określonej umowy, której sam(a) Pani/Pan nigdy nie zawierał(a) lub fałszywe wezwania do zapłaty z tytułu dokonanych rezerwacji w naszym obiekcie. Wszelkie tego typu zdarzenia należy niezwłocznie weryfikować bezpośrednio z podmiotami, które są stroną zawartych umów, a w wątpliwych przypadkach zgłaszać na Policję. Przypominamy również, że w przypadku umów konsumenckich zawieranych na odległość zazwyczaj w takim przypadku przysługuje prawo odstąpienia od umowy w terminie 14 dni bez ponoszenia żadnych konsekwencji. W przypadku otrzymania zawiadomienia drogą elektroniczną (mailową) o podobnym charakterze, jak wskazany powyżej, należy zwracać szczególną uwagę na:

• podejrzane załączniki w wiadomościach mailowych – załączniki nie powinny być przesyłane w postaci archiwum typu ZIP lub RAR,
• podejrzane linki znajdujące się w treści wiadomości,
• prośby podania swoich dodatkowych danych osobowych (np. w celu potwierdzenia swojej tożsamości).

Tego typu maile mogą zawierać złośliwe oprogramowanie (np. wirusy, trojany), a także służyć do prób wyłudzenia kolejnych Pani/Pana danych osobowych, np. numerów kont bankowych, numerów kart kredytowych czy też danych wykorzystywanych do logowania (np. loginy i hasła). Z tego też względu zalecamy szczególną ostrożność przy otwieraniu tego typu wiadomości. Zalecamy również korzystanie z oprogramowania antywirusowego z zawsze aktualną bazą sygnatur wirusów.

3. Prosimy również zwrócić uwagę na hasła dostępu jakich używa Pani/Pan korzystając z zasobów sieci Internet (np. kont społecznościowych, kont e-mail, portali, bankowości elektronicznej). Hasła te nie powinny zawierać w swojej składni łatwych do odgadnięcia wyrazów lub ich części, w szczególności bazujących na Pani/Pana danych osobowych (np. imion, nazwisk, daty urodzenia, numeru PESEL, serii i numeru dokumentu tożsamości, numeru telefonu).

Jakie działania podjęliśmy, aby zminimalizować ryzyko wystąpienia negatywnych konsekwencji zdarzenia?

Jako Spółka podjęliśmy szereg konkretnych działań w celu zaradzenia zdarzeniu i zminimalizowania negatywnych skutków, w tym takie, które mają na celu uniknięcie wystąpienia podobnego zdarzenia w przyszłości, takie jak:

1. podjęliśmy niezwłoczne działania celem zminimalizowania ryzyka wystąpienia podobnej sytuacji w przyszłości poprzez zmianę dostawcy systemu rezerwacyjnego (naruszenie to jedna z okoliczności stanowiących przyczynę zmiany dostawcy);
2. wezwaliśmy Kajware do złożenia wszelkich wyjaśnień związanych ze zdarzeniem oraz zaplanowaliśmy przeprowadzenie audytu w tym podmiocie w razie braku dobrowolnych wyjaśnień tego podmiotu;
3. dokonaliśmy zgłoszenia naruszenia Prezesowi Urzędu Ochrony Danych Osobowych, pozostajemy w kontakcie z organem i realizujemy jego zalecenia dotyczące minimalizowanie ewentualnych skutków zdarzenia, jak również uruchomiliśmy wewnętrzną procedurę reagowania na potencjalne naruszenia ochrony danych osobowych, wyłączyliśmy zasoby IT objęte atakiem, zastąpiliśmy je nowymi, dodatkowo zabezpieczonymi, przeprowadziliśmy weryfikację kont użytkowników, aby mieć pewność, że atakujący nie mają już dostępu do naszych baz danych;
4. zgodnie z informacjami od Kajware podmiotu, u którego doszło do naruszenia - naruszenie zostało zgłoszone do CERT przez Kajware, Spółka ponownie - niezależnie od Kajware dokonała zgłoszenia incydentu do CERT.

Jak można się z nami skontaktować?

Jeżeli ma Pani/Pan jakiekolwiek pytania lub wątpliwości w związku z zaistniałym zdarzeniem, prosimy o kontakt ze Spółką – np. w formie mailowej nanastepujący adres e-mail: kuznice@hotelepkl.pl lub pisemnie na podany powyżej adres Spółki.

W sprawach dotyczących ochrony danych osobowych, możliwy jest również kontakt z naszym Inspektorem Ochrony Danych r. pr. Ludmiłą Łuczak – pod adresem e-mail: iodo@pkl.pl.

Przepraszamy za zaistniałą sytuację.

_____________________________________________________________________________________

Informacja z dnia 18.12.2025 r.

Szanowni Państwo,

PKL Horeca sp. z o.o. (dalej: „Horeca” lub „Spółka”) z niepokojem i największą uważnością monitoruje temat ataku hakerskiego na zasoby portalu do rezerwacji noclegów KW Hotel.

Zachowując najwyższe standardy dbałości o dane osobowe naszych gości, biorąc pod uwagę fakt, że współpracowaliśmy z podmiotem Kajware sp. z o.o., przekazujemy Państwu poniższe informacje z prośbą o zapoznanie się z nimi.

Spółka oświadcza, że priorytetem dla Spółki jest ochrona praw naszych gości, w tym szczególna dbałość o ochronę danych osobowych gości. W związku z czym Spółka podejmuje wszelkie możliwe działania w tym zakresie, w szczególności na bieżąco informuje osoby, których dane osobowe mogły być dotknięte naruszeniem o okolicznościach sprawy, możliwych działaniach ograniczających ryzyko negatywnych konsekwencji, a także pozostaje w stałym kontakcie z organem nadzorczym – tj. Prezesem Urzędu Ochrony Danych Osobowych

W związku z medialnymi doniesieniami o prawdopodobnym ataku hakerskim, Horeca uruchomiła wszelkie obowiązujące w spółce procedury bezpieczeństwa i weryfikacji czy naruszenie mogło dotknąć bezpośrednio naszych gości.

Naruszenie potencjalnie może dotyczyć naszych gości, którzy odwiedzali nas w następujących obiektach: [Siedlisko Babia Góra, Apartamenty Kuźnice 13]

Na ten moment portal rezerwacyjny prowadzony przez Kajware sp. z o.o., nie potwierdził jednoznacznie szczegółów naruszenia ani nie przekazał nam informacji, czy atak hakerski na zasoby tej spółki mógł dotyczyć również Horeca.

Z daleko posuniętej ostrożności i braku możliwości wykluczenia, że ww. naruszenie mogło obejmować również dane osobowe naszych gości prosimy Państwa o zachowanie szczególnej ostrożności. W szczególności prosimy o zwrócenie uwagi na jakiekolwiek próby wyłudzenia Państwa danych osobowych, próbę zaciągania zobowiązań w Państwa imieniu oraz jakiekolwiek inne niestandardowe sytuacje i działania, które bezpośrednio lub pośrednio mogą dotyczyć Państwa danych osobowych.

W związku z zaistniałą sytuacją Spółka informuje o możliwości zastrzeżenia numeru PESEL w celu zwiększenia Państwa bezpieczeństwa.

Spółka będzie na bieżąco informować o dalszym rozwoju sytuacji, poprzez komunikaty na stronie internetowej i indywidualnej komunikacji.

W razie jakichkolwiek pytań prosimy o kontakt pod następującym adresem mailowym: e-mail [siedlisko@hotelepkl.pl, kuznice@hotelepkl.pl].