Ogłoszenie ochrona danych osobowych

Ogłoszenie - Komunikat z dnia 03.11.2026

Komunikat - Ogłoszenie z dnia 03.11.2026

W dniu 02.11.2026 r. o godz. 09:35 pracownicy Idobooking.pl dostawcy oprogramowania dla obiektów noclegowych między innymi systemów rezerwacyjnych zauważyli, że prawdopodobnie doszło do włamania na jeden z serwerów. Na serwerze tym znajdowała się baza z danymi klientów (przyjętych rezerwacji).  Dotychczasowa weryfikacja zdarzenia nie wykazała, aby atakujący uzyskali bezpośredni dostęp do bazy danych, nie ma również pewności, że dane te zostały pobrane, na ten moment nie można jednak wykluczyć takiej ewentualności.

Opis zdarzenia

Pierwszy sposób pozyskania danych: powiadomienia systemowe

Komunikat od Idobooking.pl Jak informowaliśmy w komunikacie z 3 listopada 2026 r., osoba nieuprawniona dodała do panelu Go Emc2 sp. z o.o działającego pod nazwą handlową TriApart konto z uprawnieniami administratora, do którego system wysyłał powiadomienia o rezerwacjach. Ten sposób zidentyfikowaliśmy jako pierwszy. Ponieważ powiadomienia dotyczą konkretnych rezerwacji, przekazaliśmy, wraz z zakresem danych (m.in. imię i nazwisko gościa, termin pobytu, a w części rezerwacji także numer telefonu i adres e-mail).

Drugi sposób pozyskania danych: pobranie list rezerwacji przez API

Idobooking.pl : W toku dalszej analizy potwierdziliśmy, że w panelu Go Emc2 sp. z o.o działającego pod nazwą handlową TriApart doszło również do pobrania list rezerwacji przez API. To funkcja, która służy do automatycznego pobrania listy rezerwacji. Zapisy w logach pokazują wielkość pobranych danych, ale nie wskazują, których konkretnie rezerwacji i danych osobowych dotyczyły. Z tego powodu nie jest możliwe przygotowanie listy rezerwacji oraz kategorii danych osobowych objętych pobraniem.

Co to oznacza

Ze względu na charakter tego typu incydentów nie zawsze możliwe jest jednoznaczne określenie pełnego zakresu naruszenia. Dlatego, kierując się zasadą ostrożności, należy zakładać, że więcej rezerwacji niż pierwotnie zakładano, zostało przekazane do osób trzecich. Jeśli nie zrobili Państwo tego wcześniej, rekomendujemy ostrzeżenie przed potencjalnymi próbami oszustw (phishingu) gości ze wszystkich trwających i przyszłych rezerwacji, w tym również anulowanych.

Konta, z których pobrano listę rezerwacji, zostały usunięte i zablokowane. Od tego czasu nie mają możliwości dalszego pobierania danych.

Działania podjęte przez Spółkę Go Emc2 sp. z o.o. właściciela marki TriApart użytkownika oprogramowania IDOBOOKING

Dokonanie zgłosznenia UODO.

Sprządzenie raportu oraz dokumentu informacyjnego dla klientów "gości".

Zamieszczenie publicznej infoirmacji na temat zaistaniłego incydentu.

Zamieszczenie pałatnej reklamy w google ads.

Próba nawiązania kontaktu serwisami OTA z którymi prowadzimy wsółpracę.

Określenie jakich danych mogłbym dotyczyć zagrożenie:

Imię oraz nazwisko,

Data rezerwacji,

Kwota rezerwacji,

numer telefonu

Zaszyfrowane zastępcze adresy email są adresami generowanymi wyłacznie na potrzeby rezerwacji i po jej zakończeniu są blokowane i przesyłanie przez nie wiadmności nie jest możliwe.

Wysłanie wiadmości przez adresy zastępcze zaszyforwane do klienta jest wykonaywane wyłacznie przez serwis rezerwacyjny booking.com który również monitoruje i blokuje przesyłanie wiadomości do klientów / gości na ich adres docelowy którego jako podmiot świadczący usługi noclegowe nie znamy.

Dodotakowo w systemach rezerwcyjnych jak booking.com expedia.com .... zostało określone iż przez system rezerwacyjny mogą być przekazywane wiadomości jedynie z doment oraz linków wcześniej zdefinowanych i dopuszczonych do komunikacji.

Cała komunikacja z goścmi klientami odbywa się przez wewnętrzny system komunkacji serwisów rezerwacyjnych i nie był z połaczony do komunikacji przez system KwHotel którego dotyczy zgłoszony i opisany incydent.

Dane fakurowe nie były dostępne, dane płatniości nie były dostępne , dane pesel nie były dostępne, dane teleadresowe nie były dostępne, hasła / loginy nie były dostępne.

Sprawa możliwego incydentu może dotyczyć rezerwacji byłych, obecnych oraz przyszłych zarejestrowanych do dnia 01.11.2026 r. o godz. 16:00

Ponieżej treść wiadmość komuniaktu do gościa / klienta jeżeli jesteśmy wstanie uzyskać lub posiadamy adres email który byłby aktywnym adresem do korespondencji.

Jeżeli trafiłeś na tą informację prosimy zapoznaj się z nią:

ZAWIADOMIENIE O POTENCJALNYM NARUSZENIU OCHRONY DANYCH OSOBOWYCH

Szanowna Pani,

Szanowny Panie,

________________________ /nazwa hotelu/ z siedzibą w ________________________ /adres siedziby/ (dalej jako „Administrator” lub "_________”) dopełniając swoich obowiązków jako administratora danych w rozumieniu art. 4 ust. 7 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) niniejszym informuje, że zostało wykryte potencjalne naruszenie ochrony danych osobowych, które mogło dotyczyć Pani/Pana danych osobowych. W związku z tym prosimy o dokładne zapoznanie się z treścią poniższego komunikatu.

Opis charakteru potencjalnego naruszenia

W dniu 02.11.2026 r. pracownicy naszego dostawcy usług IT, zawiadomili nas, że prawdopodobnie doszło do włamania na jeden z serwerów, na którym znajdowała się baza z danymi naszych Klientów. W bazie tej znajdowały się także Pani/Pana dane z przyjętych rezerwacji. Dotychczasowa weryfikacja zdarzenia nie wykazała, aby atakujący uzyskali bezpośredni dostęp do bazy danych, nie ma również pewności, że Pani/Pana dane zostały pobrane, na ten moment nie można jednak wykluczyć takiej ewentualności.

Zakres kategorii danych osobowych jakie potencjalnie mogły zostać objęte incydentem bezpieczeństwa to:

· dane naszego obiektu,

· daty rezerwacji i kwoty rezerwacji,

· dane naszych gości hotelowych (podane bezpośrednio w rezerwacji, np. imię, nazwisko, adres email, numer telefonu lub inne, które wprowadziliście Państwo w rezerwacji),

· wystawione dokumenty księgowe (faktury, paragony).

Na chwilę obecną nie potwierdzamy, że do Pani/Pana danych osobowych uzyskali dostęp przestępcy, jednakże w celu dochowania należytej staranności oraz przeciwdziałania ewentualnym skutkom stwierdzonego incydentu bezpieczeństwa informujemy o podjętych działaniach, a także możliwych negatywnych dla Pani/Pana skutkach incydentu.

Opis możliwych konsekwencji potencjalnego naruszenia ochrony danych osobowych

Kierując się daleko idącą ostrożnością informujemy o potencjalnych następstwach w sytuacji gdyby stwierdzono, że doszło do pobrania Pani\Pana danych osobowych przez przestępców.  O ewentualnym potwierdzeniu się tych okoliczności będziemy informować Panią/Pana w odrębnym komunikacie (na chwilę obecną według naszej wiedzy taka okoliczność nie wystąpiła).    

W przypadku potwierdzenia takiego zdarzenia, potencjalnym następstwem ewentualnego naruszenia ochrony Pani/Pan danych osobowych może być wykorzystanie przez osoby trzecie Pani/Pana danych m.in. w celu uzyskania korzyści majątkowej Pani/Pana kosztem. Wykorzystane dane osobowe mogą także potencjalnie służyć nakłonieniu Pani/Pana do zapłaty nieistniejących płatności lub służyć do wyłudzenia dodatkowych Pani/Pana danych, które pierwotnie nie były objęte naruszeniem, co w konsekwencji mogłoby skutkować zaciągnięciem innych zobowiązań, np. dokonywanie zakupów w sieci internet lub wyłudzanie kredytów czy też pożyczek w instytucjach pozabankowych. Potencjalnie ujawnione dane mogą także posłużyć w celu założenia na Pani/Pana dane osobowe konta internetowego (np. w serwisach społecznościowych, poczty elektronicznej), wypożyczania na Pani/Pana dane określonych przedmiotów, a następnie ich kradzieży przez osoby trzecie.

Proponowane działania jakie może Pani/Pan podjąć w celu przeciwdziałania  skutkom potencjalnego naruszenia

W przypadku podejrzenia wykorzystania Pani/Pana danych osobowych w sposób nieuprawniony, prosimy o kontakt z odpowiednimi organami państwowymi, np. Policją.

Prosimy zwracać uwagę na wszelką korespondencję kierowaną do Pani/Pana (z wykorzystaniem Pani/Pana danych osobowych) przez osoby, które podają się za przedstawicieli naszego hotelu – prosimy tego typu sytuacje wyjaśniać z nami na bieżąco kontaktując się pod adresem wskazanym na końcu niniejszego pisma. W szczególności prosimy zwracać szczególną uwagę na ewentualne próby wyłudzeń poprzez podszywanie się pod naszą tożsamość oraz powoływanie na dane  z rezerwacji, wysyłane drogą e-mail lub komunikatorami internetowymi (np. WhatsApp) – gdzie jesteście Państwo proszeni o uregulowanie należności za pobyt w naszym hotelu lub podanie danych osobowych klikając w linki znajdujące się w treści wiadomości. Nie należy odpowiadać na tego typu wiadomości ani klikać w linki.

Prosimy również zwracać uwagę na ewentualną korespondencję przekazywaną drogą papierową  i dokładnie zapoznawać się z ich treścią, ponieważ mogą to być na przykład potwierdzenia zawarcia określonej umowy (której sam(a) Pani/Pan nigdy nie zawierał(a) lub fałszywe wezwania do zapłaty z tytułu dokonanych rezerwacji w naszym obiekcie. Wszelkie tego typu zdarzenia należy niezwłocznie weryfikować bezpośrednio z podmiotami, które są stroną zawartych umów, a w wątpliwych przypadkach zgłaszać na Policję. Przypominamy również, że w przypadku umów konsumenckich zawieranych na odległość zazwyczaj w takim przypadku przysługuje prawo odstąpienia od umowy w terminie 14 dni bez ponoszenia żadnych konsekwencji.

Z kolei w przypadku otrzymania zawiadomienia drogą elektroniczną (mailową) o podobnym charakterze, jak wskazany powyżej, należy zwracać szczególną uwagę na:

- podejrzane załączniki w wiadomościach mailowych – załączniki nie powinny być przesyłane w postaci archiwum typu ZIP lub RAR,

- podejrzane linki znajdujące się w treści wiadomości,

- prośby podania swoich dodatkowych danych osobowych (np. w celu potwierdzenia swojej tożsamości).

Tego typu maile mogą zawierać złośliwe oprogramowanie (np. wirusy, trojany), a także służyć do prób wyłudzenia kolejnych Pani/Pana danych osobowych, np. numerów kont bankowych, numerów kart kredytowych czy też danych wykorzystywanych do logowania (np. loginy i hasła). Z tego też względu zalecamy szczególną ostrożność przy otwieraniu tego typu wiadomości. Zalecamy również korzystanie z oprogramowania antywirusowego z zawsze aktualną bazą sygnatur wirusów.

Prosimy również zwrócić uwagę na hasła dostępu jakich używa Pani/Pan korzystając z zasobów sieci Internet (np. kont społecznościowych, kont e-mail, portali, bankowości elektronicznej). Hasła te nie powinny zawierać w swojej składni łatwych do odgadnięcia wyrazów lub ich części, w szczególności bazujących na Pani/Pana danych osobowych (np. imion, nazwisk, daty urodzenia, numeru PESEL, serii i numeru dokumentu tożsamości, numeru telefonu).

W przypadku podejrzenia wykorzystania Pani/Pana danych w sposób nieuprawniony istnieje także możliwość:

a) sprawdzenia swojej historii kredytowej w Biurze Informacji Kredytowej – jest to instytucja gromadząca i przetwarzająca dane o wszystkich pożyczkach zaciąganych w bankach i SKOK-ach. W BIKu wskazane są informacje o kredytach spłacanych terminowo i zaległościach płatniczych. Szczegółowe informacje opisane są pod następującym linkiem: https://www.bik.pl/

b) sprawdzenie swoich danych w Krajowym Rejestrze Długów – KRD umożliwia monitorowanie rejestru zapytań dotyczących wniosku o kredyt. Szczegółowe informacje opisane są pod następującym linkiem: https://krd.pl/

Ze względu na zamieszczony szczegółowy opis prosimy również nie ujawniać treści niniejszego pisma osobom niezaufanym. W takim bowiem wypadku może to ułatwić osobom nieuprawnionym działania mające na celu wykorzystanie Pani/Pana danych osobowych.

Opis zastosowanych środków bezpieczeństwa w celu zaradzenia naruszeniu ochrony danych osobowych lub zminimalizowania jego ewentualnych negatywnych skutków

Niezwłocznie po ujawnieniu opisanego wyżej incydentu, wspólnie z naszym dostawcą usług IT, podjęliśmy działania mające na celu jak najszybsze przeciwdziałanie incydentowi oraz jego potencjalnym skutkom, w szczególności uruchomiliśmy wewnętrzną procedurę reagowania na potencjalne naruszenia ochrony danych osobowych, wyłączyliśmy zasoby IT objęte atakiem, zastąpiliśmy je nowymi, dodatkowo zabezpieczonymi, przeprowadziliśmy weryfikację kont użytkowników, aby mieć pewność, że atakujący nie mają już dostępu do naszych baz danych.  O zaistniałym zdarzeniu zostały poinformowane wewnętrzne służby odpowiedzialne za ochronę danych osobowych, a także organy – Policja, CERT, Prezes Urzędu Ochrony Danych Osobowych.

Kontakt z Administratorem danych

W przypadku dodatkowych pytań jesteśmy do Pani/Pana dyspozycji.

Na bieżąco monitorujemy sytuację związaną ze stwierdzonym incydentem i w przypadku dodatkowych ustaleń, będziemy je na bieżąco Państwu przekazywać. Jednocześnie w przypadku dodatkowych pytań z Państwa strony informujemy, że istnieje możliwość kontaktu z nami

pod adresem e-mail: [kontaktowy adres e-mail hotelu]

lub telefonicznie: [kontaktowy numer telefonu hotelu]

Z wyrazami szacunku,

…………………………………………

--------

Announcement: Notice of 03.11.2026

On 02.11.2026 at 09:35, employees of Idobooking.pl, a provider of software for accommodation facilities, including reservation systems, noticed that one of their servers had probably been breached. This server held a database of customer data (accepted reservations). The verification carried out so far has not shown that the attackers gained direct access to the database, and it is not certain that the data was downloaded, but at this time that possibility cannot be ruled out.

Description of the incident

First method of obtaining data: system notifications

Message from Idobooking.pl: As stated in our notice of 3 November 2026, an unauthorized person added to the Go Emc2 sp. z o.o. panel (operating under the trade name TriApart) an account with administrator privileges, to which the system sent notifications about reservations. We identified this method first. Because the notifications relate to specific reservations, we have forwarded them together with the scope of the data (including the guest's first and last name, the dates of stay, and, for some reservations, a phone number and e-mail address).

Second method of obtaining data: downloading reservation lists via API

Idobooking.pl: In the course of further analysis, we confirmed that reservation lists were also downloaded via API in the Go Emc2 sp. z o.o. panel (operating under the trade name TriApart). This is a function used to automatically download a list of reservations. The log entries show the volume of data downloaded, but do not indicate which specific reservations and personal data were involved. For this reason, it is not possible to prepare a list of reservations or the categories of personal data affected by the download.

What this means

Given the nature of this type of incident, it is not always possible to determine the full scope of the breach unambiguously. Therefore, as a precaution, you should assume that more reservations than originally thought have been passed to third parties. If you have not already done so, we recommend warning guests from all ongoing and future reservations, including cancelled ones, about potential fraud attempts (phishing).

The accounts from which the reservation list was downloaded have been deleted and blocked. Since then, they have had no ability to download any further data.

Actions taken by Go Emc2 sp. z o.o., owner of the TriApart brand and user of the IDOBOOKING software

Filed a report with UODO (the Polish data protection authority).
Prepared a report and an information document for customers ("guests").
Published a public notice about the incident.
Placed a paid advertisement in Google Ads.
Attempted to contact the OTA (online travel agency) platforms with which we cooperate.
Determined which data the threat could concern:
- First and last name,
- Reservation date,
- Reservation amount,
- Phone number.

The encrypted substitute e-mail addresses are generated solely for the purposes of a reservation and are blocked once it ends, so sending messages through them is no longer possible.

Messages to the customer via the encrypted substitute addresses are sent exclusively by the booking service, booking.com, which also monitors and blocks the sending of messages to customers/guests at their target address, which we, as the accommodation provider, do not know.

In addition, in reservation systems such as booking.com and expedia.com, it has been specified that the reservation system may only pass on messages from previously defined and approved domains and links.

All communication with guests/customers takes place through the internal communication system of the reservation services and was not connected to communication through the KwHotel system, which is the subject of the reported and described incident.

Invoice data was not accessible, payment data was not accessible, PESEL (national ID) numbers were not accessible, contact/address data was not accessible, and passwords/logins were not accessible.

The matter of the possible incident may concern past, current and future reservations registered up to 01.11.2026 at 16:00.

Below is the text of the notice to the guest/customer, to be used if we are able to obtain or already have an e-mail address that is active for correspondence.

If you have come across this information, please read it carefully:

NOTICE OF A POTENTIAL PERSONAL DATA BREACH

Dear Madam or Sir,

________________________ /hotel name/ with its registered office in ________________________ /address/ (hereinafter the "Controller" or "_________"), fulfilling its obligations as a data controller within the meaning of Art. 4(7) of Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation), hereby informs you that a potential personal data breach has been detected which may have concerned your personal data. Therefore, please read the following notice carefully.

Description of the nature of the potential breach

On 02.11.2026, employees of our IT service provider notified us that one of the servers, which held a database of our Customers' data, had probably been breached. This database also contained your data from accepted reservations. The verification carried out so far has not shown that the attackers gained direct access to the database, and it is not certain that your data was downloaded, but at this time that possibility cannot be ruled out.

The categories of personal data that could potentially have been affected by the security incident are:

data of our facility,
reservation dates and reservation amounts,
data of our hotel guests (provided directly in the reservation, e.g. first name, last name, e-mail address, phone number, or other data you entered in the reservation),
issued accounting documents (invoices, receipts).

At this time we do not confirm that criminals gained access to your personal data. However, in order to exercise due diligence and counteract any possible effects of the identified security incident, we are informing you of the actions taken, as well as the possible negative consequences for you.

Description of the possible consequences of the potential personal data breach

Out of an abundance of caution, we are informing you of the potential consequences should it be determined that your personal data was downloaded by criminals. We will inform you of any confirmation of this in a separate notice (to the best of our knowledge, no such circumstance has occurred at this time).

If such an event is confirmed, a potential consequence of a breach of your personal data could be its use by third parties, among other things, to obtain financial gain at your expense. The personal data used could also potentially serve to induce you to pay non-existent charges, or to extort additional data from you that was not originally covered by the breach, which could in turn result in other obligations being incurred in your name, e.g. online purchases or fraudulently obtained loans from non-bank institutions. The potentially disclosed data could also be used to create online accounts in your name (e.g. on social media or e-mail services), or to rent certain items in your name and then steal them.

Proposed actions you can take to counteract the effects of the potential breach

If you suspect that your personal data has been used without authorization, please contact the appropriate state authorities, e.g. the Police.

Please pay attention to any correspondence addressed to you (using your personal data) from persons claiming to be representatives of our hotel. Please clarify such situations with us promptly by contacting us at the address given at the end of this letter. In particular, please be alert to possible attempts at fraud in which someone impersonates us and cites reservation data, sent by e-mail or online messengers (e.g. WhatsApp), asking you to settle payment for your stay at our hotel or to provide personal data by clicking links in the message. Do not reply to such messages or click the links.

Please also pay attention to any correspondence delivered on paper and read its content carefully, as it may be, for example, a confirmation of a contract that you never concluded, or a false demand for payment in connection with reservations made at our facility. Any such events should be verified immediately with the entities that are parties to the contracts concerned, and in doubtful cases reported to the Police. We also remind you that for consumer contracts concluded at a distance, you will usually have the right to withdraw from the contract within 14 days without incurring any consequences.

If you receive electronic (e-mail) notices of a similar nature to those described above, please pay particular attention to:

suspicious attachments in e-mails (attachments should not be sent as ZIP or RAR archives),
suspicious links in the body of the message,
requests to provide additional personal data (e.g. to confirm your identity).

Such e-mails may contain malicious software (e.g. viruses, trojans) and may also be used to attempt to extort further personal data from you, e.g. bank account numbers, credit card numbers, or login credentials (e.g. usernames and passwords). For this reason, we recommend special caution when opening such messages. We also recommend using antivirus software with an always up-to-date virus signature database.

Please also pay attention to the passwords you use when using Internet resources (e.g. social media accounts, e-mail accounts, portals, online banking). These passwords should not contain easy-to-guess words or parts of words, in particular those based on your personal data (e.g. first names, last names, date of birth, PESEL number, series and number of an identity document, phone number).

If you suspect that your data has been used without authorization, you can also:

a) Check your credit history at the Credit Information Bureau (BIK) – an institution that collects and processes data on all loans taken out at banks and credit unions (SKOK). BIK shows information about loans repaid on time and payment arrears. Detailed information is available at: https://www.bik.pl/

b) Check your data in the National Debt Register (KRD) – KRD makes it possible to monitor the register of inquiries concerning credit applications. Detailed information is available at: https://krd.pl/

Because of the detailed description provided, please also do not disclose the contents of this letter to untrusted persons, as this could make it easier for unauthorized persons to take action aimed at misusing your personal data.

Description of the security measures applied to remedy the personal data breach or minimize its possible negative effects

Immediately after discovering the incident described above, together with our IT service provider we took action to counter the incident and its potential effects as quickly as possible. In particular, we launched our internal procedure for responding to potential personal data breaches, shut down the IT resources affected by the attack and replaced them with new, additionally secured ones, and verified user accounts to make sure the attackers no longer have access to our databases. Our internal services responsible for personal data protection were informed of the incident, as were the authorities: the Police, CERT, and the President of the Personal Data Protection Office (UODO).

Contact with the Data Controller

If you have any additional questions, we are at your disposal.

We are monitoring the situation related to the identified incident on an ongoing basis and, should there be any further findings, we will pass them on to you promptly. If you have additional questions, you can contact us

by e-mail at: [hotel's contact e-mail address]

or by phone at: [hotel's contact phone number]

Yours sincerely,

…………………………………………

Note: the Polish original contained numerous typos, so a few phrases were interpreted from context. I can also adjust the register (e.g. more formal, or a shorter guest-facing version) if you like.