Propodis s.c. Justyna Miękina-Ochałek, Maciej Ochałek (administrator danych osobowych) z siedzibą w Krakowie, ul. Wielopole 17/LU2, zgodnie z art. 34 RODO informuje o naruszeniu ochrony danych osobowych w związku ze zdarzeniem polegającym na nieuprawnionym dostępie do systemu informatycznego podmiotu przetwarzającego dane osobowe, jakim jest Fakturownia Sp. z o.o. z siedzibą w Warszawie, ul. Juliana Smulikowskiego 6/8.

Naruszenie obejmuje dane osobowe naszych Kontrahentów dodanych przed 16.10.2024, dane z faktur wystawionych w serwisie Fakturownia.pl przed 22.03.2021, oraz eksportowanych z tego serwisu przed 6.03.2026.

Co się stało?

W dniu 1 października 2026 roku otrzymaliśmy informację o naruszeniu ochrony danych osobowych naszych Kontrahentów (zarówno Klientów, jak i Dostawców towarów i usług), przechowywanych na serwerach podmiotu przetwarzającego w naszym imieniu dane osobowe, firmy Fakturownia Sp. z o.o., dostawcy systemu do obsługi faktur. Osoba nieuprawniona uzyskała dostęp do naszych systemów firmy Fakturownia i skopiowała dane z bazy danych na własne serwery.

  • Nieuprawniony dostęp trwał od 27.09.2026, ok. godz. 3:20, do 28.09.2026, ok. godz. 17:45.
  • Lukę usunięto 28.09.2026 o godz. 18:01.
  • Incydent zgłoszono Policji i CERT Polska
  • Rodzaj naruszenia: naruszenie poufności danych (dane zostały skopiowane).

Nie stwierdzono naruszenia ochrony danych osobowych u administratora danych osobowych, firmy Propodis s.c., ani żadnego innego podmiotu przetwarzającego dane osobowe na jej zlecenie.

Jakie dane zostały pobrane?

  • Informacje o Kontrahentach: nazwa lub imię i nazwisko, NIP, adres, adres dostawy, e-mail, telefon, numer rachunku, notatka, pola własne – tylko dla Kontrahentów dodanych przed 16.10.2024, chyba, że znajdują się one na fakturze
  • Pełna treść faktur: sprzedawca, nabywca, numer, daty, kwoty, sposób i termin płatności, uwagi – faktury wystawione przed 22.03.2021 oraz eksportowane przed 6.03.2026. Z racji tego, że przed wprowadzeniem systemu KSeF eksportowaliśmy wszystkie faktury na potrzeby biura rachunkowego, można uznać, że naruszenie obejmuje wszystkie faktury wystawione przed 6.03.2026.
  • Linki dostępowe do panelu Fakturowni i – jeśli kontrahent ustawił hasło – skrót hasła.

Czego nie pobrano?

  • danych kart płatniczych i danych logowania do banków – nie przechowujemy tych danych
  • wrażliwych danych osobowych takich jak numery PESEL, informacje o zdrowiu i usługach świadczonych przez firmę Propodis innych, niż znajdujące się na fakturze
  • danych do logowania do systemu rezerwacji Fresha.com

Możliwe konsekwencje dla osób, których dane dotyczą

Opisujemy możliwe następstwa. Nie oznacza to, że już wystąpiły.

  • Z faktur może wynikać, że Klient korzystał z usług podologicznych, co samo w sobie stanowi dane wrażliwe, a ich ujawnienie może naruszyć prywatność i dobra osobiste Klientów. Takie dane mogą zostać wykorzystane do dyskryminacji, naruszenia dobrego imienia lub wywierania presji, np. groźby ich ujawnienia. Może to powodować stres oraz szkody w życiu osobistym i zawodowym.

W razie nieuprawnionego wykorzystania tych informacji, np. do wywierania presji lub dyskryminacji, może Pani/Pan skorzystać ze środków ochrony dóbr osobistych przewidzianych w Kodeksie cywilnym (art. 23 i 24), w tym ze środków ochrony sądowej przewidzianych w Kodeksie postępowania cywilnego. 

Prosimy nie odpowiadać na żądania zapłaty za „nieujawnienie” informacji, zachować taką wiadomość i zgłosić sprawę Policji.

  • Prosimy o ostrożność wobec nieoczekiwanych wiadomości i telefonów, także takich, które wyglądają, jakby były od firmy Propodis. Nie należy otwierać linków ani załączników z niepewnych wiadomości ani podawać haseł, kodów z SMS, kodów BLIK czy danych karty. Podejrzane SMS-y można przesłać do CERT Polska na numer 8080.
  • Każdą prośbę o zapłatę, w tym potwierdzoną fakturą z nowym numerem rachunku prosimy potwierdzać telefonicznie pod numerem znanym wcześniej.
  • Jeżeli podejrzewają Państwo oszustwo, prosimy niezwłocznie skontaktować się ze swoim bankiem, a w razie podejrzenia przestępstwa – zawiadomić Policję i zachować dowody.
  • Jeżeli utworzyli Państwo hasło w panelu kontrahenta Propodis w serwisie Fakturownia, sugerujemy je jak najszybciej zmienić.

Co zrobiliśmy?

  • Dnia 1.10.2026 zgłosiliśmy naruszenie Prezesowi Urzędu Ochrony Danych Osobowych.
  • Zmieniliśmy wszystkie dane dostępowe do systemu Fakturownia. Znacznie wcześniej wprowadziliśmy uwierzytelnienie dwuskładnikowe.
  • Przeprowadziliśmy przegląd zabezpieczeń innych systemów, z których korzystamy
  • Fakturownia – według jej informacji – usunęła lukę, zmieniła klucze i hasła do swoich systemów, przeniosła system na nowe serwery, unieważniła dotychczasowe linki do panelu kontrahenta i wspólnie z CERT Polska sprawdza, czy dane nie zostały upublicznione.

Kontakt

W sprawie tego komunikatu prosimy o kontakt: 

Inspektor ochrony danych: Maciej Ochałek, [email protected], tel. 606 963 881

Z poważaniem

Propodis s.c. Justyna Miękina-Ochałek, Maciej Ochałek