مسؤول حماية البيانات — Yubi الشرق الأوسط وشمال إفريقيا
الموقع: دبي، الإمارات العربية المتحدة (تغطية إقليمية)
يرفع تقاريره إلى: رئيس أمن المعلومات للمجموعة (Group CISO)، مجموعة Yubi، مع إمكانية الوصول المباشر إلى الإدارة العليا في Yubi الشرق الأوسط وشمال إفريقيا ومنتديات مجلس الإدارة/لجان مجلس الإدارة ذات الصلة بشأن مسائل حماية البيانات. يعمل مسؤول حماية البيانات بصفة مستقلة عند أداء مسؤولياته القانونية الموكلة إليه بصفته مسؤولاً عن حماية البيانات، ويجب أن يتمتع بإمكانية وصول مناسبة إلى المعلومات والموارد والإدارة اللازمة لإنجاز تلك المسؤوليات.
سياق الدور الوظيفي
يتولى مسؤول حماية البيانات (DPO) المسؤولية عن برنامج حماية البيانات والخصوصية لشركة Yubi الشرق الأوسط وشمال إفريقيا عبر سوق أوراق الدين، ومنصات الإقراض والخدمات المالية التابعة لها. وسيعمل شاغل هذا الدور كمسؤول إقليمي لحماية البيانات لشركة Yubi الشرق الأوسط وشمال إفريقيا، بما في ذلك الوفاء بالالتزامات القانونية لمسؤول حماية البيانات حيثما يُطلب بموجب أطر حماية البيانات المعمول بها في الإمارات العربية المتحدة، ومركز دبي المالي العالمي (DIFC)، وسوق أبوظبي العالمي (ADGM)، والمملكة العربية السعودية، وغيرها من أطر حماية البيانات في منطقة الشرق الأوسط وشمال إفريقيا، والأنظمة الأخرى المعمول بها عبر الولايات القضائية التي تعمل فيها Yubi الشرق الأوسط وشمال إفريقيا (بما في ذلك سوق أبوظبي العالمي ونظام حماية البيانات الشخصية في السعودية PDPL، حيثما كان ذلك ذا صلة). ونظرًا لحساسية البيانات المالية والائتمانية وبيانات اعرف عميلك (KYC) التي تعالجها Yubi نيابة عن المقترضين والمقرضين والعملاء المؤسسيين، ينطوي هذا الدور على أهمية محورية للحفاظ على الثقة التنظيمية، وسلامة المنصة، وثقة العملاء.
يحدد ويقدم المشورة بشأن دور Yubi كجهة تحكم (Controller)، أو معالج (Processor)، أو جهة تحكم مشتركة (Joint Controller)، أو معالج فرعي (Sub-processor) لأنشطة المعالجة الجوهرية، ويضمن إنشاء الترتيبات التعاقدية والحوكمة والمساءلة المناسبة. يعد دور مسؤول حماية البيانات (DPO) دورًا قياديًا في مجال الامتثال، مسؤولاً عن برنامج حماية البيانات والخصوصية لشركة Yubi الشرق الأوسط وشمال إفريقيا عبر منصات سوق الدين والإقراض والخدمات المالية.
سيعمل شاغل هذا الدور كمسؤول إقليمي لحماية البيانات لشركة Yubi الشرق الأوسط وشمال إفريقيا، بما في ذلك الوفاء بالالتزامات القانونية لمسؤول حماية البيانات حيثما يُطلب بموجب أطر حماية البيانات المعمول بها في الإمارات، ومركز دبي المالي العالمي، وسوق أبوظبي العالمي، والمملكة العربية السعودية، وغيرها من أنظمة حماية البيانات في المنطقة. ونظرًا لحساسية البيانات المالية والائتمانية وبيانات اعرف عميلك التي تعالجها Yubi نيابة عن المقترضين والمقرضين والعملاء المؤسسيين، فإن هذا الدور محوري للحفاظ على الثقة التنظيمية وسلامة المنصة وثقة العملاء.
يحدد مسؤول حماية البيانات ويقدم المشورة بشأن دور Yubi كجهة تحكم، أو معالج، أو جهة تحكم مشتركة، أو معالج فرعي لأنشطة المعالجة الجوهرية، ويضمن وضع الترتيبات التعاقدية والحوكمة والمساءلة المناسبة.
يقدم مسؤول حماية البيانات مشورة خبيرة بشأن الخصوصية لفريق القيادة في منطقة الشرق الأوسط وشمال إفريقيا، وإدارات الشؤون القانونية والامتثال، والتكنولوجيا، ووحدات الأعمال، ويعد صلة الوصل الرئيسية مع السلطات الإقليمية لحماية البيانات.
المسؤوليات الرئيسية
المساهمة الاستراتيجية
- تطوير وقيادة استراتيجية حماية البيانات لشركة Yubi الشرق الأوسط وشمال إفريقيا، بما يتوافق مع المتطلبات التنظيمية الإقليمية (قانون حماية البيانات الشخصية في الإمارات، قانون مركز دبي المالي العالمي، سوق أبوظبي العالمي، نظام حماية البيانات الشخصية في السعودية) وخطط نمو Yubi عبر سوق الدين والائتمان.
- بناء إطار عمل للخصوصية يتوسع مع توسع Yubi في منتجات جديدة (الإقراض، تمويل سلاسل التوريد، الإقراض المشترك) وأسواق جديدة في دول مجلس التعاون الخليجي.
- تعزيز ثقافة "الخصوصية بحسب التصميم" عبر فرق المنتجات والهندسة والائتمان والعمليات.
- إنشاء وتشغيل بوابات مراجعة الخصوصية بحسب التصميم والخصوصية بشكل افتراضي ضمن دورة حياة تطوير المنتجات للمنتجات الجديدة، والتغييرات الجوهرية في الميزات، وأغراض المعالجة الجديدة، وتكامل البيانات، وحالات الاستخدام عالية المخاطر.
- تقديم المشورة للقيادة بشأن التعرض لمخاطر الخصوصية المرتبطة بالبيانات المالية والائتمانية الحساسة.
- الاحتفاظ بسجل إقليمي لمخاطر الخصوصية وإنشاء مؤشرات أداء رئيسية ومؤشرات مخاطر رئيسية قابلة للقياس تغطي الامتثال التنظيمي، وتغطية تقييم الأثر على حماية البيانات (DPIA)، وأداء حقوق أصحاب البيانات، والحوادث، واستثناءات الاحتفاظ بالبيانات، ومخاطر خصوصية الأطراف الخارجية، والتعرض للنقل عبر الحدود، وحالة المعالجة والتصحيح.
القيادة والتواصل التنظيمي
- العمل كنقطة اتصال رئيسية لمكتب الإمارات للبيانات، ومفوض حماية البيانات في مركز دبي المالي العالمي، وغيرهم من الجهات التنظيمية المعنية، وكذلك لأصحاب البيانات (المقترضين، المقرضين، الضامنين). العمل كنقطة اتصال رئيسية لسلطات حماية البيانات المعنية، بما في ذلك مكتب الإمارات للبيانات، ومفوض حماية البيانات في مركز دبي المالي العالمي، والسلطات ذات الصلة في سوق أبوظبي العالمي/المملكة العربية السعودية، حسب الاقتضاء، والعمل كنقطة تصعيد لمسائل حماية البيانات التي تشمل المقترضين والمقرضين والضامنين وغيرهم من أصحاب البيانات.
- قيادة الاستجابة لانتهاكات وحوادث البيانات، بالتنسيق مع فرق التكنولوجيا والمخاطر والشؤون القانونية، ورفع التقارير إلى القيادة ضمن المهلة الزمنية للإخطار القانوني. تقديم الإشراف التنظيمي للخصوصية أثناء حوادث البيانات الشخصية، بالتنسيق مع فرق التكنولوجيا والأمن والمخاطر والشؤون القانونية بشأن التقييم، وعتبات الإخطار، والإخطارات التنظيمية، والتواصل مع أصحاب البيانات، والمعالجة ضمن الأطر الزمنية القانونية المعمول بها.
- العمل كنقطة تصعيد لشكاوى الخصوصية والطلبات المعقدة لأصحاب البيانات.
- التنسيق مع النظراء في وظيفة الخصوصية العالمية/في الهند التابعة لـ Yubi لضمان اتساق المعايير على مستوى المجموعة مع احترام الفروق التنظيمية المحلية.
برنامج الخصوصية
- تحديد والإشراف على متطلبات الاحتفاظ بالبيانات والأرشفة والحذف وإخفاء الهوية، لضمان التوافق بين التزامات الاحتفاظ القانونية والتنظيمية، والمتطلبات التعاقدية، وعناصر التحكم في دورة حياة بيانات Yubi عبر أنظمة الإنتاج، والنسخ الاحتياطية، ومنصات التحليلات، والأطراف الخارجية.
- تطوير وتطبيق وصيانة سياسات وإجراءات ومعايير حماية البيانات الخاصة بعمليات الإقراض والائتمان لشركة Yubi الشرق الأوسط وشمال إفريقيا، بما في ذلك حوكمة جهة التحكم/المعالج، والخصوصية بحسب التصميم، وإدارة دورة حياة البيانات، ومتطلبات المساءلة.
- الاحتفاظ بسجلات أنشطة المعالجة (RoPA)، وخرائط تدفق البيانات، ومخازن البيانات، وتقييمات دور المعالجة التي تغطي إجراءات اعرف عميلك للمقترض/المقرض، وبيانات مكاتب الائتمان، والبيانات المالية وبيانات المعاملات، والتحليلات، وغيرها من أنشطة معالجة البيانات الشخصية الجوهرية.
- إجراء والإشراف على تقييمات الأثر على حماية البيانات (DPIAs) للمنتجات الجديدة، والتغييرات الجوهرية على المنتجات، ونماذج التقييم الائتماني والذكاء الاصطناعي/تعلم الآلة، وتحديد التوصيف (profiling)، والمعالجة عالية المخاطر، والتكامل مع أطراف خارجية.
- مراجعة بنود حماية البيانات تقديم المشورة بشأنها في اتفاقيات الموردين، والمقرضين، وشركاء المنصة، ومشاركة البيانات — بما في ذلك ترتيبات من جهة تحكم إلى جهة تحكم، ومن جهة تحكم إلى معالج، والمعالجة الفرعية، وآليات نقل البيانات عبر الحدود التي تشمل مكاتب الائتمان أو البنوك أو مزودي الخدمات الخارجيين.
- إدارة إطار عمل حقوق أصحاب البيانات الإقليمي، بما في ذلك الاستلام، والتحقق من الهوية، والتقييم القانوني، والتنفيذ، واستثناءات، ومسارات التدقيق، والتصعيد فيما يتعلق بالوصول والتصحيح والمحو والاعتراض وغيرها من الحقوق المعمول بها، بما يتوافق مع متطلبات وجداول الأوقات للولايات القضائية ذات الصلة.
- الاحتفاظ بمصفوفة التطبيق التنظيمي التي تغطي النطاقات القضائية، والكيانات، والمنتجات، وأنشطة المعالجة، والتزامات الخصوصية المعمول بها؛ ومراقبة التطورات التنظيمية عبر دول مجلس التعاون الخليجي والتقديم المشورة بشأن التعديلات المطلوبة على السياسة أو العقود أو عناصر التحكم أو تصميم المنصة.
- الاحتفاظ بسجل إقليمي لنقل البيانات وتوطينها يحدد مكان جمع البيانات الشخصية وتخزينها والوصول إليها ونقلها ومعالجتها، بما في ذلك عمليات النقل بين كيانات الشرق الأوسط وشمال إفريقيا وكيانات مجموعة Yubi خارج المنطقة.
مخاطر الأطراف الخارجية والموردين
- قيادة العناية الواجبة للخصوصية بشأن شركاء التكنولوجيا المالية، ومزودي استضافة السحاب/البيانات، وموردي اعرف عميلك/مكافحة غسل الأموال، ومكاتب الائتمان، وغيرهم من المعالجين الجوهريين أو شركاء مشاركة البيانات، بما في ذلك تقييم حوكمة الخصوصية لديهم، وعناصر التحكم الأمنية، والمعالجين الفرعيين، والالتزامات التنظيمية.
- تقييم متطلبات نقل البيانات عبر الحدود، والوصول إليها، وتوطين البيانات، وضمان وجود الضمانات المناسبة، والتدابير التعاقدية، وتقييمات المخاطر، والموافقات، وما يعادلها محليًا للولايات القضائية المعمول بها.
الإشراف على نماذج الذكاء الاصطناعي والائتمان
- تقديم إشراف استشاري بشأن الآثار المترتبة على الخصوصية للتقييم الائتماني القائم على الذكاء الاصطناعي/تعلم الآلة، والاكتتاب، والتوصيف، ونماذج المخاطر المستخدمة في منصة Yubi، بما في ذلك تدريب النماذج والاستدلال واستخدام مزودي خدمات الذكاء الاصطناعي الخارجيين.
- تقديم المشورة بشأن الشفافية، القابلية للتفسير، الحد الأدنى من البيانات، تحديد الغرض، الحد من التحيز، الإشراف البشري، والحقوق المعمول بها والمتعلقة بقرارات الإقراض المؤتمتة والتوصيف.
- إحاطة قيادة المنطقة ولجان المخاطر/المراجعة ذات الصلة بشكل دوري حول مقاييس مخاطر الخصوصية، والنتائج الجوهرية، والتطورات التنظيمية، والحوادث، وحالة معالجة المشكلات.
- مراقبة توقعات حوكمة الذكاء الاصطناعي والخصوصية الناشئة في الإمارات ودول مجلس التعاون الخليجي، والتقديم المشورة بشأن الجاهزية التنظيمية، بما في ذلك متطلبات الحوكمة لحالات استخدام الذكاء الاصطناعي عالية المخاطر التي تتضمن بيانات شخصية.
التدريب والتوعية
- إحاطة قيادة المنطقة ولجان المخاطر/المراجعة ذات الصلة بتطورات الخصوصية، والحوادث، والتغييرات التنظيمية.
- تصميم وتقديم تدريبات الخصوصية للموظفين، مع وحدات مخصصة لفرق الائتمان والمبيعات والتكنولوجيا التي تتعامل مع البيانات الشخصية والمالية الحساسة.
المستشارون الخارجيون والميزانية
- إدارة العلاقات مع المستشارين القانونيين الخارجيين واستشاريي الخصوصية المعينين للمسائل الإقليمية، والتنسيق بشأن الفحوصات التنظيمية للخصوصية، وعمليات التدقيق، والطلبات الرسمية للمعلومات.
- تولي تخطيط برنامج الخصوصية ومتطلبات الموارد، وتقديم الملاحظات والإسهام في ميزانية الخصوصية السنوية، بما في ذلك المستشار الخارجي والدعم الاستشاري المتخصص.
التطوير المهني
- الحفاظ على معرفة حديثة بقوانين حماية البيانات في الإمارات، ومركز دبي المالي العالمي، وسوق أبوظبي العالمي، والمملكة العربية السعودية، وغيرها من القوانين المعمول بها في المنطقة، والأطر الدولية ذات الصلة (بما في ذلك GDPR) حيثما تشكل أفضل الممارسات أو المتطلبات التعاقدية.
- الحصول على شهادة ذات صلة أو السعي للحصول عليها (مثل IAPP CIPP/E، CIPM، CIPT).
المؤهلات والمهارات
التعليم
- شهادة جامعية في القانون، أو تكنولوجيا المعلومات، أو إدارة الأعمال، أو أي تخصص ذي صلة.
- يُفضل بقوة الحصول على شهادة مهنية في حماية البيانات (IAPP CIPP/E أو CIPM أو CIPT أو ما يعادلها).
الخبرة
- خبرة تزيد عن 8 سنوات في أدوار حماية البيانات/الخصوصية، بما في ذلك خبرة كبيرة في امتلاك أو تشغيل برنامج للخصوصية ضمن بيئة تكنولوجيا مالية، أو مصرفية، أو إقراض، أو مدفوعات، أو غيرها من بيئات الخدمات المالية عالية التنظيم؛ ويُفضل بقوة وجود خبرة في العمل كمسؤول حماية البيانات (DPO) أو قائد خبير مماثل في مجال الخصوصية.
- معرفة عملية بقانون حماية البيانات الشخصية في الإمارات، وقانون حماية البيانات في مركز دبي المالي العالمي، والمفضل معرفة بقوانين سوق أبوظبي العالمي ونظام حماية البيانات الشخصية في السعودية، مع خبرة عملية في تقييم مدى التطبيق وتطبيقه عبر ولايات قضائية متعددة.
- خبرة في التعامل مع الاستجابة لانتهاك البيانات الشخصية، والإخطار التنظيمي، والتحقيقات في الخصوصية، والفحوصات التنظيمية، والتواصل مع الجهات التنظيمية.
- خبرة في تقديم المشورة بشأن جوانب حماية البيانات لإجراءات اعرف عميلك/مكافحة غسل الأموال، والبيانات الائتمانية، والمعلومات المالية، وترتيبات مشاركة البيانات، ومتطلبات الاحتفاظ/الحذف، واتفاقيات الموردين/الشركاء في سياق الإقراض أو المصرفية أو الائتمان.
- يُفضل بشدة الاطلاع على اعتبارات حوكمة الذكاء الاصطناعي/تعلم الآلة، لا سيما فيما يتعلق بالتوصيف، والقرارات الائتمانية المؤتمتة، ومعالجة البيانات الشخصية بواسطة أنظمة الذكاء الاصطناعي.
المهارات والكفاءات
- إدراك قوي لتدفقات البيانات في الخدمات المالية (البيانات الائتمانية، بيانات اعرف عميلك، البيانات المالية وبيانات المعاملات) والحساسيات التنظيمية المرتبطة بها، بما في ذلك دورة حياة البيانات، والاحتفاظ بها، وحذفها، والمعالجة عبر الحدود.
- القدرة على ترجمة قوانين الخصوصية إلى توجيهات عملية وقابلة للتطبيق تجاريًا وإدراج عناصر التحكم بالخصوصية بحسب التصميم والخصوصية بشكل افتراضي ضمن عمليات المنتجات والهندسة والائتمان.
- يجب القدرة على أداء مسؤوليات DPO بصفة مستقلة، وألا يوضع في موقف تؤدي فيه المسؤوليات التشغيلية إلى تعارض في المصالح مع الواجبات القانونية لمسؤول حماية البيانات.
- حُسن التقدير والتمييز في التعامل مع الأمور الحساسة والسرية.
- مهارات قوية في إدارة أصحاب المصلحة عبر إدارات الشؤون القانونية، والامتثال، والتكنولوجيا، والأمن، والمنتجات، والائتمان، والقيادة الإقليمية، مع القدرة على العمل بصفة مستقلة ومراجعة/تحدي القرارات عندما تتطلب مخاطر الخصوصية التصعيد.
- مهارات اتصال كتابية وشفهية ممتازة باللغة الإنجليزية (وتعتبر اللغة العربية ميزة إضافية)، مع القدرة على توصيل متطلبات الخصوصية المعقدة بوضوح إلى الإدارة العليا، والجهات التنظيمية، والفرق التشغيلية.
- فهم قوي لمبادئ أمن المعلومات وبنية البيانات.
- موجه ذاتيًا، ولديه الارتياح في العمل عبر دول مجلس التعاون الخليجي والمناطق الزمنية المختلفة، مع التمتع بالاستقلالية وحسن التقدير والنضج التنظيمي المطلوب لأداء المسؤوليات القانونية لمسؤول حماية البيانات.
Data Protection Officer — Yubi MENA
Location: Dubai, UAE (Regional coverage)
Reports to: Group CISO, Yubi Group, with direct access to Yubi MENA senior management and relevant Board/Board committee forums on data protection matters. The DPO shall operate independently in the performance of statutory DPO responsibilities and shall have appropriate access to information, resources and management necessary to fulfil those responsibilities.
Role Context
The Data Protection Officer (DPO) is accountable for Yubi MENA's data protection and privacy programme across its debt marketplace, lending, and financial services platforms. The role holder will serve as Yubi MENA's regional Data Protection Officer, including fulfilling statutory DPO obligations where required under applicable UAE, DIFC, ADGM, KSA and other MENA data protection regimes., and other applicable data protection regimes across the jurisdictions in which Yubi MENA operates (including ADGM and Saudi Arabia's PDPL, where relevant). Given the sensitivity of the financial, credit, and KYC data Yubi processes on behalf of borrowers, lenders, and institutional clients, this role is central to maintaining regulatory trust, platform integrity, and customer confidence.
Determines and advises on Yubi's role as Controller, Processor, Joint Controller or Sub-processor for material processing activities, and ensures appropriate contractual, governance and accountability arrangements are established. The Data Protection Officer (DPO) is a senior compliance role accountable for Yubi MENA's data protection and privacy programme across its debt marketplace, lending, and financial services platforms.
The role holder will serve as Yubi MENA's Regional Data Protection Officer, including fulfilling statutory DPO obligations where required under applicable UAE, DIFC, ADGM, KSA and other MENA data protection regimes. Given the sensitivity of the financial, credit, and KYC data Yubi processes on behalf of borrowers, lenders, and institutional clients, this role is central to maintaining regulatory trust, platform integrity, and customer confidence.
The DPO determines and advises on Yubi's role as Controller, Processor, Joint Controller or Sub-processor for material processing activities, and ensures appropriate contractual, governance and accountability arrangements are established.
The DPO provides expert privacy advice to the MENA leadership team, Legal & Compliance, Technology, and business units, and acts as the primary liaison with regional data protection authorities.
Key Accountabilities
Strategic Contribution
- Develops and drives Yubi MENA's data protection strategy, aligned to regional regulatory requirements (UAE PDPL, DIFC Law, ADGM, KSA PDPL) and Yubi's growth plans across the debt and credit marketplace.
- Builds a privacy framework that scales with Yubi's expansion into new products (lending, supply chain finance, co-lending) and new GCC markets.
- Promotes a culture of privacy-by-design across product, engineering, credit, and operations teams.
- Establishes and operates privacy-by-design and privacy-by-default review gates within the product development lifecycle for new products, material feature changes, new processing purposes, data integrations and high-risk use cases.
- Advises leadership on privacy risk exposure tied to sensitive financial and credit data.
- Maintains a regional privacy risk register and establishes measurable privacy KRIs/KPIs covering regulatory compliance, DPIA coverage, data-subject rights performance, incidents, retention exceptions, third-party privacy risk, cross-border transfer exposure and remediation status.
Leadership & Regulatory Engagement
- Serves as the primary point of contact for the UAE's Data Office, DIFC Commissioner of Data Protection, and other applicable regulators, as well as for data subjects (borrowers, lenders, guarantors). Serves as the primary point of contact for applicable data protection authorities, including the UAE Data Office, DIFC Commissioner of Data Protection and relevant ADGM/KSA authorities, as applicable, and acts as an escalation point for data protection matters involving borrowers, lenders, guarantors and other data subjects.
- Leads breach and incident response, coordinating with Technology, Risk, and Legal, and reporting to leadership within statutory notification windows. Provides privacy regulatory oversight during personal-data incidents, coordinating with Technology, Security, Risk and Legal on assessment, notification thresholds, regulatory notifications, data-subject communications and remediation within applicable statutory timelines.
- Acts as an escalation point for privacy complaints and complex data subject requests.
- Coordinates with counterparts in Yubi's India/global privacy function to ensure consistent group-wide standards while respecting local regulatory nuance.
Privacy Programme
- Defines and oversees data retention, archival, deletion and anonymisation requirements, ensuring alignment between legal and regulatory retention obligations, contractual requirements and Yubi data lifecycle controls across production systems, backups, analytics platforms and third parties.
- Develops, implements, and maintains data protection policies, procedures and standards specific to Yubi MENA's lending and credit operations, including controller/processor governance, privacy-by-design, data lifecycle management and accountability requirements.
- Maintains Records of Processing Activities (RoPA), data flow maps, data inventories and processing-role assessments covering borrower/lender KYC, credit bureau data, financial and transaction data, analytics and other material personal-data processing activities.
- Conducts and oversees Data Protection Impact Assessments (DPIAs) for new products, material product changes, credit-scoring and AI/ML models, profiling, high-risk processing and third-party integrations.
- Reviews and advises on data protection clauses in vendor, lender, platform partner and data-sharing agreements — including controller-to-controller, controller-to-processor and sub-processing arrangements and cross-border data-transfer mechanisms involving credit bureaus, banks or offshore service providers.
- Owns the regional data-subject rights framework, including intake, identity verification, legal assessment, fulfilment, exemptions, audit trails and escalation for access, correction, erasure, objection and other applicable rights, in line with the requirements and timelines of the relevant jurisdiction.
- Maintains a regulatory applicability matrix covering jurisdictions, entities, products, processing activities and applicable privacy obligations; monitors regulatory developments across the GCC and advises on required adaptations to policy, contracts, controls or platform design.
- Maintains a regional data-transfer and data-residency register identifying where personal data is collected, stored, accessed, transferred and processed, including transfers between MENA entities and Yubi Group entities outside the region.
Third-Party & Vendor Risk
- Leads privacy due diligence on fintech partners, cloud/data-hosting providers, KYC/AML vendors, credit bureaus and other material processors or data-sharing partners, including assessment of their privacy governance, security controls, sub-processors and regulatory obligations.
- Assesses cross-border data transfer, access and data-residency requirements and ensures appropriate safeguards, contractual measures, risk assessments, approvals and local equivalents are in place for applicable jurisdictions.
AI & Credit Model Oversight
- Provides advisory oversight on the privacy implications of AI/ML-driven credit scoring, underwriting, profiling and risk models used on the Yubi platform, including model training, inference and use of external AI service providers.
- Advises on transparency, explainability, data minimisation, purpose limitation, bias mitigation, human oversight and applicable rights relating to automated lending decisions and profiling.
- Briefs MENA leadership and relevant risk/audit committees periodically on privacy risk metrics, material findings, regulatory developments, incidents and remediation status.
- Monitors emerging AI governance and privacy expectations in the UAE and GCC and advises on organisational readiness, including governance requirements for high-risk AI use cases involving personal data.
Training & Awareness
- Briefs MENA leadership and relevant risk/audit committees on privacy developments, incidents, and regulatory changes.
- Designs and delivers privacy training for employees, with tailored modules for credit, sales, and technology teams handling sensitive personal and financial data.
External Advisers & Budget
- Manages relationships with external counsel and privacy consultants engaged for regional matters and coordinates privacy regulatory examinations, audits and formal information requests.
- Owns privacy programme planning and resource requirements and provides input into the annual privacy budget, including external counsel and specialist advisory support.
Professional Development
- Maintains current knowledge of UAE, DIFC, ADGM, KSA and other applicable MENA data protection law, and relevant international frameworks (including GDPR) where they inform best practice or contractual requirements.
- Holds or pursues relevant certification (e.g., IAPP CIPP/E, CIPM, CIPT).
Qualifications & Skills
Education
- Degree in law, information technology, business, or a related discipline.
- Professional certification in data protection (IAPP CIPP/E, CIPM, CIPT, or equivalent) strongly preferred.
Experience
- 8+ years' experience in data protection/privacy roles, including significant experience owning or operating a privacy programme within a fintech, banking, lending, payments or other highly regulated financial services environment; experience serving as a DPO or equivalent senior privacy leader is strongly preferred.
- Working knowledge of UAE PDPL, DIFC Data Protection Law and ideally ADGM and KSA PDPL, with practical experience assessing applicability and implementing requirements across multiple jurisdictions.
- Experience handling personal-data breach response, regulatory notification, privacy investigations, regulatory examinations and regulator engagement.
- Experience advising on data protection aspects of KYC/AML processes, credit data, financial information, data-sharing arrangements, retention/deletion requirements and vendor/partner agreements in a lending, banking or credit context.
- Exposure to AI/ML governance considerations, particularly around profiling, automated credit decisioning and processing of personal data by AI systems, is strongly preferred.
Skills & Competencies
- Strong grasp of financial services data flows (credit data, KYC, financial and transaction data) and associated regulatory sensitivities, including data lifecycle, retention, deletion and cross-border processing.
- Ability to translate privacy law into practical, commercially workable guidance and embed privacy-by-design and privacy-by-default controls into product, engineering and credit processes.
- Must be able to perform DPO responsibilities independently and must not be placed in a position where operational responsibilities create a conflict of interest with statutory DPO duties.
- Sound judgment in handling sensitive and confidential matters.
- Strong stakeholder management skills across Legal, Compliance, Technology, Security, Product, Credit and regional leadership, with the ability to operate independently and challenge decisions where privacy risk requires escalation.
- Excellent written and verbal communication in English (Arabic a plus), with the ability to communicate complex privacy requirements clearly to senior management, regulators and operational teams.
- Solid understanding of information security principles and data architecture.
- Self-directed, comfortable operating across GCC jurisdictions and time zones, with the independence, judgement and organisational maturity required to perform statutory DPO responsibilities.