Ricevo dal mio processore di pagamento un token al posto del numero CC del titolare della carta. Per effettuare il pagamento devo chiedere al titolare della carta il suo CVV. Fare ciò chiamando la pagina Web del processore di pagamento è ingombrante. È consentito richiedere il CVV in un'app e inoltrarlo con il token della carta al processore di pagamento? Penso che potrebbe essere consentito in quanto non sono in possesso del numero effettivo della carta e ovviamente non conserverò il CVV.
No. Il CVV è "Dati di autenticazione sensibile" e in base alla pagina 7 di PCI DSS:
PCI DSS also applies to all other entities that store, process, or transmit cardholder data and/or sensitive authentication data.
Quindi, sì, trasmettere (ricevere e ritrasmettere) solo il CVV è abbastanza per metterti in campo; se stai già utilizzando Tokenization, probabilmente lo fai per rimanere fuori dal campo di applicazione e questa sarebbe una cattiva idea per te.
Leggi altre domande sui tag pci-dss