Recibo de mi procesador de pagos un token en lugar del número CC del titular de la tarjeta. Para realizar el pago tengo que pedir al titular de la tarjeta su CVV. Hacer esto llamando a la página web del procesador de pagos es engorroso. ¿Se puede solicitar el CVV en una aplicación y enviarlo con el token de la tarjeta al procesador de pagos? Creo que podría permitirse ya que no estoy en posesión del número de tarjeta real y, por supuesto, no voy a almacenar el CVV.
No. El CVV es "Datos de autenticación confidenciales", y de acuerdo con la página 7 de PCI DSS:
PCI DSS también se aplica a todas las demás entidades que almacenan, procesan o transmita datos del titular de la tarjeta y / o datos confidenciales de autenticación .
Entonces, sí, transmitir (recibir y reenviar) solo el CVV es suficiente para ponerlo en su alcance; Si ya está utilizando la Tokenización, probablemente esté haciendo eso para mantenerse fuera del alcance, y esto sería una mala idea para usted.
Lea otras preguntas en las etiquetas pci-dss