У меня не было бы ни малейших претензий к Сберу, если бы у них это было прописано — в явной (презентациях/инструкциях) или скрытой (в условиях использования юридическими заумными терминами) форме. Сбер же утверждает, что номер карты ни в каком виде не передается, все оплаты производятся только в приложении, что не соответствует действительности.
Если нет технической возможности обойтись без передачи токена, можно же было, в конце концов, содрать техническое решение у Apple и выдавать подменный токен.
Ну и разовый платеж и стабильная привязка с возможностью списания без подтверждения — совершенно разные вещи.