Здравствуйте Артём!

Вы можете получать токен напрямую, если у вас есть свое приложение. Все сервисы которые работают с вашими данным Яндекс Директ используют своё OAuth приложение. Мы сделали также. Это исключительно для удобства пользователей кому не нужно регистрировать приложение.

В любом случае токены сохраняются в логах запросов к серверу. Данные к которым вы даете доступ приложению написано на странице Яндекса в момент авторизации. В нашем приложении это соответственно доступ к Яндекс Директ, Яндекс Метрике и данные вашего аккаунта в Яндексе. В дальнейшем мы хотим сделать такое же дополнение для Яндекс Метрики, а для того чтобы узнать нужно ли это людям, мы хотим знать количество пользователей дополнения для принятия решения: развивать его или нет