Cria uma sessão de tokenização hospedada, de uso único e curta duração, e retorna a hostedCardUrl que o app carrega no React Native Card SDK. O portador digita o cartão na página hospedada da Autra e a tokenização acontece lá — o PAN/CVV nunca passa pelo merchant. Server-to-server: chame do seu backend com o access token, nunca do app. O IP do backend precisa estar na allow-list do tenant (senão 403).