Всё так. Более того, так это и делается, как правило. Если первая транзакция проводится с участием клиента -- его просят ввести CVV. Далее "recurrent payments" проводятся без участия клиента (он уже подтвердил всё что надо). Однако, если клиент хочет провести какой-то отдельный платёж, даже с той же картой, то его опять просят ввести CVV.
Тоесть идея в том, что CVV -- дополнительное средство для идентификации клиента и владельцу merchant account он по большому счету и не нужен. Такой себе небольшой барьер против того, что например украли номер карты, но не саму карту.
Тоесть дело не просто в требовании, а в идеологии, для чего именно это все придумано.
Я тоже как-то такое сделал сначала, не разобравшись что к чему (когда только появились CVV & etc.).
Это не есть хорошо. Если всплывет, то могут быть неприятности.