Кроме емейлов есть еще факторы - имя, фамилия, телефон, инфа о девайсе - айди, имя, так что к одному емейлу не надо привязываться.
Конкретно этот кейс связан с apple pay, там какая-то своя и очень странная преавторизация. Кроме того, никакой инфы о карте бэкенд не имеет и не получает - только одноразовый токен, который используетмя платежным гейтвеем