Когда человек через твою карту Тинькоффа делает проходу в Every lounge, сохраняются ли у него твои данные?

Это противозаконно. Нельзя этим заниматься. Так работает черный рынок, например, для покупки ПК игр запрещённых для продажи в РФ. А бывает ещё хуже.... оплачивают твоими данными запрещенные организации. Всё сохраняется, и органы могут тебя найти и посадить за решётку. И через твои данные можно что угодно в последствии взломать.

Если вы всё сделаете и пришлёте готовый qr код для прохода, то он не получит какой-либо информации о банковской карте. Правда 2 момента:
Не знаю, меняется ли qr код.
По коду On pass не пустят, если нет пассажира, чей код. В этой системе нужно узнавать.