O card_hash possui tempo de expiração? Posso usa-lo mais de uma vez?

Sim, após ser gerado o card_hash ele tem a duração de 5 minutos e você só pode usa-lo uma única vez. 

Caso você deseje realizar mais de uma cobrança, ou quer salvar os dados do cartão para fornecer aos seus cliente o one-click buy, você deve salvar os dados em nosso ambiente PCI, e usá-los sempre que desejar. 

Para detalhes de integração, acesse a sessão de cards da nossa documentação.