CDOL
La lista della spesa della carta a chip: i dati che il terminale deve consegnare prima che la carta calcoli il crittogramma.
La Card Risk Management Data Object List è un elenco di tag EMV e lunghezze, senza valori. Una carta ne contiene due: CDOL1 nel tag 8C e CDOL2 nel tag 8D. Voci tipiche sono l'importo (9F02), la valuta, il codice paese, la data, il tipo di transazione, il TVR del terminale e un numero casuale generato dal terminale (9F37). Il terminale cerca ogni tag, concatena i valori esattamente in quell'ordine e invia il tutto con il comando GENERATE AC.
Da quei byte la carta ricava il proprio crittogramma applicativo. CDOL1 serve per la prima chiamata; CDOL2 per la seconda, dopo la risposta dell'emittente, ed è per questo che include il codice di risposta. Poiché la lista è dati e non codice, un emittente può decidere che cosa il crittogramma leghi senza toccare un solo terminale. Se un terminale omette un tag, questo viene riempito di zeri, e la carta firma anche quello senza protestare.