CDOL
Lista zakupów karty chipowej: dane, które terminal musi dostarczyć, zanim karta obliczy kryptogram.
Card Risk Management Data Object List to lista tagów EMV i ich długości, bez wartości. Karta ma dwie: CDOL1 w tagu 8C i CDOL2 w tagu 8D. Typowe pozycje to kwota (9F02), waluta, kod kraju, data, typ transakcji, TVR terminala oraz wygenerowana przez niego liczba losowa (9F37). Terminal wyszukuje każdy tag, składa wartości dokładnie w tej kolejności i wysyła całość poleceniem GENERATE AC.
Z tych bajtów karta wylicza kryptogram aplikacji. CDOL1 obsługuje pierwsze wywołanie; CDOL2 drugie, po odpowiedzi wydawcy, dlatego zawiera kod odpowiedzi. Ponieważ lista to dane, a nie kod, wydawca może zdecydować, z czym kryptogram jest związany, nie ruszając ani jednego terminala. Jeśli terminal pominie jakiś tag, zostanie on wypełniony zerami, a karta podpisze i to bez słowa protestu.