CDOL
Chipkortets beställningslista över vilka uppgifter terminalen ska skicka med när kortet ombeds räkna fram sitt kryptogram.
Card Risk Management Data Object List är en lista med EMV-taggar och längder, utan värden. Kortet bär två: CDOL1 i tagg 8C och CDOL2 i tagg 8D. Typiskt innehåll är belopp (9F02), valuta, landskod, datum, transaktionstyp, terminalens TVR och ett slumptal från terminalen (9F37). Terminalen slår upp varje tagg, radar upp värdena i exakt den ordningen och skickar alltihop i kommandot GENERATE AC.
Ur de bytena räknar kortet fram sitt applikationskryptogram. CDOL1 gäller första anropet; CDOL2 det andra, efter bankens svar, och innehåller därför svarskoden. Eftersom listan är data och inte kod kan utgivaren bestämma vad kryptogrammet ska binda utan att röra terminalerna. Glömmer terminalen en tagg fylls den med nollor, och kortet signerar glatt även det.