Transport et téléphonie
Call ID opaque, transitions PBX, bridge, génération audio, mark/ACK, handoff, début/fin et causes techniques.
Classes de données et cycle de vie
Chaque classe possède un owner, une frontière de confiance et une preuve distincte.
| Classe | Owner / stockage | Protection | Cycle de vie | Preuve |
|---|---|---|---|---|
| Trames audio | Navy Phone, mémoire bornée | Transport contrôlé, jamais dans métriques | Purge après lecture/annulation | Code buffers/AbortSignal |
| Session d’appel | Navy Phone, PostgreSQL cible | Tenant, TLS, RLS/IAM | Rétention à approuver | Schémas; base cloud absente |
| Prepared-turn | VoiceBot, store produit | Révision, CAS, token opaque | TTL et purge | Contrats/tests produit |
| Audit téléphonie | Navy Phone, ledger | Append-only, hash chain | Export/scellement à figer | Code local |
| Audit décisionnel | VoiceBot, audit produit | Provenance, protocole, garde | Séparé du ledger PBX | Contrat produit |
| Enregistrement | Conformité, objet cible | Consentement, clé dédiée, ACL | Off par défaut, TTL/legal hold | Cible seulement |
| Télémétrie edge | SRE, quatre fichiers /run | Root 0700, fichiers 0640, aucune donnée d’appel ou sortie de commande | Dernier snapshot/metrics/transition/admission | Health-lab local |
| Preuve exact-edge locale | Release assurance, rapport éphémère du lab | 13 checks et 9 métriques canoniques, références de corrélation opaques, aucun média, SIP ou identifiant brut dans l’enveloppe | Digest SHA-256 canonique local; registre immuable et rétention absents | Schéma v1 validé, sourceTreeClean=true au dernier run, promotion NO-GO, aucune attestation externe |
| Preuve OpenTofu locale | Release assurance, stdout JSON content-free uniquement | Sources temporaires limitées au HCL revu, credentials hôte explicitement neutralisés, backend désactivé et réseau coupé après bootstrap du miroir | Workspace, provider, plan et state éphémères supprimés; aucun stdout brut, environnement ou secret persisté | Schéma scaleway-opentofu-runtime-gate.v1 avec digest canonique; 39 tests mockés, cloud absent et promotion NO-GO |
Preuve de lecture et audits séparés
Le ledger d’appel et la décision conversationnelle se corrèlent sans fusionner leurs responsabilités.
Décision et protocole
Session/tour, faits et sources, révision, proposition LLM, décision de garde, prepared-turn, commit ou refus.
Invariant
Audio envoyé ou mark reçu ne signifie pas « entendu ». Le commit n’est permis qu’avec un ACK courant et une révision CAS valide.