Transport et téléphonie
Call ID opaque, transitions PBX, bridge, génération audio, mark/ACK, handoff, début/fin et causes techniques.
Politique:audio brut désactivé par défautIAM par servicerétention approuvée humainement
Classes de données et cycle de vie
Chaque classe possède un owner, une frontière de confiance et une preuve distincte.
| Classe | Owner / stockage | Protection | Cycle de vie | Preuve |
|---|---|---|---|---|
| Trames audio | Navy Phone, mémoire bornée | Transport contrôlé, jamais dans métriques | Purge après lecture/annulation | Code buffers/AbortSignal |
| Session d’appel | Navy Phone, PostgreSQL cible | Tenant, TLS, RLS/IAM | Rétention à approuver | Schémas; base cloud absente |
| Prepared-turn | VoiceBot, store produit | Révision, CAS, token opaque | TTL et purge | Contrats/tests produit |
| Audit téléphonie | Navy Phone, ledger | Append-only, hash chain | Export/scellement à figer | Code local |
| Audit décisionnel | VoiceBot, audit produit | Provenance, protocole, garde | Séparé du ledger PBX | Contrat produit |
| Enregistrement | Conformité, objet cible | Consentement, clé dédiée, ACL | Off par défaut, TTL/legal hold | Cible seulement |
| Télémétrie edge | SRE, trois fichiers /run | Root 0700, fichiers 0640, aucune donnée d’appel | Dernier snapshot/metrics/transition | Health-lab local |
Preuve de lecture et audits séparés
Le ledger d’appel et la décision conversationnelle se corrèlent sans fusionner leurs responsabilités.
Décision et protocole
Session/tour, faits et sources, révision, proposition LLM, décision de garde, prepared-turn, commit ou refus.
Invariant
Audio envoyé ou mark reçu ne signifie pas « entendu ». Le commit n’est permis qu’avec un ACK courant et une révision CAS valide.
Secrets, PKI et IAM
La politique non secrète peut être gérée par IaC. Les clés et mots de passe restent hors Git, state, image et output.
| Objet | Chemin / service | Identité | Rotation | Statut |
|---|---|---|---|---|
| Cell TLS / carrier CA | /var/lib/navy-phone-edge/secrets vers copies /run | Root source, UID/GID exact runtime | À opérer via management | Contrat, PKI absente |
| ARI certificat / mot de passe | Copie Asterisk read-only | Service Navy Phone dédié | Révocation + redémarrage drainé | Contrat/lab |
| TURN credentials | Broker cible vers coturn/client | Tenant et appareil | TTL court | Cible |
| IAM/KMS | Secret Manager, KMS, DB, objet | Un principal par service | Audit + break-glass | Non déployé |
Minimisation et conformité
Aucune gate logicielle ne produit seule l’autorisation réglementaire d’opérer une téléphonie publique en Belgique.
Numérotation et opérateur
DID, portabilité, obligations opérateur et interopérabilité à valider.
Urgence et localisation
Routage, localisation, disponibilité et limites du service à homologuer.
Voix et décision
Finalités, sous-traitants, résidence, consentement, droits et notification incident.
Processus humain
Autorité, séparation de rôles, traçabilité et rétention juridiquement approuvées.
Provenance et supply chain
Les images et modèles doivent être identifiés par digest et accompagnés de preuves externes avant promotion.
Hashes recalculés
Le bundle edge recalcule fichiers et images OCI. Les modèles doivent exposer release, digest, licence et source.
Attestation externe
Signature, SBOM, scan CVE, Secure Boot, registre souverain et cérémonie de promotion ne sont pas produits.