Appels téléphoniques

Une routine peut tomber sur une décision qu'elle ne peut pas trancher seule : un mail commercial qui demande une réponse engageante, un conflit dans un agenda, un seuil métier dépassé. Avant ce feature, Gilbert envoyait un message Telegram et attendait. Si tu étais en voiture ou en réunion, la routine restait bloquée des heures.

Désormais Gilbert peut t'appelersur ton téléphone, te poser la question en voix, reprendre la routine avec ta réponse. Inversement, tu peux appeler le numéro Gilbert depuis n'importe où — il te reconnaît au caller ID, te demande ton PIN (anti-spoofing) et te propose les sujets en attente.

C'est un canal de communication en plusde Telegram, pas à la place. Telegram reste utilisé pour tout ce qui n'est pas urgent ou bloquant.

Avant qu'un appel puisse partir ou arriver, tu dois enrôler ton numéro de téléphone. Cinq étapes, comptez 2 minutes :

1. Va sur /personal/settings/phone.
2. Entre ton numéro. Format français accepté tel quel : 06 12 34 56 78 ou +33 6 12 34 56 78. Il est normalisé en E.164 puis chiffré at-rest avant insertion en DB.
3. Vérifie le code à 6 chiffresreçu sur Telegram (Gilbert utilise ton bot Telegram déjà pairé pour éviter de t'envoyer un SMS payant à ce stade).
4. Définis ton PIN à 4 chiffres. C'est ce code que Gilbert te demandera quand tu appelles le numéro Gilbert, pour empêcher quelqu'un qui aurait spoofé ton caller ID de t'usurper. Stocké en bcrypt, jamais en clair.
5. Active la bascule « Gilbert peut m'appeler » (master switch). Configure tes quiet hours(ex : 21:00 → 08:00) — pendant cette fenêtre, aucun appel ne part, sauf si tu n'en as pas défini.

Le droit d'appel est opt-in par routine. Une routine doit avoir le flag can_call: true activé explicitement — par défaut, toutes les routines existantes et nouvelles sont à false. Tu actives ce flag depuis la page de configuration de la routine, dans la console.

Côté LLM, Gilbert ne décide pas tout seul d'appeler. La routine reçoit un tool dédié — call_user_to_decide(topic, options, urgency, ttl)— qu'elle peut appeler seulement quand elle rencontre une vraie décision critique qui ne peut pas attendre la fenêtre d'exécution suivante. Le prompt système indique au LLM les bons critères d'appel ; si tu trouves que Gilbert appelle trop, ajuste son prompt.

Tu peux appeler le numéro Gilbert quand tu veux. Le flow :

1. Gilbert répond avec un greeting court et te demande ton PIN à 4 chiffres. Le caller ID seul ne suffit pas (il est trivial à spoofer) — le PIN voice est ta deuxième factor.
2. Trois tentatives autorisées. Au-delà : Gilbert raccroche, le PIN est temporairement verrouillé (lockout exponentiel), un event est loggé dans personal_events.
3. Une fois authentifié : s'il y a un seul sujet en attente, Gilbert le reprend directement (« J'ai une question sur ton mail à Sophie ce matin »).
4. S'il y a plusieurs sujets, il te propose un menu en voix (« Trois sujets en attente : 1, 2, 3 — lequel tu veux traiter ? »).
5. S'il n'a rienen attente, c'est une conversation libre — tu peux lui demander de lancer une recherche, d'envoyer un message, de te briefer.

Pendant un appel, Gilbert peut être amené à proposer des actions qui ont un effet externe : envoyer un mail, publier un post LinkedIn, créer un draft. Le pattern 10s de fenêtre d'annulation voice-native protège contre les actions accidentelles :

• Gilbert annonce explicitement ce qu'il va faire et démarre un décompte de 10 secondes audible (« J'envoie le mail à Sophie dans 10 secondes — dis ‘annule’ ou ‘change le X’ si tu veux corriger »).
• Tu peux dire « annule »ou demander une modification (« change le sujet en X ») pendant ces 10s. Toute interruption verbale stoppe le timer.
• Raccrocher avant la fin des 10s = annulation par défaut. Le contrat est fail-safe : si le téléphone perd le réseau, l'action n'est pas envoyée.
• Après les 10s sans interruption, l'action part. Un message Telegram récapitule ce qui a été fait, pour le journal d'audit.

• Numéro de téléphone chiffré at-rest (AES-256-GCM, même chaîne que les tokens OAuth — voir Intégrations · Sécurité des tokens).
• PIN bcrypté avec coût standard. 3 tentatives avant lockout exponentiel (1 min → 5 min → 30 min → 24h). Aucune voie pour lire le PIN en clair, même côté serveur.
• Transcripts conservés 30 jours par défaut, puis le texte complet est purgé (full_text_enc = NULL). Un extrait structuré (intention détectée, décision finale, durée) est préservé pour les analytics. Un admin peut prolonger la rétention au cas par cas pour répondre à une obligation légale.
• Master kill-switch admindisponible côté solve-admin : permet de couper instantanément tous les appels sortants en cas d'incident provider ou de bug.
• Pas d'enregistrement audio conservé— seul le transcript texte est stocké. Le flux audio passe par le provider voice (Vapi) et n'est pas archivé.
• Webhooks signés HMACavec replay-cache et timestamp-skew check ; un attaquant ne peut pas rejouer un événement de fin d'appel.

Le feature est en lancement progressif. Limites assumées à ce stade :

• Français uniquement au lancement. Le multilingue (EN, ES) suivra une fois le pipeline français stabilisé.
• Un seul numéro Gilbert partagé entre tous les workspaces. Les appels entrants sont routés par lookup du caller ID + PIN. Un numéro dédié par workspace est prévu pour plus tard.
• Pas de relecture audio : tu vois le transcript texte dans la console, pas le player audio.
• Pas de SMS fallback: si l'appel échoue, le fallback est un DM Telegram (canal toujours dispo).
• Inbound concurrent multi-user: si deux personnes appellent le numéro Gilbert exactement en même temps, l'une tombera sur occupé (queue Vapi par défaut, pas d'IVR custom).

Le provider voice (Vapi) facture à la minute d'appel.

• Ordre de grandeur : ~$0.10 à $0.15 par minute d'appel (sortant + entrant équivalent).
• Le cap quotidien (5 appels/jour par défaut, configurable) protège contre les surprises de facturation et les boucles de routine.
• Détail conso et coût agrégé visible sur /console/usage. Chaque appel y apparaît avec sa durée et son coût provider.

• Routines — activer le flag can_call et configurer la branche no_response dans ton prompt.
• Sécurité des tokens — modèle de chiffrement at-rest, partagé avec le numéro de téléphone.
• Troubleshooting — débugger un appel échoué, un PIN refusé, ou un webhook Vapi non reçu.