Appels téléphoniques

Une routine peut tomber sur une décision qu'elle ne peut pas trancher seule : un mail commercial qui demande une réponse engageante, un conflit dans un agenda, un seuil métier dépassé. Avant ce feature, Gilbert envoyait un message Telegram et attendait. Si tu étais en voiture ou en réunion, la routine restait bloquée des heures.

Désormais Gilbert peut t'appelersur ton téléphone, te poser la question en voix, reprendre la routine avec ta réponse. Inversement, tu pourras (à venir) appeler le numéro Gilbert depuis n'importe où : il te reconnaîtra au caller ID, te demandera ton PIN (anti-spoofing) et te proposera les sujets en attente.

C'est un canal de communication en plusde Telegram, pas à la place. Telegram reste utilisé pour tout ce qui n'est pas urgent ou bloquant.

Avant qu'un appel puisse partir ou arriver, tu dois enrôler ton numéro de téléphone. Cinq étapes, comptez 2 minutes :

1. Va sur Mes canaux → Téléphone.
2. Entre ton numéro. Format français accepté tel quel : 06 12 34 56 78 ou +33 6 12 34 56 78. Il est normalisé en E.164 puis chiffré at-rest avant insertion en DB.
3. Vérifie le code à 6 chiffresreçu sur Telegram (Gilbert utilise ton bot Telegram déjà pairé pour éviter de t'envoyer un SMS payant à ce stade).
4. Définis ton PIN à 4 chiffres. C'est ce code que Gilbert te demandera quand tu appelles le numéro Gilbert, pour empêcher quelqu'un qui aurait spoofé ton caller ID de t'usurper. Stocké en bcrypt, jamais en clair.
5. Active la bascule « Gilbert peut m'appeler » (master switch). Configure tes heures calmes sur Heures calmes (ex : 21:00 → 08:00) : pendant cette fenêtre, aucun appel ne part, sauf si tu n'en as pas défini. La page distingue les heures calmes des appels et celles des notifications : deux réglages indépendants.

Le droit d'appel est opt-in par routine. Une routine doit avoir le flag can_call: true activé explicitement : par défaut, toutes les routines existantes et nouvelles sont à false. L'activation de ce flag se fait pour l'instant par l'équipe Solve (pas encore self-serve dans la console : le toggle arrive).

Côté LLM, Gilbert ne décide pas tout seul d'appeler. La routine reçoit un tool dédié : call_user_to_decide(topic, options, urgency?, ttl_minutes?, context?, voice_tier?) (seuls topic et optionssont requis), qu'elle peut appeler seulement quand elle rencontre une vraie décision critique qui ne peut pas attendre la fenêtre d'exécution suivante. Le prompt système indique au LLM les bons critères d'appel ; si tu trouves que Gilbert appelle trop, ajuste son prompt.

Pas encore ouvert: il n'y a pour l'instant aucun numéro Gilbert à composer. Voici le flow prévu à l'ouverture :

1. Gilbert répond avec un greeting court et te demande ton PIN à 4 chiffres. Le caller ID seul ne suffit pas (il est trivial à spoofer) : le PIN voice est ta deuxième factor.
2. Trois tentatives autorisées par appel. Au-delà : Gilbert raccroche. Après 5 échecs cumulés tous appels confondus, le PIN est verrouillé 15 minutes.
3. Une fois authentifié : s'il y a un seul sujet en attente, Gilbert le reprend directement (« J'ai une question sur ton mail à Sophie ce matin »).
4. S'il y a plusieurs sujets, il te propose un menu en voix (« Trois sujets en attente : 1, 2, 3, lequel tu veux traiter ? »).
5. S'il n'a rienen attente, c'est une conversation libre : tu peux lui demander de lancer une recherche, d'envoyer un message, de te briefer.

Pendant un appel, Gilbert peut être amené à proposer des actions qui ont un effet externe : envoyer un mail, publier un post LinkedIn, créer un draft. Le pattern 10s de fenêtre d'annulation voice-native protège contre les actions accidentelles :

• Gilbert annonce explicitement ce qu'il va faire et démarre un décompte de 10 secondes audible (« J'envoie le mail à Sophie dans 10 secondes : dis ‘annule’ ou ‘change le X’ si tu veux corriger »).
• Tu peux dire « annule »ou demander une modification (« change le sujet en X ») pendant ces 10s. Toute interruption verbale stoppe le timer.
• Raccrocher avant la fin des 10s = annulation par défaut. Le contrat est fail-safe : si le téléphone perd le réseau, l'action n'est pas envoyée.
• Après les 10s sans interruption, l'action part. Un message Telegram récapitule ce qui a été fait, pour le journal d'audit.

• Numéro de téléphone chiffré at-rest (AES-256-GCM, même chaîne que les tokens OAuth : voir Intégrations · Sécurité des tokens).
• PIN bcrypté avec coût standard. 3 échecs dans un même appel → Gilbert raccroche ; 5 échecs cumulés tous appels confondus → PIN verrouillé 15 minutes. Aucune voie pour lire le PIN en clair, même côté serveur.
• Transcripts conservés 30 jours par défaut, puis le texte complet est purgé (full_text_enc = NULL). Un extrait structuré (intention détectée, décision finale, durée) est préservé pour les analytics. Un admin peut prolonger la rétention au cas par cas pour répondre à une obligation légale.
• Master kill-switch admin côté Gilbert (flag global phone_calls_globally_enabled, piloté par l'équipe Solve via un endpoint admin dédié) : permet de couper instantanément tous les appels en cas d'incident provider ou de bug.
• Pas d'enregistrement audio conservé: seul le transcript texte est stocké. Le flux audio passe par le provider voice (Vapi) et n'est pas archivé.
• Webhooks signés HMACavec replay-cache et timestamp-skew check ; un attaquant ne peut pas rejouer un événement de fin d'appel.

Le feature est en lancement progressif. Limites assumées à ce stade :

• Rollout contrôlé: appels sortants activés compte par compte par l'équipe Solve ; appels entrants pas encore ouverts (aucun numéro à composer pour l'instant).
• Français uniquement au lancement. Le multilingue (EN, ES) suivra une fois le pipeline français stabilisé.
• Un seul numéro Gilbert partagé entre tous les workspaces. Les appels entrants (à venir) seront routés par lookup du caller ID + PIN. Un numéro dédié par workspace est prévu pour plus tard.
• Pas de consultation des transcripts: le transcript texte est conservé chiffré côté serveur (30 jours), mais il n'y a pas encore de vue console pour le relire, ni de player audio (l'audio n'est pas archivé).
• Pas de SMS fallback: si l'appel échoue, le fallback est un DM Telegram (canal toujours dispo).
• Inbound concurrent multi-user: si deux personnes appellent le numéro Gilbert exactement en même temps, l'une tombera sur occupé (queue Vapi par défaut, pas d'IVR custom).

Le provider voice (Vapi) facture à la minute d'appel.

• Ordre de grandeur : ~$0.10 à $0.15 par minute d'appel (sortant + entrant équivalent).
• Le cap quotidien (5 appels/jour par défaut, configurable) protège contre les surprises de facturation et les boucles de routine.
• Il n'y a pas encore de détail durée / coût par appel dans la console (/console/usagen'agrège aujourd'hui que la consommation LLM). Une section appels y est prévue.

• Routines : configurer la branche no_responsedans ton prompt (l'activation du flag can_callse fait avec l'équipe Solve).
• Sécurité des tokens : modèle de chiffrement at-rest, partagé avec le numéro de téléphone.
• Un appel échoué, un PIN refusé ? Vérifie d'abord le master switch, les quiet hours et le cap quotidien sur Mes canaux → Téléphone, puis contacte l'équipe Solve si ça ne suffit pas.