实时外呼

每套话术有自己的开场白和正文。实时外呼和模型评测都从这里选；接通后会直接说开场白，不再走「方便听两句吗」那套写死模板。

用 JSON 定义业务流程：节点跳转 / 条件判断 / 调用工具 / 人工接管。保存后是草稿，校验通过再「发布」；发布后绑定到机器人即会在实时外呼里按阶段注入引导。改流程会自动升版。

三块拆开测：LLM 并排对比，ASR 听写与 TTS 合成均可直接跑。评测不改生产外呼配置。

加载 ASR 名单…

加载 TTS 名单…

客户记忆（长期画像）

点某行的「记忆」查看该客户跨通话画像：关注点/反感点/最近结果，以及真实注入 LLM 的记忆块。修正：记忆只在通话结束时压成摘要落库，不存全文。

选一个客户点「记忆」

受控导入

每行「姓名,电话」。会做格式校验、去重和禁拨抑制。不是号码买卖；禁拨号码不会入库。

数据产品

这是合规目录，不是电话号码买卖。须有来源、用途与合法基础；评审通过后才能授权给本租户。若来源是外部摄取（有 checksum），必须先「校验来源」才能过评审。购买走「下单 → 支付 → 交付」，交付后按额度计量，退款即刻撤销授权。删除或过期后不能再授权、不能用于导入/活动。

加载数据产品…

代客户跑活动可填组织 id；绑定数据产品时须用途一致。都空则按本租户直接开跑。

待重拨

待转人工队列；认领后由人工坐席接手，完成后通话归档。可页内查看转写。

链路耗时：打开转写后显示

加载降级状态…

加载链路延迟…

运营统计（不含全号）

模型分层路由 / 策略模型

实时回合按机器人策略选小模型；后台策略模型（客户画像/复盘）选大模型。健康分低的模型会被自动降权/跳过。号码与密钥不显示。

加载模型路由…

运营告警

链路耗时：打开转写后显示

点「转写」查看该通对话

上段报价、下段内部成本。内部成本按租户/活动/区域/供应商/模型拆分，不含电话。本页不开支付。

账期按月。开具账单只做台账快照，不改单价、不扣款。登记余额只改台账，不走支付、不改单价。

生产外呼绑定「已发布」版本。点历史版本可载入编辑区；保存会生成新版本。保存与发布会记入合规审计（操作者角色 + 版本号，不含话术正文）。

训练导出：条数 — · 可追踪 — · 均分 — · 最近批次 —

默认走本地应答（browser），只跑对话与评分，不占外呼线路。需要真线路压测时再勾「走真实线路拨号」——那会真的拨出电话。

会用当前已发布 Prompt 做对照组，再用最新未发布版本做变体。没有草稿时会先保存当前文本为变体。

训练闭环：加载中…

闭环：收集评测数据 → 训练候选 Prompt → 基线与候选对照评测 → 达标才发布 → 发布后掉分自动回滚。窗口外会跳过（除非勾选忽略窗口）。未达标只产出候选版本，不会动线上 Prompt。

身份声明

开场须自报身份并提示可能录音，禁止冒充真人。机读汇总已声明/未声明通数，不含姓名电话。本页不拨号。

加载身份声明…

敏感内容拦截

坐席回复命中禁词则替换为安全话术，不把原文承诺说出去。机读汇总拦截次数与词表分类，不含姓名电话。本页不拨号。

加载敏感内容拦截…

合成语音标识

坐席声道为 AI 合成。通话/质检/录音接口带 synthetic=true；录音响应头 X-Synthetic-Audio。WAV 本身不加水印。克隆须授权。本页不拨号、不试听。

加载合成语音标识…

自动化决策

外呼以机器人为主，可转人工覆盖。口头拒绝/投诉会入禁拨。不做信贷评分。机读汇总不含姓名电话。本页不拨号。

加载自动化决策…

合法处理基础

外呼联系以同意为合法基础，用途收窄，一期不跨境。数据产品须填合法基础。机读汇总不含姓名电话。本页不拨号。

加载合法处理基础…

访问删除与安全

录音转写须审批；删除/导出须批准后才执行；导出仅境内。本机存储加密如实标明占位算法。汇总不含姓名电话。本页不执行删除、不导出、不拨号。

加载访问删除与安全…

预拨护栏

机读汇总全部预拨拦截码（归属、禁拨、静默、频次、同意、用途、供应商、号码风控）。不含姓名电话。麦克风对练多数不拦。本页不拨号。

加载预拨护栏…

租户范围

业务对象按租户隔离。跨租户按 id 读取通话/录音/知识库/Webhook/自定义音色档/SIP 线路/克隆授权/客户 SIP 证据返回 403 TENANT_SCOPE。汇总不含姓名电话与 SIP 密钥。本页不拨号。

加载租户范围…

隔离档

SDD 分标准/安全/专属。本机是共享应用与共享线路，租户即使标成专属也不等于专属运行时已上线。本页不改隔离档、不拨号。

加载隔离档…

客户 SIP 证据

客户自带 SIP/中继须先登记权利人与凭证。本页只记证据，不接入现网线路、不保存密码、不允许伪造外显。本页不拨号。

加载客户 SIP 证据…

事件订阅

外部系统收版本化事件。仅 HTTPS；请求带签名与幂等键。默认只入队并按退避重试（不向对端发 HTTP）；勾「真实投递」后才发一次 HTTPS，失败照旧退避/死信。

加载事件订阅…

声音克隆授权

没有权利人或凭证不得用于生产音色。吊销后不能再绑机器人。真正去百炼克隆仍需线下 voice id。

加载授权台账…

组织层级

平台 → 一级代理 → 二级代理 → 客户。代理默认可代开机器人/活动；录音与转写须客户显式授权，层级本身不给个人数据权限。

加载组织…

代操作审计

代理代客户操作会记 actor、组织、资源、权限来源与前后摘要。层级不自动给录音权限。

加载代操作审计…

录音转写审批

代理看录音/转写须客户显式授权或本页批准。层级本身不给个人数据权限。本租户质检播放不受影响。

加载访问申请…

删除请求

用户或企业删除申请。批准后才能执行；执行会把对应客户/通话号码改成 erased，并提前 retain_until 以便录音清理。不在本页误点执行。

加载删除申请…

导出控制

个人数据导出须填写用途且目的地只能是境内。批准后才能跑；结果只含脱敏号码，不含全号。现有 CRM 导出接口保持原样。

加载导出申请…

同意与用途

预拨检查联系同意、用途授权、客户限制。未同意或用途不符返回 409 及原因码。麦克风对练不拦。录音同意仍只控制是否留录音，与联系同意分开。本页不拨号。

加载同意策略…

数据分类

P0–P4 计数，不含姓名电话。P2 控制台脱敏，P3 录音/转写须审批。

加载数据分类…

外呼频次与时段

预拨检查：静默时段、当日次数上限、批准主叫、供应商限制与号码风控。活动静默按时区 Asia/Shanghai。超限返回 409 及原因码。禁止伪造外显。麦克风对练不计入。本页不拨号。

加载外呼策略…

传输加密

生产目标 HTTPS。本机开发控制台若是 HTTP 会如实标 http-dev，不把 UDP SIP 说成 TLS。Webhook 仍只收 HTTPS 地址，控制台不向对端发 HTTP。

加载传输声明…

存储加密

已用 AES-256-GCM（12 字节随机 nonce + AAD 绑定 alg|kid）。密钥可来自本地 DATA_AT_REST_KEY（SHA-256 派生 32B）或 KMS 信封加密（配 KMS_ENDPOINT，加密时申请数据密钥）。密钥本身不进台账，不改 SIP/录音盘。

加载加密状态…

录音保留

可按租户覆盖平台默认天数，只影响之后新通话的 retain_until。汇总不含号码。过期清理走现有管理接口，本页不点清理。

加载保留策略…

明确拒绝或投诉收尾后会自动加入禁拨，后续外呼拦截。改约/正忙不入名单；麦克风对练不入名单。

创建通话审计含用途、渠道与操作者角色；号码脱敏。本页不拨号。

研发进度（无人值守）

只读机读快照：当前版本、上轮成果、下轮方向、轮次数、未勾选项与需你配合的跳过项。数据只来自本机工程台账，不含电话姓名与 Prompt。本页不触发任何研发动作、不拨号。

加载研发进度…

质检列表；立体声录音（左用户/右坐席）可播放并看波形。坐席声道为 AI 合成。

训练导出：条数 — · 可追踪 — · 均分 — · 最近批次 —

链路耗时：打开转写后显示

账号只存 scrypt 哈希，任何接口都不返回口令。权限是能力位 RBAC：平台管理员 / 平台运维 / 组织管理员 / 租户管理员 / 质检主管 / 财务 / 合规审计 / 坐席 / 只读——不是简单等级，而是各司其职（财务不能外呼、审计只读、运维不碰钱与账号、坐席不能发 Prompt）。你只能授予自己不高于自己、且在可授予清单内的角色，且只能在自己作用域内（组织管理员限本组织子树，租户管理员限本租户）。

停用可恢复；销号不可恢复（离职、误建、合规删除用）。停用/降级/销号都不可用于自己；若账号是最后一个可用的平台管理员，系统会拒绝停用、降级或删除（防止把运维锁在门外）。重置口令后，该账号的旧会话立即失效。

账号操作日志…

多级组织：平台 → 一级代理 → 二级代理 → 客户；租户归属到组织，组织管理员只能看到并管理自己组织子树。隔离档（shared/secure/dedicated）决定该租户能用的数据库/密钥/线路资源。

组织

租户

治理视图：当前作用域的审计流水、用量与计费汇总。默认只显示你绑定租户的数据；平台管理员/组织管理员可用「查看租户」切换器查看授权范围内的租户。

审计流水

用量与计费

加载用量…

加载计费…

加载账号用量…