v0.15.3

O cadastro não aceita mais companyId/role; a escolha de tenant e de papel acontece só por um convite autenticado.
Sessões JWT legadas são revalidadas contra um usuário existente, ativo e não excluído; os headers de identidade são derivados da credencial, não das claims.
O offboarding de empresa revoga os tokens do tenant, suspende o tenant no Engine e depois desativa os dados locais numa única transação.
Os OpenBao Agents agora entregam os segredos do SaaS; arquivos de unit e exemplos versionados não carregam mais credenciais.

O teardown dos testes de audit_logs desativa o trigger da cadeia além do guard de linha, para o contrato append-only continuar significativo nos testes.
Duas chaves de i18n órfãs foram removidas.
O provisionamento do banco de teste concede ao papel da aplicação os privilégios de schema que ele tem em produção.

Suíte unitária completa verde no banco de CI isolado, com o papel ci: 896 pass, 0 fail. Typecheck e lint verdes (lint: 0 erros).