Föreningskiosk

Genomför deltagarsnapshotens ändamålsstyrda gallring efter #414/#415. De tidigare beroendena #168/#188 är avbrutna och ska inte styra implementationen.

Definition of Done:

• Varje ny purchase_participants-rad får en oföränderlig snapshot av godkänt ändamål (inledningsvis lok_support) och explicit referensår; ändamål eller år får inte härledas från en senare ändrad artikel.
• LOK-underlag för referensår Y blir gallringsbart tidigast 1 januari Y+8 i Europe/Stockholm, motsvarande ett exakt UTC-gränsvärde; okänt eller saknat ändamål eller referensår gallras aldrig automatiskt.
• Separat standardavstängd rutin med explicit föreningsgodkännande, torrkörning, apply och begränsad batch rensar både name_ciphertext och birth_year_ciphertext och sätter erased_at.
• Isolerade tester omfattar tidsgräns, årsskifte/tidszon, blandade ändamål, okänd klassificering, idempotens, tenantisolering, batch, oförändrade käll-, ekonomi- och klipprader samt databasens återställningsspärr.
• Befintliga historiska rader klassificeras inte automatiskt; eventuell backfill kräver separat granskat beslut.
• Ingen scheduler eller produktionsaktivering ingår. Rutin och organisationsgodkännande förblir avstängda som standard.

Utanför scope: kontokopplingsgallring, äldre purchase_draft_required_values/femårskod i #147, backuprestore, juridiskt godkännande och aktivering av verkliga deltagaruppgifter. Verifieringsmiljö: isolerad MariaDB-CI. Blockerar samlad aktivering i #150.