Endpoint canonique d'audit log (chantier 3 follow-up #16).

Endpoint canonique d'audit log (chantier 3 follow-up #16).

Sprint +25 Phase 4 (2026-05-18) — RBAC élargi : `admin:all` OR
`compliance:read`. Avant : admin:all seul ⇒ le DAF (qui a
`compliance:read` via daf role) et le Responsable Qualité (DPO,
`responsable_process` qui a `compliance:read/write`) recevaient un 403
sur la consultation du journal d'audit. Or ISO 27001 A.12.4.3 + RGPD
Art. 30/32 exigent que le DPO et le contrôleur de gestion puissent
auditer les actions cross-module sans privilèges admin système.

Unifie la consultation de l'audit-trail. Remplace `/admin/audit-trail`
qui devient un alias avec en-tête `Deprecation: true`.

Note : `/api/v1/audit/entity/<type>/<id>` (blueprint `audit` créé le
2026-04-30 AM) reste complémentaire — il fait de l'audit ciblé sur une
entité unique, pas la consultation paginée multi-critères.

Bug 02eb5bad (2026-05-03) : la shape interne `{items, total, page, ...}`
ne matchait pas la convention frontend `{data: [...], meta: {...}}`
→ le frontend voyait audit log vide. On normalise la sortie ici.

Permissions requises : admin:all