Sprint+5 Chantier #4 (2026-05-17) — Multi-org admin sans switch JWT.

Sprint+5 Chantier #4 (2026-05-17) — Multi-org admin sans switch JWT.

Émet un NOUVEAU pair access+refresh token pour `organization_id` cible,
SANS révoquer les tokens existants. Différent de `/switch-org` qui kill
l'ancien refresh family (switch définitif). Ici : tab parallèle.

Cas d'usage : DAF d'un groupe FR/BE/CH ouvre 3 tabs, chacun consulte
son org dans sa propre session token, sans révoquer les autres.

Body : {"organization_id": "<uuid>"}

Sécurité :
- Vérifie `Membership.is_active=True` sur l'org cible (sinon 403).
- Chaque token a son propre `jti` (rotation indépendante).
- Audit log `org_token_issued` avec org_id cible.
- Ne touche pas au `user_min_token_iat` (sinon on révoquerait les
  autres tabs).