Sprint +23 Phase 3 — Stripe Customer Portal owner-only.

Sprint +23 Phase 3 — Stripe Customer Portal owner-only.

Crée une session Stripe Customer Portal pour permettre au PROPRIÉTAIRE
de l'organisation de mettre à jour sa carte bleue, son adresse de
facturation, télécharger ses factures et gérer son plan en self-service.

Body : `{ return_url?: string }` — défaut `FRONTEND_URL/settings/billing`.

Réponse : `{ url: "https://billing.stripe.com/p/session/..." }` (URL
signée Stripe, lifetime ~5 minutes).

Sécurité :
- JWT requis
- Owner-only : seul `Organization.owner_user_id == g.actor_user_id` peut
  ouvrir le portail (super_admin platform autorisé en bypass pour support)
- Audit log `billing_portal_session_created` persisté
- Step-up MFA NON requis : Stripe Portal a sa propre auth + le user ne
  voit que les données de son org. La modification de CB côté Stripe est
  en zone sécurisée hébergée Stripe (PCI-DSS scope = Stripe, pas eyeot).

Cas particulier : si l'org est en trial sans `stripe_customer_id`, on
crée le Customer Stripe à la volée et on persiste la FK avant d'ouvrir
la session (idempotent en cas de retry).