Résilie l'abonnement sans supprimer l'organisation.

Résilie l'abonnement sans supprimer l'organisation.

Sprint +23 Phase 2 — cycle billing complet.

- JWT requis + step-up TOTP ≤5min (action sensible, PCI-DSS 4.0 §8.6).
- L'appelant doit être owner de l'org active (403 sinon).
- Stripe : `cancel_at_period_end=True` → l'user garde son accès jusqu'à
  la fin de la période courante, puis le webhook `customer.subscription
  .deleted` bascule `status='canceled'` ; le license_guard renvoie alors
  402 sur toute écriture org-wide (sauf billing/auth/users/me/webhooks).
- Audit log `subscription_cancellation_scheduled` avec la raison NPS.