feat: enforce role section permissions and add a leads permission

Unticking a section hides it from the menu, closes its routes and blocks its writes on the server; existing roles keep their current access via migration.

apps/api/prisma/migrations/20261021120000_role_permissions_enforced/migration.sql

@@ -0,0 +1,14 @@
+-- تیک‌های مجوز نقش از این نسخه واقعاً اعمال می‌شوند.
+-- تا امروز همهٔ نقش‌ها عملاً به این بخش‌ها دسترسی داشتند؛ همان دسترسی را برای نقش‌های موجود حفظ می‌کنیم.
+UPDATE "OrgRole"
+SET "permissions" = ARRAY(
+  SELECT DISTINCT p
+  FROM unnest(
+    "permissions" || ARRAY['customers', 'leads', 'sales', 'billing', 'products', 'activities', 'notes', 'reports']
+  ) AS p
+);
+
+-- لاگ فعالیت کاربران تا امروز فقط برای مالک و مدیر باز بود (مستقل از تیک)؛ همان را حفظ می‌کنیم.
+UPDATE "OrgRole"
+SET "permissions" = array_remove("permissions", 'audit')
+WHERE "systemKey" IS NULL OR "systemKey" NOT IN ('owner', 'admin');