feat: Gemini AI (doc OCR + face match) + role-assignment endpoints

- GeminiService (integrations/gemini, @Global): extractDocument (OCR fields) + faceMatch; graceful if no GEMINI_API_KEY
- documents: face-match now real via Gemini; POST /admin/documents/:id/ocr extracts fields for CS auto-fill
- roles: PATCH /admin/users/:id/role (admin) + POST /platform/users/role (bootstrap via x-platform-secret)
- config: gemini + platform.secret; .env.example entries

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

apps/driver/android/app/src/main/res/xml/network_security_config.xml

@@ -0,0 +1,24 @@
+<?xml version="1.0" encoding="utf-8"?>
+<network-security-config>
+    <!-- منع أي اتصال HTTP غير مشفّر -->
+    <base-config cleartextTrafficPermitted="false">
+        <trust-anchors>
+            <!-- الاعتماد على شهادات النظام فقط -->
+            <certificates src="system" />
+        </trust-anchors>
+    </base-config>
+
+    <!-- اسمح بالاتصال بدوميناتك فقط -->
+    <domain-config cleartextTrafficPermitted="false">
+        <domain includeSubdomains="true">tripz-egypt.com</domain>
+
+    </domain-config>
+
+    <!-- في debug فقط: اسمح بشهادات المستخدم لسهولة الاختبار عبر Proxy -->
+    <debug-overrides>
+        <trust-anchors>
+            <certificates src="system" />
+            <certificates src="user" />
+        </trust-anchors>
+    </debug-overrides>
+</network-security-config>