feat: Gemini AI (doc OCR + face match) + role-assignment endpoints

- GeminiService (integrations/gemini, @Global): extractDocument (OCR fields) + faceMatch; graceful if no GEMINI_API_KEY
- documents: face-match now real via Gemini; POST /admin/documents/:id/ocr extracts fields for CS auto-fill
- roles: PATCH /admin/users/:id/role (admin) + POST /platform/users/role (bootstrap via x-platform-secret)
- config: gemini + platform.secret; .env.example entries

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/src/config/configuration.ts

@@ -66,6 +66,17 @@ export default () => ({
   // رموز الاتصال الدولية لكل country pack (لتنسيق الهاتف قبل الإرسال).
   callingCodes: { jo: '962', sy: '963' } as Record<string, string>,
 
+  // Gemini (رؤية) — قراءة الوثائق ومطابقة الوجه.
+  gemini: {
+    apiKey: process.env.GEMINI_API_KEY ?? '',
+    model: process.env.GEMINI_MODEL ?? 'gemini-2.0-flash',
+  },
+
+  // سرّ المنصة (super-admin) — لتعيين أول أدمن قبل وجود أدمن.
+  platform: {
+    secret: process.env.PLATFORM_SECRET ?? '',
+  },
+
   // تخزين ملفات الوثائق. baseUrl فارغ = محلي؛ يُضبط لسيرفر التوطين لاحقاً (docs/06).
   storage: {
     dir: process.env.STORAGE_DIR ?? '/app/storage',