feat: RLA API v1.0.0 — API complète + exports + thème McKinsey

- 9 endpoints métier : synthese, alertes, en-service, en-cours,
  par-region, clotures, pilotage-proactif, matrice-risque
- Exports PDF (tous rôles) / XLSX PPTX DOCX (superadmin)
- services/calc.js : helpers normalisés partagés
- services/export-pdf.js : PDF async PDFKit par vue
- Thème McKinsey (#1C2B4B / bleu pétrole / gris sobre)
- Boutons XLSX/DOCX front (superadmin uniquement)
- BASEROW_API_URL → https://baserow.bolbol.tn/api/
- dotenv override: true

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

middleware/roles.js

@@ -0,0 +1,32 @@
+module.exports = {
+
+  requireSuperAdmin(req, res, next) {
+    if (req.user?.role !== 'superadmin') {
+      return res.status(403).json({ error: 'Accès réservé au super-administrateur' });
+    }
+    next();
+  },
+
+  requireAdmin(req, res, next) {
+    if (!['superadmin', 'admin'].includes(req.user?.role)) {
+      return res.status(403).json({ error: 'Accès réservé aux administrateurs' });
+    }
+    next();
+  },
+
+  requireUser(req, res, next) {
+    if (!req.user?.role) {
+      return res.status(403).json({ error: 'Accès non autorisé' });
+    }
+    next();
+  },
+
+  // Injecte req.regionFilter : null = toutes régions, string = région filtrée
+  filterByRegion(req, res, next) {
+    req.regionFilter = (req.user?.role === 'user' && req.user.region !== 'all')
+      ? req.user.region
+      : null;
+    next();
+  },
+
+};