Uloziste pro vsechna data, oprava .gitignore, dodelany navrh rozsireni

.gitignore mel vzorec `data/`, ktery se shodl i se `src/data/`. Sestnact
zdrojovych souboru tim tise chybelo v gitu vcetne cele slozky
`src/data/store/`. Opraveno na `/data/`, stejne v .dockerignore.

Tickety vcetne logu, automatizace, incidenty a rozlozeni dashboardu se po
kazde zmene ukladaji. Pomocnik `withMirror` je opak `withCache`: data se meni
v pameti a zapisuji cela, misto aby se po zapisu znovu nacitala. Citace ID se
pri startu dopocitaji z ulozenych zaznamu, takze novy ticket neprepise stary.

Detail ticketu umi typ, tagy, vlastni pole typu a prehozeni na skupinu.
Nastaveni ma prepnuti spravce na jiny ucet, vychozi jen pro cteni.
Skupiny resitelu chodi spolu s lidmi jednim requestem.

Dokumentace: rejstrik znovupouzitelnych funkci (15), navrh monetizace
a ceny za krok (16), popis nastaveni a prav (17). Doplneny endpointy
do openapi.ts, petice CRUD rout se generuje jednou funkci.

Overeno v rezimu souboru: zmeny prezily tvrde ukonceni procesu a po restartu
byly zpatky vcetne logu ticketu.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

documentation/04-api.md

@@ -36,6 +36,11 @@ Vyzaduji `Authorization: Bearer <token>`:
 | POST   | `/api/dashboard/tickets/:id/assign`                 |
 | POST   | `/api/dashboard/tickets/:id/status`                 |
 | POST   | `/api/dashboard/tickets/:id/comment`                |
+| POST   | `/api/dashboard/tickets/:id/type`                   |
+| POST   | `/api/dashboard/tickets/:id/tags`                   |
+| POST   | `/api/dashboard/tickets/:id/group`                  |
+| GET    | `/api/dashboard/tickets/:id/actions`                |
+| POST   | `/api/dashboard/tickets/:id/actions/:actionId`      |
 | GET    | `/api/dashboard/incidents`                          |
 | GET    | `/api/dashboard/storage`                            |
 | GET    | `/api/dashboard/services`                           |
@@ -58,8 +63,26 @@ Vyzaduji `Authorization: Bearer <token>`:
 | PUT    | `/api/dashboard/automations/:id`                    |
 | DELETE | `/api/dashboard/automations/:id`                    |
 | POST   | `/api/dashboard/automations/:id/webhook/regenerate` |
+| POST   | `/api/dashboard/widget-data`                        |
+| GET    | `/api/dashboard/widget-data/options`                |
+| GET    | `/api/dashboard/settings/catalog`                   |
+| GET    | `/api/dashboard/settings/features`                  |
+| GET    | `/api/dashboard/settings/people-overview`           |
+| GET    | `/api/dashboard/settings/users-overview`            |
+| PATCH  | `/api/dashboard/settings/users/:id/password`        |
+| POST   | `/api/admin/impersonate`                            |
+| POST   | `/api/admin/impersonate/stop`                       |
+| GET    | `/api/admin/impersonate/candidates`                 |
+| GET    | `/api/admin/audit`                                  |
 | POST   | `/api/simulate`                                     |
 
+Sprava zaznamu ma u kazde entity stejnou petici (seznam, detail, vytvoreni,
+uprava, mazani) na `/api/dashboard/settings/<entita>`, protoze ji dela jedna
+fabrika (`src/routes/crud.ts`):
+
+`tenants`, `users`, `roles`, `people`, `groups`, `ticket-types`, `actions`,
+`widgets`, `features`.
+
 ## Format chyb
 
 Jednotny pro cele API:
@@ -165,6 +188,40 @@ toho, co ktera volana sluzba vratila.
 `POST /api/dashboard/tickets/:id/assign` s telem `{"assigneeId": null}` vrati
 ticket do fronty. Neznamy resitel vraci 404, ne tiche odpojeni.
 
+## Akce na ticketu
+
+Popis modelu je v [09-navrh-rozsireni.md](09-navrh-rozsireni.md).
+
+`GET /api/dashboard/tickets/:id/actions` vraci **jen akce, ktere v teto situaci
+opravdu jdou spustit**: sedi typ nebo tag, projdou podminky a volajici na ne ma
+pravo. Klient si nefiltruje nic - jinak by se to pocitalo na dvou mistech
+a jednou se to rozejde.
+
+`POST /api/dashboard/tickets/:id/actions/:actionId` vraci **200 i kdyz akce
+selhala**. Selhani akce neni chyba API. V odpovedi je `ok`, `summary`, `detail`
+s celym chybovym hlasenim a `durationMs`. Cely prubeh se zapise do logu ticketu.
+
+Vestavene akce (`type`, `tags`, `group`, `assign`, `status`, `comment`) jsou
+zvlast: meni ticket sam, ne cizi sluzbu, a kazda ma vlastni pravo.
+
+## Prava a navigace
+
+`GET /api/dashboard/access` vraci `permissions` (efektivni prava po slouceni
+roli), `nav` (zalozky, ktere ma volajici videt) a `platformAdmin`. Klient podle
+toho kresli, ale **nic si nedovozuje** - kdo co smi, rozhoduje server u kazdeho
+requestu znovu.
+
+`GET /api/dashboard/settings/catalog` vraci katalog prav a modulu, aby formular
+role nemel seznam prav napsany v kodu klienta.
+
+## Prepnuti na jiny ucet
+
+`POST /api/admin/impersonate` vraci novy token s narokem `act` (kdo se za koho
+vydava) a `writes`. Bez `writes` middleware **odmitne cokoliv jineho nez GET**
+s 403. Kazde prepnuti i ukonceni je v auditu vcetne toho, kdo to byl doopravdy.
+
+Svuj puvodni token si klient odklada do `sessionStorage`, server o nem nic nevi.
+
 ## Simulace
 
 `POST /api/simulate` vyvola provozni udalost pro nahled ziveho dashboardu.