Checklist
- Nạp seed-demo.json vào Firestore emulator.
- Chạy security.rules ở emulator trước khi deploy.
- Kiểm thử participant chỉ đọc subtree của chính mình.
- Kiểm thử organization_observer chỉ đọc aggregate snapshot.
- Kiểm thử auditEvents là append-only.