Write path đi qua adapter, repository, consent và audit.

Hợp đồng write path

1. API route không gọi Firebase Admin SDK trực tiếp để ghi dữ liệu nghiệp vụ.
2. API route resolve adapter, sau đó gọi repository/runtime để kiểm tra consent và data boundary.
3. Firestore Admin adapter chỉ là cổng ghi/đọc; policy vẫn nằm ở repository và access domain.
4. Mỗi write path tạo audit event cùng transaction logic hoặc cùng repository action.
5. Không dùng Admin SDK để đọc raw submission cho organization observer.