feat(auth): согласие на обработку персональных данных при регистрации

Отключаемый модуль (instance_settings.consent_policy): галочка + ссылка на
публичную страницу регламента на форме регистрации, редактируемый в админке
текст с типовым шаблоном по умолчанию (плейсхолдеры под организацию, не
проходил юридическую проверку), версия текста растёт при каждой правке.
Факт согласия хранится в users (consent_version, consent_given_at) — второй
эшелон проверки на сервере, как и для отключаемых модулей ранее. Дефолт
(выключено) сохраняет поведение существующих инсталляций, у уже
зарегистрированных пользователей согласие не запрашивается.

backend/services/auth.py

@@ -58,6 +58,15 @@ class InvalidEmailDomainError(Exception):
     """
 
 
+class ConsentRequiredError(Exception):
+    """Согласие на обработку персональных данных не отмечено.
+
+    Поднимается только при включённой настройке инстанса `consent_required`
+    (см. `InstanceSettingsService`) — второй эшелон проверки, фронт уже не
+    даёт отправить форму без галочки, но сервер не полагается на это.
+    """
+
+
 class InvalidVerificationTokenError(Exception):
     """Токен подтверждения email не найден, просрочен или уже использован."""
 
@@ -99,6 +108,7 @@ class AuthService:
         name_user: str,
         password: str,
         team_id: uuid.UUID | None = None,
+        consent_accepted: bool = False,
     ) -> User:
         """Зарегистрировать пользователя и отправить письмо для подтверждения email.
 
@@ -109,7 +119,12 @@ class AuthService:
         email (`registration_email_domain_enabled`), домен `email` (часть
         после `@`, без учёта регистра) должен совпадать с одним из
         эталонных доменов (`registration_email_domains`) — иначе
-        `InvalidEmailDomainError`. Обе проверки — до создания пользователя.
+        `InvalidEmailDomainError`. Если включено согласие на обработку
+        персональных данных (`consent_required`), `consent_accepted` обязан
+        быть `True` — иначе `ConsentRequiredError`; при принятии согласия
+        в `User` пишутся `consent_version`/`consent_given_at` (редакция
+        регламента на момент согласия и время). Все проверки — до создания
+        пользователя.
         """
         existing = await self._users.get_by_email(email)
         if existing is not None:
@@ -129,11 +144,22 @@ class AuthService:
             if team is None:
                 raise InvalidTeamSelectionError(team_id)
 
+        if cfg.consent_required and not consent_accepted:
+            raise ConsentRequiredError
+
+        consent_version: int | None = None
+        consent_given_at: datetime | None = None
+        if cfg.consent_required and consent_accepted:
+            consent_version = cfg.consent_policy_version
+            consent_given_at = datetime.now(UTC)
+
         user = await self._users.create(
             email=email,
             name_user=name_user,
             password_hash=await hash_password(password),
             team_id=team_id,
+            consent_version=consent_version,
+            consent_given_at=consent_given_at,
         )
         reply_to = cfg.contact_email if cfg.contact_email_enabled else None
         await self._issue_verification_email(user, reply_to=reply_to)