feat(heures) : export PDF jour accessible aux chefs de site (périmètre par site)

L'export des heures de la vue Jour était réservé aux admins. Il est désormais
ouvert aux chefs de site, restreint à leurs sites :
- sécurité endpoint ROLE_ADMIN -> ROLE_USER
- périmètre résolu côté backend via EmployeeRepository::findScoped() (un siteIds
  hors périmètre est ignoré, aucune fuite inter-sites)
- bouton Exporter visible pour admin + chef de site (masqué pour ROLE_SELF)
- doc, doc in-app et CLAUDE.md mis à jour

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

src/ApiResource/WorkHourDayExport.php

@@ -18,7 +18,7 @@ use App\State\WorkHourDayExportProvider;
                 new QueryParameter(key: 'workDate', required: true),
                 new QueryParameter(key: 'siteIds', required: true),
             ],
-            security: "is_granted('ROLE_ADMIN')"
+            security: "is_granted('ROLE_USER')"
         ),
     ]
 )]