chore: bump version to v0.1.126

## ERP-149 — Récupération des codes IDTF (transport routier)

> ⚠️ MR **empilée** sur `feat/erp-39-qualimat-sync` (PR #99), elle-même sur la PR #97. Ordre de merge : **#97 → #99 → celle-ci**. Les bases se recibleront automatiquement.

Commande console `app:idtf:sync` : récupère l'export Excel des codes IDTF (régimes de nettoyage transport) depuis icrt-idtf.com, le parse et synchronise une table référentielle. Scope **road** ; discriminant `schema` road/water conservé pour un futur fluvial.

### Contenu
- **Migration** `Version20260612160000` (namespace racine) : `idtf_product` + `idtf_sync_log`, `COMMENT ON COLUMN` sur chaque colonne, unique `(schema, idtf_number)`, `cas_numbers` JSONB, soft-delete.
- **`IdtfSheetParser`** : parsing **pur** d'une matrice (sans dépendance PhpSpreadsheet) — détection **dynamique** de la ligne d'en-tête, mapping par libellé normalisé (résiste au réordonnancement), CAS split sur `;`, date `dd-mm-yyyy` → ISO + `checkdate`, skip des lignes non numériques.
- **`SyncIdtfCommand`** : options `--schema` (road|water) / `--file` / `--dry-run`. POST avec les **10 `fields[]` explicites** (le piège `fields[]=all` ne sort que 6 colonnes) → export 11 colonnes ; garde-fou content-type/signature ZIP. Upsert DBAL transactionnel + soft-delete + journal.
- Cible `make idtf-sync`.

### Tests
- Unitaires (`IdtfSheetParser` : en-tête dynamique, mapping, CAS, date, skip, ordre de colonnes).
- Fonctionnels de la commande via un `.xlsx` **généré** par PhpSpreadsheet (parsing → upsert → journal → soft-delete + schéma invalide rejeté).
- Suite complète **608** verte (hors flaky JWT connu). `ColumnsHaveSqlCommentTest` ✅.
- Bout-en-bout réel : sync de **687 codes IDTF** (road).

### Décisions
- Migration **namespace racine** (convention réelle ; pas de FK cross-module).
- **Aucun changement Composer** : `phpoffice/phpspreadsheet` était déjà une dépendance (^5.7) — le bump initial vers ^5.8 a été reverté.
- Réutilise `framework.http_client` activé par la PR QUALIMAT (raison de l'empilement sur #99).

---------

Co-authored-by: THOLOT DECHENE Matthieu <matthieu@yuno.malio.fr>
Co-authored-by: Matthieu <contact@malio.fr>
Reviewed-on: #101
Co-authored-by: tristan <tristan@yuno.malio.fr>
Co-committed-by: tristan <tristan@yuno.malio.fr>

.claude/rules/frontend.md

@@ -79,6 +79,7 @@ Regles :
 - **Toujours `{ toast: false }`** sur l'appel API qui veut un mapping inline (sinon le toast natif d'`useApi` masque le fin).
 - **Cas metier specifique** (ex: 409 doublon) : `setError('champ', message)` + toast explicite **avant** de deleguer le reste a `handleApiError`. Cf. `useCategoryForm` (doublon RG-1.07).
 - **Collections** (listes de sous-entites sauvees par un appel par ligne) : une erreur PAR LIGNE via un tableau `ref<Record<string, string>[]>` aligne sur l'index, peuple par `mapViolationsToRecord(error.response._data)` (util pur de `shared/utils/api.ts`). Le composant de ligne expose une prop `:errors` (`Record<string, string>`) bindee sur le `:error` de chaque champ. Cf. `ClientContactBlock` / `ClientAddressBlock` et les submits de `clients/new.vue` / `clients/[id]/edit.vue`.
+- **Message back technique → surcharge i18n par code** : la plupart des contraintes back portent un message FR explicite (affiche tel quel). Mais une 422 peut porter un message TECHNIQUE non montrable (ex. erreur de type API Platform sur une date non parsable : « Cette valeur doit être de type DateTimeImmutable|null. », voire en anglais selon la negociation). On le surcharge **cote front** via le `code` de violation (UUID Symfony fige, robuste — pas un match sur le texte) : table `VIOLATION_MESSAGE_I18N` + `resolveViolationMessage` dans `shared/utils/api.ts`, appliquee par `useFormErrors`. Ajouter un cas = une entree `code -> cle i18n`. Cas reference : date invalide (MalioDate forwarde la saisie brute via `@update:rawValue`, le back renvoie 422 sur `foundedAt` grace a `collectDenormalizationErrors`, le front affiche `errors.validation.invalidDate`).
 
 **Interdit** : se contenter d'un toast global sur une 422 quand le back identifie les champs fautifs (`propertyPath`). Reimplementer un mapping `if/else` par champ a la main au lieu d'`useFormErrors` / `mapViolationsToRecord`.
 

composer.json

@@ -24,6 +24,7 @@
         "symfony/expression-language": "8.0.*",
         "symfony/flex": "^2",
         "symfony/framework-bundle": "8.0.*",
+        "symfony/http-client": "8.0.*",
         "symfony/intl": "8.0.*",
         "symfony/mime": "8.0.*",
         "symfony/monolog-bundle": "^4.0",
@@ -95,7 +96,6 @@
         "doctrine/doctrine-fixtures-bundle": "^4.3",
         "friendsofphp/php-cs-fixer": "^3.94",
         "phpunit/phpunit": "^13.0",
-        "symfony/browser-kit": "8.0.*",
-        "symfony/http-client": "8.0.*"
+        "symfony/browser-kit": "8.0.*"
     }
 }

composer.lock

@@ -4,7 +4,7 @@
         "Read more about it at https://getcomposer.org/doc/01-basic-usage.md#installing-dependencies",
         "This file is @generated automatically"
     ],
-    "content-hash": "2dc5db01e7f5d6aecd5956749b21a092",
+    "content-hash": "b029c1484227c926d39dfd3ae5cb0699",
     "packages": [
         {
             "name": "api-platform/doctrine-common",
@@ -5412,6 +5412,180 @@
             ],
             "time": "2026-03-30T15:14:47+00:00"
         },
+        {
+            "name": "symfony/http-client",
+            "version": "v8.0.13",
+            "source": {
+                "type": "git",
+                "url": "https://github.com/symfony/http-client.git",
+                "reference": "c7f40f9103233630167c25c9a4570acf805fdade"
+            },
+            "dist": {
+                "type": "zip",
+                "url": "https://api.github.com/repos/symfony/http-client/zipball/c7f40f9103233630167c25c9a4570acf805fdade",
+                "reference": "c7f40f9103233630167c25c9a4570acf805fdade",
+                "shasum": ""
+            },
+            "require": {
+                "php": ">=8.4",
+                "psr/log": "^1|^2|^3",
+                "symfony/http-client-contracts": "~3.4.4|^3.5.2",
+                "symfony/service-contracts": "^2.5|^3"
+            },
+            "conflict": {
+                "amphp/amp": "<3",
+                "php-http/discovery": "<1.15"
+            },
+            "provide": {
+                "php-http/async-client-implementation": "*",
+                "php-http/client-implementation": "*",
+                "psr/http-client-implementation": "1.0",
+                "symfony/http-client-implementation": "3.0"
+            },
+            "require-dev": {
+                "amphp/http-client": "^5.3.2",
+                "amphp/http-tunnel": "^2.0",
+                "guzzlehttp/promises": "^1.4|^2.0",
+                "nyholm/psr7": "^1.0",
+                "php-http/httplug": "^1.0|^2.0",
+                "psr/http-client": "^1.0",
+                "symfony/cache": "^7.4|^8.0",
+                "symfony/dependency-injection": "^7.4|^8.0",
+                "symfony/http-kernel": "^7.4|^8.0",
+                "symfony/messenger": "^7.4|^8.0",
+                "symfony/process": "^7.4|^8.0",
+                "symfony/rate-limiter": "^7.4|^8.0",
+                "symfony/stopwatch": "^7.4|^8.0"
+            },
+            "type": "library",
+            "autoload": {
+                "psr-4": {
+                    "Symfony\\Component\\HttpClient\\": ""
+                },
+                "exclude-from-classmap": [
+                    "/Tests/"
+                ]
+            },
+            "notification-url": "https://packagist.org/downloads/",
+            "license": [
+                "MIT"
+            ],
+            "authors": [
+                {
+                    "name": "Nicolas Grekas",
+                    "email": "p@tchwork.com"
+                },
+                {
+                    "name": "Symfony Community",
+                    "homepage": "https://symfony.com/contributors"
+                }
+            ],
+            "description": "Provides powerful methods to fetch HTTP resources synchronously or asynchronously",
+            "homepage": "https://symfony.com",
+            "keywords": [
+                "http"
+            ],
+            "support": {
+                "source": "https://github.com/symfony/http-client/tree/v8.0.13"
+            },
+            "funding": [
+                {
+                    "url": "https://symfony.com/sponsor",
+                    "type": "custom"
+                },
+                {
+                    "url": "https://github.com/fabpot",
+                    "type": "github"
+                },
+                {
+                    "url": "https://github.com/nicolas-grekas",
+                    "type": "github"
+                },
+                {
+                    "url": "https://tidelift.com/funding/github/packagist/symfony/symfony",
+                    "type": "tidelift"
+                }
+            ],
+            "time": "2026-05-24T09:58:02+00:00"
+        },
+        {
+            "name": "symfony/http-client-contracts",
+            "version": "v3.6.0",
+            "source": {
+                "type": "git",
+                "url": "https://github.com/symfony/http-client-contracts.git",
+                "reference": "75d7043853a42837e68111812f4d964b01e5101c"
+            },
+            "dist": {
+                "type": "zip",
+                "url": "https://api.github.com/repos/symfony/http-client-contracts/zipball/75d7043853a42837e68111812f4d964b01e5101c",
+                "reference": "75d7043853a42837e68111812f4d964b01e5101c",
+                "shasum": ""
+            },
+            "require": {
+                "php": ">=8.1"
+            },
+            "type": "library",
+            "extra": {
+                "thanks": {
+                    "url": "https://github.com/symfony/contracts",
+                    "name": "symfony/contracts"
+                },
+                "branch-alias": {
+                    "dev-main": "3.6-dev"
+                }
+            },
+            "autoload": {
+                "psr-4": {
+                    "Symfony\\Contracts\\HttpClient\\": ""
+                },
+                "exclude-from-classmap": [
+                    "/Test/"
+                ]
+            },
+            "notification-url": "https://packagist.org/downloads/",
+            "license": [
+                "MIT"
+            ],
+            "authors": [
+                {
+                    "name": "Nicolas Grekas",
+                    "email": "p@tchwork.com"
+                },
+                {
+                    "name": "Symfony Community",
+                    "homepage": "https://symfony.com/contributors"
+                }
+            ],
+            "description": "Generic abstractions related to HTTP clients",
+            "homepage": "https://symfony.com",
+            "keywords": [
+                "abstractions",
+                "contracts",
+                "decoupling",
+                "interfaces",
+                "interoperability",
+                "standards"
+            ],
+            "support": {
+                "source": "https://github.com/symfony/http-client-contracts/tree/v3.6.0"
+            },
+            "funding": [
+                {
+                    "url": "https://symfony.com/sponsor",
+                    "type": "custom"
+                },
+                {
+                    "url": "https://github.com/fabpot",
+                    "type": "github"
+                },
+                {
+                    "url": "https://tidelift.com/funding/github/packagist/symfony/symfony",
+                    "type": "tidelift"
+                }
+            ],
+            "time": "2025-04-29T11:18:49+00:00"
+        },
         {
             "name": "symfony/http-foundation",
             "version": "v8.0.8",
@@ -11785,180 +11959,6 @@
             ],
             "time": "2026-03-30T15:14:47+00:00"
         },
-        {
-            "name": "symfony/http-client",
-            "version": "v8.0.8",
-            "source": {
-                "type": "git",
-                "url": "https://github.com/symfony/http-client.git",
-                "reference": "356e43d6994ae9d7761fd404d40f78691deabe0e"
-            },
-            "dist": {
-                "type": "zip",
-                "url": "https://api.github.com/repos/symfony/http-client/zipball/356e43d6994ae9d7761fd404d40f78691deabe0e",
-                "reference": "356e43d6994ae9d7761fd404d40f78691deabe0e",
-                "shasum": ""
-            },
-            "require": {
-                "php": ">=8.4",
-                "psr/log": "^1|^2|^3",
-                "symfony/http-client-contracts": "~3.4.4|^3.5.2",
-                "symfony/service-contracts": "^2.5|^3"
-            },
-            "conflict": {
-                "amphp/amp": "<3",
-                "php-http/discovery": "<1.15"
-            },
-            "provide": {
-                "php-http/async-client-implementation": "*",
-                "php-http/client-implementation": "*",
-                "psr/http-client-implementation": "1.0",
-                "symfony/http-client-implementation": "3.0"
-            },
-            "require-dev": {
-                "amphp/http-client": "^5.3.2",
-                "amphp/http-tunnel": "^2.0",
-                "guzzlehttp/promises": "^1.4|^2.0",
-                "nyholm/psr7": "^1.0",
-                "php-http/httplug": "^1.0|^2.0",
-                "psr/http-client": "^1.0",
-                "symfony/cache": "^7.4|^8.0",
-                "symfony/dependency-injection": "^7.4|^8.0",
-                "symfony/http-kernel": "^7.4|^8.0",
-                "symfony/messenger": "^7.4|^8.0",
-                "symfony/process": "^7.4|^8.0",
-                "symfony/rate-limiter": "^7.4|^8.0",
-                "symfony/stopwatch": "^7.4|^8.0"
-            },
-            "type": "library",
-            "autoload": {
-                "psr-4": {
-                    "Symfony\\Component\\HttpClient\\": ""
-                },
-                "exclude-from-classmap": [
-                    "/Tests/"
-                ]
-            },
-            "notification-url": "https://packagist.org/downloads/",
-            "license": [
-                "MIT"
-            ],
-            "authors": [
-                {
-                    "name": "Nicolas Grekas",
-                    "email": "p@tchwork.com"
-                },
-                {
-                    "name": "Symfony Community",
-                    "homepage": "https://symfony.com/contributors"
-                }
-            ],
-            "description": "Provides powerful methods to fetch HTTP resources synchronously or asynchronously",
-            "homepage": "https://symfony.com",
-            "keywords": [
-                "http"
-            ],
-            "support": {
-                "source": "https://github.com/symfony/http-client/tree/v8.0.8"
-            },
-            "funding": [
-                {
-                    "url": "https://symfony.com/sponsor",
-                    "type": "custom"
-                },
-                {
-                    "url": "https://github.com/fabpot",
-                    "type": "github"
-                },
-                {
-                    "url": "https://github.com/nicolas-grekas",
-                    "type": "github"
-                },
-                {
-                    "url": "https://tidelift.com/funding/github/packagist/symfony/symfony",
-                    "type": "tidelift"
-                }
-            ],
-            "time": "2026-03-30T15:14:47+00:00"
-        },
-        {
-            "name": "symfony/http-client-contracts",
-            "version": "v3.6.0",
-            "source": {
-                "type": "git",
-                "url": "https://github.com/symfony/http-client-contracts.git",
-                "reference": "75d7043853a42837e68111812f4d964b01e5101c"
-            },
-            "dist": {
-                "type": "zip",
-                "url": "https://api.github.com/repos/symfony/http-client-contracts/zipball/75d7043853a42837e68111812f4d964b01e5101c",
-                "reference": "75d7043853a42837e68111812f4d964b01e5101c",
-                "shasum": ""
-            },
-            "require": {
-                "php": ">=8.1"
-            },
-            "type": "library",
-            "extra": {
-                "thanks": {
-                    "url": "https://github.com/symfony/contracts",
-                    "name": "symfony/contracts"
-                },
-                "branch-alias": {
-                    "dev-main": "3.6-dev"
-                }
-            },
-            "autoload": {
-                "psr-4": {
-                    "Symfony\\Contracts\\HttpClient\\": ""
-                },
-                "exclude-from-classmap": [
-                    "/Test/"
-                ]
-            },
-            "notification-url": "https://packagist.org/downloads/",
-            "license": [
-                "MIT"
-            ],
-            "authors": [
-                {
-                    "name": "Nicolas Grekas",
-                    "email": "p@tchwork.com"
-                },
-                {
-                    "name": "Symfony Community",
-                    "homepage": "https://symfony.com/contributors"
-                }
-            ],
-            "description": "Generic abstractions related to HTTP clients",
-            "homepage": "https://symfony.com",
-            "keywords": [
-                "abstractions",
-                "contracts",
-                "decoupling",
-                "interfaces",
-                "interoperability",
-                "standards"
-            ],
-            "support": {
-                "source": "https://github.com/symfony/http-client-contracts/tree/v3.6.0"
-            },
-            "funding": [
-                {
-                    "url": "https://symfony.com/sponsor",
-                    "type": "custom"
-                },
-                {
-                    "url": "https://github.com/fabpot",
-                    "type": "github"
-                },
-                {
-                    "url": "https://tidelift.com/funding/github/packagist/symfony/symfony",
-                    "type": "tidelift"
-                }
-            ],
-            "time": "2025-04-29T11:18:49+00:00"
-        },
         {
             "name": "symfony/process",
             "version": "v8.0.8",

config/modules.php

@@ -5,10 +5,14 @@ use App\Module\Catalog\CatalogModule;
 use App\Module\Commercial\CommercialModule;
 use App\Module\Core\CoreModule;
 use App\Module\Sites\SitesModule;
+use App\Module\Technique\TechniqueModule;
+use App\Module\Transport\TransportModule;
 
 return [
     CoreModule::class,
     CommercialModule::class,
     SitesModule::class,
     CatalogModule::class,
+    TechniqueModule::class,
+    TransportModule::class,
 ];

config/packages/api_platform.yaml

@@ -12,6 +12,9 @@ api_platform:
             # Resources virtuelles (sans entite Doctrine) declarees via #[ApiResource]
             # en dehors de Domain/Entity : AuditLogResource, etc.
             - '%kernel.project_dir%/src/Module/Core/Infrastructure/ApiPlatform/Resource'
+            # Entites techniques partagees portant un #[ApiResource]
+            # (UploadedDocument — infra upload generique ERP-154).
+            - '%kernel.project_dir%/src/Shared/Domain/Entity'
     formats:
         jsonld: ['application/ld+json']
         json: ['application/json']

config/packages/doctrine.yaml

@@ -8,16 +8,24 @@ doctrine:
             default:
                 url: '%env(resolve:DATABASE_URL)%'
                 profiling_collect_backtrace: '%kernel.debug%'
-                # Exclut `audit_log` de toute operation de comparaison de schema
-                # (doctrine:schema:update, schema:validate, diff de migrations...).
-                # Cette table n'a volontairement aucune entite mappee : elle est
-                # append-only via DBAL brut (AuditLogWriter) pour eviter la
-                # recursion du listener Doctrine. Sans ce filtre, schema:update
-                # la considere comme "orpheline" et genere un `DROP TABLE
-                # audit_log` qui casse la base de test apres chaque
-                # `make test-db-setup`. La creation / suppression de la table
-                # reste pilotee par les migrations (cf. Version20260420202749).
-                schema_filter: '~^(?!audit_log$).+~'
+                # Exclut certaines tables de toute operation de comparaison de
+                # schema (doctrine:schema:update, schema:validate, diff de
+                # migrations...). Ces tables n'ont volontairement aucune entite
+                # mappee :
+                #  - `audit_log` : append-only via DBAL brut (AuditLogWriter) pour
+                #    eviter la recursion du listener Doctrine.
+                #  - `qualimat_carrier` / `qualimat_sync_log` : referentiel
+                #    transporteurs synchronise en DBAL brut (upsert `ON CONFLICT`)
+                #    par `app:qualimat:sync`, hors ORM.
+                #  - `idtf_product` / `idtf_sync_log` : referentiel codes IDTF
+                #    synchronise en DBAL brut par `app:idtf:sync`, hors ORM.
+                # Sans ce filtre, schema:update les considere comme "orphelines" et
+                # genere un `DROP TABLE` qui casse la base de test apres chaque
+                # `make test-db-setup` (la migration les a creees, schema:update les
+                # supprime juste apres). Creation / suppression restent pilotees par
+                # les migrations (audit_log : Version20260420202749 ; qualimat :
+                # Version20260612150000 ; idtf : Version20260612160000).
+                schema_filter: '~^(?!(?:audit_log|qualimat_carrier|qualimat_sync_log|idtf_product|idtf_sync_log)$).+~'
             audit:
                 url: '%env(resolve:DATABASE_URL)%'
     orm:
@@ -42,6 +50,16 @@ doctrine:
             # Shared sans importer la classe concrete du module Catalog (regle n°1).
             App\Shared\Domain\Contract\CategoryInterface: App\Module\Catalog\Domain\Entity\Category
         mappings:
+            # Mapping des entites techniques partagees (src/Shared/Domain/Entity).
+            # Premier occupant : UploadedDocument (infra upload generique ERP-154).
+            # Necessaire car les entites Shared ne sont pas couvertes par
+            # l'auto_mapping (qui ne cible que les bundles).
+            Shared:
+                type: attribute
+                is_bundle: false
+                dir: '%kernel.project_dir%/src/Shared/Domain/Entity'
+                prefix: 'App\Shared\Domain\Entity'
+                alias: Shared
             Core:
                 type: attribute
                 is_bundle: false
@@ -80,6 +98,16 @@ doctrine:
                 dir: '%kernel.project_dir%/src/Module/Commercial/Domain/Entity'
                 prefix: 'App\Module\Commercial\Domain\Entity'
                 alias: Commercial
+            # Mapping inconditionnel du module Technique (meme logique que Commercial) :
+            # les tables prestataires (provider + sous-collections + jointures M2M)
+            # creees par la migration M3 (Version20260612100000) doivent etre connues
+            # de l'ORM. L'activation fonctionnelle passe par config/modules.php.
+            Technique:
+                type: attribute
+                is_bundle: false
+                dir: '%kernel.project_dir%/src/Module/Technique/Domain/Entity'
+                prefix: 'App\Module\Technique\Domain\Entity'
+                alias: Technique
         controller_resolver:
             auto_mapping: false
 

config/packages/doctrine_migrations.yaml

@@ -2,4 +2,5 @@ doctrine_migrations:
     migrations_paths:
         'DoctrineMigrations': '%kernel.project_dir%/migrations'
         'App\Module\Core\Infrastructure\Doctrine\Migrations': '%kernel.project_dir%/src/Module/Core/Infrastructure/Doctrine/Migrations'
+        'App\Module\Transport\Infrastructure\Doctrine\Migrations': '%kernel.project_dir%/src/Module/Transport/Infrastructure/Doctrine/Migrations'
     enable_profiler: false

config/packages/http_client.yaml

@@ -0,0 +1,13 @@
+# Active le composant HTTP Client (symfony/http-client) et enregistre
+# l'autowiring de HttpClientInterface. Utilise par les commandes de
+# synchronisation de referentiels externes (QUALIMAT, IDTF...).
+#
+# User-Agent navigateur neutre : les sources (qualimat.org sous WordPress/WAF,
+# icrt-idtf.com) filtrent souvent les UA de bibliotheque/vides ; un UA de type
+# navigateur evite les blocages anti-bot sans reveler l'application.
+framework:
+    http_client:
+        default_options:
+            timeout: 30
+            headers:
+                User-Agent: 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36'

config/sidebar.php

@@ -61,6 +61,23 @@ return [
             ],
         ],
     ],
+    // Section "Technique" (M3, ERP-138) : pole distinct du Commercial, porte le
+    // repertoire prestataires. L'item est gate par `technique.providers.view` ;
+    // la section disparait automatiquement (SidebarProvider) si le module
+    // `technique` est desactive ou si l'user n'a pas la permission.
+    [
+        'label' => 'sidebar.technique.section',
+        'icon'  => 'mdi:account-convert-outline',
+        'items' => [
+            [
+                'label'      => 'sidebar.technique.providers',
+                'to'         => '/providers',
+                'icon'       => 'mdi:account-wrench-outline',
+                'module'     => 'technique',
+                'permission' => 'technique.providers.view',
+            ],
+        ],
+    ],
     // Section "Administration" : regroupe toutes les pages de configuration
     // applicative (RBAC, users, sites, audit log).
     //

config/version.yaml

@@ -1,2 +1,2 @@
 parameters:
-    app.version: '0.1.109'
+    app.version: '0.1.126'

docs/specs/M3-prestataires/spec-front.md

@@ -0,0 +1,339 @@
+---
+# === IDENTITÉ ===
+module: M3
+nom: "Répertoire prestataires"
+ecran: repertoire-prestataires
+owner_spec: Matthieu
+backup_spec: Tristan
+version: V0.2
+date_redaction: 2026-06-11
+# Historique :
+#   V0.2 (2026-06-11) — Restitution Markdown du docx « M3-reportoire-prestataires.docx » (04/06/2026).
+#     Alignement refonte-contact (comme M1/M2) : le contact principal inline du formulaire principal
+#     du PDF V0.1 (Nom contact / Prénom contact / Téléphone + / Email) est RETIRÉ — saisie via
+#     l'onglet Contacts uniquement (décision Matthieu, 11/06 : « oublie le contact inline, comme client »).
+#     RG-3.01 / RG-3.02 (contact inline + max 2 tél sur le formulaire principal) supprimées en conséquence.
+#   V0.1 (PDF) — version fonctionnelle plus ancienne, NON retenue (contact inline sur le formulaire principal).
+
+# === LIENS ===
+maquette_figma: "https://www.figma.com/design/jRYgT0T9c03VsEbjGhCwwS/Composants---Design-System?node-id=1132-42090&p=f&m=dev"
+regles_metier: [RG-3.03, RG-3.04, RG-3.05, RG-3.06, RG-3.07, RG-3.08, RG-3.09, RG-3.10, RG-3.11, RG-3.12, RG-3.13, RG-3.14, RG-3.15, RG-3.16, RG-3.17]
+roles: [Admin, Bureau, Compta, Commerciale, Usine]
+lien_spec_back: ./spec-back.md
+
+# === VALIDATION CLIENT ===
+client_validation_1:
+  statut: validee
+  date: 2026-05-22
+  version: V0
+  valide_par: "Matthieu (CP MALIO)"
+client_validation_2:
+  statut: validee
+  date: 2026-06-01
+  version: V0.1
+  valide_par: "Matthieu (CP MALIO)"
+client_validation_3:
+  statut: a_valider
+  date: 2026-06-04
+  version: V0.2
+  resume: "Module 3 — Répertoire prestataires. Pôle Technique (nouvelle section sidebar). Datatable + 3 écrans (Ajouter / Consulter / Modifier). Création par onglets : Contact / Adresse / Comptabilité (Rapports, Échanges = placeholders 'À venir'). PAS d'onglet Information. Sélecteur de site aussi sur le formulaire principal."
+  trace_archivee: "uploads/M3-reportoire-prestataires.docx (V0.2) + M3-reportoire-prestataires-V01.pdf (V0.1, obsolète)"
+
+# === LIEN LESSTIME ===
+lesstime_taskgroup_id: 29   # M3 — Répertoire prestataires (projet STARSEED #6)
+lesstime_project_id: 6
+statut_global: en_dev
+---
+
+# Module 3 — Répertoire prestataires (V0.2 front)
+
+> **Origine** : spec fonctionnelle `M3-reportoire-prestataires.docx` (V0.2 du 04/06/2026 ; historique V0 22/05 → V0.1 01/06). Restitution Markdown pour intégration au workflow MALIO. Le contenu fonctionnel original n'est pas modifié, **sauf** l'alignement refonte-contact (cf. ci-dessous). Toute décision technique (back) vit dans [`spec-back.md`](./spec-back.md). Le M3 réutilise massivement le pattern et les composants posés au [M1 clients](../M1-clients/spec-front.md) et au [M2 fournisseurs](../M2-suppliers/spec-front.md).
+
+> **⚠️ Alignement refonte-contact (décision Matthieu, 11/06/2026)** : le PDF V0.1 portait un **contact principal inline** sur le formulaire principal (Nom du contact / Prénom du contact / Téléphone + bouton + / Email) avec RG-3.01 (Nom OU Prénom) et RG-3.02 (max 2 téléphones). Ce contact inline est **retiré**, exactement comme l'a fait M1/M2 (refonte-contact). Les coordonnées du contact se saisissent **uniquement dans l'onglet Contacts**. **RG-3.01 et RG-3.02 sont donc supprimées du formulaire principal** ; la garantie « au moins un contact nommé » est portée par RG-3.04 + RG-3.12, et le « maximum 2 téléphones » s'applique aux blocs Contact.
+
+> **⚠️ Décision d'architecture (à confirmer) — pôle « Technique »** : le docx place le répertoire prestataires dans un **Module « Technique »**. Confirmé par Matthieu (11/06) : c'est bien un **nouveau pôle Technique**, distinct du Commercial. Côté front cela se traduit par une **nouvelle section sidebar « Technique »** (route `/providers`). Côté back, voir [`spec-back.md § 2.1`](./spec-back.md) (nouveau module `Technique`, entités jumelles du fournisseur, référentiels comptables consommés en relation ORM partagée).
+
+## But
+
+Lister tous les prestataires de l'organisation et accéder rapidement à leurs fiches : consultation, création, modification, archivage. C'est la **porte d'entrée du pôle Technique**.
+
+## Accès
+
+- **Depuis** : menu principal → section **Technique** → entrée « Répertoire prestataires » (route `/providers`).
+- **Rôles autorisés** (tableau « Rôles & permissions » du docx) :
+
+| Rôle | Consultation | Création / Modification | Archivage |
+|---|---|---|---|
+| **Admin** | ✅ Tout | ✅ Tout | ✅ |
+| **Bureau** | ✅ Tout | ✅ Tout sauf onglet Comptabilité | ❌ |
+| **Compta** | ✅ Tout | ✅ Onglet Comptabilité uniquement | ❌ |
+| **Commerciale** | ✅ Tout sauf Comptabilité | ✅ Tout sauf Comptabilité | ❌ |
+| **Usine** | ✅ Son site uniquement | — | ❌ |
+
+> **Notes** :
+> - RBAC transposée sur `technique.providers.*` (cf. [`spec-back.md § 2.9 / § 5`](./spec-back.md)). Compta édite uniquement l'onglet Comptabilité d'un prestataire existant ; Compta ne peut pas **créer** un prestataire. **L'archivage est réservé à Admin**.
+> - **Cloisonnement par site (décision 11/06 — DANS LE PÉRIMÈTRE M3)** : « Tout » vs « son site uniquement » n'est **pas porté par le rôle** mais par l'**utilisateur**. Chaque user a un site courant ; **par défaut il ne voit que les prestataires rattachés à son site**. Les profils qui doivent voir tous les sites (Admin, et par défaut Bureau / Compta / Commerciale) ont la permission `sites.bypass_scope` (Admin l'a automatiquement). **Usine** n'a pas le bypass → cloisonnée à son site. Filtrage **automatique côté back** (cf. [`spec-back.md § 2.13`](./spec-back.md)) — aucun filtre à coder côté front.
+
+## Navigation
+
+Page d'entrée du pôle **Technique** (route `/providers`). Titre : « **Répertoire prestataires** ».
+
+- Affichage principal : un **datatable** listant tous les prestataires **actifs** (les archivés sont masqués par défaut — toggle/filtre dédié).
+- **Clic sur une ligne** → écran **Consultation prestataire** (page dédiée).
+- **Bouton « + Ajouter »** (haut droite) → écran **Ajouter un prestataire**.
+- **Bouton « Filtrer »** (haut droite) → panneau de filtres (cf. ci-dessous).
+- **Bouton « Exporter »** (haut droite) → télécharge un **XLSX** des prestataires **affichés** (cf. filtres actifs). Format dans [`spec-back.md § 4.6`](./spec-back.md).
+
+### Panneau de filtres (bouton « Filtrer »)
+
+Réutilise le pattern M1/M2. Filtres branchés sur les query params de `GET /api/providers` (cf. [`spec-back.md § 4.1`](./spec-back.md)) :
+
+| Filtre | Composant | Query param back |
+|---|---|---|
+| **Recherche** (nom entreprise / contact / email) | `<MalioInputText>` | `?search=` |
+| **Catégorie** | `<MalioSelectCheckbox>` (multi, type PRESTATAIRE) | `?categoryCode=` |
+| **Site** | `<MalioSelectCheckbox>` (86 / 17 / 82) | `?siteId=` |
+| **Inclure les archivés** | `<MalioCheckbox>` | `?includeArchived=true` |
+
+- À l'application des filtres → `setFilters(...)` de `usePaginatedList` (retombe en **page 1**), qui relance `GET /api/providers`.
+- **État 100 % local** (jamais dans l'URL — règle ABSOLUE n°6).
+
+## Datatable du Répertoire
+
+Composant : `<MalioDataTable>` branché sur `usePaginatedList<Provider>({ url: '/providers' })` (règle frontend obligatoire — pagination Hydra, état 100 % local). Colonnes (alignées M2) :
+
+| Colonne | Source | Tri |
+|---|---|---|
+| **Nom** | `provider.companyName` | ASC par défaut |
+| **Catégories** | `provider.categories[].name` (embarquées en liste — cohérence M1/M2 ; libellé = `name`, pas `label`) | Non |
+| **Site** | `provider.sites[].name` (sites du prestataire — cf. note ci-dessous) | Non |
+| **Dernière activité** | `provider.updatedAt` (format `JJ-MM-AAAA`) — exposé dans `provider:read` | Oui |
+
+> **Source de la colonne « Site »** : le M3 porte un sélecteur de site **sur le formulaire principal** (RG-3.03) — donc `provider.sites[]` est une relation **directe** du prestataire (≠ M2 où les sites venaient de l'agrégat des adresses). La colonne liste affiche ces sites directs. Voir [`spec-back.md § 2.12`](./spec-back.md).
+> **Clic sur une ligne** → écran Consultation. **Pagination** : standard Starseed 10 / 25 / 50 (défaut 10). Tri serveur `companyName ASC` par défaut.
+
+## Écran « Ajouter un prestataire »
+
+Création par **onglets successifs avec validation incrémentale** : pour passer à l'onglet suivant, il faut avoir validé l'onglet en cours. **Une fois un onglet validé, on passe automatiquement au suivant** ; les champs validés passent en lecture seule + bouton « Valider » désactivé (disabled). Cf. [`spec-back.md § 2.10`](./spec-back.md) (PATCH partiels par groupe de sérialisation).
+
+**Accès** : bouton « + Ajouter » du Répertoire. **Rôles** : Admin, Bureau.
+
+**Barre d'onglets en création (3 onglets)** : `Contact` · `Adresse` · `Comptabilité`. Les onglets `Rapports` et `Échanges` **n'apparaissent PAS dans le flux de création** — ils ne sont présents qu'en Consultation / Modification (placeholders « À venir »).
+
+> **Différence majeure avec M2 : PAS d'onglet « Information ».** Le M3 n'a aucun champ Description / Concurrent / Date création / Salariés / CA / Dirigeant / Résultat / Volume. Le formulaire principal est minimal (3 champs).
+
+> **Règle « placeholder par défaut » (convention MALIO)** : tout onglet ou écran que la spec ne détaille pas explicitement (ici **Rapports** et **Échanges**) est livré en **placeholder « À venir »** (frame vide, navigable, pas de validation ni d'API), à l'identique des autres modules (M1/M2). Aucun champ inventé hors spec.
+
+### Formulaire principal (pré-onglets)
+
+1er bloc à remplir. Sans validation, les onglets ne sont pas accessibles. Une fois validé → POST `/api/providers`, puis bascule sur l'onglet Contact ; les champs passent en readonly.
+
+| Champ | Type composant | Obligatoire | Règle |
+|---|---|---|---|
+| **Nom du prestataire (Entreprise)** | `<MalioInputText>` | Oui | RG-3.11 (UPPERCASE serveur) ; RG-3.10 (unicité) |
+| **Catégorie** | `<MalioSelectCheckbox>` (multi) | Oui | `Category` de **type PRESTATAIRE** via `GET /api/categories?typeCode=PRESTATAIRE` (RG-3.09). Libellé affiché = `category.name`. |
+| **Sélecteur de site** | `<MalioSelectCheckbox>` (86 / 17 / 82) | Oui | RG-3.03 — ≥ 1 site. Les 3 cases = les 3 `Site` fixes ; libellés « 86/17/82 » = **préfixe du `postalCode`** (86100 / 17400 / 82400), pas un `Site.code` (qui n'existe pas). La sélection stocke des **IDs de Site** (M2M `provider_site`). |
+
+**Action** : « Valider » (`<MalioButton>`) → POST `/api/providers` ([`spec-back.md § 4.3`](./spec-back.md)). Succès → onglet « Contact ».
+
+### Onglet « Contact »
+
+Saisir un ou plusieurs contacts. Au moins un bloc Contact valide est requis (RG-3.12). **(Refonte-contact : pas de pré-remplissage depuis le formulaire principal ; les coordonnées du contact se saisissent directement ici.)**
+
+**Bloc Contact** :
+
+| Champ | Type | Obligatoire | Règle |
+|---|---|---|---|
+| **Nom** | `<MalioInputText>` | Conditionnel | RG-3.04 + RG-3.11 (Capitalize) |
+| **Prénom** | `<MalioInputText>` | Conditionnel | RG-3.04 + RG-3.11 (Capitalize) |
+| **Fonction** | `<MalioInputText>` | Non | — |
+| **Téléphone** (x1, +1 possible, **max 2**) | `<MalioInputText>` | Non | RG-3.11 (format) ; max 2 téléphones par contact |
+| **Email** | `<MalioInputText>` type email | Non | RG-3.11 (lowercase) |
+
+**RG-3.04 / RG-3.12** : un bloc Contact est valide dès qu'au moins 1 champ est rempli ; au moins 1 bloc Contact valide pour finaliser l'onglet — l'onglet Contact ne peut pas être validé vide.
+
+**Actions** :
+- « + Nouveau contact » : ajoute un bloc. **Désactivé tant que le bloc précédent n'a pas au moins 1 champ rempli** (RG-3.04).
+- « Supprimer » (icône) : modal de confirmation, puis suppression du bloc.
+- « Valider » → PATCH `/api/providers/{id}/contacts`.
+
+### Onglet « Adresse »
+
+Saisir une ou plusieurs adresses, rattachées à un ou plusieurs sites (86 / 17 / 82) et à des contacts.
+
+**Bloc Adresse** :
+
+| Champ | Type | Obligatoire | Règle |
+|---|---|---|---|
+| **Sélecteur de site** | `<MalioSelectCheckbox>` (86 / 17 / 82) | Oui | RG-3.05 — ≥ 1 site. Stocke des IDs de Site (M2M `provider_address_site`). |
+| **Adresse** | `<MalioInputText>` (saisie assistée) | Oui | RG-3.06 — autocomplete BAN |
+| **Adresse complémentaire** | `<MalioInputText>` | Non | — |
+| **Code postal** | `<MalioInputText>` (saisie assistée) | Oui | RG-3.06 — déclenche autocomplete ville (BAN) |
+| **Ville** | `<MalioSelect>` (saisie assistée) | Oui | RG-3.06 — alimentée par api-adresse.data.gouv.fr suivant le CP ; si plusieurs villes, choix dans le select |
+| **Pays** | `<MalioSelect>` (préremplie « France ») | Oui | — |
+| **Catégories** | `<MalioSelectCheckbox>` (multi) | Oui | Catégories de type PRESTATAIRE (RG-3.09) |
+| **Contact** | `<MalioSelectCheckbox>` (multi) | Non | Liste = blocs Contact saisis dans l'onglet Contact |
+
+> **Différence avec M2** : l'adresse prestataire n'a **PAS** de Type d'adresse (Prospect/Départ/Rendu), **PAS** de Bennes, **PAS** de Prestation de triage. C'est une adresse « simple » (site + adresse postale + catégories + contacts).
+
+**Actions** :
+- « + Nouvelle Adresse » : ajoute un bloc identique au premier.
+- « Supprimer » (icône) : modal de confirmation puis suppression.
+- « Valider » → PATCH `/api/providers/{id}/addresses`.
+
+### Onglet « Comptabilité »
+
+⚠ **Accessible aux rôles avec `technique.providers.accounting.view`** (Admin + Compta). Bureau et Commerciale ne voient pas l'onglet. **Compta peut éditer** cet onglet (`accounting.manage`). Compta ne peut pas créer un prestataire (pas de `manage` global).
+
+**Champs comptables** :
+
+| Champ | Type | Obligatoire | Règle |
+|---|---|---|---|
+| **SIREN** | `<MalioInputText>` (masque 9 chiffres) | Oui | 9 chiffres. **Pas d'unicité** (cf. [`spec-back.md § 2.6`](./spec-back.md)) |
+| **Numéro de compte** | `<MalioInputText>` | Oui | — |
+| **Mode de TVA** | `<MalioSelect>` | Oui | Liste depuis `/api/tva_modes` (référentiel partagé M1) |
+| **N° de TVA** | `<MalioInputText>` | Oui | — |
+| **Délai de règlement** | `<MalioSelect>` | Oui | Liste depuis `/api/payment_delays` |
+| **Type de règlement** | `<MalioSelect>` | Oui | Liste depuis `/api/payment_types` |
+| **Banque** | `<MalioSelect>` | Conditionnel | RG-3.07 — visible et obligatoire **si** Type de règlement = `VIREMENT`. Liste depuis `/api/banks` (SG / CIC / CA). |
+
+**Bloc RIB** (0..n, présence obligatoire conditionnée par RG-3.08) :
+
+| Champ | Type | Obligatoire | Règle |
+|---|---|---|---|
+| **Libellé** | `<MalioInputText>` | Oui (si LCR) | RG-3.08 |
+| **BIC** | `<MalioInputText>` | Oui (si LCR) | RG-3.08 |
+| **IBAN** | `<MalioInputText>` | Oui (si LCR) | RG-3.08 |
+
+**Actions** :
+- « + RIB » : ajoute un bloc.
+- « Supprimer » (icône) : modal de confirmation.
+- « Valider » → PATCH `/api/providers/{id}` (groupe `provider:write:accounting`) + sous-ressource RIBs.
+
+## Écran « Consultation prestataire »
+
+Tous les champs en **lecture seule**. La page s'ouvre par défaut sur l'onglet **Contacts**. Layout identique à l'écran Ajouter mais sans bouton « Valider », sans `+` pour ajouter des blocs.
+
+- **Flèche retour** (gauche) → revient au Répertoire.
+- **Bouton « Modifier »** (droite, visible si `technique.providers.manage`) → écran Modification.
+- **Bouton « Archiver »** (droite, visible **uniquement Admin** via `technique.providers.archive`) → modal de confirmation, puis PATCH `/api/providers/{id}` `{ "isArchived": true }`.
+
+> Un prestataire archivé peut être restauré (`isArchived: false`) — bouton « Restaurer » remplace « Archiver » dans la consultation d'un archivé.
+
+### Onglets affichés en consultation
+
+`Contacts` · `Adresse` · `Rapports` · `Échanges` · `Comptabilité`. Navigation **libre** entre onglets (pas de séquence forcée). `Rapports` et `Échanges` = placeholders « À venir ». `Comptabilité` selon permission.
+
+- **Onglet Contacts** : un bloc par contact, 5 champs en lecture seule (Nom / Prénom / Fonction / Téléphone / Email).
+- **Onglet Adresse** : un bloc par adresse, en lecture seule (Sélecteur de site / Adresse / Adresse complémentaire / Code postal / Ville / Pays / Catégorie / Contact).
+- **Onglet Comptabilité** : bloc principal (champs comptables) + un bloc par RIB. Le champ **Banque** n'apparaît que si Type de règlement = Virement (RG-3.07).
+
+## Écran « Modification prestataire »
+
+Comportement identique à l'écran Ajouter (mêmes formulaires, mêmes RG-3.03 → RG-3.08) sauf :
+- **Pas de formulaire principal** réaffiché (champs principaux édités via l'onglet correspondant / pré-remplis).
+- Les champs sont **pré-remplis** avec les valeurs actuelles du prestataire.
+- **Validation par onglet** : on peut modifier UN onglet sans toucher aux autres (PATCH partiel).
+- Les onglets pour lesquels l'utilisateur n'a **pas** la permission `manage` (ou `accounting.manage`) restent en **lecture seule** (pas de bouton Valider, pas d'icône suppression).
+- **Accès** : Admin, Bureau (Compta pour l'onglet Comptabilité uniquement).
+
+## Composants UI à utiliser (`@malio/layer-ui`)
+
+- **Datatable** : `<MalioDataTable>` (+ `usePaginatedList`)
+- **Input texte** : `<MalioInputText>`
+- **Select simple** : `<MalioSelect>` (Pays, Ville, référentiels comptables)
+- **Select multi (cases à cocher)** : `<MalioSelectCheckbox>` (Catégorie, Sites, Contacts rattachés)
+- **Bouton** : `<MalioButton>`, `<MalioButtonIcon>`
+- **Toasts** : standards via `useApi()`
+- **Validation par champ** : `useFormErrors` (mapping 422 inline — règle frontend obligatoire)
+
+**Exceptions autorisées** (commenter `// TODO migrer quand Malio couvre`) :
+- Modal de confirmation : `<MalioModal>` ou wrapper partagé dans `frontend/shared/` (réutiliser celui du M1/M2).
+
+## Composables & appels API
+
+- `usePaginatedList<Provider>({ url: '/providers' })` — liste paginée (obligatoire). La liste consomme `categories[]` (libellé = `name`) et `sites[]` (libellé = `name`, pas de `code`) **embarqués** + `updatedAt` (cf. [`spec-back.md § 2.12 / § 4.0`](./spec-back.md)).
+- `useProvider(id)` — charge le détail via `GET /api/providers/{id}`, qui **embarque** `contacts`, `addresses` (avec `sites` / `categories` / `contacts` imbriqués) et, si permission, `ribs` + scalaires compta. Écrans Consultation et Modification peuplés depuis cette seule réponse (RETEX M1 §2 : embed borné, pas de N+1). **DoD avant intégration** : vérifier que le JSON réel contient ces blocs (cf. [`spec-back.md § 4.0.bis`](./spec-back.md)).
+- `useProviderForm()` — workflow par onglet (POST principal + PATCH partiels par groupe), miroir de `useSupplierForm()`.
+- `useAddressAutocomplete()` — **réutilisé du M1/M2** (BAN), pas de réécriture.
+- `usePermissions()` — masque l'onglet Comptabilité et le bouton Archiver.
+- Tous les appels passent par `useApi()` (jamais `$fetch` direct — règle ABSOLUE n°4).
+- Filter `formatPhoneFR()` — **réutilisé** pour l'affichage `XX XX XX XX XX`.
+
+## Règles de formatage et normalisation
+
+Le serveur normalise systématiquement (RG-3.11 — cf. [`spec-back.md`](./spec-back.md)) :
+
+| Champ | Normalisation serveur | Affichage front |
+|---|---|---|
+| Nom prestataire (`companyName`) | UPPERCASE intégral | UPPERCASE |
+| Nom + Prénom contact | Capitalize | identique |
+| Téléphones (blocs `ProviderContact`) | Chiffres uniquement en BDD | Formaté `XX XX XX XX XX` (filter Vue) |
+| Email | lowercase intégral | identique |
+
+> Le front **ne normalise pas** : il envoie la valeur saisie, le serveur normalise et renvoie la valeur normalisée que l'UI affiche.
+
+## API adresse postale
+
+Code postal + Ville + Adresse branchés sur **api-adresse.data.gouv.fr** (BAN) via le composable `useAddressAutocomplete()` **déjà créé au M1/M2** (réutilisé tel quel) :
+- À la saisie du CP (5 chiffres) : `GET https://api-adresse.data.gouv.fr/search/?q={cp}&type=municipality` → alimente le select Ville (RG-3.06 : si plusieurs villes, choix dans le select).
+- À la saisie d'adresse : `?q={addr}&postcode={cp}&type=housenumber` → suggestions.
+- Cas dégradé (timeout / offline) : Ville en `<MalioInputText>` libre + toast d'avertissement.
+
+## Différences notables avec le M2 (fournisseurs)
+
+| Zone | M2 fournisseurs | M3 prestataires |
+|---|---|---|
+| Onglet Information | 8 champs (Description … Volume) | **Absent** (aucun champ Information) |
+| Sélecteur de site sur formulaire principal | Non (sites uniquement via adresses) | **Oui** (RG-3.03 — relation directe `provider.sites`) |
+| Type d'adresse | Radio Prospect / Départ / Rendu (RG-2.09) | **Absent** |
+| Bennes / Prestation de triage (adresse) | Présents | **Absents** |
+| Onglet Transport | Placeholder | **Absent** |
+| Onglet Statistiques | Placeholder | **Absent** |
+| Onglets « À venir » | Transport / Stats / Rapports / Échanges | **Rapports / Échanges** uniquement |
+| Catégories | type `FOURNISSEUR` | **nouveau type `PRESTATAIRE`** |
+| Pôle / module | Commercial | **Technique** (nouvelle section sidebar + module back) |
+| Cloisonnement par site | aucun | **Visibilité par site, pilotée par l'utilisateur** (bypass via `sites.bypass_scope`) — § 2.13 |
+
+## Points résolus côté back
+
+| # | Zone d'ombre | Résolution (cf. `spec-back.md`) |
+|---|---|---|
+| 1 | Catégorie multi-select | M2M `provider_category`, `Category` de type **PRESTATAIRE** (RG-3.09) |
+| 2 | Site sur le formulaire principal | M2M `provider_site` (≥ 1 — RG-3.03), distinct de `provider_address_site` (RG-3.05) |
+| 3 | Onglet Comptabilité : qui édite ? | Admin + Compta (`accounting.manage`) ; Bureau/Commerciale ne le voient pas |
+| 4 | Workflow par onglet | Sauvegarde incrémentale (POST principal + PATCH partiels) — pas d'état « draft » |
+| 5 | Onglets « À venir » | Placeholder minimal « À venir » (Rapports / Échanges) |
+| 6 | Archive vs delete | Flag `is_archived` séparé de `deleted_at` ; archivage Admin seul ; soft delete = HP |
+| 7 | Unicité métier | Nom de prestataire uniquement (à valider — § 2.6). SIREN/email non uniques |
+| 8 | Référentiels comptables | Réutilisés M1/M2 (zéro duplication) ; relation ORM partagée |
+| 9 | API code postal | BAN via `useAddressAutocomplete()` du M1/M2 (RG-3.06) |
+| 10 | Format export | XLSX uniquement (CSV = HP) |
+| 11 | Cloisonnement par site (Usine « son site ») | Filtre back automatique par `currentSite` + bypass `sites.bypass_scope` (§ 2.13 / RG-3.17) |
+
+---
+
+## 📦 Tickets Lesstime
+
+**TaskGroup Lesstime** : **#29 — M3 — Répertoire prestataires** (projet `ERP / Starseed`, projectId=6) — créé le 11/06/2026, 16 tickets `ERP-131` → `ERP-146`, statut « Prêt à dev », assignés à **Tristan**.
+
+| # | Ticket | Réf | Tag |
+|---|---|---|---|
+| 1.1 | Créer module Technique + taxonomie PRESTATAIRE | ERP-131 | Backend |
+| 1.2 | Migrer le schéma BDD M3 (provider + sous-collections) | ERP-132 | Backend |
+| 1.3 | Créer entités + repositories Provider* | ERP-133 | Backend |
+| 1.4 | ProviderProvider + ProviderProcessor + cloisonnement site | ERP-134 | Backend |
+| 1.5 | Sous-ressources Contacts / Adresses / RIBs | ERP-135 | Backend |
+| 1.6 | Valider les RG métier server-side (RG-3.03→3.09) | ERP-136 | Backend |
+| 1.7 | Export XLSX des prestataires | ERP-137 | Backend |
+| 1.8 | RBAC technique.providers.* (3 sources) | ERP-138 | Backend |
+| 1.9 | PHPUnit RG-3.x + capture contrat JSON | ERP-139 | Backend |
+| 1.10 | Page Répertoire (/providers) | ERP-140 | Frontend |
+| 1.11 | Page Ajouter (/providers/new) + formulaire principal | ERP-141 | Frontend |
+| 1.12 | Onglet Contact | ERP-142 | Frontend |
+| 1.13 | Onglet Adresse (autocomplete BAN) | ERP-143 | Frontend |
+| 1.14 | Onglet Comptabilité + RIB | ERP-144 | Frontend |
+| 1.15 | Pages Consultation + Modification | ERP-145 | Frontend |
+| 1.16 | i18n + sidebar Technique + libellés audit | ERP-146 | Frontend |
+
+> Détail back complet → voir [`spec-back.md § Tickets Lesstime`](./spec-back.md#-tickets-lesstime-à-découper).

docs/specs/_RETEX-M1-pour-M2.md

@@ -0,0 +1,80 @@
+# RETEX M1 (Clients) → à appliquer pour M2 (Fournisseurs)
+
+> But : éviter de reproduire en M2 les erreurs de **contrat de sérialisation** qui ont bloqué M1.
+> ~80 % des frictions M1 venaient du contrat API (sérialisation / groupes / sous-ressources), **pas** du métier.
+> À lire AVANT de rédiger `spec-back.md` et `spec-front.md` du M2, et à garder ouvert pendant la rédaction.
+
+---
+
+## 0. TL;DR (les 3 erreurs à ne jamais refaire)
+
+1. **Affirmer qu'un champ est « embarqué » sans vérifier les 3 maillons de sérialisation.** En M1 : `Category.code` annoncé dans `client:read`, détail annoncé embarquant contacts/adresses/ribs → **faux dans le code**. Résultat : colonnes liste vides, onglets détail impossibles à peupler.
+2. **Livrer des sous-ressources en POST-only** (pas de `GetCollection`, pas d'embed) → le front ne peut pas lister les enfants de l'agrégat.
+3. **Écrire la spec/les tickets sur une intention, pas sur le contrat réel.** Le docblock `Client` décrivait un embed jamais implémenté.
+
+---
+
+## 1. Contrat de sérialisation : les 3 maillons obligatoires
+
+Pour **chaque champ affiché** (liste OU détail), la spec back doit prouver les trois maillons. Si un seul manque → le champ sort en quasi-IRI (`@id`/`@type` seulement) ou pas du tout.
+
+| Maillon | Question | Exemple M1 raté |
+|---|---|---|
+| (a) Groupe sur la **propriété** | `#[Groups([...])]` contient-il un read-group ? | `Supplier::$addresses` sans groupe → jamais sérialisé |
+| (b) Groupe dans le **`normalizationContext` de l'opération** | l'opération (`GetCollection`/`Get`) liste-t-elle ce groupe ? | `GetCollection` en `['client:read','default:read']` |
+| (c) Read-group de l'**entité imbriquée** dans le contexte parent | pour embarquer les champs d'une relation (catégorie, site…), le contexte parent inclut-il `category:read` / `site:read` ? | `Category.code` ∈ `category:read`, absent du contexte client → pas de `code` |
+
+**Règle de rédaction** : dans `spec-back.md`, faire un tableau « champ → groupe propriété → groupe(s) à ajouter au contexte de chaque opération » pour la liste ET le détail. Inclure explicitement les **relations imbriquées** (ex. catégories d'une adresse, sites d'une adresse).
+
+## 2. Collections enfant d'un agrégat : décider embed vs GetCollection, et câbler en ENTIER
+
+Décision à acter dès la spec back pour chaque sous-collection (contacts, adresses, RIB, lignes…) :
+
+- **Embed dans le détail (recommandé pour un agrégat DDD)** : poser `#[Groups(['<root>:item:read'])]` sur la propriété + ajouter au `normalizationContext` du `Get` racine les read-groups des entités enfant **et** de leurs relations imbriquées. 1 requête, cohérent avec un composable `useX(id)`. Réservé aux ensembles **bornés** (ne viole pas la règle n°13 : elle vise les collections exposées, pas un embed borné d'item).
+- **GetCollection sous-ressource** : `/<root>/{id}/children` paginé. À réserver aux collections potentiellement volumineuses. Si choisi, **créer l'opération** (pas seulement POST).
+
+❌ Anti-pattern M1 : sous-ressources avec `POST` + `Get` unitaire seulement → **aucun moyen de lister** (ids non découvrables). Interdit.
+
+## 3. Vérifier le contrat sur l'API RÉELLE avant d'écrire les tickets front
+
+Le blocage M1 (codes/sites/sous-collections) aurait été vu en 5 min. À mettre dans la **definition of done de la spec back** :
+
+> Créer un enregistrement de test, appeler `GET /api/<resource>` (liste) ET `GET /api/<resource>/{id}` (détail), **coller la réponse JSON réelle** dans la spec. Toute donnée affichée par le front doit apparaître dans ce JSON collé.
+
+## 4. La spec décrit le RÉEL, pas l'intention
+
+- Bannir les « devrait être embarqué », « est exposé » non vérifiés. Décrire ce qui existe (ou ce qui sera livré dans le ticket, en le marquant clairement « à livrer »).
+- Si un docblock/commentaire existant contredit le code, le **corriger**, pas le recopier.
+
+## 5. Réutiliser les acquis M1 (ne pas réinventer)
+
+- **Taxonomie ERP-78** : si M2 catégorise les fournisseurs, repartir du modèle **type unique + `code` stable** (slug MAJUSCULE auto-généré, NOT NULL, figé, **lecture seule** `category:read`), filtrage métier via `?categoryCode=`. Réutiliser le contrat partagé `CategoryInterface` (pas d'import inter-module).
+- **Front** : `usePaginatedList` (listes), composants `Malio*`, `useApi()`, `formatPhoneFR`, blocs réutilisables (Contact/Adresse), pattern de blocs dynamiques + modal de confirmation.
+- **Archive** : flag `is_archived` **distinct** de `deleted_at` (soft delete). Restauration → gérer le 409 homonyme.
+- **Normalisation = serveur** (UPPERCASE nom société, Capitalize noms, lowercase email, téléphone en chiffres). Le front envoie la saisie, réaffiche la valeur normalisée renvoyée. À documenter dans la spec.
+- **Gating fin + mode strict PATCH** : PATCH par groupe de sérialisation ; tout champ hors-permission dans le payload = **403 sur l'intégralité** (pas de filtrage silencieux). Spécifier la matrice rôle × onglet.
+
+## 6. Règles ABSOLUES transverses à rappeler dans la spec M2
+
+- **Pagination obligatoire** (règle n°13) sur toute `GetCollection` ; échappatoire `?pagination=false` réservée aux selects de référentiels bornés.
+- **`COMMENT ON COLUMN`** (règle n°12) sur chaque colonne créée/modifiée (sinon `make test` casse). Helper standard pour les colonnes Timestampable/Blamable.
+- **Timestampable + Blamable** sur toute nouvelle entité métier (4 colonnes + trait) ; garde-fou archi.
+- **`#[Auditable]`** sur les entités métier ; **`#[AuditIgnore]`** sur les champs sensibles (équivalents BIC/IBAN/secret).
+- **`declare(strict_types=1);`** partout ; commentaires FR, code EN.
+- **Routes front à plat** (pas de préfixe module), état tableau **jamais** dans l'URL.
+- **3 miroirs RBAC** à toucher ensemble : `config/sidebar.php`, `frontend/tests/e2e/_fixtures/personas.ts`, `SeedE2ECommand.php`.
+- **Communication inter-module** uniquement via `Shared/Domain/Contract/` ou domain events — jamais d'import direct.
+
+## 7. Fixtures & seed dès le départ
+
+M1 a subi un aller-retour (ERP-68) faute de fixtures alignées. Pour M2 : prévoir dès la spec un seed de fournisseurs démo **couvrant tous les cas des règles métier** (relations, catégories codées, archivés, cas comptables) + comptes de rôles démo, pour vérifier le gating et le golden path sans bricolage.
+
+## 8. Mini-checklist de relecture de la spec M2 (avant de la déclarer prête)
+
+- [ ] Chaque champ affiché (liste + détail) a ses 3 maillons de sérialisation documentés (propriété, contexte opération, relations imbriquées).
+- [ ] Chaque sous-collection a une décision **embed vs GetCollection** explicite et **complètement câblée** (pas de POST-only).
+- [ ] Réponses JSON réelles (liste + détail) collées dans la spec back.
+- [ ] Matrice RBAC rôle × écran × onglet + mode strict PATCH spécifiés.
+- [ ] Pagination, COMMENT ON COLUMN, Timestampable/Blamable, Audit, routes à plat : rappelés.
+- [ ] Réutilisations M1 identifiées (taxonomie code, usePaginatedList, blocs, archive, normalisation).
+- [ ] Seed/fixtures démo planifiés.

frontend/i18n/locales/fr.json

@@ -30,6 +30,10 @@
             "clients": "Répertoire clients",
             "suppliers": "Répertoire fournisseurs"
         },
+        "technique": {
+            "section": "Technique",
+            "providers": "Répertoire prestataires"
+        },
         "core": {
             "roles": "Gestion des rôles",
             "users": "Utilisateurs",
@@ -362,6 +366,130 @@
             }
         }
     },
+    "technique": {
+        "providers": {
+            "title": "Répertoire prestataires",
+            "add": "Ajouter",
+            "export": "Exporter",
+            "empty": "Aucun prestataire pour l'instant.",
+            "column": {
+                "companyName": "Nom",
+                "categories": "Catégories",
+                "sites": "Site",
+                "lastActivity": "Dernière activité"
+            },
+            "filters": {
+                "title": "Filtres",
+                "search": "Recherche",
+                "categories": "Catégories",
+                "sites": "Sites",
+                "status": "Statut",
+                "includeArchived": "Inclure les archivés",
+                "apply": "Voir les résultats",
+                "reset": "Réinitialiser"
+            },
+            "tab": {
+                "contact": "Contact",
+                "contacts": "Contacts",
+                "address": "Adresse",
+                "reports": "Rapports",
+                "exchanges": "Échanges",
+                "accounting": "Comptabilité"
+            },
+            "action": {
+                "edit": "Modifier",
+                "archive": "Archiver",
+                "restore": "Restaurer"
+            },
+            "consultation": {
+                "title": "Fiche prestataire",
+                "back": "Retour au répertoire",
+                "loading": "Chargement…",
+                "notFound": "Prestataire introuvable.",
+                "confirmArchive": "Archiver ce prestataire ? Il n'apparaîtra plus dans le répertoire actif.",
+                "confirmRestore": "Restaurer ce prestataire ? Il réapparaîtra dans le répertoire actif."
+            },
+            "edit": {
+                "title": "Modifier le prestataire",
+                "back": "Retour à la fiche",
+                "loading": "Chargement…",
+                "notFound": "Prestataire introuvable.",
+                "save": "Enregistrer"
+            },
+            "form": {
+                "title": "Ajouter un prestataire",
+                "back": "Précédent",
+                "submit": "Valider",
+                "duplicateCompany": "Un prestataire portant ce nom de société existe déjà.",
+                "main": {
+                    "companyName": "Nom du prestataire (Entreprise)",
+                    "categories": "Catégorie",
+                    "sites": "Site"
+                },
+                "errors": {
+                    "nameRequired": "Le nom du prestataire est obligatoire.",
+                    "siteRequired": "Sélectionnez au moins un site.",
+                    "categoryRequired": "Sélectionnez au moins une catégorie."
+                },
+                "contact": {
+                    "lastName": "Nom",
+                    "firstName": "Prénom",
+                    "jobTitle": "Fonction",
+                    "email": "Email",
+                    "phonePrimary": "Téléphone",
+                    "phoneSecondary": "Téléphone (2)",
+                    "addPhone": "Ajouter un numéro",
+                    "remove": "Supprimer le contact",
+                    "add": "Nouveau contact"
+                },
+                "address": {
+                    "sites": "Sites",
+                    "categories": "Catégorie",
+                    "contacts": "Contact(s) rattaché(s)",
+                    "country": "Pays",
+                    "postalCode": "Code postal",
+                    "city": "Ville",
+                    "street": "Adresse",
+                    "streetNotFound": "Adresse introuvable ? Saisissez-la directement.",
+                    "streetComplement": "Adresse complémentaire",
+                    "remove": "Supprimer l'adresse",
+                    "add": "Nouvelle adresse",
+                    "degraded": "Service d'adresse indisponible : saisie de la ville et de l'adresse en mode libre."
+                },
+                "accounting": {
+                    "siren": "SIREN",
+                    "accountNumber": "Numéro de compte",
+                    "tvaMode": "Mode de TVA",
+                    "nTva": "N° de TVA",
+                    "paymentDelay": "Délai de règlement",
+                    "paymentType": "Type de règlement",
+                    "bank": "Banque",
+                    "ribLabel": "Libellé",
+                    "ribBic": "BIC",
+                    "ribIban": "IBAN",
+                    "addRib": "Ajouter un RIB",
+                    "removeRib": "Supprimer le RIB"
+                },
+                "confirmDelete": {
+                    "title": "Confirmer la suppression",
+                    "cancel": "Annuler",
+                    "confirm": "Supprimer",
+                    "contact": "Supprimer ce contact ?",
+                    "address": "Supprimer cette adresse ?",
+                    "rib": "Supprimer ce RIB ?"
+                }
+            },
+            "toast": {
+                "error": "Une erreur est survenue. Réessayez.",
+                "exportError": "L'export du répertoire prestataires a échoué. Réessayez.",
+                "createSuccess": "Prestataire créé avec succès",
+                "updateSuccess": "Prestataire mis à jour avec succès",
+                "addComplete": "Prestataire ajouté",
+                "archiveSuccess": "Prestataire archivé avec succès",
+                "restoreSuccess": "Prestataire restauré avec succès"
+            }
+        }
+    },
     "auth": {
         "login": "Connexion",
         "logout": "Deconnexion",
@@ -386,7 +514,10 @@
         },
         "title": "Erreur",
         "generic": "Une erreur est survenue.",
-        "unknown": "Erreur inconnue."
+        "unknown": "Erreur inconnue.",
+        "validation": {
+            "invalidDate": "Date invalide"
+        }
     },
     "sites": {
         "selector": {
@@ -413,7 +544,11 @@
             "commercial_supplier":    "Fournisseur",
             "commercial_supplieraddress": "Adresse fournisseur",
             "commercial_suppliercontact": "Contact fournisseur",
-            "commercial_supplierrib": "RIB fournisseur"
+            "commercial_supplierrib": "RIB fournisseur",
+            "technique_provider":     "Prestataire",
+            "technique_provideraddress": "Adresse prestataire",
+            "technique_providercontact": "Contact prestataire",
+            "technique_providerrib":  "RIB prestataire"
         },
         "empty": "Aucune activité enregistrée",
         "no_results": "Aucun résultat pour ces filtres",

frontend/modules/commercial/components/ClientAddressBlock.vue

@@ -187,7 +187,7 @@ import {
     addressTypeFromFlags,
     isBillingEmailRequired,
     type AddressType,
-} from '~/modules/commercial/utils/clientFormRules'
+} from '~/modules/commercial/utils/forms/clientFormRules'
 import { useAddressAutocomplete, type AddressSuggestion } from '~/shared/composables/useAddressAutocomplete'
 import type { CategoryOption, RefOption } from '~/modules/commercial/composables/useClientReferentials'
 import type { AddressFormDraft } from '~/modules/commercial/types/clientForm'

frontend/modules/commercial/composables/useClient.ts

@@ -1,5 +1,5 @@
 import { ref } from 'vue'
-import type { ClientDetail } from '~/modules/commercial/utils/clientConsultation'
+import type { ClientDetail } from '~/modules/commercial/utils/forms/clientConsultation'
 
 /**
  * Chargement et actions d'archivage d'un client unique (ecran « Consultation

frontend/modules/commercial/composables/useSupplier.ts

@@ -1,5 +1,5 @@
 import { ref } from 'vue'
-import type { SupplierDetail } from '~/modules/commercial/utils/supplierConsultation'
+import type { SupplierDetail } from '~/modules/commercial/utils/forms/supplierConsultation'
 
 /**
  * Chargement et actions d'archivage d'un fournisseur unique (ecran « Consultation

frontend/modules/commercial/pages/clients/[id]/edit.vue

@@ -116,6 +116,7 @@
                             :readonly="businessReadonly"
                             :editable="true"
                             :error="informationErrors.errors.foundedAt"
+                            @update:raw-value="(v: string) => information.foundedAtRaw = v"
                         />
                         <MalioInputText
                             v-model="information.employeesCount"
@@ -156,12 +157,16 @@
                 <!-- Onglet Contact -->
                 <template #contact>
                     <div class="mt-12 flex flex-col gap-6">
+                        <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                             enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                             bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                             bloc enregistre. -->
                         <ClientContactBlock
                             v-for="(contact, index) in contacts"
                             :key="contact.id ?? `new-${index}`"
                             :model-value="contact"
                             :title="t('commercial.clients.form.contact.title', { n: index + 1 })"
-                            :removable="contacts.length > 1"
+                            :removable="isRowRemovable(contacts, index)"
                             :readonly="businessReadonly"
                             :errors="contactErrors[index]"
                             @update:model-value="(v) => contacts[index] = v"
@@ -198,7 +203,7 @@
                             :site-options="siteOptions"
                             :contact-options="contactOptions"
                             :country-options="countryOptions"
-                            :removable="addresses.length > 1"
+                            :removable="isRowRemovable(addresses, index)"
                             :readonly="businessReadonly"
                             :errors="addressErrors[index]"
                             @update:model-value="(v) => addresses[index] = v"
@@ -303,7 +308,7 @@
                             class="relative bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
                         >
                             <MalioButtonIcon
-                                v-if="!accountingReadonly && visibleRibs.length > 1"
+                                v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
                                 icon="mdi:delete-outline"
                                 variant="ghost"
                                 button-class="absolute top-3 right-3"
@@ -401,7 +406,7 @@ import {
     mapAddressToDraft,
     mapRibToDraft,
     type ClientDetail,
-} from '~/modules/commercial/utils/clientConsultation'
+} from '~/modules/commercial/utils/forms/clientConsultation'
 import {
     buildAccountingPayload,
     buildAddressPayload,
@@ -417,7 +422,7 @@ import {
     type ClientEditAbilities,
     type InformationFormDraft,
     type MainFormDraft,
-} from '~/modules/commercial/utils/clientEdit'
+} from '~/modules/commercial/utils/forms/clientEdit'
 import {
     buildClientFormTabKeys,
     isAddressValid,
@@ -429,7 +434,7 @@ import {
     isRibComplete,
     isRibRequiredForPaymentType,
     showsRelationAndTriageFields,
-} from '~/modules/commercial/utils/clientFormRules'
+} from '~/modules/commercial/utils/forms/clientFormRules'
 import {
     emptyAddress,
     emptyContact,
@@ -439,6 +444,7 @@ import {
     type RibFormDraft,
 } from '~/modules/commercial/types/clientForm'
 import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable, removeCollectionRow } from '~/shared/utils/collectionRow'
 import { readHistoryTab } from '~/shared/utils/historyTab'
 
 // Masques de saisie (la normalisation finale reste serveur).
@@ -489,10 +495,6 @@ const contacts = ref<ContactFormDraft[]>([])
 const addresses = ref<AddressFormDraft[]>([])
 const ribs = ref<RibFormDraft[]>([])
 
-// Ids des sous-ressources existantes supprimees (DELETE differe au « Valider »).
-const removedContactIds = ref<number[]>([])
-const removedAddressIds = ref<number[]>([])
-const removedRibIds = ref<number[]>([])
 
 const mainSubmitting = ref(false)
 const tabSubmitting = ref(false)
@@ -753,32 +755,31 @@ function addContact(): void {
     if (canAddContact.value) contacts.value.push(emptyContact())
 }
 
+// ERP-172 : DELETE immediat de la sous-ressource a la confirmation de la modale
+// (et non plus differe au « Enregistrer »). Bloc jamais persiste (id null) : retrait
+// local. Echec serveur : bloc conserve + erreur remontee.
 function askRemoveContact(index: number): void {
-    askConfirm(t('commercial.clients.form.confirmDelete.contact'), () => {
-        const removed = contacts.value[index]
-        if (removed?.id != null) removedContactIds.value.push(removed.id)
-        contacts.value.splice(index, 1)
-        contactErrors.value.splice(index, 1)
-        // Garde au moins un bloc visible (cf. amorce a l'hydratation).
-        if (contacts.value.length === 0) contacts.value.push(emptyContact())
-    })
+    askConfirm(t('commercial.clients.form.confirmDelete.contact'), () => removeCollectionRow({
+        rows: contacts.value,
+        errors: contactErrors.value,
+        index,
+        endpoint: '/client_contacts',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyContact,
+        onError: showError,
+    }))
 }
 
 /**
- * Valide l'onglet Contact : DELETE des contacts retires (existants), puis
- * POST/PATCH des blocs restants sur la sous-ressource. Strictement scope a la
- * collection contacts (endpoints client_contact dedies).
+ * Valide l'onglet Contact : POST/PATCH des blocs restants sur la sous-ressource.
+ * Strictement scope a la collection contacts (endpoints client_contact dedies). La
+ * suppression est traitee a part, en DELETE immediat (askRemoveContact, ERP-172).
  */
 async function submitContacts(): Promise<void> {
     if (businessReadonly.value || tabSubmitting.value) return
     tabSubmitting.value = true
     contactErrors.value = []
     try {
-        for (const id of removedContactIds.value) {
-            await api.delete(`/client_contacts/${id}`, {}, { toast: false })
-        }
-        removedContactIds.value = []
-
         // RG-1.14 : au moins un contact requis. Si l'onglet ne contient QUE des
         // amorces neuves vides (ex. tous les contacts existants supprimes), on ne
         // les skippe pas -> le back renvoie la 422 RG-1.05 « prénom ou nom
@@ -835,14 +836,15 @@ function addAddress(): void {
 }
 
 function askRemoveAddress(index: number): void {
-    askConfirm(t('commercial.clients.form.confirmDelete.address'), () => {
-        const removed = addresses.value[index]
-        if (removed?.id != null) removedAddressIds.value.push(removed.id)
-        addresses.value.splice(index, 1)
-        addressErrors.value.splice(index, 1)
-        // Garde au moins un bloc visible (cf. amorce a l'hydratation).
-        if (addresses.value.length === 0) addresses.value.push(emptyAddress())
-    })
+    askConfirm(t('commercial.clients.form.confirmDelete.address'), () => removeCollectionRow({
+        rows: addresses.value,
+        errors: addressErrors.value,
+        index,
+        endpoint: '/client_addresses',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyAddress,
+        onError: showError,
+    }))
 }
 
 function onAddressDegraded(): void {
@@ -854,17 +856,12 @@ function onAddressDegraded(): void {
     })
 }
 
-/** Valide l'onglet Adresse : DELETE des adresses retirees puis POST/PATCH. */
+/** Valide l'onglet Adresse : POST/PATCH des blocs restants (suppression en DELETE immediat, ERP-172). */
 async function submitAddresses(): Promise<void> {
     if (businessReadonly.value || tabSubmitting.value) return
     tabSubmitting.value = true
     addressErrors.value = []
     try {
-        for (const id of removedAddressIds.value) {
-            await api.delete(`/client_addresses/${id}`, {}, { toast: false })
-        }
-        removedAddressIds.value = []
-
         // On tente TOUS les blocs d'adresse (collecte des erreurs par index, ERP-110).
         const hasError = await submitRows(
             addresses.value,
@@ -936,29 +933,32 @@ function addRib(): void {
     if (canAddRib.value) ribs.value.push(emptyRib())
 }
 
+// ERP-172 : DELETE immediat du RIB. Le back refuse la suppression du dernier RIB
+// d'une LCR (RG-1.13) -> 409 remonte via showError (message back), bloc conserve.
 function askRemoveRib(index: number): void {
-    askConfirm(t('commercial.clients.form.confirmDelete.rib'), () => {
-        const removed = ribs.value[index]
-        if (removed?.id != null) removedRibIds.value.push(removed.id)
-        ribs.value.splice(index, 1)
-        ribErrors.value.splice(index, 1)
-        // Garde au moins un bloc RIB visible (cf. amorce a l'hydratation).
-        if (ribs.value.length === 0) ribs.value.push(emptyRib())
-    })
+    askConfirm(t('commercial.clients.form.confirmDelete.rib'), () => removeCollectionRow({
+        rows: ribs.value,
+        errors: ribErrors.value,
+        index,
+        endpoint: '/client_ribs',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyRib,
+        onError: showError,
+    }))
 }
 
 /**
  * Valide l'onglet Comptabilite : POST/PATCH des RIB sur la sous-ressource PUIS
  * PATCH des scalaires (groupe client:write:accounting, exige accounting.manage cote
- * back) PUIS DELETE des RIB explicitement retires. Les RIB crees d'abord : le back
- * valide RG-1.13 (LCR => au moins un RIB persiste) sur le PATCH scalaires.
+ * back). Les RIB crees d'abord : le back valide RG-1.13 (LCR => au moins un RIB
+ * persiste) sur le PATCH scalaires.
  *
+ * ERP-172 : la suppression d'un RIB est traitee en DELETE immediat (askRemoveRib),
+ * plus de DELETE differe ici.
  * ERP-121 : les RIB ne sont (re)soumis QUE sous LCR — hors-LCR ce sont des
  * coordonnees dormantes conservees telles quelles, masquees a l'ecran et jamais
- * re-ecrites. `removedRibIds` ne contient plus que les suppressions EXPLICITES
- * (corbeille d'un bloc, toujours sous LCR), plus l'auto-suppression au changement
- * de type de reglement. Aucun champ main/information dans le payload (mode strict
- * RG-1.28 : sinon 403 sur tout le payload).
+ * re-ecrites. Aucun champ main/information dans le payload (mode strict RG-1.28 :
+ * sinon 403 sur tout le payload).
  */
 async function submitAccounting(): Promise<void> {
     if (accountingReadonly.value || tabSubmitting.value) return
@@ -1012,14 +1012,6 @@ async function submitAccounting(): Promise<void> {
             return
         }
 
-        // 3) DELETE des RIB explicitement retires (corbeille d'un bloc) : APRES le
-        // PATCH scalaires (le guard back refuse la suppression du dernier RIB d'une
-        // LCR). ERP-121 : plus aucune suppression automatique au passage hors-LCR.
-        for (const id of removedRibIds.value) {
-            await api.delete(`/client_ribs/${id}`, {}, { toast: false })
-        }
-        removedRibIds.value = []
-
         toast.success({ title: t('commercial.clients.toast.updateSuccess') })
     }
     catch (e) {

frontend/modules/commercial/pages/clients/[id]/index.vue

@@ -280,7 +280,7 @@
 <script setup lang="ts">
 import { computed, onMounted, ref } from 'vue'
 import { useClient } from '~/modules/commercial/composables/useClient'
-import { buildClientFormTabKeys, isRibRequiredForPaymentType } from '~/modules/commercial/utils/clientFormRules'
+import { buildClientFormTabKeys, isRibRequiredForPaymentType } from '~/modules/commercial/utils/forms/clientFormRules'
 import { readHistoryTab } from '~/shared/utils/historyTab'
 import {
     canEditClient,
@@ -297,7 +297,7 @@ import {
     showRestoreAction,
     type ClientDetail,
     type SelectOption,
-} from '~/modules/commercial/utils/clientConsultation'
+} from '~/modules/commercial/utils/forms/clientConsultation'
 import { emptyAddress, emptyContact } from '~/modules/commercial/types/clientForm'
 
 // Masque d'affichage (purement visuel, la donnee reste celle du serveur).

frontend/modules/commercial/pages/clients/new.vue

@@ -111,6 +111,7 @@
                         :readonly="isValidated('information')"
                         :editable="true"
                         :error="informationErrors.errors.foundedAt"
+                        @update:raw-value="(v: string) => information.foundedAtRaw = v"
                     />
                     <MalioInputText
                         v-model="information.employeesCount"
@@ -155,12 +156,16 @@
             <!-- Onglet Contact -->
             <template #contact>
                 <div class="mt-12 flex flex-col gap-6">
+                    <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                         enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                         bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                         bloc enregistre. -->
                     <ClientContactBlock
                         v-for="(contact, index) in contacts"
                         :key="index"
                         :model-value="contact"
                         :title="t('commercial.clients.form.contact.title', { n: index + 1 })"
-                        :removable="index > 0"
+                        :removable="isRowRemovable(contacts, index)"
                         :readonly="isValidated('contact')"
                         :errors="contactErrors[index]"
                         @update:model-value="(v) => contacts[index] = v"
@@ -197,7 +202,7 @@
                         :site-options="referentials.sites.value"
                         :contact-options="contactOptions"
                         :country-options="countryOptions"
-                        :removable="index > 0"
+                        :removable="isRowRemovable(addresses, index)"
                         :readonly="isValidated('address')"
                         :errors="addressErrors[index]"
                         @update:model-value="(v) => addresses[index] = v"
@@ -302,7 +307,7 @@
                     >
                         <!-- ariaLabel via v-bind objet (prop camelCase ; aria-* serait un attribut HTML). -->
                         <MalioButtonIcon
-                            v-if="!accountingReadonly && visibleRibs.length > 1"
+                            v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
                             icon="mdi:delete-outline"
                             variant="ghost"
                             button-class="absolute top-3 right-3"
@@ -401,12 +406,12 @@ import {
     isRibRequiredForPaymentType,
     lastFillableTabKey,
     showsRelationAndTriageFields,
-} from '~/modules/commercial/utils/clientFormRules'
+} from '~/modules/commercial/utils/forms/clientFormRules'
 import {
     buildAddressPayload,
     buildMainPayload,
     buildRibPayload,
-} from '~/modules/commercial/utils/clientEdit'
+} from '~/modules/commercial/utils/forms/clientEdit'
 import {
     emptyAddress,
     emptyContact,
@@ -416,6 +421,7 @@ import {
     type RibFormDraft,
 } from '~/modules/commercial/types/clientForm'
 import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable } from '~/shared/utils/collectionRow'
 
 // Masques de saisie (la normalisation finale reste serveur).
 const SIREN_MASK = '#########'
@@ -651,6 +657,8 @@ const information = reactive({
     description: null as string | null,
     competitors: null as string | null,
     foundedAt: null as string | null,
+    // Saisie brute invalide remontee par MalioDate (cf. foundedAtRaw, MUI-44).
+    foundedAtRaw: '',
     employeesCount: null as string | null,
     revenueAmount: null as string | null,
     profitAmount: null as string | null,
@@ -666,7 +674,8 @@ async function submitInformation(): Promise<void> {
         await api.patch(`/clients/${clientId.value}`, {
             description: information.description || null,
             competitors: information.competitors || null,
-            foundedAt: information.foundedAt || null,
+            // Saisie invalide prioritaire -> 422 back sur foundedAt (cf. foundedAtRaw).
+            foundedAt: information.foundedAtRaw || information.foundedAt || null,
             employeesCount: information.employeesCount ? Number(information.employeesCount) : null,
             revenueAmount: information.revenueAmount || null,
             profitAmount: information.profitAmount || null,

frontend/modules/commercial/pages/suppliers/[id]/edit.vue

@@ -77,6 +77,7 @@
                             :readonly="businessReadonly"
                             :editable="true"
                             :error="informationErrors.errors.foundedAt"
+                            @update:raw-value="(v: string) => information.foundedAtRaw = v"
                         />
                         <MalioInputText
                             v-model="information.employeesCount"
@@ -125,12 +126,16 @@
                 <!-- Onglet Contacts -->
                 <template #contacts>
                     <div class="mt-12 flex flex-col gap-6">
+                        <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                             enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                             bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                             bloc enregistre. -->
                         <SupplierContactBlock
                             v-for="(contact, index) in contacts"
                             :key="contact.id ?? `new-${index}`"
                             :model-value="contact"
                             :title="t('commercial.suppliers.form.contact.title', { n: index + 1 })"
-                            :removable="contacts.length > 1"
+                            :removable="isRowRemovable(contacts, index)"
                             :readonly="businessReadonly"
                             :errors="contactErrors[index]"
                             @update:model-value="(v) => contacts[index] = v"
@@ -167,7 +172,7 @@
                             :site-options="siteOptions"
                             :contact-options="contactOptions"
                             :country-options="countryOptions"
-                            :removable="addresses.length > 1"
+                            :removable="isRowRemovable(addresses, index)"
                             :readonly="businessReadonly"
                             :errors="addressErrors[index]"
                             @update:model-value="(v) => addresses[index] = v"
@@ -272,7 +277,7 @@
                             class="relative bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
                         >
                             <MalioButtonIcon
-                                v-if="!accountingReadonly && visibleRibs.length > 1"
+                                v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
                                 icon="mdi:delete-outline"
                                 variant="ghost"
                                 button-class="absolute top-3 right-3"
@@ -370,7 +375,7 @@ import {
     mapAddressToDraft,
     mapRibToDraft,
     type SupplierDetail,
-} from '~/modules/commercial/utils/supplierConsultation'
+} from '~/modules/commercial/utils/forms/supplierConsultation'
 import {
     buildAccountingPayload,
     buildAddressPayload,
@@ -386,7 +391,7 @@ import {
     type InformationFormDraft,
     type MainFormDraft,
     type SupplierEditAbilities,
-} from '~/modules/commercial/utils/supplierEdit'
+} from '~/modules/commercial/utils/forms/supplierEdit'
 import {
     buildSupplierFormTabKeys,
     isAddressValid,
@@ -396,7 +401,7 @@ import {
     isRibBlank,
     isRibComplete,
     isRibRequiredForPaymentType,
-} from '~/modules/commercial/utils/supplierFormRules'
+} from '~/modules/commercial/utils/forms/supplierFormRules'
 import {
     emptyAddress,
     emptyContact,
@@ -406,6 +411,7 @@ import {
     type SupplierRibFormDraft,
 } from '~/modules/commercial/types/supplierForm'
 import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable, removeCollectionRow } from '~/shared/utils/collectionRow'
 import { readHistoryTab } from '~/shared/utils/historyTab'
 
 // Masques de saisie (la normalisation finale reste serveur).
@@ -455,10 +461,6 @@ const contacts = ref<SupplierContactFormDraft[]>([])
 const addresses = ref<SupplierAddressFormDraft[]>([])
 const ribs = ref<SupplierRibFormDraft[]>([])
 
-// Ids des sous-ressources existantes supprimees (DELETE differe au « Valider »).
-const removedContactIds = ref<number[]>([])
-const removedAddressIds = ref<number[]>([])
-const removedRibIds = ref<number[]>([])
 
 const mainSubmitting = ref(false)
 const tabSubmitting = ref(false)
@@ -652,32 +654,31 @@ function addContact(): void {
     if (canAddContact.value) contacts.value.push(emptyContact())
 }
 
+// ERP-172 : DELETE immediat de la sous-ressource a la confirmation de la modale
+// (et non plus differe au « Enregistrer »). Bloc jamais persiste (id null) : retrait
+// local. Echec serveur : bloc conserve + erreur remontee.
 function askRemoveContact(index: number): void {
-    askConfirm(t('commercial.suppliers.form.confirmDelete.contact'), () => {
-        const removed = contacts.value[index]
-        if (removed?.id != null) removedContactIds.value.push(removed.id)
-        contacts.value.splice(index, 1)
-        contactErrors.value.splice(index, 1)
-        // Garde au moins un bloc visible (cf. amorce a l'hydratation).
-        if (contacts.value.length === 0) contacts.value.push(emptyContact())
-    })
+    askConfirm(t('commercial.suppliers.form.confirmDelete.contact'), () => removeCollectionRow({
+        rows: contacts.value,
+        errors: contactErrors.value,
+        index,
+        endpoint: '/supplier_contacts',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyContact,
+        onError: showError,
+    }))
 }
 
 /**
- * Valide l'onglet Contacts : DELETE des contacts retires (existants), puis
- * POST/PATCH des blocs restants sur la sous-ressource. Strictement scope a la
- * collection contacts (endpoints supplier_contact dedies).
+ * Valide l'onglet Contacts : POST/PATCH des blocs restants sur la sous-ressource.
+ * Strictement scope a la collection contacts (endpoints supplier_contact dedies).
+ * La suppression est traitee a part, en DELETE immediat (askRemoveContact, ERP-172).
  */
 async function submitContacts(): Promise<void> {
     if (businessReadonly.value || tabSubmitting.value) return
     tabSubmitting.value = true
     contactErrors.value = []
     try {
-        for (const id of removedContactIds.value) {
-            await api.delete(`/supplier_contacts/${id}`, {}, { toast: false })
-        }
-        removedContactIds.value = []
-
         // RG-2.13 : au moins un contact requis. Si l'onglet ne contient QUE des
         // amorces neuves vides, on les soumet -> 422 RG-2.04 inline (nom OU prenom).
         const hasSubmittableContact = contacts.value.some(c => c.id !== null || !isContactBlank(c))
@@ -725,14 +726,15 @@ function addAddress(): void {
 }
 
 function askRemoveAddress(index: number): void {
-    askConfirm(t('commercial.suppliers.form.confirmDelete.address'), () => {
-        const removed = addresses.value[index]
-        if (removed?.id != null) removedAddressIds.value.push(removed.id)
-        addresses.value.splice(index, 1)
-        addressErrors.value.splice(index, 1)
-        // Garde au moins un bloc visible (cf. amorce a l'hydratation).
-        if (addresses.value.length === 0) addresses.value.push(emptyAddress())
-    })
+    askConfirm(t('commercial.suppliers.form.confirmDelete.address'), () => removeCollectionRow({
+        rows: addresses.value,
+        errors: addressErrors.value,
+        index,
+        endpoint: '/supplier_addresses',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyAddress,
+        onError: showError,
+    }))
 }
 
 function onAddressDegraded(): void {
@@ -744,17 +746,12 @@ function onAddressDegraded(): void {
     })
 }
 
-/** Valide l'onglet Adresses : DELETE des adresses retirees puis POST/PATCH. */
+/** Valide l'onglet Adresses : POST/PATCH des blocs restants (suppression en DELETE immediat, ERP-172). */
 async function submitAddresses(): Promise<void> {
     if (businessReadonly.value || tabSubmitting.value) return
     tabSubmitting.value = true
     addressErrors.value = []
     try {
-        for (const id of removedAddressIds.value) {
-            await api.delete(`/supplier_addresses/${id}`, {}, { toast: false })
-        }
-        removedAddressIds.value = []
-
         const hasError = await submitRows(
             addresses.value,
             addressErrors,
@@ -825,15 +822,18 @@ function addRib(): void {
     if (canAddRib.value) ribs.value.push(emptyRib())
 }
 
+// ERP-172 : DELETE immediat du RIB. Le back refuse la suppression du dernier RIB
+// d'une LCR (RG-2.08) -> 409 remonte via showError (message back), bloc conserve.
 function askRemoveRib(index: number): void {
-    askConfirm(t('commercial.suppliers.form.confirmDelete.rib'), () => {
-        const removed = ribs.value[index]
-        if (removed?.id != null) removedRibIds.value.push(removed.id)
-        ribs.value.splice(index, 1)
-        ribErrors.value.splice(index, 1)
-        // Garde au moins un bloc RIB visible (cf. amorce a l'hydratation).
-        if (ribs.value.length === 0) ribs.value.push(emptyRib())
-    })
+    askConfirm(t('commercial.suppliers.form.confirmDelete.rib'), () => removeCollectionRow({
+        rows: ribs.value,
+        errors: ribErrors.value,
+        index,
+        endpoint: '/supplier_ribs',
+        deleteRow: url => api.delete(url, {}, { toast: false }),
+        makeEmpty: emptyRib,
+        onError: showError,
+    }))
 }
 
 /**
@@ -842,11 +842,12 @@ function askRemoveRib(index: number): void {
  * cote back) PUIS DELETE des RIB explicitement retires. Les RIB crees d'abord : le
  * back valide RG-2.08 (LCR => au moins un RIB persiste) sur le PATCH scalaires.
  *
+ * ERP-172 : la suppression d'un RIB est traitee en DELETE immediat (askRemoveRib),
+ * plus de DELETE differe ici.
  * ERP-121 : les RIB ne sont (re)soumis QUE sous LCR — hors-LCR ce sont des
  * coordonnees dormantes conservees telles quelles, masquees a l'ecran et jamais
- * re-ecrites. `removedRibIds` ne contient plus que les suppressions EXPLICITES
- * (corbeille d'un bloc, toujours sous LCR). Aucun champ main/information dans le
- * payload (mode strict RG-2.16 : sinon 403 sur tout le payload).
+ * re-ecrites. Aucun champ main/information dans le payload (mode strict RG-2.16 :
+ * sinon 403 sur tout le payload).
  */
 async function submitAccounting(): Promise<void> {
     if (accountingReadonly.value || tabSubmitting.value) return
@@ -896,14 +897,6 @@ async function submitAccounting(): Promise<void> {
             return
         }
 
-        // 3) DELETE des RIB explicitement retires (corbeille d'un bloc) : APRES le
-        // PATCH scalaires (le guard back refuse la suppression du dernier RIB d'une
-        // LCR). ERP-121 : plus aucune suppression automatique au passage hors-LCR.
-        for (const id of removedRibIds.value) {
-            await api.delete(`/supplier_ribs/${id}`, {}, { toast: false })
-        }
-        removedRibIds.value = []
-
         toast.success({ title: t('commercial.suppliers.toast.updateSuccess') })
     }
     catch (e) {

frontend/modules/commercial/pages/suppliers/[id]/index.vue

@@ -263,7 +263,7 @@
 <script setup lang="ts">
 import { computed, onMounted, ref } from 'vue'
 import { useSupplier } from '~/modules/commercial/composables/useSupplier'
-import { buildSupplierFormTabKeys, isRibRequiredForPaymentType } from '~/modules/commercial/utils/supplierFormRules'
+import { buildSupplierFormTabKeys, isRibRequiredForPaymentType } from '~/modules/commercial/utils/forms/supplierFormRules'
 import { readHistoryTab } from '~/shared/utils/historyTab'
 import {
     canEditSupplier,
@@ -280,7 +280,7 @@ import {
     showRestoreAction,
     type SelectOption,
     type SupplierDetail,
-} from '~/modules/commercial/utils/supplierConsultation'
+} from '~/modules/commercial/utils/forms/supplierConsultation'
 import { emptyContact } from '~/modules/commercial/types/supplierForm'
 
 // Masque d'affichage (purement visuel, la donnee reste celle du serveur).

frontend/modules/commercial/pages/suppliers/new.vue

@@ -71,6 +71,7 @@
                         :readonly="isValidated('information')"
                         :editable="true"
                         :error="informationErrors.errors.foundedAt"
+                        @update:raw-value="(v: string) => information.foundedAtRaw = v"
                     />
                     <MalioInputText
                         v-model="information.employeesCount"
@@ -120,12 +121,16 @@
             <!-- Onglet Contacts -->
             <template #contacts>
                 <div class="mt-12 flex flex-col gap-6">
+                    <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                         enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                         bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                         bloc enregistre. -->
                     <SupplierContactBlock
                         v-for="(contact, index) in contacts"
                         :key="index"
                         :model-value="contact"
                         :title="t('commercial.suppliers.form.contact.title', { n: index + 1 })"
-                        :removable="index > 0"
+                        :removable="isRowRemovable(contacts, index)"
                         :readonly="isValidated('contacts')"
                         :errors="contactErrors[index]"
                         @update:model-value="(v) => contacts[index] = v"
@@ -162,7 +167,7 @@
                         :site-options="referentials.sites.value"
                         :contact-options="contactOptions"
                         :country-options="countryOptions"
-                        :removable="index > 0"
+                        :removable="isRowRemovable(addresses, index)"
                         :readonly="isValidated('addresses')"
                         :errors="addressErrors[index]"
                         @update:model-value="(v) => addresses[index] = v"
@@ -266,7 +271,7 @@
                         class="relative bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
                     >
                         <MalioButtonIcon
-                            v-if="!accountingReadonly && visibleRibs.length > 1"
+                            v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
                             icon="mdi:delete-outline"
                             variant="ghost"
                             button-class="absolute top-3 right-3"
@@ -361,7 +366,7 @@ import {
     isRibComplete,
     isRibRequiredForPaymentType,
     lastFillableTabKey,
-} from '~/modules/commercial/utils/supplierFormRules'
+} from '~/modules/commercial/utils/forms/supplierFormRules'
 import {
     buildAccountingPayload,
     buildAddressPayload,
@@ -369,7 +374,7 @@ import {
     buildInformationPayload,
     buildMainPayload,
     buildRibPayload,
-} from '~/modules/commercial/utils/supplierEdit'
+} from '~/modules/commercial/utils/forms/supplierEdit'
 import {
     emptyAddress,
     emptyContact,
@@ -379,6 +384,7 @@ import {
     type SupplierRibFormDraft,
 } from '~/modules/commercial/types/supplierForm'
 import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable } from '~/shared/utils/collectionRow'
 
 // Masques de saisie (la normalisation finale reste serveur).
 const SIREN_MASK = '#########'
@@ -549,6 +555,8 @@ const information = reactive({
     description: null as string | null,
     competitors: null as string | null,
     foundedAt: null as string | null,
+    // Saisie brute invalide remontee par MalioDate (cf. foundedAtRaw, MUI-44).
+    foundedAtRaw: '',
     employeesCount: null as string | null,
     revenueAmount: null as string | null,
     profitAmount: null as string | null,

frontend/modules/commercial/utils/forms/__tests__/clientEdit.spec.ts

@@ -36,6 +36,7 @@ function informationDraft(overrides: Partial<InformationFormDraft> = {}): Inform
         description: 'desc',
         competitors: 'concurrents',
         foundedAt: '2010-05-01',
+        foundedAtRaw: '',
         employeesCount: '42',
         revenueAmount: '1000000',
         profitAmount: '50000',
@@ -140,6 +141,16 @@ describe('buildInformationPayload — scoping strict groupe client:write:informa
         expect(payload.description).toBeNull()
         expect(payload.directorName).toBeNull()
     })
+
+    it('envoie la saisie invalide (foundedAtRaw) en priorite -> le back tranchera (422)', () => {
+        // Saisie malformee : on transmet le texte brut tel quel pour declencher la
+        // 422 back sur foundedAt (validation autoritaire du format, MUI-44).
+        expect(buildInformationPayload(informationDraft({ foundedAt: null, foundedAtRaw: '32/13/2026' })).foundedAt)
+            .toBe('32/13/2026')
+        // Saisie valide : foundedAtRaw vide -> on envoie la date ISO.
+        expect(buildInformationPayload(informationDraft({ foundedAt: '2010-05-01', foundedAtRaw: '' })).foundedAt)
+            .toBe('2010-05-01')
+    })
 })
 
 describe('buildAccountingPayload — scoping strict groupe client:write:accounting', () => {

frontend/modules/commercial/utils/forms/__tests__/supplierEdit.spec.ts

@@ -11,7 +11,7 @@ import {
     mapMainDraft,
     resolveTabEditability,
 } from '../supplierEdit'
-import type { SupplierDetail } from '~/modules/commercial/utils/supplierConsultation'
+import type { SupplierDetail } from '~/modules/commercial/utils/forms/supplierConsultation'
 import { emptyAddress, emptyContact, emptyRib } from '~/modules/commercial/types/supplierForm'
 
 describe('buildMainPayload (groupe supplier:write:main)', () => {
@@ -37,7 +37,7 @@ describe('buildMainPayload (groupe supplier:write:main)', () => {
 
 describe('buildInformationPayload (groupe supplier:write:information)', () => {
     const base = {
-        description: null, competitors: null, foundedAt: null, employeesCount: null,
+        description: null, competitors: null, foundedAt: null, foundedAtRaw: '', employeesCount: null,
         revenueAmount: null, profitAmount: null, directorName: null, volumeForecast: null,
     }
 
@@ -48,6 +48,15 @@ describe('buildInformationPayload (groupe supplier:write:information)', () => {
         })
         expect(buildInformationPayload(base)).toMatchObject({ employeesCount: null, volumeForecast: null })
     })
+
+    it('envoie la saisie invalide (foundedAtRaw) en priorite -> le back tranchera (422)', () => {
+        // Saisie malformee transmise telle quelle pour declencher la 422 back (MUI-44).
+        expect(buildInformationPayload({ ...base, foundedAt: null, foundedAtRaw: '32/13/2026' }).foundedAt)
+            .toBe('32/13/2026')
+        // Saisie valide : foundedAtRaw vide -> on envoie la date ISO.
+        expect(buildInformationPayload({ ...base, foundedAt: '2008-04-01', foundedAtRaw: '' }).foundedAt)
+            .toBe('2008-04-01')
+    })
 })
 
 describe('buildContactPayload (sous-ressource supplier_contact)', () => {

frontend/modules/commercial/utils/forms/clientEdit.ts

@@ -20,14 +20,14 @@ import {
     iriOf,
     relationOf,
     type ClientDetail,
-} from '~/modules/commercial/utils/clientConsultation'
+} from '~/modules/commercial/utils/forms/clientConsultation'
 import {
     ADDRESS_REQUIRED_NON_NULLABLE_KEYS,
     blankEmptyRequired,
     MAIN_REQUIRED_NON_NULLABLE_KEYS,
     omitEmptyRequired,
     RIB_REQUIRED_NON_NULLABLE_KEYS,
-} from '~/modules/commercial/utils/clientFormRules'
+} from '~/modules/commercial/utils/forms/clientFormRules'
 import type { AddressFormDraft, ContactFormDraft, RibFormDraft } from '~/modules/commercial/types/clientForm'
 
 /**
@@ -53,6 +53,13 @@ export interface InformationFormDraft {
     competitors: string | null
     /** Date de creation de l'entreprise au format YYYY-MM-DD (MalioDate). */
     foundedAt: string | null
+    /**
+     * Saisie brute invalide remontee par MalioDate (`@update:rawValue`) : '' tant
+     * que la saisie est valide/vide, sinon le texte tel que tape. On l'envoie au
+     * back en priorite sur `foundedAt` pour que la 422 (validation autoritaire du
+     * format, ERP-101) porte sur le champ et s'affiche inline. Cf. MUI-44.
+     */
+    foundedAtRaw: string
     /** Nombre de salaries en chaine (saisie masquee), converti en number au PATCH. */
     employeesCount: string | null
     revenueAmount: string | null
@@ -118,6 +125,8 @@ export function mapInformationDraft(client: ClientDetail): InformationFormDraft
         competitors: client.competitors ?? null,
         // MalioDate attend strictement YYYY-MM-DD : on tronque l'ISO datetime.
         foundedAt: client.foundedAt ? client.foundedAt.slice(0, 10) : null,
+        // Aucune saisie brute invalide au chargement (la valeur stockee est valide).
+        foundedAtRaw: '',
         employeesCount: client.employeesCount != null ? String(client.employeesCount) : null,
         revenueAmount: client.revenueAmount ?? null,
         profitAmount: client.profitAmount ?? null,
@@ -191,7 +200,9 @@ export function buildInformationPayload(information: InformationFormDraft): Reco
     return {
         description: information.description || null,
         competitors: information.competitors || null,
-        foundedAt: information.foundedAt || null,
+        // Saisie invalide (foundedAtRaw) prioritaire : on l'envoie telle quelle
+        // pour que le back renvoie une 422 sur foundedAt (cf. foundedAtRaw).
+        foundedAt: information.foundedAtRaw || information.foundedAt || null,
         employeesCount: information.employeesCount ? Number(information.employeesCount) : null,
         revenueAmount: information.revenueAmount || null,
         profitAmount: information.profitAmount || null,

frontend/modules/commercial/utils/forms/supplierEdit.ts

@@ -17,8 +17,8 @@ import {
     MAIN_REQUIRED_NON_NULLABLE_KEYS,
     omitEmptyRequired,
     RIB_REQUIRED_NON_NULLABLE_KEYS,
-} from '~/modules/commercial/utils/supplierFormRules'
-import { iriOf, type SupplierDetail } from '~/modules/commercial/utils/supplierConsultation'
+} from '~/modules/commercial/utils/forms/supplierFormRules'
+import { iriOf, type SupplierDetail } from '~/modules/commercial/utils/forms/supplierConsultation'
 import type {
     SupplierAddressFormDraft,
     SupplierContactFormDraft,
@@ -38,6 +38,13 @@ export interface InformationFormDraft {
     competitors: string | null
     /** Date de creation de l'entreprise au format YYYY-MM-DD (MalioDate). */
     foundedAt: string | null
+    /**
+     * Saisie brute invalide remontee par MalioDate (`@update:rawValue`) : '' tant
+     * que la saisie est valide/vide, sinon le texte tel que tape. On l'envoie au
+     * back en priorite sur `foundedAt` pour que la 422 (validation autoritaire du
+     * format, ERP-101) porte sur le champ et s'affiche inline. Cf. MUI-44.
+     */
+    foundedAtRaw: string
     /** Nombre de salaries en chaine (saisie masquee), converti en number au PATCH. */
     employeesCount: string | null
     revenueAmount: string | null
@@ -95,6 +102,8 @@ export function mapInformationDraft(supplier: SupplierDetail): InformationFormDr
         competitors: supplier.competitors ?? null,
         // MalioDate attend strictement YYYY-MM-DD : on tronque l'ISO datetime.
         foundedAt: supplier.foundedAt ? supplier.foundedAt.slice(0, 10) : null,
+        // Aucune saisie brute invalide au chargement (la valeur stockee est valide).
+        foundedAtRaw: '',
         employeesCount: supplier.employeesCount != null ? String(supplier.employeesCount) : null,
         revenueAmount: supplier.revenueAmount ?? null,
         profitAmount: supplier.profitAmount ?? null,
@@ -177,7 +186,9 @@ export function buildInformationPayload(information: InformationFormDraft): Reco
     return {
         description: information.description || null,
         competitors: information.competitors || null,
-        foundedAt: information.foundedAt || null,
+        // Saisie invalide (foundedAtRaw) prioritaire : on l'envoie telle quelle
+        // pour que le back renvoie une 422 sur foundedAt (cf. foundedAtRaw).
+        foundedAt: information.foundedAtRaw || information.foundedAt || null,
         employeesCount: information.employeesCount ? Number(information.employeesCount) : null,
         revenueAmount: information.revenueAmount || null,
         profitAmount: information.profitAmount || null,

frontend/modules/technique/components/ProviderAddressBlock.vue

@@ -0,0 +1,269 @@
+<template>
+    <div class="relative grid grid-cols-4 gap-x-[44px] gap-y-4 bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]">
+        <!-- Suppression : modal de confirmation cote parent. -->
+        <MalioButtonIcon
+            v-if="removable && !readonly"
+            icon="mdi:delete-outline"
+            variant="ghost"
+            button-class="absolute top-3 right-3"
+            v-bind="{ ariaLabel: t('technique.providers.form.address.remove') }"
+            @click="$emit('remove')"
+        />
+
+        <!-- Sites Starseed : multiselect a tags (>= 1 obligatoire, RG-3.05). -->
+        <MalioSelectCheckbox
+            :model-value="model.siteIris"
+            :options="siteOptions"
+            :label="t('technique.providers.form.address.sites')"
+            :display-tag="true"
+            :readonly="readonly"
+            :required="true"
+            :error="errors?.sites"
+            @update:model-value="(v: (string | number)[]) => update('siteIris', v.map(String))"
+        />
+
+        <!-- Categories de type PRESTATAIRE (>= 1 obligatoire, RG-3.09). -->
+        <MalioSelectCheckbox
+            :model-value="model.categoryIris"
+            :options="categoryOptions"
+            :label="t('technique.providers.form.address.categories')"
+            :display-tag="true"
+            :readonly="readonly"
+            :required="true"
+            :error="errors?.categories"
+            @update:model-value="(v: (string | number)[]) => update('categoryIris', v.map(String))"
+        />
+
+        <!-- Contacts rattaches (M2M, facultatif) : alimente par l'onglet Contact. -->
+        <MalioSelectCheckbox
+            :model-value="model.contactIris"
+            :options="contactOptions"
+            :label="t('technique.providers.form.address.contacts')"
+            :display-tag="true"
+            :readonly="readonly"
+            @update:model-value="(v: (string | number)[]) => update('contactIris', v.map(String))"
+        />
+
+        <MalioSelect
+            :model-value="model.country"
+            :options="countryOptions"
+            :label="t('technique.providers.form.address.country')"
+            :readonly="readonly"
+            :required="true"
+            @update:model-value="(v: string | number | null) => update('country', String(v ?? 'France'))"
+        />
+
+        <MalioInputText
+            :model-value="model.postalCode"
+            :label="t('technique.providers.form.address.postalCode')"
+            :mask="POSTAL_CODE_MASK"
+            :readonly="readonly"
+            :required="true"
+            :error="errors?.postalCode"
+            @update:model-value="onPostalCodeChange"
+        />
+
+        <!-- Ville : MalioSelect alimente par le code postal (BAN). Saisie libre si BAN indispo. -->
+        <MalioSelect
+            v-if="!degraded"
+            :model-value="model.city"
+            :options="cityOptions"
+            :label="t('technique.providers.form.address.city')"
+            :readonly="readonly"
+            empty-option-label=""
+            :required="true"
+            :error="errors?.city"
+            @update:model-value="(v: string | number | null) => update('city', v === null ? null : String(v))"
+        />
+        <MalioInputText
+            v-else
+            :model-value="model.city"
+            :label="t('technique.providers.form.address.city')"
+            :readonly="readonly"
+            :required="true"
+            :error="errors?.city"
+            @update:model-value="(v: string) => update('city', v)"
+        />
+
+        <!-- Adresse (BAN) sur 2 colonnes + Adresse complementaire. allow-create : le
+             texte saisi est conserve si la BAN ne propose rien (saisie manuelle). -->
+        <div class="col-span-2">
+            <MalioInputAutocomplete
+                v-if="!readonly"
+                :model-value="model.street"
+                :options="addressOptions"
+                :loading="addressLoading"
+                :min-search-length="3"
+                :label="t('technique.providers.form.address.street')"
+                :readonly="readonly"
+                :required="true"
+                :error="errors?.street"
+                :allow-create="true"
+                :no-results-text="t('technique.providers.form.address.streetNotFound')"
+                @update:model-value="(v: string | number | null) => update('street', v === null ? null : String(v))"
+                @search="onAddressSearch"
+                @select="onAddressSelect"
+            />
+            <MalioInputText
+                v-else
+                :model-value="model.street"
+                :label="t('technique.providers.form.address.street')"
+                :readonly="readonly"
+                :required="true"
+                :error="errors?.street"
+                @update:model-value="(v: string) => update('street', v)"
+            />
+        </div>
+
+        <div class="col-span-1">
+            <MalioInputText
+                :model-value="model.streetComplement"
+                :label="t('technique.providers.form.address.streetComplement')"
+                :readonly="readonly"
+                :error="errors?.streetComplement"
+                @update:model-value="(v: string) => update('streetComplement', v)"
+            />
+        </div>
+    </div>
+</template>
+
+<script setup lang="ts">
+import { useAddressAutocomplete, type AddressSuggestion } from '~/shared/composables/useAddressAutocomplete'
+import type { RefOption } from '~/modules/technique/composables/useProviderReferentials'
+import type { ProviderAddressFormDraft } from '~/modules/technique/types/providerForm'
+
+// Masque code postal FR : 5 chiffres.
+const POSTAL_CODE_MASK = '#####'
+
+const props = defineProps<{
+    /** Brouillon de l'adresse (v-model). */
+    modelValue: ProviderAddressFormDraft
+    /** Categories autorisees sur une adresse (type PRESTATAIRE). */
+    categoryOptions: RefOption[]
+    /** Sites Starseed disponibles. */
+    siteOptions: RefOption[]
+    /** Contacts deja saisis, rattachables a l'adresse. */
+    contactOptions: RefOption[]
+    /** Pays disponibles (France par defaut). */
+    countryOptions: RefOption[]
+    removable?: boolean
+    readonly?: boolean
+    /** Erreurs serveur 422 de cette ligne, indexees par champ (ERP-101). */
+    errors?: Record<string, string>
+}>()
+
+const emit = defineEmits<{
+    'update:modelValue': [value: ProviderAddressFormDraft]
+    'remove': []
+    /** Emis une fois quand le service d'autocompletion bascule en indisponible. */
+    'degraded': []
+}>()
+
+const { t } = useI18n()
+const autocomplete = useAddressAutocomplete()
+
+const model = computed(() => props.modelValue)
+
+// Repli saisie libre de la VILLE quand la BAN est indisponible (recuperable).
+const degraded = ref(false)
+let unavailableNotified = false
+const banCityOptions = ref<RefOption[]>([])
+const banAddressOptions = ref<RefOption[]>([])
+
+// Options ville effectives : on garantit que la ville courante figure toujours
+// dans la liste, sinon MalioSelect afficherait un champ vide en lecture seule.
+const cityOptions = computed<RefOption[]>(() => {
+    const current = props.modelValue.city
+    if (current && !banCityOptions.value.some(o => o.value === current)) {
+        return [{ value: current, label: current }, ...banCityOptions.value]
+    }
+    return banCityOptions.value
+})
+
+// Meme garantie pour le champ Adresse : la rue courante doit toujours figurer
+// dans les options, sinon MalioInputAutocomplete laisse le champ vide.
+const addressOptions = computed<RefOption[]>(() => {
+    const current = props.modelValue.street
+    if (current && !banAddressOptions.value.some(o => o.value === current)) {
+        return [{ value: current, label: current }, ...banAddressOptions.value]
+    }
+    return banAddressOptions.value
+})
+const addressLoading = ref(false)
+// Conserve les suggestions d'adresse pour retrouver ville/CP au moment du select.
+let lastAddressSuggestions: AddressSuggestion[] = []
+
+/** Emet un nouveau brouillon avec le champ modifie (immutabilite). */
+function update<K extends keyof ProviderAddressFormDraft>(field: K, value: ProviderAddressFormDraft[K]): void {
+    emit('update:modelValue', { ...props.modelValue, [field]: value })
+}
+
+/** Previent le parent (toast unique) que l'autocompletion est indisponible. */
+function notifyUnavailable(): void {
+    if (!unavailableNotified) {
+        unavailableNotified = true
+        emit('degraded')
+    }
+}
+
+/** Saisie du code postal → met a jour le champ + interroge la BAN pour la ville (RG-3.06). */
+async function onPostalCodeChange(value: string): Promise<void> {
+    update('postalCode', value)
+
+    const digits = (value ?? '').replace(/\D/g, '')
+    if (digits.length < 5) {
+        return
+    }
+    try {
+        const suggestions = await autocomplete.searchCity(digits)
+        banCityOptions.value = suggestions.map(s => ({ value: s.city, label: s.city }))
+        degraded.value = false
+    }
+    catch {
+        degraded.value = true
+        notifyUnavailable()
+    }
+}
+
+/** Recherche d'adresse assistee (event de MalioInputAutocomplete). */
+async function onAddressSearch(query: string): Promise<void> {
+    // La BAN exige au moins 3 caracteres : on n'envoie rien en deca (evite un 400).
+    if (query.trim().length < 3) {
+        banAddressOptions.value = []
+        return
+    }
+    addressLoading.value = true
+    try {
+        const postalCode = (model.value.postalCode ?? '').replace(/\D/g, '') || undefined
+        const suggestions = await autocomplete.searchAddress(query, postalCode)
+        lastAddressSuggestions = suggestions
+        banAddressOptions.value = suggestions.map(s => ({ value: s.street, label: s.label }))
+    }
+    catch {
+        // Erreur transitoire : on vide les suggestions, la prochaine frappe reessaie.
+        banAddressOptions.value = []
+        notifyUnavailable()
+    }
+    finally {
+        addressLoading.value = false
+    }
+}
+
+/** Selection d'une suggestion d'adresse → remplit rue + ville + CP. */
+function onAddressSelect(option: { label: string, value: string | number } | null): void {
+    if (option === null) {
+        return
+    }
+    const suggestion = lastAddressSuggestions.find(s => s.street === option.value)
+    if (!suggestion) {
+        update('street', String(option.value))
+        return
+    }
+    emit('update:modelValue', {
+        ...props.modelValue,
+        street: suggestion.street,
+        city: suggestion.city,
+        postalCode: suggestion.postalCode,
+    })
+}
+</script>

frontend/modules/technique/components/ProviderContactBlock.vue

@@ -0,0 +1,108 @@
+<template>
+    <div class="relative grid grid-cols-4 gap-x-[44px] gap-y-4 bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]">
+        <!-- Suppression : ouvre une modal de confirmation cote parent. Masquee si
+             non supprimable (1er bloc) ou en lecture seule. -->
+        <MalioButtonIcon
+            v-if="removable && !readonly"
+            icon="mdi:delete-outline"
+            variant="ghost"
+            button-class="absolute top-3 right-3"
+            v-bind="{ ariaLabel: t('technique.providers.form.contact.remove') }"
+            @click="$emit('remove')"
+        />
+
+        <MalioInputText
+            :model-value="model.lastName"
+            :label="t('technique.providers.form.contact.lastName')"
+            :readonly="readonly"
+            :error="errors?.lastName"
+            @update:model-value="(v: string) => update('lastName', v)"
+        />
+        <MalioInputText
+            :model-value="model.firstName"
+            :label="t('technique.providers.form.contact.firstName')"
+            :readonly="readonly"
+            :error="errors?.firstName"
+            @update:model-value="(v: string) => update('firstName', v)"
+        />
+        <!-- Fonction sur 2 colonnes : on wrappe car MalioInputText
+             (inheritAttrs:false) renvoie `class` sur l'input interne, pas sur la
+             cellule de grille. Le wrapper porte le col-span-2, le champ le remplit. -->
+        <div class="col-span-2">
+            <MalioInputText
+                :model-value="model.jobTitle"
+                :label="t('technique.providers.form.contact.jobTitle')"
+                :readonly="readonly"
+                :error="errors?.jobTitle"
+                @update:model-value="(v: string) => update('jobTitle', v)"
+            />
+        </div>
+        <MalioInputEmail
+            :model-value="model.email"
+            :label="t('technique.providers.form.contact.email')"
+            :readonly="readonly"
+            :lowercase="true"
+            :error="errors?.email"
+            @update:model-value="(v: string) => update('email', v)"
+        />
+        <MalioInputPhone
+            :model-value="model.phonePrimary"
+            :label="t('technique.providers.form.contact.phonePrimary')"
+            :mask="PHONE_MASK"
+            :readonly="readonly"
+            :error="errors?.phonePrimary"
+            :addable="!model.hasSecondaryPhone && !readonly"
+            :add-button-label="t('technique.providers.form.contact.addPhone')"
+            @update:model-value="(v: string) => update('phonePrimary', v)"
+            @add="revealSecondaryPhone"
+        />
+        <!-- 2e numero : revele a la demande (max 2 telephones par contact). -->
+        <MalioInputPhone
+            v-if="model.hasSecondaryPhone"
+            :model-value="model.phoneSecondary"
+            :label="t('technique.providers.form.contact.phoneSecondary')"
+            :mask="PHONE_MASK"
+            :readonly="readonly"
+            :error="errors?.phoneSecondary"
+            @update:model-value="(v: string) => update('phoneSecondary', v)"
+        />
+    </div>
+</template>
+
+<script setup lang="ts">
+import type { ProviderContactFormDraft } from '~/modules/technique/types/providerForm'
+
+// Masque telephone FR : 5 groupes de 2 chiffres (la normalisation finale reste serveur).
+const PHONE_MASK = '## ## ## ## ##'
+
+const props = defineProps<{
+    /** Brouillon du contact (v-model). */
+    modelValue: ProviderContactFormDraft
+    /** Affiche l'icone de suppression (1er bloc non supprimable). */
+    removable?: boolean
+    /** Bloc en lecture seule (onglet valide). */
+    readonly?: boolean
+    /** Erreurs serveur 422 de cette ligne, indexees par champ (ERP-101). */
+    errors?: Record<string, string>
+}>()
+
+const emit = defineEmits<{
+    'update:modelValue': [value: ProviderContactFormDraft]
+    'remove': []
+}>()
+
+const { t } = useI18n()
+
+// Alias local pour la lisibilite du template.
+const model = computed(() => props.modelValue)
+
+/** Emet un nouveau brouillon avec le champ modifie (immutabilite). */
+function update<K extends keyof ProviderContactFormDraft>(field: K, value: ProviderContactFormDraft[K]): void {
+    emit('update:modelValue', { ...props.modelValue, [field]: value })
+}
+
+/** Revele le 2e numero (max 1 secondaire, le « + » disparait). */
+function revealSecondaryPhone(): void {
+    emit('update:modelValue', { ...props.modelValue, hasSecondaryPhone: true })
+}
+</script>

frontend/modules/technique/components/__tests__/ProviderAddressBlock.spec.ts

@@ -0,0 +1,157 @@
+import { describe, it, expect, vi, beforeEach } from 'vitest'
+import { mount, flushPromises } from '@vue/test-utils'
+import { defineComponent, h, ref, computed } from 'vue'
+import { emptyProviderAddress } from '~/modules/technique/types/providerForm'
+import ProviderAddressBlock from '../ProviderAddressBlock.vue'
+
+// Mocks controlables du composable BAN (hoisted), reutilise tel quel du M1/M2.
+const { searchCityMock, searchAddressMock } = vi.hoisted(() => ({
+    searchCityMock: vi.fn(),
+    searchAddressMock: vi.fn(),
+}))
+vi.mock('~/shared/composables/useAddressAutocomplete', () => ({
+    useAddressAutocomplete: () => ({
+        searchCity: searchCityMock,
+        searchAddress: searchAddressMock,
+    }),
+}))
+
+// Auto-imports Nuxt/Vue utilises sans import explicite par le composant.
+vi.stubGlobal('useI18n', () => ({ t: (key: string) => key }))
+vi.stubGlobal('ref', ref)
+vi.stubGlobal('computed', computed)
+
+// Stub de MalioInputAutocomplete : expose les `value` des options + allowCreate.
+const MalioInputAutocompleteStub = defineComponent({
+    name: 'MalioInputAutocomplete',
+    props: {
+        modelValue: { type: [String, Number, null], default: undefined },
+        options: { type: Array as () => { value: string | number, label: string }[], default: () => [] },
+        loading: { type: Boolean, default: false },
+        minSearchLength: { type: Number, default: 0 },
+        label: { type: String, default: '' },
+        readonly: { type: Boolean, default: false },
+        allowCreate: { type: Boolean, default: false },
+    },
+    emits: ['update:modelValue', 'search', 'select'],
+    setup(props) {
+        return () => h('div', {
+            'data-testid': 'addr-autocomplete',
+            'data-options': JSON.stringify(props.options.map(o => o.value)),
+        })
+    },
+})
+
+function mountBlock(overrides: Record<string, unknown> = {}, errors?: Record<string, string>) {
+    return mount(ProviderAddressBlock, {
+        props: {
+            modelValue: { ...emptyProviderAddress(), ...overrides },
+            categoryOptions: [],
+            siteOptions: [],
+            contactOptions: [],
+            countryOptions: [],
+            ...(errors ? { errors } : {}),
+        },
+        global: {
+            stubs: {
+                MalioButtonIcon: true,
+                MalioSelect: true,
+                MalioSelectCheckbox: true,
+                MalioInputText: true,
+                MalioInputAutocomplete: MalioInputAutocompleteStub,
+            },
+        },
+    })
+}
+
+describe('ProviderAddressBlock — version simplifiee M3 (pas de type/bennes/triage)', () => {
+    it('ne rend NI type d\'adresse, NI bennes, NI prestation de triage (difference M2)', () => {
+        const wrapper = mountBlock()
+        // Pas de stepper (bennes) ni de case a cocher (triage) dans le bloc M3.
+        expect(wrapper.find('malio-input-number-stub').exists()).toBe(false)
+        expect(wrapper.find('malio-checkbox-stub').exists()).toBe(false)
+        // Aucun select ne porte le label « type d'adresse ».
+        const hasAddressType = wrapper.findAll('malio-select-stub').some(
+            el => el.attributes('label') === 'technique.providers.form.address.addressType',
+        )
+        expect(hasAddressType).toBe(false)
+    })
+})
+
+describe('ProviderAddressBlock — mapping erreur par champ (ERP-101)', () => {
+    it('affiche les erreurs serveur sur sites et categories (RG-3.05 / RG-3.09)', () => {
+        const wrapper = mountBlock({}, {
+            sites: 'Au moins un site est obligatoire.',
+            categories: 'Au moins une catégorie est obligatoire.',
+        })
+        const checkboxes = wrapper.findAll('malio-select-checkbox-stub')
+        const sitesField = checkboxes.find(el => el.attributes('label') === 'technique.providers.form.address.sites')
+        const categoriesField = checkboxes.find(el => el.attributes('label') === 'technique.providers.form.address.categories')
+
+        expect(sitesField?.attributes('error')).toBe('Au moins un site est obligatoire.')
+        expect(categoriesField?.attributes('error')).toBe('Au moins une catégorie est obligatoire.')
+    })
+
+    it('affiche l\'erreur serveur sur le code postal', () => {
+        const wrapper = mountBlock({}, { postalCode: 'Code postal invalide.' })
+        const field = wrapper.findAll('malio-input-text-stub').find(
+            el => el.attributes('label') === 'technique.providers.form.address.postalCode',
+        )
+        expect(field?.attributes('error')).toBe('Code postal invalide.')
+    })
+})
+
+describe('ProviderAddressBlock — autocompletion BAN (RG-3.06)', () => {
+    beforeEach(() => {
+        searchCityMock.mockReset()
+        searchAddressMock.mockReset()
+    })
+
+    it('n\'appelle pas la BAN en deca de 3 caracteres', async () => {
+        const wrapper = mountBlock()
+        wrapper.findComponent(MalioInputAutocompleteStub).vm.$emit('search', 'ab')
+        await flushPromises()
+        expect(searchAddressMock).not.toHaveBeenCalled()
+    })
+
+    it('relance la recherche apres une erreur (pas de bascule definitive)', async () => {
+        searchAddressMock
+            .mockRejectedValueOnce(new Error('BAN indisponible'))
+            .mockResolvedValueOnce([
+                { label: '1 rue du Test, Châtellerault', street: '1 rue du Test', postalCode: '86100', city: 'Châtellerault' },
+            ])
+        const wrapper = mountBlock()
+        const auto = wrapper.findComponent(MalioInputAutocompleteStub)
+
+        auto.vm.$emit('search', 'rue du test')
+        await flushPromises()
+        auto.vm.$emit('search', 'rue du teste')
+        await flushPromises()
+
+        expect(searchAddressMock).toHaveBeenCalledTimes(2)
+    })
+
+    it('cas degrade : la BAN echoue -> emet « degraded » une seule fois (RG-3.06)', async () => {
+        searchAddressMock.mockRejectedValue(new Error('BAN indisponible'))
+        const wrapper = mountBlock()
+        const auto = wrapper.findComponent(MalioInputAutocompleteStub)
+
+        auto.vm.$emit('search', 'rue du test')
+        await flushPromises()
+        auto.vm.$emit('search', 'rue du teste')
+        await flushPromises()
+
+        expect(wrapper.emitted('degraded')).toHaveLength(1)
+    })
+
+    it('active allow-create sur le champ Adresse (saisie manuelle libre)', () => {
+        const wrapper = mountBlock()
+        expect(wrapper.findComponent(MalioInputAutocompleteStub).props('allowCreate')).toBe(true)
+    })
+
+    it('inclut la rue courante dans les options meme sans recherche BAN', () => {
+        const wrapper = mountBlock({ street: '1 rue du Test' })
+        const values = JSON.parse(wrapper.find('[data-testid="addr-autocomplete"]').attributes('data-options') ?? '[]')
+        expect(values).toContain('1 rue du Test')
+    })
+})

frontend/modules/technique/components/__tests__/ProviderContactBlock.spec.ts

@@ -0,0 +1,55 @@
+import { describe, it, expect, vi } from 'vitest'
+import { mount } from '@vue/test-utils'
+import { defineComponent, h, ref, computed } from 'vue'
+import { emptyProviderContact } from '~/modules/technique/types/providerForm'
+import ProviderContactBlock from '../ProviderContactBlock.vue'
+
+// Auto-imports Nuxt/Vue utilises sans import explicite par le composant.
+vi.stubGlobal('useI18n', () => ({ t: (key: string) => key }))
+vi.stubGlobal('ref', ref)
+vi.stubGlobal('computed', computed)
+
+/** Stub d'un champ Malio qui re-expose la prop `error` recue dans un data-* attribut. */
+function errorProbe(testid: string) {
+    return defineComponent({
+        name: `Probe-${testid}`,
+        props: {
+            modelValue: { type: [String, Number, null], default: undefined },
+            error: { type: String, default: '' },
+            label: { type: String, default: '' },
+            readonly: { type: Boolean, default: false },
+        },
+        setup(props) {
+            return () => h('div', { 'data-testid': testid, 'data-error': props.error })
+        },
+    })
+}
+
+function mountBlock(errors?: Record<string, string>) {
+    return mount(ProviderContactBlock, {
+        props: {
+            modelValue: emptyProviderContact(),
+            ...(errors ? { errors } : {}),
+        },
+        global: {
+            stubs: {
+                MalioButtonIcon: true,
+                MalioInputPhone: true,
+                MalioInputText: errorProbe('contact-text'),
+                MalioInputEmail: errorProbe('contact-email'),
+            },
+        },
+    })
+}
+
+describe('ProviderContactBlock — mapping erreur par champ (ERP-101)', () => {
+    it('affiche l\'erreur serveur sur le champ email via la prop errors', () => {
+        const wrapper = mountBlock({ email: 'L\'adresse email n\'est pas valide.' })
+        expect(wrapper.find('[data-testid="contact-email"]').attributes('data-error')).toBe('L\'adresse email n\'est pas valide.')
+    })
+
+    it('laisse les champs sans erreur quand errors est absent', () => {
+        const wrapper = mountBlock()
+        expect(wrapper.find('[data-testid="contact-email"]').attributes('data-error')).toBe('')
+    })
+})

frontend/modules/technique/composables/__tests__/useProviderForm.test.ts

@@ -0,0 +1,653 @@
+import { beforeEach, describe, expect, it, vi } from 'vitest'
+
+/**
+ * Tests du workflow « Ajouter un prestataire » (M3 Technique, ERP-141).
+ *
+ * `useProviderForm` porte le formulaire principal (Nom + Categorie + Site) et
+ * l'orchestration des onglets de creation. On verifie ici le CONTRAT propre a la
+ * creation :
+ *  - RG-3.03 (front) : au moins un site requis ; RG-3.09 : au moins une categorie
+ *    -> POST bloque, erreurs inline, aucun appel reseau.
+ *  - POST /providers (groupe provider:write:main) : payload IRIs + Accept ld+json
+ *    + toast:false ; au succes, verrouillage + bascule sur l'onglet Contact +
+ *    reaffichage du nom normalise.
+ *  - 409 doublon (RG-3.10) -> erreur inline dediee sur companyName.
+ *  - 422 -> mapping inline par champ (propertyPath).
+ *  - Onglets : « Comptabilite » present uniquement avec accounting.view ;
+ *    completeTab deverrouille/avance et signale le dernier onglet.
+ */
+
+const mockPost = vi.hoisted(() => vi.fn())
+const mockPatch = vi.hoisted(() => vi.fn())
+// Permissions comptables pilotables par test (presence/edition de l'onglet Comptabilite).
+const permState = vi.hoisted(() => ({ accountingView: false, accountingManage: false }))
+
+vi.stubGlobal('useApi', () => ({
+    get: vi.fn(),
+    post: mockPost,
+    put: vi.fn(),
+    patch: mockPatch,
+    delete: vi.fn(),
+}))
+vi.stubGlobal('useI18n', () => ({ t: (key: string) => key }))
+vi.stubGlobal('useToast', () => ({
+    success: vi.fn(),
+    error: vi.fn(),
+    warning: vi.fn(),
+    info: vi.fn(),
+}))
+vi.stubGlobal('usePermissions', () => ({
+    can: (perm: string) => {
+        if (perm === 'technique.providers.accounting.view') return permState.accountingView
+        if (perm === 'technique.providers.accounting.manage') return permState.accountingManage
+        return true
+    },
+}))
+
+const { useProviderForm, buildProviderCreateTabKeys } = await import('../useProviderForm')
+const { emptyProviderContact, emptyProviderAddress } = await import('~/modules/technique/types/providerForm')
+type ProviderForm = ReturnType<typeof useProviderForm>
+
+const SITE_86 = '/api/sites/1'
+const CAT_MAINT = '/api/categories/7'
+
+/** Accede a un bloc contact (cast : sous noUncheckedIndexedAccess l'index est optionnel). */
+function contactAt(form: ProviderForm, index = 0) {
+    return form.contacts.value[index] ?? emptyProviderContact()
+}
+
+/** Accede a un bloc adresse (idem). */
+function addressAt(form: ProviderForm, index = 0) {
+    return form.addresses.value[index] ?? emptyProviderAddress()
+}
+
+describe('useProviderForm', () => {
+    beforeEach(() => {
+        mockPost.mockReset()
+        mockPatch.mockReset()
+        permState.accountingView = false
+        permState.accountingManage = false
+    })
+
+    it('front : formulaire principal vide -> erreurs sur nom + site + categorie, pas de POST', async () => {
+        const form = useProviderForm()
+
+        const created = await form.submitMain()
+
+        expect(created).toBe(false)
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(form.mainErrors.errors.companyName).toBe('technique.providers.form.errors.nameRequired')
+        expect(form.mainErrors.errors.sites).toBe('technique.providers.form.errors.siteRequired')
+        expect(form.mainErrors.errors.categories).toBe('technique.providers.form.errors.categoryRequired')
+        expect(form.mainLocked.value).toBe(false)
+    })
+
+    it('RG-3.03 (front) : un site present sans categorie n\'erre que sur categories', async () => {
+        const form = useProviderForm()
+        form.main.companyName = 'Maintenance Pro'
+        form.main.siteIris = [SITE_86]
+
+        await form.submitMain()
+
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(form.mainErrors.errors.sites).toBeUndefined()
+        expect(form.mainErrors.errors.categories).toBe('technique.providers.form.errors.categoryRequired')
+    })
+
+    it('POST /providers avec IRIs + Accept ld+json, verrouille et bascule sur Contact', async () => {
+        mockPost.mockResolvedValueOnce({ id: 42, companyName: 'MAINTENANCE PRO' })
+        const form = useProviderForm()
+        form.main.companyName = 'Maintenance Pro'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const created = await form.submitMain()
+
+        expect(created).toBe(true)
+        expect(mockPost).toHaveBeenCalledTimes(1)
+        const [url, body, opts] = mockPost.mock.calls[0] ?? []
+        expect(url).toBe('/providers')
+        expect(body).toEqual({
+            companyName: 'Maintenance Pro',
+            categories: [CAT_MAINT],
+            sites: [SITE_86],
+        })
+        expect(opts).toMatchObject({ toast: false, headers: { Accept: 'application/ld+json' } })
+
+        expect(form.providerId.value).toBe(42)
+        // RG-3.11 : reaffiche le nom normalise (UPPERCASE) renvoye par le serveur.
+        expect(form.main.companyName).toBe('MAINTENANCE PRO')
+        expect(form.mainLocked.value).toBe(true)
+        expect(form.activeTab.value).toBe('contact')
+        expect(form.unlockedIndex.value).toBe(0)
+    })
+
+    it('front : nom vide/espaces -> erreur inline sur companyName, pas de POST', async () => {
+        const form = useProviderForm()
+        form.main.companyName = '   '
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const created = await form.submitMain()
+
+        expect(created).toBe(false)
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(form.mainErrors.errors.companyName).toBe('technique.providers.form.errors.nameRequired')
+    })
+
+    it('409 doublon (RG-3.10) : erreur inline dediee sur companyName, pas de verrouillage', async () => {
+        mockPost.mockRejectedValueOnce({ response: { status: 409 } })
+        const form = useProviderForm()
+        form.main.companyName = 'Doublon'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const created = await form.submitMain()
+
+        expect(created).toBe(false)
+        expect(form.mainErrors.errors.companyName).toBe('technique.providers.form.duplicateCompany')
+        expect(form.mainLocked.value).toBe(false)
+    })
+
+    it('422 : mappe les violations serveur inline par champ', async () => {
+        mockPost.mockRejectedValueOnce({
+            response: {
+                status: 422,
+                _data: { violations: [{ propertyPath: 'sites', message: 'Au moins un site est requis.' }] },
+            },
+        })
+        const form = useProviderForm()
+        form.main.companyName = 'X'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const created = await form.submitMain()
+
+        expect(created).toBe(false)
+        expect(form.mainErrors.errors.sites).toBe('Au moins un site est requis.')
+    })
+
+    it('onglet Comptabilite : absent sans accounting.view, present avec', () => {
+        expect(buildProviderCreateTabKeys(false)).toEqual(['contact', 'address'])
+        expect(buildProviderCreateTabKeys(true)).toEqual(['contact', 'address', 'accounting'])
+
+        permState.accountingView = true
+        const form = useProviderForm()
+        expect(form.tabKeys.value).toEqual(['contact', 'address', 'accounting'])
+    })
+
+    it('completeTab : deverrouille/avance, et signale le dernier onglet du flux', () => {
+        const form = useProviderForm()
+
+        // Contact -> Adresse (pas le dernier).
+        expect(form.completeTab('contact')).toBe(false)
+        expect(form.isValidated('contact')).toBe(true)
+        expect(form.activeTab.value).toBe('address')
+        expect(form.unlockedIndex.value).toBe(1)
+
+        // Adresse = dernier onglet remplissable (sans accounting.view) -> true.
+        expect(form.completeTab('address')).toBe(true)
+        expect(form.isValidated('address')).toBe(true)
+    })
+
+    it('patchProvider : PATCH /providers/{id} en mode strict, no-op avant creation', async () => {
+        const form = useProviderForm()
+
+        await form.patchProvider({ siren: '123456789' })
+        expect(mockPatch).not.toHaveBeenCalled()
+
+        mockPost.mockResolvedValueOnce({ id: 9, companyName: 'ACME' })
+        form.main.companyName = 'Acme'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+        await form.submitMain()
+
+        await form.patchProvider({ siren: '123456789' })
+        expect(mockPatch).toHaveBeenCalledWith('/providers/9', { siren: '123456789' }, { toast: false })
+    })
+})
+
+describe('useProviderForm — onglet Contact (ERP-142)', () => {
+    beforeEach(() => {
+        mockPost.mockReset()
+        mockPatch.mockReset()
+        permState.accountingView = false
+        permState.accountingManage = false
+    })
+
+    /** Place le formulaire en etat « prestataire cree » (onglet Contact accessible). */
+    function createdForm() {
+        const form = useProviderForm()
+        form.providerId.value = 7
+        return form
+    }
+
+    it('RG-3.04 : « + Nouveau contact » desactive tant que le dernier bloc est vide', () => {
+        const form = createdForm()
+        expect(form.canAddContact.value).toBe(false)
+
+        // addContact est un no-op tant que le bloc est vide.
+        form.addContact()
+        expect(form.contacts.value).toHaveLength(1)
+
+        contactAt(form).lastName = 'Doe'
+        expect(form.canAddContact.value).toBe(true)
+        form.addContact()
+        expect(form.contacts.value).toHaveLength(2)
+    })
+
+    it('removeContact retire le bloc et son erreur de ligne', () => {
+        const form = createdForm()
+        contactAt(form).lastName = 'Doe'
+        form.addContact()
+        form.contactErrors.value = [{}, { lastName: 'x' }]
+
+        form.removeContact(1)
+        expect(form.contacts.value).toHaveLength(1)
+        expect(form.contactErrors.value).toHaveLength(1)
+    })
+
+    it('submitContacts : POST des nouveaux, capture id + IRI, finalise l\'onglet', async () => {
+        mockPost.mockResolvedValueOnce({ '@id': '/api/provider_contacts/55', id: 55 })
+        const form = createdForm()
+        contactAt(form).lastName = 'Doe'
+
+        const ok = await form.submitContacts(vi.fn())
+
+        expect(ok).toBe(true)
+        const [url, body, opts] = mockPost.mock.calls[0] ?? []
+        expect(url).toBe('/providers/7/contacts')
+        expect(body).toMatchObject({ lastName: 'Doe' })
+        expect(opts).toMatchObject({ toast: false, headers: { Accept: 'application/ld+json' } })
+        expect(contactAt(form).id).toBe(55)
+        expect(contactAt(form).iri).toBe('/api/provider_contacts/55')
+        expect(form.isValidated('contact')).toBe(true)
+    })
+
+    it('submitContacts : PATCH des contacts existants sur /provider_contacts/{id}', async () => {
+        mockPatch.mockResolvedValueOnce({})
+        const form = createdForm()
+        contactAt(form).id = 55
+        contactAt(form).lastName = 'Doe'
+
+        await form.submitContacts(vi.fn())
+
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(mockPatch).toHaveBeenCalledWith('/provider_contacts/55', expect.objectContaining({ lastName: 'Doe' }), { toast: false })
+    })
+
+    it('RG-3.12 : onglet vide -> soumet l\'amorce pour declencher la 422 firstName inline', async () => {
+        mockPost.mockRejectedValueOnce({
+            response: {
+                status: 422,
+                _data: { violations: [{ propertyPath: 'firstName', message: 'Au moins un champ du contact est obligatoire.' }] },
+            },
+        })
+        const form = createdForm()
+
+        const ok = await form.submitContacts(vi.fn())
+
+        expect(ok).toBe(false)
+        expect(mockPost).toHaveBeenCalledTimes(1)
+        expect(form.contactErrors.value[0]?.firstName).toBe('Au moins un champ du contact est obligatoire.')
+        expect(form.isValidated('contact')).toBe(false)
+    })
+
+    it('mappe les erreurs 422 PAR LIGNE (le bloc 2 echoue, le bloc 1 passe)', async () => {
+        mockPost
+            .mockResolvedValueOnce({ '@id': '/api/provider_contacts/1', id: 1 })
+            .mockRejectedValueOnce({
+                response: {
+                    status: 422,
+                    _data: { violations: [{ propertyPath: 'email', message: 'L\'adresse email n\'est pas valide.' }] },
+                },
+            })
+        const form = createdForm()
+        contactAt(form).lastName = 'Doe'
+        form.addContact()
+        contactAt(form, 1).email = 'invalide'
+
+        const ok = await form.submitContacts(vi.fn())
+
+        expect(ok).toBe(false)
+        expect(form.contactErrors.value[0]).toBeUndefined()
+        expect(form.contactErrors.value[1]?.email).toBe('L\'adresse email n\'est pas valide.')
+    })
+})
+
+describe('useProviderForm — onglet Adresse (ERP-143)', () => {
+    beforeEach(() => {
+        mockPost.mockReset()
+        mockPatch.mockReset()
+        permState.accountingView = false
+        permState.accountingManage = false
+    })
+
+    /** Place le formulaire en etat « prestataire cree » (onglet Adresse accessible). */
+    function createdForm() {
+        const form = useProviderForm()
+        form.providerId.value = 7
+        return form
+    }
+
+    /** Remplit un bloc adresse valide (site + categorie + scalaires requis). */
+    function fillValidAddress(form: ProviderForm, index = 0): void {
+        const a = addressAt(form, index)
+        a.siteIris = [SITE_86]
+        a.categoryIris = [CAT_MAINT]
+        a.postalCode = '86100'
+        a.city = 'Châtellerault'
+        a.street = '1 rue du Test'
+    }
+
+    it('RG-3.05 : « + Nouvelle adresse » desactive tant que site + categorie manquent', () => {
+        const form = createdForm()
+        expect(form.canAddAddress.value).toBe(false)
+
+        // no-op tant que l'adresse n'est pas valide.
+        form.addAddress()
+        expect(form.addresses.value).toHaveLength(1)
+
+        addressAt(form).siteIris = [SITE_86]
+        expect(form.canAddAddress.value).toBe(false) // categorie manquante
+        addressAt(form).categoryIris = [CAT_MAINT]
+        expect(form.canAddAddress.value).toBe(true)
+        form.addAddress()
+        expect(form.addresses.value).toHaveLength(2)
+    })
+
+    it('removeAddress retire le bloc et son erreur de ligne', () => {
+        const form = createdForm()
+        fillValidAddress(form)
+        form.addAddress()
+        form.addressErrors.value = [{}, { city: 'x' }]
+
+        form.removeAddress(1)
+        expect(form.addresses.value).toHaveLength(1)
+        expect(form.addressErrors.value).toHaveLength(1)
+    })
+
+    it('submitAddresses : POST des nouvelles, capture l\'id, finalise l\'onglet', async () => {
+        mockPost.mockResolvedValueOnce({ id: 88 })
+        const form = createdForm()
+        fillValidAddress(form)
+
+        const ok = await form.submitAddresses(vi.fn())
+
+        expect(ok).toBe(true)
+        const [url, body, opts] = mockPost.mock.calls[0] ?? []
+        expect(url).toBe('/providers/7/addresses')
+        expect(body).toMatchObject({ sites: [SITE_86], categories: [CAT_MAINT], city: 'Châtellerault' })
+        expect(opts).toMatchObject({ toast: false, headers: { Accept: 'application/ld+json' } })
+        expect(addressAt(form).id).toBe(88)
+        expect(form.isValidated('address')).toBe(true)
+    })
+
+    it('submitAddresses : PATCH des adresses existantes sur /provider_addresses/{id}', async () => {
+        mockPatch.mockResolvedValueOnce({})
+        const form = createdForm()
+        fillValidAddress(form)
+        addressAt(form).id = 88
+
+        await form.submitAddresses(vi.fn())
+
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(mockPatch).toHaveBeenCalledWith('/provider_addresses/88', expect.objectContaining({ sites: [SITE_86] }), { toast: false })
+    })
+
+    it('mappe les erreurs 422 PAR LIGNE et ne finalise pas l\'onglet', async () => {
+        mockPost.mockRejectedValueOnce({
+            response: {
+                status: 422,
+                _data: { violations: [{ propertyPath: 'city', message: 'La ville est obligatoire.' }] },
+            },
+        })
+        const form = createdForm()
+        fillValidAddress(form)
+
+        const ok = await form.submitAddresses(vi.fn())
+
+        expect(ok).toBe(false)
+        expect(form.addressErrors.value[0]?.city).toBe('La ville est obligatoire.')
+        expect(form.isValidated('address')).toBe(false)
+    })
+})
+
+describe('useProviderForm — onglet Comptabilite (ERP-144)', () => {
+    const TVA = '/api/tva_modes/1'
+    const DELAY = '/api/payment_delays/1'
+    const TYPE = '/api/payment_types/3'
+    const BANK = '/api/banks/2'
+
+    beforeEach(() => {
+        mockPost.mockReset()
+        mockPatch.mockReset()
+        permState.accountingView = true
+        permState.accountingManage = true
+    })
+
+    /** Prestataire cree, onglet Comptabilite editable (view + manage). */
+    function createdForm() {
+        const form = useProviderForm()
+        form.providerId.value = 7
+        return form
+    }
+
+    /** Remplit les scalaires comptables communs. */
+    function fillScalars(form: ProviderForm): void {
+        form.accounting.siren = '123456789'
+        form.accounting.accountNumber = '4010'
+        form.accounting.tvaModeIri = TVA
+        form.accounting.nTva = 'FR123'
+        form.accounting.paymentDelayIri = DELAY
+        form.accounting.paymentTypeIri = TYPE
+    }
+
+    it('lecture seule sans accounting.manage (Compta consultation / autres roles)', () => {
+        permState.accountingManage = false
+        const form = createdForm()
+        expect(form.accountingReadonly.value).toBe(true)
+
+        permState.accountingManage = true
+        const form2 = createdForm()
+        expect(form2.accountingReadonly.value).toBe(false)
+    })
+
+    it('RG-3.07 : setPaymentType(VIREMENT) garde la banque ; un autre type la vide', () => {
+        const form = createdForm()
+        form.accounting.bankIri = BANK
+
+        // Type VIREMENT -> banque requise, conservee.
+        form.setPaymentType(TYPE, true, false)
+        expect(form.accounting.bankIri).toBe(BANK)
+
+        // Type non-VIREMENT -> banque videe (sans objet).
+        form.setPaymentType(TYPE, false, false)
+        expect(form.accounting.bankIri).toBeNull()
+    })
+
+    it('RG-3.08 : setPaymentType(LCR) garantit au moins un bloc RIB', () => {
+        const form = createdForm()
+        expect(form.ribs.value).toHaveLength(0)
+
+        form.setPaymentType(TYPE, false, true)
+        expect(form.ribs.value).toHaveLength(1)
+    })
+
+    it('« + RIB » desactive tant que le dernier RIB est incomplet (RG-3.08)', () => {
+        const form = createdForm()
+        form.setPaymentType(TYPE, false, true)
+        expect(form.canAddRib.value).toBe(false)
+
+        const rib = form.ribs.value[0]
+        if (rib) {
+            rib.label = 'Compte'
+            rib.bic = 'BNPAFRPP'
+            rib.iban = 'FR76...'
+        }
+        expect(form.canAddRib.value).toBe(true)
+    })
+
+    it('VIREMENT : PATCH des scalaires avec banque, aucun appel RIB', async () => {
+        mockPatch.mockResolvedValueOnce({})
+        const form = createdForm()
+        fillScalars(form)
+        form.accounting.bankIri = BANK
+
+        const ok = await form.submitAccounting(true, false, vi.fn())
+
+        expect(ok).toBe(true)
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(mockPatch).toHaveBeenCalledWith(
+            '/providers/7',
+            expect.objectContaining({ paymentType: TYPE, bank: BANK, siren: '123456789' }),
+            { toast: false },
+        )
+        expect(form.isValidated('accounting')).toBe(true)
+    })
+
+    it('hors VIREMENT : la banque part a null dans le payload (RG-3.07)', async () => {
+        mockPatch.mockResolvedValueOnce({})
+        const form = createdForm()
+        fillScalars(form)
+        form.accounting.bankIri = BANK // residu : doit etre ignore (isBankRequired=false)
+
+        await form.submitAccounting(false, false, vi.fn())
+
+        const body = mockPatch.mock.calls[0]?.[1] as Record<string, unknown>
+        expect(body.bank).toBeNull()
+    })
+
+    it('LCR : POST des RIB AVANT le PATCH des scalaires (ordre RG-3.08)', async () => {
+        mockPost.mockResolvedValueOnce({ id: 50 })
+        mockPatch.mockResolvedValueOnce({})
+        const form = createdForm()
+        fillScalars(form)
+        form.setPaymentType(TYPE, false, true)
+        const rib = form.ribs.value[0]
+        if (rib) {
+            rib.label = 'Compte'
+            rib.bic = 'BNPAFRPP'
+            rib.iban = 'FR76...'
+        }
+
+        const ok = await form.submitAccounting(false, true, vi.fn())
+
+        expect(ok).toBe(true)
+        expect(mockPost).toHaveBeenCalledWith(
+            '/providers/7/ribs',
+            expect.objectContaining({ label: 'Compte', bic: 'BNPAFRPP', iban: 'FR76...' }),
+            { headers: { Accept: 'application/ld+json' }, toast: false },
+        )
+        expect(form.ribs.value[0]?.id).toBe(50)
+        // Le PATCH des scalaires intervient APRES la creation du RIB.
+        expect(mockPatch).toHaveBeenCalledWith('/providers/7', expect.any(Object), { toast: false })
+    })
+
+    it('422 sur les scalaires (bank) : mapping inline, onglet non finalise', async () => {
+        mockPatch.mockRejectedValueOnce({
+            response: {
+                status: 422,
+                _data: { violations: [{ propertyPath: 'bank', message: 'La banque est obligatoire pour un virement.' }] },
+            },
+        })
+        const form = createdForm()
+        fillScalars(form)
+
+        const ok = await form.submitAccounting(true, false, vi.fn())
+
+        expect(ok).toBe(false)
+        expect(form.accountingErrors.errors.bank).toBe('La banque est obligatoire pour un virement.')
+        expect(form.isValidated('accounting')).toBe(false)
+    })
+
+    it('LCR : 422 RIB par ligne -> pas de PATCH des scalaires', async () => {
+        mockPost.mockRejectedValueOnce({
+            response: {
+                status: 422,
+                _data: { violations: [{ propertyPath: 'iban', message: 'L\'IBAN est obligatoire.' }] },
+            },
+        })
+        const form = createdForm()
+        fillScalars(form)
+        form.setPaymentType(TYPE, false, true)
+        const rib = form.ribs.value[0]
+        if (rib) {
+            rib.label = 'Compte'
+            rib.bic = 'BNPAFRPP'
+        }
+
+        const ok = await form.submitAccounting(false, true, vi.fn())
+
+        expect(ok).toBe(false)
+        expect(form.ribErrors.value[0]?.iban).toBe('L\'IBAN est obligatoire.')
+        expect(mockPatch).not.toHaveBeenCalled()
+    })
+})
+
+describe('useProviderForm — modification (ERP-145)', () => {
+    beforeEach(() => {
+        mockPost.mockReset()
+        mockPatch.mockReset()
+        permState.accountingView = false
+        permState.accountingManage = false
+    })
+
+    it('editMode : completeTab ne verrouille pas et ne bascule pas d\'onglet', () => {
+        const form = useProviderForm()
+        form.editMode.value = true
+        form.activeTab.value = 'contact'
+
+        expect(form.completeTab('contact')).toBe(false)
+        expect(form.isValidated('contact')).toBe(false)
+        expect(form.activeTab.value).toBe('contact')
+    })
+
+    it('updateMain : PATCH /providers/{id} sur le groupe principal (pas de POST)', async () => {
+        mockPatch.mockResolvedValueOnce({ id: 7, companyName: 'MAINTENANCE PRO' })
+        const form = useProviderForm()
+        form.providerId.value = 7
+        form.main.companyName = 'Maintenance Pro'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const ok = await form.updateMain()
+
+        expect(ok).toBe(true)
+        expect(mockPost).not.toHaveBeenCalled()
+        expect(mockPatch).toHaveBeenCalledWith(
+            '/providers/7',
+            { companyName: 'Maintenance Pro', categories: [CAT_MAINT], sites: [SITE_86] },
+            { toast: false },
+        )
+        // Reaffiche le nom normalise renvoye par le serveur.
+        expect(form.main.companyName).toBe('MAINTENANCE PRO')
+    })
+
+    it('updateMain : RG-3.03 front -> bloque le PATCH sans site', async () => {
+        const form = useProviderForm()
+        form.providerId.value = 7
+        form.main.companyName = 'X'
+        form.main.categoryIris = [CAT_MAINT]
+
+        const ok = await form.updateMain()
+
+        expect(ok).toBe(false)
+        expect(mockPatch).not.toHaveBeenCalled()
+        expect(form.mainErrors.errors.sites).toBe('technique.providers.form.errors.siteRequired')
+    })
+
+    it('updateMain : 409 doublon -> erreur inline sur companyName', async () => {
+        mockPatch.mockRejectedValueOnce({ response: { status: 409 } })
+        const form = useProviderForm()
+        form.providerId.value = 7
+        form.main.companyName = 'Doublon'
+        form.main.categoryIris = [CAT_MAINT]
+        form.main.siteIris = [SITE_86]
+
+        const ok = await form.updateMain()
+
+        expect(ok).toBe(false)
+        expect(form.mainErrors.errors.companyName).toBe('technique.providers.form.duplicateCompany')
+    })
+})

frontend/modules/technique/composables/__tests__/useProvidersRepository.test.ts

@@ -0,0 +1,78 @@
+import { describe, it, expect, vi, beforeEach } from 'vitest'
+import { useProvidersRepository, type Provider } from '../useProvidersRepository'
+
+const mockApiGet = vi.hoisted(() => vi.fn())
+vi.stubGlobal('useApi', () => ({ get: mockApiGet }))
+
+/**
+ * Tests du repertoire prestataires (ERP-140).
+ *
+ * `useProvidersRepository` est une fine enveloppe de `usePaginatedList<Provider>`
+ * sur `/providers`. Les invariants generiques de pagination sont deja couverts
+ * par `usePaginatedList.test.ts` ; on verifie ici le CONTRAT propre au repertoire :
+ *  - la ressource ciblee est bien `/providers`
+ *  - l'enveloppe Hydra (member / totalItems) est consommee
+ *  - le header `Accept: application/ld+json` est envoye (sinon API Platform 4
+ *    renvoie un tableau plat sans pagination)
+ *  - EXCLUSION DES ARCHIVES PAR DEFAUT : aucun `includeArchived` n'est envoye
+ *    tant que l'utilisateur ne coche pas le filtre (le back masque alors les
+ *    archives) ; le filtre `includeArchived` est bien transmis une fois applique.
+ */
+describe('useProvidersRepository', () => {
+    beforeEach(() => {
+        mockApiGet.mockReset()
+    })
+
+    /** Une page de prestataires Hydra, avec categories[] et sites[] embarques. */
+    const PAGE: Provider[] = [
+        {
+            id: 1,
+            companyName: 'ACME MAINTENANCE',
+            categories: [{ code: 'MAINTENANCE_INDUSTRIELLE', name: 'Maintenance industrielle' }],
+            sites: [{ id: 4, name: 'Chatellerault', color: '#056CF2' }],
+            updatedAt: '2026-06-15T08:12:01+02:00',
+            isArchived: false,
+        },
+    ]
+
+    it('cible /providers, consomme l\'enveloppe Hydra et envoie l\'Accept ld+json', async () => {
+        mockApiGet.mockResolvedValueOnce({ member: PAGE, totalItems: 1 })
+        const repo = useProvidersRepository()
+
+        await repo.fetch()
+
+        expect(mockApiGet).toHaveBeenCalledTimes(1)
+        const [url, query, opts] = mockApiGet.mock.calls[0]
+        expect(url).toBe('/providers')
+        expect(query).toMatchObject({ page: 1, itemsPerPage: 10 })
+        expect(opts).toMatchObject({
+            toast: false,
+            headers: { Accept: 'application/ld+json' },
+        })
+        expect(repo.items.value).toEqual(PAGE)
+        expect(repo.totalItems.value).toBe(1)
+    })
+
+    it('exclut les archives par defaut : aucun includeArchived au premier fetch', async () => {
+        mockApiGet.mockResolvedValueOnce({ member: PAGE, totalItems: 1 })
+        const repo = useProvidersRepository()
+
+        await repo.fetch()
+
+        const query = mockApiGet.mock.calls[0][1] as Record<string, unknown>
+        expect(query.includeArchived).toBeUndefined()
+    })
+
+    it('transmet includeArchived une fois le filtre applique (retour page 1)', async () => {
+        mockApiGet.mockResolvedValueOnce({ member: PAGE, totalItems: 1 })
+        const repo = useProvidersRepository()
+        await repo.fetch()
+
+        mockApiGet.mockResolvedValueOnce({ member: PAGE, totalItems: 1 })
+        await repo.setFilters({ includeArchived: true })
+
+        expect(repo.currentPage.value).toBe(1)
+        const query = mockApiGet.mock.calls.at(-1)?.[1] as Record<string, unknown>
+        expect(query.includeArchived).toBe(true)
+    })
+})

frontend/modules/technique/composables/useProvider.ts

@@ -0,0 +1,70 @@
+import { ref } from 'vue'
+import type { ProviderDetail } from '~/modules/technique/utils/forms/providerDetail'
+
+/**
+ * Chargement et actions d'archivage d'un prestataire unique (ecrans Consultation /
+ * Modification, ERP-145). Miroir de `useSupplier` (M2). Lit le detail embarque via
+ * `GET /api/providers/{id}` (contacts / adresses + leurs sous-collections / ribs
+ * sous `provider:item:read` / `provider:read:accounting`) — une SEULE requete
+ * peuple les deux ecrans (embed borne, pas de N+1).
+ *
+ * L'en-tete `Accept: application/ld+json` est impose pour obtenir le payload Hydra
+ * complet (avec les `@id` des relations embarquees, indispensables au pre-remplissage).
+ *
+ * Etat 100 % local a l'instance (refs). Les erreurs d'archivage / restauration
+ * (notamment le 409 d'homonyme actif a la restauration) sont PROPAGEES a l'appelant,
+ * qui decide du toast a afficher.
+ */
+export function useProvider(id: number | string) {
+    const api = useApi()
+
+    const provider = ref<ProviderDetail | null>(null)
+    const loading = ref(false)
+    const error = ref(false)
+
+    /** Recupere le detail complet (embed contacts/adresses/ribs + comptabilite). */
+    function fetchDetail(): Promise<ProviderDetail> {
+        return api.get<ProviderDetail>(
+            `/providers/${id}`,
+            {},
+            { headers: { Accept: 'application/ld+json' }, toast: false },
+        )
+    }
+
+    /** Charge le detail du prestataire. En cas d'echec : `error = true`, `provider = null`. */
+    async function load(): Promise<void> {
+        loading.value = true
+        error.value = false
+        try {
+            provider.value = await fetchDetail()
+        }
+        catch {
+            error.value = true
+            provider.value = null
+        }
+        finally {
+            loading.value = false
+        }
+    }
+
+    /**
+     * Bascule l'archivage (PATCH `isArchived` SEUL — groupe provider:write:archive ;
+     * tout autre champ => 422), puis RECHARGE le detail complet : la reponse du PATCH
+     * ne porte que `provider:read` (ni l'embed des sous-collections ni les libelles
+     * comptables), un simple merge laisserait l'affichage incoherent. Toute erreur est
+     * propagee a l'appelant AVANT le rechargement.
+     */
+    async function setArchived(isArchived: boolean): Promise<void> {
+        await api.patch(`/providers/${id}`, { isArchived }, { toast: false })
+        provider.value = await fetchDetail()
+    }
+
+    return {
+        provider,
+        loading,
+        error,
+        load,
+        archive: () => setArchived(true),
+        restore: () => setArchived(false),
+    }
+}

frontend/modules/technique/composables/useProviderForm.ts

@@ -0,0 +1,645 @@
+import { computed, reactive, ref, type Ref } from 'vue'
+import { useFormErrors } from '~/shared/composables/useFormErrors'
+import { extractApiErrorMessage, mapViolationsToRecord } from '~/shared/utils/api'
+import { removeCollectionRow } from '~/shared/utils/collectionRow'
+import {
+    emptyProviderAccounting,
+    emptyProviderAddress,
+    emptyProviderContact,
+    emptyProviderMain,
+    emptyProviderRib,
+    type ProviderAccountingDraft,
+    type ProviderAddressFormDraft,
+    type ProviderAddressResponse,
+    type ProviderContactFormDraft,
+    type ProviderContactResponse,
+    type ProviderMainDraft,
+    type ProviderMainResponse,
+    type ProviderRibFormDraft,
+    type ProviderRibResponse,
+} from '~/modules/technique/types/providerForm'
+import {
+    buildProviderContactPayload,
+    isProviderContactBlank,
+    isProviderContactNamed,
+} from '~/modules/technique/utils/forms/providerContact'
+import {
+    buildProviderAddressPayload,
+    isProviderAddressValid,
+} from '~/modules/technique/utils/forms/providerAddress'
+import {
+    buildProviderAccountingPayload,
+    buildProviderRibPayload,
+    isRibBlank,
+    isRibComplete,
+} from '~/modules/technique/utils/forms/providerAccounting'
+
+/**
+ * Workflow de l'ecran « Ajouter un prestataire » (M3 Technique, ERP-141) —
+ * miroir conceptuel de la logique de creation fournisseur (M2), extraite ici en
+ * composable.
+ *
+ * Particularites M3 (cf. spec-front § « Ecran Ajouter ») :
+ *  - PAS d'onglet « Information » : le formulaire principal est minimal (Nom +
+ *    Categorie + Site).
+ *  - Selecteur de site SUR le formulaire principal (RG-3.03, relation directe
+ *    `provider.sites`).
+ *  - Creation incrementale par onglets (Contact · Adresse · Comptabilite) :
+ *    POST principal puis PATCH partiels par groupe de serialisation
+ *    (`provider:write:*`, mode strict — spec-back § 2.10). Le contenu des onglets
+ *    arrive aux tickets ERP-142 → 144 ; ce composable pose le POST principal et
+ *    l'orchestration des onglets.
+ *
+ * Etat 100 % local a l'instance (refs/reactive) — aucune persistance URL.
+ */
+
+/**
+ * Cles des onglets du FLUX DE CREATION. Pas d'onglet « Information » au M3 ;
+ * « Rapports » / « Echanges » n'apparaissent qu'en consultation/modification.
+ * L'onglet « Comptabilite » n'est present que pour les roles qui peuvent le voir
+ * (`technique.providers.accounting.view` — Admin, Compta).
+ */
+export function buildProviderCreateTabKeys(canAccountingView: boolean): string[] {
+    return canAccountingView
+        ? ['contact', 'address', 'accounting']
+        : ['contact', 'address']
+}
+
+export function useProviderForm() {
+    const api = useApi()
+    const { t } = useI18n()
+    const toast = useToast()
+    const { can } = usePermissions()
+
+    // Erreurs de validation par champ (ERP-101) du formulaire principal.
+    const mainErrors = useFormErrors()
+
+    // ERP-172 : remontee d'erreur 409/422 lors d'une suppression immediate de
+    // sous-ressource (message back affiche en toast dedie — pas de mapping inline,
+    // le bloc est en cours de retrait). Ex. dernier RIB d'une LCR -> 409.
+    function notifyRemovalError(error: unknown): void {
+        toast.error({
+            title: t('technique.providers.toast.error'),
+            message: extractApiErrorMessage((error as { data?: unknown })?.data) || t('technique.providers.toast.error'),
+        })
+    }
+
+    // ── Etat du prestataire cree ────────────────────────────────────────────
+    const providerId = ref<number | null>(null)
+    const mainLocked = ref(false)
+    const mainSubmitting = ref(false)
+    const tabSubmitting = ref(false)
+
+    // ── Formulaire principal ──────────────────────────────────────────────────
+    const main = reactive<ProviderMainDraft>(emptyProviderMain())
+
+    // ── Onglets : ordre + gating progressif ───────────────────────────────────
+    const canAccountingView = computed(() => can('technique.providers.accounting.view'))
+    const canAccountingManage = computed(() => can('technique.providers.accounting.manage'))
+    const tabKeys = computed(() => buildProviderCreateTabKeys(canAccountingView.value))
+
+    // Index du dernier onglet deverrouille (-1 tant que le prestataire n'est pas cree).
+    const unlockedIndex = ref(-1)
+    const activeTab = ref<string>('contact')
+    // Onglets valides (passent en lecture seule).
+    const validated = reactive<Record<string, boolean>>({})
+    // Mode MODIFICATION (ERP-145) : navigation libre, pas de verrouillage ni de
+    // bascule automatique d'onglet a la validation (cf. completeTab).
+    const editMode = ref(false)
+
+    function isValidated(key: string): boolean {
+        return validated[key] === true
+    }
+
+    function tabIndex(key: string): number {
+        return tabKeys.value.indexOf(key)
+    }
+
+    /**
+     * Validation FRONT du formulaire principal : RG-3.03 (>= 1 site) et RG-3.09
+     * (>= 1 categorie). Pose les erreurs inline et retourne false si invalide.
+     * Le back reste la couche autoritaire (ERP-101) ; ce pre-check evite un
+     * aller-retour inutile et porte la garantie RG-3.03 cote front.
+     */
+    function validateMainFront(): boolean {
+        let valid = true
+        if (!main.companyName?.trim()) {
+            mainErrors.setError('companyName', t('technique.providers.form.errors.nameRequired'))
+            valid = false
+        }
+        if (main.siteIris.length === 0) {
+            mainErrors.setError('sites', t('technique.providers.form.errors.siteRequired'))
+            valid = false
+        }
+        if (main.categoryIris.length === 0) {
+            mainErrors.setError('categories', t('technique.providers.form.errors.categoryRequired'))
+            valid = false
+        }
+        return valid
+    }
+
+    /**
+     * Payload du POST principal (groupe `provider:write:main`). `companyName` est
+     * omis s'il est vide afin que la 422 porte la violation NotBlank (RG-3.11) sur
+     * le champ plutot qu'une erreur de type. Les relations M2M partent en IRI.
+     */
+    function buildMainPayload(): Record<string, unknown> {
+        const payload: Record<string, unknown> = {
+            categories: [...main.categoryIris],
+            sites: [...main.siteIris],
+        }
+        if (main.companyName?.trim()) {
+            payload.companyName = main.companyName
+        }
+        return payload
+    }
+
+    /**
+     * POST /providers (groupe `provider:write:main`). Pre-check front RG-3.03/3.09,
+     * puis creation. Au succes : verrouille le bloc principal, deverrouille le 1er
+     * onglet et bascule sur « Contact ». Retourne true si cree, false sinon.
+     */
+    async function submitMain(): Promise<boolean> {
+        if (mainSubmitting.value) return false
+        mainErrors.clearErrors()
+        if (!validateMainFront()) return false
+
+        mainSubmitting.value = true
+        try {
+            const created = await api.post<ProviderMainResponse>('/providers', buildMainPayload(), {
+                headers: { Accept: 'application/ld+json' },
+                toast: false,
+            })
+
+            providerId.value = created.id
+            // Reaffiche la valeur normalisee renvoyee par le serveur (UPPERCASE, RG-3.11).
+            main.companyName = created.companyName ?? main.companyName
+
+            mainLocked.value = true
+            unlockedIndex.value = 0
+            activeTab.value = tabKeys.value[0] ?? 'contact'
+            toast.success({ title: t('technique.providers.toast.createSuccess') })
+            return true
+        }
+        catch (error) {
+            // 409 = doublon de nom (RG-3.10) → erreur inline dediee + toast ;
+            // 422 → mapping inline par champ ; autre → toast de fallback (ERP-101).
+            const status = (error as { response?: { status?: number } })?.response?.status
+            if (status === 409) {
+                const message = t('technique.providers.form.duplicateCompany')
+                mainErrors.setError('companyName', message)
+                toast.error({ title: t('technique.providers.toast.error'), message })
+            }
+            else {
+                mainErrors.handleApiError(error, { fallbackMessage: t('technique.providers.toast.error') })
+            }
+            return false
+        }
+        finally {
+            mainSubmitting.value = false
+        }
+    }
+
+    /**
+     * PATCH partiel du prestataire (mode strict : un seul groupe de serialisation
+     * par appel — spec-back § 2.10). Sert l'onglet Comptabilite a champs scalaires
+     * (ERP-144) ; les onglets Contact/Adresse passent par leurs sous-ressources
+     * (POST/PATCH par ligne, ERP-142/143). No-op tant que le prestataire n'existe pas.
+     */
+    async function patchProvider(payload: Record<string, unknown>): Promise<void> {
+        if (providerId.value === null) return
+        await api.patch(`/providers/${providerId.value}`, payload, { toast: false })
+    }
+
+    /**
+     * MODIFICATION du bloc principal (ERP-145) : PATCH /providers/{id} sur le groupe
+     * provider:write:main (nom + categories + sites). Pre-check front RG-3.03/3.09,
+     * 409 doublon de nom (RG-3.10) et 422 mappes inline comme a la creation. A la
+     * difference de `submitMain`, ne verrouille rien et ne bascule pas d'onglet (la
+     * navigation est libre en modification). Retourne true si le PATCH a reussi.
+     */
+    async function updateMain(): Promise<boolean> {
+        if (providerId.value === null || mainSubmitting.value) return false
+        mainErrors.clearErrors()
+        if (!validateMainFront()) return false
+
+        mainSubmitting.value = true
+        try {
+            const updated = await api.patch<ProviderMainResponse>(
+                `/providers/${providerId.value}`,
+                buildMainPayload(),
+                { toast: false },
+            )
+            main.companyName = updated.companyName ?? main.companyName
+            return true
+        }
+        catch (error) {
+            const status = (error as { response?: { status?: number } })?.response?.status
+            if (status === 409) {
+                const message = t('technique.providers.form.duplicateCompany')
+                mainErrors.setError('companyName', message)
+                toast.error({ title: t('technique.providers.toast.error'), message })
+            }
+            else {
+                mainErrors.handleApiError(error, { fallbackMessage: t('technique.providers.toast.error') })
+            }
+            return false
+        }
+        finally {
+            mainSubmitting.value = false
+        }
+    }
+
+    /**
+     * Marque un onglet valide (passe en lecture seule), deverrouille et avance a
+     * l'onglet suivant. Retourne true si c'etait le dernier onglet du flux
+     * (creation terminee), false sinon.
+     */
+    function completeTab(key: string): boolean {
+        // En modification : navigation libre, l'onglet reste editable apres validation.
+        if (editMode.value) {
+            return false
+        }
+        validated[key] = true
+        const index = tabIndex(key)
+        const next = tabKeys.value[index + 1]
+        if (next === undefined) {
+            return true
+        }
+        unlockedIndex.value = Math.max(unlockedIndex.value, index + 1)
+        activeTab.value = next
+        return false
+    }
+
+    /**
+     * Soumet TOUS les blocs d'une collection en collectant les erreurs PAR INDEX :
+     * on n'arrete pas au premier bloc en echec (decision ERP-101). Reinitialise la
+     * cible, tente chaque ligne via `saveRow`, mappe les 422 inline ou delegue le
+     * fallback a `onUnmappedError`. `shouldSkip` ignore les amorces vides. Retourne
+     * true si au moins un bloc a echoue. Miroir de `useSupplierFormErrors.submitRows`.
+     */
+    async function submitRows<T>(
+        rows: T[],
+        target: Ref<Record<string, string>[]>,
+        saveRow: (row: T, index: number) => Promise<void>,
+        onUnmappedError: (error: unknown, index: number) => void,
+        shouldSkip?: (row: T, index: number) => boolean,
+    ): Promise<boolean> {
+        target.value = []
+        let hasError = false
+        for (let index = 0; index < rows.length; index++) {
+            const row = rows[index] as T
+            if (shouldSkip?.(row, index)) {
+                continue
+            }
+            try {
+                await saveRow(row, index)
+            }
+            catch (error) {
+                const response = (error as { response?: { status?: number, _data?: unknown } })?.response
+                const mapped = response?.status === 422 ? mapViolationsToRecord(response._data) : {}
+                if (Object.keys(mapped).length > 0) {
+                    target.value[index] = mapped
+                }
+                else {
+                    onUnmappedError(error, index)
+                }
+                hasError = true
+            }
+        }
+        return hasError
+    }
+
+    // ── Onglet Contact (ERP-142) ──────────────────────────────────────────────
+    const contacts = ref<ProviderContactFormDraft[]>([emptyProviderContact()])
+    // Erreurs 422 par ligne (alignees sur l'index du v-for), peuplees par submitRows.
+    const contactErrors = ref<Record<string, string>[]>([])
+
+    // « + Nouveau contact » desactive tant que le dernier bloc n'a pas de nom OU
+    // prenom (RG-3.04, aligne M1/M2 — fonction/tel/email seuls ne suffisent pas).
+    const canAddContact = computed(() => {
+        const last = contacts.value[contacts.value.length - 1]
+        return last !== undefined && isProviderContactNamed(last)
+    })
+
+    function addContact(): void {
+        if (canAddContact.value) {
+            contacts.value.push(emptyProviderContact())
+        }
+    }
+
+    // ERP-172 : DELETE immediat du contact existant (sous-ressource) a la
+    // confirmation de la modale. Bloc jamais persiste (id null) : retrait local.
+    async function removeContact(index: number): Promise<void> {
+        await removeCollectionRow({
+            rows: contacts.value,
+            errors: contactErrors.value,
+            index,
+            endpoint: '/provider_contacts',
+            deleteRow: url => api.delete(url, {}, { toast: false }),
+            makeEmpty: emptyProviderContact,
+            onError: notifyRemovalError,
+        })
+    }
+
+    /**
+     * Valide l'onglet Contact : POST des nouveaux contacts sur
+     * /providers/{id}/contacts, PATCH des existants sur /provider_contacts/{id}
+     * (sous-ressource, groupe provider:write:contacts). RG-3.12 : au moins un bloc
+     * valide. Si l'onglet ne contient QUE des amorces vides, on les soumet pour
+     * declencher la 422 RG-3.04 inline (sur `firstName`) plutot que de finaliser un
+     * onglet vide. Retourne true si l'onglet a ete valide (avance/termine).
+     */
+    async function submitContacts(onError: (error: unknown) => void): Promise<boolean> {
+        if (providerId.value === null || tabSubmitting.value) {
+            return false
+        }
+        tabSubmitting.value = true
+        try {
+            const hasSubmittable = contacts.value.some(c => c.id !== null || !isProviderContactBlank(c))
+            const hasError = await submitRows(
+                contacts.value,
+                contactErrors,
+                async (contact) => {
+                    const body = buildProviderContactPayload(contact)
+                    if (contact.id === null) {
+                        const created = await api.post<ProviderContactResponse>(
+                            `/providers/${providerId.value}/contacts`,
+                            body,
+                            { headers: { Accept: 'application/ld+json' }, toast: false },
+                        )
+                        contact.id = created.id
+                        contact.iri = created['@id'] ?? null
+                    }
+                    else {
+                        await api.patch(`/provider_contacts/${contact.id}`, body, { toast: false })
+                    }
+                },
+                onError,
+                contact => hasSubmittable && contact.id === null && isProviderContactBlank(contact),
+            )
+            if (hasError) {
+                return false
+            }
+            completeTab('contact')
+            return true
+        }
+        finally {
+            tabSubmitting.value = false
+        }
+    }
+
+    // ── Onglet Adresse (ERP-143) ──────────────────────────────────────────────
+    const addresses = ref<ProviderAddressFormDraft[]>([emptyProviderAddress()])
+    // Erreurs 422 par ligne (alignees sur l'index du v-for).
+    const addressErrors = ref<Record<string, string>[]>([])
+
+    // « + Nouvelle adresse » desactive tant que la derniere adresse n'a pas
+    // au moins un site ET une categorie (RG-3.05 / RG-3.09).
+    const canAddAddress = computed(() => {
+        const last = addresses.value[addresses.value.length - 1]
+        return last !== undefined && isProviderAddressValid(last)
+    })
+
+    function addAddress(): void {
+        if (canAddAddress.value) {
+            addresses.value.push(emptyProviderAddress())
+        }
+    }
+
+    // ERP-172 : DELETE immediat de l'adresse existante (sous-ressource).
+    async function removeAddress(index: number): Promise<void> {
+        await removeCollectionRow({
+            rows: addresses.value,
+            errors: addressErrors.value,
+            index,
+            endpoint: '/provider_addresses',
+            deleteRow: url => api.delete(url, {}, { toast: false }),
+            makeEmpty: emptyProviderAddress,
+            onError: notifyRemovalError,
+        })
+    }
+
+    /**
+     * Valide l'onglet Adresse : POST des nouvelles adresses sur
+     * /providers/{id}/addresses, PATCH des existantes sur /provider_addresses/{id}
+     * (sous-ressource, groupe provider:write:addresses). Erreurs 422 collectees par
+     * ligne. Retourne true si l'onglet a ete valide (avance/termine).
+     */
+    async function submitAddresses(onError: (error: unknown) => void): Promise<boolean> {
+        if (providerId.value === null || tabSubmitting.value) {
+            return false
+        }
+        tabSubmitting.value = true
+        try {
+            const hasError = await submitRows(
+                addresses.value,
+                addressErrors,
+                async (address) => {
+                    const body = buildProviderAddressPayload(address)
+                    if (address.id === null) {
+                        const created = await api.post<ProviderAddressResponse>(
+                            `/providers/${providerId.value}/addresses`,
+                            body,
+                            { headers: { Accept: 'application/ld+json' }, toast: false },
+                        )
+                        address.id = created.id
+                    }
+                    else {
+                        await api.patch(`/provider_addresses/${address.id}`, body, { toast: false })
+                    }
+                },
+                onError,
+            )
+            if (hasError) {
+                return false
+            }
+            completeTab('address')
+            return true
+        }
+        finally {
+            tabSubmitting.value = false
+        }
+    }
+
+    // ── Onglet Comptabilite (ERP-144) ─────────────────────────────────────────
+    const accounting = reactive<ProviderAccountingDraft>(emptyProviderAccounting())
+    const ribs = ref<ProviderRibFormDraft[]>([])
+    const accountingErrors = useFormErrors()
+    // Erreurs 422 par ligne de RIB (alignees sur l'index du v-for).
+    const ribErrors = ref<Record<string, string>[]>([])
+
+    // L'onglet est editable seulement avec accounting.manage (sinon lecture seule).
+    const accountingReadonly = computed(() => isValidated('accounting') || !canAccountingManage.value)
+
+    /**
+     * Met a jour le type de reglement (IRI) en propageant ses RG inter-champs :
+     *  - hors VIREMENT (RG-3.07) : on vide la banque (sans objet) ;
+     *  - LCR (RG-3.08) : on garantit au moins un bloc RIB visible ; hors LCR, on
+     *    purge les erreurs de RIB (les blocs sont conserves mais non persistes).
+     * `isBankRequired` / `isRibRequired` sont calcules par l'appelant (page) a
+     * partir du code resolu via les referentiels.
+     */
+    function setPaymentType(iri: string | null, isBankRequired: boolean, isRibRequired: boolean): void {
+        accounting.paymentTypeIri = iri
+        if (!isBankRequired) {
+            accounting.bankIri = null
+        }
+        if (isRibRequired) {
+            if (ribs.value.length === 0) {
+                ribs.value.push(emptyProviderRib())
+            }
+        }
+        else {
+            ribErrors.value = []
+        }
+    }
+
+    // « + RIB » desactive tant que le dernier bloc RIB n'est pas complet (RG-3.08).
+    const canAddRib = computed(() => {
+        const last = ribs.value[ribs.value.length - 1]
+        return last !== undefined && isRibComplete(last)
+    })
+
+    function addRib(): void {
+        if (canAddRib.value) {
+            ribs.value.push(emptyProviderRib())
+        }
+    }
+
+    // ERP-172 : DELETE immediat du RIB existant. Le back peut refuser la suppression
+    // du dernier RIB d'une LCR -> 409 remonte via notifyRemovalError, bloc conserve.
+    async function removeRib(index: number): Promise<void> {
+        await removeCollectionRow({
+            rows: ribs.value,
+            errors: ribErrors.value,
+            index,
+            endpoint: '/provider_ribs',
+            deleteRow: url => api.delete(url, {}, { toast: false }),
+            makeEmpty: emptyProviderRib,
+            onError: notifyRemovalError,
+        })
+    }
+
+    /**
+     * Valide l'onglet Comptabilite : (1) sous LCR, POST/PATCH des RIB d'abord
+     * (le back valide RG-3.08 sur le PATCH scalaires, les RIB doivent donc exister
+     * AVANT) ; (2) PATCH des scalaires comptables (groupe provider:write:accounting,
+     * banque envoyee seulement si VIREMENT — RG-3.07). Erreurs RIB par ligne ;
+     * erreurs scalaires inline (bank/paymentType). Retourne true si l'onglet a ete
+     * valide.
+     */
+    async function submitAccounting(
+        isBankRequired: boolean,
+        isRibRequired: boolean,
+        onRibError: (error: unknown) => void,
+    ): Promise<boolean> {
+        if (providerId.value === null || tabSubmitting.value) {
+            return false
+        }
+        tabSubmitting.value = true
+        accountingErrors.clearErrors()
+        try {
+            // 1) RIB d'abord, uniquement sous LCR. Une amorce vide neuve est sautee
+            // s'il reste un autre RIB soumettable ; sinon (LCR sans aucun RIB rempli)
+            // on la soumet pour declencher la 422 NotBlank inline.
+            if (isRibRequired) {
+                const hasSubmittableRib = ribs.value.some(r => r.id !== null || !isRibBlank(r))
+                const ribHasError = await submitRows(
+                    ribs.value,
+                    ribErrors,
+                    async (rib) => {
+                        const body = buildProviderRibPayload(rib)
+                        if (rib.id === null) {
+                            const created = await api.post<ProviderRibResponse>(
+                                `/providers/${providerId.value}/ribs`,
+                                body,
+                                { headers: { Accept: 'application/ld+json' }, toast: false },
+                            )
+                            rib.id = created.id
+                        }
+                        else {
+                            await api.patch(`/provider_ribs/${rib.id}`, body, { toast: false })
+                        }
+                    },
+                    onRibError,
+                    rib => hasSubmittableRib && rib.id === null && isRibBlank(rib),
+                )
+                if (ribHasError) {
+                    return false
+                }
+            }
+
+            // 2) PATCH des scalaires comptables (erreurs inline sur leurs champs).
+            try {
+                await api.patch(
+                    `/providers/${providerId.value}`,
+                    buildProviderAccountingPayload(accounting, isBankRequired),
+                    { toast: false },
+                )
+            }
+            catch (error) {
+                accountingErrors.handleApiError(error, { fallbackMessage: t('technique.providers.toast.error') })
+                return false
+            }
+
+            completeTab('accounting')
+            return true
+        }
+        finally {
+            tabSubmitting.value = false
+        }
+    }
+
+    return {
+        // etat
+        main,
+        providerId,
+        mainLocked,
+        mainSubmitting,
+        tabSubmitting,
+        mainErrors,
+        // onglets
+        canAccountingView,
+        canAccountingManage,
+        tabKeys,
+        activeTab,
+        unlockedIndex,
+        validated,
+        editMode,
+        isValidated,
+        // contacts
+        contacts,
+        contactErrors,
+        canAddContact,
+        addContact,
+        removeContact,
+        submitContacts,
+        // adresses
+        addresses,
+        addressErrors,
+        canAddAddress,
+        addAddress,
+        removeAddress,
+        submitAddresses,
+        // comptabilite
+        accounting,
+        ribs,
+        accountingErrors,
+        ribErrors,
+        accountingReadonly,
+        setPaymentType,
+        canAddRib,
+        addRib,
+        removeRib,
+        submitAccounting,
+        // actions
+        validateMainFront,
+        buildMainPayload,
+        submitMain,
+        updateMain,
+        patchProvider,
+        completeTab,
+        submitRows,
+    }
+}

frontend/modules/technique/composables/useProviderReferentials.ts

@@ -0,0 +1,136 @@
+import { ref } from 'vue'
+
+/**
+ * Charge les referentiels (listes courtes) alimentant les selects du formulaire
+ * principal de l'ecran « Ajouter un prestataire » (M3 Technique, ERP-141) :
+ * categories (type PRESTATAIRE) et sites (86 / 17 / 82).
+ *
+ * Miroir reduit de `useSupplierReferentials` (M2) : a ce stade (formulaire
+ * principal) seuls categories + sites sont necessaires. Les referentiels
+ * comptables (modes de TVA, delais/types de reglement, banques) seront charges
+ * par l'onglet Comptabilite (ERP-144).
+ *
+ * Toutes les collections sont recuperees en entier via l'echappatoire prevue
+ * `?pagination=false` (referentiels de quelques entrees), avec l'en-tete
+ * `Accept: application/ld+json` impose par API Platform 4 pour obtenir l'enveloppe
+ * Hydra (`member`). La valeur d'option est l'IRI Hydra (`@id`), renvoyee telle
+ * quelle dans le payload POST (relations M2M).
+ *
+ * Chargement RESILIENT (Promise.allSettled) : chaque referentiel est isole ; un
+ * echec (permission manquante, reseau) laisse simplement la liste vide.
+ *
+ * Etat 100 % local a l'instance (refs) — aucune persistance URL.
+ */
+
+/** Option generique au format attendu par MalioSelect / MalioSelectCheckbox. */
+export interface RefOption {
+    value: string
+    label: string
+}
+
+/** Option de type de reglement enrichie de son code stable (RG-3.07 / RG-3.08). */
+export interface PaymentTypeOption extends RefOption {
+    code: string
+}
+
+interface HydraMember {
+    '@id': string
+}
+
+interface ReferentialMember extends HydraMember {
+    code: string
+    label: string
+}
+
+interface CategoryMember extends HydraMember {
+    code: string
+    name: string
+}
+
+interface SiteMember extends HydraMember {
+    name: string
+    postalCode: string
+}
+
+interface CountryMember extends HydraMember {
+    code: string
+    name: string
+}
+
+const LD_JSON_HEADERS = { Accept: 'application/ld+json' }
+
+export function useProviderReferentials() {
+    const api = useApi()
+
+    const categories = ref<RefOption[]>([])
+    const sites = ref<RefOption[]>([])
+    const countries = ref<RefOption[]>([])
+    // Referentiels comptables (charges a la demande via loadAccounting).
+    const tvaModes = ref<RefOption[]>([])
+    const paymentDelays = ref<RefOption[]>([])
+    const paymentTypes = ref<PaymentTypeOption[]>([])
+    const banks = ref<RefOption[]>([])
+
+    /** Recupere une collection complete (pagination desactivee) en Hydra. */
+    async function fetchAll<T extends HydraMember>(
+        url: string,
+        query: Record<string, string | string[]> = {},
+    ): Promise<T[]> {
+        const res = await api.get<{ member?: T[] }>(
+            url,
+            { pagination: 'false', ...query },
+            { headers: LD_JSON_HEADERS, toast: false },
+        )
+        return res.member ?? []
+    }
+
+    /** Charge en parallele les referentiels du formulaire principal (categories + sites). */
+    async function loadMain(): Promise<void> {
+        await Promise.allSettled([
+            // RG-3.09 : un prestataire ne porte que des categories de type
+            // PRESTATAIRE -> filtre cote API. Libelle affiche = `name`.
+            fetchAll<CategoryMember>('/categories', { typeCode: 'PRESTATAIRE' })
+                .then((cats) => { categories.value = cats.map(c => ({ value: c['@id'], label: c.name })) }),
+            // Sites (RG-3.03) : libelle = numero de departement (2 premiers chiffres
+            // du code postal du site), ex: 86100 -> « 86 », 17400 -> « 17 ».
+            fetchAll<SiteMember>('/sites')
+                .then((sitesList) => { sites.value = sitesList.map(s => ({ value: s['@id'], label: (s.postalCode ?? '').slice(0, 2) })) }),
+            // Pays (ERP-116) : la valeur d'option est le NOM du pays (l'adresse stocke
+            // `country` en chaine libre, « France »...). value === label. Aligne sur
+            // les ecrans client/fournisseur. Sert le select Pays de l'onglet Adresse.
+            fetchAll<CountryMember>('/countries')
+                .then((list) => { countries.value = list.map(c => ({ value: c.name, label: c.name })) }),
+        ])
+    }
+
+    /**
+     * Charge les referentiels comptables (onglet Comptabilite, ERP-144). Appele
+     * uniquement quand l'utilisateur peut voir l'onglet (accounting.view). Resilient
+     * (allSettled) : un referentiel en echec reste vide.
+     */
+    async function loadAccounting(): Promise<void> {
+        await Promise.allSettled([
+            fetchAll<ReferentialMember>('/tva_modes')
+                .then((list) => { tvaModes.value = list.map(t => ({ value: t['@id'], label: t.label })) }),
+            fetchAll<ReferentialMember>('/payment_delays')
+                .then((list) => { paymentDelays.value = list.map(d => ({ value: d['@id'], label: d.label })) }),
+            // Le code stable du type sert les RG-3.07 (VIREMENT) / RG-3.08 (LCR).
+            fetchAll<ReferentialMember>('/payment_types')
+                .then((list) => { paymentTypes.value = list.map(p => ({ value: p['@id'], label: p.label, code: p.code })) }),
+            fetchAll<ReferentialMember>('/banks')
+                .then((list) => { banks.value = list.map(b => ({ value: b['@id'], label: b.label })) }),
+        ])
+    }
+
+    return {
+        categories,
+        sites,
+        countries,
+        tvaModes,
+        paymentDelays,
+        paymentTypes,
+        banks,
+        loadMain,
+        loadAccounting,
+    }
+}

frontend/modules/technique/composables/useProvidersRepository.ts

@@ -0,0 +1,62 @@
+import { usePaginatedList } from '~/shared/composables/usePaginatedList'
+
+/**
+ * Site Starseed rattache DIRECTEMENT au prestataire (M2M `provider_site`,
+ * RG-3.03), tel qu'embarque en LISTE (groupe site:read) pour la colonne « Site »
+ * du Repertoire (badges colores).
+ *
+ * Difference M3 vs M2 : au M2 les sites venaient de l'agregat dedoublonne des
+ * adresses (`Supplier::getSites()`) ; ici c'est une relation directe portee par
+ * le formulaire principal (cf. spec-back M3 § 2.12).
+ */
+export interface ProviderSite {
+    id: number
+    name: string
+    color: string
+}
+
+/**
+ * Categorie (type PRESTATAIRE) rattachee au prestataire, embarquee en LISTE
+ * (groupe category:read). La colonne « Catégories » affiche le `name` (cohérence
+ * M1/M2 — libellé = `name`, pas `code`).
+ */
+export interface ProviderCategory {
+    code: string
+    name: string
+}
+
+/**
+ * Vue MINIMALE d'un prestataire pour le Repertoire (datatable). Volontairement
+ * partielle : seuls les champs des colonnes + l'id (navigation) sont types ici.
+ * Le detail complet (onglets) est hors perimetre de cet ecran (ERP-140).
+ */
+export interface Provider {
+    id: number
+    companyName: string
+    categories: ProviderCategory[]
+    sites: ProviderSite[]
+    /** Date ISO de derniere modification (default:read) — colonne « Dernière activité ». */
+    updatedAt: string | null
+    isArchived: boolean
+}
+
+/**
+ * Repertoire prestataires (ERP-140) — simple enveloppe de `usePaginatedList<Provider>`
+ * sur la ressource `/providers` (pagination serveur obligatoire ; jamais de
+ * chargement integral en memoire). Miroir de `useSuppliersRepository` (M2).
+ *
+ * Les filtres (recherche, categories, sites, inclusion des archives) sont pilotes
+ * par la page via `setFilters` du composable partage — la remise en page 1 est
+ * garantie. Par defaut, aucun `includeArchived` n'est envoye : le back masque
+ * donc les prestataires archives (exclusion par defaut, spec-back § 2.11).
+ *
+ * Le cloisonnement par site est applique AUTOMATIQUEMENT cote back (§ 2.13) en
+ * fonction de l'utilisateur — rien a filtrer cote front.
+ *
+ * Volontairement PAR INSTANCE (pas de singleton module-level) : l'etat tableau
+ * est propre a l'ecran Repertoire et meurt avec lui, comme tout consommateur de
+ * `usePaginatedList`. Aucun reset au logout a gerer.
+ */
+export function useProvidersRepository() {
+    return usePaginatedList<Provider>({ url: '/providers' })
+}

frontend/modules/technique/nuxt.config.ts

@@ -0,0 +1 @@
+export default defineNuxtConfig({})

frontend/modules/technique/pages/providers/[id]/edit.vue

@@ -0,0 +1,543 @@
+<template>
+    <div>
+        <!-- En-tete : retour consultation + nom du prestataire. -->
+        <div class="flex items-center gap-3 pt-11">
+            <MalioButtonIcon
+                icon="mdi:arrow-left-bold"
+                icon-size="24"
+                variant="ghost"
+                v-bind="{ ariaLabel: t('technique.providers.edit.back') }"
+                @click="goBack"
+            />
+            <h1 class="text-[30px] font-semibold text-m-primary">{{ headerTitle }}</h1>
+        </div>
+
+        <!-- Etats de chargement / introuvable. -->
+        <p v-if="loading" class="mt-12 text-center text-black/60">{{ t('technique.providers.edit.loading') }}</p>
+        <p v-else-if="error" class="mt-12 text-center text-m-danger">{{ t('technique.providers.edit.notFound') }}</p>
+
+        <template v-else-if="provider">
+            <!-- ── Bloc principal (pre-rempli, editable si `manage`) ──────────── -->
+            <div class="mt-[48px] grid grid-cols-3 xl:grid-cols-4 gap-x-[44px] gap-y-4">
+                <MalioInputText
+                    v-model="main.companyName"
+                    :label="t('technique.providers.form.main.companyName')"
+                    :required="true"
+                    :readonly="businessReadonly"
+                    :error="mainErrors.errors.companyName"
+                />
+                <MalioSelectCheckbox
+                    :model-value="main.categoryIris"
+                    :options="referentials.categories.value"
+                    :label="t('technique.providers.form.main.categories')"
+                    :display-tag="true"
+                    :readonly="businessReadonly"
+                    :required="true"
+                    :error="mainErrors.errors.categories"
+                    @update:model-value="(v: (string | number)[]) => main.categoryIris = v.map(String)"
+                />
+                <MalioSelectCheckbox
+                    :model-value="main.siteIris"
+                    :options="referentials.sites.value"
+                    :label="t('technique.providers.form.main.sites')"
+                    :display-tag="true"
+                    :readonly="businessReadonly"
+                    :required="true"
+                    :error="mainErrors.errors.sites"
+                    @update:model-value="(v: (string | number)[]) => main.siteIris = v.map(String)"
+                />
+            </div>
+
+            <div v-if="!businessReadonly" class="mt-12 flex justify-center">
+                <MalioButton
+                    variant="primary"
+                    :label="t('technique.providers.edit.save')"
+                    :disabled="mainSubmitting"
+                    @click="onUpdateMain"
+                />
+            </div>
+
+            <!-- ── Onglets : navigation LIBRE, edition independante par onglet ──── -->
+            <MalioTabList v-model="activeTab" :tabs="tabs" :max-visible-tabs="5" :max-width="1100" class="mt-[60px]">
+                <!-- Onglet Contact -->
+                <template #contact>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                             enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                             bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                             bloc enregistre. -->
+                        <ProviderContactBlock
+                            v-for="(contact, index) in contacts"
+                            :key="index"
+                            :model-value="contact"
+                            :removable="isRowRemovable(contacts, index)"
+                            :readonly="businessReadonly"
+                            :errors="contactErrors[index]"
+                            @update:model-value="(v) => contacts[index] = v"
+                            @remove="askRemoveContact(index)"
+                        />
+                        <div v-if="!businessReadonly" class="flex justify-center gap-6">
+                            <MalioButton
+                                variant="secondary"
+                                icon-name="mdi:add-bold"
+                                icon-position="left"
+                                :label="t('technique.providers.form.contact.add')"
+                                :disabled="!canAddContact"
+                                @click="addContact"
+                            />
+                            <MalioButton
+                                variant="primary"
+                                :label="t('technique.providers.edit.save')"
+                                :disabled="tabSubmitting"
+                                @click="onSubmitContacts"
+                            />
+                        </div>
+                    </div>
+                </template>
+
+                <!-- Onglet Adresse -->
+                <template #address>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <ProviderAddressBlock
+                            v-for="(address, index) in addresses"
+                            :key="index"
+                            :model-value="address"
+                            :category-options="referentials.categories.value"
+                            :site-options="referentials.sites.value"
+                            :contact-options="contactOptions"
+                            :country-options="countryOptions"
+                            :removable="isRowRemovable(addresses, index)"
+                            :readonly="businessReadonly"
+                            :errors="addressErrors[index]"
+                            @update:model-value="(v) => addresses[index] = v"
+                            @remove="askRemoveAddress(index)"
+                            @degraded="onAddressDegraded"
+                        />
+                        <div v-if="!businessReadonly" class="flex justify-center gap-6">
+                            <MalioButton
+                                variant="secondary"
+                                icon-name="mdi:add-bold"
+                                icon-position="left"
+                                :label="t('technique.providers.form.address.add')"
+                                :disabled="!canAddAddress"
+                                @click="addAddress"
+                            />
+                            <MalioButton
+                                variant="primary"
+                                :label="t('technique.providers.edit.save')"
+                                :disabled="tabSubmitting"
+                                @click="onSubmitAddresses"
+                            />
+                        </div>
+                    </div>
+                </template>
+
+                <!-- Onglet Comptabilite (present si accounting.view ; editable si manage). -->
+                <template v-if="canAccountingView" #accounting>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <div class="bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]">
+                            <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                                <MalioInputText
+                                    v-model="accounting.siren"
+                                    :label="t('technique.providers.form.accounting.siren')"
+                                    :mask="SIREN_MASK"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="accountingErrors.errors.siren"
+                                />
+                                <MalioInputText
+                                    v-model="accounting.accountNumber"
+                                    :label="t('technique.providers.form.accounting.accountNumber')"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="accountingErrors.errors.accountNumber"
+                                />
+                                <MalioSelect
+                                    :model-value="accounting.tvaModeIri"
+                                    :options="referentials.tvaModes.value"
+                                    :label="t('technique.providers.form.accounting.tvaMode')"
+                                    :readonly="accountingReadonly"
+                                    empty-option-label=""
+                                    :required="true"
+                                    :error="accountingErrors.errors.tvaMode"
+                                    @update:model-value="(v: string | number | null) => accounting.tvaModeIri = v === null ? null : String(v)"
+                                />
+                                <MalioInputText
+                                    v-model="accounting.nTva"
+                                    :label="t('technique.providers.form.accounting.nTva')"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="accountingErrors.errors.nTva"
+                                />
+                                <MalioSelect
+                                    :model-value="accounting.paymentDelayIri"
+                                    :options="referentials.paymentDelays.value"
+                                    :label="t('technique.providers.form.accounting.paymentDelay')"
+                                    :readonly="accountingReadonly"
+                                    empty-option-label=""
+                                    :required="true"
+                                    :error="accountingErrors.errors.paymentDelay"
+                                    @update:model-value="(v: string | number | null) => accounting.paymentDelayIri = v === null ? null : String(v)"
+                                />
+                                <MalioSelect
+                                    :model-value="accounting.paymentTypeIri"
+                                    :options="referentials.paymentTypes.value"
+                                    :label="t('technique.providers.form.accounting.paymentType')"
+                                    :readonly="accountingReadonly"
+                                    empty-option-label=""
+                                    :required="true"
+                                    :error="accountingErrors.errors.paymentType"
+                                    @update:model-value="onPaymentTypeChange"
+                                />
+                                <MalioSelect
+                                    v-if="isBankRequired"
+                                    :model-value="accounting.bankIri"
+                                    :options="referentials.banks.value"
+                                    :label="t('technique.providers.form.accounting.bank')"
+                                    :readonly="accountingReadonly"
+                                    empty-option-label=""
+                                    :required="true"
+                                    :error="accountingErrors.errors.bank"
+                                    @update:model-value="(v: string | number | null) => accounting.bankIri = v === null ? null : String(v)"
+                                />
+                            </div>
+                        </div>
+
+                        <!-- Blocs RIB — affiches uniquement si type de reglement = LCR (RG-3.08). -->
+                        <div
+                            v-for="(rib, index) in visibleRibs"
+                            :key="index"
+                            class="relative bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
+                        >
+                            <MalioButtonIcon
+                                v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
+                                icon="mdi:delete-outline"
+                                variant="ghost"
+                                button-class="absolute top-3 right-3"
+                                v-bind="{ ariaLabel: t('technique.providers.form.accounting.removeRib') }"
+                                @click="askRemoveRib(index)"
+                            />
+                            <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                                <MalioInputText
+                                    v-model="rib.label"
+                                    :label="t('technique.providers.form.accounting.ribLabel')"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="ribErrors[index]?.label"
+                                />
+                                <MalioInputText
+                                    v-model="rib.bic"
+                                    :label="t('technique.providers.form.accounting.ribBic')"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="ribErrors[index]?.bic"
+                                />
+                                <MalioInputText
+                                    v-model="rib.iban"
+                                    :label="t('technique.providers.form.accounting.ribIban')"
+                                    :readonly="accountingReadonly"
+                                    :required="true"
+                                    :error="ribErrors[index]?.iban"
+                                />
+                            </div>
+                        </div>
+
+                        <div v-if="!accountingReadonly" class="flex justify-center gap-6">
+                            <MalioButton
+                                v-if="isRibRequired"
+                                variant="secondary"
+                                icon-name="mdi:add-bold"
+                                icon-position="left"
+                                :label="t('technique.providers.form.accounting.addRib')"
+                                :disabled="!canAddRib"
+                                @click="addRib"
+                            />
+                            <MalioButton
+                                variant="primary"
+                                :label="t('technique.providers.edit.save')"
+                                :disabled="tabSubmitting"
+                                @click="onSubmitAccounting"
+                            />
+                        </div>
+                    </div>
+                </template>
+            </MalioTabList>
+        </template>
+
+        <!-- Modal de confirmation generique (suppression contact / adresse / RIB). -->
+        <MalioModal v-model="confirmModal.open" modal-class="max-w-md">
+            <template #header>
+                <h2 class="text-[24px] font-bold">{{ t('technique.providers.form.confirmDelete.title') }}</h2>
+            </template>
+            <p>{{ confirmModal.message }}</p>
+            <template #footer>
+                <MalioButton
+                    variant="secondary"
+                    button-class="flex-1"
+                    :label="t('technique.providers.form.confirmDelete.cancel')"
+                    @click="confirmModal.open = false"
+                />
+                <MalioButton
+                    variant="danger"
+                    button-class="flex-1"
+                    :label="t('technique.providers.form.confirmDelete.confirm')"
+                    @click="runConfirm"
+                />
+            </template>
+        </MalioModal>
+    </div>
+</template>
+
+<script setup lang="ts">
+import { computed, onMounted, reactive, ref } from 'vue'
+import { useProvider } from '~/modules/technique/composables/useProvider'
+import { useProviderReferentials, type RefOption } from '~/modules/technique/composables/useProviderReferentials'
+import { useProviderForm } from '~/modules/technique/composables/useProviderForm'
+import {
+    canEditProvider,
+    irisOf,
+    mapAccountingDraft,
+    mapAddressToDraft,
+    mapContactToDraft,
+    mapRibToDraft,
+    paymentTypeCodeOf,
+} from '~/modules/technique/utils/forms/providerDetail'
+import {
+    isBankRequiredForPaymentType,
+    isRibRequiredForPaymentType,
+} from '~/modules/technique/utils/forms/providerAccounting'
+import {
+    emptyProviderAddress,
+    emptyProviderContact,
+    emptyProviderRib,
+} from '~/modules/technique/types/providerForm'
+import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable } from '~/shared/utils/collectionRow'
+
+// Masque SIREN : 9 chiffres (la normalisation finale reste serveur).
+const SIREN_MASK = '#########'
+
+const { t } = useI18n()
+const route = useRoute()
+const router = useRouter()
+const toast = useToast()
+const { can, canAny } = usePermissions()
+
+const providerId = route.params.id as string
+
+// Acces : l'edition exige `manage` OU `accounting.manage` (le role Compta edite
+// son onglet). Sinon retour consultation.
+if (!canEditProvider(canAny)) {
+    await navigateTo(`/providers/${providerId}`)
+}
+
+const businessReadonly = computed(() => !can('technique.providers.manage'))
+
+const referentials = useProviderReferentials()
+const { provider, loading, error, load } = useProvider(providerId)
+
+const {
+    main,
+    providerId: formProviderId,
+    mainErrors,
+    mainSubmitting,
+    tabSubmitting,
+    editMode,
+    canAccountingView,
+    tabKeys,
+    activeTab,
+    contacts,
+    contactErrors,
+    canAddContact,
+    addContact,
+    removeContact,
+    submitContacts,
+    addresses,
+    addressErrors,
+    canAddAddress,
+    addAddress,
+    removeAddress,
+    submitAddresses,
+    accounting,
+    ribs,
+    accountingErrors,
+    ribErrors,
+    accountingReadonly,
+    setPaymentType,
+    canAddRib,
+    addRib,
+    removeRib,
+    submitAccounting,
+    updateMain,
+} = useProviderForm()
+
+// Modification : navigation libre + pas de verrouillage a la validation.
+editMode.value = true
+activeTab.value = 'contact'
+
+const headerTitle = computed(() => provider.value?.companyName || t('technique.providers.edit.title'))
+useHead({ title: t('technique.providers.edit.title') })
+
+// ── Onglets (navigation libre ; Comptabilite si accounting.view) ───────────────
+const TAB_ICONS: Record<string, string> = {
+    contact: 'mdi:account-box-plus-outline',
+    address: 'mdi:map-marker-outline',
+    accounting: 'mdi:bank-circle-outline',
+}
+const tabs = computed(() => tabKeys.value.map(key => ({
+    key,
+    label: t(`technique.providers.tab.${key}`),
+    icon: TAB_ICONS[key],
+})))
+
+/** Pre-remplit les brouillons depuis la SEULE reponse detail. */
+function prefill(): void {
+    const d = provider.value
+    if (!d) return
+
+    // Indispensable : pilote les URLs des PATCH/POST par onglet (sinon les submits no-op).
+    formProviderId.value = d.id
+
+    main.companyName = d.companyName ?? null
+    main.categoryIris = irisOf(d.categories)
+    main.siteIris = irisOf(d.sites)
+
+    const mappedContacts = (d.contacts ?? []).map(mapContactToDraft)
+    contacts.value = mappedContacts.length > 0 ? mappedContacts : [emptyProviderContact()]
+
+    const mappedAddresses = (d.addresses ?? []).map(mapAddressToDraft)
+    addresses.value = mappedAddresses.length > 0 ? mappedAddresses : [emptyProviderAddress()]
+
+    if (canAccountingView.value) {
+        Object.assign(accounting, mapAccountingDraft(d))
+        ribs.value = (d.ribs ?? []).map(mapRibToDraft)
+        // Garantit un bloc RIB visible si le type de reglement est LCR.
+        if (isRibRequiredForPaymentType(paymentTypeCodeOf(d.paymentType)) && ribs.value.length === 0) {
+            ribs.value.push(emptyProviderRib())
+        }
+    }
+}
+
+// ── Comptabilite : RG-3.07 / RG-3.08 pilotees par le code du type de reglement ──
+const selectedPaymentTypeCode = computed(() =>
+    referentials.paymentTypes.value.find(p => p.value === accounting.paymentTypeIri)?.code ?? null,
+)
+const isBankRequired = computed(() => isBankRequiredForPaymentType(selectedPaymentTypeCode.value))
+const isRibRequired = computed(() => isRibRequiredForPaymentType(selectedPaymentTypeCode.value))
+const visibleRibs = computed(() => isRibRequired.value ? ribs.value : [])
+
+function onPaymentTypeChange(value: string | number | null): void {
+    const iri = value === null ? null : String(value)
+    const code = referentials.paymentTypes.value.find(p => p.value === iri)?.code ?? null
+    setPaymentType(iri, isBankRequiredForPaymentType(code), isRibRequiredForPaymentType(code))
+}
+
+// ── Options adresses ──────────────────────────────────────────────────────────
+const contactOptions = computed<RefOption[]>(() =>
+    contacts.value
+        .filter(c => c.iri !== null)
+        .map(c => ({
+            value: c.iri as string,
+            label: [c.firstName, c.lastName].filter(Boolean).join(' ') || (c.email ?? ''),
+        })),
+)
+
+const countryOptions = computed<RefOption[]>(() => {
+    const list = referentials.countries.value
+    return list.some(c => c.value === 'France')
+        ? list
+        : [{ value: 'France', label: 'France' }, ...list]
+})
+
+const addressDegradedNotified = ref(false)
+function onAddressDegraded(): void {
+    if (addressDegradedNotified.value) return
+    addressDegradedNotified.value = true
+    toast.warning({
+        title: t('technique.providers.toast.error'),
+        message: t('technique.providers.form.address.degraded'),
+    })
+}
+
+// ── Navigation + helpers ──────────────────────────────────────────────────────
+function goBack(): void {
+    router.push(`/providers/${providerId}`)
+}
+
+function apiErrorMessage(err: unknown): string {
+    const data = (err as { response?: { _data?: unknown } })?.response?._data
+    return extractApiErrorMessage(data) || t('technique.providers.toast.error')
+}
+
+/** PATCH du bloc principal (groupe provider:write:main). */
+async function onUpdateMain(): Promise<void> {
+    if (await updateMain()) {
+        toast.success({ title: t('technique.providers.toast.updateSuccess') })
+    }
+}
+
+async function onSubmitContacts(): Promise<void> {
+    const ok = await submitContacts(err => toast.error({
+        title: t('technique.providers.toast.error'),
+        message: apiErrorMessage(err),
+    }))
+    if (ok) toast.success({ title: t('technique.providers.toast.updateSuccess') })
+}
+
+async function onSubmitAddresses(): Promise<void> {
+    const ok = await submitAddresses(err => toast.error({
+        title: t('technique.providers.toast.error'),
+        message: apiErrorMessage(err),
+    }))
+    if (ok) toast.success({ title: t('technique.providers.toast.updateSuccess') })
+}
+
+async function onSubmitAccounting(): Promise<void> {
+    const ok = await submitAccounting(
+        isBankRequired.value,
+        isRibRequired.value,
+        err => toast.error({ title: t('technique.providers.toast.error'), message: apiErrorMessage(err) }),
+    )
+    if (ok) toast.success({ title: t('technique.providers.toast.updateSuccess') })
+}
+
+// ── Modal de confirmation generique ───────────────────────────────────────────
+const confirmModal = reactive({
+    open: false,
+    message: '',
+    action: null as null | (() => void),
+})
+
+function askConfirm(message: string, action: () => void): void {
+    confirmModal.message = message
+    confirmModal.action = action
+    confirmModal.open = true
+}
+
+function runConfirm(): void {
+    confirmModal.action?.()
+    confirmModal.action = null
+    confirmModal.open = false
+}
+
+function askRemoveContact(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.contact'), () => removeContact(index))
+}
+
+function askRemoveAddress(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.address'), () => removeAddress(index))
+}
+
+function askRemoveRib(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.rib'), () => removeRib(index))
+}
+
+onMounted(async () => {
+    referentials.loadMain().catch(() => {})
+    if (canAccountingView.value) {
+        referentials.loadAccounting().catch(() => {})
+    }
+    await load()
+    prefill()
+})
+</script>

frontend/modules/technique/pages/providers/[id]/index.vue

@@ -0,0 +1,308 @@
+<template>
+    <div>
+        <!-- En-tete : retour repertoire + nom du prestataire + actions. -->
+        <div class="flex items-center gap-3 pt-11">
+            <MalioButtonIcon
+                icon="mdi:arrow-left-bold"
+                icon-size="24"
+                variant="ghost"
+                v-bind="{ ariaLabel: t('technique.providers.consultation.back') }"
+                @click="goBack"
+            />
+            <h1 class="text-[30px] font-semibold text-m-primary">{{ headerTitle }}</h1>
+
+            <div class="ml-auto flex items-center gap-12">
+                <MalioButton
+                    v-if="canEdit"
+                    variant="secondary"
+                    icon-name="mdi:pencil-outline"
+                    icon-position="left"
+                    :label="t('technique.providers.action.edit')"
+                    @click="goEdit"
+                />
+                <MalioButton
+                    v-if="showArchive"
+                    variant="secondary"
+                    icon-name="mdi:archive-arrow-down-outline"
+                    icon-position="left"
+                    :label="t('technique.providers.action.archive')"
+                    @click="askToggleArchive"
+                />
+                <MalioButton
+                    v-if="showRestore"
+                    variant="secondary"
+                    icon-name="mdi:archive-arrow-up-outline"
+                    icon-position="left"
+                    :label="t('technique.providers.action.restore')"
+                    @click="askToggleArchive"
+                />
+            </div>
+        </div>
+
+        <!-- Etats de chargement / introuvable. -->
+        <p v-if="loading" class="mt-12 text-center text-black/60">{{ t('technique.providers.consultation.loading') }}</p>
+        <p v-else-if="error" class="mt-12 text-center text-m-danger">{{ t('technique.providers.consultation.notFound') }}</p>
+
+        <template v-else-if="provider">
+            <!-- ── Bloc principal (lecture seule) ─────────────────────────────── -->
+            <div class="mt-[48px] grid grid-cols-3 xl:grid-cols-4 gap-x-[44px] gap-y-4">
+                <MalioInputText
+                    :model-value="provider.companyName"
+                    :label="t('technique.providers.form.main.companyName')"
+                    readonly
+                />
+                <MalioSelectCheckbox
+                    :model-value="mainCategoryIris"
+                    :options="mainCategoryOptions"
+                    :label="t('technique.providers.form.main.categories')"
+                    :display-tag="true"
+                    readonly
+                />
+                <MalioSelectCheckbox
+                    :model-value="mainSiteIris"
+                    :options="mainSiteOptions"
+                    :label="t('technique.providers.form.main.sites')"
+                    :display-tag="true"
+                    readonly
+                />
+            </div>
+
+            <!-- ── Onglets (navigation libre, tout en lecture seule) ──────────── -->
+            <MalioTabList v-model="activeTab" :tabs="tabs" :max-visible-tabs="5" :max-width="1100" class="mt-[60px]">
+                <!-- Onglet Contacts -->
+                <template #contacts>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <ProviderContactBlock
+                            v-for="(contact, index) in contacts"
+                            :key="index"
+                            :model-value="contact"
+                            readonly
+                        />
+                    </div>
+                </template>
+
+                <!-- Onglet Adresse -->
+                <template #address>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <ProviderAddressBlock
+                            v-for="(view, index) in addressViews"
+                            :key="index"
+                            :model-value="view.draft"
+                            :category-options="view.categoryOptions"
+                            :site-options="view.siteOptions"
+                            :contact-options="contactOptions"
+                            :country-options="countryOptionsFor(view.draft.country)"
+                            readonly
+                        />
+                    </div>
+                </template>
+
+                <!-- Onglets placeholder « A venir » (comme les autres modules). -->
+                <template #reports><ComingSoonPlaceholder /></template>
+                <template #exchanges><ComingSoonPlaceholder /></template>
+
+                <!-- Onglet Comptabilite (present uniquement si accounting.view). -->
+                <template v-if="canAccountingView" #accounting>
+                    <div class="mt-12 flex flex-col gap-6">
+                        <div class="bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]">
+                            <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                                <MalioInputText :model-value="accounting.siren" :label="t('technique.providers.form.accounting.siren')" readonly />
+                                <MalioInputText :model-value="accounting.accountNumber" :label="t('technique.providers.form.accounting.accountNumber')" readonly />
+                                <MalioSelect :model-value="accounting.tvaModeIri" :options="tvaModeOptions" :label="t('technique.providers.form.accounting.tvaMode')" readonly empty-option-label="" />
+                                <MalioInputText :model-value="accounting.nTva" :label="t('technique.providers.form.accounting.nTva')" readonly />
+                                <MalioSelect :model-value="accounting.paymentDelayIri" :options="paymentDelayOptions" :label="t('technique.providers.form.accounting.paymentDelay')" readonly empty-option-label="" />
+                                <MalioSelect :model-value="accounting.paymentTypeIri" :options="paymentTypeOptions" :label="t('technique.providers.form.accounting.paymentType')" readonly empty-option-label="" />
+                                <MalioSelect v-if="isBankRequired" :model-value="accounting.bankIri" :options="bankOptions" :label="t('technique.providers.form.accounting.bank')" readonly empty-option-label="" />
+                            </div>
+                        </div>
+
+                        <!-- Blocs RIB (uniquement si type de reglement = LCR). -->
+                        <div
+                            v-for="(rib, index) in visibleRibs"
+                            :key="index"
+                            class="bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
+                        >
+                            <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                                <MalioInputText :model-value="rib.label" :label="t('technique.providers.form.accounting.ribLabel')" readonly />
+                                <MalioInputText :model-value="rib.bic" :label="t('technique.providers.form.accounting.ribBic')" readonly />
+                                <MalioInputText :model-value="rib.iban" :label="t('technique.providers.form.accounting.ribIban')" readonly />
+                            </div>
+                        </div>
+                    </div>
+                </template>
+            </MalioTabList>
+        </template>
+
+        <!-- Modal de confirmation archivage / restauration. -->
+        <MalioModal v-model="confirmArchive.open" modal-class="max-w-md">
+            <template #header>
+                <h2 class="text-[24px] font-bold">{{ confirmArchive.title }}</h2>
+            </template>
+            <p>{{ confirmArchive.message }}</p>
+            <template #footer>
+                <MalioButton
+                    variant="secondary"
+                    button-class="flex-1"
+                    :label="t('technique.providers.form.confirmDelete.cancel')"
+                    @click="confirmArchive.open = false"
+                />
+                <MalioButton
+                    variant="danger"
+                    button-class="flex-1"
+                    :label="confirmArchive.confirmLabel"
+                    @click="runToggleArchive"
+                />
+            </template>
+        </MalioModal>
+    </div>
+</template>
+
+<script setup lang="ts">
+import { computed, onMounted, reactive, ref } from 'vue'
+import { useProvider } from '~/modules/technique/composables/useProvider'
+import {
+    canEditProvider,
+    categoryOptionsOf,
+    contactOptionsOf,
+    irisOf,
+    mapAccountingDraft,
+    mapAddressToDraft,
+    mapContactToDraft,
+    mapRibToDraft,
+    paymentTypeCodeOf,
+    referentialOptionOf,
+    showArchiveAction,
+    showRestoreAction,
+    siteOptionsOf,
+} from '~/modules/technique/utils/forms/providerDetail'
+import { isBankRequiredForPaymentType, isRibRequiredForPaymentType } from '~/modules/technique/utils/forms/providerAccounting'
+import { emptyProviderAddress, emptyProviderContact } from '~/modules/technique/types/providerForm'
+
+const { t } = useI18n()
+const route = useRoute()
+const router = useRouter()
+const toast = useToast()
+const { can, canAny } = usePermissions()
+
+const providerId = route.params.id as string
+const { provider, loading, error, load, archive, restore } = useProvider(providerId)
+
+const canAccountingView = computed(() => can('technique.providers.accounting.view'))
+const canEdit = computed(() => canEditProvider(canAny))
+const isArchived = computed(() => provider.value?.isArchived ?? false)
+const showArchive = computed(() => showArchiveAction(can, isArchived.value))
+const showRestore = computed(() => showRestoreAction(can, isArchived.value))
+
+const headerTitle = computed(() => provider.value?.companyName || t('technique.providers.consultation.title'))
+useHead({ title: t('technique.providers.consultation.title') })
+
+// ── Onglets (ordre spec : Contacts · Adresse · Rapports · Échanges · Comptabilité) ──
+const activeTab = ref('contacts')
+const TAB_ICONS: Record<string, string> = {
+    contacts: 'mdi:account-box-plus-outline',
+    address: 'mdi:map-marker-outline',
+    reports: 'mdi:file-chart-outline',
+    exchanges: 'mdi:swap-horizontal',
+    accounting: 'mdi:bank-circle-outline',
+}
+const tabs = computed(() => {
+    const keys = ['contacts', 'address', 'reports', 'exchanges']
+    if (canAccountingView.value) keys.push('accounting')
+    return keys.map(key => ({ key, label: t(`technique.providers.tab.${key}`), icon: TAB_ICONS[key] }))
+})
+
+// ── Donnees mappees depuis la SEULE reponse detail ─────────────────────────────
+const mainCategoryIris = computed(() => irisOf(provider.value?.categories))
+const mainSiteIris = computed(() => irisOf(provider.value?.sites))
+const mainCategoryOptions = computed(() => categoryOptionsOf(provider.value?.categories))
+const mainSiteOptions = computed(() => siteOptionsOf(provider.value?.sites))
+
+// Au moins un bloc affiche meme sans donnee (bloc vide en lecture seule, comme
+// l'onglet Comptabilite et les autres modules — pas de message « Aucun … »).
+const contacts = computed(() => {
+    const list = (provider.value?.contacts ?? []).map(mapContactToDraft)
+    return list.length > 0 ? list : [emptyProviderContact()]
+})
+// Contacts rattachables (pour resoudre les libelles des contacts lies aux adresses).
+const contactOptions = computed(() => contactOptionsOf(provider.value?.contacts))
+
+// Vue par adresse : brouillon + options propres a l'adresse (sites/categories embarques).
+const addressViews = computed(() => {
+    const views = (provider.value?.addresses ?? []).map(address => ({
+        draft: mapAddressToDraft(address),
+        siteOptions: siteOptionsOf(address.sites),
+        categoryOptions: categoryOptionsOf(address.categories),
+    }))
+    return views.length > 0
+        ? views
+        : [{ draft: emptyProviderAddress(), siteOptions: [], categoryOptions: [] }]
+})
+
+/** Pays : une seule option (la valeur courante), suffisant pour l'affichage readonly. */
+function countryOptionsFor(country: string): { value: string, label: string }[] {
+    return country ? [{ value: country, label: country }] : []
+}
+
+// ── Comptabilite (presente uniquement si accounting.view) ──────────────────────
+const accounting = computed(() => mapAccountingDraft(provider.value ?? { id: 0, '@id': '' }))
+const paymentTypeCode = computed(() => paymentTypeCodeOf(provider.value?.paymentType))
+const isBankRequired = computed(() => isBankRequiredForPaymentType(paymentTypeCode.value))
+const isRibRequired = computed(() => isRibRequiredForPaymentType(paymentTypeCode.value))
+const visibleRibs = computed(() => isRibRequired.value ? (provider.value?.ribs ?? []).map(mapRibToDraft) : [])
+
+// Options « une entree » construites depuis l'embed (libelles role-independants).
+const tvaModeOptions = computed(() => referentialOptionOf(provider.value?.tvaMode))
+const paymentDelayOptions = computed(() => referentialOptionOf(provider.value?.paymentDelay))
+const paymentTypeOptions = computed(() => referentialOptionOf(provider.value?.paymentType))
+const bankOptions = computed(() => referentialOptionOf(provider.value?.bank))
+
+// ── Navigation / actions ───────────────────────────────────────────────────────
+function goBack(): void {
+    router.push('/providers')
+}
+
+function goEdit(): void {
+    router.push(`/providers/${providerId}/edit`)
+}
+
+// ── Archivage / restauration ───────────────────────────────────────────────────
+const confirmArchive = reactive({
+    open: false,
+    title: '',
+    message: '',
+    confirmLabel: '',
+})
+
+function askToggleArchive(): void {
+    const archiving = !isArchived.value
+    confirmArchive.title = archiving
+        ? t('technique.providers.action.archive')
+        : t('technique.providers.action.restore')
+    confirmArchive.message = archiving
+        ? t('technique.providers.consultation.confirmArchive')
+        : t('technique.providers.consultation.confirmRestore')
+    confirmArchive.confirmLabel = archiving
+        ? t('technique.providers.action.archive')
+        : t('technique.providers.action.restore')
+    confirmArchive.open = true
+}
+
+async function runToggleArchive(): Promise<void> {
+    const archiving = !isArchived.value
+    confirmArchive.open = false
+    try {
+        await (archiving ? archive() : restore())
+        toast.success({
+            title: archiving
+                ? t('technique.providers.toast.archiveSuccess')
+                : t('technique.providers.toast.restoreSuccess'),
+        })
+    }
+    catch {
+        // 409 a la restauration (homonyme actif) ou autre : toast generique.
+        toast.error({ title: t('technique.providers.toast.error') })
+    }
+}
+
+onMounted(load)
+</script>

frontend/modules/technique/pages/providers/index.vue

@@ -0,0 +1,438 @@
+<template>
+    <div>
+        <PageHeader>
+            {{ t('technique.providers.title') }}
+            <template #actions>
+                <!-- gap-8 = 32px d'espacement entre Filtrer et Ajouter. -->
+                <div class="flex items-center gap-8">
+                    <!-- Bouton Filtrer a GAUCHE d'Ajouter. Le compteur reflete les filtres actifs. -->
+                    <MalioButton
+                        v-if="canView"
+                        variant="tertiary"
+                        :label="filterButtonLabel"
+                        icon-name="mdi:tune"
+                        icon-position="left"
+                        icon-size="24"
+                        @click="openFilters"
+                    />
+                    <MalioButton
+                        v-if="canManage"
+                        variant="secondary"
+                        :label="t('technique.providers.add')"
+                        icon-name="mdi:add-bold"
+                        icon-position="left"
+                        @click="goToCreate"
+                    />
+                </div>
+            </template>
+        </PageHeader>
+
+        <!-- Datatable branchee sur usePaginatedList via useProvidersRepository :
+             pagination serveur, tri companyName ASC par defaut (cote back),
+             archives masques par defaut. Cloisonnement par site cote back. -->
+        <MalioDataTable
+            :columns="columns"
+            :items="rows"
+            :total-items="totalItems"
+            :page="currentPage"
+            :per-page="itemsPerPage"
+            :per-page-options="itemsPerPageOptions"
+            row-clickable
+            table-class="table-fixed providers-table"
+            :empty-message="t('technique.providers.empty')"
+            @row-click="onRowClick"
+            @update:page="goToPage"
+            @update:per-page="setItemsPerPage"
+        >
+            <!-- Categories : libelles (name) separes par une virgule. -->
+            <template #cell-categories="{ item }">
+                {{ formatCategories(item) }}
+            </template>
+
+            <!-- Sites : badges colores (name + color), relation directe du prestataire. -->
+            <template #cell-sites="{ item }">
+                <span class="flex flex-wrap gap-1">
+                    <span
+                        v-for="site in (item.sites as ProviderSite[])"
+                        :key="site.id"
+                        class="inline-flex items-center rounded-full px-2 py-0.5 font-medium text-white"
+                        :style="{ backgroundColor: site.color }"
+                    >
+                        {{ site.name }}
+                    </span>
+                </span>
+            </template>
+
+            <!-- Derniere activite : date de derniere modification (updatedAt), format JJ-MM-AAAA. -->
+            <template #cell-lastActivity="{ item }">
+                {{ formatLastActivity(item) }}
+            </template>
+        </MalioDataTable>
+
+        <div class="flex justify-center mt-4">
+            <MalioButton
+                v-if="canView"
+                variant="primary"
+                :label="t('technique.providers.export')"
+                :disabled="exporting"
+                @click="exportXlsx"
+            />
+        </div>
+
+        <!-- Drawer de filtres : etat BROUILLON, applique uniquement au clic sur
+             « Voir les résultats ». Meme pattern que le repertoire fournisseurs.
+             Etat 100 % local, jamais dans l'URL (regle ABSOLUE n°6). -->
+        <MalioDrawer
+            v-model="filterDrawerOpen"
+            drawer-class="max-w-[450px]"
+            body-class="p-0"
+            footer-class="justify-between border-t border-black p-6"
+        >
+            <template #header>
+                <h2 class="text-[24px] font-bold uppercase">{{ t('technique.providers.filters.title') }}</h2>
+            </template>
+
+            <MalioAccordion>
+                <!-- Recherche : nom entreprise + contact + email (param `search`). -->
+                <MalioAccordionItem :title="t('technique.providers.filters.search')" value="search">
+                    <MalioInputText
+                        v-model="draftSearch"
+                        icon-name="mdi:magnify"
+                    />
+                </MalioAccordionItem>
+
+                <!-- Categories (type PRESTATAIRE) : cases a cocher (multi). Valeur = code stable. -->
+                <MalioAccordionItem :title="t('technique.providers.filters.categories')" value="categories">
+                    <div class="flex flex-col">
+                        <MalioCheckbox
+                            v-for="opt in categoryOptions"
+                            :id="`filter-category-${opt.value}`"
+                            :key="opt.value"
+                            :label="opt.label"
+                            :model-value="draftCategoryCodes.includes(opt.value)"
+                            @update:model-value="(val: boolean) => toggleCategory(opt.value, val)"
+                        />
+                    </div>
+                </MalioAccordionItem>
+
+                <!-- Sites : cases a cocher (multi). Valeur = id du site. -->
+                <MalioAccordionItem :title="t('technique.providers.filters.sites')" value="sites">
+                    <div class="flex flex-col">
+                        <MalioCheckbox
+                            v-for="opt in siteOptions"
+                            :id="`filter-site-${opt.value}`"
+                            :key="opt.value"
+                            :label="opt.label"
+                            :model-value="draftSiteIds.includes(opt.value)"
+                            @update:model-value="(val: boolean) => toggleSite(opt.value, val)"
+                        />
+                    </div>
+                </MalioAccordionItem>
+
+                <!-- Statut : bool unique. Coche = inclut aussi les archives (sinon actifs seuls). -->
+                <MalioAccordionItem :title="t('technique.providers.filters.status')" value="status">
+                    <MalioCheckbox
+                        id="filter-include-archived"
+                        :label="t('technique.providers.filters.includeArchived')"
+                        :model-value="draftIncludeArchived"
+                        @update:model-value="(val: boolean) => draftIncludeArchived = val"
+                    />
+                </MalioAccordionItem>
+            </MalioAccordion>
+
+            <template #footer>
+                <MalioButton
+                    variant="tertiary"
+                    :label="t('technique.providers.filters.reset')"
+                    button-class="w-m-btn-action"
+                    @click="resetFilters"
+                />
+                <MalioButton
+                    variant="primary"
+                    :label="t('technique.providers.filters.apply')"
+                    button-class="w-[170px]"
+                    @click="applyFilters"
+                />
+            </template>
+        </MalioDrawer>
+    </div>
+</template>
+
+<script setup lang="ts">
+import { computed, onMounted, ref } from 'vue'
+import type { Provider, ProviderSite } from '~/modules/technique/composables/useProvidersRepository'
+
+interface FilterOption {
+    value: string
+    label: string
+}
+
+const { t } = useI18n()
+const api = useApi()
+const router = useRouter()
+const toast = useToast()
+const { can } = usePermissions()
+
+useHead({ title: t('technique.providers.title') })
+
+// Bouton « Ajouter » reserve a `manage` (POST /providers garde manage seul —
+// Compta cree pas). « Exporter » et « Filtrer » suivent `view`.
+const canManage = computed(() => can('technique.providers.manage'))
+const canView = computed(() => can('technique.providers.view'))
+
+const {
+    items: providers,
+    totalItems,
+    currentPage,
+    itemsPerPage,
+    itemsPerPageOptions,
+    fetch: loadProviders,
+    goToPage,
+    setItemsPerPage,
+    setFilters,
+} = useProvidersRepository()
+
+// Mappe les prestataires en objets « plats » pour MalioDataTable (items typees
+// Record<string, unknown>[]) : un objet litteral porte une signature d'index
+// implicite, contrairement a l'interface Provider. Meme pattern que fournisseurs.
+const rows = computed(() => providers.value.map(provider => ({
+    id: provider.id,
+    companyName: provider.companyName,
+    categories: provider.categories,
+    sites: provider.sites,
+    updatedAt: provider.updatedAt,
+})))
+
+const columns = [
+    { key: 'companyName', label: t('technique.providers.column.companyName') },
+    { key: 'categories', label: t('technique.providers.column.categories') },
+    { key: 'sites', label: t('technique.providers.column.sites') },
+    { key: 'lastActivity', label: t('technique.providers.column.lastActivity') },
+]
+
+/** Libelles des categories du prestataire, separes par une virgule (name). */
+function formatCategories(item: Record<string, unknown>): string {
+    const categories = (item.categories as Provider['categories']) ?? []
+    return categories.map(c => c.name).join(', ')
+}
+
+/**
+ * Derniere activite : date de derniere modification de la fiche (updatedAt,
+ * expose en liste via default:read). Format court francais JJ-MM-AAAA (tirets,
+ * cf. spec-front M3 § Datatable).
+ */
+function formatLastActivity(item: Record<string, unknown>): string {
+    const value = item.updatedAt as string | null | undefined
+    if (!value) {
+        return ''
+    }
+
+    // Garde-fou date invalide : un updatedAt mal forme donnerait « Invalid Date ».
+    const date = new Date(value)
+    if (Number.isNaN(date.getTime())) {
+        return ''
+    }
+
+    const day = String(date.getDate()).padStart(2, '0')
+    const month = String(date.getMonth() + 1).padStart(2, '0')
+    const year = date.getFullYear()
+    return `${day}-${month}-${year}`
+}
+
+/** Clic sur une ligne → ecran Consultation (route a plat /providers/{id}). */
+function onRowClick(item: Record<string, unknown>): void {
+    router.push(`/providers/${item.id}`)
+}
+
+function goToCreate(): void {
+    router.push('/providers/new')
+}
+
+// ── Filtres (drawer) ────────────────────────────────────────────────────────
+// Deux niveaux d'etat (pattern repertoire fournisseurs) :
+//  - APPLIED : pilote la liste/l'export + le compteur du bouton. Modifie
+//    uniquement au clic « Voir les résultats » / « Réinitialiser ».
+//  - DRAFT : edite librement dans le drawer ; recopie vers applied a la validation.
+const filterDrawerOpen = ref(false)
+
+const draftSearch = ref('')
+const draftCategoryCodes = ref<string[]>([])
+const draftSiteIds = ref<string[]>([])
+const draftIncludeArchived = ref(false)
+
+const appliedSearch = ref('')
+const appliedCategoryCodes = ref<string[]>([])
+const appliedSiteIds = ref<string[]>([])
+const appliedIncludeArchived = ref(false)
+
+// Options des selects multi, chargees une fois (referentiels courts).
+const categoryOptions = ref<FilterOption[]>([])
+const siteOptions = ref<FilterOption[]>([])
+
+const activeFilterCount = computed(() => {
+    let count = 0
+    if (appliedSearch.value.trim() !== '') count++
+    if (appliedCategoryCodes.value.length > 0) count++
+    if (appliedSiteIds.value.length > 0) count++
+    if (appliedIncludeArchived.value) count++
+    return count
+})
+
+const filterButtonLabel = computed(() => {
+    const base = t('technique.providers.filters.title')
+    return activeFilterCount.value > 0 ? `${base} (${activeFilterCount.value})` : base
+})
+
+// Recopie l'etat applique vers le brouillon puis ouvre le drawer : la
+// reouverture reflete les filtres actifs.
+function openFilters(): void {
+    draftSearch.value = appliedSearch.value
+    draftCategoryCodes.value = [...appliedCategoryCodes.value]
+    draftSiteIds.value = [...appliedSiteIds.value]
+    draftIncludeArchived.value = appliedIncludeArchived.value
+    filterDrawerOpen.value = true
+}
+
+function toggleCategory(code: string, selected: boolean): void {
+    draftCategoryCodes.value = selected
+        ? [...draftCategoryCodes.value, code]
+        : draftCategoryCodes.value.filter(c => c !== code)
+}
+
+function toggleSite(id: string, selected: boolean): void {
+    draftSiteIds.value = selected
+        ? [...draftSiteIds.value, id]
+        : draftSiteIds.value.filter(s => s !== id)
+}
+
+/**
+ * Construit le payload de filtres serveur a partir de l'etat applique. Cles
+ * `categoryCode[]` / `siteId[]` pour que PHP les parse en tableaux (OR cote back).
+ * Les filtres vides sont omis pour une query propre.
+ */
+function buildFilterPayload(): Record<string, string | string[] | boolean> {
+    const payload: Record<string, string | string[] | boolean> = {}
+    if (appliedSearch.value.trim() !== '') payload.search = appliedSearch.value.trim()
+    if (appliedCategoryCodes.value.length > 0) payload['categoryCode[]'] = [...appliedCategoryCodes.value]
+    if (appliedSiteIds.value.length > 0) payload['siteId[]'] = [...appliedSiteIds.value]
+    if (appliedIncludeArchived.value) payload.includeArchived = true
+    return payload
+}
+
+// « Voir les résultats » : recopie brouillon → applied, pousse les filtres
+// (retombe en page 1 via usePaginatedList) et ferme le drawer.
+function applyFilters(): void {
+    appliedSearch.value = draftSearch.value.trim()
+    appliedCategoryCodes.value = [...draftCategoryCodes.value]
+    appliedSiteIds.value = [...draftSiteIds.value]
+    appliedIncludeArchived.value = draftIncludeArchived.value
+
+    setFilters(buildFilterPayload(), { replace: true })
+    filterDrawerOpen.value = false
+}
+
+// « Réinitialiser » : vide brouillon ET applied, recharge la liste complete.
+// Le drawer reste ouvert pour montrer le formulaire vide.
+function resetFilters(): void {
+    draftSearch.value = ''
+    draftCategoryCodes.value = []
+    draftSiteIds.value = []
+    draftIncludeArchived.value = false
+
+    appliedSearch.value = ''
+    appliedCategoryCodes.value = []
+    appliedSiteIds.value = []
+    appliedIncludeArchived.value = false
+
+    setFilters({}, { replace: true })
+}
+
+/** Charge les referentiels du drawer (categories PRESTATAIRE + sites) via ?pagination=false. */
+async function loadFilterOptions(): Promise<void> {
+    const [cats, sites] = await Promise.all([
+        api.get<{ member?: Array<{ code: string, name: string }> }>(
+            '/categories',
+            // Taxonomie multi-types : le filtre du repertoire prestataires ne
+            // propose que les categories de type PRESTATAIRE.
+            { pagination: 'false', typeCode: 'PRESTATAIRE' },
+            { headers: { Accept: 'application/ld+json' }, toast: false },
+        ),
+        api.get<{ member?: Array<{ id: number, name: string }> }>(
+            '/sites',
+            { pagination: 'false' },
+            { headers: { Accept: 'application/ld+json' }, toast: false },
+        ),
+    ])
+
+    categoryOptions.value = (cats.member ?? []).map(c => ({ value: c.code, label: c.name }))
+    siteOptions.value = (sites.member ?? []).map(s => ({ value: String(s.id), label: s.name }))
+}
+
+// ── Export XLSX ─────────────────────────────────────────────────────────────
+// Memes filtres que la vue. La colonne SIREN n'est dans le fichier que si
+// l'utilisateur a accounting.view (gere cote back).
+const exporting = ref(false)
+
+async function exportXlsx(): Promise<void> {
+    if (exporting.value) {
+        return
+    }
+    exporting.value = true
+    try {
+        // useApi type ses options en JSON ; l'export renvoie un binaire, donc on
+        // force responseType:'blob' (transmis tel quel a ofetch au runtime). Cast
+        // contenu faute d'overload blob sur le client partage — meme approche que
+        // l'export fournisseurs.
+        const blob = await api.get<Blob>('/providers/export.xlsx', buildFilterPayload(), {
+            responseType: 'blob',
+            toast: false,
+        } as unknown as Parameters<typeof api.get>[2])
+
+        triggerDownload(blob, 'repertoire-prestataires.xlsx')
+    }
+    catch {
+        toast.error({
+            title: t('technique.providers.toast.error'),
+            message: t('technique.providers.toast.exportError'),
+        })
+    }
+    finally {
+        exporting.value = false
+    }
+}
+
+/** Declenche le telechargement d'un blob via un lien temporaire. */
+function triggerDownload(blob: Blob, filename: string): void {
+    const url = URL.createObjectURL(blob)
+    const link = document.createElement('a')
+    link.href = url
+    link.download = filename
+    document.body.appendChild(link)
+    link.click()
+    link.remove()
+    URL.revokeObjectURL(url)
+}
+
+onMounted(() => {
+    loadProviders()
+    // Echec du chargement des referentiels non bloquant : la liste s'affiche,
+    // l'utilisateur perd juste les options de filtre.
+    loadFilterOptions().catch(() => {
+        categoryOptions.value = []
+        siteOptions.value = []
+    })
+})
+</script>
+
+<style scoped>
+/*
+ * Colonne Sites uniquement (3e colonne : companyName, categories, SITES,
+ * lastActivity) : ses badges rendent la cellule trop haute. On reduit le padding
+ * vertical de SON td (16px Malio -> 8px) sans toucher les autres colonnes ni les
+ * couleurs/tailles (qui restent sur les defauts Malio).
+ */
+:deep(.providers-table tbody td:nth-child(3)) {
+    padding-top: 8px;
+    padding-bottom: 8px;
+}
+</style>

frontend/modules/technique/pages/providers/new.vue

@@ -0,0 +1,535 @@
+<template>
+    <div>
+        <!-- En-tete : retour vers le repertoire + titre. -->
+        <div class="flex items-center gap-3 pt-11">
+            <MalioButtonIcon
+                icon="mdi:arrow-left-bold"
+                icon-size="24"
+                variant="ghost"
+                v-bind="{ ariaLabel: t('technique.providers.form.back') }"
+                @click="goBack"
+            />
+            <h1 class="text-[30px] font-semibold text-m-primary">{{ t('technique.providers.form.title') }}</h1>
+        </div>
+
+        <!-- ── Formulaire principal (pre-onglets) ─────────────────────────────
+             Sans validation de ce bloc, les onglets restent inaccessibles. Au
+             succes du POST, les champs passent en lecture seule et on bascule
+             automatiquement sur l'onglet Contact (PAS d'onglet Information au M3).
+             Selecteur de site present ici (RG-3.03, relation directe). -->
+        <div class="mt-[48px] grid grid-cols-3 xl:grid-cols-4 gap-x-[44px] gap-y-4">
+            <MalioInputText
+                v-model="main.companyName"
+                :label="t('technique.providers.form.main.companyName')"
+                :required="true"
+                :readonly="mainLocked"
+                :error="mainErrors.errors.companyName"
+            />
+            <MalioSelectCheckbox
+                :model-value="main.categoryIris"
+                :options="referentials.categories.value"
+                :label="t('technique.providers.form.main.categories')"
+                :display-tag="true"
+                :readonly="mainLocked"
+                :required="true"
+                :error="mainErrors.errors.categories"
+                @update:model-value="(v: (string | number)[]) => main.categoryIris = v.map(String)"
+            />
+            <MalioSelectCheckbox
+                :model-value="main.siteIris"
+                :options="referentials.sites.value"
+                :label="t('technique.providers.form.main.sites')"
+                :display-tag="true"
+                :readonly="mainLocked"
+                :required="true"
+                :error="mainErrors.errors.sites"
+                @update:model-value="(v: (string | number)[]) => main.siteIris = v.map(String)"
+            />
+        </div>
+
+        <div v-if="!mainLocked" class="mt-12 flex justify-center">
+            <MalioButton
+                variant="primary"
+                :label="t('technique.providers.form.submit')"
+                :disabled="mainSubmitting"
+                @click="submitMain"
+            />
+        </div>
+
+        <!-- ── Onglets a validation incrementale ─────────────────────────────
+             Onglet Contact actif (ERP-142) ; Adresse / Comptabilite arrivent aux
+             tickets ERP-143 / 144 : placeholders « A venir » pour l'instant. -->
+        <MalioTabList v-model="activeTab" :tabs="tabs" class="mt-[60px]">
+            <!-- Onglet Contact : saisie multi-contacts (blocs ajoutables). -->
+            <template #contact>
+                <div class="mt-12 flex flex-col gap-6">
+                    <!-- ERP-172 : poubelle visible seulement s'il reste un AUTRE bloc deja
+                         enregistre (id en base) — cf. isRowRemovable. Empeche de supprimer un
+                         bloc tant que rien n'est sauvegarde, et de supprimer son dernier
+                         bloc enregistre. -->
+                    <ProviderContactBlock
+                        v-for="(contact, index) in contacts"
+                        :key="index"
+                        :model-value="contact"
+                        :removable="isRowRemovable(contacts, index)"
+                        :readonly="isValidated('contact')"
+                        :errors="contactErrors[index]"
+                        @update:model-value="(v) => contacts[index] = v"
+                        @remove="askRemoveContact(index)"
+                    />
+                    <div v-if="!isValidated('contact')" class="flex justify-center gap-6">
+                        <MalioButton
+                            variant="secondary"
+                            icon-name="mdi:add-bold"
+                            icon-position="left"
+                            :label="t('technique.providers.form.contact.add')"
+                            :disabled="!canAddContact"
+                            @click="addContact"
+                        />
+                        <MalioButton
+                            variant="primary"
+                            :label="t('technique.providers.form.submit')"
+                            :disabled="tabSubmitting || providerId === null"
+                            @click="onSubmitContacts"
+                        />
+                    </div>
+                </div>
+            </template>
+            <!-- Onglet Adresse : saisie multi-adresses (blocs ajoutables). -->
+            <template #address>
+                <div class="mt-12 flex flex-col gap-6">
+                    <ProviderAddressBlock
+                        v-for="(address, index) in addresses"
+                        :key="index"
+                        :model-value="address"
+                        :category-options="referentials.categories.value"
+                        :site-options="referentials.sites.value"
+                        :contact-options="contactOptions"
+                        :country-options="countryOptions"
+                        :removable="isRowRemovable(addresses, index)"
+                        :readonly="isValidated('address')"
+                        :errors="addressErrors[index]"
+                        @update:model-value="(v) => addresses[index] = v"
+                        @remove="askRemoveAddress(index)"
+                        @degraded="onAddressDegraded"
+                    />
+                    <div v-if="!isValidated('address')" class="flex justify-center gap-6">
+                        <MalioButton
+                            variant="secondary"
+                            icon-name="mdi:add-bold"
+                            icon-position="left"
+                            :label="t('technique.providers.form.address.add')"
+                            :disabled="!canAddAddress"
+                            @click="addAddress"
+                        />
+                        <MalioButton
+                            variant="primary"
+                            :label="t('technique.providers.form.submit')"
+                            :disabled="tabSubmitting || providerId === null"
+                            @click="onSubmitAddresses"
+                        />
+                    </div>
+                </div>
+            </template>
+            <!-- Onglet Comptabilite (present uniquement si accounting.view ; editable si manage). -->
+            <template v-if="canAccountingView" #accounting>
+                <div class="mt-12 flex flex-col gap-6">
+                    <div class="bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]">
+                        <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                            <MalioInputText
+                                v-model="accounting.siren"
+                                :label="t('technique.providers.form.accounting.siren')"
+                                :mask="SIREN_MASK"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="accountingErrors.errors.siren"
+                            />
+                            <MalioInputText
+                                v-model="accounting.accountNumber"
+                                :label="t('technique.providers.form.accounting.accountNumber')"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="accountingErrors.errors.accountNumber"
+                            />
+                            <MalioSelect
+                                :model-value="accounting.tvaModeIri"
+                                :options="referentials.tvaModes.value"
+                                :label="t('technique.providers.form.accounting.tvaMode')"
+                                :readonly="accountingReadonly"
+                                empty-option-label=""
+                                :required="true"
+                                :error="accountingErrors.errors.tvaMode"
+                                @update:model-value="(v: string | number | null) => accounting.tvaModeIri = v === null ? null : String(v)"
+                            />
+                            <MalioInputText
+                                v-model="accounting.nTva"
+                                :label="t('technique.providers.form.accounting.nTva')"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="accountingErrors.errors.nTva"
+                            />
+                            <MalioSelect
+                                :model-value="accounting.paymentDelayIri"
+                                :options="referentials.paymentDelays.value"
+                                :label="t('technique.providers.form.accounting.paymentDelay')"
+                                :readonly="accountingReadonly"
+                                empty-option-label=""
+                                :required="true"
+                                :error="accountingErrors.errors.paymentDelay"
+                                @update:model-value="(v: string | number | null) => accounting.paymentDelayIri = v === null ? null : String(v)"
+                            />
+                            <MalioSelect
+                                :model-value="accounting.paymentTypeIri"
+                                :options="referentials.paymentTypes.value"
+                                :label="t('technique.providers.form.accounting.paymentType')"
+                                :readonly="accountingReadonly"
+                                empty-option-label=""
+                                :required="true"
+                                :error="accountingErrors.errors.paymentType"
+                                @update:model-value="onPaymentTypeChange"
+                            />
+                            <!-- Banque : visible et obligatoire seulement si VIREMENT (RG-3.07). -->
+                            <MalioSelect
+                                v-if="isBankRequired"
+                                :model-value="accounting.bankIri"
+                                :options="referentials.banks.value"
+                                :label="t('technique.providers.form.accounting.bank')"
+                                :readonly="accountingReadonly"
+                                empty-option-label=""
+                                :required="true"
+                                :error="accountingErrors.errors.bank"
+                                @update:model-value="(v: string | number | null) => accounting.bankIri = v === null ? null : String(v)"
+                            />
+                        </div>
+                    </div>
+
+                    <!-- Blocs RIB — affiches uniquement si type de reglement = LCR (RG-3.08). -->
+                    <div
+                        v-for="(rib, index) in visibleRibs"
+                        :key="index"
+                        class="relative bg-white py-4 pl-[28px] pr-[60px] shadow-[0_4px_4px_0_rgba(0,0,0,0.25)]"
+                    >
+                        <MalioButtonIcon
+                            v-if="!accountingReadonly && isRowRemovable(visibleRibs, index)"
+                            icon="mdi:delete-outline"
+                            variant="ghost"
+                            button-class="absolute top-3 right-3"
+                            v-bind="{ ariaLabel: t('technique.providers.form.accounting.removeRib') }"
+                            @click="askRemoveRib(index)"
+                        />
+                        <div class="grid grid-cols-4 gap-x-[44px] gap-y-4">
+                            <MalioInputText
+                                v-model="rib.label"
+                                :label="t('technique.providers.form.accounting.ribLabel')"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="ribErrors[index]?.label"
+                            />
+                            <MalioInputText
+                                v-model="rib.bic"
+                                :label="t('technique.providers.form.accounting.ribBic')"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="ribErrors[index]?.bic"
+                            />
+                            <MalioInputText
+                                v-model="rib.iban"
+                                :label="t('technique.providers.form.accounting.ribIban')"
+                                :readonly="accountingReadonly"
+                                :required="true"
+                                :error="ribErrors[index]?.iban"
+                            />
+                        </div>
+                    </div>
+
+                    <div v-if="!accountingReadonly" class="flex justify-center gap-6">
+                        <MalioButton
+                            v-if="isRibRequired"
+                            variant="secondary"
+                            icon-name="mdi:add-bold"
+                            icon-position="left"
+                            :label="t('technique.providers.form.accounting.addRib')"
+                            :disabled="!canAddRib"
+                            @click="addRib"
+                        />
+                        <MalioButton
+                            variant="primary"
+                            :label="t('technique.providers.form.submit')"
+                            :disabled="tabSubmitting || providerId === null"
+                            @click="onSubmitAccounting"
+                        />
+                    </div>
+                </div>
+            </template>
+        </MalioTabList>
+
+        <!-- Modal de confirmation generique (suppression d'un bloc contact). -->
+        <MalioModal v-model="confirmModal.open" modal-class="max-w-md">
+            <template #header>
+                <h2 class="text-[24px] font-bold">{{ t('technique.providers.form.confirmDelete.title') }}</h2>
+            </template>
+            <p>{{ confirmModal.message }}</p>
+            <template #footer>
+                <MalioButton
+                    variant="secondary"
+                    button-class="flex-1"
+                    :label="t('technique.providers.form.confirmDelete.cancel')"
+                    @click="confirmModal.open = false"
+                />
+                <MalioButton
+                    variant="danger"
+                    button-class="flex-1"
+                    :label="t('technique.providers.form.confirmDelete.confirm')"
+                    @click="runConfirm"
+                />
+            </template>
+        </MalioModal>
+    </div>
+</template>
+
+<script setup lang="ts">
+import { computed, onMounted, reactive, ref } from 'vue'
+import { useProviderReferentials, type RefOption } from '~/modules/technique/composables/useProviderReferentials'
+import { useProviderForm } from '~/modules/technique/composables/useProviderForm'
+import {
+    isBankRequiredForPaymentType,
+    isRibRequiredForPaymentType,
+} from '~/modules/technique/utils/forms/providerAccounting'
+import { extractApiErrorMessage } from '~/shared/utils/api'
+import { isRowRemovable } from '~/shared/utils/collectionRow'
+
+// Masque SIREN : 9 chiffres (la normalisation finale reste serveur).
+const SIREN_MASK = '#########'
+
+const { t } = useI18n()
+const router = useRouter()
+const toast = useToast()
+const { can } = usePermissions()
+
+useHead({ title: t('technique.providers.form.title') })
+
+// Gating de la route : la creation est reservee a `manage` (POST /providers garde
+// manage seul — Compta ne cree pas). Compta (accounting seul) et Usine sont
+// rediriges vers le repertoire.
+if (!can('technique.providers.manage')) {
+    await navigateTo('/providers')
+}
+
+const referentials = useProviderReferentials()
+
+const {
+    main,
+    providerId,
+    mainLocked,
+    mainSubmitting,
+    mainErrors,
+    canAccountingView,
+    tabKeys,
+    activeTab,
+    unlockedIndex,
+    submitMain,
+    tabSubmitting,
+    isValidated,
+    contacts,
+    contactErrors,
+    canAddContact,
+    addContact,
+    removeContact,
+    submitContacts,
+    addresses,
+    addressErrors,
+    canAddAddress,
+    addAddress,
+    removeAddress,
+    submitAddresses,
+    accounting,
+    ribs,
+    accountingErrors,
+    ribErrors,
+    accountingReadonly,
+    setPaymentType,
+    canAddRib,
+    addRib,
+    removeRib,
+    submitAccounting,
+} = useProviderForm()
+
+/** Retour vers le repertoire prestataires (fleche d'en-tete). */
+function goBack(): void {
+    router.push('/providers')
+}
+
+/**
+ * Message d'erreur a afficher dans un toast a partir d'une erreur d'API. Retourne
+ * TOUJOURS une chaine (le composant de toast plante sur `undefined`).
+ */
+function apiErrorMessage(error: unknown): string {
+    const data = (error as { response?: { _data?: unknown } })?.response?._data
+    return extractApiErrorMessage(data) || t('technique.providers.toast.error')
+}
+
+// Dernier onglet REMPLISSABLE par le role : tabKeys exclut deja la Comptabilite
+// si l'user n'a pas accounting.view. Sa validation cloture l'ajout (redirection).
+const lastFillableTab = computed(() => tabKeys.value[tabKeys.value.length - 1])
+
+/**
+ * Apres validation d'un onglet (creation) : si c'est le dernier onglet du role,
+ * l'ajout est termine -> toast final + retour au repertoire (miroir M1/M2) ; sinon
+ * toast de mise a jour (l'onglet suivant a deja ete deverrouille par completeTab).
+ */
+function onTabSaved(key: string): void {
+    if (key === lastFillableTab.value) {
+        toast.success({ title: t('technique.providers.toast.addComplete') })
+        router.push('/providers')
+        return
+    }
+    toast.success({ title: t('technique.providers.toast.updateSuccess') })
+}
+
+// ── Onglet Contact ──────────────────────────────────────────────────────────
+/** Valide l'onglet Contact ; redirige si c'est le dernier onglet du role. */
+async function onSubmitContacts(): Promise<void> {
+    const ok = await submitContacts(error => toast.error({
+        title: t('technique.providers.toast.error'),
+        message: apiErrorMessage(error),
+    }))
+    if (ok) {
+        onTabSaved('contact')
+    }
+}
+
+function askRemoveContact(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.contact'), () => removeContact(index))
+}
+
+// ── Onglet Adresse ────────────────────────────────────────────────────────────
+// Contacts deja persistes (IRI non nul), rattachables a une adresse (M2M). Le
+// libelle reprend le nom complet, a defaut l'email.
+const contactOptions = computed<RefOption[]>(() =>
+    contacts.value
+        .filter(c => c.iri !== null)
+        .map(c => ({
+            value: c.iri as string,
+            label: [c.firstName, c.lastName].filter(Boolean).join(' ') || (c.email ?? ''),
+        })),
+)
+
+// Pays : France garantie en tete meme si /countries echoue (resilience ERP-102),
+// pour rester preselectionnable par defaut sur chaque adresse.
+const countryOptions = computed<RefOption[]>(() => {
+    const list = referentials.countries.value
+    return list.some(c => c.value === 'France')
+        ? list
+        : [{ value: 'France', label: 'France' }, ...list]
+})
+
+const addressDegradedNotified = ref(false)
+
+/** Avertit une seule fois quand l'autocompletion d'adresse bascule en degrade (RG-3.06). */
+function onAddressDegraded(): void {
+    if (addressDegradedNotified.value) {
+        return
+    }
+    addressDegradedNotified.value = true
+    toast.warning({
+        title: t('technique.providers.toast.error'),
+        message: t('technique.providers.form.address.degraded'),
+    })
+}
+
+/** Valide l'onglet Adresse ; redirige si c'est le dernier onglet du role. */
+async function onSubmitAddresses(): Promise<void> {
+    const ok = await submitAddresses(error => toast.error({
+        title: t('technique.providers.toast.error'),
+        message: apiErrorMessage(error),
+    }))
+    if (ok) {
+        onTabSaved('address')
+    }
+}
+
+function askRemoveAddress(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.address'), () => removeAddress(index))
+}
+
+// ── Onglet Comptabilite ───────────────────────────────────────────────────────
+// Code stable du type de reglement selectionne (pour RG-3.07 / RG-3.08).
+const selectedPaymentTypeCode = computed(() =>
+    referentials.paymentTypes.value.find(p => p.value === accounting.paymentTypeIri)?.code ?? null,
+)
+const isBankRequired = computed(() => isBankRequiredForPaymentType(selectedPaymentTypeCode.value))
+const isRibRequired = computed(() => isRibRequiredForPaymentType(selectedPaymentTypeCode.value))
+
+// Les blocs RIB ne sont affiches que pour une LCR (RG-3.08).
+const visibleRibs = computed(() => isRibRequired.value ? ribs.value : [])
+
+/** Changement de type de reglement : propage les RG inter-champs (banque / RIB). */
+function onPaymentTypeChange(value: string | number | null): void {
+    const iri = value === null ? null : String(value)
+    const code = referentials.paymentTypes.value.find(p => p.value === iri)?.code ?? null
+    setPaymentType(iri, isBankRequiredForPaymentType(code), isRibRequiredForPaymentType(code))
+}
+
+function askRemoveRib(index: number): void {
+    askConfirm(t('technique.providers.form.confirmDelete.rib'), () => removeRib(index))
+}
+
+/** Valide l'onglet Comptabilite ; redirige si c'est le dernier onglet du role. */
+async function onSubmitAccounting(): Promise<void> {
+    const ok = await submitAccounting(
+        isBankRequired.value,
+        isRibRequired.value,
+        error => toast.error({
+            title: t('technique.providers.toast.error'),
+            message: apiErrorMessage(error),
+        }),
+    )
+    if (ok) {
+        onTabSaved('accounting')
+    }
+}
+
+// ── Modal de confirmation generique ─────────────────────────────────────────
+const confirmModal = reactive({
+    open: false,
+    message: '',
+    action: null as null | (() => void),
+})
+
+function askConfirm(message: string, action: () => void): void {
+    confirmModal.message = message
+    confirmModal.action = action
+    confirmModal.open = true
+}
+
+function runConfirm(): void {
+    confirmModal.action?.()
+    confirmModal.action = null
+    confirmModal.open = false
+}
+
+// Icone (Iconify) affichee dans l'onglet, par cle.
+const TAB_ICONS: Record<string, string> = {
+    contact: 'mdi:account-box-plus-outline',
+    address: 'mdi:map-marker-outline',
+    accounting: 'mdi:bank-circle-outline',
+}
+
+// Onglets desactives tant que le formulaire principal n'est pas valide
+// (unlockedIndex = -1 au depart) ; deverrouillage progressif ensuite.
+const tabs = computed(() => tabKeys.value.map((key, index) => ({
+    key,
+    label: t(`technique.providers.tab.${key}`),
+    icon: TAB_ICONS[key],
+    disabled: index > unlockedIndex.value,
+})))
+
+onMounted(() => {
+    // Echec du chargement des referentiels non bloquant : les selects restent vides.
+    referentials.loadMain().catch(() => {})
+    // Referentiels comptables charges uniquement si l'onglet est accessible.
+    if (canAccountingView.value) {
+        referentials.loadAccounting().catch(() => {})
+    }
+})
+</script>

frontend/modules/technique/types/providerForm.ts

@@ -0,0 +1,177 @@
+/**
+ * Types « brouillon » de l'ecran « Ajouter un prestataire » (M3 Technique).
+ *
+ * Miroir reduit de `types/supplierForm.ts` (M2) : le M3 n'a PAS d'onglet
+ * Information, et porte en plus un selecteur de site SUR le formulaire principal
+ * (RG-3.03 — relation directe `provider.sites`, distincte des sites d'adresse).
+ *
+ * Ces interfaces decrivent l'etat LOCAL du formulaire (refs Vue), distinct des
+ * DTO de l'API : la page de creation (ERP-141) et — a venir — les blocs d'onglet
+ * Contact / Adresse / Comptabilite (ERP-142 → 144) les partagent.
+ *
+ * Les relations M2M (categories, sites) sont portees par leurs IRI Hydra (`@id`),
+ * envoyees telles quelles dans le payload POST (cf. contrat back ERP-139 :
+ * `categories: ['/api/categories/{id}']`, `sites: ['/api/sites/{id}']`).
+ */
+
+/** Etat « plat » du formulaire principal (groupe `provider:write:main`). */
+export interface ProviderMainDraft {
+    /** Nom de l'entreprise prestataire. UPPERCASE serveur (RG-3.11), unicite RG-3.10. */
+    companyName: string | null
+    /** IRI des categories rattachees (M2M, type PRESTATAIRE — RG-3.09 ; >= 1). */
+    categoryIris: string[]
+    /** IRI des sites rattaches DIRECTEMENT au prestataire (M2M `provider_site`, RG-3.03 ; >= 1). */
+    siteIris: string[]
+}
+
+/** Fabrique un formulaire principal vierge. */
+export function emptyProviderMain(): ProviderMainDraft {
+    return {
+        companyName: null,
+        categoryIris: [],
+        siteIris: [],
+    }
+}
+
+/** Reponse minimale du POST /providers exploitee par l'ecran de creation. */
+export interface ProviderMainResponse {
+    id: number
+    /** Nom renvoye normalise (UPPERCASE) par le serveur, reaffiche en lecture seule. */
+    companyName: string | null
+}
+
+/**
+ * Un contact du prestataire (onglet Contact, ERP-142). Miroir de
+ * `SupplierContactFormDraft` (M2). Tous les champs sont nullable cote ORM ; la
+ * validite (RG-3.04) tient a la presence d'AU MOINS un champ rempli parmi
+ * prenom / nom / fonction / telephone principal / email (cf. back).
+ */
+export interface ProviderContactFormDraft {
+    /** Id serveur une fois le contact cree (null tant que non persiste). */
+    id: number | null
+    /** IRI Hydra du contact cree — servira au rattachement M2M cote adresse (ERP-143). */
+    iri: string | null
+    firstName: string | null
+    lastName: string | null
+    jobTitle: string | null
+    phonePrimary: string | null
+    phoneSecondary: string | null
+    email: string | null
+    /** UI : le 2e numero a ete revele via le bouton « + » (max 2 telephones). */
+    hasSecondaryPhone: boolean
+}
+
+/** Fabrique un contact vierge. */
+export function emptyProviderContact(): ProviderContactFormDraft {
+    return {
+        id: null,
+        iri: null,
+        firstName: null,
+        lastName: null,
+        jobTitle: null,
+        phonePrimary: null,
+        phoneSecondary: null,
+        email: null,
+        hasSecondaryPhone: false,
+    }
+}
+
+/** Reponse du POST /providers/{id}/contacts (groupe provider:item:read + IRI Hydra). */
+export interface ProviderContactResponse {
+    '@id'?: string
+    id: number
+}
+
+/**
+ * Une adresse du prestataire (onglet Adresse, ERP-143). Version SIMPLIFIEE de
+ * `SupplierAddressFormDraft` (M2) : PAS de type d'adresse (Prospect/Depart/Rendu),
+ * PAS de bennes, PAS de prestation de triage. Champs postaux + M2M sites /
+ * categories / contacts (par IRI).
+ */
+export interface ProviderAddressFormDraft {
+    /** Id serveur une fois l'adresse creee (null tant que non persistee). */
+    id: number | null
+    /** Pays (chaine libre, defaut « France »). */
+    country: string
+    postalCode: string | null
+    city: string | null
+    street: string | null
+    streetComplement: string | null
+    /** IRI des categories rattachees (type PRESTATAIRE, RG-3.09 ; >= 1). */
+    categoryIris: string[]
+    /** IRI des sites rattaches a l'adresse (M2M `provider_address_site`, RG-3.05 ; >= 1). */
+    siteIris: string[]
+    /** IRI des contacts rattaches (= blocs Contact deja persistes de l'onglet Contact). */
+    contactIris: string[]
+}
+
+/** Fabrique une adresse vierge (France presaisi). */
+export function emptyProviderAddress(): ProviderAddressFormDraft {
+    return {
+        id: null,
+        country: 'France',
+        postalCode: null,
+        city: null,
+        street: null,
+        streetComplement: null,
+        categoryIris: [],
+        siteIris: [],
+        contactIris: [],
+    }
+}
+
+/** Reponse du POST /providers/{id}/addresses (id suffisant pour le suivi cote front). */
+export interface ProviderAddressResponse {
+    id: number
+}
+
+/**
+ * Etat « plat » de l'onglet Comptabilite (groupe `provider:write:accounting`).
+ * Relations (TVA / delai / type de reglement / banque) portees par leur IRI.
+ */
+export interface ProviderAccountingDraft {
+    siren: string | null
+    accountNumber: string | null
+    tvaModeIri: string | null
+    nTva: string | null
+    paymentDelayIri: string | null
+    paymentTypeIri: string | null
+    /** Banque : requise et envoyee uniquement si Type de reglement = VIREMENT (RG-3.07). */
+    bankIri: string | null
+}
+
+/** Fabrique un onglet Comptabilite vierge. */
+export function emptyProviderAccounting(): ProviderAccountingDraft {
+    return {
+        siren: null,
+        accountNumber: null,
+        tvaModeIri: null,
+        nTva: null,
+        paymentDelayIri: null,
+        paymentTypeIri: null,
+        bankIri: null,
+    }
+}
+
+/** Un RIB du prestataire (sous-collection comptable, obligatoire si Type = LCR — RG-3.08). */
+export interface ProviderRibFormDraft {
+    id: number | null
+    label: string | null
+    bic: string | null
+    iban: string | null
+}
+
+/** Fabrique un RIB vierge. */
+export function emptyProviderRib(): ProviderRibFormDraft {
+    return {
+        id: null,
+        label: null,
+        bic: null,
+        iban: null,
+    }
+}
+
+/** Reponse du POST /providers/{id}/ribs (id suffisant pour le suivi cote front). */
+export interface ProviderRibResponse {
+    id: number
+}

frontend/modules/technique/utils/forms/__tests__/providerAccounting.spec.ts

@@ -0,0 +1,83 @@
+import { describe, it, expect } from 'vitest'
+import {
+    buildProviderAccountingPayload,
+    buildProviderRibPayload,
+    isBankRequiredForPaymentType,
+    isRibBlank,
+    isRibComplete,
+    isRibRequiredForPaymentType,
+} from '../providerAccounting'
+import { emptyProviderAccounting, emptyProviderRib } from '~/modules/technique/types/providerForm'
+
+/**
+ * Helpers purs de l'onglet Comptabilite prestataire (ERP-144) : RG inter-champs
+ * RG-3.07 (banque si VIREMENT) / RG-3.08 (RIB si LCR) + construction des payloads.
+ */
+describe('providerAccounting helpers', () => {
+    describe('RG-3.07 / RG-3.08 — type de reglement', () => {
+        it('banque requise uniquement pour VIREMENT', () => {
+            expect(isBankRequiredForPaymentType('VIREMENT')).toBe(true)
+            expect(isBankRequiredForPaymentType('LCR')).toBe(false)
+            expect(isBankRequiredForPaymentType('CHEQUE')).toBe(false)
+            expect(isBankRequiredForPaymentType(null)).toBe(false)
+        })
+
+        it('RIB requis uniquement pour LCR', () => {
+            expect(isRibRequiredForPaymentType('LCR')).toBe(true)
+            expect(isRibRequiredForPaymentType('VIREMENT')).toBe(false)
+            expect(isRibRequiredForPaymentType(null)).toBe(false)
+        })
+    })
+
+    describe('isRibBlank / isRibComplete', () => {
+        it('un RIB vierge est vide et incomplet', () => {
+            expect(isRibBlank(emptyProviderRib())).toBe(true)
+            expect(isRibComplete(emptyProviderRib())).toBe(false)
+        })
+
+        it('un RIB partiel n\'est ni vide ni complet', () => {
+            const rib = { ...emptyProviderRib(), iban: 'FR76...' }
+            expect(isRibBlank(rib)).toBe(false)
+            expect(isRibComplete(rib)).toBe(false)
+        })
+
+        it('un RIB avec libelle + BIC + IBAN est complet', () => {
+            const rib = { ...emptyProviderRib(), label: 'Compte', bic: 'BNPAFRPP', iban: 'FR76...' }
+            expect(isRibComplete(rib)).toBe(true)
+        })
+    })
+
+    describe('buildProviderAccountingPayload (RG-3.07)', () => {
+        it('envoie la banque si requise (VIREMENT)', () => {
+            const payload = buildProviderAccountingPayload({
+                ...emptyProviderAccounting(),
+                paymentTypeIri: '/api/payment_types/3',
+                bankIri: '/api/banks/2',
+            }, true)
+            expect(payload.bank).toBe('/api/banks/2')
+            expect(payload.paymentType).toBe('/api/payment_types/3')
+        })
+
+        it('force la banque a null si non requise (hors VIREMENT)', () => {
+            const payload = buildProviderAccountingPayload({
+                ...emptyProviderAccounting(),
+                bankIri: '/api/banks/2',
+            }, false)
+            expect(payload.bank).toBeNull()
+        })
+    })
+
+    describe('buildProviderRibPayload', () => {
+        it('omet les champs requis vides (NotBlank back joue sur le champ)', () => {
+            const payload = buildProviderRibPayload(emptyProviderRib())
+            expect(payload).not.toHaveProperty('label')
+            expect(payload).not.toHaveProperty('bic')
+            expect(payload).not.toHaveProperty('iban')
+        })
+
+        it('conserve les champs remplis', () => {
+            const payload = buildProviderRibPayload({ ...emptyProviderRib(), label: 'Compte', bic: 'BNPAFRPP', iban: 'FR76...' })
+            expect(payload).toEqual({ label: 'Compte', bic: 'BNPAFRPP', iban: 'FR76...' })
+        })
+    })
+})

frontend/modules/technique/utils/forms/__tests__/providerAddress.spec.ts

@@ -0,0 +1,73 @@
+import { describe, it, expect } from 'vitest'
+import {
+    buildProviderAddressPayload,
+    isProviderAddressValid,
+} from '../providerAddress'
+import { emptyProviderAddress } from '~/modules/technique/types/providerForm'
+
+/**
+ * Helpers purs de l'onglet Adresse prestataire (ERP-143). RG-3.05 (>= 1 site) et
+ * construction du payload de sous-ressource (relations en IRI, requis vides omis,
+ * pas de type d'adresse / bennes / triage — difference M2).
+ */
+describe('providerAddress helpers', () => {
+    const SITE = '/api/sites/1'
+    const CAT = '/api/categories/7'
+
+    describe('isProviderAddressValid (RG-3.05 / RG-3.09)', () => {
+        it('false sans site', () => {
+            const address = { ...emptyProviderAddress(), categoryIris: [CAT] }
+            expect(isProviderAddressValid(address)).toBe(false)
+        })
+
+        it('false sans categorie', () => {
+            const address = { ...emptyProviderAddress(), siteIris: [SITE] }
+            expect(isProviderAddressValid(address)).toBe(false)
+        })
+
+        it('true avec au moins un site ET une categorie', () => {
+            const address = { ...emptyProviderAddress(), siteIris: [SITE], categoryIris: [CAT] }
+            expect(isProviderAddressValid(address)).toBe(true)
+        })
+    })
+
+    describe('buildProviderAddressPayload', () => {
+        it('mappe les relations en IRI et n\'embarque PAS type/bennes/triage (difference M2)', () => {
+            const payload = buildProviderAddressPayload({
+                ...emptyProviderAddress(),
+                postalCode: '86100',
+                city: 'Châtellerault',
+                street: '1 rue du Test',
+                siteIris: [SITE],
+                categoryIris: [CAT],
+                contactIris: ['/api/provider_contacts/9'],
+            })
+            expect(payload).toEqual({
+                country: 'France',
+                postalCode: '86100',
+                city: 'Châtellerault',
+                street: '1 rue du Test',
+                streetComplement: null,
+                categories: [CAT],
+                sites: [SITE],
+                contacts: ['/api/provider_contacts/9'],
+            })
+            expect(payload).not.toHaveProperty('addressType')
+            expect(payload).not.toHaveProperty('bennes')
+            expect(payload).not.toHaveProperty('triageProvider')
+        })
+
+        it('omet les scalaires requis vides (NotBlank back joue sur le champ)', () => {
+            const payload = buildProviderAddressPayload({
+                ...emptyProviderAddress(),
+                siteIris: [SITE],
+                categoryIris: [CAT],
+            })
+            expect(payload).not.toHaveProperty('postalCode')
+            expect(payload).not.toHaveProperty('city')
+            expect(payload).not.toHaveProperty('street')
+            // streetComplement n'est PAS requis -> reste present a null.
+            expect(payload).toHaveProperty('streetComplement', null)
+        })
+    })
+})

frontend/modules/technique/utils/forms/__tests__/providerContact.spec.ts

@@ -0,0 +1,93 @@
+import { describe, it, expect } from 'vitest'
+import {
+    buildProviderContactPayload,
+    hasAtLeastOneFilledContact,
+    isProviderContactBlank,
+    isProviderContactNamed,
+} from '../providerContact'
+import { emptyProviderContact } from '~/modules/technique/types/providerForm'
+
+/**
+ * Helpers purs de l'onglet Contact prestataire (ERP-142). On verifie la
+ * definition de « bloc vide » (RG-3.04, alignee sur le back) et la construction
+ * du payload de sous-ressource.
+ */
+describe('providerContact helpers', () => {
+    describe('isProviderContactBlank (RG-3.04)', () => {
+        it('un bloc vierge est vide', () => {
+            expect(isProviderContactBlank(emptyProviderContact())).toBe(true)
+        })
+
+        it('un seul champ rempli parmi nom/prenom/fonction/tel/email suffit a le rendre non vide', () => {
+            for (const field of ['firstName', 'lastName', 'jobTitle', 'phonePrimary', 'email'] as const) {
+                const contact = { ...emptyProviderContact(), [field]: 'x' }
+                expect(isProviderContactBlank(contact)).toBe(false)
+            }
+        })
+
+        it('ignore les espaces (trim) — un champ blanc ne compte pas', () => {
+            expect(isProviderContactBlank({ ...emptyProviderContact(), lastName: '   ' })).toBe(true)
+        })
+
+        it('un 2e telephone seul NE suffit PAS (exclu, comme le back)', () => {
+            const contact = { ...emptyProviderContact(), hasSecondaryPhone: true, phoneSecondary: '0102030405' }
+            expect(isProviderContactBlank(contact)).toBe(true)
+        })
+    })
+
+    describe('isProviderContactNamed (RG-3.04 — prenom OU nom)', () => {
+        it('vrai avec un prenom seul ou un nom seul', () => {
+            expect(isProviderContactNamed({ ...emptyProviderContact(), firstName: 'Jean' })).toBe(true)
+            expect(isProviderContactNamed({ ...emptyProviderContact(), lastName: 'Dupont' })).toBe(true)
+        })
+
+        it('faux si seuls fonction / telephone / email sont remplis (ne suffit pas)', () => {
+            expect(isProviderContactNamed({ ...emptyProviderContact(), jobTitle: 'Directeur' })).toBe(false)
+            expect(isProviderContactNamed({ ...emptyProviderContact(), email: 'a@b.fr' })).toBe(false)
+            expect(isProviderContactNamed({ ...emptyProviderContact(), phonePrimary: '0102030405' })).toBe(false)
+        })
+    })
+
+    describe('hasAtLeastOneFilledContact (RG-3.12 — au moins un contact nomme)', () => {
+        it('false si aucun bloc n\'est nomme', () => {
+            expect(hasAtLeastOneFilledContact([emptyProviderContact(), { ...emptyProviderContact(), email: 'a@b.fr' }])).toBe(false)
+        })
+
+        it('true des qu\'un bloc porte un nom ou prenom', () => {
+            expect(hasAtLeastOneFilledContact([
+                emptyProviderContact(),
+                { ...emptyProviderContact(), lastName: 'Dupont' },
+            ])).toBe(true)
+        })
+    })
+
+    describe('buildProviderContactPayload', () => {
+        it('mappe les champs et envoie null pour les vides', () => {
+            const payload = buildProviderContactPayload({ ...emptyProviderContact(), lastName: 'Doe' })
+            expect(payload).toEqual({
+                firstName: null,
+                lastName: 'Doe',
+                jobTitle: null,
+                phonePrimary: null,
+                phoneSecondary: null,
+                email: null,
+            })
+        })
+
+        it('n\'envoie le 2e telephone que si revele (max 2)', () => {
+            const masque = buildProviderContactPayload({
+                ...emptyProviderContact(),
+                phoneSecondary: '0102030405',
+                hasSecondaryPhone: false,
+            })
+            expect(masque.phoneSecondary).toBeNull()
+
+            const revele = buildProviderContactPayload({
+                ...emptyProviderContact(),
+                phoneSecondary: '0102030405',
+                hasSecondaryPhone: true,
+            })
+            expect(revele.phoneSecondary).toBe('0102030405')
+        })
+    })
+})

frontend/modules/technique/utils/forms/__tests__/providerDetail.spec.ts

@@ -0,0 +1,167 @@
+import { describe, it, expect, vi } from 'vitest'
+
+// formatPhoneFR est auto-importe dans le helper via le chemin partage ; on le mocke
+// pour un rendu deterministe (la mise en forme exacte est testee ailleurs).
+vi.mock('~/shared/utils/phone', () => ({
+    formatPhoneFR: (v: string) => `fmt(${v})`,
+}))
+
+const {
+    canEditProvider,
+    categoryOptionsOf,
+    contactOptionsOf,
+    iriOf,
+    irisOf,
+    mapAccountingDraft,
+    mapAddressToDraft,
+    mapContactToDraft,
+    mapRibToDraft,
+    paymentTypeCodeOf,
+    referentialOptionOf,
+    showArchiveAction,
+    showRestoreAction,
+    siteOptionsOf,
+} = await import('../providerDetail')
+
+/**
+ * Helpers purs des ecrans Consultation / Modification (ERP-145) : mapping du
+ * detail embarque vers les brouillons + regles d'affichage des actions (Modifier /
+ * Archiver / Restaurer).
+ */
+describe('providerDetail helpers', () => {
+    describe('iriOf / irisOf', () => {
+        it('extrait l\'IRI d\'un objet embarque, d\'un IRI nu, ou null', () => {
+            expect(iriOf({ '@id': '/api/banks/2' })).toBe('/api/banks/2')
+            expect(iriOf('/api/banks/2')).toBe('/api/banks/2')
+            expect(iriOf(null)).toBeNull()
+            expect(iriOf(undefined)).toBeNull()
+        })
+
+        it('extrait les IRI d\'une collection embarquee', () => {
+            expect(irisOf([{ '@id': '/api/sites/1' }, { '@id': '/api/sites/2' }])).toEqual(['/api/sites/1', '/api/sites/2'])
+            expect(irisOf(undefined)).toEqual([])
+        })
+    })
+
+    describe('mapContactToDraft', () => {
+        it('mappe les champs, formate les telephones et derive hasSecondaryPhone', () => {
+            const draft = mapContactToDraft({
+                '@id': '/api/provider_contacts/5',
+                id: 5,
+                firstName: 'Jean',
+                lastName: 'Dupont',
+                phonePrimary: '0102030405',
+                phoneSecondary: '0607080910',
+                email: 'jean@x.fr',
+            })
+            expect(draft).toMatchObject({
+                id: 5,
+                iri: '/api/provider_contacts/5',
+                firstName: 'Jean',
+                lastName: 'Dupont',
+                phonePrimary: 'fmt(0102030405)',
+                phoneSecondary: 'fmt(0607080910)',
+                email: 'jean@x.fr',
+                hasSecondaryPhone: true,
+            })
+        })
+
+        it('hasSecondaryPhone faux sans 2e numero', () => {
+            const draft = mapContactToDraft({ '@id': '/api/provider_contacts/6', id: 6, lastName: 'Doe' })
+            expect(draft.hasSecondaryPhone).toBe(false)
+            expect(draft.phoneSecondary).toBeNull()
+        })
+    })
+
+    describe('mapAddressToDraft', () => {
+        it('extrait les IRI des sites / categories / contacts embarques', () => {
+            const draft = mapAddressToDraft({
+                '@id': '/api/provider_addresses/3',
+                id: 3,
+                country: 'France',
+                postalCode: '86100',
+                city: 'Châtellerault',
+                street: '1 rue du Test',
+                sites: [{ '@id': '/api/sites/1' }],
+                categories: [{ '@id': '/api/categories/7' }],
+                contacts: [{ '@id': '/api/provider_contacts/5' }, '/api/provider_contacts/6'],
+            })
+            expect(draft.siteIris).toEqual(['/api/sites/1'])
+            expect(draft.categoryIris).toEqual(['/api/categories/7'])
+            expect(draft.contactIris).toEqual(['/api/provider_contacts/5', '/api/provider_contacts/6'])
+            expect(draft.id).toBe(3)
+        })
+    })
+
+    describe('mapAccountingDraft / mapRibToDraft', () => {
+        it('mappe les scalaires et les IRI des referentiels embarques', () => {
+            const draft = mapAccountingDraft({
+                '@id': '/api/providers/9',
+                id: 9,
+                siren: '123456789',
+                accountNumber: '4010',
+                nTva: 'FR123',
+                tvaMode: { '@id': '/api/tva_modes/1', label: 'TVA' },
+                paymentType: { '@id': '/api/payment_types/3', code: 'VIREMENT' },
+                bank: { '@id': '/api/banks/2' },
+            })
+            expect(draft.tvaModeIri).toBe('/api/tva_modes/1')
+            expect(draft.paymentTypeIri).toBe('/api/payment_types/3')
+            expect(draft.bankIri).toBe('/api/banks/2')
+            expect(draft.paymentDelayIri).toBeNull()
+            expect(draft.siren).toBe('123456789')
+        })
+
+        it('mappe un RIB embarque', () => {
+            expect(mapRibToDraft({ '@id': '/api/provider_ribs/1', id: 1, label: 'Compte', bic: 'BIC', iban: 'IBAN' }))
+                .toEqual({ id: 1, label: 'Compte', bic: 'BIC', iban: 'IBAN' })
+        })
+    })
+
+    describe('options builders (libelles role-independants depuis l\'embed)', () => {
+        it('categoryOptionsOf / siteOptionsOf / contactOptionsOf', () => {
+            expect(categoryOptionsOf([{ '@id': '/api/categories/7', name: 'Maintenance', code: 'MAINT' }]))
+                .toEqual([{ value: '/api/categories/7', label: 'Maintenance' }])
+            expect(siteOptionsOf([{ '@id': '/api/sites/1', name: 'Châtellerault' }]))
+                .toEqual([{ value: '/api/sites/1', label: 'Châtellerault' }])
+            expect(contactOptionsOf([{ '@id': '/api/provider_contacts/5', id: 5, firstName: 'Jean', lastName: 'Dupont' }]))
+                .toEqual([{ value: '/api/provider_contacts/5', label: 'Jean Dupont' }])
+        })
+
+        it('referentialOptionOf / paymentTypeCodeOf', () => {
+            expect(referentialOptionOf({ '@id': '/api/banks/2', label: 'SG' }))
+                .toEqual([{ value: '/api/banks/2', label: 'SG' }])
+            expect(referentialOptionOf(null)).toEqual([])
+            expect(referentialOptionOf('/api/banks/2')).toEqual([])
+            expect(paymentTypeCodeOf({ '@id': '/api/payment_types/3', code: 'LCR' })).toBe('LCR')
+            expect(paymentTypeCodeOf(null)).toBeNull()
+        })
+    })
+
+    describe('actions selon permissions', () => {
+        /** Fabrique un `can` qui n'autorise que les codes fournis. */
+        const canFor = (granted: string[]) => (code: string) => granted.includes(code)
+        const canAnyFor = (granted: string[]) => (codes: string[]) => codes.some(c => granted.includes(c))
+
+        it('« Modifier » visible avec manage OU accounting.manage (Compta inclus)', () => {
+            expect(canEditProvider(canAnyFor(['technique.providers.manage']))).toBe(true)
+            expect(canEditProvider(canAnyFor(['technique.providers.accounting.manage']))).toBe(true)
+            expect(canEditProvider(canAnyFor(['technique.providers.view']))).toBe(false)
+        })
+
+        it('« Archiver » visible seulement avec archive ET prestataire actif (Admin seul)', () => {
+            const admin = canFor(['technique.providers.archive'])
+            const bureau = canFor(['technique.providers.manage'])
+            expect(showArchiveAction(admin, false)).toBe(true)
+            expect(showArchiveAction(admin, true)).toBe(false) // deja archive -> Restaurer
+            expect(showArchiveAction(bureau, false)).toBe(false) // pas la permission archive
+        })
+
+        it('« Restaurer » visible seulement avec archive ET prestataire archive', () => {
+            const admin = canFor(['technique.providers.archive'])
+            expect(showRestoreAction(admin, true)).toBe(true)
+            expect(showRestoreAction(admin, false)).toBe(false)
+            expect(showRestoreAction(canFor([]), true)).toBe(false)
+        })
+    })
+})

frontend/modules/technique/utils/forms/providerAccounting.ts

@@ -0,0 +1,86 @@
+/**
+ * Helpers purs de l'onglet Comptabilite prestataire (M3 Technique, ERP-144) —
+ * miroir SIMPLIFIE des regles M2, reimplemente cote module Technique (regle
+ * ABSOLUE n°1 : pas d'import inter-module). Portent les RG inter-champs RG-3.07
+ * (banque si VIREMENT) et RG-3.08 (RIB si LCR), testables sans Vue ni API.
+ */
+
+import type {
+    ProviderAccountingDraft,
+    ProviderRibFormDraft,
+} from '~/modules/technique/types/providerForm'
+
+/** Code pivot du type de reglement imposant une banque (RG-3.07). */
+const PAYMENT_TYPE_VIREMENT = 'VIREMENT'
+/** Code pivot du type de reglement imposant au moins un RIB (RG-3.08). */
+const PAYMENT_TYPE_LCR = 'LCR'
+
+/** Champs RIB obligatoires non nullable cote back (NotBlank) — omis si vides au POST. */
+const RIB_REQUIRED_NON_NULLABLE_KEYS = ['label', 'bic', 'iban'] as const
+
+/** Vrai si une chaine porte au moins un caractere non-espace. */
+function isFilled(value: string | null | undefined): boolean {
+    return value !== null && value !== undefined && value.trim() !== ''
+}
+
+/** RG-3.07 : la banque n'est requise/visible que pour un reglement par VIREMENT. */
+export function isBankRequiredForPaymentType(code: string | null | undefined): boolean {
+    return code === PAYMENT_TYPE_VIREMENT
+}
+
+/** RG-3.08 : au moins un RIB n'est requis que pour un reglement par LCR. */
+export function isRibRequiredForPaymentType(code: string | null | undefined): boolean {
+    return code === PAYMENT_TYPE_LCR
+}
+
+/** Vrai si AUCUN champ du bloc RIB n'est rempli (amorce vide a ignorer au submit). */
+export function isRibBlank(rib: ProviderRibFormDraft): boolean {
+    return ![rib.label, rib.bic, rib.iban].some(isFilled)
+}
+
+/** Vrai si les 3 champs du RIB sont remplis (gating « + RIB »). */
+export function isRibComplete(rib: ProviderRibFormDraft): boolean {
+    return isFilled(rib.label) && isFilled(rib.bic) && isFilled(rib.iban)
+}
+
+/**
+ * Payload du PATCH comptable (groupe `provider:write:accounting`). Les relations
+ * sont en IRI ; la banque n'est envoyee que si elle est requise (RG-3.07), sinon
+ * `null` (le back vide la relation hors VIREMENT).
+ */
+export function buildProviderAccountingPayload(
+    accounting: ProviderAccountingDraft,
+    isBankRequired: boolean,
+): Record<string, unknown> {
+    return {
+        siren: accounting.siren || null,
+        accountNumber: accounting.accountNumber || null,
+        tvaMode: accounting.tvaModeIri,
+        nTva: accounting.nTva || null,
+        paymentDelay: accounting.paymentDelayIri,
+        paymentType: accounting.paymentTypeIri,
+        bank: isBankRequired ? accounting.bankIri : null,
+    }
+}
+
+/**
+ * Payload d'un RIB (sous-ressource, groupe `provider:write:accounting`). Les
+ * champs requis vides sont omis a la creation pour que la 422 NotBlank porte sur
+ * le champ.
+ */
+export function buildProviderRibPayload(rib: ProviderRibFormDraft): Record<string, unknown> {
+    const payload: Record<string, unknown> = {
+        label: rib.label,
+        bic: rib.bic,
+        iban: rib.iban,
+    }
+
+    for (const key of RIB_REQUIRED_NON_NULLABLE_KEYS) {
+        const value = payload[key]
+        if (value === null || value === undefined || value === '') {
+            delete payload[key]
+        }
+    }
+
+    return payload
+}

frontend/modules/technique/utils/forms/providerAddress.ts

@@ -0,0 +1,50 @@
+/**
+ * Helpers purs de l'onglet Adresse prestataire (M3 Technique, ERP-143) — miroir
+ * SIMPLIFIE de `supplierFormRules`/`supplierEdit` (M2), reimplemente cote module
+ * Technique (regle ABSOLUE n°1 : pas d'import inter-module). Testables sans Vue.
+ */
+
+import type { ProviderAddressFormDraft } from '~/modules/technique/types/providerForm'
+
+/**
+ * Champs scalaires obligatoires non nullable cote back (NotBlank). A la creation
+ * (POST), on OMET du payload ceux qui sont vides pour que la 422 porte la
+ * violation NotBlank propre (sur le champ) plutot qu'une erreur de type.
+ */
+const REQUIRED_NON_NULLABLE_KEYS = ['postalCode', 'city', 'street'] as const
+
+/**
+ * RG-3.05 (+ RG-3.09) : une adresse est « valide » pour autoriser l'ajout d'un
+ * nouveau bloc des qu'elle porte au moins un site ET au moins une categorie. Les
+ * scalaires (CP/ville/rue) restent valides par le back (422 inline).
+ */
+export function isProviderAddressValid(address: ProviderAddressFormDraft): boolean {
+    return address.siteIris.length >= 1 && address.categoryIris.length >= 1
+}
+
+/**
+ * Payload de la sous-ressource addresses (groupe `provider:write:addresses`).
+ * Relations M2M en IRI. Les scalaires requis vides sont omis a la creation (cf.
+ * REQUIRED_NON_NULLABLE_KEYS).
+ */
+export function buildProviderAddressPayload(address: ProviderAddressFormDraft): Record<string, unknown> {
+    const payload: Record<string, unknown> = {
+        country: address.country,
+        postalCode: address.postalCode || null,
+        city: address.city || null,
+        street: address.street || null,
+        streetComplement: address.streetComplement || null,
+        categories: [...address.categoryIris],
+        sites: [...address.siteIris],
+        contacts: [...address.contactIris],
+    }
+
+    for (const key of REQUIRED_NON_NULLABLE_KEYS) {
+        const value = payload[key]
+        if (value === null || value === undefined || value === '') {
+            delete payload[key]
+        }
+    }
+
+    return payload
+}

frontend/modules/technique/utils/forms/providerContact.ts

@@ -0,0 +1,66 @@
+/**
+ * Helpers purs de l'onglet Contact prestataire (M3 Technique, ERP-142) — miroir
+ * reduit de `supplierFormRules.ts` / `supplierEdit.ts` (M2). Testables sans Vue
+ * ni API : detection de bloc vide (RG-3.04) et construction du payload de
+ * sous-ressource contacts.
+ */
+
+import type { ProviderContactFormDraft } from '~/modules/technique/types/providerForm'
+
+/** Vrai si une chaine porte au moins un caractere non-espace. */
+function isFilled(value: string | null | undefined): boolean {
+    return value !== null && value !== undefined && value.trim() !== ''
+}
+
+/**
+ * RG-3.04 : un bloc Contact est VIDE tant qu'aucun des champs comptant pour la
+ * validite n'est rempli — prenom / nom / fonction / telephone principal / email.
+ *
+ * `phoneSecondary` est volontairement EXCLU : le back (CHECK
+ * `chk_provider_contact_name` + `ProviderContactProcessor`) ne le compte pas non
+ * plus, un bloc ne portant qu'un 2e numero reste invalide. Garder la meme
+ * definition cote front evite tout drift (un bloc « vide » front == bloc rejete
+ * back).
+ */
+export function isProviderContactBlank(contact: ProviderContactFormDraft): boolean {
+    return ![
+        contact.firstName,
+        contact.lastName,
+        contact.jobTitle,
+        contact.phonePrimary,
+        contact.email,
+    ].some(isFilled)
+}
+
+/**
+ * RG-3.04 : un contact est « nomme » (valide) des qu'il porte un prenom OU un nom
+ * — aligne sur le M1/M2. Sert le gating « + Nouveau contact » et la notion de
+ * contact valide (la fonction / le telephone / l'email seuls ne suffisent pas).
+ */
+export function isProviderContactNamed(contact: ProviderContactFormDraft): boolean {
+    return isFilled(contact.firstName) || isFilled(contact.lastName)
+}
+
+/**
+ * RG-3.12 : l'onglet Contact ne peut etre finalise que s'il reste au moins un
+ * contact nomme (prenom ou nom).
+ */
+export function hasAtLeastOneFilledContact(contacts: ProviderContactFormDraft[]): boolean {
+    return contacts.some(isProviderContactNamed)
+}
+
+/**
+ * Payload de la sous-ressource contacts (groupe `provider:write:contacts`). Les
+ * chaines vides sont envoyees a null (le serveur normalise/trim de toute facon).
+ * `phoneSecondary` n'est envoye que si le 2e numero a ete revele (max 2 tel).
+ */
+export function buildProviderContactPayload(contact: ProviderContactFormDraft): Record<string, unknown> {
+    return {
+        firstName: contact.firstName || null,
+        lastName: contact.lastName || null,
+        jobTitle: contact.jobTitle || null,
+        phonePrimary: contact.phonePrimary || null,
+        phoneSecondary: contact.hasSecondaryPhone ? (contact.phoneSecondary || null) : null,
+        email: contact.email || null,
+    }
+}

frontend/modules/technique/utils/forms/providerDetail.ts

@@ -0,0 +1,245 @@
+/**
+ * Helpers purs des ecrans Consultation / Modification prestataire (M3 Technique,
+ * ERP-145) — miroir SIMPLIFIE de `supplierConsultation.ts` (M2). Mappent le payload
+ * `GET /api/providers/{id}` (relations embarquees, cf. groupes `provider:item:read`
+ * + `provider:read:accounting`) vers les brouillons « plats » partages avec
+ * `ProviderContactBlock` / `ProviderAddressBlock` et l'onglet Comptabilite.
+ *
+ * Ne touchent ni a l'API ni a l'etat reactif (testables unitairement).
+ *
+ * Rappels de contrat back (JSON reel fige — ERP-139, spec-back § 4.0.bis) :
+ *  - categories / sites du prestataire et des adresses : OBJETS embarques (avec @id) ;
+ *  - refs comptables (tvaMode/paymentDelay/paymentType/bank) : OBJETS embarques
+ *    `{@id, id, label, (code pour paymentType)}` ;
+ *  - champs nuls OMIS (skip_null_values) → toujours lire avec `?? null` ;
+ *  - champs comptables + `ribs` TOTALEMENT ABSENTS sans permission accounting.view.
+ *
+ * Differences M2 : pas de type d'adresse / bennes / triage, pas d'onglet Information.
+ */
+
+import { formatPhoneFR } from '~/shared/utils/phone'
+import type {
+    ProviderAccountingDraft,
+    ProviderAddressFormDraft,
+    ProviderContactFormDraft,
+    ProviderRibFormDraft,
+} from '~/modules/technique/types/providerForm'
+import type { RefOption } from '~/modules/technique/composables/useProviderReferentials'
+
+/** Reference Hydra embarquee minimale (@id toujours present). */
+export interface HydraRef {
+    '@id': string
+    [key: string]: unknown
+}
+
+/** Une relation peut etre embarquee (objet), un IRI nu (chaine) ou absente. */
+export type Relation = HydraRef | string | null | undefined
+
+/** Site embarque (groupe site:read). */
+export interface SiteRead extends HydraRef {
+    name?: string
+    postalCode?: string
+    color?: string
+}
+
+/** Categorie embarquee (groupe category:read). */
+export interface CategoryRead extends HydraRef {
+    code?: string
+    name?: string
+}
+
+/** Contact embarque (groupe provider:item:read). */
+export interface ContactRead extends HydraRef {
+    id: number
+    firstName?: string | null
+    lastName?: string | null
+    jobTitle?: string | null
+    phonePrimary?: string | null
+    phoneSecondary?: string | null
+    email?: string | null
+}
+
+/** Adresse embarquee (groupe provider:item:read) — version simplifiee M3. */
+export interface AddressRead extends HydraRef {
+    id: number
+    country?: string | null
+    postalCode?: string | null
+    city?: string | null
+    street?: string | null
+    streetComplement?: string | null
+    sites?: SiteRead[]
+    categories?: CategoryRead[]
+    // L'embed M2M des contacts d'adresse peut etre un objet (partiel) ou un IRI nu.
+    contacts?: Array<HydraRef | string>
+}
+
+/** RIB embarque (groupe provider:read:accounting, present ssi accounting.view). */
+export interface RibRead extends HydraRef {
+    id: number
+    label?: string | null
+    bic?: string | null
+    iban?: string | null
+}
+
+/**
+ * Detail d'un prestataire (`GET /api/providers/{id}`). Tous les champs sont
+ * optionnels : skip_null_values + gating accounting peuvent omettre n'importe
+ * quelle cle.
+ */
+export interface ProviderDetail extends HydraRef {
+    id: number
+    companyName?: string | null
+    isArchived?: boolean
+    categories?: CategoryRead[]
+    sites?: SiteRead[]
+    contacts?: ContactRead[]
+    addresses?: AddressRead[]
+    ribs?: RibRead[]
+    // Onglet Comptabilite (present ssi accounting.view)
+    siren?: string | null
+    accountNumber?: string | null
+    nTva?: string | null
+    tvaMode?: Relation
+    paymentDelay?: Relation
+    paymentType?: Relation
+    bank?: Relation
+}
+
+/** Extrait l'IRI d'une relation (objet embarque, IRI nu, ou null si absente). */
+export function iriOf(relation: Relation): string | null {
+    if (relation === null || relation === undefined) {
+        return null
+    }
+    if (typeof relation === 'string') {
+        return relation
+    }
+    return relation['@id'] ?? null
+}
+
+/** IRI des elements d'une collection embarquee (categories / sites du prestataire). */
+export function irisOf(items: HydraRef[] | undefined): string[] {
+    return (items ?? []).map(i => i['@id'])
+}
+
+/** Mappe un contact embarque vers un brouillon (telephones formates XX XX XX XX XX). */
+export function mapContactToDraft(contact: ContactRead): ProviderContactFormDraft {
+    const phoneSecondary = contact.phoneSecondary ?? null
+    return {
+        id: contact.id,
+        iri: contact['@id'] ?? null,
+        firstName: contact.firstName ?? null,
+        lastName: contact.lastName ?? null,
+        jobTitle: contact.jobTitle ?? null,
+        phonePrimary: contact.phonePrimary ? formatPhoneFR(contact.phonePrimary) : null,
+        phoneSecondary: phoneSecondary ? formatPhoneFR(phoneSecondary) : null,
+        email: contact.email ?? null,
+        hasSecondaryPhone: phoneSecondary !== null && phoneSecondary !== '',
+    }
+}
+
+/** Mappe une adresse embarquee vers un brouillon (IRI extraits des sous-collections). */
+export function mapAddressToDraft(address: AddressRead): ProviderAddressFormDraft {
+    return {
+        id: address.id,
+        country: address.country ?? 'France',
+        postalCode: address.postalCode ?? null,
+        city: address.city ?? null,
+        street: address.street ?? null,
+        streetComplement: address.streetComplement ?? null,
+        categoryIris: (address.categories ?? []).map(c => c['@id']),
+        siteIris: (address.sites ?? []).map(s => s['@id']),
+        contactIris: (address.contacts ?? []).map(c => (typeof c === 'string' ? c : c['@id'])),
+    }
+}
+
+/** Mappe un RIB embarque vers un brouillon. */
+export function mapRibToDraft(rib: RibRead): ProviderRibFormDraft {
+    return {
+        id: rib.id,
+        label: rib.label ?? null,
+        bic: rib.bic ?? null,
+        iban: rib.iban ?? null,
+    }
+}
+
+/** Mappe les champs comptables (scalaires + IRI des referentiels embarques). */
+export function mapAccountingDraft(provider: ProviderDetail): ProviderAccountingDraft {
+    return {
+        siren: provider.siren ?? null,
+        accountNumber: provider.accountNumber ?? null,
+        nTva: provider.nTva ?? null,
+        tvaModeIri: iriOf(provider.tvaMode),
+        paymentDelayIri: iriOf(provider.paymentDelay),
+        paymentTypeIri: iriOf(provider.paymentType),
+        bankIri: iriOf(provider.bank),
+    }
+}
+
+/**
+ * Options de categories (value=IRI, label=nom) construites depuis l'embed.
+ * Source role-independante : evite de dependre de `GET /categories` (403 possible
+ * pour un role metier), qui laisserait les libelles vides en consultation.
+ */
+export function categoryOptionsOf(categories: CategoryRead[] | undefined): RefOption[] {
+    return (categories ?? []).map(c => ({
+        value: c['@id'],
+        label: c.name ?? c.code ?? c['@id'],
+    }))
+}
+
+/** Options de sites (value=IRI, label=nom) construites depuis un embed. */
+export function siteOptionsOf(sites: SiteRead[] | undefined): RefOption[] {
+    return (sites ?? []).map(s => ({ value: s['@id'], label: s.name ?? s['@id'] }))
+}
+
+/** Options de contacts (value=IRI, label=nom complet ou email) depuis l'embed prestataire. */
+export function contactOptionsOf(contacts: ContactRead[] | undefined): RefOption[] {
+    return (contacts ?? []).map(c => ({
+        value: c['@id'],
+        label: [c.firstName, c.lastName].filter(Boolean).join(' ') || (c.email ?? c['@id']),
+    }))
+}
+
+/**
+ * Liste a une seule option (ou vide) construite depuis un referentiel embarque
+ * (TvaMode / PaymentDelay / PaymentType / Bank) pour alimenter un MalioSelect en
+ * lecture seule. Le libelle vient de l'embed, jamais d'un GET de referentiel —
+ * l'affichage reste correct quel que soit le role.
+ */
+export function referentialOptionOf(relation: Relation): RefOption[] {
+    if (!relation || typeof relation === 'string') {
+        return []
+    }
+    const label = (relation.label as string | undefined)
+        ?? (relation.name as string | undefined)
+        ?? relation['@id']
+    return [{ value: relation['@id'], label }]
+}
+
+/** Code metier d'un referentiel embarque (PaymentType.code = 'LCR' / 'VIREMENT'), ou null. */
+export function paymentTypeCodeOf(relation: Relation): string | null {
+    if (!relation || typeof relation === 'string') {
+        return null
+    }
+    return (relation.code as string | undefined) ?? null
+}
+
+/**
+ * Bouton « Modifier » : visible si l'utilisateur peut editer au moins un onglet —
+ * `manage` (onglets metier) OU `accounting.manage` (le role Compta doit pouvoir
+ * ouvrir l'edition pour son onglet Comptabilite). Le readonly fin par onglet est
+ * gere sur l'ecran d'edition.
+ */
+export function canEditProvider(canAny: (codes: string[]) => boolean): boolean {
+    return canAny(['technique.providers.manage', 'technique.providers.accounting.manage'])
+}
+
+/** Bouton « Archiver » : permission archive ET prestataire encore actif (Admin seul). */
+export function showArchiveAction(can: (code: string) => boolean, isArchived: boolean): boolean {
+    return can('technique.providers.archive') && !isArchived
+}
+
+/** Bouton « Restaurer » : permission archive ET prestataire deja archive (Admin seul). */
+export function showRestoreAction(can: (code: string) => boolean, isArchived: boolean): boolean {
+    return can('technique.providers.archive') && isArchived
+}

frontend/modules/transport/nuxt.config.ts

@@ -0,0 +1 @@
+export default defineNuxtConfig({})

frontend/package-lock.json

@@ -7,7 +7,7 @@
       "name": "starseed-frontend",
       "hasInstallScript": true,
       "dependencies": {
-        "@malio/layer-ui": "^1.7.8",
+        "@malio/layer-ui": "^1.7.10",
         "@nuxt/icon": "^2.2.1",
         "@nuxtjs/i18n": "^10.2.3",
         "@nuxtjs/tailwindcss": "^6.14.0",
@@ -1866,9 +1866,9 @@
       "license": "MIT"
     },
     "node_modules/@malio/layer-ui": {
-      "version": "1.7.8",
-      "resolved": "https://gitea.malio.fr/api/packages/MALIO-DEV/npm/%40malio%2Flayer-ui/-/1.7.8/layer-ui-1.7.8.tgz",
-      "integrity": "sha512-gUMAZzBsPCfQUF3OQSjN/OFzjONvQZYfwqH0u5VUbxaqwBdX1hUGtjD4ym6RvZkyNsKulrxkncFZYTWCS+IdGA==",
+      "version": "1.7.10",
+      "resolved": "https://gitea.malio.fr/api/packages/MALIO-DEV/npm/%40malio%2Flayer-ui/-/1.7.10/layer-ui-1.7.10.tgz",
+      "integrity": "sha512-ZWYaKvl+VpGAqeTE+4xdyKOmuRd4zwjlUYVppeIBZwGeNAK16kZnrztR+4eQmnzUqPZVybBhEBdKP9weqWHSUg==",
       "dependencies": {
         "@nuxt/icon": "^2.2.1",
         "@nuxtjs/tailwindcss": "^6.14.0",

frontend/package.json

@@ -17,7 +17,7 @@
     "test:e2e:ui": "playwright test --ui"
   },
   "dependencies": {
-    "@malio/layer-ui": "^1.7.8",
+    "@malio/layer-ui": "^1.7.10",
     "@nuxt/icon": "^2.2.1",
     "@nuxtjs/i18n": "^10.2.3",
     "@nuxtjs/tailwindcss": "^6.14.0",

frontend/shared/composables/__tests__/useFormErrors.test.ts

@@ -41,6 +41,22 @@ describe('useFormErrors', () => {
         expect(hasErrors.value).toBe(true)
     })
 
+    it('setServerErrors surcharge un message technique (erreur de type) par la cle i18n', () => {
+        const { errors, setServerErrors } = useFormErrors()
+        const mapped = setServerErrors({
+            violations: [
+                // Code Symfony Type::INVALID_TYPE_ERROR (date non parsable) : surcharge.
+                { propertyPath: 'foundedAt', message: 'Cette valeur doit être de type DateTimeImmutable|null.', code: 'ba785a8c-82cb-4283-967c-3cf342181b40' },
+                // Violation metier classique : message back conserve.
+                { propertyPath: 'companyName', message: 'Obligatoire.', code: 'c1051bb4-d103-4f74-8988-acbcafc7fdc3' },
+            ],
+        })
+        expect(mapped).toBe(true)
+        // Stub i18n -> renvoie la cle telle quelle.
+        expect(errors.foundedAt).toBe('errors.validation.invalidDate')
+        expect(errors.companyName).toBe('Obligatoire.')
+    })
+
     it('setServerErrors retourne false et ne touche rien sans violation', () => {
         const { errors, setServerErrors } = useFormErrors()
         expect(setServerErrors({})).toBe(false)

frontend/shared/composables/useFormErrors.ts

@@ -17,7 +17,7 @@
  * appel par ligne), utiliser directement `mapViolationsToRecord` par ligne.
  */
 import { computed, reactive } from 'vue'
-import { extractApiErrorMessage, mapViolationsToRecord } from '~/shared/utils/api'
+import { extractApiErrorMessage, extractApiViolations, resolveViolationMessage } from '~/shared/utils/api'
 
 /**
  * Erreur HTTP capturee par ofetch. On n'expose que les champs lus ici (status
@@ -69,13 +69,16 @@ export function useFormErrors() {
      * violation exploitable).
      */
     function setServerErrors(data: unknown): boolean {
-        const mapped = mapViolationsToRecord(data)
-        const keys = Object.keys(mapped)
-        if (keys.length === 0) return false
-        for (const key of keys) {
-            errors[key] = mapped[key]
+        const violations = extractApiViolations(data)
+        let mapped = false
+        for (const v of violations) {
+            if (!v.propertyPath) continue
+            // Message back tel quel, sauf code surcharge par une cle i18n (ex.
+            // erreur de type sur une date non parsable -> « Date invalide »).
+            errors[v.propertyPath] = resolveViolationMessage(v, t)
+            mapped = true
         }
-        return true
+        return mapped
     }
 
     /**

frontend/shared/utils/__tests__/api.test.ts

@@ -1,5 +1,5 @@
 import { describe, it, expect } from 'vitest'
-import { mapViolationsToRecord } from '../api'
+import { mapViolationsToRecord, resolveViolationMessage } from '../api'
 
 /**
  * Tests de `mapViolationsToRecord` — fondation du mapping erreur→champ des
@@ -56,3 +56,30 @@ describe('mapViolationsToRecord', () => {
         expect(mapViolationsToRecord(data)).toEqual({ name: 'Second message.' })
     })
 })
+
+/**
+ * Tests de `resolveViolationMessage` — surcharge i18n d'un message back par code
+ * de violation. Le back peut renvoyer un message technique (erreur de type sur
+ * une date non parsable) : on le remplace via le `code` Symfony (stable) par une
+ * cle i18n, sans toucher au back. Le `t` ici renvoie la cle telle quelle.
+ */
+describe('resolveViolationMessage', () => {
+    const t = (key: string) => key
+    // Code Symfony Constraints\Type::INVALID_TYPE_ERROR (fige).
+    const TYPE_ERROR = 'ba785a8c-82cb-4283-967c-3cf342181b40'
+
+    it('surcharge le message technique d\'une erreur de type par la cle i18n', () => {
+        const v = { propertyPath: 'foundedAt', message: 'Cette valeur doit être de type DateTimeImmutable|null.', code: TYPE_ERROR }
+        expect(resolveViolationMessage(v, t)).toBe('errors.validation.invalidDate')
+    })
+
+    it('renvoie le message back tel quel quand le code n\'est pas surcharge', () => {
+        const v = { propertyPath: 'companyName', message: 'Le nom est obligatoire.', code: 'c1051bb4-d103-4f74-8988-acbcafc7fdc3' }
+        expect(resolveViolationMessage(v, t)).toBe('Le nom est obligatoire.')
+    })
+
+    it('renvoie le message back tel quel quand il n\'y a pas de code', () => {
+        const v = { propertyPath: 'siren', message: 'SIREN deja utilise.', code: '' }
+        expect(resolveViolationMessage(v, t)).toBe('SIREN deja utilise.')
+    })
+})

frontend/shared/utils/__tests__/collectionRow.test.ts

@@ -0,0 +1,121 @@
+import { describe, it, expect, vi } from 'vitest'
+import { removeCollectionRow, isRowRemovable, type DeletableRow } from '../collectionRow'
+
+/**
+ * Tests de `removeCollectionRow` — suppression d'une ligne de collection
+ * (contact / adresse / RIB) avec DELETE immediat de la sous-ressource existante
+ * (ERP-172). Coeur de logique mutualise par les 3 modules (Client / Fournisseur /
+ * Prestataire) : un seul comportement teste ici couvre les 9 cas (3 modules x 3
+ * blocs).
+ */
+interface Row extends DeletableRow {
+    label?: string
+}
+
+function makeEmpty(): Row {
+    return { id: null, label: '' }
+}
+
+describe('removeCollectionRow', () => {
+    it('emet un DELETE sur la sous-ressource quand le bloc est existant (id non null)', async () => {
+        const rows: Row[] = [{ id: 10, label: 'A' }, { id: 11, label: 'B' }]
+        const errors: Record<string, string>[] = [{}, {}]
+        const deleteRow = vi.fn().mockResolvedValue(undefined)
+        const onError = vi.fn()
+
+        const removed = await removeCollectionRow({
+            rows, errors, index: 0,
+            endpoint: '/client_contacts',
+            deleteRow, makeEmpty, onError,
+        })
+
+        expect(deleteRow).toHaveBeenCalledOnce()
+        expect(deleteRow).toHaveBeenCalledWith('/client_contacts/10')
+        expect(removed).toBe(true)
+        expect(rows).toEqual([{ id: 11, label: 'B' }])
+        expect(errors).toHaveLength(1)
+        expect(onError).not.toHaveBeenCalled()
+    })
+
+    it('ne fait AUCUN appel reseau pour un bloc jamais persiste (id null) — retrait local', async () => {
+        const rows: Row[] = [{ id: 10, label: 'A' }, { id: null, label: 'brouillon' }]
+        const errors: Record<string, string>[] = [{}, {}]
+        const deleteRow = vi.fn().mockResolvedValue(undefined)
+        const onError = vi.fn()
+
+        const removed = await removeCollectionRow({
+            rows, errors, index: 1,
+            endpoint: '/client_contacts',
+            deleteRow, makeEmpty, onError,
+        })
+
+        expect(deleteRow).not.toHaveBeenCalled()
+        expect(removed).toBe(true)
+        expect(rows).toEqual([{ id: 10, label: 'A' }])
+    })
+
+    it('conserve le bloc et remonte l\'erreur si le DELETE serveur echoue (ex. 409 dernier RIB LCR)', async () => {
+        const rows: Row[] = [{ id: 10, label: 'A' }, { id: 11, label: 'B' }]
+        const errors: Record<string, string>[] = [{}, {}]
+        const error = { response: { status: 409 } }
+        const deleteRow = vi.fn().mockRejectedValue(error)
+        const onError = vi.fn()
+
+        const removed = await removeCollectionRow({
+            rows, errors, index: 0,
+            endpoint: '/client_ribs',
+            deleteRow, makeEmpty, onError,
+        })
+
+        expect(removed).toBe(false)
+        expect(onError).toHaveBeenCalledWith(error)
+        // Bloc NON retire : la suppression n'a pas ete confirmee par le serveur.
+        expect(rows).toEqual([{ id: 10, label: 'A' }, { id: 11, label: 'B' }])
+        expect(errors).toHaveLength(2)
+    })
+
+    it('garde au moins un bloc visible apres retrait du dernier (amorce vide)', async () => {
+        const rows: Row[] = [{ id: 10, label: 'A' }]
+        const errors: Record<string, string>[] = [{}]
+        const deleteRow = vi.fn().mockResolvedValue(undefined)
+
+        await removeCollectionRow({
+            rows, errors, index: 0,
+            endpoint: '/client_contacts',
+            deleteRow, makeEmpty, onError: vi.fn(),
+        })
+
+        expect(rows).toEqual([{ id: null, label: '' }])
+    })
+})
+
+/**
+ * Tests de `isRowRemovable` — la poubelle d'un bloc n'apparait que s'il reste un
+ * AUTRE bloc deja enregistre (id en base). Empeche de supprimer un bloc tant que
+ * rien n'est sauvegarde, et de supprimer son dernier bloc enregistre (ERP-172).
+ */
+describe('isRowRemovable', () => {
+    it('faux quand aucun autre bloc n\'est enregistre (que des brouillons)', () => {
+        const rows: Row[] = [{ id: null, label: 'brouillon 1' }, { id: null, label: 'brouillon 2' }]
+        expect(isRowRemovable(rows, 0)).toBe(false)
+        expect(isRowRemovable(rows, 1)).toBe(false)
+    })
+
+    it('faux pour le seul bloc enregistre (un brouillon a cote ne compte pas)', () => {
+        const rows: Row[] = [{ id: 10, label: 'enregistre' }, { id: null, label: 'brouillon' }]
+        // Le bloc enregistre ne peut pas etre supprime : aucun AUTRE bloc enregistre.
+        expect(isRowRemovable(rows, 0)).toBe(false)
+        // Le brouillon peut etre jete : il reste le bloc enregistre id=10.
+        expect(isRowRemovable(rows, 1)).toBe(true)
+    })
+
+    it('vrai pour chaque bloc des qu\'au moins deux sont enregistres', () => {
+        const rows: Row[] = [{ id: 10, label: 'A' }, { id: 11, label: 'B' }]
+        expect(isRowRemovable(rows, 0)).toBe(true)
+        expect(isRowRemovable(rows, 1)).toBe(true)
+    })
+
+    it('faux pour un unique bloc', () => {
+        expect(isRowRemovable([{ id: 10, label: 'A' }], 0)).toBe(false)
+    })
+})

frontend/shared/utils/api.ts

@@ -34,11 +34,15 @@ export function extractHydraMembers<T>(collection: HydraCollection<T>): T[] {
 
 /**
  * Une violation de contrainte API Platform (reponse 422). Le `propertyPath`
- * pointe le champ concerne, `message` est le libelle a afficher.
+ * pointe le champ concerne, `message` est le libelle a afficher, `code` est le
+ * code de contrainte Symfony (UUID stable, independant de la langue) — il sert
+ * a surcharger un message back technique par une cle i18n (cf.
+ * `VIOLATION_MESSAGE_I18N` / `resolveViolationMessage`).
  */
 export interface ApiViolation {
     propertyPath: string
     message: string
+    code: string
 }
 
 /**
@@ -61,6 +65,7 @@ export function extractApiViolations(data: unknown): ApiViolation[] {
         out.push({
             propertyPath: String(obj.propertyPath ?? ''),
             message: String(obj.message ?? ''),
+            code: String(obj.code ?? ''),
         })
     }
     return out
@@ -85,6 +90,45 @@ export function mapViolationsToRecord(data: unknown): Record<string, string> {
     return out
 }
 
+/**
+ * Surcharge i18n d'un message back par CODE de violation.
+ *
+ * La plupart des contraintes back portent deja un message FR explicite (ex.
+ * `#[Assert\NotBlank(message: '...')]`) : on l'affiche tel quel. Mais certaines
+ * 422 portent un message TECHNIQUE non montrable a l'utilisateur — typiquement
+ * l'erreur de TYPE renvoyee par API Platform quand le back ne peut pas
+ * denormaliser la valeur (date non parsable envoyee sur un champ
+ * `DateTimeImmutable` : « Cette valeur doit être de type DateTimeImmutable|null. »,
+ * voire en anglais selon la negociation de langue).
+ *
+ * Plutot que de traduire/maquiller cote back, on surcharge ces messages cote
+ * front via leur `code` de violation. Ce code est un UUID Symfony FIGE (contrat
+ * de compatibilite : il ne change pas entre versions), donc bien plus robuste
+ * qu'un match sur le texte du message (qui depend de la langue). La table
+ * associe un code -> une cle i18n ; `resolveViolationMessage` l'applique.
+ *
+ * Limite a connaitre : le code de type-error est GENERIQUE (toute valeur de
+ * mauvais type). Dans nos formulaires, seul un champ date saisi en texte libre
+ * (MalioDate, qui forwarde la saisie brute invalide) le declenche, d'ou le
+ * libelle « Date invalide ». Si un autre champ typé en saisie libre apparait,
+ * affiner la resolution via `propertyPath` plutot que par code seul.
+ */
+export const VIOLATION_MESSAGE_I18N: Record<string, string> = {
+    // Symfony `Constraints\Type::INVALID_TYPE_ERROR` — valeur de mauvais type.
+    'ba785a8c-82cb-4283-967c-3cf342181b40': 'errors.validation.invalidDate',
+}
+
+/**
+ * Resout le message a afficher pour une violation : si son `code` est surcharge
+ * par `VIOLATION_MESSAGE_I18N`, renvoie la traduction de la cle associee ;
+ * sinon, le message back tel quel (cas nominal). `t` est passe par l'appelant
+ * (les utils sont purs, sans acces a useI18n).
+ */
+export function resolveViolationMessage(v: ApiViolation, t: (key: string) => string): string {
+    const i18nKey = VIOLATION_MESSAGE_I18N[v.code]
+    return i18nKey ? t(i18nKey) : v.message
+}
+
 /**
  * Extrait un message d'erreur lisible depuis un payload Hydra / JSON
  * d'erreur API Platform. Essaie les champs courants dans l'ordre :

frontend/shared/utils/collectionRow.ts

@@ -0,0 +1,79 @@
+/** Ligne de collection supprimable (contact / adresse / RIB). */
+export interface DeletableRow {
+    id?: number | null
+}
+
+/**
+ * Indique si le bloc d'index `index` peut afficher sa poubelle (ERP-172).
+ *
+ * Regle metier : on ne peut supprimer un bloc QUE s'il reste au moins un AUTRE
+ * bloc deja enregistre (`id` non null, donc persiste en base). Consequences :
+ *  - tant que rien n'est enregistre -> aucune poubelle (pas de suppression d'un
+ *    simple brouillon saisi mais pas valide) ;
+ *  - on peut jeter un brouillon non enregistre s'il reste un bloc enregistre ;
+ *  - on ne peut jamais supprimer son dernier bloc enregistre.
+ */
+export function isRowRemovable<T extends DeletableRow>(rows: T[], index: number): boolean {
+    return rows.some((row, i) => i !== index && row.id != null)
+}
+
+/** Options de {@link removeCollectionRow}. */
+export interface RemoveCollectionRowOptions<T extends DeletableRow> {
+    /** Tableau reactif des brouillons (passer le `.value` de la ref). */
+    rows: T[]
+    /** Tableau reactif des erreurs par ligne, aligne sur l'index (passer le `.value`). */
+    errors: Record<string, string>[]
+    /** Index de la ligne a retirer. */
+    index: number
+    /** Endpoint de la sous-ressource SANS id (ex: '/client_contacts'). */
+    endpoint: string
+    /** Suppression serveur : DOIT rejeter en cas d'echec (ex: url => api.delete(url, {}, { toast: false })). */
+    deleteRow: (url: string) => Promise<unknown>
+    /** Fabrique d'un bloc vide pour garder au moins un bloc visible apres retrait. */
+    makeEmpty: () => T
+    /** Remontee d'erreur 409/422 mappee proprement (message back, pas de toast fourre-tout). */
+    onError: (error: unknown) => void
+}
+
+/**
+ * Retire une ligne de collection (contact / adresse / RIB) sur les ecrans de
+ * MODIFICATION, avec DELETE immediat de la sous-ressource (ERP-172). Comportement
+ * aligne sur les 3 modules (Client / Fournisseur / Prestataire) :
+ *
+ *  - Bloc jamais persiste (`id` null) : simple retrait local, aucun appel reseau.
+ *  - Bloc existant (`id` non null) : DELETE `/endpoint/{id}` AVANT le retrait du
+ *    tableau. On ne retire le bloc QUE si le serveur a confirme — sinon le bloc
+ *    reste affiche et l'erreur est remontee via `onError` (ex. dernier RIB d'une
+ *    LCR -> 409 back, RG-x.08).
+ *
+ * Etat purement local : `rows`/`errors` sont les `.value` des refs (proxies
+ * reactifs), le `splice` declenche donc la reactivite.
+ *
+ * @returns `true` si la ligne a ete retiree (suppression confirmee ou bloc local),
+ *          `false` si la suppression serveur a echoue (bloc conserve).
+ */
+export async function removeCollectionRow<T extends DeletableRow>(
+    options: RemoveCollectionRowOptions<T>,
+): Promise<boolean> {
+    const { rows, errors, index, endpoint, deleteRow, makeEmpty, onError } = options
+    const removed = rows[index]
+
+    // Bloc existant : suppression serveur d'abord, retrait local seulement si OK.
+    if (removed?.id != null) {
+        try {
+            await deleteRow(`${endpoint}/${removed.id}`)
+        }
+        catch (error) {
+            onError(error)
+            return false
+        }
+    }
+
+    rows.splice(index, 1)
+    errors.splice(index, 1)
+    // Garde au moins un bloc visible (cf. amorce a l'hydratation).
+    if (rows.length === 0) {
+        rows.push(makeEmpty())
+    }
+    return true
+}

frontend/tests/e2e/_fixtures/personas.ts

@@ -84,6 +84,17 @@ export const personas: Record<PersonaKey, Persona> = {
             'commercial.suppliers.accounting.view',
             'commercial.suppliers.accounting.manage',
             'commercial.suppliers.archive',
+            // Technique — Repertoire prestataires (M3, ERP-138). Meme logique que
+            // clients/fournisseurs : mappe sur le persona "tout", pas de nouveau
+            // persona (regle ABSOLUE n°7). user-full porte deja sites.bypass_scope,
+            // donc il voit les prestataires de tous les sites (M3 § 2.13).
+            // technique.providers.view n'ajoute pas de lien dans la section
+            // Administration, donc expectedAdminLinks reste inchange.
+            'technique.providers.view',
+            'technique.providers.manage',
+            'technique.providers.accounting.view',
+            'technique.providers.accounting.manage',
+            'technique.providers.archive',
         ],
         expectedAdminLinks: ['users', 'roles', 'sites', 'categories', 'audit-log'],
     },

makefile

@@ -231,6 +231,7 @@ test-db-setup:
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_category_code ON category (code) WHERE deleted_at IS NULL"
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_client_company_name_active ON client (LOWER(company_name)) WHERE is_archived = FALSE AND deleted_at IS NULL"
 	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_supplier_company_name_active ON supplier (LOWER(company_name)) WHERE is_archived = FALSE AND deleted_at IS NULL"
+	$(SYMFONY_CONSOLE) --env=test dbal:run-sql "CREATE UNIQUE INDEX IF NOT EXISTS uq_provider_company_name_active ON provider (LOWER(company_name)) WHERE is_archived = FALSE AND deleted_at IS NULL"
 
 fixtures:
 	$(SYMFONY_CONSOLE) --no-interaction doctrine:fixtures:load
@@ -249,6 +250,22 @@ sync-permissions:
 seed-rbac:
 	$(SYMFONY_CONSOLE) --no-interaction app:seed-rbac
 
+# Synchronise le referentiel des transporteurs QUALIMAT (ERP-39) : upsert sur
+# le SIRET + soft-delete des absents + journal. Idempotent (refresh complet),
+# prevu pour un cron quotidien.
+# Options : --dry-run (analyse sans ecriture), --file=<chemin.json> (source
+# locale au lieu de l'API), --ppp=<n> (taille de page API, defaut 10000).
+qualimat-sync:
+	$(SYMFONY_CONSOLE) --no-interaction app:qualimat:sync
+
+# Synchronise le referentiel des codes IDTF (ERP-149) depuis l'export Excel
+# icrt-idtf.com : upsert sur (schema, idtf_number) + soft-delete + journal.
+# Idempotent (refresh complet).
+# Options : --schema=road|water (defaut road), --dry-run (analyse sans
+# ecriture), --file=<chemin.xlsx> (source locale au lieu du telechargement).
+idtf-sync:
+	$(SYMFONY_CONSOLE) --no-interaction app:idtf:sync
+
 # Attention, supprime votre bdd local
 db-reset:
 	$(DOCKER_COMPOSE) down -v

migrations/Version20260612080000.php

@@ -0,0 +1,121 @@
+<?php
+
+declare(strict_types=1);
+
+namespace DoctrineMigrations;
+
+use Doctrine\DBAL\ArrayParameterType;
+use Doctrine\DBAL\Schema\Schema;
+use Doctrine\Migrations\AbstractMigration;
+
+/**
+ * M3 (ticket 1.1) — Taxonomie PRESTATAIRE (module Catalog, prerequis du module Technique).
+ *
+ * Contexte : le M3 (repertoire prestataires) a besoin d'une taxonomie distincte
+ * des types CLIENT (M1) et FOURNISSEUR (M2). Decision Matthieu (11/06) : types
+ * distincts CLIENT / FOURNISSEUR / PRESTATAIRE, chacun avec sa taxonomie. Le
+ * multi-select « Categorie » du prestataire (formulaire principal + adresse)
+ * ne reference que des `Category` rattachees au type PRESTATAIRE (RG-3.09).
+ *
+ * Cette migration :
+ *  1. cree le `category_type` PRESTATAIRE (code PRESTATAIRE, label « Prestataire ») ;
+ *  2. seede 3 `Category` de demonstration rattachees a ce type via la jonction
+ *     ManyToMany `category_category_type` (modele courant depuis Version20260608120000 ;
+ *     la colonne ManyToOne `category.category_type_id` n'existe plus).
+ *
+ * Aucune colonne creee/modifiee -> pas de `COMMENT ON COLUMN` (regle ABSOLUE n°12) :
+ * la migration ne fait que des INSERT de donnees de reference.
+ *
+ * Namespace racine `DoctrineMigrations` (regle ABSOLUE n°11) et NON modulaire :
+ * avec plusieurs migrations_paths, Doctrine Migrations 3.x trie par FQCN
+ * alphabetique -> une migration `App\Module\...` passerait avant les
+ * `DoctrineMigrations\...` sur base vide, donc avant la creation des tables
+ * `category` / `category_type` / `category_category_type`. Le namespace racine
+ * garantit l'ordre par timestamp.
+ *
+ * Idempotence : `INSERT ... ON CONFLICT (code) DO NOTHING` pour le type,
+ * `INSERT ... SELECT ... WHERE NOT EXISTS` pour chaque categorie et chaque ligne
+ * de jonction (aligne sur le pattern ERP-84 / Version20260605120000). En prod la
+ * table `category` est vide (aucune fixture metier). En dev/test, le purger
+ * Doctrine vide `category` / `category_type` avant les fixtures qui reproduisent
+ * le meme etat final (CategoryTypeFixtures / CategoryFixtures etendus a PRESTATAIRE).
+ */
+final class Version20260612080000 extends AbstractMigration
+{
+    /**
+     * Categories de demonstration du type PRESTATAIRE : nom => code stable. Le
+     * code est la cle metier (slug MAJUSCULE du nom, miroir du
+     * CategoryCodeGenerator) et reste unique parmi les actifs (uq_category_code,
+     * partage avec les codes CLIENT / FOURNISSEUR — aucune collision ici). Le nom
+     * est unique GLOBALEMENT parmi les actifs (uq_category_name_active) : les
+     * libelles ci-dessous n'entrent en collision avec aucune categorie seedee.
+     */
+    private const array PROVIDER_CATEGORIES = [
+        'Maintenance industrielle' => 'MAINTENANCE_INDUSTRIELLE',
+        'Nettoyage'                => 'NETTOYAGE',
+        'Transport'                => 'TRANSPORT',
+    ];
+
+    public function getDescription(): string
+    {
+        return 'M3 1.1 : cree le CategoryType PRESTATAIRE + seed des categories prestataires (Maintenance industrielle, Nettoyage, Transport).';
+    }
+
+    public function up(Schema $schema): void
+    {
+        // 1. Type PRESTATAIRE (idempotent via l'index unique uq_category_type_code).
+        $this->addSql(<<<'SQL'
+            INSERT INTO category_type (code, label) VALUES ('PRESTATAIRE', 'Prestataire')
+            ON CONFLICT (code) DO NOTHING
+            SQL);
+
+        foreach (self::PROVIDER_CATEGORIES as $name => $code) {
+            // 2a. Categorie sous PRESTATAIRE (si le code est libre parmi les
+            //     actifs). created_at/updated_at NOT NULL -> NOW() ; le blame
+            //     reste null (seed hors contexte HTTP, libelle « Systeme » cote front).
+            $this->addSql(<<<'SQL'
+                INSERT INTO category (name, code, created_at, updated_at)
+                SELECT :name, :code, NOW(), NOW()
+                WHERE NOT EXISTS (
+                    SELECT 1 FROM category c WHERE c.code = :code AND c.deleted_at IS NULL
+                )
+                SQL, ['name' => $name, 'code' => $code]);
+
+            // 2b. Jonction M2M categorie <-> type PRESTATAIRE (modele courant).
+            $this->addSql(<<<'SQL'
+                INSERT INTO category_category_type (category_id, category_type_id)
+                SELECT c.id, ct.id
+                FROM category c
+                CROSS JOIN category_type ct
+                WHERE c.code = :code AND c.deleted_at IS NULL
+                  AND ct.code = 'PRESTATAIRE'
+                  AND NOT EXISTS (
+                      SELECT 1 FROM category_category_type cct
+                      WHERE cct.category_id = c.id AND cct.category_type_id = ct.id
+                  )
+                SQL, ['code' => $code]);
+        }
+    }
+
+    public function down(Schema $schema): void
+    {
+        // Best-effort : on retire d'abord les categories seedees (par code) — la FK
+        // category_category_type est ON DELETE CASCADE cote category, donc les
+        // lignes de jonction partent avec —, puis le type s'il n'est plus reference.
+        $this->addSql(
+            'DELETE FROM category WHERE code IN (:codes) '
+            ."AND id IN (SELECT category_id FROM category_category_type cct "
+            ."JOIN category_type ct ON ct.id = cct.category_type_id WHERE ct.code = 'PRESTATAIRE')",
+            ['codes' => array_values(self::PROVIDER_CATEGORIES)],
+            ['codes' => ArrayParameterType::STRING],
+        );
+
+        $this->addSql(<<<'SQL'
+            DELETE FROM category_type
+            WHERE code = 'PRESTATAIRE'
+              AND NOT EXISTS (
+                  SELECT 1 FROM category_category_type cct WHERE cct.category_type_id = category_type.id
+              )
+            SQL);
+    }
+}

migrations/Version20260612100000.php

@@ -0,0 +1,451 @@
+<?php
+
+declare(strict_types=1);
+
+namespace DoctrineMigrations;
+
+use App\Shared\Infrastructure\Database\ColumnCommentsCatalog;
+use Doctrine\DBAL\Schema\Schema;
+use Doctrine\Migrations\AbstractMigration;
+
+/**
+ * M3 — Repertoire prestataires (ERP-132) : creation de toute la structure BDD
+ * des prestataires sous le nouveau module Technique (jumeau du M2 fournisseur).
+ *
+ * Tables creees :
+ *  - Table principale : provider (formulaire principal + Comptabilite + archive
+ *    + soft-delete + Timestampable/Blamable). PAS d onglet Information.
+ *  - M2M du formulaire principal : provider_category (RG-3.09),
+ *    provider_site (sites du prestataire, RG-3.03 — NOUVEAU vs supplier).
+ *  - Sous-collections : provider_contact (1:n), provider_address (1:n),
+ *    provider_rib (1:n).
+ *  - Jointures de provider_address : provider_address_site (RG-3.05),
+ *    provider_address_contact, provider_address_category.
+ *
+ * Differences vs le M2 `supplier` (cf. spec M3 § 3.1) :
+ *  - PAS d onglet Information : aucun champ description / competitors /
+ *    founded_at / employees_count / revenue_amount / director_name /
+ *    profit_amount / volume_forecast. Le provider est minimal : nom + compta.
+ *  - AJOUT de provider_site (M2M) : sites rattaches au prestataire directement
+ *    sur le formulaire principal (RG-3.03, >= 1). Sert aussi le cloisonnement
+ *    par site (idx_provider_site_site, § 2.13).
+ *  - provider_address SIMPLIFIEE : pas de address_type / bennes /
+ *    triage_provider (specifiques fournisseur). Champs : country / postal_code
+ *    / city / street / street_complement / position + M2M sites/contacts/categories.
+ *
+ * Referentiels comptables NON recrees : tva_mode / payment_delay / payment_type
+ * / bank sont ceux du M1 (FK partagees, zero duplication — spec § 2.3).
+ *
+ * CategoryType PRESTATAIRE NON re-seede : il est cree par ERP-131
+ * (Version20260612080000) avec ses categories de demonstration. Le M2M
+ * provider_category / provider_address_category s appuie sur ce type existant.
+ *
+ * Namespace racine `DoctrineMigrations` (regle ABSOLUE Starseed n°11) et NON
+ * `App\Module\Technique\...` : la migration cree un schema avec FK cross-module
+ * (user, category, site, et les referentiels comptables M1). Avec plusieurs
+ * migrations_paths, Doctrine Migrations 3.x trie par FQCN alphabetique — un
+ * namespace modulaire s executerait avant la creation de user/category/site sur
+ * base vide -> echec des FK. Le namespace racine garantit l ordre par timestamp.
+ *
+ * Style DDL aligne sur le M1/M2 (Version20260605130000) : `INT GENERATED BY
+ * DEFAULT AS IDENTITY` (et non SERIAL), `TIMESTAMP(0) WITHOUT TIME ZONE` (et non
+ * TIMESTAMPTZ, car le TimestampableBlamableTrait mappe `datetime_immutable`).
+ * Garantit que `schema:update` restera un no-op quand les entites arriveront
+ * (ticket ERP-133).
+ *
+ * Decision unicite (alignee Q4 M1 / § 2.6 M2) : unicite metier sur le NOM DE
+ * SOCIETE uniquement (uq_provider_company_name_active, partiel). Pas d index
+ * unique sur siren ni email.
+ *
+ * COMMENT ON COLUMN inline (regle ABSOLUE n°12) : chaque colonne metier porte sa
+ * description ici-meme. Volontairement NON ajoutees a `ColumnCommentsCatalog` /
+ * `makefile test-db-setup` a ce stade : tant que les entites Provider* n existent
+ * pas (ERP-133), `schema:update --force` du setup de test droppe ces tables non
+ * mappees — les referencer dans le catalogue ferait planter
+ * `app:apply-column-comments`. Le catalogue + la ligne `dbal:run-sql`
+ * (uq_provider_company_name_active) seront ajoutes au ticket entites (ERP-133),
+ * exactement comme supplier (ERP-86) apres sa migration (ERP-85). Les 4 colonnes
+ * Timestampable/Blamable reutilisent les textes standardises du catalogue
+ * (`timestampableBlamableComments()`, simple tableau statique sans dependance DB).
+ */
+final class Version20260612100000 extends AbstractMigration
+{
+    public function getDescription(): string
+    {
+        return 'ERP-132 (M3) : tables provider + sous-collections + jointures M2M (referentiels comptables et CategoryType PRESTATAIRE reutilises).';
+    }
+
+    public function up(Schema $schema): void
+    {
+        $this->createProviderTable();
+        $this->createProviderCategory();
+        $this->createProviderSite();
+        $this->createProviderContact();
+        $this->createProviderAddress();
+        $this->createProviderAddressJoinTables();
+        $this->createProviderRib();
+    }
+
+    public function down(Schema $schema): void
+    {
+        // Ordre inverse des dependances FK : jointures et sous-collections
+        // d abord, puis provider. Les referentiels comptables et le
+        // CategoryType PRESTATAIRE ne sont pas touches (crees ailleurs).
+        $this->addSql('DROP TABLE IF EXISTS provider_address_category');
+        $this->addSql('DROP TABLE IF EXISTS provider_address_contact');
+        $this->addSql('DROP TABLE IF EXISTS provider_address_site');
+        $this->addSql('DROP TABLE IF EXISTS provider_rib');
+        $this->addSql('DROP TABLE IF EXISTS provider_address');
+        $this->addSql('DROP TABLE IF EXISTS provider_contact');
+        $this->addSql('DROP TABLE IF EXISTS provider_site');
+        $this->addSql('DROP TABLE IF EXISTS provider_category');
+        $this->addSql('DROP TABLE IF EXISTS provider');
+    }
+
+    // =================================================================
+    // Table principale `provider`
+    // =================================================================
+
+    private function createProviderTable(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider (
+                id INT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                company_name VARCHAR(180) NOT NULL,
+                siren VARCHAR(20) DEFAULT NULL,
+                account_number VARCHAR(40) DEFAULT NULL,
+                tva_mode_id INT DEFAULT NULL,
+                n_tva VARCHAR(40) DEFAULT NULL,
+                payment_delay_id INT DEFAULT NULL,
+                payment_type_id INT DEFAULT NULL,
+                bank_id INT DEFAULT NULL,
+                is_archived BOOLEAN DEFAULT FALSE NOT NULL,
+                archived_at TIMESTAMP(0) WITHOUT TIME ZONE DEFAULT NULL,
+                deleted_at TIMESTAMP(0) WITHOUT TIME ZONE DEFAULT NULL,
+                created_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                updated_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                created_by INT DEFAULT NULL,
+                updated_by INT DEFAULT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT fk_provider_tva_mode
+                    FOREIGN KEY (tva_mode_id) REFERENCES tva_mode (id) ON DELETE RESTRICT,
+                CONSTRAINT fk_provider_payment_delay
+                    FOREIGN KEY (payment_delay_id) REFERENCES payment_delay (id) ON DELETE RESTRICT,
+                CONSTRAINT fk_provider_payment_type
+                    FOREIGN KEY (payment_type_id) REFERENCES payment_type (id) ON DELETE RESTRICT,
+                CONSTRAINT fk_provider_bank
+                    FOREIGN KEY (bank_id) REFERENCES bank (id) ON DELETE RESTRICT,
+                CONSTRAINT fk_provider_created_by
+                    FOREIGN KEY (created_by) REFERENCES "user" (id) ON DELETE SET NULL,
+                CONSTRAINT fk_provider_updated_by
+                    FOREIGN KEY (updated_by) REFERENCES "user" (id) ON DELETE SET NULL
+            )
+            SQL);
+
+        $this->addSql('CREATE INDEX idx_provider_is_archived ON provider (is_archived)');
+        $this->addSql('CREATE INDEX idx_provider_deleted_at ON provider (deleted_at)');
+        $this->addSql('CREATE INDEX idx_provider_created_by ON provider (created_by)');
+        $this->addSql('CREATE INDEX idx_provider_updated_by ON provider (updated_by)');
+
+        // Index sur les FK des referentiels comptables (Postgres n indexe pas
+        // automatiquement les colonnes portant une FOREIGN KEY).
+        $this->addSql('CREATE INDEX idx_provider_tva_mode_id ON provider (tva_mode_id)');
+        $this->addSql('CREATE INDEX idx_provider_payment_delay_id ON provider (payment_delay_id)');
+        $this->addSql('CREATE INDEX idx_provider_payment_type_id ON provider (payment_type_id)');
+        $this->addSql('CREATE INDEX idx_provider_bank_id ON provider (bank_id)');
+
+        // Unicite metier partielle : nom de societe insensible a la casse, parmi
+        // les non-archives ET non soft-deletes uniquement (RG-3.10). Pas d index
+        // unique sur siren ni email.
+        $this->addSql(<<<'SQL'
+            CREATE UNIQUE INDEX uq_provider_company_name_active
+            ON provider (LOWER(company_name))
+            WHERE is_archived = FALSE AND deleted_at IS NULL
+            SQL);
+
+        $this->comment('provider', '_table', 'Repertoire prestataires (M3 Technique) — entites archivables (is_archived) et soft-deletables (deleted_at, HP M4). Pas d onglet Information (≠ supplier).');
+        $this->comment('provider', 'id', 'Identifiant interne auto-incremente.');
+        $this->comment('provider', 'company_name', 'Raison sociale du prestataire (stockee en MAJUSCULES). Unique case-insensitive parmi les actifs non archives/non supprimes (uq_provider_company_name_active, RG-3.10).');
+        $this->comment('provider', 'siren', 'Onglet Comptabilite : SIREN (9 chiffres attendus). NON unique — peut etre partage entre etablissements (RG-3.10).');
+        $this->comment('provider', 'account_number', 'Onglet Comptabilite : numero de compte comptable du prestataire.');
+        $this->comment('provider', 'tva_mode_id', 'Onglet Comptabilite : mode de TVA applique — FK -> tva_mode.id (referentiel partage M1), ON DELETE RESTRICT.');
+        $this->comment('provider', 'n_tva', 'Onglet Comptabilite : numero de TVA intracommunautaire.');
+        $this->comment('provider', 'payment_delay_id', 'Onglet Comptabilite : delai de reglement — FK -> payment_delay.id (M1), ON DELETE RESTRICT.');
+        $this->comment('provider', 'payment_type_id', 'Onglet Comptabilite : type de reglement — FK -> payment_type.id (M1), ON DELETE RESTRICT. Pilote RG-3.07 (Banque si VIREMENT) et RG-3.08 (RIB).');
+        $this->comment('provider', 'bank_id', 'Onglet Comptabilite : banque — FK -> bank.id (M1), ON DELETE RESTRICT. Obligatoire ssi payment_type = VIREMENT (RG-3.07), null sinon.');
+        $this->comment('provider', 'is_archived', 'Drapeau fonctionnel d archivage — masque par defaut dans la liste. Bascule via permission technique.providers.archive.');
+        $this->comment('provider', 'archived_at', 'Horodatage de l archivage — pose quand is_archived passe a vrai, remis a null a la restauration.');
+        $this->comment('provider', 'deleted_at', 'Horodatage du soft-delete technique (HP M4) — non expose par l API au M3. Null = ligne active.');
+        $this->addTimestampableBlamableComments('provider');
+    }
+
+    // =================================================================
+    // M2M provider <-> category (type PRESTATAIRE — RG-3.09)
+    // =================================================================
+
+    private function createProviderCategory(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_category (
+                provider_id INT NOT NULL,
+                category_id INT NOT NULL,
+                PRIMARY KEY (provider_id, category_id),
+                CONSTRAINT fk_provider_category_provider
+                    FOREIGN KEY (provider_id) REFERENCES provider (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_category_category
+                    FOREIGN KEY (category_id) REFERENCES category (id) ON DELETE RESTRICT
+            )
+            SQL);
+        $this->addSql('CREATE INDEX idx_provider_category_category ON provider_category (category_id)');
+
+        $this->comment('provider_category', '_table', 'Jointure M2M provider <-> category (Catalog) — categories de type PRESTATAIRE du prestataire, au moins une obligatoire (RG-3.09).');
+        $this->comment('provider_category', 'provider_id', 'FK -> provider.id, ON DELETE CASCADE — prestataire porteur de la categorie.');
+        $this->comment('provider_category', 'category_id', 'FK -> category.id, ON DELETE RESTRICT — categorie de type PRESTATAIRE rattachee au prestataire (RG-3.09).');
+    }
+
+    // =================================================================
+    // M2M provider <-> site (formulaire principal — RG-3.03)
+    // =================================================================
+
+    private function createProviderSite(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_site (
+                provider_id INT NOT NULL,
+                site_id INT NOT NULL,
+                PRIMARY KEY (provider_id, site_id),
+                CONSTRAINT fk_provider_site_provider
+                    FOREIGN KEY (provider_id) REFERENCES provider (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_site_site
+                    FOREIGN KEY (site_id) REFERENCES site (id) ON DELETE RESTRICT
+            )
+            SQL);
+        // Index sur site_id : sert le filtre de cloisonnement par site
+        // (WHERE site = :currentSite, § 2.13).
+        $this->addSql('CREATE INDEX idx_provider_site_site ON provider_site (site_id)');
+
+        $this->comment('provider_site', '_table', 'Jointure M2M provider <-> site (Sites) — sites du prestataire, selecteur du formulaire principal, au moins un obligatoire (RG-3.03). Sert le cloisonnement par site (§ 2.13).');
+        $this->comment('provider_site', 'provider_id', 'FK -> provider.id, ON DELETE CASCADE — prestataire porteur du site.');
+        $this->comment('provider_site', 'site_id', 'FK -> site.id, ON DELETE RESTRICT — site rattache au prestataire (RG-3.03, idx_provider_site_site).');
+    }
+
+    // =================================================================
+    // Sous-collection : contacts (1:n)
+    // =================================================================
+
+    private function createProviderContact(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_contact (
+                id INT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                provider_id INT NOT NULL,
+                first_name VARCHAR(120) DEFAULT NULL,
+                last_name VARCHAR(120) DEFAULT NULL,
+                job_title VARCHAR(120) DEFAULT NULL,
+                phone_primary VARCHAR(20) DEFAULT NULL,
+                phone_secondary VARCHAR(20) DEFAULT NULL,
+                email VARCHAR(180) DEFAULT NULL,
+                position INT DEFAULT 0 NOT NULL,
+                created_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                updated_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                created_by INT DEFAULT NULL,
+                updated_by INT DEFAULT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT chk_provider_contact_name
+                    CHECK (first_name IS NOT NULL OR last_name IS NOT NULL OR job_title IS NOT NULL OR phone_primary IS NOT NULL OR email IS NOT NULL),
+                CONSTRAINT fk_provider_contact_provider
+                    FOREIGN KEY (provider_id) REFERENCES provider (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_contact_created_by
+                    FOREIGN KEY (created_by) REFERENCES "user" (id) ON DELETE SET NULL,
+                CONSTRAINT fk_provider_contact_updated_by
+                    FOREIGN KEY (updated_by) REFERENCES "user" (id) ON DELETE SET NULL
+            )
+            SQL);
+        $this->addSql('CREATE INDEX idx_provider_contact_provider ON provider_contact (provider_id)');
+
+        $this->comment('provider_contact', '_table', 'Contacts d un prestataire (1:n) — au moins un champ rempli parmi prenom/nom/fonction/telephone/email (RG-3.04, chk_provider_contact_name).');
+        $this->comment('provider_contact', 'id', 'Identifiant interne auto-incremente.');
+        $this->comment('provider_contact', 'provider_id', 'FK -> provider.id, ON DELETE CASCADE — prestataire proprietaire du contact.');
+        $this->comment('provider_contact', 'first_name', 'Prenom du contact (capitalise serveur). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).');
+        $this->comment('provider_contact', 'last_name', 'Nom du contact (capitalise serveur). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).');
+        $this->comment('provider_contact', 'job_title', 'Fonction / intitule de poste du contact (≤ 120 caracteres). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).');
+        $this->comment('provider_contact', 'phone_primary', 'Telephone principal du contact — chiffres uniquement (normalisation serveur).');
+        $this->comment('provider_contact', 'phone_secondary', 'Telephone secondaire du contact — chiffres uniquement (normalisation serveur).');
+        $this->comment('provider_contact', 'email', 'Email du contact (lowercase serveur).');
+        $this->comment('provider_contact', 'position', 'Ordre d affichage du contact dans la liste du prestataire (croissant).');
+        $this->addTimestampableBlamableComments('provider_contact');
+    }
+
+    // =================================================================
+    // Sous-collection : adresses (1:n) — SANS address_type / bennes / triage
+    // =================================================================
+
+    private function createProviderAddress(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_address (
+                id INT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                provider_id INT NOT NULL,
+                country VARCHAR(80) DEFAULT 'France' NOT NULL,
+                postal_code VARCHAR(20) NOT NULL,
+                city VARCHAR(120) NOT NULL,
+                street VARCHAR(255) NOT NULL,
+                street_complement VARCHAR(255) DEFAULT NULL,
+                position INT DEFAULT 0 NOT NULL,
+                created_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                updated_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                created_by INT DEFAULT NULL,
+                updated_by INT DEFAULT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT fk_provider_address_provider
+                    FOREIGN KEY (provider_id) REFERENCES provider (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_address_created_by
+                    FOREIGN KEY (created_by) REFERENCES "user" (id) ON DELETE SET NULL,
+                CONSTRAINT fk_provider_address_updated_by
+                    FOREIGN KEY (updated_by) REFERENCES "user" (id) ON DELETE SET NULL
+            )
+            SQL);
+        $this->addSql('CREATE INDEX idx_provider_address_provider ON provider_address (provider_id)');
+
+        $this->comment('provider_address', '_table', 'Adresses d un prestataire (1:n) — >= 1 site rattache (RG-3.05). SANS address_type / bennes / triage_provider (specifiques fournisseur).');
+        $this->comment('provider_address', 'id', 'Identifiant interne auto-incremente.');
+        $this->comment('provider_address', 'provider_id', 'FK -> provider.id, ON DELETE CASCADE — prestataire proprietaire de l adresse.');
+        $this->comment('provider_address', 'country', 'Pays de l adresse — defaut France.');
+        $this->comment('provider_address', 'postal_code', 'Code postal (4-5 chiffres attendus) — declenche l autocompletion ville via l API BAN cote front (RG-3.06).');
+        $this->comment('provider_address', 'city', 'Ville — preremplie depuis le code postal via API BAN cote front.');
+        $this->comment('provider_address', 'street', 'Numero et voie de l adresse.');
+        $this->comment('provider_address', 'street_complement', 'Complement d adresse (etage, batiment...) — optionnel.');
+        $this->comment('provider_address', 'position', 'Ordre d affichage de l adresse dans la liste du prestataire (croissant).');
+        $this->addTimestampableBlamableComments('provider_address');
+    }
+
+    // =================================================================
+    // Jointures de provider_address (M2M)
+    // =================================================================
+
+    private function createProviderAddressJoinTables(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_address_site (
+                provider_address_id INT NOT NULL,
+                site_id INT NOT NULL,
+                PRIMARY KEY (provider_address_id, site_id),
+                CONSTRAINT fk_provider_address_site_address
+                    FOREIGN KEY (provider_address_id) REFERENCES provider_address (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_address_site_site
+                    FOREIGN KEY (site_id) REFERENCES site (id) ON DELETE RESTRICT
+            )
+            SQL);
+        $this->comment('provider_address_site', '_table', 'Jointure M2M provider_address <-> site (Sites) — sites rattaches a l adresse (>= 1 obligatoire, RG-3.05).');
+        $this->comment('provider_address_site', 'provider_address_id', 'FK -> provider_address.id, ON DELETE CASCADE — adresse concernee.');
+        $this->comment('provider_address_site', 'site_id', 'FK -> site.id, ON DELETE RESTRICT — site rattache a l adresse.');
+
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_address_contact (
+                provider_address_id INT NOT NULL,
+                provider_contact_id INT NOT NULL,
+                PRIMARY KEY (provider_address_id, provider_contact_id),
+                CONSTRAINT fk_provider_address_contact_address
+                    FOREIGN KEY (provider_address_id) REFERENCES provider_address (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_address_contact_contact
+                    FOREIGN KEY (provider_contact_id) REFERENCES provider_contact (id) ON DELETE CASCADE
+            )
+            SQL);
+        $this->comment('provider_address_contact', '_table', 'Jointure M2M provider_address <-> provider_contact — contacts associes a une adresse.');
+        $this->comment('provider_address_contact', 'provider_address_id', 'FK -> provider_address.id, ON DELETE CASCADE — adresse concernee.');
+        $this->comment('provider_address_contact', 'provider_contact_id', 'FK -> provider_contact.id, ON DELETE CASCADE — contact associe a l adresse.');
+
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_address_category (
+                provider_address_id INT NOT NULL,
+                category_id INT NOT NULL,
+                PRIMARY KEY (provider_address_id, category_id),
+                CONSTRAINT fk_provider_address_category_address
+                    FOREIGN KEY (provider_address_id) REFERENCES provider_address (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_address_category_category
+                    FOREIGN KEY (category_id) REFERENCES category (id) ON DELETE RESTRICT
+            )
+            SQL);
+        $this->comment('provider_address_category', '_table', 'Jointure M2M provider_address <-> category — categories d adresse de type PRESTATAIRE (RG-3.09).');
+        $this->comment('provider_address_category', 'provider_address_id', 'FK -> provider_address.id, ON DELETE CASCADE — adresse concernee.');
+        $this->comment('provider_address_category', 'category_id', 'FK -> category.id, ON DELETE RESTRICT — categorie d adresse de type PRESTATAIRE (RG-3.09).');
+    }
+
+    // =================================================================
+    // Sous-collection : RIB (1:n)
+    // =================================================================
+
+    private function createProviderRib(): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE provider_rib (
+                id INT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                provider_id INT NOT NULL,
+                label VARCHAR(120) NOT NULL,
+                bic VARCHAR(20) NOT NULL,
+                iban VARCHAR(34) NOT NULL,
+                position INT DEFAULT 0 NOT NULL,
+                created_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                updated_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                created_by INT DEFAULT NULL,
+                updated_by INT DEFAULT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT fk_provider_rib_provider
+                    FOREIGN KEY (provider_id) REFERENCES provider (id) ON DELETE CASCADE,
+                CONSTRAINT fk_provider_rib_created_by
+                    FOREIGN KEY (created_by) REFERENCES "user" (id) ON DELETE SET NULL,
+                CONSTRAINT fk_provider_rib_updated_by
+                    FOREIGN KEY (updated_by) REFERENCES "user" (id) ON DELETE SET NULL
+            )
+            SQL);
+        $this->addSql('CREATE INDEX idx_provider_rib_provider ON provider_rib (provider_id)');
+
+        $this->comment('provider_rib', '_table', 'Coordonnees bancaires d un prestataire (1:n) — >= 1 RIB attendu selon le type de reglement (RG-3.08). Tous les champs audites (pas d AuditIgnore).');
+        $this->comment('provider_rib', 'id', 'Identifiant interne auto-incremente.');
+        $this->comment('provider_rib', 'provider_id', 'FK -> provider.id, ON DELETE CASCADE — prestataire proprietaire du RIB.');
+        $this->comment('provider_rib', 'label', 'Libelle du RIB (ex: compte principal).');
+        $this->comment('provider_rib', 'bic', 'Code BIC/SWIFT de la banque (8 ou 11 caracteres).');
+        $this->comment('provider_rib', 'iban', 'IBAN du compte (≤ 34 caracteres).');
+        $this->comment('provider_rib', 'position', 'Ordre d affichage du RIB dans la liste du prestataire (croissant).');
+        $this->addTimestampableBlamableComments('provider_rib');
+    }
+
+    // =================================================================
+    // Helpers
+    // =================================================================
+
+    /**
+     * Pose les 4 commentaires standardises Timestampable/Blamable sur une table,
+     * en reutilisant le catalogue partage (source unique, cf. ERP-67). Seul le
+     * tableau statique des textes est reutilise — aucune dependance a l etat DB.
+     */
+    private function addTimestampableBlamableComments(string $table): void
+    {
+        foreach (ColumnCommentsCatalog::timestampableBlamableComments() as $column => $description) {
+            $this->comment($table, $column, $description);
+        }
+    }
+
+    /**
+     * Emet un `COMMENT ON TABLE` (colonne speciale `_table`) ou
+     * `COMMENT ON COLUMN` en dollar-quoting Postgres ($_$...$_$) pour eviter
+     * tout echappement d apostrophe.
+     */
+    private function comment(string $table, string $column, string $description): void
+    {
+        $quotedTable = '"'.str_replace('"', '""', $table).'"';
+
+        if ('_table' === $column) {
+            $this->addSql(sprintf('COMMENT ON TABLE %s IS $_$%s$_$', $quotedTable, $description));
+
+            return;
+        }
+
+        $this->addSql(sprintf(
+            'COMMENT ON COLUMN %s.%s IS $_$%s$_$',
+            $quotedTable,
+            '"'.str_replace('"', '""', $column).'"',
+            $description,
+        ));
+    }
+}

migrations/Version20260612160000.php

@@ -0,0 +1,120 @@
+<?php
+
+declare(strict_types=1);
+
+namespace DoctrineMigrations;
+
+use Doctrine\DBAL\Schema\Schema;
+use Doctrine\Migrations\AbstractMigration;
+
+/**
+ * ERP-149 (Module Transport) : referentiel des codes IDTF (regimes de nettoyage
+ * transport).
+ *
+ * Tables alimentees par la commande `app:idtf:sync` (parsing de l'export Excel
+ * icrt-idtf.com, upsert sur (schema, idtf_number) + soft-delete + journal).
+ * Aucune FK cross-module : migration au namespace racine `DoctrineMigrations`.
+ */
+final class Version20260612160000 extends AbstractMigration
+{
+    public function getDescription(): string
+    {
+        return 'ERP-149 : tables idtf_product + idtf_sync_log (referentiel codes IDTF, synchro console depuis l\'export Excel).';
+    }
+
+    public function up(Schema $schema): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE idtf_product (
+                id BIGINT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                idtf_number INTEGER NOT NULL,
+                schema VARCHAR(8) NOT NULL,
+                product_group VARCHAR(255) DEFAULT NULL,
+                name TEXT NOT NULL,
+                cleaning_regime VARCHAR(64) NOT NULL,
+                important_requirements TEXT DEFAULT NULL,
+                mandatory_date DATE DEFAULT NULL,
+                related_products TEXT DEFAULT NULL,
+                formula VARCHAR(255) DEFAULT NULL,
+                eural_code VARCHAR(64) DEFAULT NULL,
+                cas_numbers JSONB DEFAULT '[]' NOT NULL,
+                footnotes TEXT DEFAULT NULL,
+                source_export_date DATE NOT NULL,
+                is_active BOOLEAN DEFAULT TRUE NOT NULL,
+                last_synced_at TIMESTAMP(6) WITHOUT TIME ZONE NOT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT uq_idtf_product_schema_number UNIQUE (schema, idtf_number),
+                CONSTRAINT chk_idtf_product_schema CHECK (schema IN ('road', 'water'))
+            )
+            SQL);
+        $this->addSql('CREATE INDEX idx_idtf_product_active ON idtf_product (schema, is_active)');
+
+        $this->comment('idtf_product', '_table', "Referentiel des codes IDTF (marchandise + regime de nettoyage transport), synchronise depuis l'export Excel icrt-idtf.com.");
+        $this->comment('idtf_product', 'id', 'Cle technique auto-incrementee.');
+        $this->comment('idtf_product', 'idtf_number', 'Numero IDTF de la marchandise (identifiant metier source). Unique par schema.');
+        $this->comment('idtf_product', 'schema', "Mode de transport / schema IDTF : 'road' (routier) ou 'water' (fluvial). Discriminant d'unicite avec idtf_number.");
+        $this->comment('idtf_product', 'product_group', "Groupe de produit (colonne Product Group de l'export). Nullable.");
+        $this->comment('idtf_product', 'name', "Nom de la marchandise (libelle FR de l'export).");
+        $this->comment('idtf_product', 'cleaning_regime', 'Regime de nettoyage minimal exige (A, B, C, Interdit, ...).');
+        $this->comment('idtf_product', 'important_requirements', 'Exigences importantes associees. Nullable.');
+        $this->comment('idtf_product', 'mandatory_date', "Date d'application obligatoire du regime (convertie depuis dd-mm-yyyy). Nullable.");
+        $this->comment('idtf_product', 'related_products', 'Produits apparentes (texte libre). Nullable.');
+        $this->comment('idtf_product', 'formula', 'Formule chimique de la marchandise. Nullable.');
+        $this->comment('idtf_product', 'eural_code', 'Code EURAL (dechet) associe. Nullable.');
+        $this->comment('idtf_product', 'cas_numbers', 'Liste des numeros CAS (JSONB), eclatee depuis la cellule "Numero CAS" separee par ";". Tableau vide si absent.');
+        $this->comment('idtf_product', 'footnotes', "Annotations / notes de bas de page de l'export. Nullable.");
+        $this->comment('idtf_product', 'source_export_date', 'Date d\'export du fichier source (preambule "Export date:").');
+        $this->comment('idtf_product', 'is_active', 'Faux = ligne absente du dernier export (soft-delete). Toute ligne non revue par le dernier run passe a FALSE.');
+        $this->comment('idtf_product', 'last_synced_at', 'Horodatage du run de synchro ayant vu cette ligne en dernier (soft-delete : last_synced_at < run courant).');
+
+        $this->addSql(<<<'SQL'
+            CREATE TABLE idtf_sync_log (
+                id BIGINT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                schema VARCHAR(8) NOT NULL,
+                export_date DATE NOT NULL,
+                rows_total INT NOT NULL,
+                rows_upserted INT NOT NULL,
+                rows_deactivated INT NOT NULL,
+                created_at TIMESTAMP(6) WITHOUT TIME ZONE DEFAULT NOW() NOT NULL,
+                PRIMARY KEY (id)
+            )
+            SQL);
+
+        $this->comment('idtf_sync_log', '_table', 'Journal des synchronisations IDTF (une ligne par run de la commande app:idtf:sync).');
+        $this->comment('idtf_sync_log', 'id', 'Cle technique auto-incrementee.');
+        $this->comment('idtf_sync_log', 'schema', "Mode de transport synchronise : 'road' ou 'water'.");
+        $this->comment('idtf_sync_log', 'export_date', "Date d'export du fichier source traite par ce run.");
+        $this->comment('idtf_sync_log', 'rows_total', 'Nombre de lignes exploitables lues dans le fichier.');
+        $this->comment('idtf_sync_log', 'rows_upserted', 'Nombre de lignes inserees ou mises a jour.');
+        $this->comment('idtf_sync_log', 'rows_deactivated', 'Nombre de lignes passees a is_active=false (absentes de cet export).');
+        $this->comment('idtf_sync_log', 'created_at', 'Horodatage de fin du run (insertion du journal).');
+    }
+
+    public function down(Schema $schema): void
+    {
+        $this->addSql('DROP TABLE IF EXISTS idtf_sync_log');
+        $this->addSql('DROP TABLE IF EXISTS idtf_product');
+    }
+
+    /**
+     * Pose un COMMENT ON TABLE/COLUMN en dollar-quoting Postgres ($_$...$_$)
+     * pour eviter tout echappement d'apostrophes dans les descriptions.
+     */
+    private function comment(string $table, string $column, string $description): void
+    {
+        $quotedTable = '"'.str_replace('"', '""', $table).'"';
+
+        if ('_table' === $column) {
+            $this->addSql(sprintf('COMMENT ON TABLE %s IS $_$%s$_$', $quotedTable, $description));
+
+            return;
+        }
+
+        $this->addSql(sprintf(
+            'COMMENT ON COLUMN %s.%s IS $_$%s$_$',
+            $quotedTable,
+            '"'.str_replace('"', '""', $column).'"',
+            $description,
+        ));
+    }
+}

migrations/Version20260615120000.php

@@ -0,0 +1,50 @@
+<?php
+
+declare(strict_types=1);
+
+namespace DoctrineMigrations;
+
+use Doctrine\DBAL\Schema\Schema;
+use Doctrine\Migrations\AbstractMigration;
+
+/**
+ * RG-3.04 (correctif) — aligne la regle de validite d'un contact prestataire sur
+ * le M1/M2 : au moins le PRENOM OU le NOM (et non plus « un champ quelconque parmi
+ * prenom/nom/fonction/telephone/email »). Remplace le CHECK chk_provider_contact_name
+ * et met a jour les commentaires de colonnes. La garde applicative
+ * (ProviderContactProcessor::validateName) est alignee dans le meme commit.
+ *
+ * Placee au namespace racine DoctrineMigrations (et non en modulaire Technique) :
+ * elle ALTERE une table creee par une migration racine (Version20260612100000) ;
+ * le tri par version au sein du meme namespace garantit qu'elle joue APRES l'init
+ * (cf. CLAUDE.md regle 11 — le tri cross-namespace casserait l'ordre sur base vide).
+ */
+final class Version20260615120000 extends AbstractMigration
+{
+    public function getDescription(): string
+    {
+        return 'RG-3.04 : contact prestataire valide si prenom OU nom (alignement M1/M2) — CHECK chk_provider_contact_name.';
+    }
+
+    public function up(Schema $schema): void
+    {
+        $this->addSql('ALTER TABLE provider_contact DROP CONSTRAINT chk_provider_contact_name');
+        $this->addSql('ALTER TABLE provider_contact ADD CONSTRAINT chk_provider_contact_name CHECK (first_name IS NOT NULL OR last_name IS NOT NULL)');
+
+        $this->addSql('COMMENT ON TABLE provider_contact IS $_$Contacts d un prestataire (1:n) — au moins le prenom OU le nom rempli (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.first_name IS $_$Prenom du contact (capitalise serveur). Prenom OU nom obligatoire (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.last_name IS $_$Nom du contact (capitalise serveur). Prenom OU nom obligatoire (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.job_title IS $_$Fonction / intitule de poste du contact (≤ 120 caracteres). Facultatif — ne suffit plus a valider le contact (RG-3.04).$_$');
+    }
+
+    public function down(Schema $schema): void
+    {
+        $this->addSql('ALTER TABLE provider_contact DROP CONSTRAINT chk_provider_contact_name');
+        $this->addSql('ALTER TABLE provider_contact ADD CONSTRAINT chk_provider_contact_name CHECK (first_name IS NOT NULL OR last_name IS NOT NULL OR job_title IS NOT NULL OR phone_primary IS NOT NULL OR email IS NOT NULL)');
+
+        $this->addSql('COMMENT ON TABLE provider_contact IS $_$Contacts d un prestataire (1:n) — au moins un champ rempli parmi prenom/nom/fonction/telephone/email (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.first_name IS $_$Prenom du contact (capitalise serveur). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.last_name IS $_$Nom du contact (capitalise serveur). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).$_$');
+        $this->addSql('COMMENT ON COLUMN provider_contact.job_title IS $_$Fonction / intitule de poste du contact (≤ 120 caracteres). Au moins un champ du contact requis (RG-3.04, chk_provider_contact_name).$_$');
+    }
+}

migrations/Version20260615130000.php

@@ -0,0 +1,86 @@
+<?php
+
+declare(strict_types=1);
+
+namespace DoctrineMigrations;
+
+use Doctrine\DBAL\Schema\Schema;
+use Doctrine\Migrations\AbstractMigration;
+
+/**
+ * ERP-154 — Infra d'upload de fichiers generique et reutilisable (src/Shared).
+ *
+ * Cree la table `uploaded_document` : reference technique d'un fichier televerse
+ * (PDF / image), gere par le service Shared\Infrastructure\Upload\FileUploader.
+ * La « Decharge » du M4 transporteurs en sera le premier consommateur, mais ce
+ * ticket ne touche AUCUN module : la table vit cote Shared.
+ *
+ * Caracteristiques :
+ *  - Document IMMUABLE : pas d'onglet edition, pas de updated_at / updated_by.
+ *    Seules les colonnes created_at (UTC, remplie par le FileUploader via
+ *    l'horloge injectee) et created_by (auteur HTTP, null hors HTTP) tracent
+ *    l'origine. C'est pourquoi l'entite Shared n'implemente PAS
+ *    Timestampable/Blamable (qui imposeraient les 4 colonnes).
+ *  - checksum sha256 (64 caracteres hex) : controle d'integrite + future
+ *    deduplication eventuelle (hors scope ici).
+ *
+ * Namespace racine `DoctrineMigrations` (regle ABSOLUE Starseed n°11) et non
+ * modulaire : la table porte une FK cross-module vers "user" (created_by). Le
+ * tri par version au sein du namespace racine garantit qu'elle joue APRES la
+ * creation de "user" sur base vide.
+ *
+ * Style DDL aligne sur le M1/M2/M3 : `INT GENERATED BY DEFAULT AS IDENTITY` et
+ * `TIMESTAMP(0) WITHOUT TIME ZONE` (mapping ORM `datetime_immutable`), pour que
+ * `schema:update --force` reste un no-op une fois l'entite mappee.
+ *
+ * COMMENT ON COLUMN inline (regle ABSOLUE n°12) : chaque colonne porte sa
+ * description ici. La table est aussi ajoutee a `ColumnCommentsCatalog` car
+ * l'entite UploadedDocument existe des ce ticket — `app:apply-column-comments`
+ * du `test-db-setup` rejoue donc ces COMMENT apres le `schema:update --force`.
+ */
+final class Version20260615130000 extends AbstractMigration
+{
+    public function getDescription(): string
+    {
+        return 'ERP-154 : table uploaded_document (infra upload generique Shared) — fichier televerse immuable, checksum sha256.';
+    }
+
+    public function up(Schema $schema): void
+    {
+        $this->addSql(<<<'SQL'
+            CREATE TABLE uploaded_document (
+                id INT GENERATED BY DEFAULT AS IDENTITY NOT NULL,
+                original_filename VARCHAR(255) NOT NULL,
+                stored_path VARCHAR(512) NOT NULL,
+                mime_type VARCHAR(100) NOT NULL,
+                size_bytes INT NOT NULL,
+                checksum VARCHAR(64) NOT NULL,
+                created_at TIMESTAMP(0) WITHOUT TIME ZONE NOT NULL,
+                created_by INT DEFAULT NULL,
+                PRIMARY KEY (id),
+                CONSTRAINT fk_uploaded_document_created_by
+                    FOREIGN KEY (created_by) REFERENCES "user" (id) ON DELETE SET NULL
+            )
+            SQL);
+
+        // Postgres n'indexe pas automatiquement les colonnes de FK.
+        $this->addSql('CREATE INDEX idx_uploaded_document_created_by ON uploaded_document (created_by)');
+        // Recherche d'integrite / future deduplication par empreinte sha256.
+        $this->addSql('CREATE INDEX idx_uploaded_document_checksum ON uploaded_document (checksum)');
+
+        $this->addSql('COMMENT ON TABLE uploaded_document IS $_$Fichiers televerses (infra generique Shared, ERP-154) — documents immuables (PDF / images), 1er consommateur la Decharge M4.$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.id IS $_$Identifiant interne auto-incremente.$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.original_filename IS $_$Nom de fichier d origine fourni par le client (≤ 255) — metadonnee d affichage uniquement, jamais utilise pour le stockage disque.$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.stored_path IS $_$Chemin relatif du fichier sous var/uploads (ex: 2026/06/<hash>.pdf) — nom genere aleatoirement, jamais le nom client.$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.mime_type IS $_$Type MIME detecte SERVER-SIDE via getMimeType (jamais getClientMimeType, spoofable) — borne a la whitelist FileUploader (PDF + images).$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.size_bytes IS $_$Taille du fichier en octets — bornee par FileUploader::MAX_SIZE_BYTES.$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.checksum IS $_$Empreinte SHA-256 du contenu (64 caracteres hex) — controle d integrite + deduplication eventuelle (hors scope).$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.created_at IS $_$Horodatage UTC du televersement — rempli par FileUploader via l horloge injectee (pas via TimestampableBlamableSubscriber).$_$');
+        $this->addSql('COMMENT ON COLUMN uploaded_document.created_by IS $_$ID de l utilisateur ayant televerse le fichier — null hors HTTP (CLI, fixture). FK -> "user".id, ON DELETE SET NULL.$_$');
+    }
+
+    public function down(Schema $schema): void
+    {
+        $this->addSql('DROP TABLE IF EXISTS uploaded_document');
+    }
+}

src/Module/Catalog/Infrastructure/DataFixtures/CategoryFixtures.php

@@ -17,7 +17,9 @@ use Symfony\Component\DependencyInjection\Attribute\Autowire;
  * Fixtures dev/test du module Catalog : categories de demonstration rattachees
  * a leur CategoryType. Le type CLIENT porte ~11 categories clients (refonte
  * taxonomie ERP-78) ; le type FOURNISSEUR porte les categories fournisseurs
- * (ERP-84 : Negociant, Cooperative...). Chaque categorie porte un `code` stable.
+ * (ERP-84 : Negociant, Cooperative...) ; le type PRESTATAIRE porte les categories
+ * prestataires (M3 1.1 : Maintenance industrielle, Nettoyage, Transport). Chaque
+ * categorie porte un `code` stable.
  * Alimente le repertoire clients (ClientFixtures, module Commercial) avec des
  * donnees realistes couvrant RG-1.03 (codes DISTRIBUTEUR / COURTIER) et RG-1.29
  * (codes interdits sur adresse), et le multi-select Categorie fournisseur (M2).
@@ -71,6 +73,11 @@ class CategoryFixtures extends Fixture implements DependentFixtureInterface
             'Grossiste'   => 'GROSSISTE',
             'Importateur' => 'IMPORTATEUR',
         ],
+        'PRESTATAIRE' => [
+            'Maintenance industrielle' => 'MAINTENANCE_INDUSTRIELLE',
+            'Nettoyage'                => 'NETTOYAGE',
+            'Transport'                => 'TRANSPORT',
+        ],
     ];
 
     public function __construct(

src/Module/Catalog/Infrastructure/DataFixtures/CategoryTypeFixtures.php

@@ -21,6 +21,10 @@ use Doctrine\Persistence\ObjectManager;
  * taxonomie distincte des fournisseurs (Negociant, Cooperative...). Mirroir de
  * la migration Version20260605120000.
  *
+ * M3 1.1 : ajout du type PRESTATAIRE (code PRESTATAIRE, label « Prestataire »),
+ * taxonomie distincte des prestataires (Maintenance industrielle, Nettoyage,
+ * Transport). Mirroir de la migration Version20260612080000.
+ *
  * Pourquoi une fixture EN PLUS du seed de la migration : `category_type` est une
  * entite managee par l ORM, donc le purger Doctrine la vide avant chaque
  * `doctrine:fixtures:load`. Sans cette fixture, le type CLIENT seede par la
@@ -36,12 +40,13 @@ class CategoryTypeFixtures extends Fixture
 {
     /**
      * Source unique des types : code technique => libelle FR. Doit rester aligne
-     * sur le seed des migrations Version20260602100000 (CLIENT) et
-     * Version20260605120000 (FOURNISSEUR).
+     * sur le seed des migrations Version20260602100000 (CLIENT),
+     * Version20260605120000 (FOURNISSEUR) et Version20260612080000 (PRESTATAIRE).
      */
     private const TYPES = [
         'CLIENT'      => 'Client',
         'FOURNISSEUR' => 'Fournisseur',
+        'PRESTATAIRE' => 'Prestataire',
     ];
 
     public function __construct(

src/Module/Commercial/Domain/Entity/Bank.php

@@ -21,7 +21,8 @@ use Symfony\Component\Serializer\Attribute\Groups;
  * Timestampable/Blamable (referentiel statique whiteliste dans
  * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
  * `client:read:accounting` permet l'embarquement dans la reponse Client ;
- * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0).
+ * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0) ;
+ * `provider:read:accounting` dans la reponse Prestataire (M3, ERP-139 — § 4.0.bis).
  */
 #[ApiResource(
     operations: [
@@ -48,15 +49,15 @@ class Bank
     #[ORM\Id]
     #[ORM\GeneratedValue]
     #[ORM\Column]
-    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?int $id = null;
 
     #[ORM\Column(length: 30)]
-    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $code = null;
 
     #[ORM\Column(length: 120)]
-    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['bank:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $label = null;
 
     #[ORM\Column(options: ['default' => 0])]

src/Module/Commercial/Domain/Entity/Client.php

@@ -22,8 +22,10 @@ use DateTimeImmutable;
 use Doctrine\Common\Collections\ArrayCollection;
 use Doctrine\Common\Collections\Collection;
 use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Context;
 use Symfony\Component\Serializer\Attribute\Groups;
 use Symfony\Component\Serializer\Attribute\SerializedName;
+use Symfony\Component\Serializer\Normalizer\DateTimeNormalizer;
 use Symfony\Component\Validator\Constraints as Assert;
 use Symfony\Component\Validator\Context\ExecutionContextInterface;
 
@@ -94,6 +96,12 @@ use Symfony\Component\Validator\Context\ExecutionContextInterface;
             security: "is_granted('commercial.clients.manage')",
             normalizationContext: ['groups' => ['client:read', 'default:read', 'category:read', 'site:read']],
             denormalizationContext: ['groups' => ['client:write:main']],
+            // Une valeur de mauvais type (ex. date non parsable sur foundedAt)
+            // doit produire un 422 porte sur le champ (violations[].propertyPath,
+            // mappable inline par useFormErrors) plutot qu'un 400 generique non
+            // exploitable. Le front (MalioDate, MUI-44) forwarde la saisie brute
+            // invalide : le back reste la couche autoritaire du format (ERP-101).
+            collectDenormalizationErrors: true,
             processor: ClientProcessor::class,
         ),
         new Patch(
@@ -117,6 +125,10 @@ use Symfony\Component\Validator\Context\ExecutionContextInterface;
                 'client:write:accounting',
                 'client:write:archive',
             ]],
+            // Cf. Post : date non parsable (foundedAt) -> 422 porte sur le champ
+            // au lieu d'un 400 generique. Indispensable au mapping inline du
+            // front (MalioDate MUI-44 forwarde la saisie brute invalide).
+            collectDenormalizationErrors: true,
             provider: ClientProvider::class,
             processor: ClientProcessor::class,
         ),
@@ -206,6 +218,13 @@ class Client implements TimestampableInterface, BlamableInterface
 
     #[ORM\Column(type: 'date_immutable', nullable: true)]
     #[Groups(['client:read', 'client:write:information'])]
+    // Format d'ENTREE strict ISO `Y-m-d` (le `!` remet l'heure a 00:00:00). Sans
+    // ce format, PHP DateTime accepte des formes ambigues : « 12/25/2026 » (que
+    // le front MalioDate juge invalide en JJ/MM/AAAA) serait sinon interprete en
+    // M/J/AAAA -> 25 decembre 2026, et accepte a tort. Avec le format, toute
+    // saisie brute non-ISO (forwardee par MalioDate sur date invalide) echoue la
+    // denormalisation -> 422 sur foundedAt (cf. collectDenormalizationErrors).
+    #[Context(denormalizationContext: [DateTimeNormalizer::FORMAT_KEY => '!Y-m-d'])]
     private ?DateTimeImmutable $foundedAt = null;
 
     #[ORM\Column(nullable: true)]

src/Module/Commercial/Domain/Entity/PaymentDelay.php

@@ -21,7 +21,8 @@ use Symfony\Component\Serializer\Attribute\Groups;
  * Timestampable/Blamable (referentiel statique whiteliste dans
  * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
  * `client:read:accounting` permet l'embarquement dans la reponse Client ;
- * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0).
+ * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0) ;
+ * `provider:read:accounting` dans la reponse Prestataire (M3, ERP-139 — § 4.0.bis).
  */
 #[ApiResource(
     operations: [
@@ -48,15 +49,15 @@ class PaymentDelay
     #[ORM\Id]
     #[ORM\GeneratedValue]
     #[ORM\Column]
-    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?int $id = null;
 
     #[ORM\Column(length: 30)]
-    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $code = null;
 
     #[ORM\Column(length: 120)]
-    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_delay:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $label = null;
 
     #[ORM\Column(options: ['default' => 0])]

src/Module/Commercial/Domain/Entity/PaymentType.php

@@ -24,7 +24,8 @@ use Symfony\Component\Serializer\Attribute\Groups;
  * Timestampable/Blamable (referentiel statique whiteliste dans
  * EntitiesAreTimestampableBlamableTest::EXCLUDED). Le groupe
  * `client:read:accounting` permet l'embarquement dans la reponse Client ;
- * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0).
+ * `supplier:read:accounting` dans la reponse Fournisseur (M2, ERP-92 — § 4.0) ;
+ * `provider:read:accounting` dans la reponse Prestataire (M3, ERP-139 — § 4.0.bis).
  */
 #[ApiResource(
     operations: [
@@ -51,15 +52,15 @@ class PaymentType
     #[ORM\Id]
     #[ORM\GeneratedValue]
     #[ORM\Column]
-    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?int $id = null;
 
     #[ORM\Column(length: 30)]
-    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $code = null;
 
     #[ORM\Column(length: 120)]
-    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['payment_type:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $label = null;
 
     #[ORM\Column(options: ['default' => 0])]

src/Module/Commercial/Domain/Entity/Supplier.php

@@ -22,8 +22,10 @@ use DateTimeImmutable;
 use Doctrine\Common\Collections\ArrayCollection;
 use Doctrine\Common\Collections\Collection;
 use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Context;
 use Symfony\Component\Serializer\Attribute\Groups;
 use Symfony\Component\Serializer\Attribute\SerializedName;
+use Symfony\Component\Serializer\Normalizer\DateTimeNormalizer;
 use Symfony\Component\Validator\Constraints as Assert;
 use Symfony\Component\Validator\Context\ExecutionContextInterface;
 
@@ -94,6 +96,12 @@ use Symfony\Component\Validator\Context\ExecutionContextInterface;
             security: "is_granted('commercial.suppliers.manage')",
             normalizationContext: ['groups' => ['supplier:read', 'default:read', 'category:read', 'site:read']],
             denormalizationContext: ['groups' => ['supplier:write:main']],
+            // Une valeur de mauvais type (ex. date non parsable sur foundedAt)
+            // doit produire un 422 porte sur le champ (violations[].propertyPath,
+            // mappable inline par useFormErrors) plutot qu'un 400 generique. Le
+            // front (MalioDate, MUI-44) forwarde la saisie brute invalide : le
+            // back reste la couche autoritaire du format (ERP-101). Cf. Client.
+            collectDenormalizationErrors: true,
             processor: SupplierProcessor::class,
         ),
         new Patch(
@@ -113,6 +121,10 @@ use Symfony\Component\Validator\Context\ExecutionContextInterface;
                 'supplier:write:accounting',
                 'supplier:write:archive',
             ]],
+            // Cf. Post : date non parsable (foundedAt) -> 422 porte sur le champ
+            // au lieu d'un 400 generique. Indispensable au mapping inline du
+            // front (MalioDate MUI-44 forwarde la saisie brute invalide).
+            collectDenormalizationErrors: true,
             provider: SupplierProvider::class,
             processor: SupplierProcessor::class,
         ),
@@ -187,6 +199,11 @@ class Supplier implements TimestampableInterface, BlamableInterface
 
     #[ORM\Column(type: 'date_immutable', nullable: true)]
     #[Groups(['supplier:read', 'supplier:write:information'])]
+    // Format d'ENTREE strict ISO `Y-m-d` : sans lui, PHP DateTime accepte des
+    // formes ambigues (« 12/25/2026 », jugee invalide par MalioDate en JJ/MM/AAAA,
+    // serait lue en M/J -> 25 decembre et acceptee a tort). Avec le format, toute
+    // saisie brute non-ISO echoue -> 422 sur foundedAt. Cf. Client.
+    #[Context(denormalizationContext: [DateTimeNormalizer::FORMAT_KEY => '!Y-m-d'])]
     private ?DateTimeImmutable $foundedAt = null;
 
     #[ORM\Column(nullable: true)]

src/Module/Commercial/Domain/Entity/TvaMode.php

@@ -25,7 +25,8 @@ use Symfony\Component\Serializer\Attribute\Groups;
  * EntitiesAreTimestampableBlamableTest::EXCLUDED, comme CategoryType). Le
  * groupe `client:read:accounting` permet d'embarquer le mode dans la reponse
  * d'un Client (onglet Comptabilite) au lieu d'un IRI ; `supplier:read:accounting`
- * fait de meme dans la reponse Fournisseur (M2, ERP-92 — sinon IRI nu, § 4.0).
+ * fait de meme dans la reponse Fournisseur (M2, ERP-92 — sinon IRI nu, § 4.0) ;
+ * `provider:read:accounting` dans la reponse Prestataire (M3, ERP-139 — § 4.0.bis).
  */
 #[ApiResource(
     operations: [
@@ -55,15 +56,15 @@ class TvaMode
     #[ORM\Id]
     #[ORM\GeneratedValue]
     #[ORM\Column]
-    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?int $id = null;
 
     #[ORM\Column(length: 30)]
-    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $code = null;
 
     #[ORM\Column(length: 120)]
-    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting'])]
+    #[Groups(['tva_mode:read', 'client:read:accounting', 'supplier:read:accounting', 'provider:read:accounting'])]
     private ?string $label = null;
 
     #[ORM\Column(options: ['default' => 0])]

src/Module/Core/Application/Rbac/RbacSeeder.php

@@ -50,11 +50,19 @@ final class RbacSeeder
     /**
      * Definition unique des 4 roles + matrice § 2.7. La cle est le code du role,
      * `label` le libelle FR affichable, `permissions` la liste des codes RBAC a
-     * attacher (vide pour usine : aucun acces ; admin n'apparait pas car il
-     * bypass tout via isAdmin ; `commercial.clients.archive` et
-     * `commercial.suppliers.archive` ne sont attaches a aucun role metier —
+     * attacher (admin n'apparait pas car il bypass tout via isAdmin ;
+     * `commercial.clients.archive`, `commercial.suppliers.archive` et
+     * `technique.providers.archive` ne sont attaches a aucun role metier —
      * admin seul).
      *
+     * Cloisonnement par site des prestataires (M3 § 2.13) : la permission
+     * `sites.bypass_scope` est attribuee par defaut a Bureau / Compta /
+     * Commerciale (ils voient « Tout », d'apres le docx) ; Usine ne l'a PAS et
+     * reste cloisonnee a son site courant. Admin a le bypass total via isAdmin.
+     * C'est un cloisonnement pilote par user/permission, pas par code de role :
+     * pour cloisonner Bureau/Commerciale, il suffit de retirer la permission
+     * ici, aucun autre code a changer.
+     *
      * @var array<string, array{label: string, permissions: list<string>}>
      */
     private const array MATRIX = [
@@ -66,6 +74,11 @@ final class RbacSeeder
                 // Fournisseurs (M2 § 2.9, ERP-90) : view + manage (hors Comptabilite).
                 'commercial.suppliers.view',
                 'commercial.suppliers.manage',
+                // Prestataires (M3 § 2.9, ERP-138) : view + manage (hors Comptabilite).
+                'technique.providers.view',
+                'technique.providers.manage',
+                // Visibilite multi-site des prestataires (M3 § 2.13) : voit tous les sites.
+                'sites.bypass_scope',
                 // Lecture des referentiels transverses pour les selects client (ERP-102).
                 'catalog.categories.read_ref',
                 'sites.read_ref',
@@ -82,6 +95,13 @@ final class RbacSeeder
                 'commercial.suppliers.view',
                 'commercial.suppliers.accounting.view',
                 'commercial.suppliers.accounting.manage',
+                // Prestataires (M3 § 2.9, ERP-138) : view + onglet Comptabilite uniquement
+                // (pas de manage global -> ne peut pas creer un prestataire).
+                'technique.providers.view',
+                'technique.providers.accounting.view',
+                'technique.providers.accounting.manage',
+                // Visibilite multi-site des prestataires (M3 § 2.13) : voit tous les sites.
+                'sites.bypass_scope',
                 // Lecture des referentiels transverses pour les selects client (ERP-102).
                 'catalog.categories.read_ref',
                 'sites.read_ref',
@@ -96,14 +116,25 @@ final class RbacSeeder
                 // (onglet Comptabilite masque/filtre pour la Commerciale).
                 'commercial.suppliers.view',
                 'commercial.suppliers.manage',
+                // Prestataires (M3 § 2.9, ERP-138) : view + manage, sans accounting
+                // (onglet Comptabilite masque/filtre pour la Commerciale).
+                'technique.providers.view',
+                'technique.providers.manage',
+                // Visibilite multi-site des prestataires (M3 § 2.13) : voit tous les sites.
+                'sites.bypass_scope',
                 // Lecture des referentiels transverses pour les selects client (ERP-102).
                 'catalog.categories.read_ref',
                 'sites.read_ref',
             ],
         ],
         self::ROLE_USINE => [
-            'label'       => 'Usine',
-            'permissions' => [],
+            'label' => 'Usine',
+            // Prestataires (M3 § 2.9 + § 2.13, ERP-138) : view en lecture seule,
+            // SANS `sites.bypass_scope` -> cloisonne aux prestataires de son site
+            // courant. Aucun autre acces metier.
+            'permissions' => [
+                'technique.providers.view',
+            ],
         ],
     ];
 

src/Module/Core/Infrastructure/Console/SeedE2ECommand.php

@@ -203,6 +203,15 @@ final class SeedE2ECommand extends Command
                     'commercial.suppliers.accounting.view',
                     'commercial.suppliers.accounting.manage',
                     'commercial.suppliers.archive',
+                    // Technique — Repertoire prestataires (M3, ERP-138). Meme
+                    // logique : mappe sur le persona "tout". user-full porte deja
+                    // sites.bypass_scope -> voit les prestataires de tous les
+                    // sites (M3 § 2.13). Miroir de personas.ts.
+                    'technique.providers.view',
+                    'technique.providers.manage',
+                    'technique.providers.accounting.view',
+                    'technique.providers.accounting.manage',
+                    'technique.providers.archive',
                 ],
             ],
             [

src/Module/Technique/Application/Service/ProviderFieldNormalizer.php

@@ -0,0 +1,99 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Application\Service;
+
+/**
+ * Normalisation serveur des champs texte d'un Provider / ProviderContact,
+ * appliquee par le ProviderProcessor (et les processors de sous-ressources,
+ * ticket ulterieur M3) AVANT persistance. Cf. spec-back M3 § 2.11 + RG-3.11.
+ * Jumeau de SupplierFieldNormalizer (M2) — duplique volontairement (isolation
+ * Commercial / Technique, decision § 2.1).
+ *
+ * - companyName : UPPERCASE integral (RG-3.11)
+ * - firstName / lastName (personnes, sur ProviderContact) : Title Case (RG-3.11)
+ * - phone* : chiffres uniquement, ex "06.12.34.56.78" -> "0612345678" (RG-3.11).
+ *   Le formatage d'affichage "XX XX XX XX XX" est de la responsabilite du front.
+ * - email : lowercase integral (RG-3.11)
+ *
+ * Toutes les methodes sont null-safe et trim-ent l'entree ; une chaine vide
+ * apres trim devient null (evite de persister "" dans des colonnes nullable).
+ */
+final class ProviderFieldNormalizer
+{
+    /**
+     * Nom de societe en majuscules (RG-3.11). Conserve null tel quel ; une
+     * chaine non vide est trim + upper. Une chaine vide reste "" (champ
+     * obligatoire : c'est l'Assert\NotBlank qui rejette, pas le normalizer).
+     */
+    public function normalizeCompanyName(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        return mb_strtoupper(trim($value), 'UTF-8');
+    }
+
+    /**
+     * Nom/prenom de personne en Title Case (RG-3.11) : "JEAN dupont" ->
+     * "Jean Dupont". Une chaine vide apres trim devient null.
+     */
+    public function normalizePersonName(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        $value = trim($value);
+
+        return '' === $value ? null : mb_convert_case($value, MB_CASE_TITLE, 'UTF-8');
+    }
+
+    /**
+     * Email en minuscules (RG-3.11). Une chaine vide apres trim devient null.
+     */
+    public function normalizeEmail(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        $value = trim($value);
+
+        return '' === $value ? null : mb_strtolower($value, 'UTF-8');
+    }
+
+    /**
+     * Texte libre simplement trim (ex : jobTitle / Fonction du contact). Pas de
+     * changement de casse — on preserve la saisie. Une chaine vide apres trim
+     * devient null (evite de persister "" et de faire passer a tort le garde-fou
+     * RG-3.04 / le CHECK chk_provider_contact_name sur une Fonction vide).
+     */
+    public function normalizeText(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        $value = trim($value);
+
+        return '' === $value ? null : $value;
+    }
+
+    /**
+     * Telephone reduit aux chiffres (RG-3.11) : "06.12.34.56.78" ->
+     * "0612345678". Une valeur sans aucun chiffre devient null.
+     */
+    public function normalizePhone(?string $value): ?string
+    {
+        if (null === $value) {
+            return null;
+        }
+
+        $digits = preg_replace('/\D+/', '', $value) ?? '';
+
+        return '' === $digits ? null : $digits;
+    }
+}

src/Module/Technique/Application/Validator/ProviderAccountingCompletenessValidator.php

@@ -0,0 +1,79 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Application\Validator;
+
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Technique\Domain\Entity\Provider;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Validator metier (spec-front M3 § Onglet Comptabilite — jumeau de
+ * SupplierAccountingCompletenessValidator M2) : a la soumission complete de
+ * l'onglet Comptabilite, les six champs scalaires obligatoires doivent etre
+ * renseignes (SIREN, Numero de compte, Mode de TVA, N de TVA, Delai de reglement,
+ * Type de reglement). La banque reste conditionnelle (RG-3.07) et les RIB aussi
+ * (RG-3.08) : ils ne sont pas couverts ici (Assert\Callback sur l'entite Provider
+ * — validatePaymentTypeConsistency).
+ *
+ * Parti pris (miroir M1/M2) : colonnes nullable en base + validateur contextuel,
+ * plutot qu'un Assert\NotBlank sur l'entite (qui casserait le POST de l'onglet
+ * principal, lequel n'envoie aucun champ comptable).
+ *
+ * Invoque par le ProviderProcessor uniquement quand le payload porte les six
+ * champs (= une validation d'onglet), jamais sur un PATCH ciblant un seul champ.
+ *
+ * Leve une ValidationException (HTTP 422) listant chaque champ manquant, par
+ * coherence avec les violations Symfony rendues par API Platform (mapping inline
+ * front via useFormErrors, ERP-101).
+ */
+final class ProviderAccountingCompletenessValidator
+{
+    public function validate(Provider $provider): void
+    {
+        // Map champ -> valeur courante des champs obligatoires de l'onglet.
+        $fields = [
+            'siren'         => $provider->getSiren(),
+            'accountNumber' => $provider->getAccountNumber(),
+            'tvaMode'       => $provider->getTvaMode(),
+            'nTva'          => $provider->getNTva(),
+            'paymentDelay'  => $provider->getPaymentDelay(),
+            'paymentType'   => $provider->getPaymentType(),
+        ];
+
+        $violations = new ConstraintViolationList();
+
+        foreach ($fields as $property => $value) {
+            if ($this->isMissing($value)) {
+                $violations->add(new ConstraintViolation(
+                    'Ce champ est obligatoire.',
+                    null,
+                    [],
+                    $provider,
+                    $property,
+                    $value,
+                ));
+            }
+        }
+
+        if (count($violations) > 0) {
+            throw new ValidationException($violations);
+        }
+    }
+
+    /**
+     * Une valeur est manquante si null ou, pour une chaine, vide apres trim. Les
+     * references (TvaMode / PaymentDelay / PaymentType) ne sont manquantes que
+     * lorsqu'elles valent null.
+     */
+    private function isMissing(mixed $value): bool
+    {
+        if (null === $value) {
+            return true;
+        }
+
+        return is_string($value) && '' === trim($value);
+    }
+}

src/Module/Technique/Domain/Entity/Provider.php

@@ -0,0 +1,607 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Entity;
+
+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\GetCollection;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Commercial\Domain\Entity\Bank;
+use App\Module\Commercial\Domain\Entity\PaymentDelay;
+use App\Module\Commercial\Domain\Entity\PaymentType;
+use App\Module\Commercial\Domain\Entity\TvaMode;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Processor\ProviderProcessor;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Provider\ProviderProvider;
+use App\Module\Technique\Infrastructure\Doctrine\DoctrineProviderRepository;
+use App\Shared\Domain\Attribute\Auditable;
+use App\Shared\Domain\Contract\BlamableInterface;
+use App\Shared\Domain\Contract\CategoryInterface;
+use App\Shared\Domain\Contract\SiteInterface;
+use App\Shared\Domain\Contract\TimestampableInterface;
+use App\Shared\Domain\Trait\TimestampableBlamableTrait;
+use DateTimeImmutable;
+use Doctrine\Common\Collections\ArrayCollection;
+use Doctrine\Common\Collections\Collection;
+use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Serializer\Attribute\SerializedName;
+use Symfony\Component\Validator\Constraints as Assert;
+use Symfony\Component\Validator\Context\ExecutionContextInterface;
+
+/**
+ * Prestataire (M3 Technique) — entite racine du repertoire prestataires, jumelle
+ * du Fournisseur (M2). Porte le formulaire principal (nom + categories + sites),
+ * l'onglet Comptabilite, le mecanisme d'archivage (is_archived / archived_at) et
+ * le soft-delete technique prepare mais non expose au M3 (deleted_at, HP M4).
+ *
+ * Differences structurantes vs Supplier (cf. spec M3 § 3.1) :
+ *  - PAS d'onglet Information : aucun champ description / competitors / founded_at
+ *    / employees_count / revenue_amount / director_name / profit_amount /
+ *    volume_forecast. Le prestataire est minimal : nom + comptabilite.
+ *  - AJOUT de `sites` (M2M `provider_site`) : sites rattaches DIRECTEMENT au
+ *    prestataire sur le formulaire principal (RG-3.03, >= 1). Nouveau vs supplier
+ *    (qui n'avait des sites que sur l'adresse). Sert aussi le cloisonnement par
+ *    site (§ 2.13, ticket Provider/Processor ERP-134).
+ *
+ * Referentiels comptables (TvaMode / PaymentDelay / PaymentType / Bank) et Site /
+ * Category : consommes en RELATION ORM PARTAGEE (decision Matthieu, § 2.1). Site /
+ * Category passent par les contrats Shared (SiteInterface / CategoryInterface +
+ * resolve_target_entities) comme le fait deja Supplier (regle ABSOLUE n°1). Les 4
+ * referentiels comptables vivent dans le module Commercial et sont references en
+ * direct, faute de contrat Shared dedie (remontee dans Shared tracee HP-M4-2) —
+ * reference de donnees de reference, pas de logique inter-module.
+ *
+ * Contrat de serialisation (RETEX M1, 3 maillons — spec § 4.0) : les read-groups
+ * sont poses ICI (source unique). L'#[ApiResource] cable (ERP-134) le ProviderProvider
+ * (liste paginee anti-N+1, exclusion archives, cloisonnement site lecture + detail
+ * 404) et le ProviderProcessor (normalisation, archivage, mode strict par groupe,
+ * cloisonnement site ecriture, 409 doublon). Le groupe provider:read:accounting est
+ * ajoute dynamiquement au contexte par le ProviderReadGroupContextBuilder selon la
+ * permission accounting.view (ERP-134) — jamais pose en dur sur l'operation.
+ *
+ * Audite (#[Auditable], tous champs — y compris RIB embarques, § 2.7) +
+ * Timestampable / Blamable via le trait Shared.
+ */
+#[ApiResource(
+    operations: [
+        new GetCollection(
+            security: "is_granted('technique.providers.view')",
+            // La liste embarque les categories (code/name, groupe category:read) et
+            // les sites du prestataire (name/postalCode, groupe site:read — relation
+            // DIRECTE provider.sites, RG-3.03). Maillon (c) : category:read +
+            // site:read presents dans le contexte. Hydratation anti-N+1 cablee par
+            // le ProviderProvider (cf. DoctrineProviderRepository::hydrateListCollections).
+            normalizationContext: ['groups' => ['provider:read', 'category:read', 'site:read', 'default:read']],
+            provider: ProviderProvider::class,
+        ),
+        new Get(
+            security: "is_granted('technique.providers.view')",
+            // Detail : prestataire + sous-collections embarquees (contacts, adresses
+            // + leurs sites/categories/contacts) + RIB (gates compta). Le groupe
+            // provider:read:accounting est volontairement ABSENT : il est ajoute au
+            // contexte par le ProviderReadGroupContextBuilder selon la permission
+            // accounting.view (parade fuite IBAN/BIC — bug #4 M1).
+            normalizationContext: ['groups' => [
+                'provider:read',
+                'provider:item:read',
+                'category:read',
+                'site:read',
+                'default:read',
+            ]],
+            provider: ProviderProvider::class,
+        ),
+        new Post(
+            security: "is_granted('technique.providers.manage')",
+            normalizationContext: ['groups' => ['provider:read', 'category:read', 'site:read', 'default:read']],
+            denormalizationContext: ['groups' => ['provider:write:main']],
+            processor: ProviderProcessor::class,
+        ),
+        new Patch(
+            // Security elargie : `manage` OU `accounting.manage` — le role Compta n'a
+            // pas `manage` global mais doit pouvoir editer l'onglet Comptabilite d'un
+            // prestataire existant (§ 2.9). Le re-gating onglet par onglet (mode strict
+            // RG-3.15) est porte par le ProviderProcessor (ERP-134).
+            security: "is_granted('technique.providers.manage') or is_granted('technique.providers.accounting.manage')",
+            normalizationContext: ['groups' => ['provider:read', 'category:read', 'site:read', 'default:read']],
+            denormalizationContext: ['groups' => [
+                'provider:write:main',
+                'provider:write:accounting',
+                'provider:write:archive',
+            ]],
+            provider: ProviderProvider::class,
+            processor: ProviderProcessor::class,
+        ),
+        // Pas de Delete au M3 (HP M4). Archivage via PATCH { isArchived: true }.
+    ],
+)]
+#[ORM\Entity(repositoryClass: DoctrineProviderRepository::class)]
+#[ORM\Table(name: 'provider')]
+// Index nommes pour matcher la migration (Version20260612100000). L'index unique
+// partiel uq_provider_company_name_active reste possede par la migration : Doctrine
+// ORM ne sait pas exprimer un index fonctionnel (LOWER) + partiel (WHERE) via
+// attribut. Pas de #[ORM\UniqueConstraint] (§ 2.6).
+#[ORM\Index(name: 'idx_provider_is_archived', columns: ['is_archived'])]
+#[ORM\Index(name: 'idx_provider_deleted_at', columns: ['deleted_at'])]
+#[ORM\Index(name: 'idx_provider_created_by', columns: ['created_by'])]
+#[ORM\Index(name: 'idx_provider_updated_by', columns: ['updated_by'])]
+#[Auditable]
+class Provider implements TimestampableInterface, BlamableInterface
+{
+    use TimestampableBlamableTrait;
+
+    /**
+     * RG-3.09 : seules les categories PORTANT ce type sont autorisees sur le
+     * prestataire (entite principale) ET sur ses adresses. Miroir de
+     * ProviderAddress. S'appuie sur CategoryInterface::getCategoryTypeCodes()
+     * (pas d'import du module Catalog — regle ABSOLUE n°1).
+     */
+    private const string REQUIRED_CATEGORY_TYPE_CODE = 'PRESTATAIRE';
+
+    /** Code pivot du type de reglement imposant une banque (RG-3.07). */
+    private const string PAYMENT_TYPE_VIREMENT = 'VIREMENT';
+
+    /** Code pivot du type de reglement imposant au moins un RIB (RG-3.08). */
+    private const string PAYMENT_TYPE_LCR = 'LCR';
+
+    #[ORM\Id]
+    #[ORM\GeneratedValue]
+    #[ORM\Column]
+    #[Groups(['provider:read'])]
+    private ?int $id = null;
+
+    // === Formulaire principal ===
+    #[ORM\Column(length: 180)]
+    #[Assert\NotBlank(message: 'Le nom du prestataire est obligatoire.', normalizer: 'trim')]
+    #[Assert\Length(min: 2, max: 180, minMessage: 'Le nom du prestataire doit comporter au moins {{ limit }} caractères.', maxMessage: 'Le nom du prestataire ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:read', 'provider:write:main'])]
+    private ?string $companyName = null;
+
+    // RG-3.09 : au moins une categorie (Count min 1), de type PRESTATAIRE (verifie
+    // par validateCategoryType). M2M vers Category via le contrat CategoryInterface
+    // (resolve_target_entities -> Category). Embarquee en LISTE ET DETAIL ; maillon
+    // (c) : le contexte inclut 'category:read' pour exposer id/code/name.
+    /** @var Collection<int, CategoryInterface> */
+    #[ORM\ManyToMany(targetEntity: CategoryInterface::class)]
+    #[ORM\JoinTable(name: 'provider_category')]
+    #[ORM\JoinColumn(name: 'provider_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[ORM\InverseJoinColumn(name: 'category_id', referencedColumnName: 'id', onDelete: 'RESTRICT')]
+    #[Assert\Count(min: 1, minMessage: 'Au moins une catégorie est obligatoire.')]
+    #[Groups(['provider:read', 'provider:write:main'])]
+    private Collection $categories;
+
+    // RG-3.03 (SPECIFICITE M3) : au moins un site (Count min 1). Sites rattaches
+    // DIRECTEMENT au prestataire sur le formulaire principal (le fournisseur n'avait
+    // des sites que sur l'adresse). M2M vers Site via le contrat SiteInterface
+    // (resolve_target_entities -> Site). Embarquee en LISTE ET DETAIL ; maillon (c) :
+    // le contexte inclut 'site:read' pour exposer name/postalCode (Site n'a pas de
+    // `code`). L'ecriture cloisonnee par user_site (§ 2.13) est portee par le
+    // ProviderProcessor (ERP-134).
+    /** @var Collection<int, SiteInterface> */
+    #[ORM\ManyToMany(targetEntity: SiteInterface::class)]
+    #[ORM\JoinTable(name: 'provider_site')]
+    #[ORM\JoinColumn(name: 'provider_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[ORM\InverseJoinColumn(name: 'site_id', referencedColumnName: 'id', onDelete: 'RESTRICT')]
+    #[Assert\Count(min: 1, minMessage: 'Au moins un site est obligatoire.')]
+    #[Groups(['provider:read', 'provider:write:main'])]
+    private Collection $sites;
+
+    // === Onglet Comptabilite ===
+    // Lecture conditionnee via le groupe `provider:read:accounting` (ajoute au
+    // contexte par le ProviderProvider / ReadGroupContextBuilder si l'user a
+    // accounting.view — ERP-134). Ecriture via `provider:write:accounting` (le
+    // Processor exige accounting.manage).
+    #[ORM\Column(length: 20, nullable: true)]
+    #[Assert\Length(max: 20, maxMessage: 'Le SIREN ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $siren = null;
+
+    #[ORM\Column(length: 40, nullable: true)]
+    #[Assert\Length(max: 40, maxMessage: 'Le numéro de compte ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $accountNumber = null;
+
+    #[ORM\ManyToOne(targetEntity: TvaMode::class)]
+    #[ORM\JoinColumn(name: 'tva_mode_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?TvaMode $tvaMode = null;
+
+    #[ORM\Column(length: 40, nullable: true)]
+    #[Assert\Length(max: 40, maxMessage: 'Le numéro de TVA ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $nTva = null;
+
+    #[ORM\ManyToOne(targetEntity: PaymentDelay::class)]
+    #[ORM\JoinColumn(name: 'payment_delay_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?PaymentDelay $paymentDelay = null;
+
+    #[ORM\ManyToOne(targetEntity: PaymentType::class)]
+    #[ORM\JoinColumn(name: 'payment_type_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?PaymentType $paymentType = null;
+
+    #[ORM\ManyToOne(targetEntity: Bank::class)]
+    #[ORM\JoinColumn(name: 'bank_id', referencedColumnName: 'id', nullable: true, onDelete: 'RESTRICT')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?Bank $bank = null;
+
+    // === Sous-collections — EMBARQUEES dans le DETAIL (RETEX M1 §2) ===
+    // Maillon (a) : le read-group est porte par le GETTER (getContacts / getAddresses
+    // / getRibs) — sans #[Groups], jamais serialisees. Edition via sous-ressources
+    // (ticket ulterieur M3).
+    /** @var Collection<int, ProviderContact> */
+    #[ORM\OneToMany(mappedBy: 'provider', targetEntity: ProviderContact::class, cascade: ['persist', 'remove'], orphanRemoval: true)]
+    private Collection $contacts;
+
+    /** @var Collection<int, ProviderAddress> */
+    #[ORM\OneToMany(mappedBy: 'provider', targetEntity: ProviderAddress::class, cascade: ['persist', 'remove'], orphanRemoval: true)]
+    private Collection $addresses;
+
+    /** @var Collection<int, ProviderRib> */
+    #[ORM\OneToMany(mappedBy: 'provider', targetEntity: ProviderRib::class, cascade: ['persist', 'remove'], orphanRemoval: true)]
+    private Collection $ribs;
+
+    // === Archive / Soft delete ===
+    // Groupe d'ECRITURE uniquement sur la propriete (denormalisation PATCH archive).
+    // Le groupe de LECTURE est declare sur le getter isArchived() avec
+    // SerializedName('isArchived') : sans cela, Symfony strip le prefixe "is" et
+    // exposerait la cle JSON "archived" — en pratique la cle est totalement DROPPEE
+    // (piege n°3 du M1). Pattern corrige : Groups + SerializedName sur le getter.
+    #[ORM\Column(name: 'is_archived', options: ['default' => false])]
+    #[Groups(['provider:write:archive'])]
+    private bool $isArchived = false;
+
+    #[ORM\Column(type: 'datetime_immutable', nullable: true)]
+    #[Groups(['provider:read'])]
+    private ?DateTimeImmutable $archivedAt = null;
+
+    // Soft delete technique (HP M4) : non expose en lecture/ecriture au M3.
+    #[ORM\Column(type: 'datetime_immutable', nullable: true)]
+    private ?DateTimeImmutable $deletedAt = null;
+
+    public function __construct()
+    {
+        $this->categories = new ArrayCollection();
+        $this->sites      = new ArrayCollection();
+        $this->contacts   = new ArrayCollection();
+        $this->addresses  = new ArrayCollection();
+        $this->ribs       = new ArrayCollection();
+    }
+
+    /**
+     * RG-3.09 : toute categorie posee sur le prestataire doit etre de type
+     * PRESTATAIRE -> sinon 422 avec violation sur le champ `categories`
+     * (propertyPath aligne ERP-101, message FR ERP-107). Miroir de
+     * ProviderAddress::validateCategoryType. S'appuie sur
+     * CategoryInterface::getCategoryTypeCodes() (multi-type — la categorie est
+     * acceptee des qu'elle PORTE le type PRESTATAIRE ; pas d'import du module
+     * Catalog, regle ABSOLUE n°1). Joue avant la base via la validation API
+     * Platform, sur POST (categories ∈ provider:write:main) comme sur PATCH.
+     */
+    #[Assert\Callback]
+    public function validateCategoryType(ExecutionContextInterface $context): void
+    {
+        foreach ($this->categories as $category) {
+            if ($category instanceof CategoryInterface
+                && !in_array(self::REQUIRED_CATEGORY_TYPE_CODE, $category->getCategoryTypeCodes(), true)) {
+                $context->buildViolation('Type de catégorie non autorisé (PRESTATAIRE attendu).')
+                    ->atPath('categories')
+                    ->addViolation()
+                ;
+
+                return;
+            }
+        }
+    }
+
+    /**
+     * RG-3.07 / RG-3.08 : coherence du type de reglement comptable. Comme au M2
+     * (decision figee ERP-89, jumeau Supplier::validatePaymentTypeConsistency),
+     * ces RG inter-champs passent par une contrainte d'entite (Assert\Callback +
+     * ->atPath()) et NON par le ProviderProcessor, afin que chaque 422 porte un
+     * propertyPath exploitable par extractApiViolations (mapping inline sous le
+     * champ, pas un toast — convention ERP-101).
+     *  - RG-3.07 : paymentType = VIREMENT impose une banque -> violation sur `bank`.
+     *  - RG-3.08 : paymentType = LCR impose au moins un RIB -> violation sur
+     *    `paymentType` (les RIB n'ont pas de champ de formulaire ou s'ancrer quand
+     *    la liste est vide ; l'erreur s'affiche donc sous le select « Type de
+     *    règlement », binde cote front). Le 409 sur DELETE du dernier RIB en LCR est
+     *    porte par le ProviderRibProcessor (ERP-135).
+     *
+     * Ces champs vivant dans le groupe d'ecriture comptable (absent du POST, qui
+     * n'expose que provider:write:main), la contrainte ne mord en pratique que sur
+     * le PATCH de l'onglet Comptabilite.
+     */
+    #[Assert\Callback]
+    public function validatePaymentTypeConsistency(ExecutionContextInterface $context): void
+    {
+        $paymentCode = $this->paymentType?->getCode();
+
+        if (self::PAYMENT_TYPE_VIREMENT === $paymentCode && null === $this->bank) {
+            $context->buildViolation('La banque est obligatoire pour le type de règlement Virement.')
+                ->atPath('bank')
+                ->addViolation()
+            ;
+        }
+
+        if (self::PAYMENT_TYPE_LCR === $paymentCode && $this->ribs->isEmpty()) {
+            $context->buildViolation('Au moins un RIB est obligatoire pour le type de règlement LCR.')
+                ->atPath('paymentType')
+                ->addViolation()
+            ;
+        }
+    }
+
+    public function getId(): ?int
+    {
+        return $this->id;
+    }
+
+    public function getCompanyName(): ?string
+    {
+        return $this->companyName;
+    }
+
+    public function setCompanyName(string $companyName): static
+    {
+        $this->companyName = $companyName;
+
+        return $this;
+    }
+
+    /** @return Collection<int, CategoryInterface> */
+    public function getCategories(): Collection
+    {
+        return $this->categories;
+    }
+
+    public function addCategory(CategoryInterface $category): static
+    {
+        if (!$this->categories->contains($category)) {
+            $this->categories->add($category);
+        }
+
+        return $this;
+    }
+
+    public function removeCategory(CategoryInterface $category): static
+    {
+        $this->categories->removeElement($category);
+
+        return $this;
+    }
+
+    /** @return Collection<int, SiteInterface> */
+    public function getSites(): Collection
+    {
+        return $this->sites;
+    }
+
+    public function addSite(SiteInterface $site): static
+    {
+        if (!$this->sites->contains($site)) {
+            $this->sites->add($site);
+        }
+
+        return $this;
+    }
+
+    public function removeSite(SiteInterface $site): static
+    {
+        $this->sites->removeElement($site);
+
+        return $this;
+    }
+
+    public function getSiren(): ?string
+    {
+        return $this->siren;
+    }
+
+    public function setSiren(?string $siren): static
+    {
+        $this->siren = $siren;
+
+        return $this;
+    }
+
+    public function getAccountNumber(): ?string
+    {
+        return $this->accountNumber;
+    }
+
+    public function setAccountNumber(?string $accountNumber): static
+    {
+        $this->accountNumber = $accountNumber;
+
+        return $this;
+    }
+
+    public function getTvaMode(): ?TvaMode
+    {
+        return $this->tvaMode;
+    }
+
+    public function setTvaMode(?TvaMode $tvaMode): static
+    {
+        $this->tvaMode = $tvaMode;
+
+        return $this;
+    }
+
+    public function getNTva(): ?string
+    {
+        return $this->nTva;
+    }
+
+    public function setNTva(?string $nTva): static
+    {
+        $this->nTva = $nTva;
+
+        return $this;
+    }
+
+    public function getPaymentDelay(): ?PaymentDelay
+    {
+        return $this->paymentDelay;
+    }
+
+    public function setPaymentDelay(?PaymentDelay $paymentDelay): static
+    {
+        $this->paymentDelay = $paymentDelay;
+
+        return $this;
+    }
+
+    public function getPaymentType(): ?PaymentType
+    {
+        return $this->paymentType;
+    }
+
+    public function setPaymentType(?PaymentType $paymentType): static
+    {
+        $this->paymentType = $paymentType;
+
+        return $this;
+    }
+
+    public function getBank(): ?Bank
+    {
+        return $this->bank;
+    }
+
+    public function setBank(?Bank $bank): static
+    {
+        $this->bank = $bank;
+
+        return $this;
+    }
+
+    /** @return Collection<int, ProviderContact> */
+    #[Groups(['provider:item:read'])]
+    public function getContacts(): Collection
+    {
+        return $this->contacts;
+    }
+
+    public function addContact(ProviderContact $contact): static
+    {
+        if (!$this->contacts->contains($contact)) {
+            $this->contacts->add($contact);
+            $contact->setProvider($this);
+        }
+
+        return $this;
+    }
+
+    public function removeContact(ProviderContact $contact): static
+    {
+        if ($this->contacts->removeElement($contact) && $contact->getProvider() === $this) {
+            $contact->setProvider(null);
+        }
+
+        return $this;
+    }
+
+    /** @return Collection<int, ProviderAddress> */
+    #[Groups(['provider:item:read'])]
+    public function getAddresses(): Collection
+    {
+        return $this->addresses;
+    }
+
+    public function addAddress(ProviderAddress $address): static
+    {
+        if (!$this->addresses->contains($address)) {
+            $this->addresses->add($address);
+            $address->setProvider($this);
+        }
+
+        return $this;
+    }
+
+    public function removeAddress(ProviderAddress $address): static
+    {
+        if ($this->addresses->removeElement($address) && $address->getProvider() === $this) {
+            $address->setProvider(null);
+        }
+
+        return $this;
+    }
+
+    // Embed gate sur le groupe COMPTABLE (et non provider:item:read comme contacts/
+    // adresses) : provider:read:accounting n'est ajoute au contexte que si l'user a
+    // accounting.view (ProviderProvider / ReadGroupContextBuilder, ERP-134). Resultat :
+    // la cle `ribs` est TOTALEMENT ABSENTE du detail pour un user sans accounting.view
+    // (ex. Commerciale), au meme titre que les scalaires comptables — evite la fuite
+    // IBAN/BIC (piege n°4 M1).
+    /** @return Collection<int, ProviderRib> */
+    #[Groups(['provider:read:accounting'])]
+    public function getRibs(): Collection
+    {
+        return $this->ribs;
+    }
+
+    public function addRib(ProviderRib $rib): static
+    {
+        if (!$this->ribs->contains($rib)) {
+            $this->ribs->add($rib);
+            $rib->setProvider($this);
+        }
+
+        return $this;
+    }
+
+    public function removeRib(ProviderRib $rib): static
+    {
+        if ($this->ribs->removeElement($rib) && $rib->getProvider() === $this) {
+            $rib->setProvider(null);
+        }
+
+        return $this;
+    }
+
+    // Groupe de lecture + nom serialise explicite : sans SerializedName, Symfony
+    // exposerait la cle "archived" (strip du prefixe "is" sur les getters) et
+    // droppait silencieusement la cle du JSON (piege n°3 du M1).
+    #[Groups(['provider:read'])]
+    #[SerializedName('isArchived')]
+    public function isArchived(): bool
+    {
+        return $this->isArchived;
+    }
+
+    public function setIsArchived(bool $isArchived): static
+    {
+        $this->isArchived = $isArchived;
+
+        return $this;
+    }
+
+    public function getArchivedAt(): ?DateTimeImmutable
+    {
+        return $this->archivedAt;
+    }
+
+    public function setArchivedAt(?DateTimeImmutable $archivedAt): static
+    {
+        $this->archivedAt = $archivedAt;
+
+        return $this;
+    }
+
+    public function getDeletedAt(): ?DateTimeImmutable
+    {
+        return $this->deletedAt;
+    }
+
+    public function setDeletedAt(?DateTimeImmutable $deletedAt): static
+    {
+        $this->deletedAt = $deletedAt;
+
+        return $this;
+    }
+}

src/Module/Technique/Domain/Entity/ProviderAddress.php

@@ -0,0 +1,370 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Entity;
+
+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Processor\ProviderAddressProcessor;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Provider\ProviderSubResourceItemProvider;
+use App\Shared\Domain\Attribute\Auditable;
+use App\Shared\Domain\Contract\BlamableInterface;
+use App\Shared\Domain\Contract\CategoryInterface;
+use App\Shared\Domain\Contract\SiteInterface;
+use App\Shared\Domain\Contract\TimestampableInterface;
+use App\Shared\Domain\Trait\TimestampableBlamableTrait;
+use Doctrine\Common\Collections\ArrayCollection;
+use Doctrine\Common\Collections\Collection;
+use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;
+use Symfony\Component\Validator\Context\ExecutionContextInterface;
+
+/**
+ * Adresse d'un prestataire (1:n) — onglet Adresse. Version SIMPLIFIEE de
+ * SupplierAddress : PAS de address_type (PROSPECT/DEPART/RENDU), PAS de bennes,
+ * PAS de triage_provider (champs specifiques fournisseur). Champs : country /
+ * postal_code / city / street / street_complement + M2M sites / contacts /
+ * categories.
+ *
+ * Relations M2M :
+ *  - sites : SiteInterface (module Sites) via resolve_target_entities — au moins
+ *    un site obligatoire (RG-3.05, Assert\Count). Site n'a pas de `code`.
+ *  - contacts : ProviderContact (meme module).
+ *  - categories : CategoryInterface (module Catalog) via resolve_target_entities —
+ *    type PRESTATAIRE attendu (RG-3.09, Assert\Callback validateCategoryType).
+ *
+ * Embarquee sous `provider.addresses` au detail (groupe provider:item:read,
+ * maillon (a)).
+ *
+ * Sous-ressource API (ERP-135, spec § 4.5) :
+ *  - POST /api/providers/{providerId}/addresses : creation rattachee au prestataire
+ *    parent (Link toProperty 'provider'), security technique.providers.manage.
+ *  - PATCH / DELETE /api/provider_addresses/{id} : security technique.providers.manage.
+ *  - GET /api/provider_addresses/{id} : lecture unitaire (security view) — la lecture
+ *    courante reste via le parent. Pas de GET collection autonome.
+ * Tout passe par le ProviderAddressProcessor (rattachement parent + cloisonnement
+ * d'ecriture des sites, § 2.13). Les regles RG-3.05/3.06/3.09 sont portees par les
+ * contraintes de l'entite (jouees avant le processor).
+ *
+ * Audite (#[Auditable]) + Timestampable / Blamable.
+ */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('technique.providers.view')",
+            // site:read + category:read : embarquent les Site / Category lies
+            // (maillon (c)) plutot que des IRI nus dans le retour.
+            normalizationContext: ['groups' => ['provider:item:read', 'site:read', 'category:read', 'default:read']],
+            // Cloisonnement par site du prestataire parent (§ 2.13) : 404 hors perimetre.
+            provider: ProviderSubResourceItemProvider::class,
+        ),
+        new Post(
+            uriTemplate: '/providers/{providerId}/addresses',
+            uriVariables: [
+                'providerId' => new Link(fromClass: Provider::class, toProperty: 'provider'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT ProviderAddress ... WHERE provider = :id)
+            // et casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par ProviderAddressProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('technique.providers.manage')",
+            normalizationContext: ['groups' => ['provider:item:read', 'site:read', 'category:read', 'default:read']],
+            denormalizationContext: ['groups' => ['provider:write:addresses']],
+            processor: ProviderAddressProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('technique.providers.manage')",
+            normalizationContext: ['groups' => ['provider:item:read', 'site:read', 'category:read', 'default:read']],
+            denormalizationContext: ['groups' => ['provider:write:addresses']],
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderAddressProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('technique.providers.manage')",
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderAddressProcessor::class,
+        ),
+    ],
+)]
+#[ORM\Entity]
+#[ORM\Table(name: 'provider_address')]
+#[ORM\Index(name: 'idx_provider_address_provider', columns: ['provider_id'])]
+#[Auditable]
+class ProviderAddress implements TimestampableInterface, BlamableInterface, ProviderOwnedInterface
+{
+    use TimestampableBlamableTrait;
+
+    /**
+     * RG-3.09 : seules les categories PORTANT ce type sont autorisees sur une
+     * adresse prestataire. S'appuie sur CategoryInterface::getCategoryTypeCodes()
+     * (pas d'import du module Catalog — regle ABSOLUE n°1).
+     */
+    private const string REQUIRED_CATEGORY_TYPE_CODE = 'PRESTATAIRE';
+
+    #[ORM\Id]
+    #[ORM\GeneratedValue]
+    #[ORM\Column]
+    #[Groups(['provider:item:read'])]
+    private ?int $id = null;
+
+    #[ORM\ManyToOne(targetEntity: Provider::class, inversedBy: 'addresses')]
+    #[ORM\JoinColumn(name: 'provider_id', referencedColumnName: 'id', nullable: false, onDelete: 'CASCADE')]
+    private ?Provider $provider = null;
+
+    #[ORM\Column(length: 80, options: ['default' => 'France'])]
+    #[Assert\Length(max: 80, maxMessage: 'Le pays ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private string $country = 'France';
+
+    // RG-3.06 : code postal a 4 ou 5 chiffres (pas de controle CP/ville serveur).
+    // Le Regex borne deja la longueur (<= 5) : pas de Length redondant (whitelist
+    // ERP-107).
+    #[ORM\Column(length: 20)]
+    #[Assert\NotBlank(message: 'Le code postal est obligatoire.', normalizer: 'trim')]
+    #[Assert\Regex(pattern: '/^[0-9]{4,5}$/', message: 'Le code postal doit comporter 4 ou 5 chiffres.')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private ?string $postalCode = null;
+
+    #[ORM\Column(length: 120)]
+    #[Assert\NotBlank(message: 'La ville est obligatoire.', normalizer: 'trim')]
+    #[Assert\Length(max: 120, maxMessage: 'La ville ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private ?string $city = null;
+
+    #[ORM\Column(length: 255)]
+    #[Assert\NotBlank(message: 'La rue est obligatoire.', normalizer: 'trim')]
+    #[Assert\Length(max: 255, maxMessage: 'La rue ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private ?string $street = null;
+
+    #[ORM\Column(length: 255, nullable: true)]
+    #[Assert\Length(max: 255, maxMessage: 'Le complément d\'adresse ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private ?string $streetComplement = null;
+
+    // Ordre d'affichage de l'adresse (gere serveur, non expose au M3).
+    #[ORM\Column(options: ['default' => 0])]
+    private int $position = 0;
+
+    // RG-3.05 : au moins un site rattache a chaque adresse.
+    /** @var Collection<int, SiteInterface> */
+    #[ORM\ManyToMany(targetEntity: SiteInterface::class)]
+    #[ORM\JoinTable(name: 'provider_address_site')]
+    #[ORM\JoinColumn(name: 'provider_address_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[ORM\InverseJoinColumn(name: 'site_id', referencedColumnName: 'id', onDelete: 'RESTRICT')]
+    #[Assert\Count(min: 1, minMessage: 'Au moins un site est obligatoire.')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private Collection $sites;
+
+    /** @var Collection<int, ProviderContact> */
+    #[ORM\ManyToMany(targetEntity: ProviderContact::class)]
+    #[ORM\JoinTable(name: 'provider_address_contact')]
+    #[ORM\JoinColumn(name: 'provider_address_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[ORM\InverseJoinColumn(name: 'provider_contact_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private Collection $contacts;
+
+    // RG-3.09 : au moins une categorie de type PRESTATAIRE par adresse (le type est
+    // controle par validateCategoryType ; le minimum par Assert\Count, miroir sites).
+    /** @var Collection<int, CategoryInterface> */
+    #[ORM\ManyToMany(targetEntity: CategoryInterface::class)]
+    #[ORM\JoinTable(name: 'provider_address_category')]
+    #[ORM\JoinColumn(name: 'provider_address_id', referencedColumnName: 'id', onDelete: 'CASCADE')]
+    #[ORM\InverseJoinColumn(name: 'category_id', referencedColumnName: 'id', onDelete: 'RESTRICT')]
+    #[Assert\Count(min: 1, minMessage: 'Au moins une catégorie est obligatoire.')]
+    #[Groups(['provider:item:read', 'provider:write:addresses'])]
+    private Collection $categories;
+
+    public function __construct()
+    {
+        $this->sites      = new ArrayCollection();
+        $this->contacts   = new ArrayCollection();
+        $this->categories = new ArrayCollection();
+    }
+
+    /**
+     * RG-3.09 : toute categorie posee sur une adresse prestataire doit etre de
+     * type PRESTATAIRE -> sinon 422 avec violation sur le champ `categories`
+     * (propertyPath aligne ERP-101, message FR ERP-107). S'appuie sur
+     * CategoryInterface::getCategoryTypeCodes() (multi-type — la categorie est
+     * acceptee des qu'elle PORTE le type PRESTATAIRE ; pas d'import du module
+     * Catalog, regle ABSOLUE n°1). Joue avant la base via la validation API Platform.
+     */
+    #[Assert\Callback]
+    public function validateCategoryType(ExecutionContextInterface $context): void
+    {
+        foreach ($this->categories as $category) {
+            if ($category instanceof CategoryInterface
+                && !in_array(self::REQUIRED_CATEGORY_TYPE_CODE, $category->getCategoryTypeCodes(), true)) {
+                $context->buildViolation('Type de catégorie non autorisé (PRESTATAIRE attendu).')
+                    ->atPath('categories')
+                    ->addViolation()
+                ;
+
+                return;
+            }
+        }
+    }
+
+    public function getId(): ?int
+    {
+        return $this->id;
+    }
+
+    public function getProvider(): ?Provider
+    {
+        return $this->provider;
+    }
+
+    public function setProvider(?Provider $provider): static
+    {
+        $this->provider = $provider;
+
+        return $this;
+    }
+
+    public function getCountry(): string
+    {
+        return $this->country;
+    }
+
+    public function setCountry(string $country): static
+    {
+        $this->country = $country;
+
+        return $this;
+    }
+
+    public function getPostalCode(): ?string
+    {
+        return $this->postalCode;
+    }
+
+    public function setPostalCode(?string $postalCode): static
+    {
+        $this->postalCode = $postalCode;
+
+        return $this;
+    }
+
+    public function getCity(): ?string
+    {
+        return $this->city;
+    }
+
+    public function setCity(?string $city): static
+    {
+        $this->city = $city;
+
+        return $this;
+    }
+
+    public function getStreet(): ?string
+    {
+        return $this->street;
+    }
+
+    public function setStreet(?string $street): static
+    {
+        $this->street = $street;
+
+        return $this;
+    }
+
+    public function getStreetComplement(): ?string
+    {
+        return $this->streetComplement;
+    }
+
+    public function setStreetComplement(?string $streetComplement): static
+    {
+        $this->streetComplement = $streetComplement;
+
+        return $this;
+    }
+
+    public function getPosition(): int
+    {
+        return $this->position;
+    }
+
+    public function setPosition(int $position): static
+    {
+        $this->position = $position;
+
+        return $this;
+    }
+
+    /** @return Collection<int, SiteInterface> */
+    public function getSites(): Collection
+    {
+        return $this->sites;
+    }
+
+    public function addSite(SiteInterface $site): static
+    {
+        if (!$this->sites->contains($site)) {
+            $this->sites->add($site);
+        }
+
+        return $this;
+    }
+
+    public function removeSite(SiteInterface $site): static
+    {
+        $this->sites->removeElement($site);
+
+        return $this;
+    }
+
+    /** @return Collection<int, ProviderContact> */
+    public function getContacts(): Collection
+    {
+        return $this->contacts;
+    }
+
+    public function addContact(ProviderContact $contact): static
+    {
+        if (!$this->contacts->contains($contact)) {
+            $this->contacts->add($contact);
+        }
+
+        return $this;
+    }
+
+    public function removeContact(ProviderContact $contact): static
+    {
+        $this->contacts->removeElement($contact);
+
+        return $this;
+    }
+
+    /** @return Collection<int, CategoryInterface> */
+    public function getCategories(): Collection
+    {
+        return $this->categories;
+    }
+
+    public function addCategory(CategoryInterface $category): static
+    {
+        if (!$this->categories->contains($category)) {
+            $this->categories->add($category);
+        }
+
+        return $this;
+    }
+
+    public function removeCategory(CategoryInterface $category): static
+    {
+        $this->categories->removeElement($category);
+
+        return $this;
+    }
+}

src/Module/Technique/Domain/Entity/ProviderContact.php

@@ -0,0 +1,241 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Entity;
+
+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Processor\ProviderContactProcessor;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Provider\ProviderSubResourceItemProvider;
+use App\Shared\Domain\Attribute\Auditable;
+use App\Shared\Domain\Contract\BlamableInterface;
+use App\Shared\Domain\Contract\TimestampableInterface;
+use App\Shared\Domain\Trait\TimestampableBlamableTrait;
+use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;
+
+/**
+ * Contact d'un prestataire (1:n) — onglet Contacts. Un bloc est valide des qu'au
+ * moins un champ est rempli (RG-3.04) : garantie portee par un CHECK BDD
+ * (chk_provider_contact_name) + le ProviderContactProcessor (ERP-135) ; l'entite
+ * reste permissive (tous les champs nullable).
+ *
+ * Embarque sous `provider.contacts` au detail (groupe provider:item:read,
+ * maillon (a) du contrat de serialisation). Maximum 2 telephones
+ * (phonePrimary + phoneSecondary).
+ *
+ * Sous-ressource API (ERP-135, spec § 4.5) :
+ *  - POST /api/providers/{providerId}/contacts : creation rattachee au prestataire
+ *    parent (Link toProperty 'provider'), security technique.providers.manage.
+ *  - PATCH / DELETE /api/provider_contacts/{id} : security technique.providers.manage.
+ *    Le DELETE est physique et libre (pas de garde « dernier contact » au M3 —
+ *    RG-3.12 front-driven, la collection peut rester vide cote back).
+ *  - GET /api/provider_contacts/{id} : lecture unitaire (security view) — la lecture
+ *    courante reste via le parent (le prestataire embarque ses contacts). Pas de GET
+ *    collection autonome.
+ * Tout passe par le ProviderContactProcessor (normalisation RG-3.11, RG-3.04).
+ *
+ * Audite (#[Auditable]) + Timestampable / Blamable (pattern Shared standard).
+ */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('technique.providers.view')",
+            normalizationContext: ['groups' => ['provider:item:read']],
+            // Cloisonnement par site du prestataire parent (§ 2.13) : 404 hors perimetre.
+            provider: ProviderSubResourceItemProvider::class,
+        ),
+        new Post(
+            uriTemplate: '/providers/{providerId}/contacts',
+            uriVariables: [
+                'providerId' => new Link(fromClass: Provider::class, toProperty: 'provider'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT ProviderContact ... WHERE provider = :id)
+            // et casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par ProviderContactProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('technique.providers.manage')",
+            normalizationContext: ['groups' => ['provider:item:read']],
+            denormalizationContext: ['groups' => ['provider:write:contacts']],
+            processor: ProviderContactProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('technique.providers.manage')",
+            normalizationContext: ['groups' => ['provider:item:read']],
+            denormalizationContext: ['groups' => ['provider:write:contacts']],
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderContactProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('technique.providers.manage')",
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderContactProcessor::class,
+        ),
+    ],
+)]
+#[ORM\Entity]
+#[ORM\Table(name: 'provider_contact')]
+#[ORM\Index(name: 'idx_provider_contact_provider', columns: ['provider_id'])]
+#[Auditable]
+class ProviderContact implements TimestampableInterface, BlamableInterface, ProviderOwnedInterface
+{
+    use TimestampableBlamableTrait;
+
+    #[ORM\Id]
+    #[ORM\GeneratedValue]
+    #[ORM\Column]
+    #[Groups(['provider:item:read'])]
+    private ?int $id = null;
+
+    #[ORM\ManyToOne(targetEntity: Provider::class, inversedBy: 'contacts')]
+    #[ORM\JoinColumn(name: 'provider_id', referencedColumnName: 'id', nullable: false, onDelete: 'CASCADE')]
+    private ?Provider $provider = null;
+
+    // RG-3.04 : au moins un champ du contact renseigne (CHECK BDD + Processor). Les
+    // champs restent nullable au niveau ORM.
+    #[ORM\Column(length: 120, nullable: true)]
+    #[Assert\Length(max: 120, maxMessage: 'Le prénom ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $firstName = null;
+
+    #[ORM\Column(length: 120, nullable: true)]
+    #[Assert\Length(max: 120, maxMessage: 'Le nom ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $lastName = null;
+
+    #[ORM\Column(length: 120, nullable: true)]
+    #[Assert\Length(max: 120, maxMessage: 'La fonction ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $jobTitle = null;
+
+    // Pas de validation de format telephone (saisie libre), mais une Assert\Length
+    // calee sur la colonne VARCHAR(20) evite l'erreur Postgres (500 non rattachee au
+    // champ) au profit d'une 422 propre (ERP-107).
+    #[ORM\Column(length: 20, nullable: true)]
+    #[Assert\Length(max: 20, maxMessage: 'Le téléphone ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $phonePrimary = null;
+
+    #[ORM\Column(length: 20, nullable: true)]
+    #[Assert\Length(max: 20, maxMessage: 'Le téléphone secondaire ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $phoneSecondary = null;
+
+    #[ORM\Column(length: 180, nullable: true)]
+    #[Assert\Email(message: 'L\'adresse email n\'est pas valide.')]
+    #[Assert\Length(max: 180, maxMessage: 'L\'email ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:item:read', 'provider:write:contacts'])]
+    private ?string $email = null;
+
+    // Ordre d'affichage du contact (gere serveur, non expose au M3).
+    #[ORM\Column(options: ['default' => 0])]
+    private int $position = 0;
+
+    public function getId(): ?int
+    {
+        return $this->id;
+    }
+
+    public function getProvider(): ?Provider
+    {
+        return $this->provider;
+    }
+
+    public function setProvider(?Provider $provider): static
+    {
+        $this->provider = $provider;
+
+        return $this;
+    }
+
+    public function getFirstName(): ?string
+    {
+        return $this->firstName;
+    }
+
+    public function setFirstName(?string $firstName): static
+    {
+        $this->firstName = $firstName;
+
+        return $this;
+    }
+
+    public function getLastName(): ?string
+    {
+        return $this->lastName;
+    }
+
+    public function setLastName(?string $lastName): static
+    {
+        $this->lastName = $lastName;
+
+        return $this;
+    }
+
+    public function getJobTitle(): ?string
+    {
+        return $this->jobTitle;
+    }
+
+    public function setJobTitle(?string $jobTitle): static
+    {
+        $this->jobTitle = $jobTitle;
+
+        return $this;
+    }
+
+    public function getPhonePrimary(): ?string
+    {
+        return $this->phonePrimary;
+    }
+
+    public function setPhonePrimary(?string $phonePrimary): static
+    {
+        $this->phonePrimary = $phonePrimary;
+
+        return $this;
+    }
+
+    public function getPhoneSecondary(): ?string
+    {
+        return $this->phoneSecondary;
+    }
+
+    public function setPhoneSecondary(?string $phoneSecondary): static
+    {
+        $this->phoneSecondary = $phoneSecondary;
+
+        return $this;
+    }
+
+    public function getEmail(): ?string
+    {
+        return $this->email;
+    }
+
+    public function setEmail(?string $email): static
+    {
+        $this->email = $email;
+
+        return $this;
+    }
+
+    public function getPosition(): int
+    {
+        return $this->position;
+    }
+
+    public function setPosition(int $position): static
+    {
+        $this->position = $position;
+
+        return $this;
+    }
+}

src/Module/Technique/Domain/Entity/ProviderOwnedInterface.php

@@ -0,0 +1,16 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Entity;
+
+/**
+ * Contrat des sous-ressources d'un prestataire (Contact, Adresse, RIB) : chacune
+ * appartient a un Provider parent. Permet au provider decore
+ * ProviderSubResourceItemProvider d'appliquer le cloisonnement par site du parent
+ * (§ 2.13 / RG-3.17) de maniere uniforme, sans connaitre le type concret.
+ */
+interface ProviderOwnedInterface
+{
+    public function getProvider(): ?Provider;
+}

src/Module/Technique/Domain/Entity/ProviderRib.php

@@ -0,0 +1,197 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Entity;
+
+use ApiPlatform\Metadata\ApiResource;
+use ApiPlatform\Metadata\Delete;
+use ApiPlatform\Metadata\Get;
+use ApiPlatform\Metadata\Link;
+use ApiPlatform\Metadata\Patch;
+use ApiPlatform\Metadata\Post;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Processor\ProviderRibProcessor;
+use App\Module\Technique\Infrastructure\ApiPlatform\State\Provider\ProviderSubResourceItemProvider;
+use App\Shared\Domain\Attribute\Auditable;
+use App\Shared\Domain\Contract\BlamableInterface;
+use App\Shared\Domain\Contract\TimestampableInterface;
+use App\Shared\Domain\Trait\TimestampableBlamableTrait;
+use Doctrine\ORM\Mapping as ORM;
+use Symfony\Component\Serializer\Attribute\Groups;
+use Symfony\Component\Validator\Constraints as Assert;
+
+/**
+ * Coordonnees bancaires d'un prestataire (1:n) — onglet Comptabilite. Au moins un
+ * RIB est obligatoire si le type de reglement est LCR (RG-3.08, verifie au
+ * ProviderRibProcessor : refus du DELETE du dernier RIB sous LCR — ERP-135).
+ *
+ * Embarque sous `provider.ribs` UNIQUEMENT si l'user a accounting.view : le
+ * read-group est `provider:read:accounting`, retire du contexte par le
+ * ProviderProvider sinon (gating par omission de cle — evite la fuite IBAN/BIC,
+ * piege n°4 du M1). Aucun #[AuditIgnore] sur iban/bic : l'audit etant admin-only,
+ * la tracabilite RIB est conservee (decision M1 reportee, § 2.7).
+ *
+ * Sous-ressource API (ERP-135, spec § 4.5) — gating comptable renforce :
+ *  - POST /api/providers/{providerId}/ribs : creation rattachee au prestataire
+ *    parent (Link toProperty 'provider'), security technique.providers.accounting.manage.
+ *  - PATCH / DELETE /api/provider_ribs/{id} : security technique.providers.accounting.manage.
+ *    Le DELETE refuse la suppression du dernier RIB sous LCR (RG-3.08, 409).
+ *  - GET /api/provider_ribs/{id} : lecture unitaire, security
+ *    technique.providers.accounting.view (donnees bancaires sensibles). Pas de GET
+ *    collection autonome.
+ * Tout passe par le ProviderRibProcessor (RG-3.08 sur DELETE).
+ *
+ * Validation IBAN/BIC : Assert\Iban + Assert\Bic standard Symfony (pas de controle
+ * banque reelle), avec controle croise pays BIC/IBAN (ibanPropertyPath). Audite
+ * (#[Auditable]) + Timestampable / Blamable.
+ */
+#[ApiResource(
+    operations: [
+        new Get(
+            security: "is_granted('technique.providers.accounting.view')",
+            normalizationContext: ['groups' => ['provider:read:accounting']],
+            // Cloisonnement par site du prestataire parent (§ 2.13) : 404 hors perimetre.
+            provider: ProviderSubResourceItemProvider::class,
+        ),
+        new Post(
+            uriTemplate: '/providers/{providerId}/ribs',
+            uriVariables: [
+                'providerId' => new Link(fromClass: Provider::class, toProperty: 'provider'),
+            ],
+            // read:false : pas de stade lecture du parent. Le Link toProperty
+            // resoudrait l'enfant (SELECT ProviderRib ... WHERE provider = :id) et
+            // casse en NonUniqueResult des >= 2 enfants. Le parent est rattache
+            // manuellement par ProviderRibProcessor::linkParent (404 si absent).
+            read: false,
+            security: "is_granted('technique.providers.accounting.manage')",
+            normalizationContext: ['groups' => ['provider:read:accounting']],
+            denormalizationContext: ['groups' => ['provider:write:accounting']],
+            processor: ProviderRibProcessor::class,
+        ),
+        new Patch(
+            security: "is_granted('technique.providers.accounting.manage')",
+            normalizationContext: ['groups' => ['provider:read:accounting']],
+            denormalizationContext: ['groups' => ['provider:write:accounting']],
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderRibProcessor::class,
+        ),
+        new Delete(
+            security: "is_granted('technique.providers.accounting.manage')",
+            provider: ProviderSubResourceItemProvider::class,
+            processor: ProviderRibProcessor::class,
+        ),
+    ],
+)]
+#[ORM\Entity]
+#[ORM\Table(name: 'provider_rib')]
+#[ORM\Index(name: 'idx_provider_rib_provider', columns: ['provider_id'])]
+#[Auditable]
+class ProviderRib implements TimestampableInterface, BlamableInterface, ProviderOwnedInterface
+{
+    use TimestampableBlamableTrait;
+
+    #[ORM\Id]
+    #[ORM\GeneratedValue]
+    #[ORM\Column]
+    #[Groups(['provider:read:accounting'])]
+    private ?int $id = null;
+
+    #[ORM\ManyToOne(targetEntity: Provider::class, inversedBy: 'ribs')]
+    #[ORM\JoinColumn(name: 'provider_id', referencedColumnName: 'id', nullable: false, onDelete: 'CASCADE')]
+    private ?Provider $provider = null;
+
+    #[ORM\Column(length: 120)]
+    #[Assert\NotBlank(message: 'Le libellé du RIB est obligatoire.', normalizer: 'trim')]
+    #[Assert\Length(max: 120, maxMessage: 'Le libellé ne peut dépasser {{ limit }} caractères.', normalizer: 'trim')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $label = null;
+
+    // Bic/Iban bornent deja le format (et donc la longueur) : pas de Length redondant
+    // calee sur la colonne (auto-exempte du miroir ERP-107). ibanPropertyPath :
+    // controle croise — le pays du BIC (positions 5-6) doit correspondre au pays de
+    // l'IBAN (positions 1-2). Violation portee sur `bic`.
+    #[ORM\Column(length: 20)]
+    #[Assert\NotBlank(message: 'Le BIC est obligatoire.', normalizer: 'trim')]
+    #[Assert\Bic(
+        message: 'Le BIC n\'est pas valide.',
+        ibanPropertyPath: 'iban',
+        ibanMessage: 'Le BIC ne correspond pas au pays de l\'IBAN.',
+    )]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $bic = null;
+
+    #[ORM\Column(length: 34)]
+    #[Assert\NotBlank(message: 'L\'IBAN est obligatoire.', normalizer: 'trim')]
+    #[Assert\Iban(message: 'L\'IBAN n\'est pas valide.')]
+    #[Groups(['provider:read:accounting', 'provider:write:accounting'])]
+    private ?string $iban = null;
+
+    // Ordre d'affichage du RIB (gere serveur, non expose au M3).
+    #[ORM\Column(options: ['default' => 0])]
+    private int $position = 0;
+
+    public function getId(): ?int
+    {
+        return $this->id;
+    }
+
+    public function getProvider(): ?Provider
+    {
+        return $this->provider;
+    }
+
+    public function setProvider(?Provider $provider): static
+    {
+        $this->provider = $provider;
+
+        return $this;
+    }
+
+    public function getLabel(): ?string
+    {
+        return $this->label;
+    }
+
+    public function setLabel(string $label): static
+    {
+        $this->label = $label;
+
+        return $this;
+    }
+
+    public function getBic(): ?string
+    {
+        return $this->bic;
+    }
+
+    public function setBic(string $bic): static
+    {
+        $this->bic = $bic;
+
+        return $this;
+    }
+
+    public function getIban(): ?string
+    {
+        return $this->iban;
+    }
+
+    public function setIban(string $iban): static
+    {
+        $this->iban = $iban;
+
+        return $this;
+    }
+
+    public function getPosition(): int
+    {
+        return $this->position;
+    }
+
+    public function setPosition(int $position): static
+    {
+        $this->position = $position;
+
+        return $this;
+    }
+}

src/Module/Technique/Domain/Repository/ProviderRepositoryInterface.php

@@ -0,0 +1,98 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Domain\Repository;
+
+use App\Module\Technique\Domain\Entity\Provider;
+use Doctrine\ORM\QueryBuilder;
+
+interface ProviderRepositoryInterface
+{
+    public function findById(int $id): ?Provider;
+
+    public function save(Provider $provider): void;
+
+    /**
+     * Restreint un QueryBuilder de liste aux prestataires rattaches au site donne
+     * (relation DIRECTE provider.sites). Sert le cloisonnement par site pilote par
+     * l'utilisateur (RG-3.17, § 2.13) : le ProviderProvider resout le site courant
+     * (CurrentSiteProvider) puis appelle cette methode quand l'user n'a pas
+     * `sites.bypass_scope`. Decouple ainsi la DECISION (Provider, qui connait
+     * l'user) du DQL (repository, qui ne connait que l'id de site).
+     *
+     * Sous-requete IN (et non JOIN sur la M2M) pour ne pas perturber le
+     * DISTINCT / ORDER BY / pagination du QueryBuilder de selection — meme parti
+     * pris que les filtres ?categoryCode / ?siteId. Applique AVANT la pagination
+     * (le COUNT du Paginator reflete alors le perimetre de l'user).
+     */
+    public function applySiteScope(QueryBuilder $qb, int $siteId): void;
+
+    /**
+     * Construit un QueryBuilder de liste pour le repertoire prestataires.
+     * - Exclut toujours les prestataires soft-deletes (deleted_at IS NOT NULL, RG-3.16).
+     * - Archivage (RG-3.16) :
+     *     - $archivedOnly = true  -> uniquement les archives (is_archived = true) ;
+     *     - sinon $includeArchived = true -> actifs + archives (echappatoire) ;
+     *     - sinon (defaut) -> uniquement les actifs (is_archived = false).
+     *   $archivedOnly a la priorite sur $includeArchived.
+     * - Tri par defaut : companyName ASC (RG-3.16).
+     * - $search : recherche fuzzy insensible a la casse sur companyName + les
+     *   contacts lies (firstName / lastName / email) via sous-requete.
+     *   Metacaracteres LIKE echappes. Ignore si null/vide.
+     * - $categoryCodes : restreint aux prestataires possedant au moins une
+     *   categorie dont le code est dans la liste (OR). Liste vide = pas de filtre.
+     * - $siteIds : restreint aux prestataires rattaches a l'un des sites donnes
+     *   (OR — RG-3.03, relation DIRECTE provider.sites). Liste vide = pas de filtre.
+     *
+     * Filtrage centralise ICI (et non dans le provider/controller) pour que la
+     * liste paginee et l'export partagent strictement la meme logique de selection
+     * (miroir M2).
+     *
+     * Contrat = SELECTION uniquement (filtres + tri). Aucun fetch-join to-many :
+     * l'hydratation des collections affichees est deleguee a
+     * {@see self::hydrateListCollections()} pour ne pas imposer le cout d'un
+     * produit cartesien aux chemins non pagines (§ 2.12, cf. M1/ERP-100, M2).
+     *
+     * NB : le cloisonnement par site pilote par l'utilisateur (RG-3.17, § 2.13) est
+     * applique en AMONT par le ProviderProvider (ERP-134), pas par ce QueryBuilder
+     * (qui ne connait pas l'user courant).
+     *
+     * @param list<string> $categoryCodes
+     * @param list<int>    $siteIds
+     */
+    public function createListQueryBuilder(
+        bool $includeArchived = false,
+        ?string $search = null,
+        array $categoryCodes = [],
+        array $siteIds = [],
+        bool $archivedOnly = false,
+    ): QueryBuilder;
+
+    /**
+     * Hydrate en lot les collections affichees par le repertoire (categories puis
+     * sites — relation DIRECTE provider.sites, RG-3.03) sur un jeu de prestataires
+     * DEJA charges, via l'identity map Doctrine (memes instances). A appeler apres
+     * une selection bornee (page courante ou jeu d'export) pour eviter le N+1 a la
+     * serialisation, sans imposer de fetch-join au QueryBuilder de selection
+     * (anti N+1, § 2.12).
+     *
+     * Charge les categories et les sites en DEUX requetes distinctes (et non un
+     * double fetch-join) pour ne pas multiplier categories x sites en un seul
+     * produit cartesien.
+     *
+     * @param list<Provider> $providers
+     */
+    public function hydrateListCollections(array $providers): void;
+
+    /**
+     * Hydrate en lot la collection `contacts` sur un jeu de prestataires DEJA
+     * charges (memes instances via l'identity map). Reservee aux chemins qui ont
+     * besoin du contact principal (export) : la LISTE paginee n'embarque pas les
+     * contacts (§ 2.12), d'ou une methode dediee plutot qu'une passe supplementaire
+     * dans {@see self::hydrateListCollections()}.
+     *
+     * @param list<Provider> $providers
+     */
+    public function hydrateContacts(array $providers): void;
+}

src/Module/Technique/Infrastructure/ApiPlatform/Serializer/ProviderReadGroupContextBuilder.php

@@ -0,0 +1,76 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\Serializer;
+
+use ApiPlatform\State\SerializerContextBuilderInterface;
+use App\Module\Technique\Domain\Entity\Provider;
+use Symfony\Bundle\SecurityBundle\Security;
+use Symfony\Component\DependencyInjection\Attribute\AsDecorator;
+use Symfony\Component\DependencyInjection\Attribute\AutowireDecorated;
+use Symfony\Component\HttpFoundation\Request;
+
+/**
+ * Decore le context builder de serialisation d'API Platform pour ajouter
+ * DYNAMIQUEMENT le groupe de lecture `provider:read:accounting` sur les
+ * ressources Provider, uniquement si l'utilisateur courant a la permission
+ * `technique.providers.accounting.view` (cf. spec-back M3 § 2.9 / § 4.1 /
+ * § 4.2). Jumeau de SupplierReadGroupContextBuilder (M2).
+ *
+ * Pourquoi un context builder et pas le Provider : un Provider retourne des
+ * donnees mais ne peut pas influencer les groupes de serialisation. Le contexte
+ * de normalisation est construit ici, en amont du serializer — c'est le point
+ * d'extension idiomatique d'API Platform pour conditionner un groupe selon
+ * l'utilisateur. Realise l'intention « gating du groupe accounting » de la spec
+ * (le groupe n'est jamais pose par defaut sur l'operation : il est AJOUTE ici si
+ * la permission est presente — resultat identique au « retrait » decrit en spec).
+ *
+ * S'applique aux operations de LECTURE (normalization) sur Provider : liste ET
+ * detail. Sans la permission, les champs comptables (siren, accountNumber,
+ * tvaMode, nTva, paymentDelay, paymentType, bank) ET les RIB embarques (groupe
+ * provider:read:accounting porte par getRibs()) ne sont jamais serialises — la
+ * cle est totalement absente du JSON (gating par omission, parade bug #4 M1).
+ *
+ * Priorite de decoration -20 : on s'empile APRES les decorateurs Commercial
+ * (ClientReadGroupContextBuilder priorite 0, SupplierReadGroupContextBuilder
+ * priorite -10) sur le meme service `api_platform.serializer.context_builder`.
+ * Chaque decorateur passe la main pour toute ressource autre que la sienne :
+ * l'ordre de chainage n'a donc aucun effet fonctionnel, la priorite explicite ne
+ * sert qu'a lever l'ambiguite de plusieurs decorateurs sur un meme service.
+ */
+#[AsDecorator(decorates: 'api_platform.serializer.context_builder', priority: -20)]
+final readonly class ProviderReadGroupContextBuilder implements SerializerContextBuilderInterface
+{
+    public function __construct(
+        #[AutowireDecorated]
+        private SerializerContextBuilderInterface $decorated,
+        private Security $security,
+    ) {}
+
+    public function createFromRequest(Request $request, bool $normalization, ?array $extractedAttributes = null): array
+    {
+        $context = $this->decorated->createFromRequest($request, $normalization, $extractedAttributes);
+
+        // Uniquement en lecture, sur la ressource Provider, avec la permission.
+        if (!$normalization) {
+            return $context;
+        }
+
+        if (Provider::class !== ($context['resource_class'] ?? null)) {
+            return $context;
+        }
+
+        if (!$this->security->isGranted('technique.providers.accounting.view')) {
+            return $context;
+        }
+
+        $groups = $context['groups'] ?? [];
+        if (!in_array('provider:read:accounting', $groups, true)) {
+            $groups[] = 'provider:read:accounting';
+        }
+        $context['groups'] = $groups;
+
+        return $context;
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Processor/ProviderAddressProcessor.php

@@ -0,0 +1,220 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Core\Domain\Entity\User;
+use App\Module\Technique\Domain\Entity\Provider;
+use App\Module\Technique\Domain\Entity\ProviderAddress;
+use App\Module\Technique\Infrastructure\Security\ProviderSiteScopeChecker;
+use App\Shared\Domain\Contract\SiteInterface;
+use Doctrine\ORM\EntityManagerInterface;
+use JsonException;
+use Symfony\Bundle\SecurityBundle\Security;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpFoundation\RequestStack;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Processor d'ecriture de la sous-ressource Adresse d'un prestataire (M3,
+ * spec-back § 4.5). Jumeau du SupplierAddressProcessor (M2), recentre sur le
+ * perimetre ERP-135, AVEC une garde supplementaire propre au M3 : le
+ * cloisonnement d'ECRITURE des sites de l'adresse (§ 2.13).
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au prestataire parent puis cloisonnement des
+ *    sites de l'adresse (RG-3.05 / § 2.13). Les regles de l'onglet Adresse sont
+ *    garanties en amont par des contraintes sur l'entite, jouees par API Platform
+ *    avant ce processor : RG-3.06 (code postal, Assert\Regex), RG-3.05 (>= 1 site,
+ *    Assert\Count), RG-3.09 (categorie de type PRESTATAIRE, Assert\Callback
+ *    ProviderAddress::validateCategoryType).
+ *  - DELETE : aucune regle metier specifique (suppression physique directe).
+ *
+ * La security de l'operation (technique.providers.manage) est appliquee par API
+ * Platform en amont, de meme que la validation Symfony des contraintes d'attribut.
+ *
+ * @implements ProcessorInterface<ProviderAddress, null|ProviderAddress>
+ */
+final class ProviderAddressProcessor implements ProcessorInterface
+{
+    private const string PERM_BYPASS_SCOPE = 'sites.bypass_scope';
+
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly Security $security,
+        private readonly RequestStack $requestStack,
+        private readonly EntityManagerInterface $em,
+        private readonly ProviderSiteScopeChecker $scopeChecker,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof ProviderAddress) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+        $this->guardSiteScope($data);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache l'adresse au prestataire parent de la sous-ressource POST
+     * (/providers/{providerId}/addresses) : la relation n'est pas peuplee
+     * automatiquement par le Link sur une ecriture. Sur PATCH, no-op.
+     */
+    private function linkParent(ProviderAddress $address, array $uriVariables): void
+    {
+        if (null !== $address->getProvider()) {
+            return;
+        }
+
+        $providerId = $uriVariables['providerId'] ?? null;
+        if (null === $providerId) {
+            return;
+        }
+
+        $provider = $providerId instanceof Provider
+            ? $providerId
+            : $this->em->getRepository(Provider::class)->find($providerId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte provider_id NOT NULL).
+        if (!$provider instanceof Provider) {
+            throw new NotFoundHttpException('Prestataire introuvable.');
+        }
+
+        // Cloisonnement par site (§ 2.13 / RG-3.17) : interdiction de creer une
+        // sous-ressource sur un prestataire hors du perimetre de l'user -> 404
+        // (anti-enumeration). Distinct du guardSiteScope ci-dessous, qui cloisonne
+        // les sites ATTACHES a l'adresse (et non l'acces au prestataire parent).
+        $this->scopeChecker->assertInScope($provider);
+
+        $address->setProvider($provider);
+    }
+
+    /**
+     * RG-3.05 / § 2.13 (cloisonnement d'ECRITURE — decision Matthieu 11/06) : un
+     * user SANS `sites.bypass_scope` ne peut attacher a CHAQUE adresse que des
+     * sites figurant dans ses propres `user_site`. Tout site hors perimetre -> 422
+     * sur `sites` (propertyPath consommable inline, convention ERP-101). Un user
+     * `bypass_scope` (Admin) peut attacher n'importe quel site. Miroir de
+     * ProviderProcessor::guardSiteScope, applique ici a la sous-ressource adresse.
+     *
+     * Ne joue que si `sites` est effectivement soumis : POST (entite non geree,
+     * sites obligatoires RG-3.05) ou PATCH portant la cle `sites`. Un PATCH qui ne
+     * touche pas aux sites n'est pas re-valide (les sites ont ete cloisonnes a leur
+     * pose). La validation porte sur l'ETAT RESULTANT (address.getSites()).
+     */
+    private function guardSiteScope(ProviderAddress $address): void
+    {
+        if ($this->security->isGranted(self::PERM_BYPASS_SCOPE)) {
+            return;
+        }
+
+        // sites non soumis sur un PATCH : rien a cloisonner.
+        if ($this->em->contains($address) && !in_array('sites', $this->payloadKeys(), true)) {
+            return;
+        }
+
+        $allowedSiteIds = $this->currentUserSiteIds();
+
+        foreach ($address->getSites() as $site) {
+            if (!$site instanceof SiteInterface) {
+                continue;
+            }
+            if (!in_array($site->getId(), $allowedSiteIds, true)) {
+                $this->throwSitesViolation($address);
+            }
+        }
+    }
+
+    /**
+     * Identifiants des sites rattaches a l'utilisateur courant (`user_site`).
+     * Vide si pas d'user authentifie (cas defensif : la security d'operation
+     * garantit deja l'authentification).
+     *
+     * @return list<int>
+     */
+    private function currentUserSiteIds(): array
+    {
+        $user = $this->security->getUser();
+        if (!$user instanceof User) {
+            return [];
+        }
+
+        $ids = [];
+        foreach ($user->getSites() as $site) {
+            if ($site instanceof SiteInterface && null !== $site->getId()) {
+                $ids[] = $site->getId();
+            }
+        }
+
+        return $ids;
+    }
+
+    /**
+     * Cles de premier niveau effectivement envoyees par le client (payload JSON
+     * brut). Pour un PATCH merge-patch+json, ce sont les seuls champs modifies.
+     * Corps vide ou JSON invalide -> aucune cle.
+     *
+     * @return list<string>
+     */
+    private function payloadKeys(): array
+    {
+        $request = $this->requestStack->getCurrentRequest();
+        if (null === $request) {
+            return [];
+        }
+
+        $content = $request->getContent();
+        if ('' === $content) {
+            return [];
+        }
+
+        try {
+            $decoded = json_decode($content, true, 512, JSON_THROW_ON_ERROR);
+        } catch (JsonException) {
+            return [];
+        }
+
+        return is_array($decoded) ? array_values(array_filter(array_keys($decoded), 'is_string')) : [];
+    }
+
+    /**
+     * Leve une 422 portant une violation unique sur `sites` — meme rendu Hydra que
+     * les contraintes Symfony, consommable inline par extractApiViolations (ERP-101).
+     *
+     * @return never
+     */
+    private function throwSitesViolation(ProviderAddress $address): void
+    {
+        $violations = new ConstraintViolationList();
+        $violations->add(new ConstraintViolation(
+            'Vous ne pouvez rattacher que des sites auxquels vous avez accès.',
+            null,
+            [],
+            $address,
+            'sites',
+            null,
+        ));
+
+        throw new ValidationException($violations);
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Processor/ProviderContactProcessor.php

@@ -0,0 +1,144 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Technique\Application\Service\ProviderFieldNormalizer;
+use App\Module\Technique\Domain\Entity\Provider;
+use App\Module\Technique\Domain\Entity\ProviderContact;
+use App\Module\Technique\Infrastructure\Security\ProviderSiteScopeChecker;
+use Doctrine\ORM\EntityManagerInterface;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Processor d'ecriture de la sous-ressource Contact d'un prestataire (M3,
+ * spec-back § 4.5). Jumeau du SupplierContactProcessor (M2), recentre sur le
+ * perimetre ERP-135.
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au prestataire parent, normalisation serveur
+ *    (RG-3.11 : prenom/nom Title Case, telephones reduits aux chiffres, email
+ *    lowercase) via le ProviderFieldNormalizer partage, puis validation RG-3.04
+ *    (au moins un champ parmi prenom / nom / telephone principal / email) avant
+ *    persistance.
+ *  - DELETE : aucune garde « dernier contact » au M3 — la collection peut rester
+ *    vide cote back (RG-3.12 front-driven, spec § 4.5). Suppression physique directe.
+ *
+ * La security de l'operation (technique.providers.manage) est appliquee par API
+ * Platform en amont, de meme que la validation Symfony des contraintes d'attribut
+ * (Assert\Email, Assert\Length...).
+ *
+ * @implements ProcessorInterface<ProviderContact, null|ProviderContact>
+ */
+final class ProviderContactProcessor implements ProcessorInterface
+{
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly ProviderFieldNormalizer $normalizer,
+        private readonly EntityManagerInterface $em,
+        private readonly ProviderSiteScopeChecker $scopeChecker,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof ProviderContact) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+        $this->normalize($data);
+        $this->validateName($data);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache le contact au prestataire parent de la sous-ressource POST
+     * (/providers/{providerId}/contacts). La relation n'est pas peuplee
+     * automatiquement par le Link sur une operation d'ecriture : on resout le
+     * parent depuis l'uri variable. Sur PATCH (entite existante), le prestataire
+     * est deja present -> no-op.
+     */
+    private function linkParent(ProviderContact $contact, array $uriVariables): void
+    {
+        if (null !== $contact->getProvider()) {
+            return;
+        }
+
+        $providerId = $uriVariables['providerId'] ?? null;
+        if (null === $providerId) {
+            return;
+        }
+
+        $provider = $providerId instanceof Provider
+            ? $providerId
+            : $this->em->getRepository(Provider::class)->find($providerId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte provider_id NOT NULL).
+        if (!$provider instanceof Provider) {
+            throw new NotFoundHttpException('Prestataire introuvable.');
+        }
+
+        // Cloisonnement par site (§ 2.13 / RG-3.17) : interdiction de creer une
+        // sous-ressource sur un prestataire hors du perimetre de l'user -> 404
+        // (anti-enumeration, coherent avec le detail Provider garde en 404).
+        $this->scopeChecker->assertInScope($provider);
+
+        $contact->setProvider($provider);
+    }
+
+    /**
+     * Normalisation serveur (RG-3.11). Toutes les methodes du normalizer sont
+     * null-safe : une chaine vide apres trim devient null.
+     */
+    private function normalize(ProviderContact $contact): void
+    {
+        $contact->setFirstName($this->normalizer->normalizePersonName($contact->getFirstName()));
+        $contact->setLastName($this->normalizer->normalizePersonName($contact->getLastName()));
+        $contact->setJobTitle($this->normalizer->normalizeText($contact->getJobTitle()));
+        $contact->setPhonePrimary($this->normalizer->normalizePhone($contact->getPhonePrimary()));
+        $contact->setPhoneSecondary($this->normalizer->normalizePhone($contact->getPhoneSecondary()));
+        $contact->setEmail($this->normalizer->normalizeEmail($contact->getEmail()));
+    }
+
+    /**
+     * RG-3.04 : un bloc Contact exige au moins le prenom OU le nom (aligne sur le
+     * M1/M2 — un contact se materialise par son nom ; fonction / telephone / email
+     * seuls ne suffisent pas). Double garde avec le CHECK BDD chk_provider_contact_name
+     * — leve une 422 propre rattachee au champ `firstName` plutot qu'une 500 SQL.
+     * Joue apres normalisation (les chaines vides sont deja ramenees a null).
+     */
+    private function validateName(ProviderContact $contact): void
+    {
+        if (null === $contact->getFirstName() && null === $contact->getLastName()) {
+            $violations = new ConstraintViolationList();
+            $violations->add(new ConstraintViolation(
+                'Le prénom ou le nom du contact est obligatoire.',
+                null,
+                [],
+                $contact,
+                'firstName',
+                null,
+            ));
+
+            throw new ValidationException($violations);
+        }
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Processor/ProviderProcessor.php

@@ -0,0 +1,590 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use ApiPlatform\Validator\Exception\ValidationException;
+use App\Module\Core\Domain\Entity\User;
+use App\Module\Technique\Application\Service\ProviderFieldNormalizer;
+use App\Module\Technique\Application\Validator\ProviderAccountingCompletenessValidator;
+use App\Module\Technique\Domain\Entity\Provider;
+use App\Shared\Domain\Contract\SiteInterface;
+use DateTimeImmutable;
+use Doctrine\DBAL\Exception\UniqueConstraintViolationException;
+use Doctrine\ORM\EntityManagerInterface;
+use Doctrine\ORM\PersistentCollection;
+use JsonException;
+use Symfony\Bundle\SecurityBundle\Security;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpFoundation\RequestStack;
+use Symfony\Component\HttpKernel\Exception\AccessDeniedHttpException;
+use Symfony\Component\HttpKernel\Exception\ConflictHttpException;
+use Symfony\Component\HttpKernel\Exception\UnprocessableEntityHttpException;
+use Symfony\Component\Validator\ConstraintViolation;
+use Symfony\Component\Validator\ConstraintViolationList;
+
+/**
+ * Processor d'ecriture du repertoire prestataires (M3). Cf. spec-back M3 § 4.3 /
+ * § 4.4 + RG-3.10 / RG-3.13 / RG-3.14 / RG-3.15 / RG-3.17. Jumeau du
+ * SupplierProcessor (M2), avec deux differences structurantes (§ 3.1) :
+ *  - PAS d'onglet Information (aucun champ description / competitors / ...) ni de
+ *    validation de completude comptable -> le prestataire est minimal ;
+ *  - le formulaire principal porte `sites` (M2M provider_site, RG-3.03), soumis au
+ *    CLOISONNEMENT D'ECRITURE par site (RG-3.17, § 2.13) : un user sans
+ *    `sites.bypass_scope` ne peut attacher que les sites de ses `user_site`.
+ *
+ * Sequence (POST / PATCH) :
+ *  1. Autorisation additionnelle par groupe d'onglet (mode strict RG-3.15). La
+ *     security d'operation du PATCH est elargie a `manage` OU `accounting.manage`
+ *     pour laisser entrer le role Compta ; ce processor re-gate alors finement :
+ *     - champ comptable modifie dans le payload -> exige accounting.manage (403) ;
+ *     - champ main (companyName / categories / sites) modifie -> exige manage
+ *       (guardManage, 403) : empeche Compta d'editer un autre onglet ;
+ *     - champ isArchived dans le payload -> exige archive (RG-3.13, 403) et
+ *       interdit toute autre modification dans la meme requete (RG-3.13, 422).
+ *  2. Cloisonnement d'ECRITURE des sites (RG-3.17 / RG-3.03) : tout site attache
+ *     hors des `user_site` de l'appelant non-bypass -> 422 sur `sites`.
+ *  3. Normalisation serveur (RG-3.11) via ProviderFieldNormalizer (companyName).
+ *  4. Pose / retrait de archivedAt (RG-3.13 true=now, RG-3.14 false=null).
+ *  5. Persistance via le persist_processor Doctrine, avec traduction des
+ *     collisions d'unicite en 409 (RG-3.10 doublon de nom ; RG-3.14 conflit de
+ *     restauration).
+ *
+ * Les RG inter-champs RG-3.07 (Virement -> banque), RG-3.08 (LCR -> >= 1 RIB) et
+ * RG-3.09 (categorie de type PRESTATAIRE) sont portees par des Assert\Callback +
+ * ->atPath() sur les entites Provider / ProviderAddress (jouees par API Platform
+ * AVANT ce processor), pour que chaque 422 porte un propertyPath consommable par
+ * extractApiViolations (mapping inline, pas un toast — convention ERP-101). Le 409
+ * sur DELETE du dernier RIB en LCR (volet ecriture de RG-3.08) est porte par le
+ * ProviderRibProcessor (ERP-135).
+ *
+ * @implements ProcessorInterface<Provider, Provider>
+ */
+final class ProviderProcessor implements ProcessorInterface
+{
+    /** Champs de l'onglet principal (groupe provider:write:main). */
+    private const array MAIN_FIELDS = [
+        'companyName', 'categories', 'sites',
+    ];
+
+    /** Champs de l'onglet Comptabilite (groupe provider:write:accounting). */
+    private const array ACCOUNTING_FIELDS = [
+        'siren', 'accountNumber', 'tvaMode', 'nTva', 'paymentDelay',
+        'paymentType', 'bank',
+    ];
+
+    /**
+     * Champs comptables obligatoires a la validation complete de l'onglet
+     * (spec-front M3 § Onglet Comptabilite — miroir M1/M2). bank est exclu :
+     * conditionnel (RG-3.07).
+     */
+    private const array ACCOUNTING_REQUIRED_FIELDS = [
+        'siren', 'accountNumber', 'tvaMode', 'nTva', 'paymentDelay', 'paymentType',
+    ];
+
+    /** Champ d'archivage (groupe provider:write:archive). */
+    private const string ARCHIVE_FIELD = 'isArchived';
+
+    private const string PERM_MANAGE            = 'technique.providers.manage';
+    private const string PERM_ACCOUNTING_MANAGE = 'technique.providers.accounting.manage';
+    private const string PERM_ARCHIVE           = 'technique.providers.archive';
+
+    private const string PERM_BYPASS_SCOPE = 'sites.bypass_scope';
+
+    /**
+     * Memoisation du dernier corps de requete decode, clos par le contenu brut
+     * (cf. SupplierProcessor) : payloadKeys() est appele plusieurs fois par requete,
+     * on evite de rejouer json_decode. Cle = contenu lui-meme, calcul pur -> aucune
+     * fuite entre requetes sur ce service partage.
+     */
+    private ?string $decodedContent = null;
+
+    /** @var list<string> Cles de premier niveau correspondant au corps memoise. */
+    private array $decodedPayloadKeys = [];
+
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        private readonly ProviderFieldNormalizer $normalizer,
+        private readonly Security $security,
+        private readonly RequestStack $requestStack,
+        private readonly EntityManagerInterface $em,
+        private readonly ProviderAccountingCompletenessValidator $accountingValidator,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof Provider) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        // Reinitialisation de la memoisation du payload : le service est partage
+        // (stateful), on repart du corps de LA requete courante.
+        $this->decodedContent     = null;
+        $this->decodedPayloadKeys = [];
+
+        $writableKeys = $this->writablePayloadKeys();
+
+        $isArchiveRequest = $this->guardArchive($data, $writableKeys);
+        $this->guardAccounting($data);
+        $this->guardSiteScope($data);
+
+        $this->normalize($data);
+
+        // guardManage apres normalize : la comparaison « change vs etat persiste »
+        // des champs texte (companyName) se fait sur des valeurs normalisees des
+        // deux cotes (l'etat persiste l'a deja ete).
+        $this->guardManage($data);
+
+        // Completude de l'onglet Comptabilite (apres normalize : les chaines vides
+        // sont deja ramenees a null). Joue uniquement sur une soumission d'onglet.
+        $this->validateAccountingCompleteness($data);
+
+        try {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        } catch (UniqueConstraintViolationException $e) {
+            // Le seul index unique partiel est uq_provider_company_name_active
+            // (LOWER(company_name) parmi non-archives/non-deletes — § 2.6).
+            if ($isArchiveRequest && false === $data->isArchived()) {
+                // RG-3.14 : restauration en conflit avec un homonyme actif.
+                throw new ConflictHttpException(
+                    'Restauration impossible : un autre prestataire a pris le nom entre-temps.',
+                    $e,
+                );
+            }
+
+            // RG-3.10 : doublon de nom de societe.
+            throw new ConflictHttpException(
+                sprintf('Un prestataire nommé "%s" existe déjà.', (string) $data->getCompanyName()),
+                $e,
+            );
+        }
+    }
+
+    /**
+     * RG-3.13 / RG-3.14 : si le payload bascule reellement isArchived, exige la
+     * permission archive (403), interdit toute autre modification (422) et
+     * pose/retire archivedAt. Retourne true si la requete est une requete
+     * d'archivage. Restreint a la mise a jour d'un prestataire existant ET au seul
+     * cas ou isArchived change vraiment (cf. SupplierProcessor).
+     *
+     * @param list<string> $writableKeys cles ecrivables du payload (hors @* et champs inconnus)
+     */
+    private function guardArchive(Provider $data, array $writableKeys): bool
+    {
+        // POST / entite non geree : l'archivage est une action de mise a jour.
+        if (!$this->em->contains($data)) {
+            return false;
+        }
+
+        // isArchived inchange par rapport a l'etat persiste : pas une requete
+        // d'archivage (cas du PATCH representation complete).
+        if (!$this->fieldChanged($data, 'isArchived', $data->isArchived())) {
+            return false;
+        }
+
+        if (!$this->security->isGranted(self::PERM_ARCHIVE)) {
+            throw new AccessDeniedHttpException(sprintf(
+                'Le champ "%s" requiert la permission "%s".',
+                self::ARCHIVE_FIELD,
+                self::PERM_ARCHIVE,
+            ));
+        }
+
+        // RG-3.13 : une requete d'archivage ne modifie aucun autre champ ecrivable.
+        if ([] !== array_diff($writableKeys, [self::ARCHIVE_FIELD])) {
+            throw new UnprocessableEntityHttpException(
+                'Une requête d\'archivage ne peut modifier aucun autre champ que "isArchived".',
+            );
+        }
+
+        // RG-3.13 (true -> now) / RG-3.14 (false -> null).
+        $data->setArchivedAt($data->isArchived() ? new DateTimeImmutable() : null);
+
+        return true;
+    }
+
+    /**
+     * RG-3.15 : la modification effective d'un champ comptable exige
+     * accounting.manage, sinon 403 sur l'ensemble du payload (mode strict, pas de
+     * filtrage silencieux). On ne gate que si un champ change reellement par
+     * rapport a l'etat persiste (POST/PATCH renvoyant des champs comptables
+     * inchanges ne declenche pas de 403 parasite). Le message precise le premier
+     * champ fautif.
+     */
+    private function guardAccounting(Provider $data): void
+    {
+        $changed = $this->changedAccountingFields($data);
+
+        if ([] === $changed) {
+            return;
+        }
+
+        if (!$this->security->isGranted(self::PERM_ACCOUNTING_MANAGE)) {
+            throw new AccessDeniedHttpException(sprintf(
+                'Le champ "%s" requiert la permission "%s".',
+                $changed[0],
+                self::PERM_ACCOUNTING_MANAGE,
+            ));
+        }
+    }
+
+    /**
+     * § 2.9 / RG-3.15 : la modification effective d'un champ « metier » (onglet
+     * principal : companyName / categories / sites) exige
+     * `technique.providers.manage`. Sans cette permission -> 403 sur l'ensemble du
+     * payload (mode strict, miroir de guardAccounting). C'est ce qui empeche le
+     * role Compta — qui entre dans le PATCH via `accounting.manage` (security
+     * d'operation elargie) — d'editer autre chose que l'onglet Comptabilite.
+     *
+     * Ne s'applique qu'aux mises a jour (entite geree) : la creation (POST) est
+     * deja gardee par la security d'operation `manage`.
+     */
+    private function guardManage(Provider $data): void
+    {
+        if (!$this->em->contains($data)) {
+            return;
+        }
+
+        $changed = $this->changedBusinessFields($data);
+
+        if ([] === $changed) {
+            return;
+        }
+
+        if (!$this->security->isGranted(self::PERM_MANAGE)) {
+            throw new AccessDeniedHttpException(sprintf(
+                'Le champ "%s" requiert la permission "%s".',
+                $changed[0],
+                self::PERM_MANAGE,
+            ));
+        }
+    }
+
+    /**
+     * RG-3.17 / RG-3.03 (cloisonnement d'ECRITURE — § 2.13) : un user SANS
+     * `sites.bypass_scope` ne peut attacher au prestataire que des sites figurant
+     * dans ses propres `user_site`. Tout site hors perimetre -> 422 sur `sites`
+     * (propertyPath consommable inline, convention ERP-101). Un user `bypass_scope`
+     * (Admin auto) peut attacher n'importe quel site.
+     *
+     * Interaction avec SiteCollectionScopedExtension (module Sites) : pour un user
+     * sans `sites.bypass_scope` NI `sites.read_ref`, la resolution de l'IRI de site
+     * hors perimetre echoue DEJA en amont (item Site « introuvable » -> 400
+     * anti-enumeration), avant ce processor. Cette garde reste donc l'enforcement
+     * AUTORITAIRE de RG-3.17 pour le cas particulier d'un user `sites.read_ref`
+     * (qui peut resoudre N'IMPORTE quel site comme referentiel transverse mais ne
+     * doit rattacher que ses propres sites), et une defense en profondeur sinon.
+     *
+     * Ne joue que si `sites` est effectivement soumis : POST (entite non geree,
+     * sites obligatoires RG-3.03) ou PATCH portant la cle `sites`. Un PATCH qui ne
+     * touche pas aux sites n'est pas re-valide (les sites ont ete cloisonnes a leur
+     * pose). La validation porte sur l'ETAT RESULTANT (data.getSites()).
+     */
+    private function guardSiteScope(Provider $data): void
+    {
+        if ($this->security->isGranted(self::PERM_BYPASS_SCOPE)) {
+            return;
+        }
+
+        // sites non soumis sur un PATCH : rien a cloisonner.
+        if ($this->em->contains($data) && !in_array('sites', $this->payloadKeys(), true)) {
+            return;
+        }
+
+        $allowedSiteIds = $this->currentUserSiteIds();
+
+        foreach ($data->getSites() as $site) {
+            if (!$site instanceof SiteInterface) {
+                continue;
+            }
+            if (!in_array($site->getId(), $allowedSiteIds, true)) {
+                $this->throwSitesViolation($data);
+            }
+        }
+    }
+
+    /**
+     * Identifiants des sites rattaches a l'utilisateur courant (`user_site`).
+     * Vide si pas d'user authentifie (cas defensif : la security d'operation
+     * garantit deja l'authentification).
+     *
+     * @return list<int>
+     */
+    private function currentUserSiteIds(): array
+    {
+        $user = $this->security->getUser();
+        if (!$user instanceof User) {
+            return [];
+        }
+
+        $ids = [];
+        foreach ($user->getSites() as $site) {
+            if ($site instanceof SiteInterface && null !== $site->getId()) {
+                $ids[] = $site->getId();
+            }
+        }
+
+        return $ids;
+    }
+
+    /**
+     * Champs « metier » (onglet principal : companyName / categories / sites) dont
+     * la valeur courante differe de l'etat persiste. Scalaires compares par valeur ;
+     * collections M2M (categories / sites) comparees par ensemble d'identifiants
+     * (cf. collectionChanged) — la simple presence dans le payload ne suffit pas,
+     * sous peine de 403 parasite sur un PATCH representation complete.
+     *
+     * @return list<string>
+     */
+    private function changedBusinessFields(Provider $data): array
+    {
+        $changed = [];
+
+        if ($this->fieldChanged($data, 'companyName', $data->getCompanyName())) {
+            $changed[] = 'companyName';
+        }
+
+        if ($this->collectionChanged($data, 'categories', $data->getCategories()->toArray())) {
+            $changed[] = 'categories';
+        }
+
+        if ($this->collectionChanged($data, 'sites', $data->getSites()->toArray())) {
+            $changed[] = 'sites';
+        }
+
+        return $changed;
+    }
+
+    /**
+     * Vrai si une collection M2M (`categories` ou `sites`) differe reellement de
+     * l'etat persiste. Ces collections ne sont pas tracees par
+     * getOriginalEntityData : on compare par identifiants (independamment de
+     * l'ordre) le snapshot de la PersistentCollection (etat charge) a l'etat
+     * courant (apres application du payload). Symetrique des scalaires : seul un
+     * changement effectif compte, pas la simple presence dans le payload.
+     *
+     * - POST / entite non geree : fournir la collection est un acte metier
+     *   (branche defensive, guardManage ne s'execute que sur entite geree).
+     * - cle absente du payload (PATCH partiel) : aucun changement.
+     *
+     * @param array<int, object> $current
+     */
+    private function collectionChanged(Provider $data, string $field, array $current): bool
+    {
+        if (!$this->em->contains($data)) {
+            return true;
+        }
+
+        if (!in_array($field, $this->payloadKeys(), true)) {
+            return false;
+        }
+
+        $collection = 'categories' === $field ? $data->getCategories() : $data->getSites();
+
+        // Hors PersistentCollection (cas limite hors flux PATCH reel) : faute d'etat
+        // persiste comparable, on se rabat sur la presence payload.
+        if (!$collection instanceof PersistentCollection) {
+            return true;
+        }
+
+        return $this->idSet($current) !== $this->idSet($collection->getSnapshot());
+    }
+
+    /**
+     * Ensemble trie des identifiants d'une liste d'entites — pour une comparaison
+     * par valeur independante de l'ordre.
+     *
+     * @param array<int, object> $entities
+     *
+     * @return list<mixed>
+     */
+    private function idSet(array $entities): array
+    {
+        $ids = array_map(
+            static fn (object $entity): mixed => method_exists($entity, 'getId')
+                ? $entity->getId()
+                : spl_object_id($entity),
+            array_values($entities),
+        );
+        sort($ids);
+
+        return $ids;
+    }
+
+    /**
+     * Champs comptables dont la valeur courante differe de l'etat persiste. Les
+     * relations (tvaMode, paymentDelay, paymentType, bank) sont comparees par
+     * identite d'objet : l'identity map Doctrine renvoie la meme instance tant que
+     * la reference est inchangee.
+     *
+     * @return list<string>
+     */
+    private function changedAccountingFields(Provider $data): array
+    {
+        $changed = [];
+
+        foreach (self::ACCOUNTING_FIELDS as $field) {
+            $newValue = match ($field) {
+                'siren'         => $data->getSiren(),
+                'accountNumber' => $data->getAccountNumber(),
+                'tvaMode'       => $data->getTvaMode(),
+                'nTva'          => $data->getNTva(),
+                'paymentDelay'  => $data->getPaymentDelay(),
+                'paymentType'   => $data->getPaymentType(),
+                'bank'          => $data->getBank(),
+            };
+
+            if ($this->fieldChanged($data, $field, $newValue)) {
+                $changed[] = $field;
+            }
+        }
+
+        return $changed;
+    }
+
+    /**
+     * Vrai si la valeur courante d'un champ differe de l'etat persiste. Pour une
+     * entite non geree (creation/POST), l'etat persiste est vide : toute valeur
+     * non-null est alors un changement.
+     */
+    private function fieldChanged(Provider $data, string $field, mixed $newValue): bool
+    {
+        $original = $this->originalData($data);
+
+        return $newValue !== ($original[$field] ?? null);
+    }
+
+    /**
+     * Snapshot des valeurs persistees de l'entite (telles que chargees, avant
+     * application du payload). Vide pour une entite non geree (POST).
+     *
+     * @return array<string, mixed>
+     */
+    private function originalData(Provider $data): array
+    {
+        if (!$this->em->contains($data)) {
+            return [];
+        }
+
+        return $this->em->getUnitOfWork()->getOriginalEntityData($data);
+    }
+
+    /**
+     * Normalisation serveur du formulaire principal (RG-3.11). Seul companyName est
+     * porte par le Provider (les champs de contact sont normalises par le processor
+     * de sous-ressource ProviderContact, ticket dedie). Le setter non-nullable n'est
+     * touche que si une valeur est presente, pour ne jamais ecraser l'existant lors
+     * d'un PATCH partiel.
+     */
+    private function normalize(Provider $data): void
+    {
+        if (null !== $data->getCompanyName()) {
+            $data->setCompanyName((string) $this->normalizer->normalizeCompanyName($data->getCompanyName()));
+        }
+    }
+
+    /**
+     * Cles ecrivables effectivement presentes dans le payload : on retire les cles
+     * JSON-LD (@id, @context...) et tout champ non rattache a un groupe d'ecriture
+     * connu. Base du 422 d'archivage (RG-3.13).
+     *
+     * @return list<string>
+     */
+    private function writablePayloadKeys(): array
+    {
+        $writable = array_merge(
+            self::MAIN_FIELDS,
+            self::ACCOUNTING_FIELDS,
+            [self::ARCHIVE_FIELD],
+        );
+
+        return array_values(array_intersect($this->payloadKeys(), $writable));
+    }
+
+    /**
+     * Cles de premier niveau effectivement envoyees par le client (payload JSON
+     * brut). Pour un PATCH merge-patch+json, ce sont les seuls champs modifies.
+     *
+     * @return list<string>
+     */
+    /**
+     * Completude de l'onglet Comptabilite (miroir SupplierProcessor) : ne se
+     * declenche que si TOUS les champs requis sont presents dans le payload
+     * (= soumission d'onglet, pas un PATCH partiel cible). Delegue au validateur
+     * qui leve une 422 listant chaque champ manquant (mapping inline ERP-101).
+     */
+    private function validateAccountingCompleteness(Provider $data): void
+    {
+        if ([] !== array_diff(self::ACCOUNTING_REQUIRED_FIELDS, $this->payloadKeys())) {
+            return;
+        }
+
+        $this->accountingValidator->validate($data);
+    }
+
+    private function payloadKeys(): array
+    {
+        $request = $this->requestStack->getCurrentRequest();
+        if (null === $request) {
+            return [];
+        }
+
+        $content = $request->getContent();
+
+        // Cache hit : meme corps brut que le dernier decodage -> memes cles.
+        if ($content === $this->decodedContent) {
+            return $this->decodedPayloadKeys;
+        }
+
+        $this->decodedContent     = $content;
+        $this->decodedPayloadKeys = $this->extractPayloadKeys($content);
+
+        return $this->decodedPayloadKeys;
+    }
+
+    /**
+     * Decode le corps brut et en extrait les cles de premier niveau (chaines).
+     * Corps vide ou JSON invalide -> aucune cle.
+     *
+     * @return list<string>
+     */
+    private function extractPayloadKeys(string $content): array
+    {
+        if ('' === $content) {
+            return [];
+        }
+
+        try {
+            $decoded = json_decode($content, true, 512, JSON_THROW_ON_ERROR);
+        } catch (JsonException) {
+            return [];
+        }
+
+        return is_array($decoded) ? array_values(array_filter(array_keys($decoded), 'is_string')) : [];
+    }
+
+    /**
+     * Leve une 422 portant une violation unique sur `sites` — meme rendu Hydra que
+     * les contraintes Symfony, consommable inline par extractApiViolations (ERP-101).
+     *
+     * @return never
+     */
+    private function throwSitesViolation(Provider $root): void
+    {
+        $violations = new ConstraintViolationList();
+        $violations->add(new ConstraintViolation(
+            'Vous ne pouvez rattacher que des sites auxquels vous avez accès.',
+            null,
+            [],
+            $root,
+            'sites',
+            null,
+        ));
+
+        throw new ValidationException($violations);
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Processor/ProviderRibProcessor.php

@@ -0,0 +1,120 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Processor;
+
+use ApiPlatform\Metadata\DeleteOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProcessorInterface;
+use App\Module\Technique\Domain\Entity\Provider;
+use App\Module\Technique\Domain\Entity\ProviderRib;
+use App\Module\Technique\Infrastructure\Security\ProviderSiteScopeChecker;
+use Doctrine\ORM\EntityManagerInterface;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+use Symfony\Component\HttpKernel\Exception\ConflictHttpException;
+use Symfony\Component\HttpKernel\Exception\NotFoundHttpException;
+
+/**
+ * Processor d'ecriture de la sous-ressource RIB d'un prestataire (M3, spec-back
+ * § 4.5). Jumeau du SupplierRibProcessor (M2), recentre sur le perimetre ERP-135.
+ *
+ * Sequence :
+ *  - POST / PATCH : rattachement au prestataire parent. Aucune normalisation
+ *    specifique ; la validite de l'IBAN et du BIC est garantie par Assert\Iban /
+ *    Assert\Bic sur l'entite (jouees en amont par API Platform). Aucun
+ *    #[AuditIgnore] sur iban/bic : la tracabilite comptable est volontaire
+ *    (decision M1/M2 reportee, spec § 2.7).
+ *  - DELETE : RG-3.08 — si le prestataire est en reglement LCR, la suppression de
+ *    son DERNIER RIB est refusee (409), car LCR exige au moins un RIB.
+ *
+ * La security de l'operation (technique.providers.accounting.manage) est appliquee
+ * par API Platform en amont : un utilisateur sans cette permission recoit 403 sur
+ * POST/PATCH/DELETE avant d'atteindre ce processor — c'est le niveau de gating
+ * renforce des donnees bancaires (distinct de manage, spec § 4.5).
+ *
+ * @implements ProcessorInterface<ProviderRib, null|ProviderRib>
+ */
+final class ProviderRibProcessor implements ProcessorInterface
+{
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.persist_processor')]
+        private readonly ProcessorInterface $persistProcessor,
+        #[Autowire(service: 'api_platform.doctrine.orm.state.remove_processor')]
+        private readonly ProcessorInterface $removeProcessor,
+        private readonly EntityManagerInterface $em,
+        private readonly ProviderSiteScopeChecker $scopeChecker,
+    ) {}
+
+    public function process(mixed $data, Operation $operation, array $uriVariables = [], array $context = []): mixed
+    {
+        if (!$data instanceof ProviderRib) {
+            return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        if ($operation instanceof DeleteOperationInterface) {
+            $this->guardLastRibDeletionUnderLcr($data);
+
+            return $this->removeProcessor->process($data, $operation, $uriVariables, $context);
+        }
+
+        $this->linkParent($data, $uriVariables);
+
+        return $this->persistProcessor->process($data, $operation, $uriVariables, $context);
+    }
+
+    /**
+     * Rattache le RIB au prestataire parent de la sous-ressource POST
+     * (/providers/{providerId}/ribs) : la relation n'est pas peuplee
+     * automatiquement par le Link sur une ecriture. Sur PATCH, no-op.
+     */
+    private function linkParent(ProviderRib $rib, array $uriVariables): void
+    {
+        if (null !== $rib->getProvider()) {
+            return;
+        }
+
+        $providerId = $uriVariables['providerId'] ?? null;
+        if (null === $providerId) {
+            return;
+        }
+
+        $provider = $providerId instanceof Provider
+            ? $providerId
+            : $this->em->getRepository(Provider::class)->find($providerId);
+
+        // read:false sur le POST : sans stade lecture, un parent introuvable n'est
+        // plus intercepte en amont -> 404 explicite (sinon 500 au persist sur la
+        // contrainte provider_id NOT NULL).
+        if (!$provider instanceof Provider) {
+            throw new NotFoundHttpException('Prestataire introuvable.');
+        }
+
+        // Cloisonnement par site (§ 2.13 / RG-3.17) : interdiction de creer une
+        // sous-ressource sur un prestataire hors du perimetre de l'user -> 404
+        // (anti-enumeration, coherent avec le detail Provider garde en 404).
+        $this->scopeChecker->assertInScope($provider);
+
+        $rib->setProvider($provider);
+    }
+
+    /**
+     * RG-3.08 : un prestataire dont le type de reglement est LCR doit conserver au
+     * moins un RIB. La collection inclut le RIB en cours de suppression : un
+     * effectif <= 1 signifie qu'il ne resterait aucun RIB -> 409. Pour tout autre
+     * type de reglement, les RIBs sont optionnels (suppression libre).
+     */
+    private function guardLastRibDeletionUnderLcr(ProviderRib $rib): void
+    {
+        $provider = $rib->getProvider();
+        if (null === $provider) {
+            return;
+        }
+
+        if ('LCR' === $provider->getPaymentType()?->getCode() && $provider->getRibs()->count() <= 1) {
+            throw new ConflictHttpException(
+                'Impossible de supprimer le dernier RIB : le type de règlement LCR exige au moins un RIB.',
+            );
+        }
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Provider/ProviderProvider.php

@@ -0,0 +1,223 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Provider;
+
+use ApiPlatform\Doctrine\Orm\Paginator;
+use ApiPlatform\Metadata\CollectionOperationInterface;
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\Pagination\Pagination;
+use ApiPlatform\State\ProviderInterface;
+use App\Module\Technique\Domain\Entity\Provider;
+use App\Module\Technique\Domain\Repository\ProviderRepositoryInterface;
+use App\Module\Technique\Infrastructure\Security\ProviderSiteScopeChecker;
+use Doctrine\ORM\Tools\Pagination\Paginator as DoctrinePaginator;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+
+/**
+ * Provider du repertoire prestataires (M3). Cf. spec-back M3 § 4.1 / § 4.2 +
+ * RG-3.16 / RG-3.17. Jumeau du SupplierProvider (M2), augmente du cloisonnement
+ * par site pilote par l'utilisateur (§ 2.13).
+ *
+ * Collection (GET /api/providers) :
+ *  - exclut par defaut les archives (is_archived = true) ET les soft-deletes
+ *    (deleted_at IS NOT NULL) — RG-3.16 ;
+ *  - ?includeArchived=true reintegre les archives (les soft-deletes restent
+ *    exclus au M3) — RG-3.16 ;
+ *  - tri par defaut companyName ASC — RG-3.16 ;
+ *  - filtres ?search=... (fuzzy companyName + contacts lies : firstName /
+ *    lastName / email), ?categoryCode=<code> (prestataires ayant >= 1 categorie
+ *    de ce code, repetable) et ?siteId=<id> (prestataires rattaches a ce site
+ *    via la relation DIRECTE provider.sites, repetable) ;
+ *  - pagination obligatoire (regle ABSOLUE n°13) : Paginator ORM ; echappatoire
+ *    ?pagination=false pour alimenter un <select> sans pagination.
+ *
+ * Cloisonnement par site (RG-3.17, § 2.13) — applique ICI (le QueryBuilder du
+ * repository ne connait pas l'user courant) :
+ *  - si l'user N'A PAS `sites.bypass_scope` ET que CurrentSiteProvider::get()
+ *    retourne un site -> la liste est restreinte aux prestataires dont
+ *    provider.sites contient le currentSite (repository::applySiteScope), AVANT
+ *    pagination : totalItems reflete le perimetre de l'user ;
+ *  - le DETAIL (Get / provider de PATCH) d'un prestataire hors perimetre renvoie
+ *    404 (null) — ne pas reveler l'existence d'une ligne hors site ;
+ *  - user `bypass_scope` (Admin auto, profils consolidation) -> aucun filtre ;
+ *  - currentSite = null (module Sites off / user sans site) -> no-op lecture
+ *    (aligne site-aware.md § 5).
+ *
+ * Item (GET /api/providers/{id} + provider de PATCH) :
+ *  - 404 si introuvable OU soft-delete (deleted_at non null, jamais expose au
+ *    M3) ; les archives restent consultables/restaurables en detail ;
+ *  - 404 si hors perimetre site (cloisonnement, cf. ci-dessus).
+ *
+ * Le filtrage des champs comptables en lecture (groupe provider:read:accounting)
+ * n'est PAS fait ici mais dans ProviderReadGroupContextBuilder : un Provider
+ * retourne des donnees mais ne peut pas influencer les groupes de serialisation.
+ *
+ * @implements ProviderInterface<Provider>
+ */
+final class ProviderProvider implements ProviderInterface
+{
+    public function __construct(
+        #[Autowire(service: 'App\Module\Technique\Infrastructure\Doctrine\DoctrineProviderRepository')]
+        private readonly ProviderRepositoryInterface $repository,
+        private readonly Pagination $pagination,
+        // Decision de cloisonnement par site centralisee (site-aware.md § 6.2) :
+        // source UNIQUE partagee avec le provider decore des sous-ressources
+        // (ProviderSubResourceItemProvider) et les processors d'ecriture, pour
+        // eviter tout drift entre ces points d'application.
+        private readonly ProviderSiteScopeChecker $scopeChecker,
+    ) {}
+
+    public function provide(Operation $operation, array $uriVariables = [], array $context = []): iterable|Paginator|Provider|null
+    {
+        if ($operation instanceof CollectionOperationInterface) {
+            return $this->provideCollection($operation, $context);
+        }
+
+        return $this->provideItem($uriVariables);
+    }
+
+    /**
+     * @param array<string, mixed> $context
+     *
+     * @return list<Provider>|Paginator<Provider>
+     */
+    private function provideCollection(Operation $operation, array $context): array|Paginator
+    {
+        $filters         = $context['filters'] ?? [];
+        $includeArchived = $this->readBool($filters['includeArchived'] ?? false);
+        $archivedOnly    = $this->readBool($filters['archivedOnly'] ?? false);
+        $search          = $filters['search'] ?? null;
+        // categoryCode accepte un code unique (?categoryCode=NETTOYAGE, selects)
+        // OU une liste (?categoryCode[]=A&categoryCode[]=B, drawer multi).
+        $categoryCodes = $this->readStringList($filters['categoryCode'] ?? []);
+        $siteIds       = $this->readIntList($filters['siteId'] ?? []);
+
+        // Filtrage delegue au repository (logique partagee avec l'export XLSX).
+        $qb = $this->repository->createListQueryBuilder(
+            $includeArchived,
+            is_string($search) ? $search : null,
+            $categoryCodes,
+            $siteIds,
+            $archivedOnly,
+        );
+
+        // Cloisonnement par site (RG-3.17) AVANT pagination : ajoute une clause
+        // restreignant au currentSite pour un user non-bypass. S'intersecte avec
+        // un eventuel filtre ?siteId du client (deux sous-requetes ANDees).
+        $scopeSite = $this->scopeChecker->siteScopeOrNull();
+        if (null !== $scopeSite) {
+            $this->repository->applySiteScope($qb, (int) $scopeSite->getId());
+        }
+
+        // Echappatoire ?pagination=false : collection complete sans Paginator
+        // (regle n°13 — utile pour un <select> cote front).
+        if (!$this->pagination->isEnabled($operation, $context)) {
+            /** @var list<Provider> $providers */
+            $providers = $qb->getQuery()->getResult();
+            // Hydratation batchee des collections affichees (§ 2.12) : evite le
+            // N+1 si la serialisation touche categories/sites, sans cartesien.
+            $this->repository->hydrateListCollections($providers);
+
+            return $providers;
+        }
+
+        $limit  = $this->pagination->getLimit($operation, $context);
+        $page   = max(1, $this->pagination->getPage($context));
+        $offset = ($page - 1) * $limit;
+
+        $qb->setFirstResult($offset)->setMaxResults($limit);
+
+        // Le QB de selection ne porte pas de fetch-join to-many (§ 2.12) : le
+        // COUNT est simple, fetchJoinCollection inutile. On materialise la page
+        // puis on hydrate ses collections en lot (memes entites managees).
+        $paginator = new Paginator(new DoctrinePaginator($qb->getQuery(), fetchJoinCollection: false));
+        $this->repository->hydrateListCollections(iterator_to_array($paginator));
+
+        return $paginator;
+    }
+
+    /**
+     * @param array<string, mixed> $uriVariables
+     */
+    private function provideItem(array $uriVariables): ?Provider
+    {
+        $id = $uriVariables['id'] ?? null;
+        if (!is_int($id) && !(is_string($id) && ctype_digit($id))) {
+            return null;
+        }
+
+        $provider = $this->repository->findById((int) $id);
+        if (null === $provider) {
+            return null;
+        }
+
+        // Soft-delete : jamais expose au M3 (HP-M4) — 404 via retour null.
+        // Les archives restent visibles en detail (consultation + restauration).
+        if (null !== $provider->getDeletedAt()) {
+            return null;
+        }
+
+        // Cloisonnement par site (RG-3.17) : un prestataire hors du perimetre de
+        // l'user -> 404 (ne pas reveler son existence). No-op pour bypass_scope ou
+        // currentSite null (delegue au ProviderSiteScopeChecker).
+        if (!$this->scopeChecker->isInScope($provider)) {
+            return null;
+        }
+
+        return $provider;
+    }
+
+    /**
+     * Lit un flag booleen issu des query params. Accepte true / "true" / "1".
+     */
+    private function readBool(mixed $raw): bool
+    {
+        if (is_bool($raw)) {
+            return $raw;
+        }
+
+        return is_string($raw) && in_array(strtolower($raw), ['true', '1'], true);
+    }
+
+    /**
+     * Normalise un filtre en liste de chaines. Tolere un code unique (string)
+     * ou une liste (?key[]=a&key[]=b). Trim + retrait des vides.
+     *
+     * @return list<string>
+     */
+    private function readStringList(mixed $raw): array
+    {
+        $values = is_array($raw) ? $raw : [$raw];
+
+        $out = [];
+        foreach ($values as $value) {
+            if (is_string($value) && '' !== trim($value)) {
+                $out[] = trim($value);
+            }
+        }
+
+        return $out;
+    }
+
+    /**
+     * Normalise un filtre en liste d'identifiants entiers positifs. Tolere une
+     * valeur unique ou une liste (?key[]=1&key[]=2).
+     *
+     * @return list<int>
+     */
+    private function readIntList(mixed $raw): array
+    {
+        $values = is_array($raw) ? $raw : [$raw];
+
+        $out = [];
+        foreach ($values as $value) {
+            if ((is_int($value) || (is_string($value) && ctype_digit($value))) && (int) $value > 0) {
+                $out[] = (int) $value;
+            }
+        }
+
+        return $out;
+    }
+}

src/Module/Technique/Infrastructure/ApiPlatform/State/Provider/ProviderSubResourceItemProvider.php

@@ -0,0 +1,52 @@
+<?php
+
+declare(strict_types=1);
+
+namespace App\Module\Technique\Infrastructure\ApiPlatform\State\Provider;
+
+use ApiPlatform\Metadata\Operation;
+use ApiPlatform\State\ProviderInterface;
+use App\Module\Technique\Domain\Entity\ProviderOwnedInterface;
+use App\Module\Technique\Infrastructure\Security\ProviderSiteScopeChecker;
+use Symfony\Component\DependencyInjection\Attribute\Autowire;
+
+/**
+ * Provider d'item des sous-ressources d'un prestataire (Contact / Adresse / RIB).
+ * Decore le provider Doctrine par defaut et applique le cloisonnement par site du
+ * PARENT (§ 2.13 / RG-3.17) sur Get / Patch / Delete.
+ *
+ * Sans ce garde, un user cloisonne pourrait lire / editer / supprimer une
+ * sous-ressource d'un prestataire hors de son site : le detail Provider est bien
+ * garde en 404 (ProviderProvider), mais les sous-ressources ne passent pas par lui
+ * (provider Doctrine par defaut, et SiteScopedQueryExtension ne filtre que les
+ * resources SiteAwareInterface — ce que ces entites ne sont pas). Le RIB est
+ * particulierement sensible (IBAN / BIC).
+ *
+ * Hors perimetre -> retour null -> 404 (anti-enumeration, coherent avec le detail
+ * Provider). La decision de scope est deleguee a ProviderSiteScopeChecker (source
+ * unique partagee avec le ProviderProvider et les processors).
+ *
+ * @implements ProviderInterface<ProviderOwnedInterface>
+ */
+final class ProviderSubResourceItemProvider implements ProviderInterface
+{
+    public function __construct(
+        #[Autowire(service: 'api_platform.doctrine.orm.state.item_provider')]
+        private readonly ProviderInterface $itemProvider,
+        private readonly ProviderSiteScopeChecker $scopeChecker,
+    ) {}
+
+    public function provide(Operation $operation, array $uriVariables = [], array $context = []): ?object
+    {
+        $entity = $this->itemProvider->provide($operation, $uriVariables, $context);
+
+        if ($entity instanceof ProviderOwnedInterface) {
+            $parent = $entity->getProvider();
+            if (null === $parent || !$this->scopeChecker->isInScope($parent)) {
+                return null;
+            }
+        }
+
+        return $entity;
+    }
+}