feat(submit): submit v3 con validación de integridad server-side [4G]

RPC transaccional SECURITY DEFINER (rpc_submit_response) como único camino
de escritura. Dropea las policies WITH CHECK(true): cierra la falla donde
anon podía insertar cualquier cosa. Validación server-side (7 checks)
reusando el motor. Persistencia atómica con instance_id por instancia.
Verificado contra Postgres real: instancias separadas, atomicidad, RLS.
Riesgo residual de bypass por REST documentado (SEC-004).

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

DATA_MODEL.md

@@ -97,6 +97,11 @@ qi_zone            text
 ```
 > Regla: si `surveys.is_anonymous = true`, el INSERT que intente setear `respondent_id` debe fallar
 > (constraint/trigger). Es la barrera técnica de la regla no negociable #2 de `CLAUDE.md`.
+
+> **Mapeo v3 (Etapa 4G, confirmado):** `qi_zone` ← `2.1` (departamento), `qi_age_bucket` ← `2.4`
+> (rango de edad). `qi_sector` ← `2.6` (nivel organizacional) — v3 no tiene una pregunta
+> equivalente a "área/gerencia" como v2 (`A4`); `2.6` es el cuasi-identificador organizacional
+> más cercano disponible en el instrumento actual, no un mapeo 1:1 con el campo de v2.
 > Los cuasi-identificadores se guardan en **bucket** (rango etario, no fecha de nacimiento) para
 > minimizar re-identificación.