++ gruppi: email fittizia iniziale+cognome per il sorvegliante; sciolto il gruppo l'utenza si elimina

- L'utenza del sorvegliante ha un'email fittizia creata dall'app:
  iniziale del nome e cognome @termanager.it (ffontana@termanager.it),
  come gli altri utenti. Via il nome utente: login di nuovo per email.
- Sciolto il gruppo l'utenza si elimina, il sorvegliante torna un
  proclamatore come gli altri: assegnazioni a chi scioglie, registro a nome
  "Sorvegliante del gruppo ...". Via le utenze disattivate.
- User::eliminaConservandoStorico(): l'eliminazione della pagina Utenti in
  un metodo solo, usato anche dallo scioglimento.
- Migrazione 000030: elimina le utenze gia' disattivate, toglie
  users.username e users.disattivato_at, email di nuovo obbligatoria.
- XML, informativa privacy, README, HANDOFF e test aggiornati.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

README.md

@@ -741,12 +741,13 @@ docker compose --profile dev up -d --build
   **sorvegliante** (un proclamatore attivo), **membri** e **pacchetto** di
   territori. Un proclamatore sta in un solo gruppo; il sorvegliante ne è
   anche membro
-- Creando il gruppo il sorvegliante riceve un'**utenza senza email**: un
-  **nome utente ricavato dal nome del gruppo** («Gruppo Zisa» →
-  `gruppo.zisa`; se è già preso, un numero in coda) e una password
-  temporanea, mostrati una volta sola, da cambiare al primo accesso. Al login
-  il campo accetta l'email o il nome utente. Due gruppi non possono avere lo
-  stesso nome. Se perde la password, l'amministratore ne genera un'altra
+- Creando il gruppo il sorvegliante riceve un'**utenza** con un'**email
+  fittizia** creata dall'applicazione: iniziale del nome e cognome sul
+  dominio `termanager.it` (Francesco Fontana → `ffontana@termanager.it`; se
+  è già presa, un numero in coda), e una password temporanea. Si vedono una
+  volta sola; la password va cambiata al primo accesso. L'email non si
+  chiede, non riceve posta e non va confermata. Due gruppi non possono avere
+  lo stesso nome. Se perde la password, l'amministratore ne genera un'altra
   dalla pagina del gruppo
 - I territori del pacchetto si aggiungono in blocco tra quelli in reparto.
   Restano **"In gruppo …"**: non sono un'assegnazione (statistiche e medie non
@@ -759,18 +760,19 @@ docker compose --profile dev up -d --build
 - Al **rientro** il territorio torna in reparto ed esce dal pacchetto
 - **Sciogliere il gruppo** toglie il ruolo al sorvegliante e **elimina il
   gruppo**, che non resta nello storico: i territori solo nel pacchetto
-  tornano in reparto, i membri si liberano, l'utenza viene disattivata (anche
-  una sessione aperta si chiude) e il suo nome utente torna libero. I
-  territori già dati restano ai membri come assegnazioni qualsiasi, che del
-  gruppo conservano solo il nome ("via gruppo …"). Per ripartire si crea un
-  gruppo nuovo; se il sorvegliante è lo stesso, si riattiva la sua utenza
+  tornano in reparto, i membri si liberano e l'**utenza del sorvegliante si
+  elimina** (anche una sessione aperta si chiude): torna un proclamatore come
+  gli altri. Le assegnazioni che aveva fatto passano a chi scioglie il
+  gruppo; nel registro delle attività le sue voci restano a nome
+  "Sorvegliante del gruppo …". I territori già dati restano ai membri come
+  assegnazioni qualsiasi, che del gruppo conservano solo il nome ("via
+  gruppo …"). Per ripartire si crea un gruppo nuovo
 - **Un sorvegliante che non è più attivo scioglie il gruppo**, come togliergli
   il ruolo: succede se lo si rende non attivo (dall'elenco o dalla modifica),
   se lo si sposta nel cestino o lo si anonimizza. Prima di disattivarlo o
   cestinarlo dall'elenco si chiede conferma; riattivarlo non ricostruisce il
   gruppo. Un membro non attivo resta nel gruppo ma non riceve territori; nel
-  cestino esce dal gruppo. Anonimizzando un ex sorvegliante si anonimizza
-  anche la sua utenza
+  cestino esce dal gruppo
 - **Chi fa parte di un gruppo è segnalato**: badge "Gruppo …" o
   "Sorvegliante del gruppo …" nell'elenco dei proclamatori (con il filtro
   *In un gruppo di servizio*) e in testa alla scheda; nella scelta del
@@ -778,7 +780,7 @@ docker compose --profile dev up -d --build
   resta comunque sceglibile
 - **Dettagli del gruppo**: la scheda del proclamatore dice se è sorvegliante
   (gruppo, membri, territori nel pacchetto e da dare, assegnazioni nate dal
-  gruppo, nome utente, stato della password e ultimo accesso) o membro; il
+  gruppo, email per entrare, stato della password e ultimo accesso) o membro; il
   sorvegliante ritrova gli stessi numeri nel suo
   *Profilo*
 
@@ -892,7 +894,7 @@ una revoca ha effetto immediato senza bisogno di ricaricare la pagina.
 
 | Tabella           | Descrizione                                                  |
 |-------------------|--------------------------------------------------------------|
-| `users`           | Utenti; `password_change_required` blocca l'accesso finché non si sceglie una password nuova; `email` facoltativa e `username` per il sorvegliante, che entra con il nome utente del gruppo; `proclamatore_id` lega l'utenza del sorvegliante al suo proclamatore, `disattivato_at` la chiude allo scioglimento del gruppo |
+| `users`           | Utenti; `password_change_required` blocca l'accesso finché non si sceglie una password nuova; `proclamatore_id` lega l'utenza del sorvegliante (email fittizia) al suo proclamatore; sciolto il gruppo l'utenza si elimina |
 | `settings`        | Configurazione singleton                                      |
 | `zone`            | Zone territoriali                                             |
 | `tipologie`       | Tipologie di territorio                                       |