++ gruppi di servizio: utenza dell'ex sorvegliante riattivabile, cestino e anonimizzazione, registro senza nomi

Un ex sorvegliante puo' guidare un gruppo nuovo: si riattiva la sua
utenza. Il sorvegliante di un gruppo attivo non si cestina ne' si
anonimizza; anonimizzando un ex sorvegliante si anonimizza anche
l'utenza. Nel registro delle attivita' nome ed email dell'utenza del
sorvegliante diventano "proclamatore #id". La voce "Il mio gruppo"
dipende dal ruolo: l'amministratore passa ogni @can.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

README.md

@@ -758,7 +758,10 @@ docker compose --profile dev up -d --build
   ancora dati tornano in reparto, i membri si liberano, l'utenza viene
   disattivata (anche una sessione aperta si chiude) e il gruppo resta nello
   storico. I territori già dati restano ai membri. Per ripartire si crea un
-  gruppo nuovo
+  gruppo nuovo; se il sorvegliante è lo stesso, si riattiva la sua utenza
+- Il sorvegliante di un gruppo attivo non si sposta nel cestino né si
+  anonimizza: prima si scioglie il gruppo. Anonimizzando un ex sorvegliante
+  si anonimizza anche la sua utenza
 
 ### Campagne
 - CRUD con date di inizio e fine
@@ -858,7 +861,8 @@ una revoca ha effetto immediato senza bisogno di ricaricare la pagina.
 - **Diritto all'oblio**: funzione di anonimizzazione irreversibile
 - **Retention**: cancellazione automatica dei log oltre il periodo configurato
 - **No dati sensibili nei log**: l'audit registra gli identificativi, non i nomi
-  in chiaro
+  in chiaro (anche per l'utenza di un sorvegliante di gruppo, che porta il nome
+  di un proclamatore)
 - **Attenzione ai backup**: il pacchetto `.zip` e l'export XML contengono i dati
   dei proclamatori **in chiaro** (l'export li legge decifrati). Vanno custoditi
   in un luogo protetto e cancellati quando non servono