feat(rgpd): política de privacidade e termos, mapa a pedido, fotos locais, retenção, tema claro/escuro

- Política de privacidade reescrita: tabela de dados/finalidades/fundamento
  (inclui os pedidos de aula, inscrição e eventos com IP), prazos concretos,
  subcontratantes, Google Maps e reviews, cookies. Termos e condições novos
  (/home/termos), no rodapé e no sitemap. Campos [ENTRE PARÊNTESES RETOS]
  e revisão por jurista pendentes antes de publicar no domínio real.
- Google Maps só carrega ao carregar em «Mostrar mapa» (map_click_to_load);
  as fotos dos autores das reviews são guardadas pelo servidor em
  uploads/reviews/ e servidas localmente (review_avatar_url).
- Retenção que a política declara, aplicada pelo cron (04:00): leads com
  mais de 12 meses → lixeira; blocked_submissions e outbox de segurança
  apagados aos 90 dias (trash_retention_sweep, auditado).
- Backoffice e login com tema claro/escuro/automático: data-bs-theme
  aplicado no <head> antes do CSS (sem flash), escolha em localStorage,
  segue o sistema em tempo real, color-scheme e theme-color para os dois.
  Cores próprias passaram a variáveis do Bootstrap. lang="pt-PT".

Testado numa cópia da BD de produção: 72/72 verificações.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

.htaccess

@@ -60,6 +60,7 @@ RewriteRule ^home/agendar/?$    site/agendar.php     [L,QSA]
 RewriteRule ^home/inscricao/?$  site/inscricao.php   [L,QSA]
 RewriteRule ^home/crossfit/?$   site/crossfit.php    [L,QSA]
 RewriteRule ^home/privacidade/?$ site/privacidade.php [L,QSA]
+RewriteRule ^home/termos/?$ site/termos.php [L,QSA]
 RewriteRule ^evento/([a-zA-Z0-9-]+)/?$ site/evento.php?slug=$1 [L,QSA]
 # ── Ginásios: /<pasta>/ (código postal da zona, ex.: /3070/) ─────────────────
 # Uma pasta por ginásio (Gestão → Ginásios); pastas desconhecidas ou por publicar