у записи появился владелец: чужую больше не отдают

- колонка `owner` связью с `users` в обеих коллекциях новым шагом схемы
  `202608140001`; чтение задачи сужено владельцем, и чужая, ничья и
  несуществующая дают один ответ; правило просмотра файлов сужено им же
- приём по HTTP берёт владельца из сессии, а предъявителя без учётной записи
  пользователя отвергает до чтения тела: позже пришлось бы убирать уложенный
  файл, а уборки файлов сервис не умеет. Выборка воркера владельцем не сужается
- удаление учётной записи с записями отвергается стражем, и вешает его сама
  сборка хранилища: сборка, забывшая его позвать, теряла защиту молча

docs/passport.md

@@ -69,10 +69,10 @@
   файл. Своей записи и работы без сети не делаем.
 - **Файловое хранилище общего назначения.** Храним аудио и видео, отданные ради
   речи в них. Складом произвольных файлов и папками сервис не становится. Общего
-  доступа к чужим записям целью тоже нет — но **сегодня он есть**: владельца у
-  записи в модели данных не существует, и всякий вошедший видит все записи
-  ([security.md](security.md), «Периметр»). Это состояние, а не решение;
-  закрывает его `record-ownership`.
+  доступа к чужим записям целью нет, и с 2026-08-14 его нет и на деле: у записи
+  есть владелец, и чужую по её идентификатору не отдают
+  ([security.md](security.md), «Периметр»). Закрыла это задача
+  `record-ownership`.
 - **Учёт денег.** Считаем объём, минуты и токены по каждому пользователю и
   показываем их владельцу. Цен, счетов и отказов по исчерпании квоты не делаем:
   пользователя, потратившего слишком много, останавливает разговор или отзыв
@@ -100,8 +100,8 @@
    получает идентификатор задачи и опрашивает `GET /api/status/:id`, пока не
    увидит `done` и текст. Сегодня доступно только предъявившему сессию OIDC:
    анонимный запрос обоими адресами отклоняется. Своего входа у программы нет —
-   его заводит `api-tokens`, — как нет и разграничения записей между
-   пользователями.
+   его заводит `api-tokens`. Записи при этом разграничены: программа с чужой
+   сессией видит только записи того, чью сессию предъявила.
 6. **Отказ на середине.** Конвертация или распознавание не удались — задача
    переходит в `failed`, а пользователь получает сообщение о том, что именно не
    вышло, и предложение повторить.