feat(frontend): Administração > Usuários e Perfis (convidar, trocar papel)

POST /users (convidar) fecha uma lacuna real: até aqui só dava pra
adicionar alguém a um tenant criando o tenant inteiro ou via script. Se o
e-mail já existe na plataforma, só adiciona membership+role (sem tocar na
senha); se não existe, cria a conta com senha gerada e revelada uma única
vez. PATCH /users/:id/role troca o papel (substitui, 1 papel por tenant).

GET /roles novo (tenant-facing) — versão de /platform/roles filtrada só
pras roles de escopo TENANT, sem expor que platform_super_admin existe.

Frontend: /app/administracao/usuarios (convidar com papel, trocar papel
de qualquer membro exceto o próprio usuário logado) e /perfis (o que cada
papel pode fazer, só leitura).

Testado ponta a ponta contra a API real: convidada conta nova com senha
revelada, convidado usuário com papel Agente, trocado pra Supervisor via
PATCH, confirmado persistido. Perfis mostra as 3 roles de tenant certas.
Smoke test nas 19 telas do tenant + 10 telas platform, todas 200.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01BFaBaBSQGhyXGEgtTYZGV8

apps/frontend/src/components/tenant-shell/nav-data.ts

@@ -162,6 +162,18 @@ export const TENANT_NAV: NavSection[] = [
   {
     label: "Administração",
     icon: ShieldCheck,
-    children: [{ label: "Usuários" }, { label: "Perfis" }, { label: "Configurações" }],
+    children: [
+      {
+        label: "Usuários",
+        href: "/app/administracao/usuarios",
+        description: "Quem tem acesso a este tenant — convidar e trocar papel",
+      },
+      {
+        label: "Perfis",
+        href: "/app/administracao/perfis",
+        description: "O que cada papel pode fazer neste tenant",
+      },
+      { label: "Configurações" },
+    ],
   },
 ];