feat(provider-contract): compile governed L2 execution plans

packages/external-provider-contract/README.md

@@ -48,6 +48,25 @@ read-capability передаёт все entities, которые provider воз
 boundary запрещены; сортировка и видимость принадлежат Data Product consumer и
 Foundry.
 
+`compileL2ExecutionPlan` превращает package + connection instance в
+детерминированный `nodedc.l2-execution-plan/v1`: разрешает generic шаги
+collection/request/extract/mapping/publish, прикладывает полные декларативные
+request/mapping contracts и фиксирует SHA-256 digests package, profile,
+template, mapping, field policy, Data Product и telemetry registry. В
+компиляторе нет веток по provider ID. Provider-specific URL, source paths и
+параметры являются данными immutable package. После материализации Engine
+`attestL2ExecutionPlanMaterialization` связывает exact plan digest с exact
+graph revision/digest и точным списком materialized steps.
+
+Динамическая телеметрия проходит отдельный
+`nodedc.telemetry-field-registry/v1`. Реестр хранит только имена source
+parameters, типы, статус классификации, sensitivity и разрешённые surfaces —
+никогда значения. Только `approved + operational` entries могут войти в
+Data Product/analytics/Foundry projection. `observed`, PII/identifier,
+command и restricted entries остаются audit-only; wildcard source key
+запрещён. Поэтому появление нового параметра у provider не меняет ядро и не
+открывает его автоматически потребителям.
+
 Текущий production-shaped package — `providers/gelios/v5`. Он сохраняет два
 официальных Gelios REST safe-read: `GET /api/v1/users/me/monitoring-config` и
 `GET /api/v1/units?incltrip=true`, а также точный immutable output