Add analytics and documentation updates

CLAUDE.md

@@ -22,6 +22,7 @@ Lees het relevante document voordat je aan een feature begint. Nooit gokken over
 | `docs/scrum4me-personas.md` | Lars (primair), Dina, Remi — gebruik bij UI-beslissingen |
 | `docs/scrum4me-product-backlog.md` | Testdata voor de seed |
 | `docs/scrum4me-styling.md` | **Lees dit voor elk component** — MD3-kleuren, shadcn patronen |
+| `docs/agent-instruction-audit.md` | Waarom de agent-instructies zijn aangescherpt; checklist voor toekomstige wijzigingen |
 
 ---
 
@@ -58,6 +59,8 @@ dnd-kit (drag-and-drop)
 Prisma v7 + PostgreSQL (Neon)
 iron-session (auth cookies)
 bcryptjs + Zod + Sonner
+Sharp (avatarverwerking)
+Vercel Analytics (`@vercel/analytics/next`)
 ```
 
 > ⚠️ **Stylingregel:** Gebruik **nooit** `bg-blue-500` of willekeurige Tailwind-kleuren.
@@ -100,9 +103,13 @@ SESSION_SECRET=""      # openssl rand -base64 32
 - **Branches:** `feat/ST-001-scaffolding`
 - **Server Actions:** altijd in `actions/[domein].ts`, nooit inline in page.tsx
 - **Validatie:** altijd Zod, nooit handmatige checks
-- **Eigenaarschap:** elke Server Action en Route Handler controleert dat de resource bij de ingelogde gebruiker hoort
+- **Toegangsmodel:** product-scoped resources gebruiken `productAccessFilter(userId)` tenzij het expliciet een eigenaarsactie is
+- **Bulk-ID's:** reorder- en beslissingsacties valideren dat alle meegegeven IDs binnen dezelfde parent-scope vallen voordat er geschreven wordt
+- **Foreign keys:** denormalized keys zoals `story.product_id` worden afgeleid uit de database-parent (`pbi.product_id`), nooit uit client-input
 - **Demo-check:** elke Server Action controleert `session.isDemo` vóór schrijven
 - **Foutberichten:** Nederlands voor eindgebruikers — comments in code: Engels
+- **Dependencies:** elke geïmporteerde runtime package staat direct in `dependencies`, niet alleen transitief in `package-lock.json`
+- **Docs-sync:** elke gedrags-, dependency-, API- of deploymentwijziging werkt README, relevante docs en patterns bij in dezelfde change
 
 ---
 
@@ -126,3 +133,4 @@ SESSION_SECRET=""      # openssl rand -base64 32
 - [ ] App opzetbaar via README zonder extra hulp
 - [ ] CI/CD actief — falende build blokkeert merge
 - [ ] Beveiligingsreview API geslaagd (cross-user toegang onmogelijk)
+- [ ] Documentatie is bijgewerkt voor gewijzigde API's, dependencies, deployment en agent-instructies