Add analytics and documentation updates

docs/scrum4me-architecture.md

@@ -7,7 +7,7 @@
 
 ## Architectuursamenvatting
 
-Scrum4Me is een desktop-first Next.js 16 webapplicatie die server-side wordt gerenderd en gedeployed op Vercel. De database is PostgreSQL via Neon, aangestuurd via Prisma v7. Authenticatie is custom username/password via iron-session — geen externe auth-provider, geen e-mail. De REST API voor Claude Code-integratie loopt via Next.js Route Handlers, beveiligd met API-tokens. Drag-and-drop in de planningsschermen wordt afgehandeld door dnd-kit.
+Scrum4Me is een desktop-first Next.js 16 webapplicatie die server-side wordt gerenderd en gedeployed op Vercel. De database is PostgreSQL via Neon, aangestuurd via Prisma v7. Authenticatie is custom username/password via iron-session — geen externe auth-provider, geen e-mail. De REST API voor Claude Code-integratie loopt via Next.js Route Handlers, beveiligd met API-tokens. Drag-and-drop in de planningsschermen wordt afgehandeld door dnd-kit. Vercel Analytics meet pageviews via de root layout; profielfoto's worden server-side verwerkt met Sharp.
 
 ---
 
@@ -25,6 +25,8 @@ Scrum4Me is een desktop-first Next.js 16 webapplicatie die server-side wordt ger
 | Authenticatie | Custom — iron-session + bcrypt | Username/password zonder e-mail vereist geen externe auth-provider; iron-session beheert versleutelde cookies server-side |
 | Drag-and-drop | dnd-kit | Actief onderhouden, React-native hooks, 60fps bij grote lijsten, ondersteuning voor meerdere containers |
 | REST API | Next.js Route Handlers (`/app/api/`) | Naast Server Actions nodig voor Claude Code-integratie; Route Handlers zijn volledig HTTP-compatibel |
+| Image processing | Sharp | Avataruploads worden gevalideerd, geschaald en als WebP opgeslagen in PostgreSQL |
+| Analytics | Vercel Analytics (`@vercel/analytics/next`) | Pageviews zonder extra client-configuratie; component staat in `app/layout.tsx` |
 | Hosting | Vercel | Zero-config Next.js deployment; preview-URLs per PR; gratis tier voldoende voor v1 |
 | CI/CD | GitHub Actions | Lint + typecheck + build op elke PR; Vercel handelt de daadwerkelijke deploy af |
 
@@ -239,6 +241,27 @@ Koppelt Developer-gebruikers aan een product backlog. De eigenaar (`products.use
 
 ---
 
+## Toegangsmodel en schrijfbeveiliging
+
+Producttoegang is centraal gedefinieerd als:
+
+- eigenaar: `products.user_id === gebruiker.id`
+- teamlid: `product_members` bevat `(product_id, user_id)`
+
+Code gebruikt hiervoor `productAccessFilter(userId)` uit `lib/product-access.ts`. Route Handlers en Server Actions mogen geen eigenaar-only filter (`user_id`) gebruiken voor product-scoped resources tenzij het expliciet om eigenaarsbeheer gaat, zoals archiveren of teamleden beheren.
+
+Schrijfoperaties volgen deze invarianten:
+
+- Controleer eerst authenticatie en `session.isDemo`.
+- Valideer input met Zod, maar behandel TypeScript types niet als runtime-beveiliging.
+- Controleer de parent-resource met `productAccessFilter`.
+- Vertrouw bulk-ID's nooit los: haal de records eerst op met `id in (...)` plus de parent-scope (`product_id`, `pbi_id`, `sprint_id` of `story_id`) en weiger de operatie als aantallen niet exact overeenkomen.
+- Weiger dubbele IDs in reorder- en beslissingslijsten.
+- Leid denormalized foreign keys af van de database-parent (`pbi.product_id`, `sprint.product_id`) en niet van form-data of JSON body.
+- Delete of update alleen nadat de resource scoped is gevonden; gebruik scoped `deleteMany`/`updateMany` wanneer een unique `delete` anders onveilig zou zijn.
+
+---
+
 ## Prisma Schema (excerpt)
 
 ```prisma
@@ -474,8 +497,9 @@ Inloggen:
   → bij mismatch: generieke foutmelding (geen onderscheid)
 
 Sessie per request:
-  middleware.ts → iron-session cookie uitlezen → user_id + is_demo in request
-  → beschermde routes: redirect /login als geen geldige sessie
+  proxy.ts → sessiecookie-aanwezigheid controleren
+  → beschermde routes: redirect /login als geen sessiecookie aanwezig is
+  → app layout valideert de volledige sessie server-side
 
 API-aanroepen (Claude Code):
   Authorization: Bearer <token> header → SHA-256 hash → opzoeken in api_tokens
@@ -554,7 +578,7 @@ scrum4me/
 │   ├── schema.prisma
 │   ├── migrations/
 │   └── seed.ts                       # Testdata uit Product Backlog document
-├── middleware.ts                     # Sessiecheck op beschermde routes
+├── proxy.ts                          # Next.js 16 proxy voor route protection
 ├── prisma.config.ts                  # Prisma v7 config (DATABASE_URL)
 └── .env.example
 ```
@@ -755,6 +779,7 @@ NODE_ENV="development"
 - [ ] `prisma migrate deploy` uitgevoerd op productiedatabase
 - [ ] Demo-gebruiker aangemaakt via seed of handmatig
 - [ ] API-token aangemaakt en getest met `curl`-aanroep naar `/api/products`
+- [ ] Vercel Analytics actief in het Vercel dashboard na eerste productiebezoek
 - [ ] Vercel preview-deployments getest op een PR
 - [ ] `next build` lokaal geslaagd zonder TypeScript-fouten